Un hôpital belge a été réprimandé par l’Autorité de protection des données (APD) après qu’une kinésithérapeute indépendante a consulté sans justification les résultats d’un test prénatal dans le dossier informatisé d’une patiente. Au-delà de cet accès illicite, l’APD estime que l’établissement n’avait pas pris des mesures techniques et organisationnelles suffisantes pour sécuriser les accès au dossier patient. La décision fait l’objet d’un recours.

L’affaire remonte à 2021. Une patiente enceinte échange avec sa kinésithérapeute, elle-même enceinte, à propos de leurs grossesses respectives. Le 30 juillet, au cours d’une conversation sur WhatsApp, la kinésithérapeute lui écrit : « Si je me rappelle bien de mon espionnage c’est une petite fille ? ». Les futurs parents avaient précisément choisi de ne pas connaître le sexe de leur enfant avant la naissance.

La patiente demande alors à l’hôpital de vérifier les accès à son dossier patient informatisé (DPI). L’enquête fait apparaître trois consultations par la kinésithérapeute, les 16, 17 et 19 mars 2021. Celle-ci a notamment accédé aux résultats du test prénatal non invasif (NIPT), qui permet de dépister certaines anomalies chromosomiques et peut également révéler le sexe du fœtus.

L’établissement met fin, le 30 septembre 2021, pour motif grave à sa convention de collaboration avec la kinésithérapeute. Une plainte contre l’hôpital est ensuite introduite auprès de l’APD en octobre 2022.

Un accès sans rapport avec les soins

Dans sa décision 209/2025 du 18 décembre 2025, la Chambre contentieuse de l’APD considère que la kinésithérapeute a outrepassé l’autorité qui lui avait été confiée par l’hôpital. Elle estime que l’accès aux résultats génétiques du NIPT n’était pas nécessaire à la prise en charge kinésithérapeutique de la patiente.

L’APD ne tranche en revanche pas la question de savoir si un lien thérapeutique existait encore entre les deux femmes au moment des consultations. Elle juge cette question sans incidence : même si un tel lien existait, il ne justifiait pas l’accès aux résultats du NIPT. Pour cette consultation litigieuse, la kinésithérapeute est considérée comme seule responsable du traitement.

Cette responsabilité individuelle n’exonère toutefois pas l’hôpital. Celui-ci reste responsable de la tenue et de la mise à disposition des DPI ainsi que de la gestion et de la sécurité des accès accordés aux professionnels travaillant dans l’établissement.

Une kinésithérapeute pouvait accéder à l’ensemble du dossier

C’est sur ce terrain que l’APD sanctionne l’établissement. La kinésithérapeute disposait, comme les autres prestataires de soins, d’un accès très large au DPI. L’Autorité considère que la nécessité de partager les informations dans un environnement hospitalier multidisciplinaire ne justifie pas pour autant que chaque professionnel puisse consulter toutes les données d’un patient.

Elle estime que les droits d’accès devraient être davantage différenciés en fonction du rôle du professionnel et des informations nécessaires aux soins qu’il dispense. À titre d’exemple, elle relève que la matrice d’accès utilisée dans le cadre d’eHealth prévoit que les kinésithérapeutes n’ont pas accès aux rapports de laboratoire. Elle ne demande toutefois pas aux hôpitaux de transposer telle quelle cette matrice dans leurs propres systèmes.

L’APD reconnaît parallèlement qu’un hôpital ne peut « cadenasser à outrance » les dossiers médicaux : les professionnels doivent pouvoir accéder rapidement aux informations indispensables à des soins interdisciplinaires de qualité.

Les logs seuls ne suffisent pas

L’établissement avait déjà instauré plusieurs mesures de sécurité et enregistrait les consultations des dossiers dans des journaux d’accès. L’APD estime cependant qu’un dispositif reposant essentiellement sur le respect des règles par les utilisateurs et sur des contrôles a posteriori ne suffit pas.

Au moment des faits, aucun contrôle aléatoire des accès n’était effectué. Un tel système avait été testé auparavant, mais abandonné en raison de la charge de travail qu’il représentait et du faible nombre d’incidents détectés. Dans le cas de cette patiente, les consultations litigieuses n’ont été découvertes qu’après son intervention.

L’APD considère dès lors que l’hôpital n’a pas démontré avoir pris toutes les mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques. Elle lui adresse une réprimande, sans infliger d’amende.

Pour déterminer la sanction, la Chambre contentieuse tient notamment compte des mesures organisationnelles déjà prises par l’établissement, de sa réaction après la découverte des faits et des contraintes propres au fonctionnement d’un hôpital.

Des accès plus ciblés et un « Break the Glass »

L’APD formule plusieurs pistes pour renforcer la protection des DPI. Les droits d’accès peuvent être définis de manière plus granulaire selon la fonction du professionnel et le type de documents dont il a besoin. Lorsqu’une situation exceptionnelle impose de consulter des informations normalement inaccessibles à son profil, l’Autorité évoque un mécanisme de type « Break the Glass », permettant de lever la restriction moyennant une justification de l’accès.

Elle recommande également des contrôles périodiques des journaux d’accès afin de détecter les consultations anormales et d’identifier d’éventuelles failles organisationnelles ou techniques. Les patients devraient en outre être informés de manière transparente sur les modalités d’accès à leur dossier.

La décision aborde enfin une question juridique particulière : l’application du RGPD aux données relatives à un enfant à naître. La Chambre contentieuse considère que la protection peut s’étendre aux données recueillies avant la naissance lorsque l’enfant naît vivant et viable. Cette analyse a également été relevée dans les commentaires juridiques consacrés depuis lors à la décision.

La décision n’est toutefois pas définitive : l’APD indique explicitement qu’un recours a été introduit .