Protection des dossiers médicaux : clôture d’une mise en demeure après sécurisation des accès

La procédure de contrôle est clôturée après que l’établissement a justifié la mise en œuvre d’une procédure empêchant le prestataire chargé de l’optimisation du recodage des actes médicaux d’accéder directement aux dossiers des patients.

La suppression définitive des accès informatiques du prestataire, ainsi que la limitation de la consultation des dossiers aux personnes habilitées, permettent de répondre aux préoccupations relatives à la protection des données à caractère personnel. Le médecin responsable de l’information médicale et les personnes habilitées par l’établissement demeurent seuls autorisés à rechercher les éléments nécessaires au recodage.

La clôture de la mise en demeure ne fait toutefois pas obstacle à des vérifications ultérieures de la Commission. L’établissement doit donc maintenir les procédures annoncées et veiller au respect de la loi Informatique et Libertés. La désignation d’un correspondant Informatique et Libertés est présentée comme un moyen de contrôler l’application de cette loi et d’exonérer l’organisme de l’obligation de déclaration de ses fichiers.

⬇️Télécharger la décision version officielle

Après qu’un établissement hospitalier a instauré une nouvelle procédure, supprimé l’accès informatique d’un prestataire et réservé la consultation des dossiers aux personnes habilitées, l’autorité a clôturé le dossier et la procédure de contrôle. Elle a précisé que cette clôture ne préjugeait pas de vérifications ultérieures et rappelé la nécessité de respecter la loi Informatique et Libertés.

Une autorité administrative avait mis en demeure un établissement hospitalier à la suite du constat qu’un prestataire chargé de l’optimisation du recodage des actes médicaux pouvait accéder aux dossiers médicaux des patients.

En réponse, l’établissement a indiqué avoir instauré une nouvelle procédure. L’accès informatique du prestataire a été supprimé dès son départ, de sorte qu’aucune donnée nominative ne lui serait désormais accessible. La consultation des dossiers, informatisés ou papier, est réservée au médecin responsable de l’information médicale et aux personnes habilitées par l’établissement, qui recherchent les éléments nécessaires au prestataire.

L’autorité a pris acte de ces mesures et clôturé le dossier ainsi que la procédure de contrôle. Elle a précisé que cette clôture ne préjugeait pas de vérifications ultérieures et a rappelé la nécessité de respecter la loi Informatique et Libertés.

• Suppression définitive de l’accès informatique du prestataire
• Absence d’accès du prestataire aux données nominatives
• Consultation réservée au médecin responsable et aux personnes habilitées
• Recherche interne des seuls éléments nécessaires au recodage
• Maintien d’une procédure conforme à la loi Informatique et Libertés

• Courrier de réponse reçu par l’autorité
• Description d’une nouvelle procédure interne
• Suppression de l’accès informatique au départ du prestataire
• Habilitation du médecin responsable et des personnes autorisées

L’établissement obtient la clôture du dossier et de la procédure de contrôle après avoir supprimé l’accès direct du prestataire aux dossiers médicaux. Cette clôture reste précaire quant à d’éventuelles vérifications ultérieures et impose le maintien effectif des mesures annoncées.

• Maintien des habilitations limitées aux personnes autorisées
• Interdiction d’accès direct du prestataire aux dossiers
• Contrôle régulier des accès informatiques et papier
• Conservation de la procédure interne de recodage
• Étude de la désignation d’un correspondant Informatique et Libertés

À faire

• Supprimer les accès du prestataire aux dossiers
• Formaliser les habilitations des personnes autorisées
• Réserver la recherche au médecin responsable et aux habilités
• Documenter la procédure de recodage
• Étudier la désignation d’un correspondant Informatique et Libertés

À éviter

• Maintenir un accès direct du prestataire
• Permettre l’accès à des données nominatives
• Habiliter des personnes non identifiées
• Négliger les dossiers papier
• Considérer la clôture comme définitive

La clôture d’une mise en demeure administrative

nLa clôture intervient lorsque les mesures correctrices annoncées répondent aux préoccupations de l’autorité. Elle ne préjuge toutefois pas des suites de vérifications ultérieures, expressément réservées par la Commission.n

Les habilitations d’accès aux dossiers médicaux

nL’accès aux dossiers informatisés et papier doit être limité au médecin responsable de l’information médicale et aux personnes habilitées par l’établissement. Le prestataire ne doit plus accéder directement aux données nominatives ; les personnes habilitées recherchent seules les éléments nécessaires au recodage.n

La désignation d’un correspondant Informatique et Libertés

nLa décision présente le correspondant Informatique et Libertés comme un moyen de veiller à la bonne application de la loi Informatique et Libertés. Elle indique également que cette désignation exonère l’organisme doté de ce correspondant de l’obligation de déclaration de ses fichiers.

Loi Informatique et Libertés