1. Rappel de la règle posée par l’arrêt du 26 octobre 2023 (aff. C‑307/22)
La Cour de justice de l’Union européenne, dans l’affaire C‑307/22 du 26 octobre 2023, a jugé que, sur le fondement combiné des articles 12, paragraphe 5, et 15, paragraphes 1 et 3, du règlement (UE) 2016/679 (RGPD), la personne concernée a droit à la fourniture, à titre gratuit, d’une première copie de ses données à caractère personnel, y compris lorsqu’il s’agit de données de santé contenues dans un dossier médical.
La Cour a précisé que :
- la gratuité de la première copie s’impose au responsable de traitement,
- l’exercice de ce droit n’a pas à être motivé et peut poursuivre un but étranger à la protection des données (par exemple préparer une action en responsabilité médicale).
Cette solution est expressément reprise par la doctrine récente, qui souligne que « le responsable de traitement doit, en application d’une demande de droit d’accès sur le fondement de l’article 15 du RGPD, fournir à la personne concernée une première copie de ses données personnelles à titre gratuit » et, en cas de dossier médical, une copie intégrale des documents si cela est nécessaire pour garantir l’intelligibilité des données.
2. À qui s’applique ce droit d’accès et de copie gratuite selon le RGPD ?
Le droit d’accès prévu par l’article 15 du RGPD appartient à la « personne concernée », c’est‑à‑dire la personne physique identifiée ou identifiable par les données traitées.
La CJUE, dans l’arrêt du 26 octobre 2023 (C‑307/22), raisonne toujours en ces termes :
- le titulaire du droit est la personne concernée,
- le responsable de traitement doit lui fournir une copie fidèle des informations qu’il détient,
- la première copie est gratuite.
L’arrêt ne traite pas de la situation des ayants droit d’une personne décédée et ne leur reconnaît pas, en tant que tels, un droit autonome à une copie gratuite en application directe du RGPD.
En droit de l’Union, le RGPD ne s’applique en principe qu’aux personnes physiques vivantes ; la question de l’accès des ayants droit au dossier médical d’un défunt relève essentiellement du droit interne (ici, le droit français).
3. Règles spécifiques du droit français pour les ayants droit d’un patient décédé
3.1. Droit d’accès des ayants droit au dossier médical (CSP, art. L. 1111‑7 et L. 1110‑4)
En droit français, l’accès des ayants droit au dossier médical du défunt est organisé par le code de la santé publique :
- L’article L. 1111‑7 CSP consacre le droit d’accès de la personne à son dossier médical et renvoie, pour les données de santé, à des modalités spécifiques (accès direct ou par l’intermédiaire d’un médecin, délais, etc.).
- L’article L. 1110‑4 CSP prévoit que le secret médical ne fait pas obstacle à ce que des informations concernant la personne décédée soient délivrées à ses ayants droit, dans la mesure où elles leur sont nécessaires pour :
- connaître les causes de la mort,
- défendre la mémoire du défunt,
- ou faire valoir leurs droits,
sauf volonté contraire exprimée par la personne avant son décès.
La doctrine rappelle que :
- les ayants droit sont entendus comme les successeurs légaux au sens du code civil (héritiers, conjoint survivant, légataires universels ou à titre universel),
- l’accès porte seulement sur les informations nécessaires à l’objectif invoqué (causes du décès, défense de la mémoire, exercice d’un droit), et non sur l’intégralité du dossier médical, sauf si toutes les informations sont nécessaires à cet objectif.
3.2. Conditions matérielles et procédurales d’accès pour les ayants droit
Les textes et la doctrine française précisent que :
- L’ayant droit doit indiquer le motif de sa demande (causes de la mort, mémoire du défunt ou droits à faire valoir).
- Le refus d’accès doit être motivé et peut constituer une faute engageant la responsabilité de l’établissement s’il est illégal.
- L’accès ne porte que sur les documents contenant les informations nécessaires au motif invoqué, et non sur l’ensemble du dossier, sauf si l’objectif justifie la communication plus large.
- Le secret médical survit au décès ; il n’est levé que dans les strictes limites fixées par les articles L. 1110‑4 et L. 1111‑7 CSP.
Ainsi, le droit d’accès des ayants droit au dossier médical d’un défunt est un droit spécifique, distinct du droit d’accès de la personne concernée vivante prévu par l’article 15 du RGPD.
4. La question de la gratuité pour les ayants droit : transposition ou non de la solution CJUE ?
4.1. Ce que dit clairement la jurisprudence CJUE
L’arrêt du 26 octobre 2023 (C‑307/22) affirme que :
- « l’obligation de fournir à la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel faisant l’objet d’un traitement s’impose au responsable du traitement même lorsque cette demande est motivée dans un but étranger à ceux visés au considérant 63 » du RGPD.
- Ni l’article 12, paragraphe 5, ni l’article 15, paragraphes 1 et 3, ne permettent d’exiger la motivation de la demande pour bénéficier de la gratuité.
Cette solution est expressément rattachée à la “personne concernée” par les données, non à des tiers.
4.2. Situation des ayants droit au regard du RGPD et du droit français
- Au sens strict du RGPD
- Les ayants droit du défunt ne sont pas la « personne concernée » par les données de santé du patient décédé.
- Le RGPD, tel qu’interprété par la CJUE dans C‑307/22, n’impose donc pas directement que les ayants droit bénéficient eux‑mêmes, en tant que tels, d’un droit autonome à une première copie gratuite des données du défunt.
- Au regard du droit français de la santé
- L’accès des ayants droit au dossier médical est organisé par le CSP (L. 1111‑7, L. 1110‑4), qui ne comporte pas, dans les extraits disponibles, de disposition explicite sur la gratuité ou non de la première copie fournie aux ayants droit.
- La doctrine récente en matière de droit d’accès gratuit vise expressément le patient lui‑même (« le patient a le droit de se faire délivrer gratuitement une première copie de son dossier médical ») en se fondant sur la décision CJUE C‑307/22.
Les informations fournies indiquent donc clairement :
- une obligation de gratuité de la première copie du dossier médical pour le patient vivant, en application du RGPD tel qu’interprété par la CJUE,
- mais ne permettent pas d’affirmer, sur la base des seuls textes et commentaires cités, que cette gratuité est automatiquement étendue aux ayants droit du patient décédé.
5. Conclusion
- L’arrêt CJUE du 26 octobre 2023 (aff. C‑307/22) consacre, sur le fondement des articles 12, paragraphe 5, et 15, paragraphes 1 et 3, du RGPD, le droit pour la personne concernée d’obtenir gratuitement une première copie de ses données à caractère personnel, y compris les données de santé figurant dans son dossier médical.
- Ce droit, tel qu’interprété par la CJUE, vise le patient lui‑même et non ses ayants droit.
- En droit français, les ayants droit d’un patient décédé disposent d’un droit d’accès spécifique au dossier médical du défunt, encadré par les articles L. 1110‑4 et L. 1111‑7 du code de la santé publique (finalités limitées : causes du décès, mémoire du défunt, exercice de leurs droits ; accès seulement aux informations nécessaires ; absence d’opposition du défunt).
- Les extraits disponibles ne prévoient pas expressément que la première copie fournie aux ayants droit doit être gratuite dans les mêmes termes que pour le patient vivant, et ne permettent donc pas de conclure, sur la base de ces seules sources, que l’arrêt C‑307/22 impose une telle gratuité aux bénéfices des ayants droit.
En l’état des textes et commentaires cités, la solution de la CJUE sur la gratuité de la première copie du dossier médical est donc assurée pour le patient lui‑même, mais ne peut pas être transposée automatiquement, avec la même certitude juridique, aux ayants droit du patient décédé.