Rapport sur les résultats

monde. On n’y trouve aucune disposition exigeant que le transport et les échanges entre le système primaire et la communauté se fassent selon les protocoles IHE. De manière générale, toutes les interconnexions entre la communauté et des tiers doivent figurer à l’inventaire en tant qu’interfaces.

4.9 Prescriptions relatives à la protection et à la sécurité des données imposées aux institutions de santé affiliées ainsi qu’à leurs professionnels de la santé et applicables aux terminaux (let. e).

HIN salue le fait que l’on pose des exigences en matière d’appareils terminaux. La SSIM et la FMH critiquent le fait que les exigences posées aux institutions de santé affiliées et à leurs professionnels de la santé interfèrent avec la souveraineté des systèmes primaires. Elles demandent le remaniement de toute la section et en particulier la suppression des ch. 4.9.1.2.3, 4.9.2 et 4.9.3. VGIch considère que le SIEM doit se restreindre aux parties techniques et organisationnelles de l’infrastructure communautaire qui servent à la mise à disposition du dossier électronique du patient, mais ne doit s’appliquer ni aux extensions (logiquement séparées) requises pour la mise en place de la communication dirigée, ni à l’infrastructure et à l’organisation des institutions affiliées. Il convient donc de délimiter son champ d’action en lui attribuant un propre chiffre. OFAC déplore que les communautés ne puissent offrir aucune garantie concernant les institutions affiliées dont elles ne sont ni propriétaires ni responsables. Le rôle de la communauté vis-à-vis des institutions affiliées se limite à décrire les exigences techniques et organisationnelles de ses interfaces.

4.9.2/4.9.3 : Sécurité des terminaux utilisés par les professionnels de la santé : BINT observe que le ch. 4.9.2 a pour effet de transférer la responsabilité aux affiliés, ce qui est parfaitement approprié dans ce contexte. Il ne peut cependant être imposé ni cautionné, d’autant moins que son champ d’action enfreint la limite de compétences de la LDEP ; il faut donc biffer ce chiffre. ISSS préférerait un texte incluant un catalogue d’exemples, et propose donc la formulation suivante : « […] à garantir une configuration sûre (y compris par une limitation à des usages spécifiques, p. ex. Internet, enregistrements vidéo ou audio, transferts de données, synchronisations) des terminaux utilisés par les professionnels de la santé pour accéder […] ». Au sujet des ch. 4.9.2 et 4.9.3, La Poste observe que les communautés ne peuvent ni contrôler ni valider individuellement les ordinateurs connectés. Les communautés ne peuvent pas répondre à cette exigence, impossible à appliquer en l’état, mais elles doivent définir dans les conditions générales les exigences de sécurité à observer par les utilisateurs. Dans son commentaire sur le ch. 4.9.3, Integic souhaite qu’il soit complété d’une disposition sur les « utilisateurs individuels et l’interdiction définitive/refus d’accès à des utilisateurs collectifs ou groupes d’utilisateurs ». VGIch estime que le ch. 4.9.3 constitue une ingérence dans la compétence d’exploitation des hôpitaux, raison pour laquelle il convient de le supprimer. Une convention entre la communauté et l’institution est amplement suffisante. K3, VZK, ZAD et ZH considèrent qu’il s’agit là d’évidences dont on tient déjà compte dans la pratique. Il convient donc de supprimer le ch. 4.9.3 ou, si l’on opte pour son maintien, de l’alléger en introduisant une règle générale abstraite simplifiée dans l’ODEP. VAKA, K3 et VZK font remarquer qu’un pare-feu n’est pas un élément du terminal du professionnel de la santé et proposent de biffer le texte qui s’y rapporte ou d’adapter le titre de l’alinéa. OFAC observe que la relation entre la communauté et les institutions affiliées est de nature purement contractuelle. Si l’OFSP décide de contraindre les professionnels de la santé à des règles ou à des normes strictes en matière de sécurité de l’information ou de protection des données, cela ne devra pas se faire au travers du dossier électronique du patient. Il n’y a aucune base légale pour cela dans la LDEP.

4.10 Exigences relatives à la protection et à la sécurité des données imposées au personnel (al. 1, let. f)

ZAD, NW et ZH réitèrent pour le ch. 4.10 leur prise de position relative au ch. 4.6, à laquelle se joignent aussi K3 et VZK.

4.10.1 : ÄTG et HÄ CH font remarquer que la protection des données et une bonne gestion des données sensibles constituent d’ores et déjà une tâche importante pour les professionnels de la santé.