Medical data transfer to insurer’s consultant upheldKI-generiert

{T 0/2}
1C_44/2008/col

Arrêt du 30 juin 2008
Ire Cour de droit public

Composition
MM. les Juges Féraud, Président, Reeb et Eusebio.
Greffier: M. Kurz.

Parties
A.________,
recourant, représenté par Me Mauro Poggia, avocat,

contre

Helsana Assurances SA,
intimée, représentée par Me Isabelle Häner, avocate.

Objet
protection des données; transmission de données médicales par un médecin-conseil au chef du service médecins-conseils de l'assurance,

recours contre l'arrêt du Tribunal administratif fédéral, Cour I, du 7 décembre 2007.

Faits:

A.
Le 17 mars 2003, A.________ a formé recours auprès de la Commission fédérale de la protection des données (ci-après: la commission); il demandait notamment à cette dernière de constater l'illicéité d'une transmission de données médicales entre le médecin-conseil local de son assureur-maladie Helsana Assurances SA (ci-après: Helsana ou la caisse) et le chef du service des médecins-conseils de la caisse à Zurich (ci-après: le service), le Dr C.________. Par jugement du 3 juin 2004, la commission a admis le recours sur ce point: la transmission de données au Dr C.________ équivalait à une transmission à l'assureur.
Par arrêt du 9 mai 2005 (ATF 131 II 413), le Tribunal fédéral a admis le recours de droit administratif formé par Helsana et renvoyé la cause à la commission. Le Dr C.________ avait reçu des informations de la part du médecin-conseil local, même si l'on en ignorait la teneur et les modalités. Il y avait lieu de déterminer la fonction et le rôle du Dr C.________. Rien n'interdisait que les médecins-conseils de l'assureur soient constitués en service, dont le chef pouvait être appelé à conseiller les médecins-conseils régionaux, mais il y avait lieu de s'assurer que ce service soit doté des locaux et de l'infrastructure (téléphone, système informatique, archives) nécessaires pour assurer son indépendance par rapport à la caisse et prévenir tout flux incontrôlé de données à destination de celle-ci.

B.
La commission a procédé à des mesures d'instruction, en particulier à l'audition du Dr C.________, le 26 septembre 2005; le 21 octobre 2005, Helsana a été invitée à produire des pièces; elle a recouru en vain contre cette ordonnance de production (arrêt 1A.292/2005). Certaines pièces ont été remises à A.________ partiellement caviardées, d'autres ont été déclarées confidentielles. La cause a ensuite été transmise au Tribunal administratif fédéral (ci-après: le TAF) qui a procédé à l'audition de trois témoins. Au cours de l'audience du 28 novembre 2007, A.________ a maintenu ses conclusions initiales et requis une administration complémentaire de preuves.

C.
Par arrêt du 7 décembre 2007, le TAF a rejeté le recours. L'instruction avait permis d'établir les faits suivants: les locaux du service médecins-conseils étaient totalement séparés de ceux des autres services d'Helsana; l'accès en était réservé aux collaborateurs du service; le courrier était remis non ouvert par l'assurance et les documents contenant des données personnelles sensibles ne quittaient en principe pas le service. Le service disposait d'un numéro de téléphone distinct; les dossiers médicaux étaient séparés des dossiers gérés par l'administration de la caisse. Les données informatiques se trouvaient sur un disque différent de celui de l'assurance. Les archives étaient également séparées. Le service médecins-conseils disposait d'un personnel indépendant de la caisse. Le Dr C.________ ne recevait aucune instruction de la part du département de la clientèle privée auquel il était organiquement subordonné à l'époque de la transmission litigieuse. Il en résultait que l'indépendance du service apparaissait suffisante, du point de vue tant de l'organisation que du personnel, pour éviter tout flux incontrôlé de données; la transmission de données médicales au Dr C.________ était donc admissible sous l'angle de la LPD et ne pouvait équivaloir à une transmission à l'assurance. Les offres de preuves complémentaires du recourant (inspection locale, explications détaillées sur le système informatique, production de pièces, auditions de témoins) ont été jugées superflues.

D.
A.________ forme un recours en matière de droit public contre ce dernier arrêt. Il en demande l'annulation, ainsi que la constatation que la transmission du dossier au Dr C.________, le 30 octobre 2001, est illicite; subsidiairement, il conclut au renvoi de la cause au TAF pour complément d'instruction.
Le TAF renonce à prendre position sur le recours. Helsana Assurances SA conclut au rejet du recours dans la mesure où il est recevable.

Considérant en droit:

1.
Le recours est formé en temps utile contre un arrêt du TAF rendu dans une cause de droit public. Il est recevable au sens des art. 82 let. a, 86 al. 1 let. a et 100 al. 1 LTF.

1.1 Le recourant a qualité pour agir au sens de l'art. 89 al. 1 LTF.

1.2 Le Tribunal fédéral statue en principe sur la base des faits établis par l'autorité précédente (art. 105 al. 1 LTF), sous réserve des cas prévus à l'art. 105 al. 2 LTF. Cette disposition lui donne la faculté de rectifier ou compléter d'office l'état de fait de l'arrêt attaqué dans la mesure où des lacunes ou erreurs dans l'établissement de celui-ci lui apparaîtraient d'emblée comme manifestes. Quant au recourant, il ne peut critiquer la constatation de faits importants pour le jugement de la cause que si ceux-ci ont été constatés en violation du droit au sens de l'art. 95 LTF ou de manière manifestement inexacte (art. 97 al. 1 LTF), c'est-à-dire arbitraire, ce qu'il lui appartient de démontrer par une argumentation répondant aux exigences de l'art. 42 al. 2 LTF, respectivement de l'art. 106 al. 2 LTF. En outre, l'existence de faits constatés de manière inexacte ou en violation du droit n'est pas une condition suffisante pour conduire à l'annulation ou la modification de la décision attaquée. Il faut encore qu'elle soit susceptible d'avoir une influence déterminante sur l'issue de la procédure (art. 97 al. 1 in fine LTF).

2.
Dans son arrêt du 9 mai 2005, le Tribunal fédéral a tenu pour établie une transmission de données du médecin-conseil local au Dr C.________, chef du service médecins-conseils, en date du 30 octobre 2001. A cette occasion le dossier médical du recourant avait été "soumis" au Dr C.________, sans que l'on sache exactement dans quelle mesure et sous quelle forme; il s'agissait le plus vraisemblablement d'un échange oral. Une telle transmission était en soi admissible sous l'angle de l'art. 57 al. 7 LAMal, pour autant que le service soit indépendant de l'assureur, de manière à éviter que les données sensibles ne soient retransmises à ce dernier. C'est cette dernière question qui devait encore être élucidée par la commission; il y avait lieu uniquement de déterminer, sous l'angle de la LPD, si la transmission litigieuse pouvait équivaloir à une transmission à l'assureur.

2.1 Le recourant revient sur le statut du Dr C.________, en prétendant que celui-ci ne disposerait pas d'une qualification et des compétences médicales suffisantes pour diriger le service médecins-conseils; son cahier des charges, tel qu'il ressort de la convention d'objectifs pour 2001, mentionnerait des tâches sans rapport avec l'activité de médecin-conseil, et ferait douter de son indépendance; les directives générales adressées aux divers médecins-conseils constitueraient une ingérence de l'assureur. Le recourant perd ainsi de vue que les compétences du Dr C.________, son cahier des charges et la légitimité des directives, sont sans rapport avec la question des risques de transmissions d'informations par le chef du service médecins-conseils à l'assureur. L'instruction menée sur ce point par le TAF, portant sur l'indépendance du Dr C.________ à l'égard de l'assureur (absence de rémunération en fonction des performances, absence de directives sur les questions médicales), apparaît suffisante.

2.2 C'est également avec raison que le TAF n'aborde la question de la séparation des locaux que pour le service médecins-conseils de Zurich, et non celui de Lausanne, puisque le Dr C.________, destinataire de la communication litigieuse, travaille dans les locaux de Zurich. Le recourant cherche en vain, sur ce point également, à étendre le cadre des débats.

2.3 Le recourant conteste ensuite les faits retenus par le TAF à propos des catégories de courrier reçu par le service: la première catégorie concerne les documents destinés à l'assureur, telles que les ordonnances et factures; la troisième catégorie concerne les documents contenant des données sensibles, qui ne sont pas remis à l'assureur; le recourant reproche au TAF d'avoir considéré que les pièces de la deuxième catégorie (certificats simples, demandes au médecin-conseil, rapport opératoire simple sans données particulièrement sensibles) ne sont transmises aux services administratifs de la caisse qu'en cas de besoin, alors qu'en réalité elles le seraient systématiquement. Le recourant estime ainsi que le service ne sélectionnerait pas les informations de manière suffisante, conformément à sa mission. Il s'agit là aussi de critiques générales sur le fonctionnement du service, sans rapport avec la transmission litigieuse. En l'occurrence, il n'est pas contesté que les documents contenant des données sensibles (documents de la troisième catégorie) ne sont en principe pas transmis à l'administration de la caisse, ce qui apparaît suffisant au regard des exigences des art. 42 al. 5 et 57 al. 5 LAMal: sauf déclaration contraire de l'assuré, des données d'ordre médical peuvent en effet être transmises si cela est nécessaire notamment pour décider d'une prise en charge d'une prestation ou motiver une décision.
Quoiqu'il en soit, la transmission litigieuse a eu lieu, le plus vraisemblablement, sans remise d'informations écrites, de sorte qu'il ne se justifiait pas d'approfondir l'instruction sur ce point.

2.4 Le recourant critique également le mode de transmission entre le service médecins-conseils et le service juridique de la caisse; il se plaint également du fait que le personnel auxiliaire du service pourrait lui aussi transmettre des pièces aux autres services de l'assureur. Il s'agit là aussi de critiques d'ordre général, sans rapport avec la transmission contestée puisqu'il n'est pas allégué que le service juridique aurait pu avoir connaissance des renseignements concernant le recourant et transmis vraisemblablement oralement.
Le recourant se réfère aussi à des exemples de courrier entre l'intimée et des médecins-conseils pour en déduire qu'il pourrait y avoir des confusions de personnes et des risques d'ouverture de lettres par des personnes ou services non autorisés. Il remet également en cause les modalités de réception du courrier. La présente cause toutefois n'a pas non plus pour objet de déterminer de quelle manière la correspondance devrait, de manière générale, être échangée entre la caisse et les médecins-conseils; il est en effet admis que la communication litigieuse a effectivement abouti directement au chef du service des médecins-conseils. Les contestations du recourant relatives aux télécommunications et au système informatique sont elles aussi sans pertinence dans ce cadre. Au demeurant, l'instruction de la cause a démontré sur ce point que la caisse avait pris les dispositions nécessaires pour éviter tout risque: le service dispose d'un numéro de téléphone distinct, avec son propre raccordement pour le téléphone et le télécopieur. Les documents électroniques du service se trouvent sur un support distinct et ne sont accessibles qu'aux collaborateurs du service.

2.5 Faute de pouvoir connaître les modalités exactes et le contenu des données transmises au chef du service, le TAF devait simplement rechercher si ce dernier était suffisamment indépendant de la caisse, de manière à pouvoir exclure avec une vraisemblance suffisante un risque de diffusion intempestive d'informations aux autres services de l'assureur. L'instruction menée par le TAF a permis de montrer que l'intimée avait pris des précautions suffisantes pour garantir l'indépendance du service médecins-conseils et que son chef, seul destinataire de la communication litigieuse, était parfaitement conscient des exigences en matière de protection des données. Rien ne permet par conséquent de penser que la communication faite dans le cas particulier au Dr C.________ ait pu être, d'une manière ou d'une autre, retransmise à l'administration de la caisse. La demande en constatation d'illicéité ne pouvait qu'être écartée.

3.
Il s'ensuit que le recours doit être rejeté, aux frais de son auteur (art. 66 al. 1 LTF). Conformément à ce que prévoit l'art. 68 al. 3 LTF, aucun dépens ne sont alloués aux organisations chargées de tâches de droit public lorsqu'elles obtiennent gain de cause dans l'exercice de leurs attributions officielles. Tel est le cas de l'intimée (cf. Niggli/Uebersax/ Wiprächtiger, Basler Kommentar zum BGG, Bâle 2008, p. 594/585).

Par ces motifs, le Tribunal fédéral prononce:

1.
Le recours est rejeté.

2.
Les frais judiciaires, arrêtés à 2000 fr., sont mis à la charge du recourant.

3.
Il n'est pas alloué de dépens.

4.
Le présent arrêt est communiqué aux mandataires des parties, au Tribunal administratif fédéral, Cour I, et au Préposé fédéral à la protection des données et à la transparence.
Lausanne, le 30 juin 2008
Au nom de la Ire Cour de droit public
du Tribunal fédéral suisse
Le Président: Le Greffier:

Féraud Kurz