À l’occasion d’une procédure judiciaire se déroulant devant la Cour d’Appel Norvégienne opposant une compagnie d’assurance et l’un de ses assurés dans le cadre d’un litige concernant l’attribution d’une assurance contre les accidents du travail, la Cour a été amenée à se prononcer sur la licéité d’une transmission de données à caractère personnel de santé.

En effet, dans le cadre du litige, la compagnie d’assurance avait mandaté un psychiatre externe en tant qu’expert privé qui avait reçu communication des données de santé de l’assuré que détenait la compagnie d’assurance, et ce, sans son accord.

Un rapport rédigé par l’expert à l’aide de ces données a ensuite été produit devant les juges de la Cour d’Appel Norvégienne.

À ce titre, l’assuré considère que la communication de ses données de santé détenues par la compagnie d’assurance à un psychiatre qui ne participait pas à sa prise en charge constituait une divulgation illicite auprès d’un tiers non-autorisé, et par conséquent un manquement aux dispositions du RGPD.

La Cour a rejeté la plainte de l’assuré au motif que la communication de ses données de santé auprès d’un expert privé rentrait dans le cadre d’une procédure civile en cours d’instruction, et s’écartait du champ d’application du RGPD et du « Personal Data Act » (Loi norvégienne intégrant les exigences du RGPD, équivalent de la Loi Informatiques et Libertés en France).

Pour autant, la Cour précise avoir écarté des débats le rapport de l’expert en raison de la violation faite à la section 21a de leur « Health Personnel Act » qui prévoit une interdiction de communication et d’accès des données de santé détenues par des professionnels de la santé à des tiers non-autorisés.

L’assuré avait en parallèle de cette procédure saisie l’autorité de contrôle norvégienne («The Norwegian Data Protection Authority ») concernant la divulgation de ses données auprès d’un tiers non-autorisé, laquelle est allée dans le sens de la Cour d’Appel en retenant que la demande du plaignant ne rentrait pas dans son champ de compétence conformément à l’article 55 du RGPD qui précise que « les autorités de contrôle ne sont pas compétentes pour contrôler les opérations de traitement effectuées par les juridictions dans l’exercice de leur fonction juridictionnelle ».

On peut se demander dans le cadre de cette affaire si l’homologue norvégienne de la CNIL et la Cour d’Appel Norvégienne n’ont pas commis une mauvaise interprétation de l’article 55 du RGPD dans la mesure où l’article précité vise expressément les traitements menés par les autorités judiciaires, et non les traitements de données à caractère personnel produits dans le cadre d’une procédure judiciaire.

Un parallèle peut être fait avec une décision rendue par le Conseil d’Etat le 15 novembre 2022 amené à se prononcer sur une décision rendue par la chambre disciplinaire nationale de l’ordre des médecins.

Dans cette affaire, une société d’assurance avait sollicité l’expertise d’un médecin-conseil pour l’évaluation du préjudice subi par un particulier dans le cadre d’une procédure d’indemnisation à l’amiable. L’indemnisation à l’amiable échoua et l’affaire sera ensuite portée devant les tribunaux judiciaires. Dans le cadre de cette procédure, le juge des référés ordonna la désignation d’une expertise judiciaire.

À ce titre, le rapport d’expertise du médecin-conseil de l’assurance a été communiqué auprès du médecin chargé par le juge de l’expertise, ce à quoi, le particulier s’est opposé car celui-ci n’avait pas donné son accord.

Cette contestation a été portée devant la chambre disciplinaire nationale de l’ordre des médecins qui avait considéré que les deux médecins étant soumis au secret professionnel, la communication des informations de santé du particulier n’était pas illicite et concourait par ailleurs à la bonne administration de la justice.

Le Conseil d’Etat ne retient pas cette analyse de l’ordre des médecins, et se fonde sur l’article L.1110-4 du code la santé publique qui prévoit que le partage d’informations couvertes par le secret médical entre professionnels de santé ne faisant pas partie de la même équipe de soins requiert le consentement préalable de la personne, et que les exigences posées par l’article 275 du code de procédure civile dans le cadre d’une expertise judiciaire ne sauraient déroger à cette règle.

On constate donc dans les deux cas que la constitution d’une preuve dans le cadre d’une procédure judiciaire ne saurait rendre légitime une communication de données de santé auprès de tiers non autorisés sans l’accord de la personne concernée

Par ailleurs, le fait que les professionnels de santé soient liés par les mêmes règles déontologiques tenant au secret médical ne saurait supplanter les droits et garanties accordées au patient, lequel doit pouvoir donner son accord à ce que ses données de santé fassent l’objet d’une communication auprès de professionnels de santé ne faisant pas partie de l’équipe de soins assurant sa prise en charge.

Pour consulter le résumé de la décision de la Cour d’Appel Norvégienne, cliquer ici.