Type de juridiction : Cour d’appel

Juridiction : Cour d’appel de Rennes

Thématique : Partage illégal de données personnelles

1ère Chambre

ARRÊT N° 283

N° RG 23/07200

N° Portalis DBVL-V-B7H-ULUB

(Réf 1ère instance : 23/00275)

M. [G] [L]

Société ASGARE

Société SELARL DU DR [L] [G]

C/

Mme [R] [T] [H]

Mme [B] [L]

Mme [V] [Z]

S.A.S.U. WEDA

Confirme la décision déférée dans toutes ses dispositions, à l’égard de toutes les parties au recours

Copie exécutoire délivrée

le :

à :

Me Frédéric DENIAU

Me Luc BOURGES

CCC le :

Me Sylvie PELOIS

RÉPUBLIQUE FRANÇAISE

AU NOM DU PEUPLE FRANÇAIS

COUR D’APPEL DE RENNES

ARRÊT DU 8 OCTOBRE 2024

COMPOSITION DE LA COUR LORS DES DÉBATS ET DU DÉLIBÉRÉ

Président : Madame Véronique VEILLARD, présidente de chambre

Assesseur : Monsieur Philippe BRICOGNE, président de chambre

Assesseur : Madame Caroline BRISSIAUD, conseillère

GREFFIER

Madame Marie-Claude COURQUIN, lors des débats, et Madame Morgane LIZEE, lors du prononcé

DÉBATS

A l’audience publique du 2 avril 2024

ARRÊT :

réputé contradictoire, prononcé publiquement le 8 octobre 2024 par mise à disposition au greffe après prorogation du délibéré initialement prévu le 25 juin 2024

APPELANTS

Monsieur [G] [L]

Né le 8 juin 1961 à [Localité 14]

[Adresse 1]

[Localité 11]

Représenté par Me Sylvie PELOIS de la SELARL AB LITIS / PÉLOIS & AMOYEL-VICQUELIN, Postulant, avocat au barreau de RENNES

Représenté par Me Sarah PINEAU, Plaidant avocat au barreau de PARIS

Société ASGARE prise en la personne de ses représentants légaux, domiciliés en cette qualité audit siège

[Adresse 3]

[Localité 11]

Représentée par Me Sylvie PELOIS de la SELARL AB LITIS / PÉLOIS & AMOYEL-VICQUELIN, Postulant, avocat au barreau de RENNES

Représentée par Me Sarah PINEAU, plaidant avocat au barreau de PARIS

Société SELARL DU DR [L] [G] prise en la personne de ses représentants légaux, domiciliés en cette qualité audit siège

[Adresse 2]

[Localité 11]

Représentée par Me Sylvie PELOIS de la SELARL AB LITIS / PÉLOIS & AMOYEL-VICQUELIN, Postulant, avocat au barreau de RENNES

Représentée par Me Sarah PINEAU,plaidant avocat au barreau de PARIS

INTIMÉES

Madame [R] [T] [H]

Née le 21 avril 1974 à [Localité 13]

[Adresse 4]

[Localité 6]

signification de la déclaration d’appel le 11 janvir 2024 à domicile

n’a pas constitué avocat

Madame [B] [L]

Née le 6 mai 1986 à [Localité 11]

[Adresse 8]

[Localité 11]

Représentée par Me Frédéric DENIAU de la SELARL CADRAJURIS, Plaidant/Postulant, avocat au barreau de NANTES

Madame [V] [Z]

Née le 30 mars 1986 à [Localité 12]

[Adresse 9]

[Localité 7]

Représentée par Me Frédéric DENIAU de la SELARL CADRAJURIS, Plaidant/Postulant, avocat au barreau de NANTES

S.A.S.U. WEDA immatriculée au RCS de MONTPELLIER sous le numéro 529.223.034, prise en la personne de son représentant légal domicilié en cette qualité audit siège

[Adresse 10]

[Localité 5]

Représentée par Me Luc BOURGES de la SELARL LUC BOURGES, Postulant, avocat au barreau de RENNES

Représentée par Me Arnaud DIMEGLIO,plaidant avocat au barreau de MONTPELLIER

EXPOSÉ DU LITIGE

M. [G] [L], médecin généraliste de profession, a créé le 11 juin 2020, une maison de santé avec trois autres médecins, exploitée via une société interprofessionnelle de soins ambulatoires dénommée Asgare.

M. [L] s’est adjoint les services de quatre collaboratrices dont Mme [B] [L] et Mme [V] [Z], avec lesquelles il a signé un contrat de médecin collaborateur libéral, respectivement le 7 décembre 2020 et le 10 juillet 2021.

Le 17 janvier 202l les Dr [B] [L] et [V] [Z] sont devenues associées de la société Asgare.

Le 20 juin 2022, les associés de la société Asgare ont choisi un logiciel de gestion médicale en ligne, commercialisé par la société Weda.

Les contrats de collaboration libérale des Dr [B] [I] et [V] [Z] ont pris fin courant 2023. Celles-ci ont ouvert ensemble un cabinet médical sur la commune d'[Localité 11] et se sont également retirées en tant qu’associées de la structure Asgare, avec effet en juillet 2023.

Suivant actes de commissaire de justice en date du 28 juillet et du 2 août 2023, la société Asgare, la Selarl du Dr [L] et M. [L] ont assigné la société Weda, Mmes [T] [H], [Z] et [L] devant le juge des référés du tribunal judiciaire de Lorient aux fins d’ordonner une expertise et condamner les défendeurs aux dépens de l’instance.

Par ordonnance du 12 décembre 2023, le juge des référés du tribunal judiciaire de Lorient a :

– dit ne pas y avoir lieu à référé.

– rejeté l’ensemble des demandes.

– rappelé que la présente décision est exécutoire de droit à titre provisoire.

– condamné la société Asgare, la Selarl du Dr [L] et M. [L] in solidum, à payer au titre de l’article 700 du code de procédure civile les sommes suivantes :

1.200 € à Mme [L],

1.200 € à Mme [Z],

2.000 € à la société Weda,

– condamné la société Asgare, la Selarl du Dr [L] et M. [L] aux entiers dépens de l’instance.

Pour écarter la demande d’expertise, le juge des référés a retenu que les demandeurs ne justifiaient pas d’un intérêt légitime au sens de l’article 145 du code de procédure civile considérant que si par constat d’huissier il est possible de constater que le logiciel Weda fait apparaître l’intégralité du dossier patient et que le partage du dossier entre les praticiens du cabinet est coché par défaut sans le consentement du patient, ces faits ne sont pas en contradiction avec les articles 1110-4 du code de la santé publique et L.1110-12 du même code puisqu’ils appartiennent à la même équipe médicale.

Par ailleurs, le juge des référés a estimé que Mmes [Z] et [L], qui exerçaient leur activité en toute indépendance, étaient légitimes à conserver les dossiers des patients dont elles étaient le médecin traitant, que le transfert des dossiers a d’ailleurs été autorisé par l’ordre des médecins et qu’il n’était pas établi que la société Weda ait transféré des dossiers médicaux autres ou appartenant au Dr [G] [L].

Suivant déclaration du 20 décembre 2023, la société Asgare, la Selarl du Dr [L] et M. [L] ont interjeté appel de tous les chefs de cette ordonnance.

PRÉTENTIONS ET MOYENS DES PARTIES

La société Asgare, la Selarl du Dr [L] et M. [L] exposent leurs prétentions et moyens leurs dernières conclusions remises au greffe et notifiées le 4 mars 2024 aux termes desquelles ils demandent à la cour de :

– infirmer l’ordonnance du 12 décembre 2023 dans son ensemble,

– juger que M. [L] justifie d’un intérêt légitime à la désignation d’un expert aux fins de détermination du traitement accordé aux données de santé de sa patientèle et le cas échéant de son préjudice,

– en conséquence,

– désigner tel expert qu’il plaira, avec la mission suivante :

* entendre contradictoirement les parties et leurs conseils, recueillir leurs observations et y répondre,

* se faire assister, le cas échéant de tout sapiteur de son choix pour l’exécution de sa mission,

* se faire communiquer puis examiner tous les documents utiles, les bases de données et notamment l’ordre de transfert émis par la société Weda au profit de Mmes [L] et [Z] sur les données de santé des patients de la maison de santé,

* dresser un état précis des patients dont les données ont été transférées à Mmes [L] et [Z],

* dire le cas échéant, si parmi ces patients figurent des patients dont M. [L] est médecin traitant ou des patients qu’il a pu recevoir pendant plusieurs années avant l’arrivée de Mmes [L] et [Z] et dire si elles comprennent notamment, sans que cette liste soit exhaustive, l’historique médical du patient et/ou des informations relatives à tous types d’actes médicaux réalisés par lui,

* donner son avis sur l’étendue du transfert au regard des règles relatives au respect de la vie privée du patient, au RGPD et à toutes règles relatives à la législation sur les données de santé et notamment l’article 9.2 du RGPD et à l’article 8 de la loi informatique et libertés,

* déterminer de quelle manière le consentement des patients a été recueilli par les parties la société Weda et Mmes [L] et [Z] pour le transfert de leurs données de santé et donner son avis sur le respect du RGPD et toutes règles relatives à la législation sur les données de santé,

* déterminer de quelle manière le consentement de M. [L] a été recueilli pour le transfert des données relatives aux actes médicaux qu’il a effectués et dire si elle est conforme au RGPD et à toutes règles relatives à la législation sur les données de santé,

* dire si la société Weda ou Mmes [L] et [Z] ont mis chaque personne concernée en capacité de manifester sa volonté de manière libre, spécifique, éclairée et univoque, par une déclaration ou par un acte positif clair,

* dire si la société Weda ou Mmes [L] et [Z] a justifié de la pertinence des données collectées par rapport à l’usage du logiciel et à l’intérêt de l’utilisation et si elle a tout mis en oeuvre pour éviter toute dérive de collecte en masse ou d’utilisation malveillante dans le cadre desdits transferts,

* dire si la société Weda a limité la collecte des données à Mmes [L] et [Z] à celles nécessaires à la finalité fixée afin d’éviter la collecte ou l’utilisation abusive de données,

* plus généralement, fournir tous les éléments de nature à permettre à la juridiction éventuellement saisie de déterminer la régularité et la licéité du transfert de données effectués par la société Weda et les rôles des différents intervenants, dont notamment Mmes [L], [Z] et [T] [H],

– débouter tous les intimés de toutes demandes, fins et conclusions contraires,

– condamner solidairement les intimés à régler la somme de 2.400 € (soit 2.000 € HT) à chaque appelant en application de l’article 700 du code de procédure civile ainsi qu’aux entiers dépens d’instance et d’appel qui seront recouvrés en application des dispositions de l’article 699 du code de procédure civile.

Ils soutiennent que :

– à la date du transfert litigieux en juillet 2023, Mmes [Z] et [L] n’étaient plus en collaboration, qu’elles n’exerçaient plus dans les locaux de la maison de santé pluridisciplinaire (ayant créé leur propre cabinet) et qu’elles s’étaient retirées de la société Asgare, de sorte que le premier juge ne pouvait retenir la notion d’équipe de soins, en visant les dispositions de l’article 1110-4 du code de la santé publique,

– cet article ne permet d’ailleurs pas la collecte des données médicales des patients sans leur consentement express mais seulement l’échange entre les praticiens de celle-ci, ce qui suppose une prise en charge commune inexistante en l’espèce,

– dans le cadre de leur contrat de collaboration, les docteurs [B] [L] et [V] [Z] avaient accès aux données des patients du Dr [L] dès lors qu’elles pouvaient recevoir ses patients mais à partir de janvier 2023, les intimées qui avaient déménagé, ne pouvaient plus recevoir les patients du [X] [L] ni avoir accès à leurs données, conformément à l’article 4 des statuts de la société,

– le Dr [G] [L] n’était pas opposé au transfert des données des patients dont Mmes [V] [Z] et [B] [L] étaient le médecin traitant mais il était convenu que le transfert se fasse à la demande expresse des patients et que ces dernières pourraient récupérer leur dossier en version papier au secrétariat de la maison de santé,

– le Dr [L] s’est aperçu que malgré ses instructions, la société Weda avait partagé l’intégralité des données des patients du logiciel à Mmes [Z] et [L], y compris les consultations qu’il avait lui-même réalisées et même son propre dossier médical et celui de ses enfants,

– aucun élément n’établit que le transfert de données se serait limité aux dossiers des patients pour lesquels les Dr [Z] et [L] étaient désignées médecin traitant. Les correspondances de la société Weda suggèrent le contraire, notamment un courriel du 26 janvier 2023 l’informant du transfert à la demande de Mesdames [Z] et [L] de la copie des fiches des dossiers dans lesquels elles étaient « intervenues », soit la quasi-totalité de sa patientèle,

– dans un courriel du 13 mars 2023, la société Weda indique qu’il ne lui est pas possible de rapporter la preuve de ce qui a été transféré,

– il est hautement improbable que seules les fiches relatives au médecin traitant aient été transférées dès lors que le constat d’huissier du 17 janvier 2022 démontre que le pré-cochage par défaut au partage de données était activé pour chaque dossier médical. Ce pré-cochage par défaut au partage de données pour chaque dossier médical constitue une violation au consentement du patient outre qu’aucune disposition ne permet de s’assurer du consentement du médecin à ce partage,

– la responsabilité de la société Weda en qualité d’éditeur du logiciel de gestion médicale et des Dr [L] et [Z] en qualité de médecin pourrait être engagée pour avoir transférer des données de santé de sa patientèle au mépris des principes de respect de la vie privée du secret médical et du RGPD.

– deux choses distinctes sont reprochées aux intimées : d’une part, le partage de toutes les données de janvier 2023 à juin 2023 en dehors de tout cadre légal et d’autre part, le transfert à compter de juin 2023, de données relatives aux patients du Dr [L], y compris ceux pour lesquels ils n’existent pas encore de médecin traitant indiqué,

– l’étendue du transfert est donc incertaine et l’accès au serveur des intimées ne peut se faire autrement que par voie judiciaire, par un expert technique compétent,

– le premier juge ne pouvait refuser l’expertise en se fondant sur l’absence de preuve de l’étendue du transfert, objet de la mesure sollicitée. En subordonnant l’intérêt de la mesure d’instruction à la preuve que celle-ci avait justement pour but d’établir, le juge des référés a violé l’article 145 du code de procédure civile.

Mme [V] [Z] et Mme [B] [L] exposent leurs prétentions et moyens par conclusions séparées remises au greffe et notifiées le 18 mars 2024 aux termes desquelles elles demandent à la cour de :

– recevoir M. [L], la Selarl du Dr [L] et la société Asgare en leur appel et les y déclarer mal fondés,

– confirmer l’ordonnance du juge des référés du tribunal judiciaire de Lorient en toutes ses dispositions,

– rejeter les conclusions, fins et prétentions de M. [L], la Selarl du Dr [L] et la société Asgare,

– condamner in solidum M. [L], la Selarl du Dr [L] et la société Asgare à leurs verser chacune la somme de 2.000 € au titre de l’article 700 du code de procédure civile,

– condamner in solidum les mêmes aux entiers dépens,

A titre subsidiaire,

– ramener à de plus justes proportions les sommes allouées aux parties appelantes au titre des frais irrépétibles.

Elles exposent que :

– l’existence d’un intérêt légitime n’est pas démontrée,

– elles n’ont obtenu que le transfert des dossiers médicaux des patients dont elles étaient le médecin traitant, c’est-à-dire de leur propre patientèle, la preuve d’un transfert des dossiers concernant des patients du Dr [G] [L] n’est pas rapportée. Il n’existe même aucun commencement de preuve d’une violation du secret médical ni du RGPD

– en tant que collaboratrices libérales, les dossiers de leur patientèle leur appartiennent. Elles n’avaient pas à recevoir l’autorisation de la société Asgare pour un transfert, étant seules responsables du traitement des données de leur patients,

– la maison de santé dans laquelle elles exerçaient était multisites, ainsi le partage de données sur le site Weda était autorisé entre tous les médecins peu importe le site d’activité et d’exercice,

– elles ont gardé leur statut de collaboratrice jusqu’à la fin de leur préavis, soit jusqu’en juillet 2023, le fait qu’elles aient exercé sur un autre site à compter du 1er janvier 2023 est sans incidence. Elles avaient donc le droit d’accéder aux dossiers des patients de la maison de santé jusqu’au terme de leur contrat, soit jusque fin juin 2023,

– au sein d’une même équipe de soins, le consentement du patient n’est pas demandé pour le transfert de dossier, au sens de l’article 1110-4 du code de la santé publique,

– le constat d’huissier est dépourvu de valeur probante en ce qu’il ne respecte pas les diligences nécessaires à l’exécution d’un constat effectué par l’accès à internet,

– les missions sollicitées par les appelants excèdent le cadre de la mission d’expertise au sens de l’article 238 code de procédure civile puisqu’elle tendent à demander à l’expert de porter une appréciation d’ordre juridique.

La société Weda expose ses demandes et moyens dans ses dernières conclusions remises au greffe et notifiées le 15 mars 2024 aux termes desquelles elle demande à la cour de :

– confirmer l’ordonnance du juge des référés du tribunal judiciaire de Lorient en toutes ses dispositions,

– débouter les appelants de l’ensemble de leurs demandes, fins et conclusions plus amples ou contraires aux présentes,

– condamner in solidum M. [L], la Selarl du Dr [L] et la société Asgare à verser à lui verser 6.000 € au titre de l’article 700 du code de procédure civile,

– condamner les mêmes aux entiers dépens.

Elle expose que :

– seuls ont été transférés les dossiers patients pour lesquels les intimées avaient la qualité de médecin traitant,

– le Dr [L] n’avait aucun pouvoir pour s’opposer au transfert des données de ces patients, dont seules Mme [L] et [Z] étaient responsables

– le refus opposé par le docteur [L] au transfert des données des patients pour lesquels elles étaient médecin traitant revient à contester le statut de médecin collaborateur, caractérisé par l’indépendance de ce dernier,

– la société Weda n’est que sous-traitant et n’a transféré les dossiers que sur instruction des médecins responsables des données de leurs patients,

– la demande d’expertise vise à s’immiscer dans la relation des Dr [Z] et [L] avec leurs patients et à porter atteinte au secret médical,

– les appelants n’ont pas la qualité pour représenter les patients qui sont des personnes juridiques indépendantes ce qui rend infondée une action pour atteinte à la vie privée, au secret médical et au RGPD,

– en toute hypothèse, en désignant les intimées comme médecin traitant, les patients ont consenti au traitement des données,

– les intimées travaillaient au sein de la même équipe de soin de sorte que le transfert de données n’était subordonné ni au consentement des appelants ni à celui des patients,

– la case pré-cochée sur le logiciel permettait de matérialiser la présomption de consentement,

– à défaut de respecter les exigences techniques nécessaires, le constat d’huissier invoqué par les appelants n’a pas de valeur probante,

– le constat d’huissier litigieux n’a en outre aucun intérêt puisqu’étant daté de mai 2023, il est intervenu bien avant le transfert des données effectué en juillet 2023,

– les appelants ne donnent aucun indice rendant vraisemblable l’existence du transfert illégal allégué. Ils ne procèdent que par soupçons, déductions, affirmations, en tronquant ou déformant des correspondances,

– la demande d’expertise est disproportionnée par rapport à l’article 238 code de procédure civile puisqu’il est demandé à l’expert de se positionner juridiquement et par rapport à l’article 147 du même code au regard de son coût alors que l’appelant est déjà en possession de certaines pièces,

– subsidiairement, une expertise, si elle était ordonnée, ne pourrait porter que sur la seule vérification qu’aucun des dossiers transférés n’était sous la charge de M. [L].

Mme [R] [T] [H] n’a pas constitué avocat.

La déclaration d’appel lui a été signifiée le 11janvier 2024 et les conclusions de l’appelants le 31 janvier 2024.

*

L’instruction de l’affaire a été déclarée close le 26 mars 2024.

Pour plus ample exposé des prétentions et moyens des parties, il convient de se reporter à leurs écritures ci-dessus visées figurant au dossier de la procédure.

PAR CES MOTIFS

La cour,

Confirme l’ordonnance rendue le 12 décembre 2023 par le juge des référés de Lorient ,

Y ajoutant,

Condamne la société Asgare, la Selarl du Dr [L] et M. [G] [L] in solidum aux dépens d’appel,

Les déboute de leur demande sur le fondement de l’article 700 du code de procédure civile,

Condamne la société Asgare, la Selarl du Dr [L] et M. [G] [L] in solidum à payer à Mme [B] [L], à Mme [V] [Z] et à la société Weda la somme de 2000 euros chacun au titre des frais irrépétibles d’appel sur le fondement de l’article 700 du code de procédure civile.

LA GREFFIERE LA PRESIDENTE