Sanction pour accès illicite au dossier médical

Un établissement de santé italien a fait l’objet d’une sanction par l’autorité de protection des données locale pour avoir autorisé des membres de son personnel à consulter le dossier médical électronique d’une salariée, également patiente, afin de vérifier sa positivité au Covid-19 et d’organiser le service.

La salariée a constaté que son dossier avait été consulté par une collègue, ainsi que par trois autres professionnels de santé ne faisant pas partie de son équipe soignante. L’établissement a justifié ces accès par la nécessité d’organiser le service dans un contexte de crise sanitaire, mais l’autorité a estimé que ces consultations relevaient d’un détournement de finalité.

Finalité des accès strictement encadrée

L’autorité a rappelé que le dossier médical électronique ne peut être consulté que dans le cadre exclusif des soins prodigués au patient. Toute utilisation à des fins organisationnelles, même par un établissement à la fois employeur et soignant, constitue une violation des règles de protection des données.

Mesures de sécurité insuffisantes pointées du doigt

L’autorité a également souligné l’absence de mesures de sécurité adaptées, notamment l’absence d’alertes automatiques pour détecter les comportements anormaux. L’établissement se contentait de contrôles a posteriori, uniquement en cas de contestation d’un patient, ce qui a été jugé insuffisant.

En conséquence, une amende de 24 000 € a été infligée à l’établissement, assortie d’une injonction de limiter strictement l’accès aux dossiers médicaux aux seules fins de soins.