Rapport sur les résultats

tés le droit de percevoir des taxes de roaming compromettrait la généralisation du dossier électronique du patient et réduirait la portée fédératrice de la LDEP. Cela poserait aussi le risque de voir apparaître des monopoles, le portail des patients étant déjà sous le contrôle restreint de son opérateur. Ils demandent donc que le ch. 2.9.4 soit complété ainsi : « […] supporter gratuitement […] selon l’annexe 5 ODEP-DFI ». IG eHealth et La Poste observent que l’exigence formulée au ch. 2.9.4.2 ne devrait pas être nécessaire. Le ch. 2.9.2 définit l’interface avec la CdC. Cette dernière offre aussi un service Web. Ces intervenants rappellent aussi que SEDEX n’est pas gratuit et demandent qui devra assumer ces frais. Ils proposent de supprimer cette exigence. BINT, Integic, IG eHealth et ahdis se prononcent pour la suppression du ch. 2.9.4.4. La Patient Location Query dans l’annexe 5 ODEP-DFI est explicitement exclue. BINT, Integic et ahdis plaident en outre pour l’introduction d’un ch. 2.9.4.5 ; Update Document Set Cross Community [ITI-xxx]. Ils disent que les transactions intercommunautaires sont nécessaires pour modifier les niveaux de confidentialité de métadonnées d’un document dans une autre communauté. Ils souhaitent aussi l’introduction d’un ch. 2.9.4.6 ; On-Demand Documents Option (voir ITI TF-2a, 3.18.4.1.2.5).

SQS fait remarquer qu’il est impossible de procéder à des vérifications techniques si approfondies dans le cadre de l’audit d’un système de gestion ; ce serait d’ailleurs contraire à l’esprit d’un audit (contrôle par sondage). Les exigences énoncées ici sont des critères de réception qui doivent être obligatoirement remplis, validés et historisés dans le cadre des mises en service de systèmes et d’interfaces. Ces réceptions doivent être réglées hors de la procédure de certification proprement dite, par ex. dans le cadre d’un examen technique. Les contrôles effectués dans le cadre de la certification ont pour but exclusif de vérifier si ces examens ont bel et bien eu lieu et si les éventuelles constatations ont fait l’objet d’un suivi. La gravité d’un constat n’est pas définie dans la norme de certification. SQS demande en l’occurrence que les ch. 2.9.4 à 2.9.21 soient complétés de dispositions régissant la fourniture de preuves que les conditions techniques ont fait l’objet d’un examen technique, une exigence qu’elle répète pour tous les chiffres concernés.

2.9.5/2.9.6 Acteurs et transactions des profils d’intégration – Communication d’identités attestées : Au sujet du ch. 2.9.5, KSSG écrit qu’à son avis, XUA ne suffit pas et qu’il faut utiliser XUA++. ahdis fait remarquer que le ch. 2.9.6 omet d’expliquer comment l’acteur X-Service User obtient l’assertion de l’acteur X-Assertion Provider et quelle doit être sa relation avec le User Authentification Provider.

2.9.9 Acteurs et transactions des profils d’intégration – Mise à disposition de documents : KSSG demande s’il est impératif que les documents soient enregistrés dans le lieu de stockage au moyen du Provide and Register Document Set-b. On pourrait aussi imaginer que les documents sont enregistrés dans le lieu de stockage par HL7 MDM puis stockés dans le registre à l’aide de la transaction Register Document Set. C’est la solution qui a été choisie à Saint-Gall parce que certaines sources de documents ne prenaient pas en charge le Provide and Register Document Set-b. Pour les dispositifs médicaux, il est plutôt improbable que cette exigence ait été développée pour le marché suisse. Cette disposition doit être étendue à d’autres variantes de documents pour qu’on puisse autoriser leur enregistrement dans le lieu de stockage.

2.9.10 Acteurs et transactions des profils d’intégration – Mutation des métadonnées de documents : IG eHealth et La Poste demandent qui peut assumer le rôle de « Document Administrator ». Si les droits d’auteur étaient reconnus, il est évident que chaque auteur serait implicitement le « Document Administrator » des documents qu’il a publiés. Mais ce ne serait plus possible dans le cas contraire. Ils ajoutent que Update Document et Delete Document sont des fonctions puissantes et qu’il faut savoir qui sera habilité à les exercer. Ils demandent que la question soit tirée au clair au cas où cette fonction ne reviendrait pas implicitement à l’auteur. IG eHealth ajoute à propos du ch. 2.9.10.1 qu’en vertu de l’art. 1, al. 1, ODEP, il faut toujours indiquer un niveau de confidentialité. Ils recommandent en outre la suppression du ch. 2.9.10.2, car il suffit de modifier les métadonnées.

2.9.11 Acteurs et transactions des profils d’intégration – Registre de documents : IG eHealth et La Poste soulignent que la LDEP met l’accent sur l’espace de confiance entre les communautés. Les