Rapport explicatif

Art. 92 Accès de tiers mandatés au système d’information

Pour des raisons de protection des données, l’accès en ligne à des données sensibles ou à des données permettant d’établir des profils de la personnalité doit être géré de manière restrictive (cf. art. 3, let. c et d, de la loi fédérale du 19 juin 1992 sur la protection des données, LPD ; RS 235.1). C’est pourquoi l’art. 60 LEp stipule que seules les autorités d’exécution ont accès aux données de cette nature. Selon l’art. 79 LEp, des tiers peuvent être mandatés pour accomplir des tâches d’exécution ; ils sont alors assimilés à une autorité d’exécution lorsqu’ils mettent en œuvre des mesures visant à détecter, prévenir et combattre des maladies transmissibles. Dans ce contexte, ils sont autorisés à traiter en ligne des données personnelles, même sensibles. Ils peuvent notamment saisir des données dans le système et accéder aux données qu’ils ont enregistrées.

La Ligue pulmonaire, en particulier, assume des tâches d’exécution dans le domaine de la lutte contre la tuberculose. Dans ce cadre, elle recommande des mesures aux personnes concernées ou réalise des enquêtes d’entourage, par exemple. L’enquête d’entourage a pour but d’identifier les personnes atteintes de la tuberculose ou infectées depuis peu. A cet effet, la Ligue pulmonaire a besoin de connaître les données médicales. Elle doit donc pouvoir rentrer des données dans le système et y accéder pour accomplir ses tâches dans le domaine de la lutte contre la tuberculose. Les habilitations d’accès sont administrées par le médecin cantonal compétent. La Ligue pulmonaire aura accès à une partie des fichiers des autorités.

2.6.5.5 Section 4 Protection des données et sécurité informatique

Art. 93 Sécurité des données

La garantie de la sécurité des données est régie d’une part par les art. 20 et 21 de l’ordonnance du 14

33

juin 1993 relative à la loi sur la protection des données et, d’autre part, par l’ordonnance du 9 dé-

34

cembre 2011 sur l’informatique dans l’administration fédérale .

L’OFSP doit définir, dans le règlement de traitement des données, les mesures organisationnelles et techniques à prendre pour assurer la sécurité des données, le contrôle du traitement des données et les habilitations d’accès. Pour recevoir et conserver une habilitation d’accès, il faut avoir pris connaissance des directives d’utilisation et s’y conformer. Ces directives reposent sur les documents établis par l’Office fédéral de l’informatique et de la télécommunication et l’Unité de pilotage informatique de la Confédération (UPIC).

La section Systèmes de déclaration de l’OFSP veille à la mise en œuvre des règles de protection des données et administre les droits d’accès (certificats et données d’inscription). Les demandes d’accès individuelles au système de déclaration par les membres des services des médecins cantonaux sont à adresser à la section Systèmes de déclaration. Les médecins cantonaux vérifient préalablement que les demandes émanant de leur service sont complètes et correctes. Ils veillent à ce que les données sensibles soient gérées de manière responsable dans leur domaine de compétence. Cela concerne en particulier les exportations de données depuis le système de déclaration.

Art. 94 Journalisation

Les accès à l’ISM doivent être consignés dans des procès-verbaux afin de garantir leur traçabilité. En revanche, les modifications apportées ne sont pas consignées car cela compliquerait inutilement le système. De plus, donner une telle étendue aux procès-verbaux de journalisation ne serait pas adapté à la matière. En effet, les données figurant dans le système reflètent avant tout l’opinion des personnes assujetties à l’obligation de déclaration, c’est-à-dire les médecins traitants. Les fichiers peu-