Un citoyen danois a déposé une plainte auprès de l’autorité de protection des données danoise (APD ; Datatilsynet) concernant la publication d’une photo le représentant sur le compte Instagram de l’hôpital universitaire d’Aarhus (AUH). Sur cette base, le 19 décembre 2022, l’APD a ouvert une enquête à l’encontre de la région du Jutland central (responsable du traitement).

Au cours de l’enquête, l’APD a constaté que le compte Instagram publiait régulièrement des photos et des vidéos de la vie quotidienne à l’AUH. Il montrait des photos de patients, y compris des enfants et des jeunes gens, de membres du personnel et de proches, et le compte était actif depuis juin 2015 ; il comptait plus de 15 000 followers et plus de 1 400 posts. Un examen du compte a également révélé qu’il contenait des photos et des informations sur les patients datant de 2016. Dans certains cas, il s’agissait d’informations sur des problèmes de santé.

Le responsable du traitement a expliqué que les informations figurant sur le compte étaient publiées dans le but d’informer le monde extérieur des activités et de la vie quotidienne de l’hôpital. Il a notamment précisé que les messages contenant des informations sur les citoyens, y compris les patients, étaient publiés sur la base du consentement conformément à l’article 6, paragraphe 1, point a), du RGPD et à l’article 9, paragraphe 2, point a), du RGPD.

L’APD, dans une décision 2023-432-0016 (https://www.datatilsynet.dk/afgoerelser/afgoerelser/2023/nov/hospital-kan-ikke-bruge-samtykke-til-at-offentliggoere-billeder-af-patienter-paa-instagram) présentée sur gdprhub (https://gdprhub.eu/index.php?title=Datatilsynet_(Denmark)_-_2023-432-0016&mtc=today), a estimé que les données traitées en l’espèce pouvaient être considérées comme des données relatives à la santé, étant donné que les images en question étaient accompagnées, dans plusieurs cas, d’informations sur le service hospitalier et sur ce dont souffrait le patient ou ce pour quoi il était examiné.

Ainsi, un consentement explicite était nécessaire en vertu de l’article 9, paragraphe 2, du RGPD et les conditions du consentement en vertu de l’article 4, paragraphe 11, du RGPD devaient être évaluées à la lumière des circonstances pertinentes dans lesquelles le consentement a été obtenu. L’APD a donc constaté qu’un patient se trouve généralement dans une position vulnérable lorsqu’il est hospitalisé ou traité dans un hôpital. Il existe donc des asymétries de pouvoir entre le patient et l’hôpital et le personnel de l’hôpital, ce qui pourrait signifier que le patient peut avoir subi des pressions lorsqu’il a été demandé son consentement, ce qui affecte son libre choix. La base juridique du consentement au traitement de données est donc inopérante.

Me Philippe Ehrenström, avocat, LLM, CAS, Genève et Onnens (VD)