Rapport sur les résultats

configuration des filtres. Un travail rationnel dans le quotidien n’est possible qu’à ces conditions. L’actualité et la qualité des données doivent primer la quantité. De l’avis d’IG eHealth et de PH CH, déléguer entièrement au DFI la définition des portails d’accès pour professionnels de la santé constitue ici une solution très complète. Des exigences minimales doivent être définies pour le portail d’accès. Dans leur commentaire sur l’art. 10, ils font en outre une proposition d’énoncé détaillée pour cet article. K3 et VZK font valoir qu’un professionnel de la santé qui ne possède qu’un accès restreint doit s’en apercevoir immédiatement et renvoient à leur proposition d’amendement à l’art. 3, let. f.

SCH et economiesuisse constatent que les recommandations d’eHealth Suisse et le message relatif à la LDEP prévoyaient également l’accès aux données des patients par un portail externe. Or, la certification d’un portail d’accès externe ne figure plus dans les textes d’ordonnance actuels. La loi n’offre donc plus d’accès « light » au DEP par ex. aux communautés qui ne souhaitent pas faire fonction de communauté de référence. Economiesuisse déplore cette situation, SCH souligne qu’elle n’est pas profitable au développement de la cybersanté en Suisse et constitue un frein à l’innovation pour les « use cases » dans les domaines de la santé mobile (mHealth), de la responsabilisation du patient (empowerment) et pour le système de santé en général. La SSIM et SBC rappellent que des portails externes peuvent aussi être créés sous forme d’applications mobiles, qui offrent par ailleurs d’autres services innovants. Ils trouveraient regrettable que mHealth et eHealth évoluent en parallèle sans aucune concertation. Comme SCH, ils ajoutent que les portails externes apporteront une contribution essentielle à la responsabilisation du patient et que les nouveaux services de prestataires externes peuvent être une source d’innovation. SBC donne d’ailleurs un exemple de cas concret dans sa prise de position sur cette question. HL7, IHE, SBC, la SSIM et economiesuisse sont également d’avis que l’espace de confiance de la LDEP ne devrait pas être un système fermé réservé aux seuls prestataires de la communauté, car les portails externes certifiés qui sont innovants créent une valeur ajoutée pour les patients, les fournisseurs de services en ligne et au bout du compte aussi pour notre système de santé, notre économie et la Suisse en tant que pôle d’innovation. Six participants⁴⁴ font une proposition identique sous la forme d’un nouvel article 10bis intitulé « Portails d’accès externes ». Comme pour la nouvelle version proposée par IG eHealth et PH CH pour l’art. 10, nous invitons à lire les avis consultables en ligne pour l’énoncé exact au vu du gros volume qu’il représente.

Art. 11 Protection et sécurité des données

¹Les communautés doivent se doter d’un système de gestion de la protection et de la sécurité des données qui comprend en particulier les éléments suivants:

a. la désignation d’un responsable de la protection et de la sécurité des données;

b. un système de détection et de gestion des incidents de sécurité;

c. un registre des lieux de stockage des documents;

d. un registre des systèmes primaires liés aux communautés;

e. les prescriptions relatives à la protection et à la sécurité des données imposées aux institutions de santé affiliées et à leurs professionnels de la santé;

f. les exigences relatives à la protection et à la sécurité des données imposées au personnel et aux tiers.

²Les communautés sont tenues de signaler à l’organisme de certification et à l’OFSP les incidents survenus dans le système de gestion de la protection et de la sécurité des données ayant un impact en termes de sécurité.

³Le DFI fixe les exigences applicables à la protection et à la sécurité des données.

⁴Les dispositifs de stockage des données doivent être situés en Suisse et régis par le droit suisse.

Six participants⁴⁵ estiment plus utile de donner une formulation générale abstraite aux objectifs prescrits au ch. 11 devant être remplis au niveau de la protection et de la sécurité des données. Il faut laisser aux communautés, aux communautés de référence et aux prestataires le soin de décider comment réaliser ces objectifs. En conséquence, l’art. 11 doit être entièrement remanié. La Poste