§1 Les règles spécifiques aux archives publiques
A. Les conséquences de la qualification d’archives publiques.
2) Conséquences juridiques
163. La qualification d’archives publiques, et plus particulièrement celle d’archives hospitalières, va avoir des conséquences juridiques en matière de durée de conservation des données (a), et en matière d’élimination des données (b).
a) Les conséquences relatives à la durée de conservation des données
164. Les archives publiques sont, comme nous l’avons vu précédemment, encadrées par des textes précis. En ce qui concerne leur durée de conservation, le jeu de l’application des différents textes, de la loi à la simple circulaire, peut paraître un peu perturbant, d’autant plus que certains desdits textes sont anciens.
165. La qualification d’archives publiques entraîne, avant toute chose, l’obligation de conserver ces données. En effet, l’article L. 211-2 du Code du patrimoine dispose que « la
conservation de ces documents est organisée dans l’intérêt du public, tant pour les besoins de la gestion et de la justification des droits des personnes physiques ou morales, publiques ou privées, que pour la documentation historique de la recherche ». En ce qui concerne plus
précisément les archives hospitalières, les délais de conservation vont résulter à la fois des textes relatifs aux archives publiques, des textes relatifs à la conservation du dossier médical et de textes réglementaires complémentaires intervenus pour fixer la durée de conservation de certaines catégories de données de santé. L’arrêté du 11 mars 1968 classe, dans son annexe, les archives hospitalières en différentes catégories, auxquelles sont associées des durées de conservation. Ainsi, à titre d’exemple, dans la série "Q", qui concerne la population "malades hospitalisés", on trouve notamment les registres d’entrées et de sorties, qui doivent être conservés indéfiniment, tandis que dans la série "K", qui concerne le personnel, on trouve les mouvements du personnel administratif, qui doivent être conservés cinq ans. Les archives
99
hospitalières dites "administratives" ont vu, quant à elles, leur durée de conservation précisée par plusieurs circulaires, publiées entre 1993 et 1994224.
166. Plus récemment, la loi du 4 mars 2002225 a introduit une durée légale de conservation du dossier médical226. Ces règles sont édictées à l’article R. 1112-7 du Code de la santé publique. Par principe, le dossier médical est conservé pendant une durée de vingt ans, à compter de la date du dernier séjour de son titulaire dans l'établissement ou de la dernière consultation externe en son sein. Pour un patient mineur, si la durée de conservation d'un dossier s'achève avant le vingt-huitième anniversaire de son titulaire, celle-ci est prorogée jusqu'à cette date. Enfin, pour les patients décédés, le dossier est conservé pendant une durée de dix ans à compter de la date du décès.
A noter que ces délais sont suspendus par l'introduction de tout recours gracieux ou contentieux tendant à mettre en cause la responsabilité de l'établissement public de santé ou de professionnels de santé, en raison de leurs interventions au sein de l'établissement. Enfin, certaines données de santé, comme les données relatives aux transfusions sanguines ou les données relatives à l’aide médicale à la procréation, auront une durée de conservation différente de celles du dossier médical traditionnel.
167. Le but ici n’est pas de dresser une liste exhaustive des délais de conservation de chaque type de données. Nous souhaitions simplement souligner qu’en tant qu’archives publiques, les archives hospitalières doivent répondre à une obligation de conservation dont le délai dépend de la nature des informations archivées. Or, en la matière, force est de constater qu’il existe presque autant de délais différents qu’il y a de types de documents. Une harmonisation et, surtout, une mise à jour de l’ensemble de ces délais serait souhaitable. En effet, à l’heure actuelle, du fait de cette obligation de conservation, mais également du
224
Circulaire AD 93-4 du 14 mai1993, Archives des établissements publics d’hospitalisation ; Circulaire AD 94- 2 du 18 janvier 1994, Tri et conservation des archives des établissements publics de santé : documents produits après 1968 par les services administratifs chargés de la gestion des hospitalisations et consultations ; Circulaire AD 94-6 du 18 juillet 1994, Tri et conservation des archives des établissements publics de santé : documents produits après 1968 par les services chargés de la gestion du personnel et de la formation ; Circulaire AD 94-11 du 20 octobre 1994, Tri et conservation des documents produits après 1968 par les établissements publics de santé : archives de l’administration générale de l’établissement (Série L de l’instruction annexée à l’arrêté du 11 mars 1968).
225
Loi n° 2002-303 du 4 mars 2002 relative aux droits des malades et à la qualité du système de santé, JORF du 5 mars 2002, p. 4118.
100
passage, parfois difficile227, du papier au numérique, les établissements publics de santé doivent faire face à des difficultés de stockage, qu’elles soient physiques ou techniques. De même, comme nous le verrons ultérieurement, les supports de conservation informatique proposés actuellement ne garantissent pas la pérennité nécessaire pour répondre aux délais légaux de conservation. Les établissements se trouvent donc régulièrement dans l’obligation, pour plus de sécurité, de conserver les versions papiers, en plus des versions informatiques de certains documents, afin de satisfaire aux obligations légales.
En matière d’archivage des documents hospitaliers, un travail relatif au cadre légal, qui prendrait en compte les nouvelles contraintes techniques auxquelles doivent faire face les établissements publics de santé, devrait donc être initié par le législateur.
b) Les conséquences relatives à la suppression des données
168. En matière d’élimination des archives hospitalières, il nous plaît à emprunter l’expression de Caroline ZORN-MACREZ, qui nous parle de « paradoxe de la
suppression »228. En effet, dans ce domaine, plusieurs dispositions vont venir se superposer, voire s’opposer, créant alors de grandes difficultés d’interprétation des textes.
169. Classiquement, les archives publiques qui ont atteint le troisième âge peuvent faire l’objet d’une destruction, sous réserve du respect de certaines conditions strictes, prévues au Code du patrimoine. Une destruction des archives en dehors de ces règles entraîne la responsabilité de l’établissement. C’est d’ailleurs ce qu’a rappelé la Cour administrative d’appel de Marseille dans une décision du 25 juin 2009229. En l’espèce, un centre hospitalier
n’était pas en mesure de communiquer à un usager, et ce malgré un avis de la CADA en ce sens, les bandes d’enregistrement du SAMU, celles-ci ayant été détruites. Le centre hospitalier estimait qu’aucune faute ne pouvait lui être reprochée, aucun texte législatif ou réglementaire n’imposant la conservation de ces bandes.
La Cour d’appel de Marseille a considéré que l’enregistrement des échanges téléphoniques entre le médecin régulateur du SAMU et ses interlocuteurs constituait un
227 V. infra., n° 191 et s. 228
ZORN-MACREZ, Caroline. « Chroniques martiennes des données de santé numérisées », RDS, n° 36, juillet 2010, p. 340.
101
document produit par l’hôpital dans l’exercice de ses activités et répondait donc à la définition des archives publiques. Dès lors, la destruction des enregistrements étant intervenue en dehors de prescriptions prévues au sein de l’article 16 du décret n° 79-1037 du 3 décembre 1979, la destruction devait être considérée comme fautive, peu importe si celle-ci présentait un caractère intentionnel ou non. D’une manière générale, comme le rappelle une instruction ministérielle du 14 août 2007230, l’élimination des archives publiques est subordonnée au visa du directeur des archives départementales territorialement compétent, qui peut choisir d’en conserver certaines de manière définitive afin de documenter la recherche.Toutefois, l’établissement public de santé a toujours la possibilité de choisir de conserver les archives, même si la direction départementale des archives préconise leur élimination231.
170. En ce qui concerne le cas plus spécifique des archives médicales, l’article R. 1112-7 du Code de la santé publique prévoit que : « la décision d'élimination est prise par le
directeur de l'établissement après avis du médecin responsable de l'information médicale. Dans les établissements publics de santé et les établissements de santé privés participant à l'exécution du service public hospitalier, cette élimination est en outre subordonnée au visa de l'administration des archives, qui détermine ceux de ces dossiers dont elle entend assurer la conservation indéfinie pour des raisons d'intérêt scientifique, statistique ou historique »
La question qui pourrait se poser ici, et qui n’est pas directement encadrée par les textes, est l’hypothèse dans laquelle un patient, en raison du droit à l’oubli dont il dispose, demanderait l’élimination de son dossier médical et ce, dans sa totalité.
171. A ce sujet, il est avant tout nécessaire de tenter de définir ce qu’est le droit à l’oubli. Actuellement, il n’en n’existe aucune définition. Des infractions sont bien prévues par le Code pénal en cas de conservation « des données à caractère personnel au-delà de la durée prévue
par la loi ou le règlement, par la demande d’autorisation ou d’avis ou par la déclaration préalable adressé à la CNIL »232. De même, l’article 40 de la loi Informatique et Libertés prévoit bien, pour toute personne concernée par un traitement automatisé de données à caractère personnel, le droit d’obtenir que soient effacées les données personnelles la
230 Instruction interministerielle N°DHOS/E1/DAF/DPACI/ 2007/322 et N°DAF/DPACI/RES/2007/014 du 14
août 2007 relative à la conservation du dossier médical, non parue au JORF.
231
GARREC, René. « Rapport sur le projet de loi relatif aux archives », Rapport fait au nom de la commission des lois, Sénat, op. cit.
102
concernant et qui seraient inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l’utilisation, la communication ou la conservation est interdite. Enfin, plus récemment, le règlement européen a prévu, dans son article 17, la possibilité pour une personne dont les données à caractère personnel feraient l’objet d’un traitement, d’obtenir l’effacement de ces données dans les meilleurs délais mais dans la limite de certaines hypothèses strictement prévues233.
172. Toutefois, il ne s’agit jamais d’une possibilité pure et simple d’obtenir l’élimination complète d’un traitement automatisé. Au mieux, le patient dispose-t-il d’un droit à rectification au sujet de données erronées. Mais à qui appartient alors la possibilité d’apprécier si une donnée de santé est erronée ? La loi Informatique et Libertés répond à cette question puisque, toujours dans son article 40, elle précise qu’il appartient au responsable de traitement, en cas de contestation de la demande de rectification ou de suppression de données, d’apporter la preuve que ces données ne sont pas fausses, sauf s’il est établi que les données ont été communiquées par l’intéressé ou avec son accord. De plus, la création d’un dossier médical étant une obligation légale pour l’établissement, et la loi spéciale dérogeant au droit général, une telle demande nous semble impossible à autoriser. Pourtant la CNIL, qui a déjà eu à se prononcer sur une telle demande, s’est montrée favorable à l’application stricte de l’article 40. Ainsi, elle a considéré comme étant légitime, la demande d’un patient qui exigeait que soit effacé l’ensemble des documents conservés sur support informatique et concernant ses différentes hospitalisations. Le patient invoquait le fait qu’il était atteint d’une affection qu’il ne souhaitait pas révéler à sa famille et il craignait qu’un membre de sa famille,
233 L’article 17 du règlement européen prévoit : « La personne concernée a le droit d'obtenir du responsable du
traitement l'effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l'obligation d'effacer ces données à caractère personnel dans les meilleurs délais, lorsque l'un des motifs suivants s'applique:
a) les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière;
b) la personne concernée retire le consentement sur lequel est fondé le traitement, conformément à l'article 6, paragraphe 1, point a), ou à l'article 9, paragraphe 2, point a), et il n'existe pas d'autre fondement juridique au traitement;
c) la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 1, et il n'existe pas de motif légitime impérieux pour le traitement, ou la personne concernée s'oppose au traitement en vertu de l'article 21, paragraphe 2;
d) les données à caractère personnel ont fait l'objet d'un traitement illicite;
e) les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l'Union ou par le droit de l'État membre auquel le responsable du traitement est soumis;
f) les données à caractère personnel ont été collectées dans le cadre de l'offre de services de la société de l'information visée à l'article 8, paragraphe 1. »
103
médecin dans l’hôpital où il était pris en charge, consulte le système informatique et découvre ainsi sa pathologie234.
173. Bien qu’il faille remarquer ici qu’il ne s’agissait pas d’une demande d’élimination portant sur l’intégralité du dossier médical, l’avis de la CNIL, sur ce sujet, nous paraît néanmoins dangereux à plusieurs titres. D’une part, nous estimons que la CNIL remet en question l’efficacité des règles relatives au secret professionnel. En effet, la décision de supprimer des données de santé, par anticipation sur un éventuel accès frauduleux à celles-ci, laisse à penser que la CNIL n’a pas confiance dans les règles existantes en matière de partage de l’information médicale, règles qui s’appliquent aux professionnels de santé. La CNIL semble oublier qu’en matière de secret professionnel, les même règles sont opposables, qu’il soit question de données de santé papier ou informatisées. D’autre part, accepter la suppression de données informatisées, au motif que l’établissement public de santé possède toujours la possibilité de les conserver sur support papier, va à l’encontre du mouvement actuel qui tend à une informatisation complète des dossiers médicaux. Ce genre de situation se révèle donc très bloquant pour les établissements publics de santé, freinant considérablement le développement des TIC dans la pratique médicale.
Or, de telles demandes ne peuvent que se multiplier dans les années à venir, sous la double pression de la peur de l’outil informatique et de la crainte de l’ouverture à tous des archives, dont le délai de conservation serait écoulé. Nous pensons que la CNIL, bien que garante des droits des personnes dont les données font l’objet d’un traitement informatisé, devrait toutefois faciliter l’instauration d’un climat de confiance de l’outil informatique.