Rapport sur les résultats

certification si, suite au signalement d’incidents significatifs affectant la sécurité, un contrôle par l’organisme de certification est nécessaire pour empêcher des violations imminentes de la législation sur la protection et la sécurité des données. OFAC relève que les services du PFPDT sont rattachés à la Confédération afin de garantir leur indépendance. C’est normalement à la Confédération qu’il revient d’apprécier la gravité d’un incident et de décider des mesures à faire prendre par les parties intéressées. Il en est de même pour le DFI et l’OFSP.

Al. 3 : D’après la SSIM, il faut que les exigences de protection et de sécurité des données soient conformes à la loi sur la protection des données et n’aillent pas au-delà. LUKS déclare lui aussi qu’il faut se garder d’une surréglementation, que la loi sur la protection des données s’applique ici comme ailleurs. Une disposition supplémentaire est inutile, l’al. 3 doit donc être revu. ISSS et Tessaris proposent que l’al. 3 soit complété comme suit : « […] à la protection et à la sécurité des données et les adapte à l’évolution du niveau de menace ». Comme dans son commentaire relatif à l’al. 1, SQS fait remarquer que les exigences pour le choix d’une certification selon l’OCPD sont définies dans les « Directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir » émises le 19 mars 2014 par le PFPDT, et que seules les exigences supplémentaires doivent donc être retenues. OFAC estime que les exigences relatives à la protection des données doivent être fixées par un département fédéral et non par les services du PFPDT. Une fois les exigences fixées se pose la tâche de contrôler leur observation. Les services du PFPDT sont rattachés à la Chancellerie fédérale, ce qui garantit la neutralité des contrôles et des surveillances exercés. Une surveillance exercée par l’OFSP ne sera pas neutre, en particulier à l’égard des services de recherche centralisés dont l’OFSP restera juridiquement responsable.

Al. 4 : KDSBSON, DSBAG, privatim ainsi que BE et FR considèrent que le droit sur la protection des données rend impérative une telle disposition vu que les données de santé sont des données personnelles particulièrement dignes d’être protégées, compte tenu aussi du risque de favoriser la création de profils de personnalité dans le cadre du dossier électronique du patient. Il convient aussi d’examiner si le siège des entreprises et le lieu de travail de tous les collaborateurs impliqués ne devraient pas être obligatoirement situés en Suisse. Dans le même esprit, TG observe qu’il faut éviter tout traitement de données à l’étranger et que l’alinéa doit être complété en conséquence. ISSS soumet une proposition concrète d’énoncé : « Les lignes de données et les dispositifs de connexion, de transmission, de stockage et de traitement des données doivent être situés en Suisse et régis par le droit suisse. » HIN comprend et soutient l’intention de l’al. 4 et ajoute que les personnes juridiques devraient être explicitement mentionnées, ce qui l’amène à proposer l’énoncé suivant : « Les prestations de stockage de données doivent être fournies par des personnes juridiques situées en Suisse et régies par le droit suisse. Les dispositifs de stockage de données doivent […] ».

Art. 12 Service d’assistance pour les professionnels de la santé

Les communautés doivent désigner un service d’assistance destiné aux professionnels de la santé afin de les aider dans l’utilisation du dossier électronique.

CURAVIVA, Insos et AG saluent la mise en place de services d’assistance pour professionnels de la santé. L’ASI, SWOR et Physioswiss considèrent un service compétent d’aide aux professionnels de la santé comme un facteur décisif de succès dans la réalisation du dossier électronique du patient. senesuisse salue également la création de tels services d’assistance, mais observe que leur financement doit être assuré sur une longue durée et que les aides financières prévues sont insuffisantes pour le garantir. HÄ CH et ÄTG font valoir que des services hotline peuvent très vite gaspiller beaucoup d’argent et de temps. Il faut prévoir suffisamment de capacités, surtout dans la phase initiale. De plus, les frais d’exploitation devraient être idéalement proches de zéro ou, à tout le moins, plafonnés. Ces frais supplémentaires doivent être pris en compte et couverts dans le tarif. HÄ CH et ÄTG soulignent que les adaptations de systèmes primaires, les interfaces, la certification, les hotlines, etc. ne doivent pas être des cas d’étude de rentabilité (« business cases »). BINT demande que l’art. 12 soit suivi d’un nouvel article rédigé comme suit : « Les communautés garantissent un accès intercommunautaire permanent et gratuit à leurs données sur autorisation du patient ». KSSG reproche à ce service d’assistance son profil très flou. Certaines de ses caractéristiques sont bien mises en évidence