Rapport sur les résultats

liés au dossier. Il était plutôt prévu de le lier aux systèmes secondaires, comme l’a aussi remarqué FR. Ils demandent que l’on examine s’il est vraiment souhaitable de lier le dossier aux systèmes primaires, une mesure qui pose des problèmes de droit de la protection des données et qu’il conviendrait donc de rejeter. Si cet objectif est néanmoins poursuivi, les systèmes primaires doivent remplir les critères de protection des données et de sécurité de l’information exigés par la législation sur le dossier électronique du patient. privatim renvoie à ses déclarations à ce sujet dans les remarques générales. SQS fait remarquer que le système de gestion de protection des données selon l’OCPD, le système de management ISO 9001 et le système de management de la sécurité des informations ISO/IEC 27001 comprennent chacun de ces systèmes secondaires et pas seulement les systèmes primaires liés aux communautés. On peut par conséquent renoncer à exiger que les systèmes primaires soient expressément nommés si l’une de ces normes de certification est choisie pour certifier une communauté ou une communauté de référence. SQS recommande par conséquent la suppression de la let. d. D’après BE, l’énoncé suggère que les systèmes primaires sont liés « directement » au dossier électronique du patient alors qu’en fait, ils ne lui sont liés qu’indirectement par le lieu de stockage des documents (copie synchronisée). La formulation suivante convient donc mieux pour la let. d : « d. un registre des systèmes primaires reproduits ». La FMH demande ce que signifie la let. d et si cette exigence est réaliste et raisonnable. D’après elle, la let. d doit être supprimée ou remplacée par un répertoire des fichiers secondaires. Six cantons⁴⁸ trouvent comme elle que le texte de la let. d n’est pas clair. Les données que doit contenir le registre doivent être précisées, par ex. dans le rapport explicatif. Il n’est pas possible de mettre à disposition une liste des ordinateurs et logiciels utilisés par des milliers de professionnels de la santé. La let. e doit donc être supprimée. NE ajoute qu’il faudrait au moins compléter l’ordonnance ou le rapport explicatif par des précisions sur les données que doit contenir le registre des systèmes primaires. ISSS propose que l’énoncé de la let. d soit précisé comme suit : « […] systèmes primaires qui ont, ou peuvent obtenir, un accès direct ou indirect aux données/à la communication ». Lovis souhaite que l’on précise si le répertoire des systèmes primaires liés contient des organisations ou des systèmes.

Al. 1, let. e et f : CURAVIVA, Insos et TG trouvent cette norme de (sous-)délégation trop vague. Elle devrait indiquer le contenu, ou du moins les éléments de base, des normes de protection et de sécurité des données à observer par les institutions de santé affiliées, les professionnels de la santé qui y travaillent, le personnel et les tiers. Il y va de la lisibilité de la loi, de son application correcte par les acteurs concernés et en fin de compte, de la sécurité du droit. senesuisse juge insuffisantes les dispositions des let. e et f. Il faut définir plus clairement à l’attention des communautés les exigences qu’elles doivent fixer aux institutions de santé, aux professionnels de la santé, au personnel et aux tiers. Il faut soit compléter le texte de l’ordonnance, soit préformuler une aide à l’exécution au contenu approprié.

Al. 2 : HL7 et IHE se disent en faveur d’un délai entre la survenue et le signalement de tels incidents, tout comme medshare qui demande que l’on définisse une périodicité. La Poste demande quelles sont les exigences imposées en matière de notification et recommande que cette disposition soit adaptée à la nouvelle directive de l’UE sur la protection des données. Pour l’OSP, il ne ressort pas clairement du texte allemand si cette obligation de signaler a un caractère contraignant et si l’on a défini une catégorie d’incidents réputés importants pour la sécurité. Elle demande une formulation claire et compréhensible. La FRC demande également que l’on clarifie les modalités et surtout que l’on précise le délai imparti pour signaler des incidents dans le système. La réaction doit être aussi immédiate que possible.

SQS fait valoir que les organismes de certification ont pour compétence exclusive de certifier les communautés et les communautés de référence conformément aux prescriptions et de leur faire passer chaque année un audit selon la procédure de certification. Ils n’ont aucun rôle à jouer dans les activités opérationnelles durant les périodes entre les audits. Les incidents doivent par conséquent être signalés uniquement à l’OFSP et non aux organismes de certification. En vertu de l’art. 36 al. 1 let. c et de l’art. 37 al. 3 let. a de cette ordonnance, l’OFSP peut faire intervenir les organismes de