Rapport explicatif

Rapport explicatif ODiv et OClin-Dim

Art. 65 Cybersécurité

Al. 1 : la possibilité et les graves conséquences de cyberattaques sont aujourd’hui devenues une réalité. Dans le domaine de la santé, en particulier, il convient de mettre en place des mesures de protection exhaustives. Bien que cet aspect ne touche pas, en principe, au champ d’application premier de l’ordonnance sur les dispositifs médicaux, il n’en demeure pas moins que, de nos jours, différents dispositifs médicaux sont connectés directement et durablement à Internet et à l’Intranet dans les établissements de santé. C’est notamment le cas du domaine de l’informatique médicale, qui inclut des logiciels relevant de la définition des dispositifs médicaux. Il convient pour cette raison de prévoir ici une obligation de diligence générale qui s’en tient à l’état de la technique.

Al. 2 : les mesures techniques et organisationnelles qui doivent être prises sont déterminées, évaluées et documentées (p. ex. mesures de protection contre les cyberattaques visant les robots chirurgicaux ou les appareils d’analyse). Ces activités sont menées dans le cadre du système de gestion de la qualité en place, au titre de la gestion du risque. Le cercle des destinataires est volontairement limité aux hôpitaux. Il incombe aux cantons d’examiner de telles mesures dans les établissements de santé et – dans le cadre du système de gestion de la qualité – dans les hôpitaux.

Chapitre 8 Surveillance du marché

Art. 66 Principe

Al. 1 : cette disposition reprend l’art. 23, al. 1, aODim avec des modifications rédactionnelles. Celles-ci précisent le principe de la surveillance du marché par échantillonnage conformément aux principes du new approach. En vertu des changements terminologiques, la mise sur le marché s’appelle désormais la première mise à disposition sur le marché. La « surveillance du marché » comprend les activités effectuées et les mesures prises par les autorités de surveillance du marché pour garantir que les dispositifs sont conformes aux prescriptions énoncées dans la législation applicable et assurent la protection de l’intérêt public couvert par ladite législation (voir aussi l’art. 3, n^o3, MSCR).

Al. 2 : les renvois au RDIV-UE garantissent un niveau de protection équivalent. Certaines dispositions du RDIV-UE sont exclues, car les aspects correspondants sont réglés au niveau de l’ARM (cf. p. ex. la procédure de sauvegarde spécifique en lien avec certains types de nonconformité prévue à l’annexe 1, chap. 4, ARM, qui diffère de celle décrite à l’art. 92, par. 3, RDIV-UE). La coopération avec les autorités des États contractants et la Commission européenne se fonde également sur l’ARM. Cela permet aux autorités compétentes de prendre les mesures nécessaires d’une manière harmonisée à l’échelle internationale. Les activités de surveillance du marché visent la surveillance efficace du marché des dispositifs mis à disposition en ligne et hors ligne (« dispositifs » au sens de l’art. 1, al. 2, ODiv), l’adoption par les opérateurs économiques de mesures correctives appropriées et proportionnées en ce qui concerne la conformité et l’adoption de mesures appropriées et proportionnées si l’opérateur ne prend pas de mesures correctives (au sens de mesures de remplacement conformément,

p. ex., à l’art. 66, al. 2, let. d et e, LPTh). Les pouvoirs des autorités suisses compétentes se fondent sur l’art. 66 LPTh et les dispositions précitées du RDIV-UE. La liste visée à l’art. 66, al. 2, LPTh n’est pas exhaustive, ce qui permet aux autorités de prendre d’autres mesures qui semblent nécessaires en fonction de la situation. Exemples de l’art. 14 MSCR :

- le pouvoir d’engager, de la propre initiative des autorités de surveillance des marchés, des enquêtes pour déceler des non-conformités et y mettre fin ;

- le pouvoir de soumettre des échantillons du dispositif à une inspection et à la rétroingénierie afin de détecter une non-conformité et d’obtenir des preuves ;

- le pouvoir d’exiger un accès aux logiciels intégrés.