Données de santé au cabinet : ce qui distingue ces formulaires

Un cabinet de physiothérapie à Yverdon met en ligne sa feuille d’inscription. La page qui traînait jusque-là sur une planchette à la réception devient un formulaire : nom, date de naissance, adresse, caisse-maladie, médecin qui adresse la personne, motif de l’adressage, traitements en cours, opérations antérieures, et un champ pour « autre chose que nous devrions savoir ». En bas, une case pour attester la prise de connaissance.

Techniquement, c’est le même formulaire que l’inscription semestrielle d’une école de musique. Juridiquement, non. La différence ne tient pas au fait que quelque chose de sensible y arrive par accident — cela peut se produire dans n’importe quel champ libre. Elle tient au fait que les indications sensibles sont ici la raison d’être du formulaire. Une anamnèse sans données de santé a manqué son objet.

La catégorie figure dans la loi

L’art. 5 let. c de la loi fédérale sur la protection des données (LPD) énumère de manière exhaustive ce que sont les données personnelles sensibles. Le chiffre 2 cite les « données sur la santé, la sphère intime ou l’appartenance à une race ou à une ethnie ». Le contenu d’une feuille d’anamnèse n’est donc pas affaire d’interprétation : c’est un cas que la loi nomme.

Plus intéressante est la portée de cette catégorie à l’intérieur d’un cabinet. Dans son aide-mémoire sur les formulaires destinés aux patients, le Préposé fédéral à la protection des données et à la transparence (PFPDT) relève qu’en matière de santé, la seule existence d’une relation avec un ou une thérapeute permet déjà de tirer des conclusions sur l’état de santé — de manière particulièrement nette chez les spécialistes. L’exemple cité est le rendez-vous chez une oncologue. Il en déduit que les échanges purement administratifs, par exemple la prise d’un rendez-vous, sont eux aussi à qualifier de sensibles.

La séparation entre « la partie médicale » et « la partie administrative » d’un formulaire porte donc moins loin qu’elle ne le promet au premier regard.

Le consentement n’est pas le point d’accroche attendu

Parce qu’il s’agit de données sensibles, on suppose volontiers que chaque formulaire exige une déclaration de consentement. Le PFPDT décrit la situation autrement. Son aide-mémoire retient que, selon la LPD, le consentement n’est pas une condition pour que les médecins traitent les données de leurs patientes et patients : les données traitées dans le cadre d’une prestation médicale relèvent du contrat de traitement, et les professionnels de la santé sont en outre tenus par la loi à certains traitements, en particulier par les lois sanitaires cantonales — par exemple l’obligation de tenir le dossier du patient.

Selon la même présentation, le consentement devient important surtout là où des données sont communiquées : à un confrère, à une société de facturation, à un laboratoire. Et c’est là que s’applique la forme prévue à l’art. 6 al. 7 let. a LPD : pour le traitement de données personnelles sensibles, le consentement doit être exprès. L’art. 6 al. 6 LPD ajoute qu’il n’est valable que s’il est donné librement, pour un ou plusieurs traitements déterminés, après une information adéquate.

Ce que cela exclut, le PFPDT le décrit avec une précision inhabituelle. Les déclarations rédigées comme des clauses générales et les consentements en blanc sont exclus. Les clauses trop vagues prévoyant une communication globale et anticipée du dossier du patient à des tiers — autres médecins, pharmacies, laboratoires — sans lien avec un traitement déterminé sont qualifiées d’invalides. Il en va de même d’un consentement anticipé à la remise d’une éventuelle procédure de recouvrement à une entreprise tierce, et d’une clause permettant à des entreprises partenaires d’utiliser les données des patients pour développer leurs offres numériques. Pour la transmission à un ou une spécialiste, le PFPDT retient que le consentement ne devrait être recueilli que lorsque la question se pose concrètement.

Les champs que cite le PFPDT

La proportionnalité figure à l’art. 6 al. 2 LPD ; l’art. 6 al. 3 LPD ajoute que les données personnelles ne peuvent être collectées que pour une finalité déterminée et reconnaissable pour la personne concernée. Dans la relation médecin-patient, cette finalité est, selon le PFPDT, en principe le traitement thérapeutique.

L’aide-mémoire devient ici concret et nomme des champs dont la collecte systématique n’est en principe pas nécessaire : nom de jeune fille, état civil, nationalité, téléphone professionnel, profession et nom de l’employeur. La réserve qui suit immédiatement est ce qui rend la phrase utilisable : la collecte n’en est pas exclue pour autant. Si la profession peut être pertinente pour la consultation parce qu’elle est liée à l’état de santé — l’exemple de l’aide-mémoire est le mal de dos —, elle peut être demandée. C’est la collecte systématique qui est problématique ; le cas d’espèce détermine ce qui est nécessaire.

Il en découle un examen qui n’exige aucune connaissance juridique : à chaque champ correspond une phrase expliquant son lien avec le traitement. Le PFPDT le formule comme une exigence adressée au cabinet lui-même — il doit pouvoir justifier à tout moment un traitement déterminé et en expliquer la raison lorsqu’il annonce, au titre du devoir d’informer, qu’il collecte certaines données.

Dans cette logique, le champ libre n’est pas l’exception mais la norme : pour « autre chose que nous devrions savoir », le texte ouvert est le format professionnellement juste. Ce qui le distingue du champ « remarques » d’une inscription associative, c’est que personne ici n’est surpris de ce qui s’y trouve. La question se déplace donc du formulaire vers le classement : qui voit la réponse ensuite, combien de temps elle reste, et si elle peut être tenue à l’écart de l’agenda des rendez-vous.

Ce que l’ordonnance exige en matière de sécurité

L’art. 8 LPD exige du responsable du traitement et du sous-traitant une sécurité des données adaptée au risque, par des mesures techniques et organisationnelles appropriées, et laisse les exigences minimales au Conseil fédéral. Elles figurent dans l’ordonnance sur la protection des données, et elles sont plus concrètes que le renvoi ne le laisse supposer.

L’art. 1 OPDo exige de déterminer les besoins de protection des données, appréciés notamment d’après le type de données traitées. Pour des données de santé, cette première étape est déjà tranchée. L’art. 2 OPDo nomme quatre objectifs : la confidentialité (« accessibles uniquement aux personnes autorisées »), la disponibilité, l’intégrité et la traçabilité. L’art. 3 OPDo les remplit de contrôles, dont plusieurs touchent directement le quotidien d’un cabinet :

Contrôle selon l’art. 3 OPDo	Ce qu’il touche au cabinet
Contrôle de l’accès	Les personnes autorisées ne voient que les données nécessaires à leurs tâches : réception, traitement, facturation
Contrôle de l’entrée	Qui pénètre dans les locaux et installations où des données sont traitées
Contrôle du transport	La communication vers l’extérieur et le transport de supports de données
Restauration	Que les données redeviennent rapidement disponibles après un incident
Sécurité du système	Systèmes d’exploitation et applications tenus au niveau de sécurité actuel
Contrôle de la saisie	Vérifier quelles données ont été saisies ou modifiées, quand et par qui

Sur la transmission, le PFPDT est net : lorsque des données personnelles sensibles sont communiquées, la communication doit être sécurisée — dans son texte sur la communication de données de patients, il cite expressément le chiffrement comme mesure lorsque des données doivent être communiquées par courriel. Au sujet des clauses par lesquelles des patientes et patients consentent à une communication électronique non sécurisée, il écrit que cela peut être problématique ; ce n’est possible qu’après une information préalable sur les risques et avec un véritable choix, par exemple une case à cocher.

Deux autres dispositions se rattachent à l’ampleur. L’art. 4 OPDo exige de journaliser l’enregistrement, la modification, la lecture, la communication, l’effacement et la destruction lorsque des données personnelles sensibles sont traitées de manière automatisée à grande échelle et que les mesures préventives ne suffisent pas à garantir la protection des données. L’art. 5 OPDo exige un règlement de traitement en cas de traitement à grande échelle de données personnelles sensibles. Ce que signifie « à grande échelle », l’ordonnance ne le chiffre pas.

Le petit cabinet n’est dispensé que d’une obligation — et encore, sous condition

L’art. 12 al. 5 LPD charge le Conseil fédéral de prévoir des exceptions pour les entreprises de moins de 250 collaborateurs dont le traitement présente un risque limité d’atteinte à la personnalité. L’art. 24 OPDo le met en œuvre : les entreprises et autres organisations de droit privé qui emploient moins de 250 collaborateurs au 1er janvier d’une année, ainsi que les personnes physiques, sont dispensées de tenir un registre des activités de traitement — sauf si des données personnelles sensibles sont traitées à grande échelle ou si un profilage à risque élevé est effectué.

Trois points y sont précis. Premièrement, l’exception ne concerne que le registre. Le devoir d’informer, la proportionnalité, la sécurité des données, la forme du consentement et les règles de communication n’en sont pas touchés. Deuxièmement, elle est conditionnelle : elle tombe en cas de traitement à grande échelle de données sensibles. Troisièmement, elle arrive avec la même formulation non chiffrée que les art. 4 et 5 OPDo, de sorte qu’un cabinet de quatre personnes ne peut pas déduire de sa seule taille de quel côté de la ligne il se trouve.

La conservation est tout aussi ouverte. Le PFPDT écrit que, sur la base de la prescription civile en cas de lésions corporelles, on peut régulièrement partir d’un délai de conservation de 20 ans, et renvoie en même temps aux obligations de documentation des lois sanitaires cantonales. L’art. 6 al. 4 LPD exige l’inverse : les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires à la finalité du traitement. Entre ces deux pôles se trouve une question à laquelle chaque cabinet répond pour ses propres dossiers.

Le secret professionnel est un second ordre, distinct

Protection des données et secret professionnel sont souvent cités d’un même souffle, mais ils figurent dans des lois différentes et fonctionnent différemment. L’art. 321 du code pénal suisse réprime le fait, pour les membres de certaines professions, de révéler un secret à eux confié en raison de leur profession ou dont ils ont eu connaissance dans l’exercice de celle-ci. L’énumération du texte légal cite notamment les médecins, dentistes, chiropraticiens, pharmaciens, sages-femmes, psychologues, personnel infirmier, physiothérapeutes, ergothérapeutes, diététiciens, optométristes et ostéopathes — « ainsi que leurs auxiliaires ».

Au quotidien, ce dernier ajout est la partie la plus importante de la phrase. Il place la personne à la réception, l’assistante de cabinet et le remplaçant du samedi dans le même cercle que la personne qui soigne. La loi retient en outre que la violation reste punissable après la fin de l’exercice de la profession, et que n’est pas punissable celui qui révèle le secret avec le consentement de l’ayant droit ou avec l’autorisation écrite de l’autorité supérieure ou de surveillance ; les droits d’annoncer et de collaborer, l’obligation de témoigner et celle de renseigner une autorité demeurent réservés.

Deux questions se tiennent ainsi côte à côte sans être la même : celle, de protection des données, de savoir qui peut traiter quelles données, et celle, de droit pénal, de savoir qui peut révéler un secret confié. Une réponse à l’une n’est pas une réponse à l’autre.

Ce qui, de tout cela, tient au formulaire

Vu ainsi, un formulaire de cabinet est une suite de décisions qui se laissent décrire : quels champs existent et pourquoi, ce qui relève de l’information et ce qui relève du consentement, qui voit les réponses à la réception et en salle de soins, par quel chemin quelque chose sort du cabinet, et combien de temps cela reste. Selon l’aide-mémoire, le PFPDT attend que les formulaires soient épurés là où ils vont au-delà de ce qu’exige la relation thérapeutique — et sa liste offre un début que l’on peut traiter au crayon sur une feuille d’inscription imprimée.

L’application de formulaires en ligne que nous développons intervient là où l’ordonnance parle de confidentialité et de contrôle du transport : les réponses sont chiffrées dans le navigateur de la personne qui répond, et l’exploitation comme le stockage se feront en Suisse. Quels champs comporte une anamnèse et qui, au cabinet, peut la lire, reste la décision du cabinet — un logiciel n’y change rien.