L'ARS saisit la CNIL après l'utilisation de données privées des patients de deux cliniques à Marseille

L'Agence régionale de santé a saisi la CNIL mardi après l'utilisation de données privées de patients de deux cliniques privées marseillaises. Ils ont reçu des emails les incitant à soutenir un projet de fusion entre ces deux établissements. 

La construction du plus grand hôpital privé de France à Marseille suscitait déjà la controverse, vient s'y ajouter une polémique après l'envoi d'e-mails et de SMS à des patients des cliniques Vert-Coteau et Beauregard pour les inciter à soutenir sa réalisation.

L'Agence régionale de santé (ARS) a saisi mardi la Commission Nationale de l'Information et des Libertés (CNIL) et ajoute "c'est à elle de faire les contrôles et de décider des suites à donner à cette affaire". Elle précise cependant que

la sécurité des fichiers patients n'est pas de sa responsabilité de l'ARS mais du ressort du directeur de l'établissement. 

L'agence régionale avait reçu un courrier à la mi-février du député LREM de Marseille. Saïd Ahamada y dénonçait "une vaste affaire de "détournement présumé des données personnelles de ces patients, qui auraient été utilisées à des fins de communication en vue de diffuser une pétition favorable au projet d'hôpital privé à Saint-Barnabé dans le 12e arrondissement".  

Dépôts de plaintes

"On est très contents," déclare Cécile Vignes, membre fondatrice du collectif "Nos quartiers demain" (400 membres) qui se mobilise fortement contre ce projet d'"hôpital monstre" de 700 lits depuis le mois de septembre dernier.

Ça veut dire qu'on s'est servi des données personnelles qui étaient dans leur dossier médical.

"Nos membres sont tous du quartier et ce sont eux qui nous ont dit avoir reçu des mails et des SMS, raconte-elle. Ça veut dire qu'on s'est servi des données personnelles qui étaient dans leur dossier médical - nom, mail, téléphone - remises dans un cadre strictement médical et qui ont été utilisées sans leur consentement, pour une démarche strictement commerciale".

"Le pire, c'est qu'ils vont voir les patients dans leurs lits dans les chambres ou aux urgences pour leur faire signer la pétition", affirme-t-elle, "ils n'osent pas refuser, c'est de l'abus de faiblesse". 

L'association va par ailleurs porter plainte "collectivement et individuellement", précise Cécile Vignes qui indique attendre "d'avoir des éléments juridiques plus précis". Le collectif a lui aussi lancé une pétition en ligne contre le projet de l'hôpital de Saint Barnabé, qui a récolté plus de 1800 signatures.

Détournement de finalité

"Il y a infraction, quand on collecte des données personnelles comme les e-mails pour une finalité qui est de pouvoir identifier un patient, on ne peut pas les utiliser pour une autre finalité que celle annoncée, explique Véronique Rondeau-Abouly, avocate spécialisée en Droit du Numérique. Or l'hôpital les a utilisées pour faire signer une pétition, et il y a détournement de la finalité, et nous avons vérifié que ce changement de finalité n'est pas prévu dans le règlement général de la protection des données (RGPD) de l'hôpital."

La collecte de ces données doit être transparente

"Il y a aussi une notion de confiance qui entre en jeu, la collecte de ces données doit être transparente, ajoute l'avocate, qui précise par ailleurs que les e-mails ne sont considérés comme des "données sensibles" au même titre que les informations médicales. 

Quelles sanctions ?

Les patients concernés peuvent comme l'ARS saisir la CNIL individuellement ou collectivement, par le biais d'une association dédiée ou d'une association de consommateurs. 

"La CNIL saisie peut prendre des sanctions administratives, comme cela a été fait en 2018 à l'encontre de l'OPHLM de Rennes, sanctionné de 30 000 euros d'amende pour une affaire tout à fait similaire", souligne Me Rondeau-Abouly. Dans le cas marseillais, une sanction de la CNIL viendrait "asseoir" le préjudice par les patients qui souhaitent demander réparation.

"Individuellement, chaque patient peut également demander à l'hôpital l'accès à la totalité des informations collectées le concernant, c'est l'article 15 du RGPD, précise encore Me Rondeau-Abouly, et exercer un droit de rétractation ou d'effacement." Affaire à suivre.


France 3 Provence Alpes avait rencontré les riverains à l'automne 2018 au moment de l'enquête d'utilité publique ;.