Rapport sur les résultats

Rapport sur les résultats de la consultation relative à la révision de la LDEP (révision complète)

explicite de la part des patients pour la mise à disposition de données anonymisées ou de données en général (notamment FMC, ISSS, PicAps, SAMW, SKS, swissethics) ou au moins qu’une option d’opt-out soit prévue (FMC, PicAps, SAMW). Pour justifier la variante minimale d’un modèle de l’opposition également pour la recherche, certains participants avancent qu’elle permettrait d’éviter que les patients ne renoncent entièrement à établir un DEP pour des raisons de protection des données. unimedsuisse est favorable à l’opt-in pour l’utilisation des données du DEP pour la recherche. Pour CER VD, la focalisation sur la réutilisation de données anonymisées pourrait nuire à la recherche. Senesuisse considère que les données doivent toujours être anonymisées avant d’être divulguées. SWR estime qu’il est indispensable de prévoir une variante opt-out pour la réutilisation des données pour la recherche, ainsi que pour l’optimisation des données de santé. La transmission de données anonymisées à des fins de monitorage et d’assurance qualité devrait être possible même en l’absence de consentement, pour autant qu’elle soit effectuée par des personnes morales de droit public (p. ex. l’Office fédéral de la santé publique ou l’Office fédéral de la statistique) (SKS). Selon plusieurs participants à la consultation (dont IG eHealth et HKBB), il convient de distinguer entre le consentement général pour les données anonymisées et un consentement au cas par cas pour les données non anonymisées.

D’autres participants demandent de préciser la notion d’anonymisation (ADTG) ou proposent d’utiliser plutôt le terme de chiffrement (unimedsuisse) ou encore d’adapter la terminologie (IDS).

3.2.4.9 Protection et sécurité des données

Selon CDS et les cantons s’étant ralliés à son avis, le DEP doit pouvoir être utilisé à titre individuel et collectif selon un cadre clair en matière de protection des données. LU demande que les compétences et les responsabilités en matière de traitement des données personnelles soient plus clairement définies dans la loi. BL demande que le projet soit soumis au PFPDT pour prise de position sur le plan de la protection des données.

Selon PS, le stockage de données doit répondre aux standards de sécurité les plus élevés et être soumis à la vérification d’un organe indépendant afin de détecter toute faille de sécurité (dans le même sens Geliko et pro-salute.ch). Les VERT-E-S soulignent que les questions de protection des données et d’autodétermination en matière d’information doivent être considérées comme étant de la plus haute importance, notamment en vue de garantir l’acceptation par la population. PLR demande que la protection des données soit garantie par des processus de certification appropriés. Selon UDF, il n’est guère, voire pas du tout possible, de garantir la protection et la sécurité des données. UDC considère que l’introduction du registre des oppositions viole gravement la protection des données.

Selon USS, la protection et la sécurité des données doivent pouvoir être intégralement garanties en tout temps, compte tenu des risques élevés et du caractère sensible des données. D’autres participants sont du même avis (notamment DVSP, FSP, Geliko, ISSS, NEK, SAMW et SSR). Il convient d’éviter tout lien entre l’utilisation des données et des incitations financières (Gen Suisse). Des mesures appropriées doivent être prévues en cas de fuite de données ou d’autre crise, p. ex. un plan d’urgence (DVSP, NEK, KLS). Pour cette raison, la délégation de tâches et de prestations de la Confédération à des acteurs privés est considérée d’un œil critique (notamment EVS et SBK).

Du point de vue de Privatim, les bases de données centrales, le modèle de l’opposition ou l’obligation (sous peine de sanction pénale) de télécharger des données dans le DEP, entraînent une modification de la pondération des intérêts en jeu, au détriment des personnes concernées, et il est donc nécessaire de définir encore plus clairement dans la loi les compétences et les responsabilités des différents acteurs (OFSP, communautés et communautés de référence, fournisseurs de DEP, services supplémentaires, applications, etc.) en matière de traitement des données personnelles.