Une Cour d’appel hollandaise a ordonné à un hôpital de transmettre à un patient les données personnelles le concernant en réponse à sa demande de droit d’accès. Elle en a profité pour préciser les données qu’un hôpital est tenu de fournir.
1/ Une demande d’accès ne se limitant pas au seul dossier médical
Un père a exercé, auprès de l’hôpital au sein duquel sa fille avait été hospitalisée, une demande d’accès à l’intégralité des données à caractère personnel concernant cette dernière.
En réponse, l’hôpital a transmis le dossier médical de la fille.
Le père, considérant que sa demande ne se limitait pas au seul dossier médical, a précisé sa demande en exigeant, notamment, (i) la copie des journaux d’accès au dossier médical de sa fille et (ii) l’identité des prestataires de soin impliqués.
Débouté en première instance, le père a contesté la décision devant la Cour d’appel compétente.
2/ Une demande d’accès portant sur l’intégralité des données traitées par l’hôpital
2.1/ La fourniture non limitée au dossier médical
Rappelant que la demande portait sur la communication de « l’intégralité des données personnelles que l’hôpital traitait à propos de sa fille », la Cour d’appel a considéré que la seule fourniture du « dossier médical » était insuffisante. L’hôpital aurait dû, notamment, transmettre le contenu des « correspondances (externes et internes) ».
2.2/ Le cas particulier des journaux d’accès et données relatives à l’identité des soignants
La Cour s’est ensuite penchée sur la demande du père visant à obtenir la communication des « journaux d’accès » au dossier médical, c’est-à-dire les traces d’accès et de modification du dossier médical (y compris l’horaire de l’action et l’identité du soignant).
En défense, l’hôpital considérait qu’il n’était pas tenu de fournir de telles informations car (i) les journaux d’accès ne sont pas des données personnelles et (ii) les collaborateurs ne sont pas des « destinataires » au sens de 15 du RGPD.
En tout état de cause, l’hôpital estimait n’être pas tenu de fournir la copie de ces données sauf à porter atteinte aux droits et libertés de ses collaborateurs.
La Cour d’appel, rappelant que les notions de « données à caractère personnel » et de « droit d’accès » s’interprètent largement, a considéré que le droit d’accès obligeait, par principe, l’hôpital à fournir la copie des journaux d’accès mais que seule la fonction du collaborateur devait y figurer (et non son identité) afin de ne pas porter atteinte à ses droits et libertés.
Compte tenu de tout ce qui précède, la Cour d’appel a enjoint l’hôpital à fournir au père « l’intégralité des données personnelles traitées » et, notamment, à fournir les journaux d’accès en ayant préalablement masqué l’identité des collaborateurs.
Source : Cour d’appel d’Arnhem-Leeuwarden, 4 septembre 2024, n° 200.332.312/01 (ECLI:NL:GHARL:2024:5384)