Quelle compatibilité entre le RGPD et le respect du secret médical ?

Secret médical et législation de santé

Le secret médical, déclinaison du secret professionnel, constitue un droit fondamental. Encadré par les Codes de Déontologie médicale, et de la Santé publique, il constitue un devoir, et concerne « toute information venue à la connaissance du médecin dans l’exercice de sa profession (confiée, vue, entendue, comprise) ».

Afin de garantir la confidentialité des informations médicales, leur transmission entre professionnels et leur conservation par voie informatique sont également soumises à des règles définies par décret, avec avis de la CNIL.

Très peu de cas dérogent au caractère général et absolu du secret médical : en cas de diagnostic ou pronostic grave et sans opposition du patient ; en situation de partage du secret médical : la notion de secret médical partagé est décrite dans le Code de la Santé publique. Les professionnels de santé ainsi que certains paramédicaux peuvent échanger et partager des informations sans nécessité de recueillir le consentement préalable du patient.

Certaines données nominatives présentent toutefois l’obligation d’être transmises.

RGPD vs Lois de Santé vs Secret Médical

Le recueil des données :

La CNIL s’assure de la nécessité du recueil des données, selon la finalité déclarée (évaluation / analyse des pratiques ou activités de soins / prévention).

Une dérogation à l’obligation de consentement préalable existe, si le traitement poursuit l’une des finalités suivantes :

• Gestion des systèmes et services de santé ou de la protection sociale ;
• Préservation de la santé publique ;
• Appréciation médicale (soins, diagnostics, médecine préventive) ;
• Préservation des intérêts vitaux d’une personne en incapacité de donner son consentement. Seules l’urgence absolue ou l’impossibilité dispensent les professionnels d’informer ou demander préalablement son consentement au patient.

Le traitement des données :

Les données de santé bénéficient d’une interdiction générale de traitement.

L’intégration du RGPD à la Loi Informatique et Libertés, avec une promulgation en date du 21 juin 2018 indique que « le secret médical ne peut plus […] être opposé [lors d’une enquête de la CNIL], sauf concernant les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, par le secret des sources des traitements journalistiques ou, sous réserve du deuxième alinéa [de l’article 5 de la loi Informatique et Libertés modifiée], par le secret médical. [Ce dernier] est opposable s’agissant des informations qui figurent dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de service de santé. La communication des données médicales individuelles incluses dans cette catégorie de traitement ne peut alors se faire que sous l’autorité et en présence d’un médecin. »

La CNIL devant être consultée pour toute opération de traitement, l’enjeu de la mise en conformité est l’adoption d’une méthodologie permettant une identification appropriée de la finalité de la donnée recueillie, de sa durée de conservation, afin d’y adapter le niveau de protection ; une analyse de l’impact du traitement doit donc être réalisée.

Les personnes accédant aux données lors du traitement sont soumises au secret professionnel, les données ne pouvant être publiées, communiquées ou diffusées qu’après en avoir rendu impossible toute identification.

La transmission des données :

Certaines données nominatives ont l’obligation d’être transmises à l’Institut de Veille Sanitaire et sociale (InVS) (maladies à déclaration obligatoire).

La conservation des données :

La conservation du dossier médical du patient est encadrée par le Code de la Santé publique, sans indication d’un délai légal. Le délai courant de 20 ans devrait toutefois primer sur toute demande d’effacement de données par le patient, car la conservation du dossier patient permet de :

• Assurer la continuité des soins ;
• Satisfaire à la demande d’accès au dossier du patient ou de ses ayants droit, sans limitation dans le temps ;
• Permettre la recherche de preuves, en cas de recherche en responsabilité.

Dans le cas du Dossier Médical Partagé (DMP), chacun est en mesure d’accéder au contenu de son dossier pour

• Connaître les professionnels ayant (eu) accès à son dossier, pouvant en modifier la liste ;
• Prendre connaissance des traces d’accès à son dossier ;
• Choisir de rendre certaines informations inaccessibles.

Il peut être fermé à tout moment, mais est toutefois conservé 10 ans après fermeture avant sa suppression. La primeur du Code de la Santé publique sur une demande de suppression par un patient suit la même logique que pour le dossier patient classique.

Les données transmises à l’InVS ne doivent par ailleurs pas être conservées au-delà du temps nécessaire à l’investigation et à l’intervention.

Les médecins ont également leur part de responsabilité au regard du RGPD, et doivent être en mesure d’en démontrer son respect. Ils doivent tenir à jour un document de type “registre”, dont un exemple est mis en ligne par la CNIL, et être en mesure de faire face à une fuite ou destruction de données. Des rappels des bonnes pratiques sont donc parfois utiles, voire nécessaires.

Pour aider les médecins à cerner le périmètre de données concernées ainsi que les méthodes à mettre en place pour respecter le RGPD, la CNIL leur propose quelques éléments de réflexion.

Pour chaque traitement de données personnelles, posez-vous les questions suivantes :

Qu’en est-il des données provenant des objets connectés ?

Pour identifier et caractériser les données de santé, il est nécessaire de prêter attention à :

• La nature des données ; sont-elles relatives à la santé d’une personne identifiée ou identifiable ?
• Leur usage et leur finalité ; seront-elles utilisées à des fins médicales ?

En effet, certaines ne peuvent individuellement être considérées comme sensibles, mais, croisées avec d’autres données, elles peuvent alors permettre de déduire l’état de santé d’une personne, d’où leur qualification de données de santé. Par exemple, le recueil et le croisement du nombre de pas journaliers d’un individu, avec son âge, son sexe et ses habitudes alimentaires, peut conduire à déduire l’état global de santé d’une personne. Les données seront alors qualifiées de données de santé.

Avec les développements de l’IoT, chacun peut aujourd’hui mesurer sa consommation calorique, son activité physique, son rythme cardiaque, etc., en rapport avec des caractéristiques physiques (taille, poids etc.) liées à un compte utilisateur potentiellement utilisé pour d’autres objets connectés. Des données ainsi indépendamment collectées deviennent pourtant des données de santé, sans prise de conscience ni avertissement de l’utilisateur.

Si de telles données ainsi collectées sont utilisées à des fins médicales, elles seront alors considérées comme des données de santé, et seront donc à la fois soumises au RGPD et encadrées par les lois de santé, en ce qui concerne les traitements autorisés et les modalités de conservation. En cas de recueil dans un cadre sortant du cadre médical « traditionnel » (hospitalier, prescrit sur ordonnance, etc.), les données concernées ne seront toutefois pas soumises au secret médical et devront respecter le seul RGPD.

En conclusion, les données de santé sont aujourd’hui nombreuses, très diverses, et pas toujours facilement identifiables. L’entrée en vigueur du RGPD ne supplante ni les textes encadrant jusqu’ici leur utilisation, ni le principe fondamental du secret médical, mais il en précise notamment les modalités de recueil, de durée de conservation et d’utilisation. Les modalités du recours au secret médical et de son utilisation comme protection lors de recherches de responsabilité sont également strictement décrites. La gestion des données de santé dans son exhaustivité est donc nettement plus encadrée et donc pénalisable, et doit conjuguer textes de lois Santé, respect du secret médical et RGPD au mieux et dans l’intérêt du patient à court, moyen et long termes.