Rapport sur les résultats

Rapport sur les résultats de la consultation relative à la révision de la LDEP (révision complète)

Les interfaces d’accès doivent être certifiées (p. ex. pour les applications de santé). GdS propose de reformuler l’art. 11 ainsi :

« Doivent être certifiés par un organisme reconnu :

a. l’exploitant (sur le plan organisationnel et technique) ;

b. les portails et interfaces d’accès ;

c. les éditeurs de moyens d’identification, à l’exception des autorités de la Confédération. »

HIN relève que le Message évoque à plusieurs reprises les défis posés par la certification. Les moyens d’identification restent soumis à l’exigence de certification, tandis que les portails d’accès et la Confédération (en tant qu’IDP) en sont exclus. En revanche, les communautés de référence pourront désormais éditer des moyens d’identification. La procédure et l’obligation de certification pour les communautés de référence ne sont pas réglementées sur ce point (cf. rapport explicatif, chap. 4.1.1, p. 30). Cela entraîne une « distorsion de la concurrence ». Il est incompréhensible que la Confédération, en tant qu’IDP, ne doive pas se soumettre à la certification.

Selon HIN, la loi devrait donc préciser que les communautés de référence qui éditent des moyens d’identification sont soumises aux mêmes exigences que les IDP en matière de certification. Il devrait en être de même pour la Confédération en tant qu’IDP.

De l’avis d’IG eHealth, tous les éditeurs de moyens d’identification doivent être traités sur un pied d’égalité. Cela vaut d’autant plus que la Confédération doit aussi se procurer des composants sur le marché libre. Il est donc exclu de renoncer à une certification de l’IdP fédéral et IG eHealth propose de supprimer à la let. c le complément « à l’exception des autorités de la Confédération ».

ISSS propose de préciser la notion d’« autorités ».

Selon ISSS, toute organisation qui exploite ou accède à un DEP doit être certifiée par la Confédération. Une reconnaissance étatique ne suffit pas. En outre, la certification devrait être renouvelée régulièrement (p. ex. tous les trois ans). Ces exigences, nécessaires pour la protection des données et la sécurité informatique, auraient toutefois pour effet d’augmenter les coûts du DEP selon le projet de révision.

Selon it-rm, il faut également intégrer les services centraux de recherche de données.

Let. c :

it-rm relève qu’en vertu de la SCSE, la Confédération doit aussi se faire certifier afin de délivrer un certificat.

Let. c :

Post se dit irrité par le fait que le projet envisage l’utilisation de moyens d’identification non certifiés, voire inadéquats, qui permettraient d’accéder à des données de santé sensibles, et appelle donc à supprimer la deuxième partie de la phrase de la let. c. Dès lors que les autorités utilisent des moyens d’identification, ces derniers devraient être soumis aux mêmes exigences que ceux de tiers, pour éviter toute inégalité de traitement. Selon Post et Sanela, il faudrait donc supprimer à la let. c « à l’exception des autorités de la Confédération ».

Let. c :

SwS se dit également irrité par le fait que le projet envisage l’utilisation de moyens d’identification non certifiés, voire inadéquats, qui permettraient d’accéder à des données de santé sensibles, Pour cette raison, SwS rejette la modification proposée à la let. c.