Données patient – communication

Les dossiers médicaux
et paramédicaux contiennent de nombreuses données sensibles. La communication
de ces données est donc soumise à plusieurs règles, en particulier au secret
professionnel.

La relation patient-thérapeute (médecin, ostéopathe, physiothérapeute, etc.) est un enjeu important de la protection des données. Les données concernées relèvent de la santé et, bien souvent, aussi de la sphère intime du patient ou de la patiente. Il s’agit donc de données sensibles au sens de l’art. 5 let. c ch. 2 de la loi sur la protection des données (LPD). En parallèle, l’exercice de ces professions de la santé génère une communication et un échange d’informations toujours plus important entre le ou la thérapeute et le patient, mais aussi avec des tiers, tels les laboratoires, informaticiens, services d’encaissement ou d’autres professionnels de la santé. Ces échanges sont soumis à plusieurs règles. Ci-dessous sont exposées quelques-unes des problématiques les plus fréquentes.

Les professions – notamment de santé – énoncées à l’art. 321 du code pénal (CP) sont soumises au secret professionnel. Cela implique que le thérapeute n’a pas le droit de communiquer les informations obtenues dans le cadre de sa profession sans le consentement du patient. A certaines conditions, une communication sans consentement peut intervenir sur la base d’une autorisation de l’autorité supérieure ou de l’autorité de surveillance (art. 321 ch. 2 CP), ou à des fins de recherches (art. 321bis CP).

Forme du consentement à la levée du secret médical :

Le consentement peut d’abord être exprès : le patient dit qu’il est d’accord avec la communication envisagée ou signe un document en ce sens.
Le consentement peut aussi être tacite : le thérapeute informe le patient qu’il enverra son dossier à tel spécialiste et le patient ne s’y oppose pas.
Le consentement peut enfin intervenir par acte concluant, ce qui joue un rôle important en pratique. Aujourd’hui, il est souvent normal que le médecin, par exemple, communique des informations sur le patient à plus ou moins de personnes. Dans le cadre d’un traitement hospitalier, les informations seront – à tout le moins partiellement – partagées entre les personnes de l’équipe de soin et avec le personnel administratif. Le simple fait que le patient se rende à l’hôpital – l’acte concluant – implique qu’il est d’accord avec ça. Le consentement par acte concluant couvre donc toutes les communications auxquelles le « patient moyen » peut raisonnablement s’attendre, eu égard à la situation.

Autre exemple de consentement par acte concluant : l’envoi de prélèvement fait par le médecin à un laboratoire pour analyse. En acceptant le prélèvement, le patient doit s’attendre à ce que l’échantillon soit ensuite envoyé en laboratoire.

En revanche, le fait pour le thérapeute de recourir à un tiers pour la facturation (caisse des médecins, SwisscomHealth, etc.) ne paraît a priori pas couvert par le consentement par acte concluant. Même si la pratique devient assez courante, l’on ne peut pas (encore) considérer que le patient peut s’y attendre nécessairement et que, par conséquent, il y consent par acte concluant en se rendant chez son médecin. Aussi, le thérapeute devrait en principe demander au patient son consentement exprès.

La question du consentement se pose également de plus en plus en lien avec l’utilisation par le thérapeute d’un service cloud. Par prudence, le consentement du patient devrait être demandé. Le recours à un prestataire cloud à l’étranger est en revanche à éviter dans tous les cas : le droit étranger n’offre en effet pas toujours une protection équivalente à l’art. 321 CP.

Tout consentement, quelle qu’en soit la forme, nécessite une information suffisante et compréhensible, pour que le patient puisse se positionner en connaissance de cause.

Personnes concernées par le secret médical :

Outre les thérapeutes cités à l’art. 321 CP, leurs auxiliaires sont aussi soumis au secret professionnel. Par auxiliaire, il faut entendre les personnes qui permettent au thérapeute de faire son travail. Exemples : le secrétariat du cabinet, assistant médical, le prestataire informatique, le laboratoire d’analyse, etc.
Le secret médical prévaut aussi entre personnes soumises au secret : un médecin n’a pas le droit de communiquer des informations sur son patient à un confrère du simple fait que celui-ci est aussi soumis au secret. Cela est aussi valable lorsque plusieurs thérapeutes partagent le même cabinet. Le système de gestion des patients doit être ainsi fait que les différents thérapeutes n’aient accès chacun qu’aux données de leurs propres patients.

Loi sur la protection des données :

à côté du secret médical, le traitement de données par le thérapeute est aussi soumis aux règles et principes de la loi sur la protection des données (LPD), lesquels ont de nombreuses implications, telles que :

Le principe de proportionnalité, lequel impose au thérapeute de ne communiquer, en toutes circonstances et y compris en regard de ses auxiliaires, que les données nécessaires pour que le destinataire puisse accomplir sa tâche.
Le thérapeute a aussi pour obligation d’assurer la sécurité des données, y compris lors de leur communication. Aussi, si le thérapeute souhaite communiquer par email, la communication doit être sécurisée par des mesures telles que le chiffrement. Il ne peut y être renoncé que si le patient y a consenti, après avoir été pleinement informé des risques (interception de l’email par un tiers, piratage de la boîte email, envoi à une mauvaise adresse, etc.).
Rappelons encore que les professions de santé non visées par l’art. 321 CP (naturopathes, acupuncteurs, etc.) sont néanmoins soumises au devoir de discrétion de l’art. 62 LPD. Les notions d’auxiliaires et de secret correspondent à celles de l’art. 321 CP.