L'Autorité de protection des données a publié une décision de sanction à l'encontre du centre hospitalier Y, comprenant une réprimande, pour des manquements relatifs à la sécurité du dossier patient informatisé.

Cette affaire débute par la plainte d'une patiente, après qu'une kinésithérapeute a consulté sans lien thérapeutique son dossier médical et lui a révélé le sexe de son enfant à naître, information obtenue via les résultats d'un test génétique.

L’enquête menée par l’autorité a permis de constater :
* Obligation d'intégrité, de confidentialité, de sécurité et de responsabilité du responsable de traitement (articles 5, paragraphe 1, point f, 5, paragraphe 2, 24 et 32 du RGPD) : L'autorité a estimé que le centre hospitalier n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité du dossier patient informatisé. Il a été constaté qu'une kinésithérapeute avait pu accéder à des données génétiques sensibles sans lien thérapeutique. Les mesures en place, principalement organisationnelles (charte informatique, clauses contractuelles) et basées sur la confiance, ont été jugées insuffisantes face au traitement à grande échelle de données sensibles. L'autorité a relevé l'absence de contrôles proactifs et aléatoires des journaux d'accès ainsi que des profils d'accès trop larges, l'incident n'ayant été découvert qu'à la suite de la plainte.

En conséquence, l'autorité a prononcé une réprimande à l'encontre du centre hospitalier Y.