Notes personnelles sur les patients : "Un médecin ne doit saisir que ce qui est utile, proportionné et pertinent", recommande l'Ordre

Egora.fr : Qu'est-ce qui est imposé aux médecins en cabinet en termes de protection des données et du secret médical ? Y a-t-il une obligation de moyens ? 

Dr Jean Canarelli : Oui, le médecin a une obligation de moyens et doit tout mettre en œuvre pour qu'on n'accède pas aux données médicales. Le secret médical est applicable complètement, donc il doit protéger les données des patients. Aujourd'hui, on a des services avec des éditeurs qui gèrent cette problématique. Si le médecin décide de ne pas protéger son logiciel ni son accès, il en est responsable. 

Les éditeurs ont l'habitude de gérer les données liées au secret médical. Mais dans la dernière affaire concernant Cegedim, ce sont des données intimes mais non médicales qui ont fuité. Qu'en est-il de la protection de ces données, en particulier des notes personnelles des médecins relatives à la vie affective, sexuelle, religieuse de leurs patients ou encore évoquant des suspicions de diagnostics non confirmés… Bénéficient-elles de la même protection juridique ?

Toutes les données du dossier sont, par essence, médicales. Si vous allez voir un cancérologue et qu'il ouvre un dossier, même s'il ne s'agit que des nom, prénom, date de naissance, numéro de téléphone, numéro de sécurité sociale, ce sont déjà des éléments qui ne doivent pas être divulgués. On ne doit pas savoir que tel patient est allé chez tel médecin. Ça c'est le premier point. 

Votre question fait référence à l'affaire Cegedim où des informations qui étaient des notes, des fiches d'observation personnelles, ont, semble-t-il, été diffusées. Au Conseil de l'Ordre, nous n'avons pas eu plus d'éléments que le communiqué de presse de Cegedim... Mais il semblerait effectivement que ça ne soit pas le dossier médical, avec tous les éléments médicaux, qui a fuité, mais des notes qui étaient rattachées au dossier administratif. 

Aujourd'hui, nous sommes dans une période intermédiaire. Les notes qui n'ont pas vocation à être diffusées ou à sortir de l'usage du médecin ne sont pas accessibles aux patients ni aux tiers. Ces documents sont conservés sous la responsabilité du médecin. C'est l'article 45 du code de déontologie qui le prévoit (voir encadré). Mais nous avons demandé, depuis un bon moment, de changer cet article afin que tous les éléments présents dans le dossier soient considérés comme des informations en rapport avec le dossier médical. C'est un élément qu'on aimerait voir évoluer. 

Il y a donc aujourd'hui une différence entre les informations médicales pures et les notes…

Oui, les notes personnelles sont les réflexions intermédiaires du médecin qui peut les prendre à la volée. Elles ne font pas partie intégrante du dossier. Il s'agit de dossiers qui accompagnent en général l'élaboration des décisions, des bilans. Mais on se rend bien compte aujourd'hui que ces notes personnelles au milieu d'un dossier médical, dans la partie administrative, n'ont pas vraiment leur place. 

Où en est cette évolution du code de déontologie ?

Là, c'est au Conseil d'État. On attend que ça évolue. Ça ne dépend plus de nous. La demande a été faite depuis longtemps. Ça n'est pas nous qui le soumettons d'ailleurs, c'est le ministère de la Santé. 

En attendant cette évolution du code de déontologie, vaut-il mieux que le médecin limite la consignation de ce type d'éléments ou qu'il les mette directement dans le dossier médical ? Quelles sont les consignes ? 

Nous disons de principe, pour l'ensemble des éléments du dossier médical ou même des notes, qu'un médecin ne doit saisir que ce qui est utile, proportionné et pertinent. Il s'agit donc de limiter les données non utiles. Il n'est pas nécessaire de rentrer la vie entière d'un patient s'il n'y a pas d'intérêt médical. En revanche, les notes qui contribuent au diagnostic, oui c'est intéressant. Ça peut être des données personnelles mais qui ont rôle dans le diagnostic et le suivi des patients. Elles sont couvertes par le secret médical. Les situations familiales, les environnements de vie compliqués qui peuvent avoir un impact sur la prise en charge d'un patient, sont des éléments utiles. D'où l'intérêt d'avoir des mesures de sécurité qui soient vraiment adaptées.

"Le médecin a une responsabilité vis-à-vis de son patient"

Quelle est la responsabilité du médecin libéral en cas de faille de son logiciel médical ? 

Tout dépend de la faille. Le médecin a une responsabilité vis-à-vis de son patient. Mais à partir du moment où il utilise son logiciel dans de bonnes conditions avec un niveau de vigilance normal, une sécurité conforme au RGPD, en suivant toutes les recommandations usuelles, il ne risque rien. Il a fait ce qu'il devait faire. En revanche, s'il a mis un mot de passe qui s'appelle 123 ou le nom de son chien, là il peut être mis en cause. 

En ce qui concerne les recommandations usuelles, il faut bien sûr éviter d'ouvrir des mails qui arrivent de n'importe où, se connecter sur des sites dangereux. Il faut choisir un mot de passe sécurisé. Voilà, il s'agit d'éléments de base, mais que tout citoyen au courant des problèmes informatiques connaît. 

Le médecin a dans son cabinet les données médicales des patients qui sont précieuses et sensibles. S'il s'agit d'un logiciel qui est hébergé par une société, comme c'est le cas pour Cegedim, la responsabilité du médecin ne va pas être mise en cause, dans la mesure où il s'agit d'un hébergeur agréé. C'est Cegedim qui a été attaqué. Le médecin n'y est pour rien dans cette histoire. Il est une victime, tout comme le patient. Le médecin n'est en cause que s'il héberge les données chez lui sans suivre les recommandations.

L'assurance RCP est-elle suffisante pour couvrir les médecins face aux risques d'attaques, ou faut-il une assurance complémentaire ?

Une assurance complémentaire n'est pas nécessaire dans la mesure où les données ne sont pas hébergées chez le médecin mais dans une société extérieure. En revanche, si le médecin héberge les données chez lui, il doit se couvrir car il en est responsable.