Des données d'hospitalisation, dates d'entrée et de sortie, peuvent-elles être considérées comme des données purement administratives ou comptables et, à ce titre, être communiquées à une caisse d'assurance, ou doivent-elles être considérées comme des données médicales couvertes par le secret professionnel?

Avis du Conseil national :

Le Conseil national a, en sa séance du 7 septembre 1996, pris connaissance de votre demande d'avis du 9 juillet 1996 concernant la communication de données d'hospitalisation par un organisme assureur à une compagnie d'assurances.

Le Conseil national tient à rappeler que les dates auxquelles un patient a été hospitalisé sont des données couvertes par le secret professionnel.

En ce qui concerne plus précisément votre question de savoir si les données d'hospitalisation d'un assuré inscrit auprès de la Caisse auxiliaire d'assurance maladie-invalidité (et entre-temps décédé) doivent être considérées comme "des données purement administratives ou comptables" et donc en ce qui concerne leur communication à des tiers (en l'occurence une compagnie d'assurances) qu'elles ne bénéficient pas de la même protection que "des données médicales à caractère personnel" (cf. article 7 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel - LTDCP), le Conseil national a émis l'avis ci-dessous.

La définition donnée à l'art.7 de la LTDCP de "données médicales à caractère personnel" est la suivante : "Sont considérées comme données médicales toutes données à caractère personnel dont on peut déduire une information sur l'état antérieur, actuel ou futur de la santé physique ou psychique, à l'exception des données purement administratives ou comptables relatives aux traitements ou aux soins médicaux."

Des données purement administratives ou comptables relatives aux traitements ou aux soins médicaux sont donc exceptées de la catégorie des données médicales à caractère personnel.

La question est alors de savoir quand des données à caractère personnel sont"purement administratives ou comptables" ou "médicales".

Il convient de s'arrêter en premier lieu à la nature des données à caractère personnel: si celles-ci ont trait à l'état de santé d'une personne ou -dans le cadre d'une interprétation large de l'art.7 de la LTDCP- qu'elles peuvent y être reliées, il s'agit de données médicales à caractère personnel (CALLENS, S., Goed geregeld? Het gebruik van medische gegevens voor onderzoek, Antwerpen/Apeldoorn, MAKLU, 1995, p.31, n° 12, p.71, n° 82). Si des données déterminées ne fournissent qu'une information administrative ou comptable relative aux traitements ou aux soins médicaux, il ne s'agit alors pas de données concernant l'état de santé d'une personne et elles ne sont donc pas des données médicales.

Deuxièmement, le contexte joue également un rôle lorsqu'il est question de déterminer si des données sont oui ou non des données médicales à caractère personnel.

Ainsi, il peut arriver que des données ne révélant rien à première vue sur l'état de santé d'une personne et n'étant donc apparemment pas des données médicales, doivent pourtant être considérées comme telles en raison de l'usage qui en est fait. Des données concernant le sexe, la race, l'adresse, la profession, la situation familiale, etc., qui apparemment ne disent rien sur l'état de santé d'une personne, peuvent malgré tout constituer dans certains cas des données médicales à caractère personnel parce qu'en raison de leur enregistrement dans le fichier d'un médecin et de circonstances additionnelles, elles fournissent une information sur l'état de santé d'une personne. (CALLENS, S., op. cit., p. 89, n° 104)

Inversement, des données étant par nature des données médicales à caractère personnel mais utilisées à des fins administratives ou comptables, ne se soustraient pas à la description de "données médicales à caractère personnel" et ne deviennent pas des données purement administratives/comptables.

On relèvera l'importance aussi, dans certains cas, de l'intervention du médecin requis afin d'apprécier si une donnée déterminée est susceptible d'avoir un lien ou non avec l'état de santé d'une personne (par exemple pour établir le lien entre l'appartenance ethnique d'une personne et des problèmes psychologiques ou certaines affections). Selon le Comité de surveillance près la Banque-carrefour de la sécurité sociale -mais cette opinion n'est pas unanime- le fait que la connaissance, la détention et la communication de données nécessitent l'intervention d'un médecin est même le critère déterminant de la distinction entre donnée médicale et donnée administrative. (Rapport d'activité 1992, p.35)

En conclusion, on peut dire que la question de savoir si certaines données à caractère personnel sont des données médicales à caractère personnel ou des données purement administratives ou comptables devra être réexaminée dans chaque cas concret.

Dans le cas que vous exposez, il semble que des données d'hospitalisation peuvent constituer pour l'organisme assureur des données purement administratives et comptables dans le cadre de ses activités de facturation et de remboursement, mais qu'à partir du moment où elles arrivent dans un dossier d'assurance relatif à un sinistre, où il est question du décès d'une personne inscrite auprès de l'organisme assureur et où elles sont (peuvent être) combinées à d'autres données (médicales) à caractère personnel, une information peut être obtenue à propos de l'état de santé antérieur de l'assuré, ce qui fait des données d'hospitalisation des données médicales à caractère personnel ne pouvant être communiquées qu'aux conditions en vigueur en la matière, définies à l'article 7 de la LTDCP.