Rapport sur les résultats

révoqué ». La Poste reproche à cette description d’être incomplète. L’éditeur peut bloquer lui-même le MID lorsqu’il est informé de manière crédible que les données ne sont plus valables. Il y a un risque de susciter des attentes infondées. L’éditeur doit également pouvoir bloquer le MID lorsque lui-même ou le titulaire nourrit au moins une suspicion d’abus, d’où la nécessité d’établir une liste des raisons conduisant au blocage. Si l’éditeur du MID doit s’assurer que la personne demandant le blocage est bien autorisée à le faire, il faut le mentionner explicitement. Par ailleurs, il serait souhaitable après tout blocage d’un MID que le titulaire en soit informé afin qu’il ait la possibilité de distinguer des blocages qui n’ont pas lieu d’être.

3.1.5 Chapitre 5 : Accréditation

Art. 27 Anforderungen

¹L’accréditation est régie par l’ordonnance du 17 juin 1996 sur l’accréditation et la désignation (OAccD) et elle est conforme à la norme ISO/IEC 27006:2015, sauf si la présente ordonnance en dispose autrement.

²Des accréditations séparées sont requises pour la certification:

a. des communautés et des communautés de référence, d’une part;

b. des éditeurs de moyens d’identification, d’autre part.

³L’organisme de certification doit remplir les critères de l’OAccD et, de surcroît, disposer d’une organisation et d’une procédure de contrôle déterminées. Les points suivants doivent notamment être réglés:

a. les critères d’évaluation ou d’essai utilisés pour vérifier le respect des critères de certification;

b. le déroulement de la procédure, spécialement la procédure en cas de constat d’irrégularités;

c. l’utilisation du système de certification mis à disposition par l’OFSP pour examiner le transfert des données des communautés et communautés de référence.

⁴Le DFI fixe les exigences minimales applicables à la qualification du personnel qui réalise les certifications.

LUKS considère que les exigences posées aux organismes de certification sont trop élevées et demande qu’elles soient abaissées à un minimum praticable. Un souhait partagé par les PKS, la SSIM et la FMH, qui déclarent que ces hautes exigences occasionneraient des surcoûts pour l’accréditation sans pour autant améliorer significativement la sécurité de la structure globale. STSAG est d’avis que les exigences posées aux communautés devraient être définies et vérifiées par le truchement des communautés de référence et non par celui d’un organisme d’accréditation. De fait, il conviendrait de prévoir une accréditation pour les communautés de référence, tandis que pour les communautés, une certification suffirait.

BRH, CURAVIVA, Insos et TG réitèrent leur prise de position faite à l’égard de l’art. 22, let. a, tandis que senesuisse se réfère à sa prise de position à propos de l’art. 22, let. b. SQS rappelle à cet effet que la protection et la sécurité des données revêtent une importance cruciale pour le dossier électronique du patient. Aux termes du rapport explicatif sur la LDEP, la conformité doit être assurée par une procédure de certification telle qu’elle est notamment prévue à l’art 11 de la loi sur la protection des données (LPD). C’est justement dans ce domaine qu’il importe que les principes et procédures reconnus sur le plan international s’appliquent pour une mise en œuvre efficace. La certification selon l’OCPD répond précisément à cette exigence, car elle reprend dans ses grandes lignes la norme ISO/IEC 27001 reconnue sur le plan international quant aux aspects de la sécurité des informations et des données selon le ch. 3 des directives sur la certification de l’organisation et de la procédure. Les exigences de la protection des données et du système de gestion de la protection des données font d’ailleurs partie de ce certificat spécifique. L’accréditation des organismes de certification ainsi que les exigences auxquelles leur personnel doit répondre sont régies par l’OCPD. Par ailleurs, la certification selon l’OCPD dans le cadre des certifications légales des services de réception des données des assurances-maladie sociales a fait ses preuves au cours de ces dernières années. SQS demande que l’art. 27, al. 1 soit modifié comme suit : « […] et par l’ordonnance du 28 septembre 2007 sur les certifications en matière de protection des données (OCPD), sauf si […] ».

S’agissant de l’al. 3, SQS demande que l’application de la norme ISO/IEC 27006:2015 soit ajoutée à celle de l’Ordonnance sur l’accréditation et la désignation (OAccD). L’article comporte aussi des redondances et doit être allégé des exigences superflues. La mention de la norme ISO/IEC 27006 n’est justifiée que si l’on doit pratiquer une certification selon la norme ISO/IEC 27001. SQS demande la