Confidentialité, protection des données de santé et secret professionnel : RGPD et cadre national
Ce domaine combine trois couches : le secret professionnel (sanction pénale), le régime des données de santé (RGPD et loi Informatique et Libertés) et les règles d'accès au dossier médical. Les questions piègent souvent sur la base légale et sur les personnes autorisées.
Secret professionnel
La révélation d'une information à caractère secret est punie par l'article 226-13 du Code pénal. Le secret couvre le fait même que la personne soit suivie, le motif, les examens et les comptes rendus. Le secret partagé (article L1110-4 du Code de la santé publique) permet les échanges strictement nécessaires entre professionnels participant à la prise en charge d'un même patient : il ne s'étend ni à la famille, ni à l'employeur, ni à l'entourage administratif. Des dérogations légales existent (déclarations obligatoires, signalements prévus par la loi) et s'appliquent selon la procédure prévue, pas par initiative individuelle.
Données de santé et RGPD
Les données de santé sont une catégorie particulière (article 9 du RGPD) : leur traitement est interdit sauf exception, notamment la nécessité des soins, l'obligation légale ou, plus rarement, le consentement. Principes à appliquer : finalité déterminée, minimisation, exactitude, limitation de la conservation, intégrité et confidentialité, responsabilité du responsable de traitement. En santé, le consentement n'est donc pas la base légale automatique : l'information de la personne et le respect de ses droits le sont.
Droits des personnes et obligations de l'organisation
Droit d'accès, de rectification, de limitation, d'opposition dans les cas prévus. Le patient accède à son dossier selon la procédure réglementaire, directement ou par un médecin désigné, avec des délais encadrés ; pour un mineur, l'accès passe par les titulaires de l'autorité parentale. Côté organisation : registre des traitements, information des personnes, contrats avec les sous-traitants, hébergement chez un hébergeur certifié données de santé, analyse d'impact pour les traitements à grande échelle, désignation d'un délégué à la protection des données lorsqu'elle est requise. Une violation de données se notifie à la CNIL dans les 72 heures et, en cas de risque élevé, aux personnes concernées.
Exemple travaillé
Un employeur appelle : « Madame X est-elle en arrêt, et pour quoi ? » Raisonnement : on ne confirme pas que la personne est patiente, on ne donne ni la date ni le motif. On peut seulement indiquer la procédure de demande de congé ou renvoyer vers le salarié lui-même. L'appel est tracé ; aucune information n'est laissée sur un répondeur ou un messager vocal.
Pièges à éviter
Envoyer un compte rendu par messagerie ordinaire, laisser un message vocal nominatif, croire que le secret partagé autorise à tout dire à la famille, confondre anonymisation et pseudonymisation, conserver indéfiniment des documents « au cas où ».