Vous apprenez de manière incidente et fortuite que les jeunes médecins qui ont repris le cabinet de votre vieil et docte ami le Dr Hippocrate ont décidé de numériser tous les dossiers médicaux et de les stocker dans les nuages (cloud computing), de manière, notamment, à permettre leur accessibilité en tout temps et en tout lieu. Rétif à tout ce qui concerne l’informatique, vous vous interrogez sur le modus operandi choisi, respectivement sur la légalité du procédé adopté. En particulier vous vous étonnez du fait de n’avoir jamais été consulté, alors que ce sont vos données de santé qui sont ainsi numérisées, puis stockées dans un cloud. Finalement, vous vous interrogez sur la meilleure manière d’agir en ces circonstances.
Les données relatives à la santé sont logiquement considérées comme des données sensibles, nécessitant une protection particulière. Différentes normes sur la plan fédéral et cantonal tendent à assurer que leur traitement interviendra dans des conditions de sécurité optimales. Le Préposé fédéral a émis de nombreuses recommandations relativement à la protection des données au cabinet médical.
La numérisation des dossiers médicaux nécessite plusieurs mesures organisationnelles et préventives, dont l’implémentation d’un firewall, le recours à des logiciels de sécurité (cryptage notamment) ou encore la formation permanente du personnel. Mieux vaut donc recourir à des professionnels aguerris que de tenter de s’improviser spécialiste en sécurité des systèmes d’information. À défaut et en cas de problème, vos carences en cette matière pourraient être retenues à votre encontre.
En matière d’informatique dans les nuages (cloud computing), le consentement explicite et préalable de chaque patient est absolument nécessaire et ce quel que soit le lieu où les données sont effectivement stockées. En effet, un patient est en droit de s’opposer en tout temps à un traitement informatique de ses données et d’opter pour le papier. Le consentement doit être obtenu par écrit pour des motifs de preuve. Il convient également de préciser qu’avant de recueillir le consentement du patient, le médecin doit encore l’informer des risques éventuels liés au stockage de ses données personnelles dans les nuages.
Une fois nanti de cet accord, vous devrez vous assurer que toutes les données sont exclusivement stockées en Suisse aux fins de respecter le secret médical. Le respect de ce secret ne peut être garanti par des fournisseurs de service cloud étrangers.
Dans le cas d’espèce, vous pouvez donc signifier à votre nouveau médecin traitant votre désaccord et il devra conserver votre dossier au format papier.
Our advice:
Voici quelques ressources complémentaires qui pourraient s’avérer utiles si vous êtes un professionnel de la santé:
- Un article consacré au Big Data et à la protection des données dans le domaine de la santé (Sébastien Fanti, Big Data & Protection des données dans le domaine de la santé, in: Dominique Sprumont (éditeur), Nouvelles technologies et santé publique, 22ème journée de droit de la santé, Editions Weblaw, Berne 2016, p. 55 à 115), article qui aborde notamment les thématiques du droit à l’oubli, des objets connectés, du dossier électronique du patient, etc.;
- Un article consacré à la protection des données informatiques (Sébastien Fanti, La protection des données informatiques, in : Jean-Philippe Dunand / Pascal Mahon (éditeurs), La protection des données dans les relations de travail, Zurich 2017, p. 230 à 266);
- Le guide du Préposé fédéral à la protection des données et à la transparence intitulé “Guide relatif au traitement des données personnelles dans le domaine médical“, Traitement des données personnelles par des personnes privées et des organes fédéraux, juillet 2002;
- Une brochure élaborée par PRIVATIM, soit l’association réunissant les préposé(e)s suisses à la protection des données, brochure intitulée: “Votre dossier médical, vos droits“;
- Le guide du Préposé genevois à la protection des données et à la transparence intitulé “Secret médical et protection des données, fondements juridiques et aspects pratiques“, Genève octobre 2015;
- Un article consacré aux informations extrêmement sensibles et intimes reçues quotidiennement par les médecins, article paru dans le Bulletin des médecins suisse: Liliane Mollet, RGPD, cyber at autres- points importants pour les médecins, in: Bulletin des médecins suisses 2018;99(45):1566-1569;
- Le guide publié conjointement par l’autorité française de protection des données (la Commission Nationale Informatique & Libertés, CNIL) et l’Ordre National des Médecins: Guide pratique sur la protection des données personnelles, juin 2018.
N’hésitez pas à nous contacter pour toute question relative à cette thématique.
Me Sébastien est co-directeur (avec le Professeur Dominique Sprumont et Me Sylvain Poitras) du CAS Recherche, Innovation et protection des données, dispensé par l’Institut de droit de la santé de l’Université de Neuchâtel; il est en charge de l’enseignement consacré à la protection des données médicales à l’aune du droit droit suisse et européen;
Me Alexandre Staeger, dispense un enseignement spécialisé durant ce CAS (dossier électronique du patient).