Dans un arrêt du 26 octobre 2023, la CJUE a jugé qu’un médecin doit fournir gratuitement au patient une première copie intégrale de son dossier médical, peu importe l’objectif sous-jacent de la demande.
Un patient suspectait son dentiste d’avoir commis des erreurs dans ses soins dentaires. Il demandait la communication à titre gratuit de son dossier médical, dans l’objectif affiché d’assigner le dentiste en justice.
Le professionnel de santé avait répondu favorablement à la demande de son patient à condition que ce dernier supporte les frais engendrés par la fourniture de l’ensemble du dossier.
La juridiction allemande, saisie par le patient, a posé à la Cour de Justice de l’Union européenne (la « CJUE ») plusieurs questions préjudicielles afin de préciser les modalités de l’exercice du droit d’accès aux données personnelles figurant dans un dossier médical.
Une personne concernée a le droit d’obtenir une première copie de ses données, quel que soit l’objectif de sa demande
Le RGPD[1] prévoit que toute personne concernée bénéficie d’un droit d’accès à ses données personnelles. Elle peut exercer ce droit afin de prendre connaissance du traitement et d’en vérifier sa licéité[2].
En vertu de ce droit, le responsable de traitement est tenu de remettre à la personne concernée une copie de ses données personnelles[3]. Il peut à titre exceptionnel refuser d’y donner suite en cas de demande manifestement infondée ou excessive.
En l’espèce, les juridictions allemandes demandaient à la CJUE si un responsable de traitement était tenu de donner suite à la demande de la personne concernée alors que cette demande n’était non pas faite dans l’objectif de vérifier la licéité du traitement, mais dans celui de constituer une preuve dans la perspective d’un litige futur.
Sur ce point, la Cour a, dans un premier temps, précisé que la personne concernée n’était nullement tenue de motiver sa demande.
Dans un second temps, la Cour a affirmé qu’un responsable de traitement était tenu de communiquer la copie des données demandées par la personne concernée quand bien même l’objectif de cette dernière ne serait pas de vérifier le respect des principes du RGPD.
L’interprétation de la CJUE s’inscrit dans la lignée des lignes directrices du Comité Européen de la Protection des Données (« CEPD ») qui avait déjà eu l’occasion de préciser que n’était pas considérée comme excessive la demande d’accès formulée par la personne concernée dans l’intention d’utiliser les données pour introduire une action contre le responsable de traitement[4].
Cette décision s’inscrit dans la pratique croissante de « détournement » du droit d’accès à des fins de preuves, notamment dans le cadre de litiges en droit du travail.
Dans de telles circonstances, les responsables de traitement ont tout intérêt à déterminer des durées de conservation fixes et à supprimer les données traitées une fois le terme échu afin de limiter les données qu’ils pourraient être amenés à communiquer.
La personne concernée a le droit d’obtenir gratuitement l’intégralité de son dossier médical
Deux autres questions étaient posées à la CJUE, la première concernait le paiement d’une contrepartie financière par la personne concernée. La seconde portait sur la nature des données à communiquer.
Sur le premier point, la CJUE a rappelé que la fourniture d’une première copie des données devait être réalisée à titre gratuit, peu importe les dispositions du droit national prévoyant l’inverse.
Ce n’est que lorsque la demande est excessive et répétitive que le responsable de traitement peut demander le paiement de frais raisonnables à la personne concernée.
S’agissant enfin de la nature des données à communiquer, la CJUE devait déterminer si le droit d’accès aux données personnelles figurant dans un dossier médical impliquait l’obtention d’une copie intégrale du dossier, ou seulement d’une copie des données personnelles y figurant.
Le RGPD prévoit à ce sujet que le droit d’accès des personnes concernées à leurs données de santé inclut « les données de leurs dossiers médicaux contenant des informations telles que des diagnostics, des résultats d’examens, des avis de médecins traitants et tout traitement ou intervention administrés »[5].
La Cour a relevé qu’en raison de la nature particulière des données de santé, il est important que les données communiquées soient complètes et précises, mais également facilement compréhensibles par le patient.
Par conséquent, dans le cadre d’une relation médecin/patient, le droit d’accès aux données personnelles figurant dans un dossier médical implique la communication au patient de la reproduction intégrale, fidèle et intelligible de l’ensemble du dossier.
Lire l’arrêt de la CJUE du 26 octobre 2023, affaire C-307/22
[1] Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (Règlement général sur la protection des données ou RGPD).
[2] Considérant 63 du RGPD.
[3] Article 15, 3. du RGPD.
[4] CEPD, lignes directrices sur le droit d’accès n°01/2022 adoptées le 28 mars 2023, point 189.
[5] Considérant 63 du RGPD.
