La décision met en lumière la responsabilité du responsable de traitement dans la configuration des droits d'accès au dossier de santé électronique, y compris lorsque l'outil est fourni par une entité régionale, et rappelle que la finalité de ce dossier est strictement limitée aux soins du patient, même en contexte d'urgence sanitaire.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Établissement sanitaire universitaire du Frioul central (ASUFC) pour des manquements en lien avec la gestion des accès au dossier de santé électronique.

L'affaire trouve son origine dans la plainte d'une personne concernant plusieurs accès illégitimes à son dossier de santé électronique, notamment pour vérifier son statut de positivité à la Covid-19 à des fins de gestion des plannings du personnel.

Motifs de la décision

• Obligation de licéité, de limitation des finalités et de minimisation des données (articles 5 et 9 du RGPD) : L'autorité a jugé que l'utilisation du dossier de santé d'un employé pour vérifier son statut Covid-19 afin d'organiser les tours de service constituait un détournement de finalité. Le dossier de santé est exclusivement destiné aux fins de soins du patient et ne peut être utilisé pour la gestion administrative du personnel. L'autorité a souligné que même le contexte d'urgence sanitaire ne permettait pas de déroger aux principes fondamentaux du RGPD, notamment la limitation de la finalité et la minimisation des données, rappelant que la législation d'urgence n'a pas suspendu l'application du RGPD mais a seulement prévu des simplifications encadrées.
• Obligation d'assurer la protection des données dès la conception et par défaut, et la sécurité du traitement (articles 25 et 32 du RGPD) : L'autorité a constaté de graves lacunes dans la gestion des droits d'accès. La configuration du système permettait un "accès transversal" à l'ensemble des dossiers des patients d'un service, indépendamment de la prise en charge effective par le professionnel de santé. De plus, les mesures de sécurité, comme le verrouillage automatique des sessions après 30 minutes d'inactivité, ont été jugées insuffisantes pour un environnement à haut risque avec des postes de travail partagés, tel qu'un service d'urgence. L'établissement, en tant que responsable de traitement, ne pouvait se défausser de sa responsabilité en invoquant le fait que l'outil était géré au niveau régional ou en arguant d'une "vulnérabilité systémique".

Décision de l'autorité

En conséquence, l'autorité a sanctionné l’ASUFC pour les manquements constatés.

Enseignements

Cette décision rappelle que :

• La finalité d'un dossier de santé électronique est strictement limitée aux activités de diagnostic et de soins du patient. Son utilisation à des fins de gestion des ressources humaines ou administratives, même en situation d'urgence, constitue un détournement de finalité.
• Le responsable de traitement est tenu de mettre en œuvre des profils d'autorisation et des droits d'accès différenciés et granulaires, garantissant que seuls les professionnels de santé impliqués dans le parcours de soins d'un patient peuvent accéder à ses données.
• Les mesures de sécurité techniques et organisationnelles, telles que les délais de verrouillage de session, doivent être rigoureusement adaptées au contexte et aux risques spécifiques de l'environnement de traitement, particulièrement dans les zones à haut risque avec des postes partagés.