L'autorité italienne de protection des données (GPDP) a sanctionné un hôpital pour de multiples manquements liés à la gestion de son dossier patient informatisé, notamment en matière d'information, de consentement, de droits d'accès et de traçabilité des consultations.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali, GPDP) a aujourd'hui publié une décision de sanction à l'encontre de l'Hôpital des Collines, Monaldi-Cotugno-CTO de Naples (comprenant le prononcé d'une amende de 15 000 €) pour des manquements en lien avec la gestion de son dossier patient informatisé.

L'affaire trouve son origine dans une inspection menée en janvier 2026, visant à vérifier la conformité du traitement des données via le dossier patient informatisé, notamment au regard des lignes directrices de l'autorité de 2015.

Motifs de la décision

• Obligation de transparence et d'information (article 5, paragraphe 1, point a) et article 13 du RGPD) : L'autorité a constaté que la notice d'information fournie aux patients était inadéquate. Elle décrivait des traitements (finalités et types de documents) plus étendus que ceux réellement mis en œuvre, contenait des références juridiques erronées et n'indiquait aucune durée de conservation des données. Le GPDP a rappelé, en s'appuyant sur le considérant 39 du RGPD, que les modalités de traitement des données doivent être transparentes pour les personnes concernées et que des délais de suppression ou de révision périodique doivent être établis.
• Obligation d'obtenir un consentement explicite et spécifique (article 9 du RGPD) : L'hôpital ne recueillait pas de consentement spécifique pour l'intégration dans le dossier des données et documents relatifs à des événements cliniques antérieurs à la création dudit dossier. L'autorité a souligné que la constitution d'un dossier patient informatisé est un traitement facultatif distinct, requérant un consentement explicite. Conformément à ses lignes directrices de 2015, l'inclusion de données antérieures doit également faire l'objet d'un consentement distinct et éclairé, afin de garantir la liberté de choix de la personne concernée.
• Obligation de protection des données dès la conception et de minimisation (article 5, paragraphe 1, point c) et article 25 du RGPD) : Les profils d'autorisation permettaient un accès trop large aux données. Une fonction "recherche patient" autorisait les médecins à rechercher n'importe quel patient de l'établissement, même s'il n'était pas en cours de traitement, et à consulter l'historique de ses prestations. De plus, la direction sanitaire pouvait consulter les dossiers à des fins de contrôle administratif, ce que l'autorité a jugé contraire à la finalité de soin du dossier. Le GPDP a rappelé que l'accès doit être strictement limité au personnel sanitaire impliqué dans le processus de soin du patient concerné.
• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : Le système ne traçait pas les opérations de simple consultation des dossiers, enregistrant uniquement la création, la modification et la suppression. L'autorité a également relevé l'absence de systèmes d'alerte pour détecter les accès anormaux et de procédures d'audit des journaux d'événements. Ces lacunes empêchaient un contrôle effectif des accès et la capacité de répondre aux demandes des patients souhaitant savoir qui a consulté leur dossier, en violation des exigences de sécurité et des préconisations des lignes directrices de 2015.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 15 000 € à l’Hôpital des Collines, Monaldi-Cotugno-CTO de Naples.

En outre, l'autorité a ordonné la publication de sa décision sur son site internet.

Enseignements

Cette décision rappelle que :

• La notice d'information relative à un dossier patient informatisé doit décrire avec précision son périmètre réel et fonctionnel, y compris les durées de conservation, et ne pas contenir d'informations génériques ou erronées.
• Le consentement à la constitution d'un dossier patient informatisé doit être granulaire ; un consentement distinct et explicite est requis pour y intégrer des données de santé antérieures à sa création.
• Les droits d'accès au dossier patient doivent être strictement limités au personnel de santé impliqué dans le processus de soin actuel du patient, excluant les accès généralisés ou à des fins administratives.
• La traçabilité des accès aux données de santé est une mesure de sécurité essentielle qui doit impérativement inclure les opérations de simple consultation, et pas seulement de modification ou de suppression.
• La mise en place de systèmes de détection d'anomalies (alertes) et de procédures d'audit des journaux d'accès est une composante nécessaire de la sécurité des traitements de données de santé.