Rapporto esplicativo

Chapitre 3 : Communautés et communautés de référence

Section 1 : Communautés

Art. 8 Gestion

En application de la let. a, les communautés doivent définir, documenter, mettre en œuvre et respecter des processus appropriés pour gérer les institutions de santé (p. ex. hôpitaux, pharmacies, cabinets médicaux, organisations d’aide et de soins à domicile, EMS) ainsi que les professionnels de la santé et les groupes de professionnels de la santé qui intègrent une communauté ou qui en sortent.

Les CTO qui constituent l’annexe 2 ODEP-DFI concrétisent, dans leur chap. 1, les exigences applicables à la gestion des institutions de santé, des professionnels de la santé et de leurs auxiliaires ainsi que des groupes de professionnels de la santé.

Gestion des institutions de santé

Processus d’entrée

Ce processus inclut la conclusion d’une convention dans laquelle l’institution de santé s’engage à respecter les prescriptions de la communauté en matière d’organisation interne et plus particulièrement à remplir les tâches et les obligations qui lui sont imparties dans le domaine de la protection et de la sécurité des données (cf. ch. 1.1.2.1 et 4.9 CTO). Dans le cadre de ces conventions, une communauté peut en outre déléguer aux institutions de santé qui lui sont affiliées la responsabilité de certains critères de certification. C’est le cas en particulier de la gestion des professionnels de la santé et des groupes de professionnels de la santé qui travaillent dans ces institutions (cf. let. a à d). L’entrée, la mutation et la sortie des données d’un professionnel de la santé ne peuvent être traitées que si l’institution de santé pour laquelle il travaille est déjà affiliée à la communauté.

Processus de sortie

Lorsqu’une institution de santé quitte une communauté sans s’affilier à une autre communauté ou communauté de référence, la communauté en question doit s’assurer que les documents mis à disposition par l’institution de santé dans le lieu de stockage de la communauté ou de l’institution pour des dossiers électroniques sont supprimés. Il en va de même des entrées correspondantes dans le registre des documents (cf. ch. 1.1.3 CTO). Lorsque des documents sont appelés à être supprimés du dossier électronique du patient suite au départ d’une institution de santé, ces patients doivent en être informés avant l’effacement afin qu’ils puissent accéder eux-mêmes aux documents à supprimer et, s’ils le souhaitent, les enregistrer dans leur dossier électronique du patient en vertu de l’art. 8 LDEP et de l’art. 18 ODEP.

Selon la let c, les communautés doivent s’assurer que les données relatives aux institutions de santé qui leur sont affiliées figurant dans le service de recherche central des institutions de santé et des professionnels de la santé visé à l’art. 40 sont à jour. La mise à jour des données enregistrées dans le service de recherche central doit être effectuée sans délai car c’est sur ces données que repose l’attribution des droits d’accès aux professionnels de la santé et aux groupes de professionnels de la santé. Les communautés peuvent déléguer cette tâche aux institutions de santé, mais elles restent responsables de l’exactitude et de l’actualité des données enregistrées et doivent veiller à ce que les modifications soient apportées dans un délai convenable (dans la plupart des cas, la mise à jour devra vraisemblablement être quotidienne) (cf. ch. 1.1.4 CTO).

Gestion des professionnels de la santé

En application de la let. a, les communautés doivent définir, documenter, mettre en œuvre et respecter des processus appropriés pour gérer les professionnels de la santé travaillant dans les institutions de santé qui leur sont affiliées. Ces processus doivent porter sur les aspects visés aux let. b à d et garantir le respect d’autres prescriptions. Elles doivent en particulier régir l’information des professionnels de la santé sur leurs tâches, leurs droits et leurs obligations en lien avec le traitement des données du dossier électronique du patient (cf. notamment ch. 4.9.1 CTO) de même que sur les risques et les mesures dans le domaine de la protection et de la sécurité des données. Les communautés doivent en outre à