Le Réseau Santé Wallon (RSW) fait face à une affaire inédite, donnant à penser qu’un médecin spécialiste exerçant dans un hôpital a consulté abusivement une série de documents publiés sur le Réseau.

Début 2019, le Réseau Santé Wallon a été interpellé par un patient. Celui-ci déplorait qu’un médecin avec lequel il n’avait plus aucun contact depuis plus d’un an et demi ait dernièrement recréé un lien thérapeutique entre eux. La manœuvre a permis à ce médecin de visualiser de multiples documents du patient disponibles sur le Réseau Santé Wallon.

Appelons ces deux protagonistes le patient X et le docteur Y, et précisons qu’ils sont en litige, devant les tribunaux, pour erreur médicale (présumée).

Des réactions adéquates de l’usager

Le Réseau Santé Wallon constate lundi dans un communiqué que "les mécanismes qu’il a mis en place de longue date pour assurer aux patients le contrôle de leurs données personnelles et que le patient X a activés, ont fonctionné correctement."

En effet, en se connectant à son espace privé sur le Réseau Santé Wallon, le patient X a directement pu voir que le docteur Y avait créé un nouveau lien thérapeutique avec lui (en milieu hospitalier, un lien thérapeutique s’éteint trois mois après la fin des relations patient/professionnel) ; - grâce à la traçabilité garantie par le RSW, le patient X a pu se rendre compte que le docteur Y avait consulté de très nombreux documents, ce qu’il a donc considéré comme autant d’accès illégitimes ; - le patient X a dès lors fait usage de sa possibilité de couper le lien thérapeutique recréé à son insu. En outre, il a procédé à l’exclusion du docteur Y (c’est-à-dire qu’il lui a bloqué tout accès potentiel ultérieur).

Le patient X a, à juste titre, contacté le médiateur du Réseau Santé Wallon pour lui faire part de ce qu’il avait remarqué. Le RSW lui a fourni un relevé détaillé de ce que le docteur Y avait consulté.

Obligations remplies

Par ailleurs, le Réseau Santé Wallon s’est acquitté des obligations qui lui incombent aux termes du RGPD.

D’après ce Règlement européen, dans le cadre des échanges électroniques de données de santé, le Réseau Santé Wallon agit en qualité de sous-traitant des institutions et des professionnels de soins. Ce sont les hôpitaux et les prestataires qui alimentent ou qui consultent les données échangées électroniquement qui, juridiquement, sont les responsables du traitement de ces données.

Dans l’affaire qui occupe le RSW, le responsable de traitement est donc l’hôpital où exerce le docteur Y.

En sa qualité de sous-traitant, le Réseau Santé Wallon a signalé à l’établissement concerné les faits constatés. Et il l’a fait « rapidement », ainsi que le réclame le RGPD.

Le Réseau Santé Wallon n’est pas supposé alerter l’Autorité de protection des données (l’instance ayant succédé à la Commission de protection de la vie privée) d’une possible violation de données à caractère personnel puisqu’il n’est pas le responsable du traitement. Ce n’est pas non plus à lui qu’il appartient « d’enquêter » et de se prononcer sur le caractère légitime ou illégitime de la création d’un nouveau lien thérapeutique par l’un des collaborateurs de l’hôpital.

En dehors des hôpitaux (dans un cabinet de médecine générale, par exemple), la création d’un lien thérapeutique par un prestataire individuel requiert la lecture de la carte d’identité électronique (eID) du patient.

Les règles en hôpital sont différentes : celui-ci doit préalablement vérifier l’identité du patient via le Registre National ou la plateforme CareNet. Il peut ensuite créer des liens thérapeutiques individuels avec les membres de l’équipe soignante du patient sans utiliser la carte d’identité électronique de celui-ci. Cette procédure est définie dans une politique interne à l’hôpital, sous sa responsabilité.

En autorisant ces deux modes de fonctionnement pour créer un lien thérapeutique, le Réseau Santé Wallon ne fait que respecter les délibérations de la chambre Sécurité sociale et Santé du Comité de sécurité de l’information. 

Actions envisagées

Que ce ne soit pas sous sa responsabilité, mais bien sous celle de l’hôpital, que se créent les liens thérapeutiques, ne change rien à l’attention que le Réseau Santé Wallon porte à cette affaire.

Son côté inédit et son importance ont justifié une réunion exceptionnelle du comité de surveillance du Réseau, où siègent notamment des spécialistes en protection des données et en déontologie médicale (*).

Le Réseau Santé Wallon va examiner les suites juridiques à éventuellement apporter au dossier. Il tient à éviter une érosion, par amalgame, de la confiance que placent en lui ses usagers de plus en plus nombreux.

Diverses actions à entreprendre ont été listées, sur recommandation du comité de surveillance. Il s’agit notamment de rédiger une procédure spécifique pour la gestion de ce type d’incident, incluant le signalement des faits à l’hôpital où exerce un professionnel ayant abusivement consulté des dossiers.

Le RSW projette également de produire des FAQ et des documents explicatifs de divers formats à destination des patients. Leur point commun sera de rappeler aux usagers les possibilités qu’ils ont - déjà à l’heure actuelle - de gérer finement les droits d’accès à leurs données. Ce filtrage des accès s’effectue à partir de leur espace privé, sur le portail du Réseau.

Le RSW a décidé d’examiner comment mettre en œuvre une détection précoce des comportements déviants, éventuellement assortie d’un mécanisme d’alerte du patient concerné voire de signalement des constats à l’Ordre des médecins. Ses experts vont également analyser la pertinence d’un processus d’exclusion temporaire ou définitive des utilisateurs se rendant coupables de consultations illégitimes de données personnelles.

(*) on y retrouve la Commission Fédérale "Droits du patient", la Ligue des Usagers des Services de Santé, le Conseil National de l'Ordre des Médecins, l’Académie royale de Médecine, la Société scientifique de Médecine générale, l’Association francophone des Médecins-Chefs, et les Facultés de Droit et d’Informatique de l’UNamur.

Ouais .... bon. Alors laissons le patient rediger sa propre note de consult, qu’il porte son dossier électronique dans sa poche et qu’on ne partage plus rien. Donc l’outil de travail c’est le dossier et les mille restrictions qui vont avec. Que X ou Y ait raison, je râle !

— Gilbert Bejjani (@drbejj) 8 avril 2019