Rapport sur les résultats

3.2 ODEP-DFI

Les annexes 5b, 5c et 8 de l’ODEP-DFI sont rédigées en anglais. Il s’est ensuivi que la plupart des prises de position relatives à ces trois documents ont été soumises en anglais et intégrées sans traduction dans le présent rapport.

3.2.1 Art. 1 Numéro d’identification du patient (annexe 1)

Art. 1 Numéro d’identification du patient

La composition du numéro d’identification du patient et la procédure de vérification de la clé de contrôle en cas de saisie manuelle du numéro d’identification du patient au sens de l’art. 4, al. 2, ODEP sont définies à l’annexe 1.

Art. 1 : FR rappelle qu’il est nécessaire de clarifier ce qu’il est possible de faire ou non avec le NIP.

Annexe 1

La Fondation refdata, GS1, la SSIM et ICTS réitèrent pour l’annexe 1 leur prise de position relative à l’art. 4 ODEP. ICTS demande en outre l’application des normes internationales pour l’identification des patients et la clé d’identification utilisée à cet effet ; dans toute la mesure du possible, il convient de renoncer à des développements isolés purement helvétiques. La CCM, BüAeV, GAeSO et KAeG SG saluent la décision de créer un NIP spécifique pour le dossier électronique du patient au lieu d’utiliser le NAVS13 comme numéro d’identification comme prévu initialement.

OFAC dit n’avoir rien à déclarer concernant l’algorithme de contrôle du numéro d’identification du patient. BINT, HL7 et IHE qualifient cette procédure d’usuelle ; elle correspond aux normes et, à leur avis, satisfait aux exigences. Medshare ne voit rien à redire non plus à l’annexe 1.

3.2.2 Art. 2 Critères techniques et organisationnels de certification applicables aux com-

munautés et aux communautés de référence (annexe 2)

Art. 2 Critères techniques et organisationnels de certification applicables aux communautés et aux communautés de

référence

Conformément à l’art. 29, al. 2, ODEP, les critères techniques et organisationnels de certification applicables aux communautés et aux communautés de référence sont dé-finies à l’annexe 2.

Art. 2 : SQS fait valoir que l’annexe 2 n’est point une disposition régissant les critères de certification, mais une consigne technique et organisationnelle destinée aux communautés et aux communautés de référence, qui est soumise aux dispositions de l’art. 11, al. 1, let. a, LDEP et doit donc être certifiée. Une certification de systèmes de gestion n’a pas pour rôle de vérifier que les consignes techniques sont respectées. Lors d’une certification ISO/IEC 27001:2013, l’équipe d’audit doit vérifier cette application par le truchement du Control A.18 dans le cadre de la certification du système de management. C’est pourquoi l’art. 2 doit avoir la teneur suivante : « Les critères techniques et organisationnels (CTO) applicables aux communautés et communautés de référence soumises à l’obligation de certification visée à l’art. 11, al. 1, LDEP, sont définis à l’annexe 2 conformément à l’art. 29, al. 2, ODEP. » Par ailleurs, SQS demande l’ajout de l’alinéa suivant à l’art. 2 : « Les exigences minimales posées à un système de gestion de la protection des données se fondent sur les Directives sur les exigences minimales qu’un système de gestion de la protection des données (SGPD) doit remplir (Directives sur la certification d’organisation et procédure) du 19 mars 2014, édictées par le Préposé fédéral à la protection des données et à la transparence ».

Annexe 2

1. Gestion (art. 8 ODEP)

Six participants⁷⁸ sont d’avis que les consignes données au ch. 1 sont beaucoup trop volumineuses et qu’il y a lieu de les simplifier. La plupart de ces consignes découlent d’ailleurs des dispositions de