Rapport sur les résultats

toutes les communautés si elles remplissent encore les critères de certification. C’est une dépense inutile puisqu’en vertu de l’art. 34, ces certificats sont censés être valables 3 ans. Ces vérifications pendant les trois ans de validité des certificats ne doivent pas se faire systématiquement chaque année, mais seulement par sondage. K3 et VZK font la même proposition. ZG ajoute que des vérifications devraient être entreprises aussi en cas de suspicion ou d’indices particuliers. Dans le même esprit, AI propose l’énoncé suivant pour l’al. 1 : « L’organisme de certification est tenu de vérifier par sondage ou en cas de suspicion d’irrégularité si les critères de certification sont toujours remplis », et Insel plaide pour l’adoption du texte suivant : « En cas de suspicion fondée que les critères de certification ne sont plus remplis, l’OFSP peut ordonner que l’organisme de certification procède à un examen ». La FMH estime que les vérifications annuelles prévues représentent une charge trop lourde et propose dès lors un délai d’au moins trois ans. La Poste estime qu’un contrôle tous les deux ans devrait suffire. Une cadence annuelle paraît judicieuse pour la certification des MID. BFH demande pourquoi on ne prolongerait pas d’une année la durée de validité du certificat après vérification. Il n’est pas non plus judicieux de procéder à une vérification durant la troisième année de validité du certificat en cours, vu que ce dernier va expirer et qu’il faut de toute manière procéder à une recertification. AG est d’avis que la vérification annuelle et la recertification au bout de trois ans doivent être mieux distinguées dans le rapport explicatif. Il convient également de préciser et de mieux délimiter les notions de « surveillance », de « certification » et de « recertification ». LUKS et la SSIM jugent disproportionnée une vérification annuelle quand le certificat n’est valable que trois ans et demandent donc la suppression de l’al. 1. DSBAG et privatim réaffirment de leur côté que pour des raisons de protection des données, une vérification annuelle est très souhaitable.

HIN fait valoir qu’au vu de leur grand nombre, la vérification des critères de certification (points de mesure) n’est possible qu’au prix d’investissements conséquents. Par conséquent, il est proposé de les répartir en critères impératifs et obligatifs/potestatifs. L’al. 2 doit être adapté comme suit : « L’OFSP établit une liste de tous les critères et les classe en critères impératifs et obligatifs. Les écarts substantiels concernent les critères impératifs ». SQS relève que le registre des communautés de référence et communautés certifiées est tenu par l’OFSP. L’art. 36 dispose que l’OFSP peut prendre des mesures en cas de mise en danger grave de la protection ou de la sécurité des données du dossier électronique du patient. Un alinéa supplémentaire doit être ajouté à l’art. 33 : « L’OFSP peut demander en tout temps à l’organisme de certification ou à la communauté et à la communauté de référence de lui fournir les documents nécessaires à la certification ou à la recertification ».

Art. 34 Durée de validité

Le certificat est établi pour une durée de trois ans.

BFH et AG réitèrent leur prise de position à l’égard de l’art. 23, al. 1 et la FMH reprend ici son commentaire de l’art. 28. VAKA s’étonne de la méfiance que suscitent les futures communautés et communautés de référence. Il convient de répéter avec insistance que le fait de devoir se préparer à une procédure de certification tous les trois ans est définitivement insupportable. K3 et VZK qualifient également de très lourde l’obligation de recertifier tous les trois ans. La Poste estime qu’une durée de validité de 5 ans serait adéquate en ce qui concerne les communautés. Un rythme de trois ans serait judicieux pour les MID. Six cantons⁶⁷ souhaitent que l’art. 34 soit reformulé comme suit : « […] une durée de cinq ans ». Dix participants⁶⁸ au total demandent que le certificat soit établi pour cinq ans.

Art. 35 Déclaration d’adaptations techniques ou organisationnelles substantielles

¹Les communautés, les communautés de référence et les éditeurs de moyens d’identification sont tenus de déclarer à

l’organisme de certification des adaptations techniques ou organisationnelles substantielles.

²L’organisme de certification décide si les adaptations signalées sont examinées dans le cadre de la surveillance, d’une recertification ordinaire ou d’une recertification extraordinaire.

VAKA et La Poste demandent que l’on veuille bien leur préciser la notion de « substantiel ». VAKA