Données de santé et RGPD dans les discussions entre collègues : quand un diagnostic devient une « information pour tous »

Au sein d’un centre hospitalier, il existait un groupe WhatsApp intitulé « Ärzte-AC », qui comptait neuf membres du service de chirurgie générale. Outre des sujets d’ordre privé, ce groupe servait principalement à organiser les congés, les arrêts maladie et la prise en charge des gardes. Ce groupe faisait donc partie intégrante de la communication interne de l’établissement.

Lorsqu’un médecin en formation s’est mis en arrêt maladie pour son service du week-end après avoir effectué un examen de médecine interne aux urgences, la médecin de service responsable a dû le remplacer au pied levé. Mécontente que son escapade du week-end soit tombée à l’eau, elle a publié deux jours plus tard un message détaillé dans le groupe. Elle y a non seulement exprimé sa colère, mais a également communiqué les résultats d’analyses et les diagnostics de son collègue, notamment une stéatose hépatique associée à l’obésité, tout en se demandant avec suffisance s’il s’agissait réellement d’une maladie.

Le collègue concerné a exigé que l’on cesse toute nouvelle transmission de données et a réclamé des dommages-intérêts. À l’automne 2025, il a démissionné. Cet incident aurait été l’une des causes de sa décision.

Le tribunal a également clairement cerné la question de la responsabilité en matière de protection des données. En matière de protection des données des salariés, le principe veut que les salariés qui traitent des données dans le cadre de leur activité ne soient pas eux-mêmes responsables au sens de l’article 4, point 7, du RGPD. C’est généralement l’employeur qui l’est.

Mais celui qui se sert de l’organisation du service uniquement comme prétexte pour divulguer des données de santé sensibles, par curiosité ou dans le but de discréditer un collègue, poursuit ses propres fins et agit en dehors du cadre des fonctions qui lui ont été attribuées. Dans ce cas dit d’« excès », la personne en cause devient elle-même responsable et engage sa responsabilité personnelle. Le tribunal a constaté que la transmission de ces détails médicaux n’était ni nécessaire ni judicieuse. La formulation « simplement à titre d’information générale » atteste de son intention personnelle.

Pour les collaborateurs, cela a une conséquence claire. Quiconque utilise les canaux professionnels pour diffuser des informations personnelles concernant des collègues en assume lui-même la responsabilité en cas de doute, que l’employeur en ait connaissance ou l’ait approuvé ou non.

En ce qui concerne les dommages-intérêts prévus par le RGPD en vertu de l’article 82, le tribunal a estimé que la perte du contrôle sur ses propres données de santé constituait un motif suffisant. La transmission de ces données à sept tiers non autorisés a suffi ; il n’était pas nécessaire d’apporter la preuve supplémentaire de conséquences négatives tangibles. À cela s’est ajoutée la dévalorisation dont le plaignant a fait l’objet au sein de son milieu professionnel, du fait de l’insinuation selon laquelle il ne serait pas réellement en incapacité de travail.

Dommages-intérêts moraux, RGPD et calcul : lors de la fixation du montant de 1 000 euros, deux éléments ont eu des effets contraires.

• Il convient de prendre en compte la sensibilité particulière des diagnostics et des résultats d’analyses, ainsi que la situation de stress décrite de manière crédible, qui a contribué au licenciement.
• Au titre des circonstances atténuantes : le cercle restreint de sept destinataires et le fait que ce ne sont pas des dossiers médicaux complets, mais des informations ponctuelles qui ont été transmises.

Cette décision s’inscrit ainsi dans la lignée de la jurisprudence récente. Toute infraction n’entraîne pas automatiquement des dommages-intérêts, mais la perte de contrôle sur des données particulièrement sensibles peut, en soi, constituer un préjudice donnant lieu à réparation.

La motivation relative à la demande de cessation est remarquable. Bien que le demandeur ait quitté la clinique et le groupe de discussion, le tribunal a reconnu l’existence du risque de récidive requis, notamment parce que la défenderesse continue d’exercer en tant que médecin au sein de cet hôpital et pourrait y soigner à nouveau le demandeur. Le fait qu’elle soit restée intransigeante tout au long de la procédure et qu’elle ait continué à considérer son comportement comme licite a également été déterminant.

Il s’agit là d’un signal clair pour la pratique. L’absence de prise de conscience après un incident lié à la protection des données aggrave considérablement la situation de la partie concernée, et une action en cessation peut être recevable même si la situation concrète n’existe plus.

Cette affaire met en lumière une question qui revient sans cesse dans le quotidien professionnel. Quelles données relatives à la santé l’employeur est-il autorisé à connaître ? Le principe est clair. Pour un arrêt maladie, il suffit d’indiquer l’incapacité de travail et sa durée prévisionnelle. Les diagnostics, les résultats d’examens et les analyses de laboratoire n’en font pas partie. En matière d’arrêt maladie, de protection des données et de planification des services, la mention « indisponible » suffit donc, et la raison médicale n’a aucune importance.

Lorsque les données de santé et l’employeur se recoupent inévitablement, par exemple dans le cadre de la gestion de la réinsertion professionnelle, des examens de médecine du travail ou de la gestion de la santé en entreprise, il est nécessaire de définir des responsabilités clairement délimitées, de disposer d’une base juridique et de restreindre strictement le cercle des destinataires. Un chat de groupe ouvert ne répond à aucune de ces exigences.

La protection des données, le milieu hospitalier et le personnel constituent une combinaison particulièrement sensible. Dans le quotidien des établissements hospitaliers, les employés sont quotidiennement en contact avec des données de santé, et c’est précisément dans ce contexte que la communication informelle via les applications de messagerie est très répandue, car elle est rapide et pratique. Six points méritent votre attention.

• Définir de manière contraignante les canaux par lesquels les informations professionnelles peuvent être échangées et préciser quels contenus n’ont pas leur place sur ces canaux.
• Organiser les absences et les remplacements via un système ou un service compétent, et non par le biais de groupes ouverts.
• Pas de diagnostics dans les listes de diffusion. Précisez clairement que les diagnostics, les résultats d’analyses et les informations relatives aux traitements ne doivent être échangés qu’entre les personnes compétentes sur le plan professionnel.
• Formation et sensibilisation. Utilisez ce cas comme exemple de formation, car il est parlant et rend la responsabilité personnelle tangible.
• Définir la procédure de signalement interne d’un incident et désigner la personne chargée de l’évaluation conformément aux articles 33 et 34 du RGPD.
• Consignez les directives, les attestations de formation et les mesures prises en cas d’incident, car en cas de litige, cela constitue la preuve de la diligence dont fait preuve l’organisation.

Toute personne apprenant que ses données de santé ont été transmises sans autorisation peut exiger la cessation de cette pratique et, en cas de préjudice correspondant, réclamer des dommages-intérêts pour préjudice moral conformément au RGPD. Il est judicieux de documenter l’incident, par exemple à l’aide de captures d’écran horodatées précisant les destinataires, et d’aborder la question avec votre employeur ou le délégué à la protection des données. Il est également possible de déposer une réclamation auprès de l’autorité de contrôle compétente, conformément à l’article 77 du RGPD.

Le jugement n’est pas encore définitif. Il reste à voir si la défenderesse fera appel devant le tribunal régional du travail de Cologne. Le message à retenir pour la pratique est indépendant de cela. Les données relatives à la santé n’ont pas leur place dans les discussions entre collègues. Pour les organisations du secteur de la santé, il est judicieux de ne pas laisser les canaux de communication informels au hasard, mais de les réglementer clairement, d’organiser des formations à ce sujet et de les documenter.