Rapport sur les résultats

sa sphère privée vu que le patient n’a pas la faculté de transférer les données souhaitées. HIN considère qu’il faut pouvoir habiliter et obliger les communautés à définir les « rate limits ». Il convient donc de compléter le ch. 3.5.2 comme suit : « […] renforcée. Les communautés déterminent les « rate limits ».

4. Protection et sécurité des données (art. 11 ODEP)

ISSS demande l’ajout d’un ch. 4.25 qui garantisse que les données du patient ne demeureront pas éternellement dans les sauvegardes de sécurité une fois détruites. Il demande d’ajouter le texte suivant : « 4.25 Sauvegarde des données (back-up) : Sauf dispositions légales ou réglementaires contraires, les sauvegardes de données sont détruites après deux ans au plus tard. Cette durée peut être prolongée à trois ans au plus si les nécessités d’exploitation le justifient ». SQS fait remarquer que tout le texte du ch. 4 contient l’essentiel des normes ISO/IEC 27001:2013 et des contrôles de l’annexe A. Il serait plus judicieux de les remplacer par des renvois aux normes ISO/IEC 27001:2013, annexe A comprise, et de ne définir que les ajouts spécifiques à l’ODEP, par exemple l’annonce à l’OFSP d’incidents affectant la sécurité. À cela s’ajoute que l’annexe utilise une terminologie qui ne correspond pas aux normes ISO/IEC 27001:2013. Concrètement, SQS propose la séparation des éléments respectifs de la norme ISO/IEC 27001:2013 et des contrôles de l’annexe A, ainsi que l’intégration de la terminologie ISO/IEC 27001:2013. Pour la réglementation relative à la protection des données, la FMH conseille de s’aligner sur les normes et les bonnes pratiques existantes ; pas besoin d’édicter de nouvelles règles. La FMH rejoint la SSIM dans sa demande de remanier tout le ch. 4. Tessaris postule qu’une communauté disposant de ressources humaines et matérielles restreintes, comme l’est un cabinet ou un petit centre médical communautaire, ne peut gérer seule les lourdes exigences organisationnelles et techniques qui découlent du ch. 4 et devra faire appel à des tiers (entreprises soustraitantes). En fournissant leurs services aux communautés, de telles entreprises sous-traitantes doivent toujours satisfaire aussi aux exigences de l’art. 11 ODEP et du ch. 4, sous peine de créer une faille dans le dispositif servant à garantir la protection et la sécurité des données.

4.1. Exigences envers les tiers

Chez privatim, on salue cette réglementation, jugée adéquate du point de vue de la protection des données. Bien qu’elle découle déjà des législations fédérale et cantonales sur la protection des données, il paraît opportun de l’inclure aussi dans les CTO par souci de clarté et d’intégralité.

4.2 Système de protection et de sécurité des données (al. 1)

4.2.1 : HIN se réjouit de la mention explicite de la norme ISO 27001. SQS rappelle que la norme ISO/IEC 27001:2013 ne décrit pas un système de gestion de protection et de sécurité des données, mais bien un ISMS. Le système de gestion de protection et de sécurité des données à exploiter doit être basé sur ou conforme à la norme ISO/IEC 27001. En revanche, les directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir (Directives sur la certification de l’organisation et de la procédure), édictées par le PFPDT le 14 juin 2014 et appliquées lors d’une certification selon l’art. 11 LPD, sont parfaitement appropriées pour la description du système de gestion de protection et de sécurité des données. SQS propose les deux variantes suivantes pour l’énoncé du ch. 4.2.1 : « Les communautés doivent exploiter un système de gestion de protection et de sécurité des données tel que décrit dans la norme ISO/IEC 27001:2013, qui : […] » et « Les communautés doivent exploiter un système de gestion de protection et de sécurité des données, tel que décrit dans les directives sur les exigences minimales qu’un système de gestion de la protection des données doit remplir (directives sur la certification d’organisation et procédure), édictées par le PFPDT le 14 juin 2014, qui : […] ». ZH, ZG, ZAD, K3 et VZK ne trouvent pas judicieuses les dispositions du ch. 4.2.1 et en souhaitent la suppression. OFAC fait savoir que les systèmes de gestion de la protection des données (SGPD) et les systèmes de gestion de la sécurité de l’information (SGSI) fonctionnent parfaitement de manière conjointe, mais jamais confondue. Les deux systèmes devraient être gérés de manière distincte. En outre, à l’instar de SQS, elle rappelle que la norme ISO 27001:2013 ne