L'autorité de protection des données de Lettonie (DVI) a clarifié les règles applicables au traitement des données des patients par les professionnels de santé, notamment concernant la photographie, la communication et la suppression des informations médicales.

L'autorité a examiné le cas d'un médecin photographiant un patient avec son téléphone personnel à des fins de traitement. Bien que la prise de vue puisse être nécessaire pour les soins et ne requière pas de consentement spécifique, l'utilisation d'un appareil personnel présente des risques de sécurité. Il incombe à l'établissement de santé, en tant que responsable du traitement, de définir les modalités de cette collecte, notamment en privilégiant des appareils fournis et gérés par l'établissement pour garantir que les images soient stockées dans un système sécurisé et contrôlé, et non sur un appareil ou un espace de stockage personnel.

Concernant l'envoi de résultats d'analyses par des moyens électroniques comme le courriel ou WhatsApp, la DVI rappelle que le RGPD n'interdit pas spécifiquement ces canaux. Cependant, l'établissement de santé doit évaluer au cas par cas si le moyen de communication choisi assure une protection adéquate des données de santé. Cette évaluation doit prendre en compte la vérification du destinataire, la nature des informations transmises et l'existence d'alternatives plus sûres, la transmission de résultats détaillés exigeant un niveau de sécurité supérieur à celui d'un simple rappel de rendez-vous.

Enfin, l'autorité a précisé que le droit à l'effacement des données d'un patient n'est pas absolu. Les dossiers médicaux sont soumis à des obligations légales de conservation qui priment sur la demande de suppression du patient. Si un patient estime que ses informations sont inexactes, il peut exercer son droit de rectification pour les faire compléter ou corriger, mais la demande d'effacement de l'historique médical peut être refusée en raison de ces exigences réglementaires.