Rapport explicatif

sécurité les mots de passe, l’information concernant le traitement et la communication de données d’identification à des tiers ou encore les conditions générales dans le cadre d’une déclaration de protection des données.

Art. 25 Renouvellement de la durée de validité du moyen d’identification

A l’échéance de la durée de validité du moyen d’identification de dix ans au maximum (cf. art. 22, let. d), celui-ci doit être renouvelé. L’al. 2 énonce, en dérogation à la norme ISO/IEC 29115:2013, qu’une vérification de l’identité selon le niveau de confiance 3 doit également être effectuée pour un renouvellement du moyen d’identification (art. 23).

Art. 26 Blocage du moyen d’identification

Le titulaire du moyen d’identification peut à tout moment en demander le blocage pour empêcher l’accès au dossier électronique du patient. L’éditeur du moyen d’identification doit s’assurer que la personne à l’origine de la demande a qualité pour effectuer cette démarche ; il doit prendre les dispositions nécessaires pour empêcher un blocage non autorisé. Les moyens d’identification qui ont été bloqués ne peuvent être ni renouvelés ni prolongés. L’ordonnance ne prévoit pas de suspension provisoire du moyen d’identification. Les éditeurs de moyens d’identification doivent immédiatement prendre les dispositions nécessaires pour empêcher une authentification après blocage (p. ex. en élaborant des listes de certificats bloqués ou en mettant en place d’autres procédures pour valider la réponse d’authentification valable).

Chapitre 5 : Accréditation

Art. 27 Critères

Selon l’al. 1, les exigences auxquelles doivent satisfaire les organismes de certification se fondent essentiellement sur la norme ISO/IEC 17021:2015 Évaluation de la conformité -- Exigences pour les organismes procédant à l'audit et à la certification des systèmes de management dont les modalités d’application sont régies à l’art. 7, al. 1, et à l’annexe 2 de l’ordonnance sur l’accréditation et la désignation (OAccD ; RS 946.512). Ces dispositions définissent notamment le principe d’indépendance ainsi que la procédure de certification et d’examen des produits. Une réglementation supplémentaire dans le cadre de la présente ordonnance n’est donc pas nécessaire. En vertu de l’art. 13, al. 1, let. a, LDEP, la certification peut uniquement être effectuée par des organismes accrédités.

Etant donné que la certification des communautés et des communautés de référence se fonde sur des éléments choisis de la norme ISO/IEC 27001:2013, ISO/IEC 27006:2015:2013 constitue une base supplémentaire pour l’accréditation.

Selon l’art. 22, let. a, ODEP, la certification d’éditeurs de moyens d’identification s’effectue en correspondance avec les prescriptions de la norme ISO/IEC 29115:2013 ; ainsi, ce standard est également déterminant dans le cadre de l’accréditation d’organismes de certification qui proposent des certifications pour les éditeurs de moyens d’identification.

Les communautés, les communautés de référence et les éditeurs de moyens d’identification accomplissant des tâches spécifiques, les vérifications effectuées dans le cadre de la certification portent pour chacun d’eux sur des contenus différents. C’est aussi la raison pour laquelle les organismes concernés doivent répondre à des exigences différentes en termes d’accréditation (al. 2).

L’al. 3 concrétise la notion de procédure de contrôle. Cette procédure comprend les critères d’évaluation et d’examen appliqués pour vérifier le respect des critères de certification (let. a) ainsi que des indications sur le déroulement de la procédure de certification (y compris la surveillance et la recertification ;