1/21
Chambre Contentieuse
Décision quant au fond 209/2025 du 18 décembre 2025
Un recours a été introduit contre cette décision auprès de la Cour des Marchés.
Numéro de dossier : DOS-2022-04440
Objet : Plainte contre un hôpital concernant la consultation d’un dossier patient
informatisé (DPI)
La Chambre Contentieuse de l'Autorité de protection des données;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la
protection des personnes physiques à l'égard du traitement des données à caractère personnel et
à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la
protection des données), ci-après « RGPD » ;
Vu la Loi du 3 décembre 2017 portant création de l'Autorité de protection des données (ci-après
« LCA ») ;
Vu le règlement d'ordre intérieur tel qu'approuvé par la Chambre des représentants le
20 décembre 2018 et publié au Moniteur belge le 15 janvier 2019 ;
Vu les pièces du dossier, en ce compris les conclusions en réponse et de synthèse des parties qui
ont régulièrement été échangées, et entendu les parties lors de l’audience du 1er octobre 2025 ;
A pris la décision suivante concernant :
Les plaignants : X1,X2 et X3 domiciliés […] représentés par Maitre Jean Herveg, ci-après
« les plaignants »
La défenderesse : Le Centre Hospitalier Y, ayant son siège […] inscrit sous le numéro d'entreprise
[…], représenté par Maitre Jean-Marc Van Gyseghem, ci-après « la
défenderesse »
Décision quant au fond 209/2025 — 2/21
I. Faits et procédure
1. L'objet de la plainte concerne la consultation d’un dossier patient informatisé (« DPI »).
2. Le 28 janvier 2021, X2, une des plaignants (ci-après la « Mère »), reporte un rendez-vous
chez sa kinésithérapeute, Mme Z (ci-après la « Kinésithérapeute »), travaillant en tant
qu’indépendante au centre Hospitalier Y, par un message WhatsApp.
3. Le 9 mars 2021, la Mère et sa Kinésithérapeute échangent via WhatsApp à propos de
leurs grossesses respectives.
4. Le 30 juillet 2021, la Mère envoie un message d’encouragement à sa Kinésithérapeute
via WhatsApp pour lui souhaiter une bonne fin de grossesse. Au cours de la
conversation qui s’en suit, la Kinésithérapeute de la Mère écrit « Et toi ? Comment ça
va ? Tt se déroule bien ? Si je me rappelle bien de mon espionnage c’est une petite
fille ? ». La Mère donne de ses nouvelles et précise « Après réflexion, je t’avoue qu’on
est assez contrariés. On voulait vraiment le découvrir à la naissance. Je pense que ta
curiosité était mal venue et nous a gâché la surprise. C’est très dommage ».
5. Le 24 août 2021, la Mère exerce son droit d’accès auprès de la défenderesse en
demandant la liste des accès à son DPI depuis le 1er janvier 2021.
6. Le 17 septembre 2021, la défenderesse communique cette liste à la Mère. Ce document
montre trois accès par la Kinésithérapeute en l’espace de quatre jours. La Mère
demande, par retour d’email de connaitre le document qui a été consulté.
7. Le 24 septembre 2021, la défenderesse confirme à la Mère que la Kinésithérapeute a
accédé aux résultats du test NIPT 1.
8. Le 30 septembre 2021, la défenderesse rompt la convention de collaboration qui la lie
à la Kinésithérapeute pour motif grave. Elle explique « En date du 29 septembre 2021,
nous avons pris connaissance de faits rendant définitivement et immédiatement
impossible la poursuite de toute collaboration. En effet, nous avons constaté que vous
avez consulté, de manière intempestive et répétée, les données médicales et
personnelles et confidentielles d’un patient vis-à-vis duquel vous n’avez aucun lien
thérapeutique ».
9. Le 10 mars 2022, le conseil des plaignants informe la défenderesse d’un accès non-
autorisé au résultat du test NIPT concernant l’enfant à naître de la Mère (ci-après
« l’Enfant ») et la met en demeure d’indemniser le dommage subi par les plaignants.
10. Le 5 août 2022, la défenderesse répond à la mise en demeure des plaignants. Elle
explique avoir mené une enquête en interne qui a confirmé que le lien thérapeutique
1
Le test NIPT permet notamment de connaitre le sexe du bébé et également détecter le syndrome de Down chez le fœtus.
Décision quant au fond 209/2025 — 3/21
entre la Mère et la Kinésithérapeute n’était pas suffisamment récent lorsque cette
dernière a accédé au DPI de la Mère. Elle précise que, suite à cet incident et
conformément aux dispositions règlementaires en vigueur au sein de l’hôpital, elle a mis
fin à sa relation contractuelle avec la Kinésithérapeute en raison de ces accès non-
autorisés. Par ailleurs, la défenderesse estime ne pas avoir commis de faute car elle
estime que la Kinésithérapeute doit être considérée comme unique responsable du
traitement en ce qui concerne le traitement litigieux. En outre, la défenderesse
considère avoir mis en œuvre des mesures techniques et organisationnelles
appropriées pour garantir la sécurité des données contenues dans les DPI de ses
patients.
11. Le 14 octobre 2022, les plaignants introduisent une plainte auprès de l’Autorité de
protection des données contre la défenderesse.
12. Le 8 novembre 2022, la plainte est déclarée recevable par le Service de Première Ligne
sur la base des articles 58 et 60 de la LCA et la plainte est transmise à la Chambre
Contentieuse en vertu de l'article 62, § 1er de la LCA.
13. Le 21 février 2025, les plaignants citent la défenderesse devant le Tribunal de Première
Instance pour les mêmes faits dans le but d’obtenir une indemnisation de 7500€ à titre
de compensation de leur dommage moral.
14. Le 7 mars 2025, la Chambre Contentieuse décide, en vertu de l’article 95, § 1er, 1° et de
l’article 98 de la LCA, que le dossier peut être traité sur le fond.
II. Motivation
II.1. A titre préliminaire
15. Le conseil des plaignants reproche à l’APD de ne pas l’avoir contacté avant de fixer les
délais de conclusions en vertu du principe de courtoisie. En outre, il estime que la
différence des délais de mise en état n’est pas justifiée. Il allègue que la différence de
longueur entre le délai prévu pour les plaignants et celui prévu pour la défenderesse
n’est pas justifié. En effet, celui-ci constate que la défenderesse a bénéficié de 45 jours
pour rédiger ses premières conclusions alors que les plaignants n’ont bénéficié que de
22 jours. Le conseil des plaignants allègue également que les jours de congés légaux
ont également diminué son délai de conclusion et estime avoir dû rédiger ses
conclusions dans l’urgence.
16. Le conseil de la défenderesse ne souhaite pas intervenir dans cette discussion mais
s’étonne que le conseil des plaignants n’ait pas jugé utile de contacter la Chambre
Décision quant au fond 209/2025 — 4/21
Contentieuse pour demander un aménagement du calendrier à la réception de la lettre
du 7 mars 2025 comme il en est usuel.
17. Premièrement, la Chambre Contentieuse relève que le règlement d’ordre intérieur de
l’APD prévoit explicitement la possibilité pour une partie de demander une dérogation
au délai communiqué2, et constate qu’aucune partie n’a fait usage de cette possibilité
en l’espèce.
18. Deuxièmement, la Chambre Contentieuse explique que la différence des délais d’état
est justifiée par le fait que lors de la réception de l’invitation à conclure, la défenderesse
apprend qu’une plainte est pendante et prend connaissance de son contenu pour la
première fois. Une enquête interne peut être nécessaire afin d’éclaircir les
circonstances qui entourent les faits à l’origine de la plainte et il peut être nécessaire de
faire appel à un avocat. Les plaignants connaissent le contenu de leurs griefs car ils les
ont déjà détaillés dans leur plainte. En outre, les plaignants expliquent avoir pris
plusieurs mois pour introduire leur plainte en raison, entre autres, de leur recherche
d’avocat et de la préparation de leur dossier. En accordant à la partie défenderesse un
premier délai de conclusions plus long, comme il en est usuel dans sa procédure, la
Chambre Contentieuse a cherché à rétablir un équilibre entre les parties, afin de lui
permettre de préparer sa défense dans des conditions similaires à celles dont ont
bénéficié les plaignants avant l’introduction de leur plainte.
19. En l’espèce , la Chambre Contentieuse n’a donc pas porté atteinte aux droits de la
défense des plaignants en accordant un premier délai de conclusion plus long pour la
défenderesse, d’autant plus que cette dernière se serait vu accorder une prolongation
du délai sur simple demande. Il pourra également être remarqué que le délai pour le
deuxième jeu de conclusions de la défenderesse est de la même durée que celle du
plaignant.
II.2. En ce qui concerne l’intérêt à agir de l’Enfant, en qualité d’enfant à naître au moment du
traitement
20. La défenderesse s’étonne que la plainte soit déposée, entre autres, au nom de l’Enfant,
encore à naitre au moment où les consultations dénoncées ont eu lieu. Elle allègue que
le RGPD ne s’applique qu’aux personnes ayant la personnalité juridique et que dès lors,
l’Enfant, n’ayant pas la personnalité juridique au moment des faits, ne peut pas être
retenue comme plaignante dans ce dossier. Elle soutient également ne pas percevoir
de dommage subi par l’Enfant du fait de la consultation des résultats du test NIPT.
2
Article 111 du ROI.
Décision quant au fond 209/2025 — 5/21
21. Le conseil des plaignants estime que l’Enfant, étant née au moment du dépôt de la
plainte, peut être retenue comme plaignante dans ce dossier. Il allègue également que
« le RGPD n’a pas pour objectif de restreindre les droits des personnes concernées mais
de leur permettre de prospérer ».
22. Afin de pouvoir connaitre de la recevabilité de la plainte dans le chef de l’Enfant, une
analyse doit être conduite sur l’applicabilité du RGPD aux données d’un enfant non
encore né indépendamment de la protection qui est reconnue à ces données en tant
que données de santé de la mère de l’enfant. En effet, en l’espèce les données qui ont
été consultées concernent la Mère mais également l’Enfant qui n’était à ce moment-là
pas encore née.
23. Le RGPD offre une protection aux données à caractère personnel des personnes
physiques identifiées ou identifiables. Il précise ne plus être applicable aux données des
personnes décédées mais est muet en ce qui concerne son application aux données
des personnes à naitre.
24. Le Comité des Ministres du Conseil de l’Europe mentionne à ce sujet que “les données
médicales relatives aux enfants à naitre doivent être considérées comme données à
caractère personnel et bénéficier d’une protection comparable à la protection des
données médicales d’un mineur »3.
25. De son côté, le groupe de travail « article 29 », prédécesseur du Comité européen de la
protection des données (CEPD), explique, dans un avis se rapportant à la directive
95/46/EC (prédécesseuse du RGPD, que ce dernier remplace et abroge), que
“l'applicabilité des règles de protection des données avant la naissance dépend de
l'orientation générale adoptée dans les ordres juridiques nationaux à propos de la
protection des enfants à naître. Pour tenir essentiellement compte des droits de
succession, certains États membres reconnaissent le principe selon lequel les enfants
conçus mais pas encore nés sont considérés comme s'ils étaient nés s'agissant de
certains droits (ils peuvent par exemple hériter ou accepter une donation), sous réserve
qu'ils naissent effectivement. Dans d'autres États membres, ils bénéficient d'une
protection spécifique régie par des dispositions légales particulières, également
subordonnée à la même condition. Afin de déterminer si les dispositions nationales de
protection des données protègent également les informations concernant les enfants
à naître, il convient de considérer l'approche générale de l'ordre juridique national, tout
en gardant à l'esprit que la finalité des règles de protection des données est de protéger
3
Recommandation no. R(97) 5 du Comité des Ministres aux Etats membres sur la protection des données médicales.
Traduction non officielle de “Medical data concerning unborn children should be considered as personal data and enjoy a
protection comparable to the protection of the medical data of a minor”.
Décision quant au fond 209/2025 — 6/21
la personne physique »4. Le RGPD n’apportant pas davantage de précisions sur ce point
que la directive 95/46/CE, et aucun autre document du CEPD ne traitant
spécifiquement de cette question n’ayant été publié, il convient de considérer que l’avis
du Groupe de travail « Article 29 » (WP29) n’a pas été remplacé par un texte plus récent
et demeure, à ce titre, utile et pertinent5.
26. La Chambre Contentieuse examine donc l’ordre juridique belge afin de déterminer si
son orientation générale se dirige vers la protection de l’enfant à naitre et qu’il doit donc
être considéré que le RGPD s’applique bien aux données à caractère personnel des
enfants à naitre indépendamment de la protection reconnue à ces données dans le chef
de la mère de l’enfant.
27. En droit belge, la personnalité juridique s’acquiert à la naissance lorsque l’enfant nait
vivant et viable6. Cependant, le législateur belge a, à plusieurs reprises, entériné des
exceptions selon lesquelles l’enfant est considéré comme né dès sa conception lorsque
son intérêt l’exige à condition de naitre viable7. C’est notamment le cas en matière de
successions. Ces exceptions font écho à l’adage latin « infans conceptus pro nato
habetur quoties de commodise eius agitur ».
28. Certains auteurs reconnaissent cet adage comme principe général de droit tandis que
d’autres, à l’instar de la Cour de cassation8, y sont plus frileux notamment en raison des
conséquences que ceci pourrait avoir sur la responsabilité des professionnels de santé
et des parents à l’égard des actes posés durant la grossesse ayant des conséquences
sur l’enfant à naître9.
29. Une proposition de loi de 2020, désormais abandonnée, proposait de créer une base
légale à l’adage « infans conceptus » dans l’objectif, entre autres, de pouvoir mettre en
place des mesures de protection de l’enfant à naitre pendant la grossesse. Le Conseil
d’Etat a rendu un avis négatif sur cette proposition en estimant que cette proposition
aurait pour conséquence de conférer de facto la personnalité juridique à l’enfant à
naitre en ce que les mesures de protection prises pendant la grossesse ne peuvent pas
être annulées si la condition de naissance viable n’est pas remplie. Le Conseil d’Etat
estime donc que la création d’une base légale générale pour l’adage « infans
conceptus » n’est pas opportune mais « qu’il serait plutôt indiqué de préférer à
4
Avis 4/2007 du WP29 sur le concept de données à caractère personnel
5
Voir “Is the guidance adopted by the Article 29 Working Party (WP 29) still relevant today ?”, disponible sur
https://www.edpb.europa.eu/about-edpb/faq-frequently-asked-questions/guidance-adopted-article-29-working-party-
wp29-still en.
6
A. CASSIERS, Vers un droit à l’enfant parfait ?, Larcier, 2025, p. 639.
7
Articles 4.4 et 4.137 C.Civ.
8
Cass., 2 mars 2012, RTDF, n°3, 2012, p. 712-733.
9
A. CASSIERS, Vers un droit à l’enfant parfait ?, Larcier, 2025, p. 640.
Décision quant au fond 209/2025 — 7/21
l’adoption de ce dispositif général l’insertion ponctuelle, dans les législations
particulières, des dispositifs juridiques précis par lesquels l’intérêt de l’enfant à naitre
serait protégé »10. La Chambre Contentieuse tire des analyses du Conseil d’État la
conclusion que l’intérêt de l’enfant à naître peut être protégé dans certaines
circonstances définies, sans qu’il soit pour autant opportun d’en admettre une
applicabilité générale.
30. La Chambre Contentieuse n’entend pas reconnaitre un éventuel principe général de
droit ou accorder de manière générale une personnalité juridique fictive à l’enfant à
naitre mais bien de déterminer si dans le cas d’espèce, l’ordre juridique belge tendrait
ou non vers une protection de l’enfant à naitre. En consacrant une protection ciblée de
l’enfant à naitre dans certains contextes lorsqu’il en va de son intérêt et sous condition
que celui-ci naisse vivant et viable, la Chambre Contentieuse considère que le
législateur belge développe une approche protective de l’enfant à naitre dans le
contexte en question.
31. La Chambre Contentieuse en déduit qu’en ce qui concerne des accès non-autorisés aux
données d’un enfant à naître né vivant et viable, la protection offerte par le RGPD, dans
le contexte du droit belge tel que décrit et sur base des éléments mis en lumière par le
Groupe de Travail « Article 29 », doit être entendue comme couvrant également les
données des enfants à naître, indépendamment de la protection qui peut déjà leur être
accordée par l’intermédiaire de la mère pour les données la concernant.
32. Cette interprétation est également confirmée par le Comité des Ministres du Conseil
de l’Europe11.
33. Dans ce contexte, la Chambre Contentieuse a considéré qu’une lecture téléologique du
champ d’application du RGPD qui vise à protéger les données des personnes physiques
était appropriée. Notamment, s’il était considéré que les données à caractère personnel
de l’enfant à naitre mais né vivant et viable ne sont pas couvertes par la protection du
RGPD, ceci engendrerait un manquement dans la protection de ces données une fois
l’enfant né. Par exemple, les données de santé relatives à l’enfant à naitre rendues
manifestement publiques par sa mère, laquelle serait la personne concernée en
l’occurrence, pourraient être traitées sur la base de licéité prévue à l’article 9.2.e sans
que l’enfant, une fois né, ne puisse s’y opposer12.
10
Avis du Conseil d’Etat n°67.057 (AG) du 12 novembre 2020 sur une proposition de loi ‘modifiant le Code civil en vue
d’instaurer une protection juridique prénatale’ , disponible sur https://www.raadvst-consetat.be, p. 16/37.
11
Recommandation n° R (97) 5 du Comité des Ministres aux Etats membres sur la protection des données médicales, adoptée
le 13 février 1997.
K.PORMEISTER et Ł. DROŻDŻOWSKI, “Protecting the Genetic Data of Unborn Children : A Critical Analysis”, EDPL, 1/2018, p.
12
62.
Décision quant au fond 209/2025 — 8/21
34. En outre, dans ce cadre spécifique, limiter la protection des données relatives à l’enfant
à naître à leur seule qualification de données à caractère personnel relatives à la mère
biologique ne permettrait pas de prendre en compte les situations particulières dans
lesquelles les parents de l’enfant ne sont pas biologiquement liés à lui, notamment dans
les cas d’adoption13.
35. Enfin, en l’espèce, ne pas reconnaitre une protection autonome aux données de l’enfant
à naitre pourrait engendrer, après la naissance de l’enfant, une protection fictive des
mêmes données dans le chef de deux personnes distinctes, la mère et l’enfant
désormais né14.
36. Bien que les représentants légaux de l’enfant disposent de la capacité de le représenter
en justice, cette capacité ne peut être exercée que dans l’intérêt de l’enfant. Or, cette
exigence d’agir dans l’intérêt de l’enfant disparaît lorsque les données à caractère
personnel sont réputées se rapporter à la mère plutôt qu’à l’enfant.
37. En conclusion, assurer la protection des données des enfants à naître uniquement à
travers celle reconnue aux données de leur mère biologique aurait pour conséquence
de fragiliser la protection des données des mineurs, ceux-ci ne disposant que d’un
contrôle diminué sur les informations les concernant, collectées durant la grossesse. La
Chambre Contentieuse constate donc que l’Enfant dispose d’un intérêt à agir.
38. En l’espèce, les données à caractère personnel du père de l’Enfant (ci-après le « Père »)
ne sont pas traitées par l’hôpital, dès lors qu’aucune information ne permet de
l’identifier directement ou indirectement en tant que personne concernée. Le Père ne
dispose donc pas d’un intérêt à agir en tant que personne concernée. Toutefois, en sa
qualité de représentant légal, il est habilité à agir pour le compte de l’Enfant, dont les
données à caractère personnel sont traitées.
39. En tout état de cause, il est incontestable que la Mère dispose d’un intérêt à agir car son
DPI a été consulté par la Kinésithérapeute. Un traitement de ses données à caractère
personnel a donc été opéré. La plainte est donc recevable à tout le moins dans son chef.
La Chambre Contentieuse est donc valablement saisie pour l’examiner.
II.3. En ce qui concerne la qualification des parties
40. Les plaignants considèrent que la défenderesse doit être considérée comme
responsable du traitement en question. Ils précisent que leur plainte porte sur le non-
respect par la défenderesse de ses obligations en matière de protection des données
13
Ibidem
14
Ibidem
Décision quant au fond 209/2025 — 9/21
qui ont permis les accès non-autorisés. La Kinésithérapeute, est, selon eux, également
en tort mais cela n’exonère pas la défenderesse de sa propre responsabilité.
41. La défenderesse estime que, la Kinésithérapeute ayant agi de son propre chef et hors
des finalités déterminées par elle pour consulter les données de la Mère doit être
considérée comme seule responsable du traitement des données de la Mère en ce qui
concerne la consultation des résultats du test NIPT.
42. La notion de responsable du traitement est définie comme « la personne physique ou
morale ou toute autre entité qui seule ou conjointement avec d’autres, détermine les
finalités et les moyens du traitement de données à caractère personnel »15.
43. La Chambre Contentieuse a rappelé précédemment que le traitement de données par
un employé d’une organisation dans le cadre de ses activités est réputé avoir lieu sous
son autorité. Cependant, dans certaines situations exceptionnelles dans lesquelles
l’employé dépasse de manière illicite l’autorité qui lui a été confiée en définissant lui-
même les finalités d’un traitement de données à caractère personnel, l’employé peut
agir en tant que responsable du traitement16. Cette position est celle également prônée
par le CEPD dans ses lignes directrices concernant les notions de responsable du
traitement et de sous-traitant dans le RGPD17.
44. Les professionnels de soin disposent d’un accès aux dossiers médicaux de leurs
patients dans le but de pouvoir offrir des soins qualitatifs. La défenderesse leur impose
de ne consulter que les données des patients nécessaires à leur fonction et dans le
cadre du lien thérapeutique qui existe avec le patient18.
45. La relation ou lien thérapeutique est généralement comprise comme « la relation entre
un patient déterminé et un ou plusieurs professionnels des soins de santé associés à
l’exécution des actes de diagnostic, de prévention ou de prestation de soins à l’égard
du patient. »19
46. Il n’est pas contesté par les parties que la Kinésithérapeute a bien agi en tant que
kinésithérapeute de la Mère au moins jusqu’en janvier 2021, moment où elle reporte un
rendez-vous médical pris avec cette Kinésithérapeute. Les plaignants considèrent
qu’aucun rendez-vous n’a eu lieu après janvier 2021 et que le lien thérapeutique qui
existait devait dès lors être considéré comme terminé. La défenderesse, dans ses
15
Art. 4.7) du RGPD
16
Décision quant au fond 64/2025 du 1er avril 2025.
17
EDPB, Lignes directrices 07/2020 concernant les notions de responsable de traitement et de sous-traitant dans le RGPD, 7
juillet 2021, paragraphe 19, accessible sur : https://www.edpb.europa.eu/system/files/2023-
10/edpb_guidelines_202007_controllerprocessor_final_fr.pdf
18
Circulaire secret médical et protection vie privée, pièce 6 introduite par la défenderesse.
19
Note relative aux preuves électroniques d’une relation thérapeutique et d’une relation de soins du Comité sectoriel de la
sécurité sociale et de la santé du 18 octobre 2011, modifié le 6 juillet 2021.
Décision quant au fond 209/2025 — 10/21
conclusions, conteste cette interprétation et considère que le lien thérapeutique
existait toujours au moment de la consultation. Ce point de vue est différent de celui
qu’elle adoptait à l’époque de la consultation en ce qu’elle justifie la rupture du contrat
de la Kinésithérapeute pour motif grave par la consultation, « de manière intempestive
et répétée, les données médicales et personnelles et confidentielles d’un patient vis-à-
vis duquel [elle] n’a aucun lien thérapeutique »20.
47. La Mère, dans sa communication WhatsApp du 9 mars avec la Kinésithérapeute,
l’informe avoir fait le NIPT test le jour même et qu’on lui a dit que les résultats seront
disponibles endéans les 15 jours. La Kinésithérapeute lui dit que les résultats seront
disponibles environ 7 jours ouvrables à partir du lendemain. La Chambre Contentieuse
note que les accès litigieux ont eu lieu le 16, 17 et 19 mars 2021, soit environ une
semaine après cette conversation entre la Mère et la Kinésithérapeute. La Chambre
Contentieuse constate donc que la Kinésithérapeute a consulté les résultats à la suite
d’une conversation de nature privée avec la Mère aux alentours du moment prévus pour
la publicité des résultats du test de la Mère.
48. Au cours de l’audition, le conseil de la défenderesse allègue qu’il pourrait y avoir eu une
autorisation ou une demande de la Mère envers la Kinésithérapeute de consulter son
dossier pour avoir plus rapidement les résultats du test NIPT. Le conseil des plaignants
conteste fermement cette interprétation. La Chambre Contentieuse ne peut pas suivre
l’argumentaire du conseil de la défenderesse sur ce point car il n’existe aucune preuve
d’une telle autorisation ou demande. Le responsable du traitement doit être en mesure
de démontrer la conformité de son traitement au RGPD21. Ainsi, lorsque la licéité du
traitement repose sur le consentement, il appartient au responsable du traitement
d’apporter la preuve de l’obtention dudit consentement. En outre, la Kinésithérapeute
mentionne dans sa conversation d’août avec la Mère avoir procédé à un « espionnage ».
La Chambre Contentieuse note que la Kinésithérapeute, en utilisant le terme
« espionnage », savait qu’elle agissait en dehors de l’éventuel lien thérapeutique et sans
autorisation de la Mère.
49. La Chambre Contentieuse constate que la consultation des résultats d’un test
génétique par la Kinésithérapeute n’étaient pas nécessaires pour prodiguer des soins
de kinésithérapie à la Mère. L’existence d’une éventuelle relation thérapeutique entre
un patient et un prestataire de soin ne rend pas licite la consultation de toutes les
données de santé du patient par ce même prestataire de soins22, en particulier au vu de
la sensibilité des données génétiques. Cette consultation n’aurait donc pas pu avoir lieu
20
Lettre de rupture de la convention de collaboration entre le centre Hospitalier Y et Mme Z, pièce 10 de la défenderesse.
21
Articles 5.2. et 24 du RGPD.
22
Avis Commission Fédérale « Droits du patient », avis concernant la « Note relation à la relation thérapeutique » établie par le
Groupe de travail G19 de la plate-forme eHealth, rev. dr. santé, 2009-10, liv.3, p. 167.
Décision quant au fond 209/2025 — 11/21
dans le cadre de l’éventuel lien thérapeutique qui liait la Kinésithérapeute à la Mère. Il
n’y a donc pas lieu de déterminer si cette relation thérapeutique était toujours
d’actualité au moment des faits litigieux.
50. Sur base de ce qui précède, la Chambre Contentieuse estime que la Kinésithérapeute a
outrepassé l’autorité qui lui a été confiée par la défenderesse et doit donc être
considérée comme seule responsable du traitement en ce qui concerne la consultation
des résultats du test NIPT.
51. Malgré cette constatation, le centre Hospitalier Y reste responsable du traitement en
ce qui concerne la tenue et la mise à disposition des DPI de ses patients aux
professionnels de la santé travaillant au sein du groupe hospitalier. Il lui incombe donc
de mettre en place des mesures techniques et organisationnelles garantissant le
respect des dispositions du RGPD23.
II.4. En ce qui concerne le traitement des données à caractère personnel de la Mère
supposément sans base de licéité et pour une finalité incompatible
52. Pour être licite, chaque traitement de données à caractère personnel doit être fondé
sur une base de licéité prévue par le RGPD et doit poursuivre une finalité compatible
avec celle pour laquelle les données ont été récoltées.
53. La défenderesse considère que, n’étant pas responsable du traitement litigieux, elle n’a
pas opéré de traitement sans base de licéité.
54. Les plaignants omettent de conclure à ce sujet.
55. La Chambre Contentieuse renvoie au point précédent et détermine qu’il n’y a pas lieu
de se pencher sur la licéité du traitement opéré dans le chef de la défenderesse dès lors
qu’il a été déterminé que celle-ci n’est pas responsable du traitement en ce qui
concerne la consultation des résultats du test NIPT opéré par la Kinésithérapeute.
II.5. En ce qui concerne l’obligation de mettre en place des mesures techniques et
organisationnelles (5.1.f), 5.2., 24 et 32)
56. Comme il a été établi à la section précédente, la Kinésithérapeute est responsable du
traitement en ce qui concerne la consultation des données médicales de la Mère.
Cependant, la défenderesse est responsable du traitement en ce qui concerne le
traitement des données de santé de ses patients dans le cadre de la gestion du DPI. De
cette manière, la défenderesse est responsable, entre autres, de la gestion des accès à
ce logiciel et de la sécurité des données qui y sont contenues.
23
Voir point II.5
Décision quant au fond 209/2025 — 12/21
57. En sa qualité de responsable du traitement, la défenderesse est notamment tenue de
mettre en place des mesures techniques et organisationnelles qui permettent de
garantir la conformité du traitement avec le RGPD et de démontrer cette conformité24.
58. Eu égard à son rôle de responsable du traitement des données contenues dans le DPI,
elle est tenue de mettre en place des mesures techniques et organisationnelles afin de
garantir la conformité du traitement avec le RGPD, notamment d’assurer la sécurité des
données traitées. Par conséquent, la défenderesse doit mettre en place des mesures
qui permettent d’éviter ou à tout le moins, limiter les accès illicites aux données
contenues dans les DPI des patients.
En ce qui concerne le point de vue de la défenderesse
59. La défenderesse détaille les mesures qu’elle a mises en place afin de garantir la
conformité du traitement au RGPD.
60. À titre préliminaire, elle explique qu’en raison de la nécessité de garantir des soins de
qualité nécessitant un suivi pluridisciplinaire, il n’est pas possible pour un hôpital de
« déterminer, à l’avance, les acteurs de santé qui devront accéder à quelles données de
quel patient ». Elle précise donc que tous les prestataires de soins (et notamment les
kinésithérapeutes) ont un accès technique possible aux dossiers de tous les patients
du groupe hospitalier. Cependant, , les le personnel « nursing », les secrétaires
médicaux/les, et le personnel administratif (notamment la
comptabilité/facturation)disposent à l’inverse de droits d’accès d’accès beaucoup plus
restreints et strictement limités à ce qui est nécessaire pour leur fonction. La
défenderesse précise lors de l’audition que différents profils types sont créés dans le
logiciel. Chacun de ces profils donnent des accès prédéterminés dans le DPI. Lorsqu’un
nouveau collaborateur arrive, le gestionnaire lui attribue un profil type qui est lié avec
des accès spécifiques liés à sa fonction au sein du groupe hospitalier. En l’espèce, la
Kinésithérapeute disposait d’un profil « prestataire de soin », ce qui signifie qu’elle
disposait d’un accès complet au DPI de la Mère, au même titre qu’un médecin.
61. La défenderesse explique également que son choix de sous-traitant pour la fourniture
d’un logiciel de DPI est limité par un très petit marché en Belgique. Elle réfute avoir
choisi un fournisseur peu fiable et précise que le sous-traitant sélectionné fournit neuf
hôpitaux sur dix en Belgique. La défenderesse explique avoir contacté à plusieurs
reprises son sous-traitant afin de demander des informations concernant la gestion du
lien thérapeutique sur le logiciel. Ce sous-traitant n’a pas modifié son logiciel à ce jour
et il n’est pas possible de changer de sous-traitant car la mise en place d’un nouveau
24
Article 5.2. et article 24 du RGPD
Décision quant au fond 209/2025 — 13/21
logiciel prendrait au moins trois ans et couterait très cher25, sans garantie que ce
nouveau logiciel n’offre une solution satisfaisante aux problèmes d’accès comme celui
dénoncé par les plaignants.
62. La défenderesse fait part de divers moyens utilisés pour informer le personnel
hospitalier de l’interdiction de consulter les données de patients avec lesquels ils n’ont
pas de lien thérapeutique.
a. Les membres du personnel s’engagent contractuellement à n’accéder qu’aux
données des patients avec lesquels il y a un lien thérapeutique et dont ils ont besoin
dans le suivi de soins.
b. La défenderesse a également adopté une charte informatique qui s’applique à tous
les prestataires de soin qui travaillent en son sein. La section concernant l’accès aux
données médicales est formulée comme suit : « L’accès aux données médicales
doit répondre aux exigences légales, déontologiques et réglementaires en vigueur.
Notamment :
• pour le prestataire de soins (médical, infirmier, paramédical), la
consultation ou l’utilisation de données médicales, même brièvement,
suppose l’existence d’une relation thérapeutique préalable, justifiable,
entre le prestataire et le patient concerné par les données ;
• pour le personnel des services administratifs (secrétariats, informatique,
facturation, comptabilité, etc…), la consultation des données médicales
doit se dérouler strictement dans le cadre de sa mission. Il doit exister une
relation administrative préalable, justifiable, entre le prestataire de soins
administratif et le patient concerné par les données. »
c. La défenderesse présente également une circulaire interne intitulée « protection
de la vie privée et secret médical » dans laquelle il est rappelé aux collaborateurs
que « l’accès aux données des patients est strictement limité aux nécessités de sa
fonction et doit être justifié par le lien thérapeutique (ou administratif) qui existe
avec le patient. ».
d. Le règlement général de la défenderesse, s’appliquant à l’ensemble des personnes
travaillant au sein de ses différents sites, mentionne que « l’accès au dossier patient
informatisé est strictement individuel et est soumis aux règles de confidentialité et
de secret professionnel. Un médecin ne peut accéder au dossier médical d’un
25
Informations communiquées par la défenderesse au cours de l’audition.
Décision quant au fond 209/2025 — 14/21
patient que dans le cadre de l’existence d’un lien thérapeutique avec ce dernier.
Tout abus est susceptible d’entrainer des sanctions sévères ».
e. La défenderesse relève également que la page de connexion au logiciel DPI
mentionne que l’accès au dossier médical est conditionné à l’existence d’une
relation thérapeutique avec celui-ci.
63. Ensuite, la défenderesse précise que les logs du DPI sont enregistrés. Ceux-ci ont
d’ailleurs pu être transmis à la Mère lorsqu’elle en a fait la demande.
64. Pour terminer, la défenderesse rappelle que le contrat qui la liait à la Kinésithérapeute
a été rompu avec effet immédiat après dénonciation des faits en raison de la
consultation illégale.
En ce qui concerne le point de vue des plaignants
65. Pour leur part, les plaignants rappellent les principes de responsabilité, de protection
des données dès la conception et protection des donnés par défaut et de sécurité des
données auxquels sont soumis les responsables de traitement et citent la
recommandation n°11/01 du 19 avril 2011 relative au droit d’accès du patient aux
destinataires de son dossier médical. Dans cette recommandation, le Comité sectoriel
de la sécurité sociale et de la santé explique l’importance de mettre en place des
mesures de sécurité efficace pour protéger les dossiers de santé électronique des
accès abusifs et liste quelques exemples de mesures de sécurité.
66. Les plaignants citent également la note de l’APD sur le traitement de données
provenant de dossiers de patients qui précise qu’ « une institution doit ainsi notamment
s’assurer que les données à caractère personnel ne soient accessibles, en fonction de
leur classification, que pour les personnes (et logiciels d’application) qui ont été
expressément autorisées à cet effet » et que « la mise en œuvre d’un mécanisme pour
le contrôle et la surveillance (a posteriori) de l’accès effectif à un dossier de patient est
également nécessaire, en particulier lorsque des droits d’accès et d’utilisateur définis
au préalable peuvent être violés/annulés par des professionnels des soins de santé. 26»
67. Les plaignants rappellent également les décisions 77/202227 et 103/202328 de la
Chambre Contentieuse qui portaient sur des affaires similaires d’accès à des dossiers
médicaux. Dans ces décisions, la Chambre Contentieuse soulignait l’importance de
26
Disponible via https://www.autoriteprotectiondonnees.be/publications/note-sur-le-traitement-de-donnees-provenant-de-
dossiers-de-patients.pdf
27
Décision 77/2022 du 11 mai 2022 de la Chambre Contentieuse, disponible sur
https://www.autoriteprotectiondonnees.be/publications/ordonnance-n-77-2022.pdf.
28
Décision 103/2023 du 26 juillet 2023 de la Chambre Contentieuse, disponible sur
https://www.autoriteprotectiondonnees.be/publications/avertissement-n-103-2023.pdf.
Décision quant au fond 209/2025 — 15/21
prendre en compte les risques lors de l’évaluation du niveau de sécurité à mettre en
place.
Appréciation par la Chambre Contentieuse
Qualité des soins et nécessité d’accès au DPI
68. Les établissements hospitaliers ont pour mission de prodiguer des soins
pluridisciplinaires. L’accès partagé, par plusieurs professionnels de santé, au DPI d’un
patient constitue le socle de cette interdisciplinarité et contribue à l’amélioration de la
qualité des soins. De cette manière, lorsqu’un médecin peut consulter les résultats de
laboratoire ou le compte-rendu d’un confrère, il est plus apte à prendre des décisions
thérapeutiques appropriées. Toutefois, la Chambre Contentieuse tient à rappeler que
cet accès aux données médicales doit se limiter strictement aux informations
indispensables à chaque professionnel pour exercer ses fonctions de manière optimale.
Responsabilité du sous-traitant
69. Ensuite, la Chambre Contentieuse rappelle qu’un responsable du traitement ne saurait
reporter sur son sous-traitant la responsabilité d’une non-conformité au RGPD. En
effet, le responsable du traitement doit choisir un sous-traitant qui présente « des
garanties suffisantes quant à la mise en œuvre de mesures techniques et
organisationnelles appropriées de manière à ce que le traitement réponde aux
exigences du présent règlement et garantisse la protection des droits de la personne
concernée »29.
La Chambre Contentieuse ne peut donc pas accepter l’argument de la défenderesse en ce
qu’elle allègue que certaines mesures ne peuvent pas être mises en place car, selon elle,
son sous-traitant ne permettrait pas cette possibilité. Gestion des accès aux dossiers
médicaux
70. De plus, la Chambre Contentieuse ne peut accepter l’argument de la défenderesse
selon lequel un accès intégral au DPI par tous les prestataires de soins serait
nécessaire à la fourniture de soins pluridisciplinaires de qualité. En réalité, tous les
prestataires n’ont pas vocation à consulter l’ensemble des documents relatifs à un
patient. Seuls les documents nécessaires à la fourniture de soins spécifiques devraient
pouvoir être consultés par le prestataire de soin. En outre, la défenderesse, qui
comprend plusieurs établissements disposant d’un DPI unique accessible à l’ensemble
de ces sites, doit mettre en place des mesures spécifiques pour compenser cette
accessibilité élargie des informations contenues dans le DPI.
29
Article 28.1 du RGPD
Décision quant au fond 209/2025 — 16/21
71. Par exemple, dans le cadre de la mutualisation des données de santé au sein du réseau
eHealth, une matrice d’accès a été mise en place afin de déterminer le type de
documents accessibles selon le rôle du professionnel30. En l’espèce, cette matrice
prévoit que les kinésithérapeutes n’ont pas accès aux rapports de laboratoire.
72. La défenderesse soutient que cette matrice ne serait pas applicable, au motif que le
réseau eHealth poursuit un objectif différent de celui du DPI : le premier viserait à
faciliter la communication de données entre l’ensemble des professionnels de la santé
appartenant au réseau, tandis que le DPI aurait pour objectif d’assurer un suivi
pluridisciplinaire du patient.. A ce titre, la Chambre Contentieuse constate que cette
matrice illustre simplement qu’il est possible de définir des niveaux d’accès à certains
types de données, en fonction des besoins réels des prestataires de soin sans diminuer
l’utilité d’un tel partage de document. Il ne relève certes pas de la compétence de la
Chambre Contentieuse de déterminer ou de valider ces accès, mais uniquement de
constater qu’une telle différenciation est réalisable et a par ailleurs déjà été réalisée,
contrairement à ce qu’affirme la défenderesse. La Chambre Contentieuse ne prétend
pas non plus que la matrice du réseau eHealth doive être appliquée telle quelle au DPI
dont la défenderesse est responsable de traitement ; elle souligne simplement la
faisabilité technique d’un tel système de gestion des accès dans le cadre d’autres
logiciels et plateformes.
Mesures techniques et organisationnelles
73. La Chambre Contentieuse prend bonne note des mesures organisationnelles décrites
par la défenderesse
74. Elle rappelle que les mesures techniques et organisationnelles mises en place doivent
être appropriées afin de garantir un niveau de sécurité adapté au risque31 et permettre
au responsable du traitement de démontrer la conformité du traitement au RGPD32.
L’état des connaissances, les coûts de mise en œuvre et la nature, la portée, le contexte
et les finalités du traitement ainsi que les risques pour les droits et libertés des
personnes concernées doivent être pris en compte afin de déterminer le niveau
d’appropriation des mesures.
75. En l’espèce, à l’exception de quelques données permettant d’identifier le patient, les
données contenues dans le DPI sont par essence des catégories particulières de
données telles que définies par l’article 9 du RGPD en ce qu’il s’agit de données relatives
30
Matrice d’accès disponible à l’adresse https://brusselshealthnetwork.be/patients/je-minforme/mon-dossier-sante-
partage/qui-a-acces-aux-donnees/, consulté en date du 7 octobre 2025
31
Article 32.1 du RGPD.
32
Article 24 du RGPD.
Décision quant au fond 209/2025 — 17/21
à la santé, parfois même de données génétiques. Ce type de données requiert une
protection renforcée notamment en raison du risque accru que leur traitement
occasionne pour les droits et les libertés des personnes concernées. En outre, le
nombre élevé de patients de la défenderesse permet de conclure à un traitement de
données effectué à grande échelle33. Ces deux éléments doivent être pris en compte
dans la réflexion par rapport aux mesures de sécurité à mettre en place.
76. En l’espèce, l’efficacité de la majorité des mesures organisationnelles mises en place
par la défenderesse repose essentiellement sur (i) la bonne volonté des personnes
autorisées à accéder au DPI, (ii) un contrôle a posteriori après plainte d’une patient et
(iii) la sanction des contrevenants identifiés . C’est le cas pour toutes les mesures
décrites au point 61. De telles mesures sont essentielles au respect du principe de
sécurité mais ne constituent pas, à elles seules, une garantie suffisante pour démontrer
que la défenderesse a satisfait à son obligation de moyen consistant à mettre en place
une sécurité appropriée afin de prévenir les traitements illicites.
77. Outre ces mesures organisationnelles, la défenderesse se prévaut également d’avoir
mis un place un système d’enregistrement des logs des accès aux dossiers des
patients34. La Chambre Contentieuse rappelle que l’enregistrement des logs est un
élément indispensable au respect du principe de responsabilité car ceux-ci permettent
de vérifier la licéité de l’accès au dossier médical d’une personne concernée a posteriori.
Cependant, la Chambre Contentieuse remarque qu’aucun contrôle aléatoire de ces logs
n’est prévu. Une tentative de contrôles aléatoires avait été effectuée mais abandonnée
en raison de la charge de travail que cela engendrait et l’absence d’efficacité de ces
contrôles aléatoires (les accès illicites restant exceptionnels). Leur enregistrement
n’est donc utilisé que dans le cas ponctuel où une personne interroge la défenderesse
par rapport à ces logs. Cette absence de contrôle aléatoire engendre une diminution de
l’efficacité de la mesure de sécurité. En l’espèce, l’accès illicite a été détecté par la
défenderesse uniquement en raison du signalement des plaignants. La Chambre
Contentieuse constate qu’il n’existe pas d’indice qui pourrait laisser penser que la
défenderesse se serait rendu compte elle-même des accès illicites en l’absence de
plainte à cet égard.
78. En outre, la défenderesse a rompu, avec effet immédiat, le contrat la liant à la
Kinésithérapeute après avoir constaté que celle-ci avait accédé de manière illicite au
dossier de la plaignante. Il ne relève toutefois pas de la compétence de la Chambre
33
En 2024, 1.036.179 consultations et séances de kinésithérapie ambulatoire ont eu lieu sur les différents sites de la
défenderesse sans compter les admissions en hospitalisation classique (52.526) et unité de jour (75.932). Ces chiffres sont
disponibles dans le rapport annuel 2024 de la défenderesse.
34
Art. 40 de la loi du 22 avril 2019 relative à la qualité de la pratique des soins de santé, M.B., 14 mai 2019.
Décision quant au fond 209/2025 — 18/21
Contentieuse de se prononcer sur le caractère approprié d’une telle sanction. En
l’espèce, la Chambre Contentieuse ne peut envisager cette rupture de contrat que
comme une mesure de dissuasion à l’égard du reste du personnel soignant de la
défenderesse, lequel ne peut ignorer la rigueur avec laquelle celle-ci sanctionne tout
accès non autorisé aux données et qui renforce de cette manière la sécurité des
données.
79. Au vu de l’ensemble des éléments qui précèdent, la Chambre Contentieuse considère
que la défenderesse n’a pas été en mesure de démontrer avoir mis en œuvre l’ensemble
des mesures techniques et organisationnelles nécessaires afin de garantir un niveau de
sécurité conforme aux exigences du RGPD en ce que (i) une kinésithérapeute a pu avoir
accès à des données de test génétiques relatifs à un enfant à naître non nécessaires
pour prodiguer des soins à un patient et (ii) que ces accès illicites n’ont pu qu’être
détectées en raison de la plainte déposée par les plaignants.
80. La Chambre Contentieuse prend bien compte du fait que les différents prestataires de
soins doivent pouvoir avoir accès à des dossiers de patients afin de pouvoir leur fournir
des soins qualitatifs, le cas échéant dans des situations d’urgence.Cependant, elle tient
à rappeler qu’une attention accrue doit être portée à la gestion des accès au DPI. En
effet, il est difficilement envisageable qu’un kinésithérapeute, qui n’a pas le titre de
médecin, puisse avoir besoin de consulter des résultats de tests NIPT afin de pouvoir
fournir ses soins.
81. Par conséquent, dans le contexte de ces accès multiples à un test NIPT par une
kinésithérapeute, la Chambre Contentieuse considère que la défenderesse, n’ayant pas
mis en place de mesures suffisantes de gestion des accès au DPI et ne pouvant pas dès
lors pas démontrer la conformité du traitement au RGPD, a violé les articles 5.1.f), 5.2.,
24 et 32 du RGPD.
III. Sanction
82. Sur base des éléments qui précèdent, la Chambre Contentieuse constate que les
mesures techniques et organisationnelles mises en place par la défenderesse sont
insuffisantes au regard du niveau de risque du traitement pour les droits et libertés des
personnes concernées. La défenderesse a donc violé les articles 5.1.f), 5.2., 24 et 32 du
RGPD.
83. A la lumière de ce qui précède et sur la base des compétences qui lui ont été attribuées
par le législateur, la Chambre Contentieuse décide d’adresser une réprimande à la
défenderesse en ce qui concerne sa violation des articles 5.1.f, 5.2. 24 et 32 du RGPD,
en application de l’article 100, §1, 5° de la LCA.
Décision quant au fond 209/2025 — 19/21
84. La Chambre Contentieuse est d’avis que dans chacun des cas, cette sanction est celle
qui, eu égard à l’ensemble des circonstances du cas d’espèce et conformément aux
exigences de l’article 84 du RGPD, est adaptée au regard des manquements constatés.
85. En effet, la Chambre Contentieuse tient compte des circonstances particulières du
contexte hospitalier qui exigent que l’accès à un dossier médical ne soit pas cadenassé
à outrance afin de proposer des soins interdisciplinaires de manière efficiente. Elle note
que, malgré le manque de mesures techniques limitant les accès illicites au dossier
médical, de nombreuses mesures organisationnelles ont été mises en place par la
défenderesse et que sa réaction à la prise de connaissance du traitement démontre
l’importance de la protection des données en son sein. Ces considérations justifient
qu’une sanction pécuniaire ne soit pas imposée.
86. Néanmoins, en raison des éléments exposés ci-dessus tels que la quantité de données
traitées par la défenderesse ainsi que leur sensibilité, il est impératif que la
défenderesse dispose de mesures suffisantes pour garantir la sécurité de son
traitement avec le RGPD et que la Chambre Contentieuse décide de lui adresser une
réprimande par rapport aux articles 5.1.f), 5.2 ., 24 et 32 du RGPD.
IV. Bonnes pratiques
87. La Chambre Contentieuse souhaite présenter plusieurs exemples de bonnes pratiques
susceptibles d’aider la défenderesse à renforcer ses processus internes et à diminuer
les instances de réitération d’incidents similaires. La Chambre Contentieuse a
conscience que la mise en place de certaines mesures suggérées requièrent la
coopération du sous-traitant de la défenderesse, qu’elle encourage vivement à
collaborer avec la défenderesse afin d’améliorer la conformité de son logiciel au RGPD.
88. En premier lieu, la Chambre Contentieuse note qu’une transparence accrue envers les
patients concernant le traitement des données contenues dans leur DPI apparaît
essentielle, compte tenu de la sensibilité particulière de ces informations. La Chambre
Contentieuse recommande d’intégrer, par exemple dans la déclaration de vie privée,
une description claire et détaillée des modalités de gestion des accès aux données du
DPI, ainsi que la possibilité spécifique de demander les logs d’accès. Une telle démarche
contribuerait au renforcement de la confiance des patients et permettrait de satisfaire
aux exigences de transparence prévues par le RGPD.
89. En deuxième lieu, une attention spécifique doit être portée à la définition des rôles
d’accès par rapport aux différents types de données contenues dans le DPI. La matrice
des accès eHealth constitue un bon exemple de la granularité avec laquelle les accès
peuvent être définis. Accorder des accès seulement à certains types de données du DPI
Décision quant au fond 209/2025 — 20/21
en fonction de ce qui est nécessaire à chaque prestataire de soin pour fournir ses soins
apporterait une barrière technique en plus contre les consultations abusives de
données.
90. Cela n’exclut pas la mise en place d’un mécanisme permettant, en cas de nécessité, de
déroger aux droits d’accès prédéfinis selon le principe du « Break the Glass ». Dans ce
cadre, un professionnel de santé ne disposant pas, par défaut, de l’autorisation
d’accéder à certaines données peut néanmoins y accéder en justifiant explicitement sa
demande. L’obligation de motivation et l’enregistrement systématique des logs de ces
accès exceptionnels renforcent la traçabilité et contribuent à limiter les risques d’accès
non autorisés.
91. Enfin, la mise en œuvre d’un contrôle aléatoire des logs constitue également une bonne
pratique. L’analyse des logs d’accès permet non seulement de détecter des
comportements anormaux ou non conformes, mais aussi d’identifier d’éventuelles
failles organisationnelles ou techniques. Un processus de revue périodique, associé à
une procédure d’escalade en cas d’incident, renforcerait la sécurité globale du système
et contribuerait à prévenir les accès illicites.