Modalités de destruction du dossier patient

Rappel de l'objet de la demande

À la suite d’une hospitalisation, un patient a sollicité l’élimination de son dossier médical ainsi que l’information de sa destruction effective.

Un établissement de santé peut-il envisager de remettre – en mains propres ou par courrier recommandé – l’original de son dossier médical au patient afin que celui-ci procède lui même à sa destruction ? Le cas échéant, quelle traçabilité l’établissement doit-il garder de cet acte ?

Textes de référence

• Règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
• Code du patrimoine, articles L.211-1, L.211-4 et R.212-14 ;
• Code de la santé publique, article R.1112-7.

Réponse

Il apparaît opportun de structurer notre raisonnement en examinant successivement les composantes du triptyque juridique suivant.

En première intention, il convient de relever que les dossiers médicaux contiennent des données à caractère personnel. Ils apparaissent, de ce fait, soumis aux dispositions du règlement UE 2016/679 du Parlement européen et du Conseil du 27 avril 2016, dit « RGPD ». Ce texte instaure un nouveau cadre normatif des précautions et principes qui s’applique à l’ensemble des traitements de données à caractère personnel, quels que soient la nature du traitement et la nature des données.

Par ailleurs, il ressort que les dossiers médicaux en la possession de l’établissement de santé peuvent être qualifiés d’archives publiques au sens de l’article L.211-1 du Code du patrimoine. À ce titre, leur conservation, utilisation et élimination sont soumises à des règles spécifiques édictées par le Code du patrimoine.

Enfin, les données à caractère personnel contenues dans les dossiers médicaux sont des données de santé. Les dispositions du Code de la santé publique régissent donc également leur conservation, utilisation et élimination.

I. Dispositions issues du règlement général sur la protection des données (RGPD)

Le règlement général sur la protection des données impose de nouveaux principes que tous les traitements de données à caractère personnel doivent respecter.

Notamment, il impose que les données personnelles soient traitées de façon licite, loyale, et transparente vis-à-vis des personnes qu’elles concernent, que leur collecte ait une finalité déterminée et que celle-ci soit strictement nécessaire à la réalisation du traitement et qu’elles soient traitées de façon à garantir une sécurité appropriée (article 5 du règlement européen n°2016/679). Les dispositions relatives à la sécurité du traitement sont plus précisément détaillées au sein de l’article 32 du RGPD.

Compte tenu de l’ensemble des obligations pesant sur le responsable d’un traitement de données à caractère personnel, il est nécessaire de préalablement déterminer si l’élimination de dossiers médicaux entre dans le champ d’application du RGPD.

L’article 4 du RGPD précise que le « traitement » résulte de « toute opération ou ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou ensembles de données à caractère personnel telles que la collecte, (…) la conservation, (…) l’effacement ou la destruction ».

Rappelons que tombe sous la qualification de « donnée à caractère personnel », toute information se rapportant à une personne physique identifiée ou identifiable. En outre, constitue un « fichier », au sens du RGPD, tout ensemble structuré de données à caractère personnel accessibles selon des critères déterminés. Tel est précisément le cas d’un dossier médical : celui-ci comprend un ensemble d’informations se rapportant à une personne physique identifiée ou identifiable. Il s’agit donc d’un fichier au sens du RGPD. La destruction des fichiers s’assimile donc d’un traitement de données à caractère personnel au sens du RGPD.

Ce traitement doit dès lors, entre autres principes posés par ce texte, répondre aux exigences de sécurité posées par les articles 5 et 32 précités. Ce faisant, il sera nécessaire que la destruction des dossiers médicaux soit réalisée par des personnes agrées à cet effet et soumises au secret professionnel. Il doit également être possible de retrouver quelles personnes ont accédé aux fichiers et dans quel but. En pratique, l’établissement devra donc s’assurer de l’habilitation, d’une part, et de la traçabilité, d’autre part, des personnes ayant participé à cette opération.

II. Dispositions issues du Code du patrimoine

En application de l’article L211-1 du Code du patrimoine, constituent des archives publiques l’ensemble des documents, y compris les données, quels que soient leur date, leur lieu de conservation, leur forme et leur support, produits ou reçus par toute personne physique ou morale et par tout service ou organisme public ou privé dans l’exercice de leur activité.

Les dossiers médicaux en la possession de l’établissement entrent ainsi de plein droit dans le champ d’application de cet article.

À ce titre, il convient de s’attacher à la lecture de l’article R.212-14 du Code du patrimoine aux termes duquel « dans tous les cas, les documents à éliminer sont détruits sous le contrôle technique du service interministériel des archives de France de la direction générale des patrimoines ».

À cet effet, la direction générale des patrimoines doit donner son accord pour la destruction de ces archives. Une liste des documents voués à la destruction doit être transmise à la direction des archives pour obtenir son visa avant destruction des documents (article L.212-3 du Code du patrimoine). Celle-ci peut faire une sélection parmi ces documents et en conserver certains dans un intérêt scientifique, statistique ou historique.

NOTA BENE : cette exigence est expressément reprise par le Code de la santé publique en son article R.1112-7 :

« la décision d’élimination est prise par le directeur de l’établissement après avis du médecin responsable de l’information médicale. Dans les établissements publics de santé et les établissements de santé privés participant à l’exécution du service public hospitalier, cette élimination est en outre subordonnée au visa de l’administration des archives, qui détermine ceux de ces dossiers dont elle entend assurer la conservation indéfinie pour des raisons d’intérêt scientifique, statistique ou historique. »

Il est recommandé de dresser un P.V de destruction pour les dossiers médicaux et ce, afin de pouvoir – à postériori – prouver aux patients et familles que le dossier a bel et bien fait l’objet d’une destruction. Sur ce P.V, ne doit figurer aucune donnée médicale précise.

Il est donc nécessaire que la destruction des dossiers médicaux se fasse sous le contrôle technique du service interministériel des archives de France de la direction générale des patrimoines après avoir obtenu le visa de la direction des archives.

NOTA BENE : une délégation est régulièrement donnée à la Direction départementale des archives en vue de procéder à ces démarches.

III. Dispositions issues du Code de la santé publique

Les archives contenant des données collectées à l’occasion d’une activité de diagnostic, soin ou prévention sont de plus soumises à des dispositions spécifiques contenues dans le Code de la santé publique (articles L.1111-8 et suivants).

Ces dispositions s’appliquent quel que soit le support, papier ou électronique, sur lequel ces données sont conservées, conformément à la lettre de l’article L.1111-8 du Code de la santé publique. Cet article précise que seules les personnes physiques ou morales à l’origine de la production de soins ou du recueil des données de santé, et qui sont désignées par les personnes concernées par la collecte de données, peuvent accéder à ces données.

Assez classiquement, la direction des établissements de santé désignent le médecin responsable du Département de l’Information Médicale (DIM) et ses équipes – en lien avec le service des archives – pour mener à bien ces opérations.

Par ailleurs, il est également énoncé à l’article L.1111-8 précité que « les hébergeurs de données de santé à caractère personnel et les personnes placées sous leur autorité qui ont accès aux données déposées sont astreintes au secret professionnel dans les conditions et sous les peines prévues à l’article 226-13 du code pénal ». L’établissement héberge ses propres dossiers médicaux. Les personnes placées sous son autorité qui ont accès à ces données de santé sont donc, comme toute personne travaillant au sein d’un établissement de santé, soumises au secret professionnel prévu à l’article 226- 13 du Code pénal.

En conséquence, toute personne physique placée sous l’autorité de l’établissement de santé à l’origine de la production de soins peut accéder aux données de santé à caractère personnel pour participer à la destruction des dossiers médicaux.

Enfin, l’article R.1112-7 du Code de la santé publique énonce que le dossier médical d’un individu doit être conservé pendant une durée de vingt ans après le dernier séjour du titulaire dans l’établissement de santé. Pour les mineurs, ils doivent de plus être conservés au moins jusqu’à leurs 28 ans. Par ailleurs, le dossier médical du patient décédé doit être conservé durant 10 ans à compter de son décès. Il est donc préconisé de conserver les dossiers médicaux jusqu’à expiration de ce délai complémentaire.

Passé ces délais, les dossiers médicaux pourront être éliminés. Il s’agit là d’une faculté offerte aux établissements de santé. Il peut être procédé à cette élimination sur décision du directeur d’établissement, après avis du médecin responsable de l’information médicale et visa de l’administration des archives (article R.1112-7 précité).

Il est donc nécessaire de statuer au cas par cas sur les dossiers pouvant être détruits afin de s’assurer de ne pas éliminer un dossier médical avant l’expiration de la durée légale de conservation.

Conclusion

L’élimination des dossiers médicaux conservés par les établissements de santé reposent donc sur la combinaison de dispositions d’ordre général (RGPD, régime juridique des archives publiques) et de dispositions particulières (Code de la santé publique).

Leur destruction obéit ainsi à un processus strictement encadré sur le plan légal et réglementaire.

La remise en mains propres au patient de l’original de son dossier médical – ni même son envoi par courrier recommandé – n’est nullement prévue par les textes.

Surtout, elle apparaît contraire aux règles édictées en la matière.

Subséquemment, les établissements sont invités à ne pas recourir à une telle pratique, laquelle peut être regardée, à plus forte raison, comme de nature à entrainer la responsabilité de l’établissement :

• D’une part, la jurisprudence a eu l’occasion de rappeler que la destruction des dossiers médicaux ne peut être réalisée en dehors des règles prévues d’une part par le Code du patrimoine et d’autre part, par les textes spécifiques se rapportant à certains documents, sans entraîner la responsabilité de l’établissement (pour illustration : CAA Marseille, 25 juin 2009, n° 07MA02024).
• D’autre part, un arrêt on ne peut plus récent paraît devoir être mis en lumière, le juge judiciaire ayant retenu que la perte du dossier médical caractérise un défaut d’organisation et de fonctionnement, qui place le patient ou ses ayants-droit dans l’impossibilité d’accéder aux informations de santé qui le concernent.

Cette circonstance prive le ou les intéressés d’établir l’existence d’une faute et conduit à inverser la charge de la preuve : au professionnel ou à l’établissement de santé de démontrer que les soins prodigués au patient ont été appropriés (Cass. 1e civ., 26 septembre 2018, n° 17-20.143).

On pourrait ainsi légitimement considérer que la destruction du dossier médical accomplie en dehors des règles prévues par les textes serait susceptible d’entrainer des conséquences similaires en termes de responsabilité pour l’établissement (par exemple, dans l’hypothèse où les ayants-droit du patient avanceraient ne pas avoir connaissance de la prétendue remise au patient de l’original de son dossier médical).

À cet égard, il ne saurait qu’être déconseillé aux établissements de santé de s’écarter du cadre juridique défini par la réglementation en matière d’élimination des dossiers médicaux.

Pour autant, aucun principe juridique ne semble s’opposer à ce que le patient ayant formulé une telle demande soit informé de la destruction effective de son dossier.