Le droit du patient à modifier son dossier patient
Article rédigé le 22 mai 2023 par Me Laurence Huin et Raphaël Cavan
Une patiente admise en soins psychiatriques peut-elle faire modifier les données intégrées dans son dossier médical au nom du sacro-saint RGPD ? En d’autres termes, la réglementation sur les données personnelles prévaut-elle sur le contenu du dossier médical déterminé par le code de la santé publique ?
Ce sont les questions auxquelles un arrêt récent de la cour d’appel administrative de Paris a répondu.
Une patiente à communiqué des informations personnelles relevant de sa vie privée à un psychiatre dans le cadre de sa prise en charge auprès d’hôpitaux de l’AP-HP. Deux ans plus tard, elle formulera une demande de rectification des mentions présentes dans son dossier médical que l’AP-HP rejettera implicitement. Le tribunal administratif déboutera sa demande et formera un appel de la décision.
Selon elle, les données relevant de sa vie privée ont été recueillies sans son consentement, et n’ont pas été supprimées de son dossier médical, malgré une demande allant en ce sens. Elle soutient également que ses données n’étaient pas nécessaires pour l’exécution de la mission de soins de l’AP-HP, qui ne l’avait pas tenue informée du recueil de ses données et de l’existence de son droit d’obtenir leur rectification et effacement conformément au RGPD.
Sa demande sera finalement rejetée par la cour administrative d’appel. Pourquoi ? Décryptage.
Le consentement de la patiente était-il nécessaire pour inscrire les données au sein du dossier patient ?
L’intérêt de cette décision réside dans l’effort pédagogique de l’arrêt qui recontextualise le cadre dans lequel intervient le traitement mené par l’AP-HP sur les données personnelles de la patiente lors de sa prise en charge.
Le traitement est nécessaire à l’exécution d’une mission de service public (article 6.1.e du RGPD), et bien qu’il s’agisse d’un traitement portant sur des données sensibles (principe d’interdiction de l’article 9 du RGPD), celui-ci est justifié dans la mesure où ce traitement est nécessaire dans la prise en charge sanitaire et sociale de la patiente (article 9.2 du RGPD).
Les médecins ayant participé à sa prise en charge n’étaient pas donc pas tenus de recueillir le consentement de la patiente pour inscrire ces informations dans son dossier médical.
Les exceptions au droit d’effacer des données personnelles
La cour administrative d’appel de Paris rappelle que le droit d’obtenir l’effacement de ses données à caractère personnel prévu par l’article 17 du RGPD peut être limité s’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l’exercice ou la défense de droits en justice.
Quel est donc le motif légitime et impérieux qui a fait échec à la demande de la patiente sur ses propres données ? La santé psychologique de la patiente.
Explications. La cour administrative d’appel se fonde sur l’article R.111-2 du code de la santé publique qui liste l’ensemble des données pouvant apparaitre dans le dossier médical d’un patient. Cette liste non-exhaustive a vocation à inclure toute information permettant de contribuer à une meilleure prise en charge du patient.
Or, les éléments rapportés dans le dossier médical que souhaitaient faire supprimer la patiente sont des informations permettant de contribuer à une meilleure appréciation de son état de santé et à la prise en charge de décisions thérapeutiques à son égard.
Au regard de ces éléments, et par lecture combinée des dispositions du RGPD et du code de la santé publique, les informations rapportées dans le dossier médical avaient donc toute leur place dans le dossier médical de la patiente.
La demande de la patiente sur ses données est donc légitimement rejetée, sans toutefois exonérer pleinement l’AP-HP.
La responsabilité de l’AP-HP pour manquement au droit d’information
L’AP-HP, en sa qualité de responsable de traitement, a en effet commis une faute en n’informant pas la patiente de l’existence de son droit à demander rectification et effacement des données à caractère personnel présentes dans son dossier médical au moment où celles-ci ont été collectées, et ce, conformément aux dispositions de l’article 13 du RGPD.
Ainsi, bien que l’AP-HP ait eu raison de ne pas donner suite à la demande de la patiente, dans la mesure où les informations visées par la demande contribuaient à l’appréciation de son état de santé, notamment psychologique, et à la prise de décisions thérapeutique, la cour administrative d’appel de Paris a retenu l’existence d’une faute de la part de l’AP-HP pour ne pas avoir informé la patiente de l’existence de ses droits sur ses données.
Les enseignements de cette décision
Cette décision nous permet de mieux délimiter la marge de manœuvre qu’ont les individus sur leurs données personnelles lorsque le traitement est réalisé dans le cadre de leur prise en charge sanitaire et sociale. De même, il convient de retenir que les établissements de santé sont dans tous les cas tenus de respecter l’obligation d’information à destination des patients concernés par les traitements mis en œuvre conformément à l’article 13 du RGPD.
Avocat depuis 2015, Laurence Huin exerce une activité de conseil auprès d’acteurs du numérique, aussi bien côté prestataires que clients.
Elle a rejoint le Cabinet Houdart & Associés en septembre 2020 et est avocate associée en charge du pôle Santé numérique.
Elle consacre aujourd’hui une part importante de son activité à l’accompagnement des établissements de santé publics comme privés dans leur mise en conformité à la réglementation en matière de données personnelles, dans la valorisation de leurs données notamment lors de projets d’intelligence artificielle et leur apporte son expertise juridique et technique en matière de conseils informatiques et de conseils sur des projets de recherche.