On voit de plus en plus souvent des patients dans la salle d’attente, perdus dans les petits caractères d’un obscur formulaire de consentement, d’un cryptique contrat de traitement ou d’une autorisation tout autant incompréhensible à des traiter des données. La révision de la LPD est souvent utilisée pour justifier cette démarche. Si on peut douter fortement de la validité d’un consentement obtenu dans ces circonstances et de la légalité de la démarche, il est certain que cela n’est pas nécessaire.
En droit suisse, on a le droit de traiter des données personnelles sans consentement
Sous l’angle de la LPD, et on ne le rappellera jamais assez un consentement n’est pas la condition d’un traitement de données personnelles. Un consentement n’entre en ligne de compte qu’en cas de violation des principes (proportionnalité, finalité, transparence, sécurité, etc.) ou de communication à des tiers de données sensibles (art. 30 al. 2 LPD). De manière générale, le traitement des données personnelles par un médecin ne devrait pas violer ces principes.
Quant à la communication de données sensibles à des tiers (qui ne sont pas des sous-traitants), elle est courante dans le domaine médical, mais intervient dans des cas spécifiques, en principe à la demande du patient (transmission d’un rapport au médecin de famille, délégation et demande d’examen complémentaire à un spécialisé, etc.). Il s’agit de toute façon de situations spécifiques pour lesquels le consentement ne peut pas être donné en bloc et de manière abstraite. Le patient doit savoir quelles données sont transmises à qui pour consentir valablement. Ce n’est pas le cas lorsqu’il est dans la salle d’attente avant même d’avoir vu le médecin.
Dans sa liste de Questions fréquentes concernant la protection des données, le site web du PFPDT répond à la question «Pourquoi dois-je signer une déclaration de consentement?» en indiquant « Pour traiter nos données de santé dans le cadre d’une thérapie ou d’un contrôle, les professionnels de la santé ont en principe besoin de notre consentement exprès (art. 6 al. 7 LPD).» Cette réponse est malheureusement fausse ! Si l’art. 6 al. 7 LPD 7 prévoit que le consentement doit être exprès dans le cas d’un traitement de données sensibles, cela signifie seulement que si un consentement est nécessaire, alors ce consentement doit être express. Un consentement trop général ne veut donc pas pour les données sensibles.
Le secret médical
Le PFPDT envisage le consentement sous l’angle du secret médical sur son site web. Il y admet même un consentement tacite (!) et par acte concluant: «dans le cadre d’un traitement hospitalier, les informations seront – à tout le moins partiellement – partagées entre les personnes de l’équipe de soin et avec le personnel administratif. Le simple fait que le patient se rende à l’hôpital – l’acte concluant – implique qu’il est d’accord avec ça.» Le raisonnement peut à nouveau difficilement être suivi. Le patient ne peut pas donner un consentement tacite pour le partage d’information non déterminée à des personnes indéterminées. Le PFPDT donne un autre exemple de consentement par acte concluant : « l’envoi de prélèvement fait par le médecin à un laboratoire pour analyse. En acceptant le prélèvement, le patient doit s’attendre à ce que l’échantillon soit ensuite envoyé en laboratoire ».
Il faut en réalité distinguer la communication à des auxiliaires soumis au secret (ce qui implique qu’un consentement n’est pas nécessaire), de la communication à des tiers qui exige le consentement, mais implique alors un comportement actif du patient (demande d’examens complémentaires externes, accord à la communication d’un rapport, etc.).
Ces consentements sont donnés au cas par cas et ne peuvent pas être donnés en bloc et à l’avance. De plus, pour qu’un consentement soit valable, il doit pouvoir être refusé. Si l’on veut passer par un formulaire global de consentement à la prise en charge du patient, il faut d’une part que le patient soit dans une situation lui permettant de renoncer aux soins et d’autre part qu’il puisse, de manière détaillée, accepter par exemple la communication à l’un et la refuser à l’autre, accepter l’usage du cloud, mais pas le service de facturation, la transmission à un professionnel de la santé, mais pas un autre, etc., ce qui est ingérable.
Pas de consentement anticipé au recouvrement
On voit parfois aussi un consentement anticipé à la levée du secret en vue du recouvrement de factures impayées. Ici aussi je doute fort de sa validité. Le patient doit pouvoir savoir de quelles données il est question pour se déterminer, ce qu’il ne peut évidemment pas faire avant même que le traitement n’ait débuté. En revanche, les médecins peuvent être rassurés, car ils peuvent obtenir facilement du médecin cantonal la levée du secret médical sur les données nécessaires au recouvrement des factures impayées.
Pour toutes ces raisons, on voit que le consentement n’est généralement pas nécessaire, mais surtout que c’est une mauvaise idée de le demander. On peut même se demander si en forçant leurs patients à signer un formulaire (ou en refusant de les prendre en charge en l’absence de consentement), un médecin respecte ses obligations professionnelles ou s’il se rend coupable de contrainte. Le Tribunal fédéral a récemment retenu la levée du secret professionnel en vue du recouvrement d’honoraires avant même la survenance du litige, par exemple dans une procuration ou une lettre d’engagement, est en principe inadmissible et que l’avocat qui agit ainsi peut s’exposer à des sanctions disciplinaires (2C_257/2023). En effet, au moment de la signature d’une clause de levée anticipée du secret professionnel dans une procuration, le client ne peut jamais prévoir quelles informations seront utilisées par l’avocat dans un éventuel litige sur les honoraires et que la levée ne peut pas être valable.