Rapport sur les résultats

Rapport sur les résultats de la consultation relative à la révision de la LDEP (révision complète)

4.1.20 Art. 13, al. 2

² Il peut prévoir des procédures de certification pour des composants isolés de l’infrastructure informatique qui sont nécessaires à la constitution de communautés ou de communautés de référence.

SG relève que les composants centraux pertinents au sens de l’art. 14 seront dorénavant exploités par la Confédération et ne seront plus certifiés. La Confédération institue ainsi un système déséquilibré avec, d’un côté, des communautés de référence certifiées financées par les cantons et, d’un autre côté, ses propres bases de données des patients centralisées et non certifiées. Soit le système est entièrement exploité par une seule organisation, désignée et contrôlée par la Confédération, Soit les systèmes concernés utilisent la même procédure simplifiée de contrôle de conformité par la Confédération, en sa qualité d’« EPD Schema Owner ». L’absence de mesures visant à simplifier la procédure de certification est également critiquée.

VD souhaite l’ajout d’un alinéa précisant que la certification doit pouvoir se faire dans toutes les langues nationales. Actuellement, rien ne garantit que les communautés puissent se faire certifier dans leur langue et il faut négocier avec le certificateur. Il s’agit d’une inégalité de traitement en regard de l’art. 4 Cst.

Selon VS et CARA également, rien ne garantit que les communautés puissent se faire certifier dans leur langue et il faut négocier avec le certificateur. Ils estiment aussi que cette situation constitue une inégalité de traitement au regard de l’art. 4 Cst. Il conviendrait ainsi de créer un al. 3 à la teneur suivante : « Le Conseil fédéral s’assure que la procédure peut être réalisée dans les langues nationales. »

BSV AG considère que les procédures de certification technique devraient être basées sur des normes techniques pertinentes et reconnues internationalement, selon des critères objectivement vérifiables. Cela permettrait (1) de tirer profit du savoir-faire en faveur de la numérisation du système de santé suisse, (2) de satisfaire de manière transparente et uniforme à des exigences élevées en matière de protection des données et de sécurité de l’information et (3) de permettre une participation directe de tous les acteurs. BSV AG propose donc la modification suivante de l’al. 2 :

« Il peut prévoir des procédures de certification pour des composants isolés de l’infrastructure informatique qui sont nécessaires à la constitution de communautés ou de communautés de référence ou à la mise en place technique d’interfaces pour les applications de santé. »

BSV AG propose par ailleurs d’ajouter un al. 3 à la teneur suivante :

« Les procédures de certification doivent se baser sur des normes techniques internationales et pouvoir faire l’objet d’une vérification objective selon ces critères. »

EVS considère que pour garantir le développement et l’assurance de la qualité, les fournisseurs de DEP devraient être régulièrement certifiés.

GdS propose de simplifier l’al. 2 comme suit : « Il peut prévoir des procédures de certification pour des composants isolés de l’infrastructure informatique. »

HIN est d’avis que les conditions auxquelles les communautés et les communautés de référence, ainsi que les éditeurs de moyens d’identification, sont certifiés, devraient être ainsi modifiées : (1) Le Conseil fédéral fixe les exigences des conditions de certification, en termes de sécurité (« quoi ») et de gouvernance. (2) Il délègue la sélection et, le cas échéant, le développement, des normes de certification (« comment ») à une organisation de normalisation externe, indépendante et reconnue Les normes de certification doivent être développées, référencées et adoptées conjointement par des partenaires publics et privés, selon des processus définis et éprouvés. (3) Les moyens d’identification, les communautés de référence et les fournisseurs de services doivent être certifiés. Quant aux fournisseurs de prestations et à leurs organisations, ils ne doivent pas être certifiés par des organismes externes, mais faire l’objet d’un audit interne, effectué de manière aléatoire par leur communauté (de référence) (exception : le champ d’application est déterminé par la norme choisie, p. ex. BSI, ETSI, NIST, ISO). La Confédération s’assure que les moyens d’identification des patients et des professionnels de la santé soient soumis aux mêmes normes de sécurité.