Section 1 Communautés

¹Les communautés doivent demander un identificateur d’objet (OID) au service de recherche de l’OID visé à l’art. 42, pour elles-mêmes et pour les institutions de santé qui leur sont affiliées.

²Elles sont tenues de gérer les institutions de santé, les professionnels de la santé et les groupes de professionnels de la santé qui leur sont affiliés. À cet effet, elles doivent en particulier:

a.

régler les modalités d’entrée et de sortie;

b.

identifier les professionnels de la santé et vérifier leurs qualifications professionnelles;

c.

attribuer aux groupes de professionnels de la santé un OID qui se fonde sur celui de l’institution de santé;

d.

assurer la mise à jour des données dans le service de recherche des institutions de santé et des professionnels de la santé visé à l’art. 41;

e.

veiller à ce que les professionnels de la santé accèdent au dossier électronique du patient en s’authentifiant avec un moyen d’identification émis par un éditeur certifié au sens de l’art. 31;

f.

informer les patients, à leur demande, lorsque des professionnels de la santé intègrent un groupe de professionnels de la santé.

¹Les communautés doivent:

a.

veiller à l’application des art. 1 et 2, al. 2;

b.

veiller à ce que les données médicales des dossiers électroniques soient sauvegardées séparément des autres données;

c.

veiller à ce que le procédé de chiffrement utilisé pour l’enregistrement et le transfert des données soit conforme aux progrès techniques;

d.

veiller à ce que les données saisies dans le dossier électronique du patient par les professionnels de la santé soient détruites au bout de vingt ans;

e.

veiller, en cas de suppression du dossier électronique en application de l’art. 21, à ce que toutes les données du dossier soient détruites.

²À la demande du patient, elles doivent veiller au surplus à ce que:

a.

certaines données médicales le concernant ne soient pas enregistrées dans son dossier électronique;

b.

des données soient exclues de la procédure de destruction visée à l’al. 1, let. d;

c.

certaines données médicales le concernant figurant dans son dossier électronique soient détruites.

³Le DFI fixe les prescriptions techniques et organisationnelles relatives à la tenue et au transfert des données du dossier. Il règle en particulier:

a.

les métadonnées à utiliser;

b.

les formats d’échange à utiliser;

c.

les profils d’intégration à utiliser;

d.

les prescriptions relatives aux historiques.

⁴Il peut décider de faire publier les prescriptions visées à l’al. 3 dans la langue d’origine et de ne pas les faire traduire dans les autres langues officielles.

⁵Il peut habiliter l’Office fédéral de la santé publique (OFSP) à adapter aux progrès techniques les prescriptions visées à l’al. 3.

Le DFI fixe les exigences applicables au portail d’accès destiné aux professionnels de la santé, notamment pour la mise à disposition et la consultation des données ainsi que pour l’accessibilité.

¹Les communautés doivent se doter d’un système de gestion de la protection et de la sécurité des données adapté aux risques. Ce système doit comprendre les éléments suivants en particulier:

a.

un système de détection et de gestion des incidents de sécurité;

b.³

un inventaire des moyens informatiques et un registre des activités de traitement;

c.

les exigences relatives à la protection et à la sécurité des données imposées aux institutions de santé et aux tiers affiliés à la communauté.

²Les communautés désignent un responsable de la protection et de la sécurité des données.

³Elles sont tenues de signaler à l’OFSP tout incident ayant une influence sur la sécurité survenu dans le système de gestion de la protection et de la sécurité des données.

⁴Le DFI fixe les exigences techniques et organisationnelles applicables à la protection et à la sécurité des données.

⁵Les supports de données doivent se trouver en Suisse et être régis par le droit suisse.

Les communautés doivent désigner un service d’assistance chargé d’aider les professionnels de la santé à utiliser le dossier électronique.