Vu la procédure suivante :

Par une requête et un mémoire, enregistrés le 8 juillet 2024 et le 4 mars 2025, M. A… B…, représenté par M^e Deniau, demande au tribunal :

1°) d’annuler la décision du 7 juin 2024 par laquelle le directeur du centre hospitalier intercommunal des Andaines l’a licencié pour faute grave ;

2°) d’enjoindre au centre hospitalier intercommunal des Andaines de reconstituer sa carrière et ses droits à rémunération pour la durée restante de son contrat, dans un délai d’un mois à compter de la notification du jugement à intervenir et sous astreinte de 100 euros par jour de retard ou, à défaut, de réexaminer sa situation dans les mêmes conditions de délai et d’astreinte ;

3°) de mettre à la charge du centre hospitalier intercommunal des Andaines une somme de 2 500 euros au titre de l’article L. 761-1 du code de justice administrative.

Il soutient que :

- la décision attaquée est insuffisamment motivée ;

- elle méconnaît le principe général des droits de la défense dès lors qu’il n’a pas été averti de la possibilité d’obtenir son dossier administratif ;

- les faits qui lui sont reprochés ne sont pas établis ;

- ces faits n’étaient pas de nature à justifier la mesure de licenciement prise à son encontre ;

- elle est disproportionnée.

Par un mémoire en défense enregistré le 4 février 2025, le centre hospitalier intercommunal des Andaines, représenté par M^e Lesné, conclut au rejet de la requête et à ce que soit mise à la charge du requérant une somme de 1 000 euros au titre de l’article L. 761-1 du code de justice administrative.

Il fait valoir qu’aucun des moyens soulevés n’est fondé.

Par un mémoire distinct enregistré le 7 février 2025, présenté au titre des dispositions de l’article R. 412-2-1 du code de justice administrative, le centre hospitalier intercommunal des Andaines a exposé au tribunal les motifs fondant le refus de transmission à l’autre partie de la pièce qu’il estime couverte par le secret médical. Ce mémoire a été communiqué.

Une pièce enregistrée le 16 mai 2025 a été présentée au greffe par le centre hospitalier intercommunal des Andaines sous une double enveloppe avec la mention « pièces soustraites au contradictoire – article R. 412-2-1 du code de justice administrative ». Cette pièce n’a pas été communiquée.

Vu les autres pièces du dossier.

Vu :

- le code des relations entre le public et l’administration ;

- le code de la santé publique ;

- la loi du 22 avril 1905 ;

- le décret n° 2018-137 du 26 février 2018 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l’audience.

Ont été entendus au cours de l’audience publique :

- le rapport de M^me Kremp-Sanchez, conseillère,

- les conclusions de M^me Remigy, rapporteure publique,

- et les observations de M^e Deniau, représentant M. B….

Considérant ce qui suit :

M. A… B… a été recruté en qualité de clinicien hospitalier par le centre hospitalier intercommunal des Andaines, à compter du 6 décembre 2021, pour une durée de trois ans. Par un courrier du 14 mai 2024, le directeur du centre hospitalier l’a informé de l’ouverture d’une procédure disciplinaire à son encontre. La commission médicale d’établissement s’est réunie le 29 mai 2024 et a rendu un avis favorable au prononcé d’une sanction de type révocation à l’encontre de M. B…. Par une décision du 7 juin 2024, dont M. B… demande l’annulation, le directeur du centre hospitalier l’a licencié pour faute grave à compter du 10 juin 2024.

Sur les conclusions à fin d’annulation :

En ce qui concerne la légalité externe :

En premier lieu, aux termes de l’article L. 211-2 du code des relations entre le public et l’administration : « Les personnes physiques ou morales ont le droit d’être informées sans délai des motifs des décisions administratives individuelles défavorables qui les concernent. / A cet effet, doivent être motivées les décisions qui : (…) / 2° Infligent une sanction ; (…) ». L’article L. 211-5 du même code dispose : « La motivation exigée par le présent chapitre doit être écrite et comporter l’énoncé des considérations de droit et de fait qui constituent le fondement de la décision ». Ces dispositions impliquent, s’agissant d’une sanction disciplinaire prononcée à l’encontre d’un agent public, que l’autorité administrative précise, dans sa décision, les griefs qu’elle entend retenir à l’encontre de l’agent public intéressé, de sorte que ce dernier puisse, à la seule lecture de la décision qui lui est notifiée, connaître les motifs de la sanction.

En l’espèce, la décision attaquée vise l’article R. 6152-715 du code de la santé publique et expose les faits reprochés à M. B…, à savoir la connexion à un site non sécurisé sur lequel il a renseigné des données personnelles et médicales de patients pris en charge au centre hospitalier. Elle comporte ainsi l’énoncé des considérations de droit et de fait qui en constituent le fondement, conformément à l’article L. 211-5 du code des relations entre le public et l’administration, et permet à l’intéressé de connaître et de discuter les motifs de la sanction qui lui est infligée. Par suite, le moyen tiré de l’insuffisance de motivation doit être écarté.

En second lieu, aux termes de l’article 65 de la loi du 22 avril 1905 portant fixation du budget des dépenses et des recettes de l’exercice 1905, dans sa rédaction applicable au litige : « Tous les militaires, tous les employés et ouvriers de toutes administrations publiques ont droit à la communication personnelle et confidentielle de toutes les notes, feuilles signalétiques et tous autres documents composant leur dossier, soit avant d’être l’objet d’une mesure disciplinaire ou d’un déplacement d’office, soit avant d’être retardé dans leur avancement à l’ancienneté ». En vertu de ces dispositions, un agent public faisant l’objet d’une mesure prise en considération de sa personne, qu’elle soit ou non justifiée par l’intérêt du service, doit être mis à même d’obtenir communication de son dossier. En matière disciplinaire, dans le cas où l’agent public se plaint de ne pas avoir été mis à même de demander communication ou de ne pas avoir obtenu communication d’une pièce ou d’un témoignage utile à sa défense, il appartient au juge d’apprécier, au vu de l’ensemble des éléments qui ont été communiqués à l’agent, si celui-ci a été privé de la garantie d’assurer utilement sa défense.

Il ressort des pièces du dossier que, par un courrier du 14 mai 2024, le directeur du centre hospitalier intercommunal des Andaines a informé M. B… de l’ouverture d’une procédure disciplinaire à son encontre, de la possibilité de présenter des observations dans un délai de huit jours et de la réunion de la commission médicale d’établissement le 29 mai 2024. Si ce courrier ne comportait pas l’information selon laquelle M. B… pouvait obtenir communication de son dossier, l’intéressé ne conteste pas avoir reçu communication du rapport établi par la responsable de la sécurité des systèmes d’information de l’établissement, qui retrace les faits qui lui sont reprochés. Dès lors qu’il ne ressort pas des pièces du dossier que le directeur du centre hospitalier se serait fondé, pour prononcer la sanction litigieuse, sur d’autres pièces que ce rapport, et que M. B… n’établit pas que des éléments utiles à sa défense ne lui auraient pas été communiqués, il n’est pas fondé à soutenir qu’il aurait été privé d’une garantie. Par suite, et en tout état de cause, le moyen tiré du vice de procédure doit être écarté.

En ce qui concerne la légalité interne :

Il appartient au juge de l’excès de pouvoir, saisi de moyens en ce sens, de rechercher si les faits reprochés à un agent public ayant fait l’objet d’une sanction disciplinaire constituent des fautes de nature à justifier une sanction et si la sanction retenue est proportionnée à la gravité de ces fautes.

En premier lieu, il ressort des pièces du dossier soumises au contradictoire, et notamment du rapport établi par la responsable de la sécurité des systèmes d’information du centre hospitalier, que, le 30 avril 2024, un informaticien de l’établissement a constaté, à l’occasion d’une intervention, que le poste professionnel de M. B… n’était pas verrouillé et que le logiciel TeamViewer, qui permet la gestion à distance d’appareils informatiques, y était ouvert. A la suite de son signalement, le technicien supérieur informatique chargé de la maintenance est intervenu sur ce poste et a constaté que des données médicales de patients avaient été extraites du logiciel de gestion du dossier patient informatisé de l’établissement pour être versées sur un logiciel tiers, hébergé sur un site internet non sécurisé, ainsi qu’en justifient les captures d’écran jointes au rapport susmentionné, dont il ressort que l’adresse de ce site n’est pas précédée de l’indicateur « https » qui identifie la connexion sécurisée à un serveur, et, au contraire, que le navigateur affiche la mention « non sécurisé ». Ces faits ne sont pas contestés par M. B…, qui reconnaît avoir eu recours à un outil externe pour assurer le suivi de ses patients et l’avoir alimenté avec les données issues du dossier patient informatisé de l’établissement. Dans ces conditions, le requérant n’est pas fondé à soutenir que la matérialité des faits qui lui sont reprochés ne serait pas établie, la circonstance qu’il n’ait pas été présent au centre hospitalier le 30 avril 2024, jour de constat de l’incident, étant sans incidence à ce titre.

En deuxième lieu, d’une part, aux termes de l’article R. 4127-4 du code de la santé publique : « Le secret professionnel institué dans l’intérêt des patients s’impose à tout médecin dans les conditions établies par la loi. / Le secret couvre tout ce qui est venu à la connaissance du médecin dans l’exercice de sa profession, c’est-à-dire non seulement ce qui lui a été confié, mais aussi ce qu’il a vu, entendu ou compris ». L’article R. 4127-73 du même code dispose : « Le médecin doit protéger contre toute indiscrétion les documents médicaux, concernant les personnes qu’il a soignées ou examinées, quels que soient le contenu et le support de ces documents. / Il en va de même des informations médicales dont il peut être le détenteur. (…) ». Le contrat signé entre le centre hospitalier intercommunal des Andaines et M. B… prévoit, en son article 9, que l’intéressé « s’engage à respecter le règlement intérieur de l’établissement », « veillera au respect du code de déontologie » et « s’assurera de toutes garanties en ce qui concerne les règles liées au secret professionnel ».

D’autre part, aux termes du point 5.1 relatif à la confidentialité de l’information et l’obligation de discrétion de la charte d’accès au système d’information des établissements du groupement hospitalier territorial des collines de Normandie, annexée au règlement intérieur du centre hospitalier intercommunal des Andaines : « Les personnels de l’établissement sont soumis au secret professionnel et/ou médical. Cette obligation revêt une importance toute particulière lorsqu’il s’agit de données de santé. Les personnels doivent faire preuve d’une discrétion absolue dans l’exercice de leur mission. (…) / L’accès par les utilisateurs aux informations et documents conservés sur les systèmes informatiques doit être limité à ceux qui leur sont propres, ainsi que ceux qui sont publics ou partagés. (…) / L’utilisateur doit assurer la confidentialité des données qu’il détient. En particulier, il ne doit pas diffuser à des tiers, au moyen d’une messagerie non sécurisée, des informations nominatives et/ou confidentielles couvertes par le secret professionnel ». Le point 5.2 relatif à la protection de l’information prévoit : « Les postes de travail permettent l’accès aux applications du système d’information. Ils permettent également d’élaborer des documents bureautiques. Il est important de ne stocker aucune donnée ni aucun document sur ces postes (disques durs locaux). Les bases de données associées aux applications sont implantées sur des serveurs centraux situés dans des salles protégées. De même, les documents bureautiques produits doivent être stockés sur des serveurs de fichiers. (…) Aucune donnée de santé à caractère personnel des patients ne doit être stockée sur des postes ou périphériques personnels ».

Il résulte de l’ensemble de ces dispositions que le secret médical auquel sont soumis les médecins implique qu’ils assurent la confidentialité et la sécurité des données à caractère personnel, notamment médicales, dont ils auraient à connaître dans le cadre de leur exercice professionnel. Ces obligations font notamment obstacle à ce que de telles données soient extraites de fichiers ou serveurs sécurisés gérés par un établissement pour être réutilisées par les professionnels de santé dans un cadre n’offrant pas les mêmes garanties de sécurité, compte tenu du risque de fuite et de la sensibilité de ces données. Dès lors, en exportant, dans le cadre de ses fonctions, des données médicales de patients du logiciel dossier patient informatisé du centre hospitalier intercommunal des Andaines vers un logiciel tiers, hébergé sur un site internet non sécurisé, M. B… a exposé ces données à des risques de fuite et a, de ce fait, gravement méconnu ses obligations professionnelles. Ces faits s’apparentent, au surplus, à la mise en œuvre d’un traitement de données à caractère personnel distinct de celui effectué par l’établissement, sans information ni déclaration auprès des autorités compétentes, ce qui justifie, d’ailleurs, qu’ils aient fait l’objet d’un signalement à la commission nationale de l’informatique et des libertés. Les circonstances alléguées que le logiciel externe soit hébergé sur un serveur français conforme aux exigences du décret du 26 février 2018 relatif à l’hébergement des données de santé à caractère personnel et que son utilisation visait à assurer une meilleure prise en charge des patients sont sans incidence sur la méconnaissance, par M. B…, de ses obligations professionnelles.

En dernier lieu, il ressort des pièces du dossier, et n’est pas contesté par M. B…, que l’utilisation d’un dossier patient informatisé personnel et non sécurisé avait déjà été identifiée en 2020 par la direction des systèmes d’information du centre hospitalier, laquelle avait alors bloqué l’accès au site internet litigieux depuis les postes informatiques de l’établissement. Ainsi, en continuant à utiliser cet outil, ce qui supposait le contournement du blocage par le recours au logiciel de gestion à distance TeamViewer, M. B… a délibérément méconnu l’interdiction qui lui avait été faite d’y avoir recours. S’il soutient que cette démarche était motivée par la volonté d’assurer un meilleur suivi de ses patients en dépit des insuffisances alléguées du dossier patient informatisé utilisé par l’établissement, M. B…, en tout état de cause, ne justifie ni même n’allègue avoir sollicité du centre hospitalier intercommunal des Andaines la recherche et la mise en place d’une solution plus adaptée. Dans ces conditions, compte tenu de la gravité des manquements reprochés, qui n’est pas atténuée par la circonstance qu’aucune fuite effective de données n’aurait été identifiée, et de leur caractère répété, la sanction de licenciement n’apparaît pas disproportionnée.

Il résulte de tout ce qui précède que M. B… n’est pas fondé à demander l’annulation de la décision du 7 juin 2024 par laquelle le directeur du centre hospitalier intercommunal des Andaines a mis fin à son contrat pour faute grave. Par voie de conséquence, les conclusions aux fins d’injonction et d’astreinte doivent être rejetées.

Sur les frais d’instance :

Les dispositions de l’article L. 761-1 du code de justice administrative font obstacle à ce que soit mise à la charge du centre hospitalier intercommunal des Andaines, qui n’est pas la partie perdante à l’instance, la somme demandée par M. B… au titre des frais exposés et non compris dans les dépens. En revanche, il y a lieu de mettre à la charge de M. B… une somme de 1 000 euros à verser au centre hospitalier à ce même titre.

D E C I D E :

Article 1er : La requête de M. B… est rejetée.

Article 2 : M. B… versera une somme de 1 000 euros au centre hospitalier intercommunal des Andaines au titre de l’article L. 761-1 du code de justice administrative.

Article 3 : Le présent jugement sera notifié à M. A… B… et au centre hospitalier intercommunal des Andaines.

Délibéré après l’audience du 16 décembre 2025, à laquelle siégeaient :

- M^me Macaud, présidente,

- M. Rivière, premier conseiller,

- M^me Kremp-Sanchez, conseillère.

Rendu public par mise à disposition au greffe le 30 décembre 2025.

La rapporteure,

SIGNÉ

M. KREMP-SANCHEZ

La présidente,

SIGNÉ

A. MACAUD

La greffière,

SIGNÉ

E. BLOYET

La République mande et ordonne à la ministre de la santé, des familles, de l’autonomie et des personnes handicapées, en ce qui la concerne, et à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.

Pour expédition conforme,

La greffière,

E. Bloyet