Une société spécialisée dans le domaine de la santé a collecté les données personnelles de patients et a prétendu avoir réalisé cette collecte en respect des conditions de sa politique de confidentialité.

Il semble utile de rappeler que les données de santé sont des données sensibles et qu’elles font à ce titre l’objet d’une protection particulière par les textes (règlement européen sur la protection des données personnelles, loi Informatique et Libertés, code de la santé publique, etc.) afin de garantir le respect de la vie privée des personnes.

Dans le cadre d’une procédure judiciaire en concurrence déloyale et en détournement de patientèle, elle a produit en justice une liste de patients afin d’obtenir une mesure d’instruction. Cette production s’avérait indispensable pour obtenir satisfaction sur la demande d’expertise.

La Cour d’appel de Nîmes par un arrêt du 10 novembre 2023 a jugé que la production en justice de données constituait une nouvelle finalité de traitement pour laquelle les personnes concernées n’avaient pas consenti.

La Cour d’appel de Nîmes a considéré que la société en cause « n’a pas informé, de manière transparente, ses patients que les informations personnelles collectées pourraient être transmises à l’autorité judiciaire et surtout à son concurrent. Les patients concernés n’ont pas donné leur consentement éclairé à l’utilisation de ces données en vue spécifiquement d’une action en justice intentée par la société IDS à l’encontre de son concurrent ».

La société avait soutenu avoir collecté les données de l’ensemble de ses patients dans le respect des conditions de sa politique de confidentialité prévoyant que les demandes de renseignements sur ses patients ne peuvent être satisfaites que pour des autorités publiques qui disposent dans le cadre de l’exercice de leur mission, de prérogatives particulières pour se voir communiquer des informations.

Cette argumentation a été rejeté et démontre l’absolue nécessité de définir avec précision la finalité de l’utilisation des données personnelles afin d’obtenir un consentement éclairé. Cela démontre également l’analyse juridique devant être effectuée lors de la rédaction du document généralement intitulé « politique de confidentialité » et des modalités et portées de l’acquiescement du titulaire des données collectées.