Selon la synthèse des recommandations professionnelles sur le dossier médical en santé au travail de la HAS en janvier 2009. Il est recommandé d’informatiser les dossiers médicaux pour l’Archivage données de santé.
Numériser les dossiers papier serait une solution à envisager.
Petit rappel sur la responsabilité que vous avez vis-à-vis du salarié suivi et de son dossier. Ce rappel permettra de connaître le responsable en cas de violation de données :
Le responsable de l’Archivage données de santé
Le médecin du travail ou le Service ne sont que les gardiens du DMST et doivent donc en préserver l’intégrité. À noter également qu’un médecin du travail qui fait jouer ses droits à la retraite ne saurait quitter le Service en emportant les dossiers des salariés. Le motif qu’ils lui “appartiendraient” ne peut etre avancé.
Même si la garde du dossier médical incombait initialement au médecin du travail qui devait prendre toutes les dispositions matérielles pour assurer le secret et l’inviolabilité de son fichier, ainsi que l’indiquait déjà le décret du 13 juin 1969 relatif à l’organisation des services médicaux du travail (D. n° 69-623), il convient de rappeler que le Conseil d’Etat a, suivant une décision en date du 11 février 1972 (n° 76799), confirmé que “lorsqu’un malade s’adresse à un organisme qui pratique la médecine collective, c’est à l’ensemble du personnel médical de cet organisme que le secret médical est, en principe, confié…”
La convention collective
De plus, la convention collective du personnel des services interentreprises de médecine du travail prévoit à ce titre, dans un article 10, que « (…) les services interentreprises s’engagent à prendre toutes dispositions utiles pour que le secret professionnel soit respecté dans les locaux qu’ils mettent à la disposition du personnel, notamment en ce qui concerne le courrier, les modalités de conservation des dossiers médicaux, quel qu’en soit le support… »
Le Code de déontologie médicale dispose en outre, en son article 73, que « le médecin doit protéger contre toute indiscrétion les documents médicaux concernant les personnes qu’il a examinées, quels que soient le contenu et le support de ces documents ». Ce même Code de déontologie médicale n’est opposable qu’aux seuls médecins et les expose – en cas de manquement – à une sanction ordinale de l’Ordre compétent (comme le blâme ou l’avertissement).
Il s’agit ainsi d’un régime de responsabilité spécifique qui vient s’ajouter aux principes généraux de la responsabilité ou encore du droit pénal. Donc, salarié d’un Service, le médecin du travail bénéficie en tout état de cause de l’immunité civile attachée à la relation préposé/commettant qui oblige tout employeur (et son assureur) à assumer les conséquences dommageables résultant de la faute d’un salarié (si elle est intervenue dans les limites de sa mission). Un médecin du travail de Service de santé au travail qui viendrait à égarer un dossier médical durant l’exercice de sa mission, verrait les éventuelles conséquences contentieuses d’une telle perte prises en charge par son employeur (c’est-à-dire le Service). De même, en cas d’une éventuelle violation de données, c’est bien le service qui serait responsable.
Cette introduction dispose et précise que les médecins du travail et les Services de santé au travail n’ont donc aucun droit de propriété – au sens strict – sur le dossier médical, mais uniquement l’obligation de la garde de celui-ci.
C’est le SSTI sur qui pèse l’obligation de conservation, il en est responsable. La conservation doit respecter le secret médical et le RGPD.
Plus précisément, c’est au patient seul (au salarié en l’occurrence) qu’appartiennent les données du dossier médical, lesquelles sont bien sûr protégées par le secret professionnel et le RGPD.
Rappel sur les délais de conservation
Il n’existe pas de texte consacrant un principe unique quant au délai de conservation du dossier médical en Santé au travail (DMST).
Le Code de Santé Publique propose des délais de conservation à respecter – CSP, art. R. 1112-7 – et le Code du travail prévoit différentes durées de conservation des documents de prévention par l’entreprise (5, 10 ans ou sans limitation), en plus des régimes spécifiques relatifs à certains risques (10, 12, 15, 20, 25, 30, 35, 40 ou 50 ans ).
On précisera, en tout état de cause, que la situation personnelle du salarié est sans incidence sur les principes de durée de conservation. Ainsi, que le salarié concerné soit embauché sur une courte durée ou en retraite, la durée de conservation de ses données par les professionnels demeure inchangée.
Il a été retenu un délai de conservation de 50 ans après l’âge de la retraite pour chaque dossier.
Avec ces informations, il serait préconisé de n’externaliser que les dossiers dont vous êtes certains que vous ne les conservez que pour être conforme aux délais de conservation et pour lesquels vous n’aurez pas à faire des consultations.
Hébergement et archivage des données de santé
Qu’elle soit sous forme numérique ou sur papier, une donnée de santé est une donnée sensible à protéger d’une part par le secret médical, mais d’autre part en adéquation avec le RGPD.
Cet hébergement de données, quel qu’en soit le support, papier ou numérique, ne peut avoir lieu qu’avec le consentement exprès de la personne concernée, ou dans le cas d’un service de santé au travail avec une information claire et précise. Sur ce point, nous avons mis en place un affichage qui doit se trouver dans l’ensemble des lieux accueillant des Salariés Suivis, informant de façon claire du devenir des données de santé que vous collectez.
Les traitements de données de santé à caractère personnel, quel qu’en soit le support, papier ou numérique, doivent être réalisés dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
La prestation d’hébergement, quel qu’en soit le support, fait l’objet d’un contrat. Lorsque cet hébergement est à l’initiative d’un professionnel de santé ou d’un établissement de santé, le contrat prévoit que l’hébergement des données, les modalités d’accès à celles-ci et leurs modalités de transmission sont subordonnées à l’accord de la personne concernée.
Les conditions d’agrément des hébergeurs des données, quel qu’en soit le support, sont fixées par décret en Conseil d’Etat pris après avis de la Commission nationale de l’informatique et des libertés et des conseils de l’ordre des professions de santé. Ce décret mentionne les informations qui doivent être fournies à l’appui de la demande d’agrément, notamment les modèles de contrats prévus au deuxième alinéa et les dispositions prises pour garantir la sécurité des données traitées en application de l’article 34 de la loi n° 78-17 du 6 janvier 1978 précitée, en particulier les mécanismes de contrôle et de sécurité dans le domaine informatique ainsi que les procédures de contrôle interne. Les dispositions de l’article L. 4113-6 s’appliquent aux contrats prévus à l’alinéa précédent.
Donc à minima, nous pouvons déterminer que :
Sous forme papier, l’hébergeur doit avoir un agrément du ministère de la culture.
Sous forme numérique, l’hébergeur doit avoir un agrément ou certification Hébergeur Données de santé (HDS).
La certification HDS
Il convient de préciser que :
HDS est une certification obligatoire pour tout prestataire hébergeant ou manipulant des données de santé. Elle existe depuis 2018 et s’impose pour l’hébergement et l’infogérance des services et applications contenant des données de santé identifiables et personnelles. C’est une procédure de certification qui repose sur une évaluation de conformité à un référentiel de certification.
Pour décrocher la certification HDS, l’hébergeur travaille avec un organisme certificateur. Ce dernier devra auditer les processus de travail et la manière de fonctionner de l’hébergeur afin de juger s’il est conforme au référentiel officiel. Sans certification HDS, il est impossible d’héberger des données de santé. En effet, cette certification assure aux professionnels de la santé, un environnement adapté et hautement sécurisé garantissant l’intégrité, la disponibilité et la confidentialité des données de santé. Sans cela, les risques seraient bien trop élevés, qu’il s’agisse d’accès non autorisé, de piratage ou de vol des données. La procédure de certification et le référentiel applicable sont détaillés dans le cadre juridique et règlementaire HDS.
La certification « Hébergement de Données de Santé » (HDS) a été inscrite dans la loi française en 2018.
Son objectif principal est de « garantir la confiance dans les tiers auxquels des structures et des professionnels des secteurs de la Santé confient les données de santé qu’ils produisent ou recueillent sur supports numériques » (FAQ HDS du Ministère de la Santé et des Solidarités du 16/05/2019).
Précédemment, nous avons vu que le législateur ne faisait pas de différence entre la donnée de santé numérique et sur papier et qu’il fallait lui accorder la même importance et le même niveau de sécurité.
Un hébergeur HDS n’a pas accès à la donnée, il devrait donc en être de même pour un archiviste.
Conclusion
Il est donc possible de confier des archives de dossiers médicaux à un archiviste externe aux conditions suivantes :
- qu’il soit agréé par le ministère de la culture,
- qu’il ne puisse consulter la donnée médicale ou que celle-ci soit totalement annonymisés.
Voici mes préconisations dans le cas ou vous souhaiteriez confier vos dossiers médicaux à un archiviste externalisé :
L’archiviste devra être agrée par le ministère de la culture et vous le prouver, vous devez avoir un contrat détaillant les spécificités d’archivage et, bien sûr, qu’il soit en conformité avec le RGPD en nous communiquant son registre de sous-traitants. De plus l’archiviste ne doit en aucun cas avoir une possibilité d’accès à la donnée médicale des salariés suivis, selon la méthode de votre choix et nous vous proposons que :
- chaque dossier ou groupe de dossiers soit dans une enveloppe scellée avec une identification si possible numérique / code barre. De plus, c’est cette enveloppe qui sera adressée au service de santé, si vous aviez besoin de consulter un dossier,
Ou
- Les dossiers soient dans des conteneurs scellés et le service devra récupérer un conteneur entier, même s’il a besoin que d’un dossier.
Attention, les points suivants ne sont pas compatibles avec le RGPD :
Il n’est pas possible de confier à un archiviste la numérisation des dossiers des salariés suivis,
Il n’est pas possible de demander à un archiviste d’extraire un dossier d’un groupe de dossier et qu’il ait potentiellement accès à de la donnée.
Toutes méthodes contraires au préconisations devraient être vue comme une éventuelle violation de données.
[…] il est possible de confier le secret médical à une société d’archivage externe, à condition de respecter les obligations de protection de la vie privée et de […]