Droit du patient à modifier son dossier patient : consécration et exception

Ce sont les questions auxquelles un arrêt récent de la cour d’appel administrative de Paris a répondu.

Les faits

Une patiente a été amenée à communiquer des informations personnelles relevant de sa vie privée à un psychiatre dans le cadre de sa prise en charge auprès de deux établissements de l’AP-HP.

Deux ans plus tard, après une première demande restée sans effet, la patiente formulera à l'AP-HP une demande de rectification des mentions présentes dans son dossier médical. L'AP-HP rejettera implicitement cette demande, et le tribunal administratif déboutera à son tour la patiente dans un jugement rendu le 3 février 2022. Cette dernière fait alors appel de cette décision.

La patiente soutient notamment que ses données ont été recueillis sans son consentement, et que les éléments se rapportant aux antécédents sociaux-familiaux n’ont pas été supprimés de son dossier médical, malgré une demande allant en ce sens. De plus, elle soutient que les informations visées par sa demande n'étaient pas nécessaires pour l'exécution de la mission de soins des services hospitaliers, et qu’elle n’avait pas été tenue informée par l’AP-HP du recueil de ses données et de l’existence de son droit à obtenir la rectification et l’effacement de ses données, en application de l’article 16 et 17 du RGPD. 

Les juges de la cour d’appel administrative de Paris vont confirmer le rejet de sa demande d’indemnisation du préjudice subi, mais retiennent pour autant la faute de l’AP-HP pour défaut d’information de la patiente de ses droits vis-à-vis de ses données à caractère personnel. Décryptage.

Le consentement de la patiente était-il nécessaire pour inscrire les données au sein du dossier patient ?

L’intérêt de cette décision réside dans l’effort pédagogique de l’arrêt qui recontextualise le cadre dans lequel intervient le traitement mené par l’AP-HP sur les données personnelles de la patiente lors de sa prise en charge. 

Le traitement est nécessaire à l’exécution d’une mission de service public (article 6.1.e du RGPD), et bien qu’il s’agisse d’un traitement portant sur des données sensibles (principe d’interdiction de l’article 9 du RGPD), celui-ci est justifié dans la mesure où ce traitement est nécessaire dans la prise en charge sanitaire et sociale de la patiente (article 9.2 du RGPD).

Les médecins ayant participé à sa prise en charge n’étaient pas donc pas tenus de recueillir le consentement de la patiente pour inscrire ces informations dans son dossier médical.

Les exceptions au droit d’effacer des données personnelles

La cour administrative d’appel de Paris rappelle que le droit à obtenir l’effacement de ses données à caractère personnel prévue par l’article 17 du RGPD peut être limité s’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice. 

Quel est donc le motif légitime et impérieux qui a fait échec à la demande de la patiente sur ses propres données ? La santé psychologique de la patiente. 

Explications. La cour administrative d’appel se fonde sur l’article R.111-2 du code de la santé publique qui liste l’ensemble des données pouvant apparaitre dans le dossier médical d’un patient. Cette liste non-exhaustive a vocation à inclure toute information permettant de contribuer à une meilleure prise en charge du patient. 

Or, les éléments rapportés dans le dossier médical que souhaitaient faire supprimer la patiente sont des informations permettant de contribuer à une meilleure appréciation de son état de santé et à la prise en charge de décisions thérapeutiques à son égard. 

Au regard de ces éléments, et par lecture combiné des dispositions du RGPD et du code de la santé publique, les informations rapportées dans le dossier médical avaient donc toute leur place dans le dossier médical de la patiente. 

La demande de la patiente sur ses données est donc légitimement rejetée, sans toutefois exonérer pleinement l’AP-HP. 

La responsabilité de l’AP-HP pour manquement au droit d’information

L’AP-HP, en sa qualité de responsable de traitement, a en effet commis une faute en n’informant pas la patiente de l’existence de son droit à demander rectification et effacement des données à caractère personnel présentes dans son dossier médical au moment où celles-ci ont été collectées, et ce, conformément aux dispositions de l’article 13 du RGPD. 

Ainsi, bien que l’AP-HP ait eu raison de ne pas donner suite à la demande de la patiente, dans la mesure où les informations visées par la demande contribuaient à l’appréciation de son état de santé, notamment psychologique, et à la prise de décisions thérapeutique, la cour administrative d’appel de Paris a retenu l’existence d’une faute de la part de l’AP-HP pour ne pas avoir informé la patiente de l’existence de ses droits sur ses données.

Les enseignements de cette décision

Cette décision nous permet de mieux délimiter la marge de manœuvre qu’ont les individus sur leurs données personnelles lorsque le traitement est réalisé dans le cadre de leur prise en charge sanitaire et sociale. De même, il convient de retenir que les établissements de santé sont dans tous les cas tenus de respecter l’obligation d’information à destination des patients concernés par les traitements mis en œuvre conformément à l’article 13 du RGPD. 

Les auteurs | Laurence Huin Avocate Associée & Raphaël Cavan Elève Avocat

Forte d’une solide formation en droit des TIC, Laurence Huin a développé une expertise juridique et technique en matière de projets numériques.
Elle rejoint le Cabinet Houdart & Associés en septembre 2020 et est associée au sein du pôle Santé numérique.
Elle est ainsi régulièrement sollicitée auprès des acteurs du numérique pour les conseiller et les assister dans leurs problématiques contractuelles et pré-contentieuses (mise en conformité à la réglementation en matière de données personnelles, rédaction et négociation de contrats sur des projets, sécurisation juridique de projets, régulation des contenus et e-reputation). [email protected] | www.houdart.org