Rapport sur les résultats

les règles de l’art dans le cadre d’une certification. Ensuite, d’après le rapport explicatif relatif à la LDEP, les critères de compétences applicables à un organisme de certification devraient se fonder sur des principes et des procédés bien étayés sur le plan international. Au cas où l’on opte pour une certification selon les règles de l’OCPD, les exigences minimales du personnel des organismes de certification doivent être déterminées par les dispositions de l’annexe de l’OCPD réglant les exigences minimales applicables à la qualification du personnel des organismes de certification. D’ailleurs, les compétences du personnel sont réglées par la norme ISO/IEC 27006 (pour une certification ISO 27001) ou ISO 17021. SQS ajoute à propos du ch. 1.1.5 que la norme ISO/IEC 27006 n’est pertinente que si l’on doit procéder à une certification ISO/IEC 27001. Dans ce cas aussi, les exigences applicables à la qualification du personnel de l’organisme de certification sont données par l’accréditation. Il convient de supprimer purement et simplement les ch. 1.1.1 et 1.1.5. Au sujet des ch. 1.1.1, 1.1.2, 1.1.3, 2.1.1, 2.1.2 et 2.1.3, HIN estime qu’en l’absence de formation spécifique, il vaut mieux exiger cinq ans (au lieu de deux ans) d’expérience professionnelle. Deux ans d’expérience suffisent s’ils sont combinés à une formation professionnelle complémentaire. Par ailleurs, d’après HIN, il semble que le nombre concret des années d’expérience professionnelle demandées dans les branches en question (informatique médicale, protection des données), soit deux ans d’expérience professionnelle ou une année de formation, se situe à la limite inférieure. De toute évidence, il faut du personnel ayant davantage d’expérience pour assumer des tâches aussi importantes que les certifications dans les domaines sensibles, telles que les données des patients. HIN salue néanmoins le choix d’exiger que les éditeurs de MID et les communautés soient certifiés. Pour la SSIM, la FMH et LUKS, les exigences applicables à la qualification du personnel des organismes de certification sont trop élevées, ce qui limitera la concurrence et fera exploser les coûts. Pour autant, ces exigences extrêmes ne devraient pas produire d’améliorations significatives de la sécurité des données dans la pratique quotidienne. L’expérience montre que la sécurité des données dépend davantage du comportement des utilisateurs que des mesures techniques de protection. Lovis déclare qu’il faudra en assurer la fiabilité et la responsabilité. OFAC signale que le ch. 1.1.2 conduit à une incohérence juridique. Les communautés opérées par les cantons seront, en tant qu’organes cantonaux, soumises au droit de leur canton en matière de protection des données. Des disparités importantes existent : ainsi, aucun canton ne prévoit dans son propre droit de la protection des données la mise en œuvre d’un SGPD (Système de Gestion de la Protection des Données), en contradiction avec la LPD, l’OLPD et la doctrine du PFPDT sur l’autorégulation. Aucun canton ne prévoit, dans son propre droit de la protection des données, de procédure de certification. OFACdéclare en outre qu’elle n’est pas directement concernée par cette annexe et elle souhaite que les exigences applicables aux organismes de certification ne divergent pas de celles qui sont déjà en vigueur et gérées par le SAS.

3.2.8 Art. 8 Protection des moyens d’identification (annexe 8)

Art. 8 Protection des moyens d’identification

Conformément à l’art. 30, al. 2, ODEP, les prescriptions relatives à la protection des moyens d’identification sont définies à l’annexe 8.

Art. 8 : IG eHealth déclare qu’il convient d’accorder une haute priorité à la simplicité et à la clarté de l’application pour les patients, car si cette dernière est très complexe, elle risque de constituer un obstacle majeur à l’accès au dossier électronique du patient. C’est pourquoi, en sus des exigences relatives à la sécurité des données, il convient également de garantir la convivialité de l’application en veillant à la simplicité des règles de base et du paramétrage. L’annexe 8 doit donc être remaniée. Pour assurer le succès du dossier électronique du patient, il importe de proposer des MID à la fois sûrs et aisés à manipuler. Comme le montre l’expérience, les smarts cards n’ont guère de chances d’être acceptées et là encore, un défi de taille devrait être relevé non seulement au niveau de la compatibilité avec l’infrastructure informatique existante, mais aussi des processus d’édition. Les systèmes tels que mTAN ou les procédés utilisant des mécanismes biométriques ou comportementaux sont donc exclus de fait. Il convient de garantir que les MID dotés d’un niveau de protection suffisant et acceptés sur le plan cantonal puissent également être utilisés dans les hôpitaux pour l’accès au dossier électronique du patient. Des investissements supplémentaires ne devraient pas être nécessaires. Partout où la loi l’autorise, on évitera d’imposer le recours à une double identification (un MID pour les accès internes des hôpitaux et un autre pour les accès aux dossiers électroniques de patients)