Rapport explicatif

let. b). La let. c stipule en outre que le système de certification mis à disposition par l’OFSP pour s’assurer du respect des prescriptions relatives au transfert de données des communautés et des communautés de référence (interopérabilité) doit être utilisé. Ce système de certification permet de vérifier si, en pratique, une communauté ou une communauté de référence devant fait l’objet d’une certification est en mesure de communiquer avec d’autres communautés ou communautés de référence certifiées.

Selon l’al. 4, le DFI fixe les exigences applicables à la qualification du personnel chargé de réaliser les certifications (cf. annexe 7, ODEP-DFI). Relevons à ce propos qu’il n’existe pas de formation standard dans le domaine de l’informatique médicale et de la protection des données et que les experts en la matière sont relativement rares. Par conséquent, l’expérience pratique doit être prise en considération.

Art. 28 Procédure d’accréditation

Cette disposition concrétise l’art. 11, al. 1 et 2, OAccD, en ce sens qu’elle prévoit le concours de l’OFSP.

Chapitre 6 : Certification

Section 1 : Critères de certification

Art. 29 Communautés et communautés de référence

Un organisme de certification accrédité selon l’art. 27 vérifie si une communauté ou une communauté de référence remplit les critères de certification. Les communautés de référence doivent remplir les critères de certification applicables aux communautés (art. 8 à 12) mais également ceux énoncés aux art. 13 à 20.

L’al. 2 délègue au DFI la compétence de régler en détail les critères de certification.

La compétence de modifier les critères de certification en fonction des progrès de la technique incombe à l’OFSP sur la base de l’art. 12, al. 2, LDEP (al. 3). Cette disposition est importante en particulier en ce qui concerne les critères de certification dans le domaine des données et de la transmission des données (art. 9) ainsi que la protection et la sécurité des données (art. 11).

Section 2 : Editeurs de moyens d’identification

Art. 30 Editeurs de moyens d’identification

L’al. 1 énonce l’ensemble des exigences auxquelles doivent satisfaire les éditeurs de moyens d’identification.

Au moyen de procédures adaptées, l’éditeur s’assure que le personnel et les sous-mandataires possèdent une formation, des qualifications et une expérience suffisantes pour effectuer les tâches qui leur sont confiées (let. b).

La let. c énonce que les systèmes et produits informatiques exploités doivent être fiables. La notion de fiabilité met l’accent sur le soin apporté au développement des produits en question et la confiance qu’un utilisateur peut leur accorder en termes de sécurité.

L’éditeur doit garantir que des contrôles techniques sont effectués lors de l’établissement des moyens d’identification et que des mesures organisationnelles sont prises pour assurer la protection et la sécurité des données (let. d). Il est notamment fait référence ici à la surveillance permanente des installations