Rapport explicatif

mettre en place visant à recueillir le consentement des professionnels de la santé à l’égard des directives spécifiques de la communauté et des directives spécifiques en découlant adoptées par les institutions de santé (cf. ch. 1.2.2.1 CTO). Il faut également définir la procédure concrète à suivre lorsqu’un professionnel de la santé quitte une communauté (p. ex. suite à un changement d’emploi, à une cessation d’activité professionnelle ou à un décès). L’entrée, la mutation et la sortie des données d’un professionnel de la santé ne peuvent être traitées que si l’institution de santé pour laquelle il travaille est déjà affiliée à la communauté. Les communautés peuvent déléguer ces tâches aux institutions de santé qui leur sont affiliées.

L’identification des professionnels de la santé visée à la let. b doit respecter les critères énoncés à l’art. 23, sauf si elle peut être effectuée avec un moyen d’identification émis par un éditeur certifié selon l’art. 30. La communauté doit en outre s’assurer qu’il s’agit bien d’un professionnel de la santé au sens de l’art. 2, let. b, LDEP (cf. ch. 1.2.2.3 CTO). A cet effet, elle peut utiliser soit un moyen d’identification émis par un éditeur qui a vérifié la qualification du professionnel lors de la procédure d’émission conformément à l’art. 23, al. 2, soit se fonder sur l’inscription dans un registre professionnel cantonal ou fédéral (p. ex. Registre des professions médicales universitaires MedReg, Registre des professions de la psychologie PsyReg ou Registre des professions de la santé NAREG).

Aux termes de la let. c, les données des professionnels de la santé doivent être enregistrées, mises à jour et effacées s’il y a lieu dans le service de recherche central des institutions de santé et des professionnels de la santé visé à l’art. 40. Si le professionnel de la santé est inscrit dans un registre professionnel fédéral ou cantonal (p. ex. MedReg, NAREG, etc.), les informations du registre doivent être reprises dans le service de recherche (cf. ch. 1.2.2.5 CTO). Il est important, en particulier, de s’assurer que seuls sont enregistrés dans le service de recherche des professionnels de la santé qui répondent à la définition de l’art. 2, let. b, LDEP, qui travaillent pour l’institution de santé affiliée concernée et qui ont besoin d’avoir accès à des dossiers électroniques.

Selon la let. d, les professionnels de la santé peuvent accéder au dossier électronique du patient uniquement en utilisant un moyen d’identification valable, émis par un éditeur certifié selon l’art. 30. Peu importe que l’accès ait lieu via le portail d’accès pour les professionnels de la santé (art. 10) ou via d’autres systèmes (p. ex. accès intégré dans un système primaire). Cela signifie que les systèmes utilisés par des professionnels de la santé ou des auxiliaires pour accéder au dossier électronique du patient supportent une procédure d’authentification forte, qui prévoit au moins deux facteurs d’authentification, comme condition préalable au traitement des données du dossier électronique du patient (cf. ch. 1.4.3 CTO). Lorsqu’une communauté certifiée procède à une authentification conformément à une telle procédure, les autres communautés doivent la reconnaître comme fiable.

Les communautés ont l’obligation d’établir un lien fiable entre l’identificateur univoque figurant dans le moyen d’identification des professionnels de la santé et de leurs auxiliaires et l’identité de chacune de ces personnes enregistrée dans la communauté (cf. ch. 1.4.2 CTO). En règle générale, l’identificateur est transmis au point d’accès du portail par le fournisseur de services d’identité (l’éditeur du moyen d’identification) dans le contexte de l’authentification.

Les professionnels de la santé peuvent confier le traitement de données du dossier électronique du patient à des auxiliaires dans la mesure où le rattachement de ces auxiliaires au professionnel de la santé qui en est responsable est géré en interne par la communauté. Mais comme ces auxiliaires ne figurent pas dans le service de recherche des institutions de santé et des professionnels de la santé visé à l’art. 40, les patients ne peuvent pas gérer leurs droits d’accès de manière indépendante avec la fonction de gestion des autorisations. L’identification des auxiliaires et leur accès au dossier électronique du patient est soumise aux dispositions de l’art. 8, let. b et d (cf. ch. 1.3 CTO).

Gestion de groupes de professionnels de la santé

Selon la let. c, les communautés doivent assurer la gestion des groupes de professionnels de la santé dans le service de recherche central des institutions de santé et des professionnels de la santé visé à