Secret professionnel et cryptage des e-mails

La situation générale en matière de risques liés à l’utilisation des e-mails est désormais bien connue de tous. La connaissance de ces risques fait d’ores et déjà partie des connaissances professionnelles de base des professionnels de santé[1] qui traitent des données personnelles, et en particulier des données personnelles sensibles[2], et qui transmettent ces informations par e-mail à des tiers (patients, autres professionnels de santé, hôpitaux, pharmacies, autorités, etc.).

Le courrier électronique non crypté comporte de grands dangers, car il ne garantit aucune confidentialité. Les informations sur l’expéditeur et le destinataire, ainsi que le contenu du message sont acheminés en texte clair via Internet. Les e-mails sont envoyés de serveur à serveur et peuvent faire l’objet de plusieurs stockages intermédiaires. Sur chacun de ces serveurs, le message peut être lu par un administrateur ou un attaquant. La menace liée à l’interception des e-mails par des tiers étrangers à l’échange (espionnage, cybercriminalité, etc.) est également bien connue. Dans des conditions strictes, les autorités publiques peuvent également surveiller le trafic de courrier électronique à des fins de poursuite pénale.

Une gestion inappropriée d’e-mails contenant des données personnelles, des données personnelles sensibles, voire des données commerciales ou d’autres données confidentielles de l’employeur (ci-après collectivement «données confidentielles»), peut avoir pour conséquences:

• la divulgation de secrets d’entreprise et d’affaires (tels que des concepts, des idées, des œuvres intellectuelles, des données de production, etc.). Les conséquences financières et l’atteinte à l’image qui en résultent peuvent menacer l’existence même et la pérennité de l’entreprise concernée;
• la violation d’obligations de confidentialité et de droits de la personnalité, qui peut entraîner:
  • sur le plan civil, des conséquences relevant du droit du travail ainsi que le versement de dommages-intérêts et d’indemnités pour tort moral;
  • sur le plan pénal, une amende ou une peine privative de liberté;
  • sur le plan déontologique, des mesures disciplinaires sévères; 
  • au titre du droit de la surveillance, des mesures supplémentaires.

Il relève de la responsabilité juridique de la direction et du conseil d’administration (conseil de fondation ou conseil d’hôpital) d’une entreprise (hôpital, cabinet médical, pharmacie, etc.) de connaître les exigences en matière de sécurité informatique, de définir les mesures techniques et organisationnelles nécessaires et d’en vérifier périodiquement la mise en œuvre. Ces organes sont responsables de l’organisation et du contrôle de la sécurité de l’information.

Le devoir de diligence relevant du droit du travail (régi, en droit suisse, par l’art. 321a par. 1-2 du Code des obligations, CO) oblige les travailleurs à exécuter consciencieusement le travail qui leur est confié, à sauvegarder les intérêts de l’employeur et à utiliser et protéger de manière appropriée les machines, les matériaux et les outils de travail. Les salariés doivent donc, même en l’absence d’instructions de l’employeur concernant la communication des données de patients qui leur sont confiées, s’acquitter avec soin de leurs tâches et préserver de bonne foi les intérêts légitimes de l’employeur. Dans tous les cas, cela inclut les précautions à prendre lors de l’utilisation du courrier électronique.

Nous devons donc prendre acte d’une chaîne continue de responsabilités regroupant tous les acteurs impliqués dans le traitement des données personnelles et des données personnelles sensibles. Chaque personne est et reste responsable de son domaine d’activité et, par conséquent, de l’utilisation, de l’envoi et de la transmission des e-mails.

Aucun d’entre nous ne souhaite devoir se demander à chaque fois, dans l’exercice de ses tâches quotidiennes (y compris lors de l’utilisation des e-mails), si cela porte atteinte aux droits des personnes concernées. C’est pourquoi une approche pragmatique s’impose. Elle prévoit l’utilisation généralisée de la technologie de cryptage par défaut pour tous les utilisateurs d’e-mail. Ainsi, le collaborateur n’a plus à se demander à chaque fois s’il doit ou non crypter ses e-mails.

Pour cela, il faut des services faciles à utiliser, tels que ceux que propose HIN. HIN crypte les e-mails adressés aux membres HIN ainsi qu’aux personnes qui ne sont pas membres HIN  (patients, partenaires en Suisse et à l’étranger), de sorte qu’ils ne peuvent être ni consultés ni modifiés par des tiers. En cryptant leurs e-mails, les membres HIN respectent les exigences en matière de protection des données et de secret professionnel ainsi que l’ensemble de leurs obligations de confidentialité. L’utilisation de HIN Mail nécessite, pour les professionnels de santé, une adhésion à HIN. Vos patients ou vos clients peuvent toutefois bénéficier directement du service de cryptage sans adhésion à HIN, et ce sans frais ni contraintes techniques supplémentaires.

L’envoi non crypté d’e-mails contenant des données personnelles ou confidentielles peut constituer une violation de l’obligation de traiter de manière confidentielle les informations personnelles ou couvertes par le secret des affaires. Cette obligation découle d’accords contractuels (p. ex. contrat de travail) et de dispositions légales (p. ex. législation sur la protection des données).

a) Accords contractuels

Dans le cadre de relations professionnelles caractérisées par un lien de confiance particulier (comme c’est le cas pour les professionnels de santé, les pharmaciens, les avocats, les fiduciaires, etc.), une obligation de confidentialité s’applique tacitement, c’est-à-dire sans accord écrit ni oral. Conformément à l’art. 398 CO, la personne qui exerce une activité de conseil dans le cadre d’un mandat est soumise à plusieurs devoirs de fidélité envers le mandant (patient ou client). Ceux-ci comprennent notamment les obligations de discrétion et de confidentialité. Le non-respect, même par négligence, de la confidentialité constitue déjà une violation contractuelle dans le cadre du mandat. La violation des obligations contractuelles de confidentialité entraîne différentes conséquences juridiques selon les modalités du contrat. Les principales conséquences sont le versement de dommages-intérêts, les peines conventionnelles et la résiliation de la relation contractuelle.

b) Obligations légales

La protection de la sphère privée est garantie par l’art. 13 de la Constitution fédérale. Celui-ci stipule que toute personne a droit au respect de sa vie privée et familiale, de son domicile, de sa correspondance et des relations qu’elle établit par la poste et les télécommunications. Toute personne a également le droit d’être protégée contre l’emploi abusif des données qui la concernent.

Ce droit à la protection est concrétisé de plusieurs façons au niveau législatif.

• Conformément aux art. 28 ss CC, toute personne qui subit une atteinte illicite à sa personnalité peut agir en justice contre toute personne qui participe à l’atteinte. La protection de la personnalité garantie par la Constitution n’est pas assurée dans le cas d’e-mails non cryptés contenant des données personnelles.
• En outre, le devoir de fidélité prévu par le droit du mandat et le droit du travail, inscrit dans le Code des obligations (CO), peut imposer une obligation de garder le secret.
• Pour les personnes tenues au secret professionnel, telles que les médecins, les autres professionnels de santé, les avocats, les pharmaciens, etc., la relation de confiance revêt une importance primordiale dans la relation professionnelle. C’est pourquoi la loi leur impose, sous peine de sanctions, une obligation de garder le secret.
  • Le Code pénal (CP) prévoit toute une série de dispositions relatives à la protection des secrets, qui exigent des mesures appropriées afin de garantir la confidentialité des informations:
    • le secret de fonction (art. 320 CP),
    • les secrets professionnels déjà mentionnés (art. 321 et 321bis CP);
    • les secrets de fabrication et les secrets commerciaux (art. 162 et 273 CP);
    • l’obligation de préserver les secrets politiques et militaires (art. 267, 272 et 274 CP).
  • Dans la nouvelle loi fédérale sur la protection des données, en vigueur depuis le 1er septembre 2023, ainsi que dans les lois cantonales correspondantes, la violation du devoir de discrétion (art. 62 nLPD) fait l’objet d’une réglementation spécifique et est passible de sanctions. Les art. 61 ss LPD (Confédération) prévoient des amendes pouvant atteindre CHF 250 000 en cas de violation intentionnelle des obligations de diligence et en cas de violation intentionnelle du devoir de discrétion. Il convient de noter que le dol éventuel suffit[1]. Quiconque, dans le domaine médical, accepte aujourd’hui que des données personnelles ou des données personnelles sensibles traitées par lui-même ou par ses collaborateurs soient transmises à des tiers sans cryptage par le biais de services de messagerie électronique agit avec dol éventuel.
  • À cela s’ajoutent des dispositions particulières en matière de sécurité informatique et de confidentialité, notamment dans les cabinets médicaux, les hôpitaux ou les pharmacies. Les dispositions à ce sujet figurent dans la législation relative à la protection des données.
    • Art. 8, al. 1 et 2, LPD: les responsables du traitement et les sous-traitants doivent assurer, par des mesures organisationnelles et techniques appropriées, une sécurité adéquate des données personnelles par rapport au risque encouru, afin d’éviter toute violation de la sécurité des données. Cela concerne directement les exigences en matière de sécurité informatique dans le secteur de la santé.
    • Art. 30, al. 2, LPD: cette disposition prévoit notamment qu’il y a atteinte à la personnalité lorsque des données personnelles sont traitées contrairement aux principes de la sécurité des données ou lorsque des données personnelles sensibles (telles que des données de santé) sont communiquées à des tiers sans autorisation.
    • Art. 2, al. 1, OPDo: l’ordonnance précise les objectifs des mesures techniques et organisationnelles. Celles-ci doivent garantir, en fonction du besoin de protection des données, leur confidentialité (accès réservé aux personnes autorisées), leur disponibilité, leur intégrité (absence de modification non autorisée) et la traçabilité de leur traitement.
    • Art. 3, al. 1, OPDo: cette disposition précise les mesures visant à garantir la confidentialité. Elle exige des contrôles spécifiques: le contrôle de l’accès aux données (accès aux seules données nécessaires pour les personnes autorisées), le contrôle de l’accès aux installations (accès physique aux installations) et le contrôle des utilisateurs (prévention de l’utilisation non autorisée des systèmes informatiques).
    • Loi sur la santé: conformément au § 16, al. 1, les professionnels de santé ainsi que leurs auxiliaires sont tenus de garder le secret sur les informations confidentielles et les constatations faites dans le cadre de leur activité (secret professionnel). Le § 16, al. 2, régit les exceptions (p. ex. le consentement du patient), tandis que le § 17 définit des obligations et des droits spécifiques en matière de signalement (p. ex. en cas de mise en danger grave de la population) qui peuvent constituer des exceptions au secret professionnel.[2]
    • Loi relative à la préservation et à la promotion de la santé: l’art. 47 impose aux professionnels de santé et aux collaborateurs des établissements de santé une obligation de garder le secret sur les faits qui leur ont été confiés dans le cadre de leur activité professionnelle. L’art. 47, al. 2 et 3, régit la levée du secret professionnel, y compris la présomption de consentement pour la communication d’informations médicalement nécessaires aux professionnels de santé impliqués.[3]
    • Loi sur l’information du public, la protection des données et les archives: l’art. 17 exige que les données personnelles soient protégées au moyen de mesures organisationnelles et techniques appropriées, le caractère approprié de ces mesures étant déterminé en fonction de l’état de la technique et du risque d’atteinte à la personnalité. L’art. 14, al. 2, subordonne le traitement des données personnelles sensibles à l’existence d’une base légale, à l’accomplissement de tâches clairement définies ou au consentement exprès de la personne concernée. L’art. 19 exige en outre la minimisation des données ainsi que le recours à l’anonymisation et à la pseudonymisation.[4]
    • Ordonnance relative à la loi sur l’information du public, la protection des données et les archives: le § 4 précise les mesures techniques applicables au traitement électronique, notamment le contrôle de l’accès aux installations, le contrôle des supports de données, du transport, de la communication, du stockage, des utilisateurs, le contrôle de l’accès aux données et de la saisie, ainsi que la restauration des données. Le § 7 définit les données personnelles sensibles (notamment les données relatives à la santé et les données génétiques), et le § 6c définit les violations de la sécurité des données comme celles qui entraînent un accès non autorisé.[5]
• Mesures administratives cantonales prises par les autorités sanitaires telles que le retrait temporaire ou définitif de l’autorisation d’exploitation (cf. à ce sujet le cas genevois A/2899/2015 / ATA 967/2016, canton de Genève)

Les exigences légales applicables aux professionnels de santé résultent de l’interaction entre le droit général de la protection des données, les obligations de secret professionnel et des prescriptions techniques spécifiques.

Si la personne exerce en tant que professionnel de santé au sens de l’art. 2, al. 1, LDEP, elle est soumise cumulativement aux obligations découlant du droit général de la protection des données (LPD), du secret professionnel (au niveau cantonal et fédéral) et, le cas échéant, des lois cantonales spécifiques sur la santé.

Lorsque le traitement des données s’effectue par voie électronique, des mesures techniques et organisationnelles (MTO) doivent impérativement être mises en œuvre. Celles-ci vont au-delà des obligations générales de diligence et comprennent des contrôles spécifiques de l’accès aux données, de l’accès aux installations et des utilisateurs.

Les e-mails non cryptés n’offrent aucune confidentialité. L’envoi d’e-mails non cryptés n’est pas compatible avec la relation de confiance particulière ni avec les obligations de confidentialité auxquelles sont soumises les personnes tenues au secret professionnel. L’envoi non crypté de données personnelles par e-mail peut également porter atteinte aux droits de la personnalité des personnes et des entreprises concernées. La loi exige des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données.

Grâce aux procédés de cryptage actuellement disponibles, les parties à l’échange peuvent crypter leurs messages de manière simple et fiable, empêchant ainsi la consultation des e-mails lors de leur acheminement vers le destinataire.

Le cryptage des e-mails sensibles garantit la confidentialité et l’intégrité des informations transmises. Pour les personnes tenues au secret professionnel, ainsi que pour toutes celles qui envoient des e-mails sensibles, l’utilisation de solutions de cryptage appropriées est indispensable. À défaut, elles s’exposent à des demandes de dommages-intérêts, à des amendes, à des peines privatives de liberté, à des sanctions disciplinaires et à une atteinte à leur réputation.

En tant que professionnel de santé, il est très simple d’envoyer des messages conformes à la loi. Plutôt que de devoir vous-même veiller au respect de toutes ces exigences, le service HIN Mail offre une solution intégrée qui permet d’y répondre.