Rapport sur les résultats

données des systèmes productifs sont appliquées. SQS préconise l’énoncé suivant pour le ch. 4.15.2.5 parce que plus réaliste : « Les environnements de test et de développement ne comportent aucune donnée de patients autre que des données anonymisées ou pseudonymisées. » VAKA et La Poste demandent la suppression du ch. 4.15.2.6. VAKA regrette que le texte ne précise pas ce qui est supervisé et chez qui. La Poste demande comment cela se passe avec des logiciels commerciaux et qu’est-ce que l’organisation d’exploitation a à voir avec le développement de logiciels. Cette exigence pourrait poser problème lors de la certification. OFAC signale une contradiction entre les exigences du ch. 4.15.1 et du ch. 4.15.5. La validation finale d’une nouvelle version avant sa mise en production nécessite un test de non-régression qui n’est réalisable qu’avec les vraies données que le système est appelé à traiter. Des mesures peuvent être mises en œuvre pour que les tests de validation n’engendrent pas de vulnérabilité et soient aussi strictement contrôlés que les systèmes de production. C’est plus une affaire d’organisation du Change Management que de conformité à une prescription légale. Le principe consiste à toujours pouvoir démontrer un bon équilibre entre la qualité des tests effectués et le respect de la sphère privée des patients.

4.16 Cryptage de la communication (al. 3)

La SSIM et la FMH plaident pour que la communication et le stockage des données soient entièrement cryptés. STSAG juge exagérées les exigences du ch. 4.16.1 vis-à-vis de la communauté et demande la suppression de ce passage.

4.17 Enregistrement crypté des données (al. 3)

Insel veut savoir à propos du ch. 4.17, s’il faut comprendre par « données sensibles » toutes les données des patients ou seulement celles qui méritent d’être protégées et demande une définition plus précise. La SSIM et la FMH renvoient à leur commentaire sur le ch. 4.16 et la CCM, GAeSO, BüAeV et KAeG SG réitèrent pour le ch. 4.17.1 leurs prises de position sur les ch. 4.8.2. et 4.14.3.10. Six cantons¹³³ renvoient également à leurs prises de position sur le ch. 4.8.2. à propos du ch. 4.17. De l’avis de treize participants¹³⁴, il faut choisir : ou l’on crypte toutes les données, ou l’on n’en crypte aucune. On ne voit pas pourquoi seules les « données sensibles » doivent être cryptées. On ne comprend pas davantage pourquoi la sauvegarde sous forme cryptée doit être réservée aux données des niveaux de classification « secret » et « sensible ». Cela ne permettra de réaliser aucune économie, vu que des frais seront immanquablement perçus pour les possibilités de cryptage. Le ch. 4.17.1 doit donc être remanié en conséquence. TG et AI partagent le sentiment que l’on ne pourra pas réaliser d’économies et demandent donc que le cryptage soit appliqué à toutes les données. VAKA considère que l’élément en fin de phrase « de manière à ce que leur intégrité soit protégée » n’est d’aucune utilité pour des données de toute manière déjà cryptées, et qu’il peut dès lors être supprimé. VAKA s’étonne par ailleurs des déclarations concernant le cryptage de terminal à terminal (end-to-end- encryption) dans le rapport explicatif. L’argumentation n’est pas convaincante et la formule « renoncé dans un premier temps » résonne comme une menace. VAKA n’est pas opposé par principe aux nouvelles technologies, mais s’étonne tout de même qu’une technologie qui n’a encore jamais été discutée dans les cénacles de eHealth Suisse soit mentionnée de manière aussi prééminente. D’autant plus qu’il reste de nombreuses questions à élucider en la matière. Tessaris fait valoir que le qualificatif de « sensibles » est réservé aux données du dossier électronique qui se rapportent à la santé et au traitement médical du patient (« informations pertinentes pour le traitement »). Les autres données (adresse, renseignements administratifs, métadonnées) servent à l’administration et à l’exploitation du dossier électronique du patient, ainsi qu’à la transmission des données pertinentes pour le traitement. Pour des raisons pratiques et pour éviter tout problème de délimitation, il pourrait être préférable de sauvegarder aussi sous forme cryptée les données du patient pertinentes pour le traitement et les métadonnées. Tessaris propose dès lors l’une des deux formulations suivantes : « Les données du dossier électronique du patient, à l’exception des métadonnées, doivent être sauvegardées sous une forme cryptée, à l’aide de mesures cryptographiques adéquates et conformes à l’état actuel de la