Guide à l'intention des professionnels européens de la santé sur la confidentialité et le respect de la vie privée des patients dans les services de santé

Introduction
Protection, utilisation et divulgation des informations du patient - Considérations générales
Protection, utilisations et divulgation des informations relatives au patient dans le cadre de ses soins médicaux
Protection, utilisation et divulgation des informations du patient à des fins médicales non directement associées aux soins médicaux
Obligations et justifications concernant la divulgation d'informations permettant l'identification du patient à des fins non médicales
Sécurité

Introduction

Tous les patients ont droit au respect de leur vie privée et attendent par conséquent que les informations personnelles les concernant, détenues par les professionnels de santé, demeurent strictement confidentielles. Le droit de chaque patient au respect de sa vie privée et le devoir de confidentialité imparti au professionnel de la santé concernent toutes les formes de conservation ou de communication de données ( électronique, photographique, prélèvement biologique, par exemple). Ce guide s'applique à l'ensemble des professionnels de la santé et recouvre tous les aspects de la confidentialité en matière de soins, de la vie privée et de l'intimité du patient. Ce guide a été élaboré au sein du projet intitulé « Principes européens sur le respect de la confidentialité et de la vie privée du patient dans les services de santé » - dont l'acronyme officiel est EuroSocap (European Standards on Confidentiality and Privacy in Healthcare). Destiné aux organismes de santé, le guide et les principes énoncés se fondent sur des considérations éthiques et juridiques. Le texte des principes a été enrichi d'un glossaire . Ces documents sont accessibles en plusieurs langues sur le site du projet : www.eurosocap.org .

Les principes européens sont avant tout des règles d'éthique professionnelle, développées dans le contexte juridique où les professionnels de la santé sont appelés à prendre des décisions relatives à la protection, l'utilisation et la divulgation d'informations confidentielles. Tous les professionnels de la santé ne sont pas soumis aux mêmes obligations légales concernant la confidentialité, mais tous sont tenus de respecter cette dernière d'un point de vue éthique.

Ce guide aborde les besoins des patients vulnérables de manière détaillée . Sous l'angle du respect de la confidentialité, ces besoins sont accrus, dans la mesure où les patients vulnérables sont plus exposés que d'autres patients à une violation de ce principe. Une attention particulière est donc requise de la part des professionnels de la santé pour s'assurer que le droit à la confidentialité des patients vulnérables soit respecté et que les devoirs envers ces patients soient honorés.

Le guide traite trois domaines relatifs à la protection, l'utilisation et la divulgation des informations :

La protection, l'utilisation et la divulgation des informations relatives au patient pour ses soins médicaux ;
La protection, l'utilisation et la divulgation des informations relatives au patient à des fins médicales non directement associées aux soins médicaux ; et
Les obligations et justifications concernant la divulgation, à des fins non médicales, d'informations permettant d'identifier le patient.

Protection, utilisation et divulgation des informations du patient - Considérations générales

Principes clés de la confidentialité dans les soins médicaux. Les professionnels de la santé doivent respecter les trois principes clés suivants :
- Toute personne a un droit fondamental au respect de sa vie privée et à la confidentialité des informations médicales la concernant.
- Toute personne a un droit de contrôle sur l'accès et la divulgation des informations médicales la concernant, en accordant, refusant ou annulant un consentement à la divulgation.
- En cas de divulgation d'informations confidentielles sans le consentement du patient, les professionnels de la santé doivent prendre en considération la nécessité, la proportionnalité et les risques découlant de la divulgation de ces informations.
Assistance aux personnes vulnérables. Les professionnels de la santé doivent s'assurer que les personnes vulnérables reçoivent toute l'aide nécessaire pour leur permettre de saisir les complexités des problèmes concernant la confidentialité et les aider à exprimer leurs souhaits.
Protection des personnes vulnérables. Si un professionnel de la santé estime qu'un patient doit être considéré comme une personne vulnérable, la raison doit en être inscrite de façon argumentée dans le dossier du patient, avec le consentement de ce dernier ou celui de son représentant légal.[1]
Incapacité. Quand un professionnel de la santé estime qu'une divulgation d'information serait dans l'intérêt d'un patient incapable de consentir, il doit soulever ce point avec le représentant légal du patient (pour un mineur, ses parents ou son tuteur). Si le représentant légal ne donne pas son consentement, le professionnel de la santé doit alors s'en tenir aux principes de « bonne pratique » en vigueur dans le pays pour résoudre ce différend.
Situations d'urgence. Dans les situations d'urgence, les informations confidentielles d'un patient peuvent être utilisées ou divulguées, mais seules les informations minimales nécessaires au cas d'urgence pourront être traitées.
Divulgation après le décès. La confidentialité des informations d'un patient doit être maintenue après le décès de ce dernier.
Les requêtes explicites formulées par un patient capable de consentir au sujet de ses données confidentielles doivent être respectées après son décès.
Dans les situations où un professionnel de la santé considère qu'une divulgation d'information après le décès d'un patient s'avère nécessaire ou souhaitable, ou s'il reçoit une demande de divulgation alors qu'aucune volonté spécifique du patient n'a été exprimée, il peut envisager de transmettre des données à des tiers, ou de divulguer des données au nom de l'intérêt public (voir points 19-23 du guide).
Accès du patient à ses informations médicales. Les professionnels de la santé doivent respecter les requêtes d'un patient d'accéder à ses informations médicales, et respecter leurs obligations découlant des lois de protection des données.

Protection, utilisations et divulgation des informations relatives au patient dans le cadre de ses soins médicaux

Informer le patient. Les professionnels de la santé doivent s'assurer que les patients et / ou leurs représentants légaux soient informés de manière appropriée :
- Du type d'informations qui sont récoltées et conservées ;
- Des objectifs de la récolte et de la conservation de ces informations ;
- Des mesures de protection mises en place pour empêcher toute divulgation de ces informations ;
- Du type de partage des informations qui sera, en règle générale, effectué ;
- Du choix offert au patient et/ou à son représentant légal quant à l'utilisation et à la divulgation des informations le concernant ;
- Du droit d'accès aux informations et, si nécessaire, de rectification de celles-ci dans les dossiers médicaux ;
- Des informations qu'il peut exiger selon la loi en vigueur et en vertu de la transposition de la directive 95/46/CE dans le droit national ; et
- De la législation ou des principes qui régissent la divulgation d'informations.
Les patients, ou - le cas échéant - leurs représentants légaux, doivent être informés du partage des informations s'avérant nécessaire pour les soins médicaux du patient. Dès lors qu'ils en sont informés, leur consentement explicite n'est pas nécessaire ; le consentement est en effet présumé pour un partage d'informations dans ces circonstances et sous l'angle éthique.
Audit clinique. Les professionnels de la santé doivent s'efforcer de rendre les règles et procédures d'audit clinique compatibles avec les exigences déontologiques du respect de la confidentialité des données de santé des patients.
Soignants informels. Les avantages potentiels du partage des informations avec les soignants informels doivent être discutés avec le patient et / ou son représentant légal. Cependant, le fait que ce partage d'informations puisse être bénéfique ne diminue aucunement le devoir de confidentialité qui doit être respecté par l'ensemble des soignants envers le patient.
Équipes multidisciplinaires. L'équipe des soins de santé peut intégrer des personnes de manière temporaire à des fins particulières. Les professionnels de la santé ne doivent pas divulguer d'information à ces intervenants temporaires, à moins que ceux-ci ne soient liées par un devoir de confidentialité adapté au degré d'information qui est leur divulgué.
Les équipes multidisciplinaires doivent élaborer des stratégies relatives à la divulgation d'informations confidentielles hors de l'équipe.

Les professionnels de santé peuvent être soumis à différents critères et seuils en ce qui concerne la divulgation d'informations confidentielles (notamment sous l'angle de l'intérêt public). Il est essentiel que les professionnels de la santé se familiarisent avec ces différences et modulent les divulgations en conséquence.
Équipes interinstitutionnelles. Avant d'impliquer d'autres institutions dans les soins de santé, il faut en parler au patient ou à son représentant légal. Une explication doit être donnée sur l'objectif poursuivi (par l'intervention d'autres institutions) et sur les modalités du partage de l'information envisagée avec les personnes concernées.
Lorsqu'un patient ou son représentant légal refuse de consentir à l'implication d'autres institutions, il convient de respecter ce refus, à moins que des intérêts prépondérants ne s'y opposent. (Voir Points 19-23.)

Lorsque d'autres institutions demandent des informations sur les patients, les professionnels de la santé doivent d'abord chercher à obtenir le consentement du patient ou de son représentant légal tant en ce qui concerne le principe de la transmission que le contenu des données divulguées.
Rôles et responsabilités multiples. Dans toute la mesure du possible, les professionnels de la santé doivent éviter de se placer en situation où ils doivent assumer, à l'égard d'un même patient, des rôles et des fonctions contradictoires.

Lorsqu'un professionnel de la santé est astreint à une double responsabilité, il est important qu'il explique dès le début de la consultation ou de l'entretien, au patient ou à son représentant légal, la position professionnelle qu'il occupe et le cadre dans lequel il intervient, ainsi que l'objectif de la consultation ou de l'entretien. Il doit également indiquer au patient ou à son représentant légal que les informations données ne seront, le cas échéant, pas traitées de manière confidentielle.

Protection, utilisation et divulgation des informations du patient à des fins médicales non directement associées aux soins médicaux

Consentement à des fins secondaires. Le consentement éclairé formel du patient ou de son représentant légal doit, dans la mesure du possible, être obtenu avant toute utilisation secondaire éventuelle des informations personnelles. Lorsqu'il y a consentement à la divulgation, seules les données nécessaires et minimales permettant d'identifier le patient seront utilisées à une fin médicale légitime.
Protection de l'identité du patient. En ce qui concerne les utilisations secondaires, et à des fins médicales, d'informations permettant d'identifier le patient, les professionnels de la santé doivent s'assurer que des règlements et protocoles appropriés pour la protection de l'identité du patient soient en vigueur et appliqués dans les hôpitaux, unités de soins et parmi les autres prestataires de services.
Anonymisation. Les informations ne doivent être conservées sous des formes permettant l'identification du patient que si cela s'avère nécessaire aux fins pour lesquelles ces données sont conservées. Les données qui sont rendues anonymes sont celles pour lesquelles l'identification directe ou indirecte du patient à partir de ces données est devenue impossible. Le patient et / ou son représentant légal doit être informé de l'intention d'anonymiser les données et des conséquences qui en découleront pour lui, notamment l'impossibilité d'accéder à ses propres données, de connaître leur utilisation ultérieure et, donc, d'y faire objection le cas échéant. Le patient et / ou son représentant légal doit être informé des buts du traitements des données anonymisées.

Obligations et justifications concernant la divulgation d'informations permettant l'identification du patient à des fins non médicales

Obligations légales de divulgation. Lorsqu'il devient évident, dans le cadre de la relation entre le professionnel de la santé et le patient, qu'une divulgation de données s'impose d'un point de vue légal, il convient d'en parler, dès que possible, avec le patient et / ou son représentant légal, à moins que cette discussion ne porte atteinte à l'objectif même de la divulgation. Avant de s'acquitter de toute obligation légale de divulgation, les professionnels de la santé doivent s'assurer que la situation en question relève clairement de la catégorie des cas pour lesquelles la transmission de données est légalement requise. Les professionnels de la santé doivent s'assurer que tout argument s'opposant à la divulgation d'information a bien été porté à la connaissance de l'autorité destinataire de cette information. Toute divulgation doit être limitée au strict minimum nécessaire.
Justifications de la divulgation. Les professionnels de la santé doivent s'assurer qu'ils sont bien informés des dispositions et principes légaux qui sont en vigueur là où ils exercent, et sur la base desquels ils seront appelés, le cas échéant, à procéder à une pesée d'intérêts contradictoires.
Dans les situations impliquant la divulgation d'informations afin de protéger les intérêts prépondérants de tiers, chaque cas doit être évalué selon sa particularité. La question à se poser est de savoir si la divulgation d'informations aux fins de protéger les intérêts de tiers prévaut, exceptionnellement et au nom de l'intérêt public, sur l'obligation du respect de la confidentialité envers le patient. Les décisions de divulguer des informations permettant d'identifier le patient, en dehors des services médicaux et lorsqu'aucune obligation légale ne l'impose, relèvent d'un jugement personnel.
Les facteurs à considérer avant de prendre une décision sont les suivants :
- L'importance des intérêts que la non divulgation des informations mettrait en péril. Par exemple : la divulgation se justifie plus facilement lorsque la vie ou l'intégrité (physique ou psychique) d'une tierce partie est en jeu ;
- La probabilité des conséquences négatives envisagées. Ainsi, la divulgation d'informations peut s'avérer justifiée lorsqu'existe un risque important de préjudice pour la vie d'autrui, mais peut ne pas l'être lorsque la probabilité de préjudice est faible;
- L'imminence d'un préjudice. Ainsi, la divulgation peut être justifiée lorsque la protection d'un tiers exige une action immédiate, mais ne l'est pas s'il n'existe qu'une simple possibilité que le patient ne constitue, à l'avenir, une menace pour autrui ;
- L'existence d'une autorité compétente à laquelle la transmission d'informations peut être envisagée;
- La nécessité de la divulgation pour éviter tout préjudice. En d'autres termes, il ne doit exister aucune autre possibilité d'empêcher un préjudice que celle de rompre la confidentialité ;
- La probabilité que la divulgation empêchera la survenance d'un préjudice. Les professionnels de la santé doivent être convaincus que la divulgation d'informations va permettre, selon toutes probabilités, d'empêcher la survenance d'un préjudice envers un tiers ou envers un bien public légalement protégé.
Divulgation d'informations dans le but de protéger l'intérêt supérieur du patient incapable de consentir. Lorsqu'un patient n'est pas capable de consentir, la divulgation peut être justifiée pour protéger ses intérêts. Savoir si la divulgation est justifiée dans un cas donné relève d'une pesée des intérêts en présence : l'intérêt du patient au maintien de la confidentialité de ses données, et les intérêts qui sont menacés en cas de non divulgation.
Bonne pratique en matière de divulgation d'informations justifiées. Dans tous les cas où une évaluation doit précéder la prise de décision, les professionnels de la santé doivent discuter du cas avec d'autres professionnels de la santé sans révéler les détails permettant l'identification du patient. Au besoin, ils solliciteront les conseils de juristes ou d'autres spécialistes. Dans la plupart des cas où il a été décidé de révéler des informations, une bonne communication avec les patients et le soutien de ces derniers s'imposent. Une fois que la décision est prise de divulguer une information, les professionnels de la santé sont invités à suivre la procédure usuelle suivante :
- Expliquer, au patient et / ou à son représentant légal, les raisons de cette transmission d'informations;
- Encourager le patient (et / ou le cas échéant son représentant légal) à transmettre lui-même ces informations à son destinataire (par exemple la police ou les services sociaux). Si le patient ou son représentant légal y consent, le professionnel de la santé s'assurera, auprès du destinataire, que les informations confidentielles ont bien été transmises ;
- Si le patient ou son représentant légal refuse d'agir, l'informer de l'intention de divulguer ces informations aux organismes ou personnes qui les exigent. Les professionnels de la santé ne doivent divulguer que les informations nécessaires, et dire au patient et / ou à son représentant légal quelles informations ont été transmises;
- Etre prêts à expliquer et justifier, le cas échéant, la décision de divulgation auprès de l'autorité compétente. Peu importe que les données confidentielles aient été transmises avec ou sans le consentement préalable du patient et/ou de son représentant légal. Les professionnels de la santé devraient reporter dans le dossier médical toutes les discussions, réunions et rendez-vous relatifs à la décision de divulguer ou non les données personnelles d'un patient.
Cette procédure usuelle peut ne pas être suivie, lorsqu'il s'avère que le fait d'informer le patient qu'une transmission de ses données est envisagée, pourrait faire échec au but poursuivi par la transmission en question.

Sécurité

Sécurité. Etant donné la responsabilité conférée aux professionnels de la santé concernant le respect de la confidentialité des données, ces derniers doivent s'assurer que les règlements et procédures en vigueur, appliqués dans leurs établissements et chez les prestataires de services, garantissent la sécurité des informations du patient.
Les professionnels de la santé doivent garder à l'esprit les strictes obligations de confidentialité auxquelles ils sont soumis lors de leurs échanges avec les patients, leurs représentants légaux, les proches et les autres professionnels, en particulier lors de l'utilisation de médias tels que le téléphone, les courriels, et les faxes.