Rapport sur les résultats

Pour que les communautés puissent atteindre le but visé, il faut toutefois veiller à ce que les exigences soient raisonnables et mesurées en évitant toute disproportion dans le temps et les moyens financiers engagés (utilité marginale). La Poste demande s’il est question ici de l’exploitation des systèmes énoncés par la LDEP (administration, engineering, helpdesk, etc.) et souhaite que l’on donne des exemples concrets.

4.10.2 : Six cantons¹²⁰ observent à propos du ch. 4.10.2.1, que la communauté ne peut pas garantir que les personnes assument leur responsabilité ou qu’elles sont compétentes. Ce n’est pas à la communauté d’assumer la responsabilité d’évaluer les connaissances qu’auraient ou n’auraient pas les utilisateurs et il convient donc de biffer ce chiffre. La CDS et six cantons¹²¹ objectent que la disposition du ch. 4.10.2.3 est irréalisable. Une obligation contractuelle de personnes ayant accès aux données du dossier électronique du patient n’est pas justiciable au même titre que le secret médical. Sept autres participants¹²² font la même observation. Ils ajoutent que l’obligation de secret médical est régie par le droit fédéral, complété le cas échéant par le droit cantonal. Ni les communautés ni les communautés de référence n’auraient les compétences de réglementation nécessaires. K3, VZK et ZAD pensent qu’il convient d’élucider dans quelle mesure les collaborateurs de communautés et de communautés de référence doivent être considérés comme auxiliaires au sens des dispositions de l’art. 321 du Code pénal suisse (CP). ZH considère à ce sujet que les collaborateurs de communautés et de communautés de référence ne sont pas assimilés à des auxiliaires au sens de l’art. 321 CP, et que sans adaptation du CP, la responsabilité pénale du médecin n’est pas engagée si un secret médical a été divulgué avec le consentement – juridiquement valable – du patient au sens de l’art. 321, al. 2, CP. SQS demande ce qu’il faut entendre par obligation analogue au secret médical. Le secret médical fait partie des obligations de garder le secret régies par l’art. 321 CP. L’énumération des professions visées par l’art. 321 CP est exhaustive et exclut notamment les auxiliaires des médecins. Les prestataires TI en particulier ne tombent pas dans la catégorie des personnes astreintes au secret médical. Il convient dès lors de préciser le ch. 4.10.2.3 et de le reformuler comme suit : « les personnes […] du patient doivent être soumises au secret médical en vertu de l’art. 321 CP ou être astreintes au secret par une disposition contractuelle. L’obligation contractuelle de garder le secret concerne toutes les données du dossier électronique du patient dont les personnes ont connaissance dans l’exercice de leur profession, et doit s’appliquer sans limite de temps au-delà du cadre de l’activité professionnelle et après la fin du mandat ». À propos du ch. 4.10.2.3, Tessaris considère que les personnes qui ne sont pas soumises ou contractuellement tenues au secret médical dont la violation est punie par le Code pénal (p. ex. les employés d’organisations visées au ch. 4.1.1) doivent être astreintes à une stricte confidentialité par des mesures appropriées (signature d’une convention de confidentialité). Il propose donc l’énoncé suivant pour ce chiffre : « Les personnes qui ont accès à des données figurant dans le dossier électronique du patient doivent s’engager par des mesures appropriées, et notamment par la signature d’une convention de confidentialité, à garder le secret sur les informations dont elles ont connaissance au sujet des patients dans l’exercice de leur activité au service de la communauté ». ISSS propose de préciser comme suit le ch. 4.10.2.3 : « […] analogue au secret médical (p. ex. une obligation contractuelle de garder le secret) ». AR veut savoir à propos du ch. 4.10.2.1 quelles sont les personnes visées ; qui est réputé être « compétent » et comment ces personnes sont censées se montrer « attentives » dans ce contexte. Pas moins de quatorze participants¹²³ se prononcent pour la suppression du ch. 4.10.2.3. Tessaris écrit au sujet du ch. 4.10.2.4, que les exigences posées au management du personnel devraient se concentrer sur les aspects de la protection et de la sécurité des données, et propose la formulation suivante : « les processus visant à assurer la protection et la sécurité des données […] ».

4.10.3 : La SSIM considère le ch. 4.10.3 et les points qu’il contient comme disproportionnés et demande leur suppression. ZH réitère ici la position qu’il a prise au sujet des ch. 4.6 et 4.10. La Poste demande que le ch. 4.10.3 donne les références exactes à d’autres lois pour que les usagers puissent