Rapporto esplicativo

dont elles mettent en œuvre et représentent la fonction de gestion des autorisations en interne sur le plan technique, les communautés de référence doivent pouvoir exporter leur configuration de gestion des autorisations dans un format interopérable (basé sur XACML) et importer une telle configuration en provenance d’une autre communauté de référence. Le format d’échange des configurations est le format d’échange technique du profil d’intégration national CH:PPQ du DFI défini à l’annexe 5, chap. 2, ODEP-DFI. Comme la configuration de gestion des autorisations ne peut être gérée que dans la communauté de référence à laquelle on appartient, les professionnels de la santé ne peuvent accorder des droits d’accès par délégation en application de l’art. 3, let. h, que s’ils sont enregistrés dans la communauté de référence du patient qui leur a délégué cette compétence. Le patient qui change de communauté de référence doit donc, s’il le souhaite, habiliter les professionnels de la santé de la nouvelle communauté de référence à accorder des droits d’accès en son nom (cf. ch. 8.4.2.2 CTO). Il en va de même des représentants, qui doivent être de nouveau enregistrés.

Aux termes de l’al. 2, les communautés de référence doivent remplir les critères techniques et organisationnels requis pour garantir l’application de l’art. 2, al. 1 à 4, et de l’art. 3 (cf. commentaire de ces dispositions et ch. 8.5 à 8.7 CTO).

L’application de l’art. 3, let. g, (désignation d’un représentant) comprend, outre un volet technique, un volet organisationnel imposant des tâches concrétisées sous le ch. 8.8 CTO, raison pour laquelle elles sont expliquées ici. En vertu de l’art. 3, let. g, les communautés de référence doivent garantir au patient la possibilité de désigner un représentant. Les représentants n’ont pas besoin de posséder un numéro d’identification ni un dossier électronique du patient propres, mais ils sont tenus d’avoir leur propre moyen d’identification, émis par un éditeur certifié selon l’art. 30, pour accéder au dossier électronique du patient de la personne qu’ils représentent. Les personnes qui représentent des patients doivent elles aussi être informées des fonctionnalités de base du dossier électronique du patient ainsi que des possibilités, des droits et des obligations associés à l’utilisation du dossier électronique du patient (cf. ch., 8.8.3.3 CTO). Pour protéger les droits de la personnalité du patient représenté, il faut s’assurer que son représentant est correctement identifié et qu’il est bien en droit de représenter le patient en vertu des dispositions du droit civil. Comme le patient, son représentant doit être identifié de manière certaine et les dispositions qui s’appliquent à ce sujet sont analogues. Si l’identification du représentant du patient ne peut se faire à l’aide d’un moyen d’identification émis par un éditeur certifié selon l’art. 30, elle doit également être conforme aux exigences définies à l’art. 23 (cf. ch. 8.8.3.1 CTO). Il faut en outre garantir que le représentant a accès au dossier électronique du patient uniquement pendant la durée de validité de sa représentation (cf. ch. 8.8.3.5 CTO). Parmi les applications possibles de cette disposition, on peut penser à la représentation d’un enfant ou d’une personne âgée par l’un de ses proches ou par une autre personne de confiance si le patient ne possède pas les capacités techniques ou intellectuelles voulues pour gérer son dossier électronique du patient de manière autonome.

Art. 17 Portail d’accès pour les patients

Le portail d’accès pour les patients doit être conforme aux exigences énoncées à l’annexe 2 ODEP-DFI (cf. ch. 9 CTO). Il s’agit pour l’essentiel des mêmes exigences que celles qui s’appliquent au portail d’accès destiné aux professionnels de la santé visé à l’art. 10 (cf. commentaire de l’art. 10). D’autres spécifications portent plus particulièrement sur la présentation des informations du dossier électronique du patient sous une forme adaptée aux patients, sur la mise en œuvre des différentes possibilités d’attribution des niveaux de confidentialité et d’octroi des droits d’accès selon les art. 1 et 2 ainsi que sur les options offertes au patient (art. 3). Ne sont pas concernées les dispositions des art. 1, al. 2 et 3, art. 2, al. 4 et 5, et art. 3, let. g, qui n’ont pas pour objet des fonctions directes du portail d’accès pour les patients.

Il faut que le portail d’accès fasse une distinction claire entre les fonctions clés du dossier électronique du patient et les fonctionnalités qui ne sont pas réglementées par la LDEP et ses dispositions d’exécution (cf. ch. 9.1 CTO). Il importe en particulier de s’assurer que des données du dossier électronique du patient ne puissent pas être transférées automatiquement et sans l’accord explicite du patient dans des secteurs fonctionnels ou dispositifs de stockage situés « en dehors » du dossier électronique du patient.