Dans sa décision rendue le 27 août 2020, la Chambre contentieuse de l’Autorité de Protection des Données (APD) a examiné la plainte déposée contre un médecin expert qui avait examiné les séquelles que la personne concernée avait subies à l’occasion de « faits graves » (non autrement précisés).
La victime se plaignait de la transmission par ce médecin du rapport intégral d’expertise médicale à l’ensemble des parties au procès, en ce compris donc à l’auteur des faits dommageables. Ce rapport d’expertise contenait également la contribution rédigée par un confrère psychiatre, ainsi que des éléments relatifs au conjoint de la victime. Il était plus particulièrement reproché à ce médecin expert d’avoir révélé des informations sensibles qui n’étaient pas directement liées aux coups et blessures pour lesquels cette expertise judiciaire avait été mise en œuvre.
Quelle a été la réaction de l’APD ?
Elle s’est d’abord attelée à identifier l’expert judiciaire comme un « responsable du traitement » au sens du Règlement Général européen sur la Protection des Données (RGPD), c’est-à-dire que c’est lui qui a déterminé les finalités et les moyens associés à cette transmission des données à caractère personnel concernées qui a fait l’objet de cette plainte.
L’APD a ensuite considéré que ce traitement était licite car nécessaire au respect d’une obligation légale à laquelle ce médecin expert était soumis, en l’occurrence les articles 962 et suivants du Code judiciaire qui encadrent l’expertise. Il s’agissait plus particulièrement d’assurer le respect du contradictoire visé à l’article 973, c’est-à-dire que chaque partie doit être informée de tout ce qui est communiqué à l’expert, verbalement ou par écrit, ainsi que des informations et pièces que l’expert recueille de sa propre initiative. L’APD ajoute que si l’expert ne l’avait pas fait, le juge l’y aurait de toute façon contraint, et ce justement pour veiller au respect du contradictoire.
Quant aux données concernant la santé qui font en principe l’objet d’une interdiction de traitement, l’APD a considéré que le médecin expert pouvait ici s’appuyer sur l’exception d’un traitement « nécessaire pour des motifs d’intérêt public important, sur la base du droit de l’Union ou du droit d’un ‘État membre qui doit être proportionné à l’objectif poursuivi, respecter l’essence du droit à la protection des données et prévoir des mesures appropriées et spécifiques pour la sauvegarde des droits fondamentaux et des intérêts de la personne concernée ». De fait, le respect du contradictoire constitue un motif d’intérêt public important.
Pour autant, l’APD reconnaît que la licéité de cette transmission par un expert judiciaire puisse poser question au regard du principe de minimisation des données, c’est-à-dire que les données à caractère personne concernées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». C’est la raison pour laquelle elle souhaite que les experts judiciaires procèdent au préalable à un « test de nécessité » pour veiller à ce que seules les données pertinentes figurent effectivement dans leur rapport d’expertise, et en particulier en ce qui concerne des données médicales. C’est dans ce cadre qu’elle annonce vouloir prendre contact avec le Conseil National de l’Ordre des Médecins pour réfléchir à l’élaboration de lignes directrices.
En résumé, oui, un expert judiciaire peut continuer à traiter des données à caractère personnel dans le cadre de sa mission, et ce pour se conformer à l’obligation légale à laquelle il est soumis au regard des articles 962 et suivants du Code judiciaire. Pour autant, il devra veiller à respecter les obligations applicables du RGPD, à l’instar du droit à l’information des personnes concernées.
Last but not least, l’APD a pris soin de préciser qu’elle n’était pas compétente pour se prononcer sur le respect – ou non – par ce médecin de son secret professionnel et de son devoir de discrétion.
La décision n° 51/2020 (NL) de la Chambre contentieuse de l’APD est disponible sur son site Internet