En cas de fuite de données médicales en Suisse, la question de la responsabilité dépend rarement d'un seul acteur. En pratique, la loi sur la protection des données précise les rôles entre celui qui décide pourquoi et comment les informations sont utilisées, et ceux qui traitent ces données pour son compte. L'établissement qui organise le suivi du patient reste souvent au centre du dispositif, même quand l'informatique est externalisée. Chaque situation doit toutefois être analysée selon les faits, les contrats et l'organisation concrète.

1. Pourquoi les données de santé sont si sensibles

Les données de santé constituent, selon la législation suisse, des données personnelles particulièrement sensibles. Une fuite ne concerne pas seulement un nom ou une adresse. Elle peut révéler un diagnostic, un traitement, une hospitalisation, une incapacité de travail, des résultats de laboratoire ou des éléments intimes pouvant avoir des conséquences sociales et économiques importantes.

C'est pour cette raison qu'en 2026, lorsqu'un hôpital, une clinique ou un cabinet privé traite des données médicales, la loi exige un niveau de sécurité particulièrement élevé et une gestion d'incident très rigoureuse. Cela ne signifie pas automatiquement que vous obtiendrez une indemnisation, mais cela renforce l'importance des mesures organisationnelles et techniques ainsi que la qualité de la réaction de l'organisme concerné.

2. Qui décide et qui traite parmi l'hôpital, le médecin et le prestataire informatique

Pour comprendre qui est responsable, il est utile de raisonner de façon simple. Dans la majorité des cas, l'acteur principal est le maître du fichier, c'est-à-dire celui qui fixe les finalités du traitement. Il s'agit par exemple d'assurer votre prise en charge, de gérer le dossier du patient, de facturer ou de coordonner des examens. Autour de lui gravitent souvent des acteurs qui rendent un service technique ou organisationnel, comme un hébergeur, un éditeur de logiciel médical ou une plateforme de prise de rendez-vous.

Dans un tel dispositif, l'établissement de soins reste généralement tenu de choisir des prestataires adéquats, de cadrer leurs accès et de surveiller le respect des mesures de sécurité attendues. Le prestataire externe peut aussi engager sa propre responsabilité, notamment si la faille provient de ses propres systèmes, de ses erreurs de configuration ou d'un manquement grave à ses obligations contractuelles de sécurité. La réponse concrète dépendra toujours des rôles de chacun, des instructions reçues et de la marge de manœuvre technique.

Une complexité fréquente en Suisse romande concerne les médecins indépendants exerçant au sein d'une structure commune. Selon l'organisation, le médecin indépendant peut être responsable de certains traitements, tandis que la clinique ou le centre médical répond de la prise de rendez-vous centralisée ou de l'archivage.

3. Scénarios fréquents en Suisse romande

Sans entrer dans des calculs de délais ou des montants qui dépendent de chaque situation, voici des contextes typiques où la responsabilité d'un établissement de soins se pose selon la loi sur la protection des données.

• Hôpital ou clinique avec erreur d'envoi. Un courriel transmis au mauvais destinataire, une pièce jointe mal adressée ou un courrier erroné. La cause est interne et la responsabilité se discute directement avec l'établissement.
• Cabinet privé et compte compromis. Mots de passe faibles, hameçonnage (phishing) ou absence d'authentification forte. Le cabinet est en première ligne, mais il convient de vérifier si un prestataire gérait l'infrastructure et les sauvegardes.
• Prestataire informatique et faille technique. Un serveur mal configuré, une vulnérabilité non corrigée ou une sauvegarde exposée. L'établissement de soins reste souvent responsable vis-à-vis des patients, mais il pourra éventuellement se retourner contre son prestataire selon les accords en vigueur.
• Plateforme de rendez-vous et fuite de compte. Selon la nature du service, la plateforme traite des données pour le compte de l'établissement ou pour ses propres finalités. Le partage des responsabilités varie fortement selon l'organisation.
• Accès interne abusif. Une consultation du dossier par un employé sans aucun motif médical. Les établissements doivent encadrer les accès et conserver des traces des consultations, l'évaluation de la faute dépendra donc des contrôles et des journaux d'accès disponibles.

Dans l'ensemble de ces scénarios, le point décisif consiste à identifier la nature exacte des éléments touchés. Une fuite peut concerner un simple numéro de patient ou inclure des rapports cliniques complets. Les mesures à prendre et l'évaluation du risque seront très différentes.

4. Que faire si vous recevez une notification d'incident

La réception d'une telle notification est stressante, mais il vaut mieux éviter de répondre sous le coup de l'émotion. L'objectif est d'obtenir des informations utiles, de conserver des preuves et de limiter le risque concret pour vous (usurpation d'identité, escroquerie, atteinte à la sphère privée).

Voici ce que vous pouvez généralement demander de façon factuelle et par écrit.

• La catégorie des données. Vérifier quelles informations précises sont concernées et si des rapports médicaux font partie du lot.
• La période d'exposition. Savoir durant combien de temps la faille a existé et si l'accès par un tiers non autorisé est confirmé ou seulement suspecté.
• Les mesures correctives. Connaître les actions entreprises pour stopper la fuite et les sécurités supplémentaires mises en place.
• Les acteurs impliqués. Identifier les éventuels sous-traitants, l'hébergeur ou l'éditeur du logiciel, ainsi que le responsable de la protection des données au sein de l'établissement.
• Les recommandations urgentes. Appliquer les conseils fournis, tels que le changement de mots de passe ou la surveillance accrue de vos comptes bancaires et correspondances.

Pour évaluer un préjudice, restez toujours pragmatique. En Suisse, une indemnisation n'est pas automatique du seul fait qu'une fuite s'est produite. Ce qui pèse le plus lourd devant une autorité, ce sont des conséquences démontrables, comme des démarches imposées, une atteinte importante à la personnalité ou des coûts liés à la gestion de l'incident.

Si la situation vous semble opaque ou si vous peinez à obtenir des réponses, il est souvent utile de solliciter un avis ciblé avant d'envoyer une mise en demeure. Sur JuriUp, vous avez la possibilité de décrire l'incident en quelques lignes pour être mis en relation avec un expert juridique compétent. Un avocat ou une avocate spécialisée en protection des données saura vous aiguiller sur les meilleures options dans votre canton.