Renseignements médicaux confidentiels 1366 dossiers consultés « par curiosité » à Sainte-Justine

Le Centre hospitalier universitaire mère-enfant Sainte-Justine a découvert que son personnel avait consulté 1366 dossiers médicaux « sans justification ». Quatre employées, dont trois professionnelles, ont ainsi accédé aux informations médicales de patients « par curiosité », jusqu’en 2020.

Parmi les patients concernés figurent des personnalités connues ou l’un de leurs proches, selon la porte-parole de l’établissement montréalais, Lucie Dufresne.

En février 2020, les médias avaient déjà rapporté que le CHU Sainte-Justine avait congédié une employée – qui ne faisait pas partie du personnel soignant – parce qu’elle avait accédé à 344 dossiers sans raison valable.

Les vérifications de l’établissement ont ensuite démontré que trois professionnelles avaient aussi accédé à des données médicales de façon injustifiée, des faits concernant quatre fois plus de patients, selon un tableau qu’a obtenu La Presse après une demande d’accès à l’information.

En octobre 2021 par exemple, Sainte-Justine a découvert qu’une employée avait fouillé dans 863 dossiers médicaux sans raison. En mai de la même année, l’établissement a aussi constaté que « deux professionnelles » avaient consulté 159 dossiers médicaux, toujours pour assouvir leur curiosité personnelle.

Contacté pour obtenir les détails, l’hôpital précise que les évènements ont eu lieu en 2020 ou avant.

Lucie Dufresne souligne que les trois employées concernées « ne sont plus à l’emploi de Sainte-Justine ».

Elle ajoute que « des plaintes ont été portées à leurs ordres professionnels » : l’Ordre des infirmières et infirmiers du Québec, celui des infirmières et infirmiers auxiliaires et celui des diététistes-nutritionnistes.

Elle convient que rien n’empêche quelqu’un de prendre une photo du dossier consulté, mais précise qu’aucune copie d’écran des informations n’a été retrouvée sur les postes de travail concernés.

L’hôpital a découvert les deux situations lors de « journalisations », des compilations des accès aux dossiers par le service informatique.

Dans sa réponse à la demande de La Presse, Sainte-Justine mentionne aussi une « erreur dans l’adresse courriel » qui a mené à l’envoi d’informations cliniques sur 19 patients au mauvais destinataire, en mai dernier.

Plus d’un an et demi pour détecter une brèche

Lucie Dufresne assure que toutes les consultations injustifiées de dossiers médicaux sont survenues en 2020 ou avant, même si Sainte-Justine les a découvertes l’an dernier.

C’est donc dire que l’hôpital a mis au moins un an et demi avant de découvrir, en octobre 2021, les 863 dossiers qu’avait consultés l’une des professionnelles congédiées.

« Il s’est écoulé un délai assez significatif entre le moment de l’incident et celui où ils s’en sont rendu compte », souligne Pierre Trudel, professeur de droit de l’information à l’Université de Montréal.

Les informations qu’a transmises l’établissement signifient également qu’il n’a détecté aucune consultation injustifiée de dossiers médicaux en 2021 et en 2022. Une amélioration due aux efforts de Sainte-Justine pour empêcher que de telles situations ne se reproduisent, selon le centre hospitalier.

« Une importante campagne de sensibilisation à la confidentialité a été mise en place à la suite du premier évènement de février 2020, explique Lucie Dufresne. Nous avons également procédé à la révision du code de conduite et de l’engagement à la confidentialité des employés. »

Des failles malgré la loi

Pierre Trudel se dit néanmoins surpris qu’autant de consultations injustifiées aient pu avoir lieu, 20 ans après l’adoption d’une loi conçue pour les empêcher.

« Ça fait longtemps qu’il y a des obligations pour faire en sorte qu’une personne n’accède pas à de l’information confidentielle sans autorisation », dit-il.

La Loi concernant le cadre juridique des technologies de l’information prévoit que les responsables doivent « prendre les mesures de sécurité propres à en assurer la confidentialité ». Elles passent notamment par « un contrôle d’accès effectué au moyen d’un procédé de visibilité réduite ou d’un procédé qui empêche une personne non autorisée de prendre connaissance du renseignement ».

Interrogée sur ses systèmes de ségrégation des accès, la porte-parole de Sainte-Justine offre peu de détails.

Lucie Dufresne explique que « chaque type d’emploi a un profil particulier dans le logiciel des dossiers médicaux ». Elle ajoute que certains professionnels, comme les médecins, ont des accès « assez larges ». « Il faut qu’on puisse assurer la sécurité des soins, dit-elle. Quand quelqu’un se présente à l’urgence, il faut qu’on soit en mesure de le traiter rapidement. »

Sainte-Justine n’a pas pu dire à La Presse si les deux infirmières et la nutritionniste en cause avaient accès à l’ensemble des dossiers médicaux ou non.

En entretien avec La Presse, le président-directeur général du Conseil pour la protection des malades, Paul Brunet, dit trouver « assez ironique » que des patients et leurs proches qu’il représente aient autant de mal à obtenir leurs propres dossiers médicaux dans le réseau de la santé.

L’avocat souligne que beaucoup de ses clients doivent s’armer de patience et insister lourdement pour avoir accès à leur propre dossier médical ou à celui de proches. « C’est comme si on était moins rigoureux quand un soignant à l’interne consulte un dossier que quand c’est le patient qui veut le voir. »