Le patient n’est pas propriétaire de son dossier, mais peut y accéder
L’article L.1111-7 du code de la santé publique prévoit que "Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé, […] qui sont formalisées ou ont fait l'objet d'échanges écrits entre professionnels de santé, notamment des résultats d'examen, comptes rendus de consultation, d'intervention, d'exploration ou d'hospitalisation, des protocoles et prescriptions thérapeutiques mis en œuvre, feuilles de surveillance, correspondances entre professionnels de santé".
Doit-on en déduire que le patient est propriétaire de son dossier médical et qu’il peut en disposer librement ?
La réponse est négative. Le patient est titulaire d’un droit d’accès à son dossier médical mais n’en est pas véritablement propriétaire, au point d’en disposer totalement comme il l’entend. Ainsi, le patient ne peut, par exemple, céder son dossier médical.
Quelques rappels sur ce qu’est le RGPD
Il s’agit du règlement général sur la protection des données. Ce dispositif, applicable aux entités privées comme publiques, vise à encadrer la récolte, le traitement et le stockage des données dites personnelles.
Selon la CNIL, une donnée personnelle est "toute information se rapportant à une personne physique identifiée ou identifiable".
Ainsi, une personne peut être identifiée directement, par exemple par son nom ou prénom, ou indirectement par la combinaison de plusieurs informations (coordonnées, numéro de sécurité sociale ou autre).
Le droit à l’effacement prévu par le RGPD
Le règlement prévoit la possibilité de solliciter l’effacement d’une donnée dès lors que l’une des situations visées ci-dessous est acquise :
- Les données sont utilisées à des fins de prospection.
- Les données ne sont pas ou plus nécessaires au regard des objectifs pour lesquels elles ont été initialement collectées ou traitées.
- Le consentement à l’utilisation des données a été retiré.
- Les données font l’objet d’un traitement illicite (par exemple, publication de données piratées).
- Les données ont été collectées lorsque l’intéressé était mineur dans le cadre de la société de l’information (blog, forum, réseau social, site web…).
- Les données doivent être effacées pour respecter une obligation légale.
- Il existe une opposition au traitement de ses données et le responsable du fichier n’a pas de motif légitime ou impérieux de ne pas donner suite à cette demande.
Il est donc possible de solliciter auprès de tout organisme la suppression de données personnelles via divers canaux de communication (courrier, mail, formulaire contact dédié ou autre).
Il conviendra en revanche de préciser les données dont la suppression est attendue.
Mais alors, une demande de suppression du dossier médical au titre du RGPD est-elle recevable ?
Le cadre RGPD des données de santé
Le RGPD prévoit de manière générale l'interdiction du traitement de données concernant la santé d'une personne physique.
Toutefois, il prévoit également que cette règle ne s'applique pas dans le cadre d'un traitement de données nécessaire à l'établissement d'un diagnostic médical.
La collecte et le traitement des données personnelles sont licites à la condition qu'ils soient réalisés par un professionnel de santé soumis à une obligation de secret professionnel.
À noter qu'une demande de rectification ou d'effacement des données de santé ne peut être satisfaite que si ces données sont :
- inexactes,
- incomplètes,
- équivoques,
- périmées,
- si leur collecte, leur utilisation, leur communication ou leur conservation n'est pas autorisée.
La demande d'effacement est abordée à l'article 17 du RGPD.
L’obligation de conserver le dossier médical
En l'occurrence, le RGPD est également à lire sous le prisme de l'article R.4127-45 du code de la santé publique qui fait obligation aux professionnels de santé de constituer un dossier médical pour chaque patient.
Le patient ne peut demander l'effacement des données de santé qui figurent dans son dossier médical dans la mesure où la tenue du dossier est une obligation légale qui ne pourrait être respectée si le soignant pouvait se voir contraint de supprimer les données à la demande du patient.
Le dossier médical est également nécessaire à la défense du professionnel de santé qui verrait sa responsabilité engagée par un patient.
Durées de conservation et archivage
Ainsi, les données doivent être conservées par le professionnel durant le laps de temps strictement nécessaire à leur usage. Ce délai se cale sur celui de la prescription de l’action en responsabilité qui est de 10 ans à compter de la consolidation des dommages.
La consolidation pouvant intervenir des mois, voire des années après la fin de la prise en charge, il est donc préconisé de conserver les données pendant :
- 30 ans pour le praticien libéral, voire 48 ans pour un patient mineur.
- 20 ans pour les établissements (article R 1112-7 du Code de la santé publique).
Si le patient n’est plus activement suivi par le praticien, ce dernier peut se rapprocher de l’éditeur de son logiciel de gestion des dossiers patients afin que les pièces médicales et données administratives soient placées en base archive.
De cette façon, les données personnelles pourront être conservées dans les limites de temps énoncées ci-dessus mais ne seront accessibles que de façon restreinte et limitée.
.png)
