En cas de fuite de données médicales en Suisse, la question de la responsabilité dépend rarement d’un seul acteur. En pratique, la LPD distingue généralement entre celui qui décide pourquoi et comment les données sont utilisées, et ceux qui traitent les données pour son compte. L’établissement qui organise le suivi du patient reste souvent au centre du dispositif, même quand l’informatique est externalisée, mais chaque situation doit être analysée selon les faits, les contrats et l’organisation concrète.

1. Pourquoi les données de santé sont si sensibles

Les données de santé sont, selon la législation suisse, des données particulièrement sensibles. Une fuite ne concerne pas seulement un nom ou une adresse, elle peut révéler un diagnostic, un traitement, une hospitalisation, une incapacité de travail, des résultats de laboratoire, ou des éléments intimes qui peuvent avoir des conséquences sociales et économiques. C’est pour cela qu’en 2026, lorsqu’un hôpital, une clinique ou un cabinet privé traite des données médicales, on attend généralement un niveau de sécurité plus élevé et une gestion d’incident plus rigoureuse. Cela ne signifie pas automatiquement que vous obtiendrez une indemnisation, mais cela renforce l’importance des mesures organisationnelles et techniques, ainsi que la qualité de la réaction de l’organisme concerné.

2. Qui décide et qui traite : hôpital, médecin, prestataire IT

Pour comprendre « qui est responsable », il est utile de raisonner de façon simple. Dans la plupart des cas, l’acteur principal est celui qui fixe les finalités du traitement, par exemple assurer votre prise en charge, gérer le dossier patient, facturer, planifier des rendez-vous, coordonner des examens. Autour de lui, on trouve souvent des acteurs qui rendent un service technique ou organisationnel, comme un hébergeur, un éditeur de logiciel médical, un centre d’appels, ou une plateforme de prise de rendez-vous. Dans ce type d’organisation, l’établissement de soins reste généralement tenu de choisir des prestataires adéquats, de cadrer leurs accès, et de surveiller le respect des mesures de sécurité attendues. Le prestataire IT peut aussi avoir sa propre responsabilité, notamment si la faille provient de ses systèmes, de ses erreurs de configuration ou d’un manquement à des obligations de sécurité. La réponse concrète dépend des rôles, des instructions reçues et de la marge de décision de chacun. Une difficulté fréquente en Suisse romande concerne les médecins indépendants qui exercent dans une structure. Selon la manière dont le dossier est organisé, un médecin indépendant peut être responsable de certains traitements, tandis que la clinique ou le centre médical est responsable d’autres traitements, par exemple la prise de rendez-vous centralisée ou l’archivage.

3. Scénarios fréquents en Suisse romande

Sans entrer dans des délais ou des montants qui dépendent du cas, voici des situations typiques où la question « responsabilité hôpital LPD » se pose.

• Hôpital ou clinique : erreur d’envoi (courriel au mauvais destinataire, pièce jointe mal adressée, fax ou courrier). Ici, la cause est souvent interne, et la responsabilité se discute principalement au niveau de l’établissement.
• Cabinet privé : compte e-mail compromis (mots de passe faibles, phishing, absence de double authentification). Le cabinet peut être au centre, mais il faut aussi vérifier si un prestataire gère l’infrastructure et les sauvegardes.
• Prestataire IT : faille technique (serveur mal configuré, vulnérabilité non corrigée, sauvegarde exposée). L’établissement de soins reste souvent exposé vis-à-vis des patients, puis il peut se retourner contractuellement contre le prestataire selon les accords en place.
• Plateforme de rendez-vous : fuite liée à un compte patient. Selon le service, la plateforme peut traiter des données pour le compte de l’établissement ou pour ses propres finalités. Le partage des responsabilités dépend de l’organisation concrète.
• Accès interne abusif (consultation du dossier sans motif). Les établissements doivent en principe encadrer les accès et tracer les consultations, mais l’évaluation dépend des politiques internes, des contrôles et des journaux d’accès disponibles.

Dans tous ces cas, le point central est d’identifier ce qui a été touché. Une fuite de données de santé peut concerner un simple identifiant de patient, ou inclure des documents cliniques complets. Les mesures à prendre et l’évaluation du risque ne sont pas les mêmes.

4. Que faire si vous recevez une notification d’incident

Si vous recevez une notification, évitez de répondre sous le coup de l’émotion. L’objectif est d’obtenir des informations utiles, de conserver des preuves et de réduire le risque concret pour vous, par exemple un risque d’escroquerie, d’usurpation d’identité ou d’atteinte à votre sphère privée. Voici ce que vous pouvez généralement demander, de façon factuelle, par écrit.

• Quelles catégories de données sont concernées, et si des données médicales détaillées font partie de l’incident.
• La période durant laquelle l’exposition a pu se produire, et si l’accès non autorisé est confirmé ou seulement possible.
• Les mesures prises pour contenir l’incident, et les mesures supplémentaires prévues.
• Les acteurs impliqués, par exemple hébergeur, éditeur logiciel, sous-traitants, et l’interlocuteur responsable côté établissement.
• Les recommandations pour vous, par exemple changement de mot de passe, vigilance face à des tentatives de contact, ou monitoring de comptes.

Pour évaluer un préjudice, restez pragmatique. En Suisse, une indemnisation n’est pas automatique du seul fait d’une fuite. Ce qui pèse généralement, ce sont des conséquences démontrables, comme des démarches imposées, une atteinte importante à la personnalité, ou des coûts liés à la gestion de l’incident. Si vous n’êtes pas sûr de votre situation, il est souvent utile d’obtenir un avis ciblé avant d’envoyer une mise en cause trop agressive. Sur JuriUp, vous pouvez décrire l’incident en quelques lignes et obtenir un retour d’un expert juridique adapté, par exemple un avocat spécialisé en protection des données, afin de clarifier vos options dans votre canton.