Contrôle du refus de la CNIL d’instruire une plainte sur l’accès au dossier médical

Les articles 8 et 20 de la loi du 6 janvier 1978 confient à la CNIL l’examen des plaintes et le choix des suites à leur donner. Lorsqu’une plainte porte sur un droit individuel relatif aux données personnelles, notamment le droit d’accès, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir.

La juridiction valide toutefois la clôture lorsque le plaignant ne fournit pas les éléments demandés permettant d’établir et de préciser l’atteinte alléguée. En l’espèce, malgré plusieurs demandes précises, le plaignant n’a transmis ni l’intégralité de ses échanges avec l’établissement de santé ni les réponses complètes aux questions portant sur les données sollicitées, les demandes formulées et les éléments demeurant manquants.

La décision de clôture a été jugée suffisamment motivée et exempte d’erreur de droit, d’erreur manifeste d’appréciation et de faits matériellement inexacts. La juridiction précise enfin que les griefs relatifs à l’exactitude ou au caractère incomplet des données étaient inopérants, la CNIL ne s’étant pas prononcée sur le fond de la plainte. Le droit d’accès invoqué reposait notamment sur l’article 15 du règlement général sur la protection des données et l’article L. 1111-7 du code de la santé publique.

⬇️Télécharger la décision version officielle

Un patient contestait la communication partielle de son dossier médical par un établissement public de santé et demandait à la CNIL de poursuivre l’instruction de sa plainte. Faute d’avoir fourni les pièces et précisions sollicitées, il n’a pas permis à la Commission de compléter son examen. Le Conseil d’État a rejeté la demande d’annulation de la clôture.

Un patient a demandé à un établissement public de santé l’accès aux données personnelles le concernant, notamment à son dossier médical. L’établissement a indiqué que les informations seraient transmises selon leur ancienneté, puis a communiqué seulement deux pages.

Estimant les éléments incomplets, le patient a renouvelé sa demande et saisi la CNIL. Celle-ci lui a demandé à plusieurs reprises la copie complète de ses échanges avec l’établissement, ainsi que des précisions sur les données sollicitées, les réponses reçues et les éléments manquants. Le patient n’a fourni que les deux pages déjà communiquées.

La CNIL a clôturé la plainte. Le patient a demandé l’annulation de cette décision et la reprise de l’instruction. Le Conseil d’État a rejeté la requête, considérant que la CNIL disposait d’éléments insuffisants pour poursuivre son examen.

• Plainte portant sur un droit individuel relatif aux données personnelles
• Examen des faits à l’origine de la plainte par la CNIL
• Demandes précises de pièces et de renseignements adressées au plaignant
• Absence de transmission des échanges complets avec le responsable de traitement
• Absence de réponse complète aux questions permettant d’identifier les manquements
• Motivation de la clôture rappelant les éléments sollicités et non fournis

• Demande initiale d’accès adressée à l’établissement de santé
• Réponse de l’établissement annonçant la transmission des informations
• Deux pages communiquées au plaignant
• Demandes successives de pièces et précisions de la CNIL
• Absence de copie complète des échanges avec l’établissement

Le plaignant voit son recours rejeté, faute d’avoir fourni les pièces nécessaires à l’instruction de sa plainte. La CNIL peut maintenir la clôture sans examiner le fond des griefs relatifs à l’exactitude ou à l’exhaustivité des données.

• Clôture de la plainte maintenue
• Absence d’instruction complémentaire par la CNIL
• Griefs sur les données inexactes laissés sans examen au fond
• Charge de produire les échanges complets pesant sur le plaignant
• Recours juridictionnel rejeté

À faire

• Conserver toutes les demandes adressées au responsable de traitement
• Transmettre les échanges complets à la CNIL
• Identifier précisément chaque donnée manquante ou incomplète
• Indiquer les dates et formes des demandes successives
• Répondre intégralement aux questions de la CNIL

À éviter

• Limiter la transmission aux seules pièces déjà reçues
• Laisser sans réponse une demande de complément
• Ne pas dater les demandes d’accès
• Confondre contestation du fond et preuve du manquement
• Invoquer l’inexactitude des données avant l’examen au fond

Le contrôle du refus de la CNIL relatif aux droits d’accès

Lorsqu’une plainte porte sur un droit individuel garanti par la loi à l’égard de données personnelles, notamment le droit d’accès, le pouvoir d’appréciation de la CNIL s’exerce sous l’entier contrôle du juge de l’excès de pouvoir. Cette règle concerne les droits mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978.

La coopération du plaignant dans l’instruction

La CNIL peut clôturer une plainte lorsque, malgré des demandes précises, le plaignant ne fournit pas les échanges complets avec le responsable de traitement ni les informations nécessaires à l’identification des données manquantes, des demandes formulées et des réponses reçues. La clôture ne constitue alors pas une erreur de droit si la décision expose ces insuffisances.

Le contrôle limité aux motifs de la clôture

Lorsque la CNIL ne s’est pas prononcée sur le fond de la plainte, le plaignant ne peut utilement lui reprocher de ne pas avoir relevé l’inexactitude ou le caractère incomplet des données transmises par le responsable de traitement. Ces griefs sont étrangers au motif retenu pour clôturer l’instruction.

Article 15 du règlement (UE) 2016/679 du 27 avril 2016, Article L. 1111-7 du Code de la santé publique, Articles 8 et 20 de la loi n° 78-17 du 6 janvier 1978, Articles 49, 50, 51, 53 et 56 de la loi n° 78-17 du 6 janvier 1978