Rapport sur les résultats

propose la publication d’une liste des rôles attendus d’une communauté. On pourrait aussi envisager d’inclure un chapitre à ce sujet dans le rapport explicatif. VAKA et AG saluent l’idée d’un système de gestion de protection et de sécurité des données, le jugeant conforme au droit, mais observent qu’il occasionnera une charge pour les communautés. Ils souhaitent que le rapport explicatif suggère des moyens d’empêcher ce surcroît de charges, par ex. l’engagement par plusieurs communautés d’un mandataire indépendant en qualité de responsable de la protection des données. AG dénonce aussi le flou des formules utilisées pour décrire la procédure de cryptage. Celle-ci doit déjà être définie dans l’ODEP et pas seulement dans les Critères techniques et organisationnels. SMCF déclare qu’au vu de ces exigences, il paraît légitime de limiter le nombre de communautés en Suisse à une dizaine au lieu de 20 à 40. D’après VGIch, la compétence des communautés d’assurer la protection et la sécurité des données doit s’arrêter au point de transmission des prestations, c’est-à-dire à l’interface de recherche et de paramétrage des documents de l’institution affiliée. Ce point doit être réglementé par un alinéa supplémentaire dans l’art. 11. VGIch fait également remarquer que les objectifs fixés et réalisés dans le cadre des Critères techniques et organisationnels ne doivent pas influer sur les systèmes primaires, ou alors à un niveau ne dépassant pas les principes généraux de sécurité des données.

Al. 1 : La FMH rappelle l’obligation d’appliquer les dispositions de la loi sur la protection des données et met en garde contre toute réglementation excessive. SQS propose l’énoncé suivant pour l’al. 1 : « Les communautés doivent être certifiées conformément à l’art. 11 de la loi fédérale du 19 juin 1992 sur la protection des données. Elles doivent se doter d’un système de gestion de la protection et de la sécurité des données qui remplit les exigences de l’art. 4 al. 2 de l’ordonnance du 28 septembre 2007 sur les certifications en matière de protection des données (OCPD) et des directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir (directives sur la certification de l’organisation et de la procédure) émises par le PFPDT le 19 mars 2014. Ce système comprend […] ». Leur commentaire contient aussi une autre proposition d’énoncé qui fait référence aux normes internationalement reconnues ISO 9001 et ISO/IEC. OFAC relève qu’en tant qu’organes cantonaux, les communautés seront soumises au droit de leur canton en matière de protection des données. Or, certaines notions importantes de la protection des données, telles que le SGPD et la procédure de certification, n’existent pas dans la plupart des législations cantonales. Il faut également noter que les disparités entre les législations cantonales sont très importantes. Les directives du PFPDT sur les exigences minimales qu’un système de gestion de la protection et de la sécurité des données doit remplir doivent s’appliquer à tous les types d’organisations. Economiesuisse, SBC, HL7 et IHE demandent que les communautés puissent déléguer leur système de gestion de la protection et de la sécurité des données pour éviter que leurs coûts prennent inutilement l’ascenseur. Concrètement, ils demandent que l’al. 1 soit complété comme suit : « […] se doter ou déléguer l’exploitation d’un système de gestion […] éléments suivants : ».

Al. 1, let. a : LUKS demande la suppression de la let. a. Le profil exigé, les tâches et l’utilité du responsable de la protection des données sont mal définis. La CDS et six cantons⁴⁶ partagent cet avis et demandent avec six autres participants⁴⁷ que l’idée de nommer des responsables particuliers de la protection et de la sécurité des données soit abandonnée. AI conseille de ne pas mettre de mandataire indépendant sur cette tâche tant que le préposé à la protection des données a les capacités de s’en charger.

Al. 1, let. b et c : ISSS propose d’apporter la précision suivante à l’énoncé de la let. b : « b. un système de détection proactive et de gestion des incidents du domaine de la sécurité contre les attaques et contre les pannes », et de modifier comme suit la let. c : « c. un registre des lieux de stockage des documents, des autorisations et des procédures de sauvegarde et de stockage sécurisé des données ».

Al. 1, let. d : KDSBSON et DSBAG observent que durant l’élaboration de la législation relative au dossier électronique du patient, il n’a jamais été question que les systèmes primaires soient directement