Chapitre 3 Communautés et communautés de référence

¹Les communautés doivent demander un identificateur d’objet (OID) au service de recherche de l’OID visé à l’art. 42, pour elles-mêmes et pour les institutions de santé qui leur sont affiliées.

²Elles sont tenues de gérer les institutions de santé, les professionnels de la santé et les groupes de professionnels de la santé qui leur sont affiliés. À cet effet, elles doivent en particulier:

a.

régler les modalités d’entrée et de sortie;

b.

identifier les professionnels de la santé et vérifier leurs qualifications professionnelles;

c.

attribuer aux groupes de professionnels de la santé un OID qui se fonde sur celui de l’institution de santé;

d.

assurer la mise à jour des données dans le service de recherche des institutions de santé et des professionnels de la santé visé à l’art. 41;

e.

veiller à ce que les professionnels de la santé accèdent au dossier électronique du patient en s’authentifiant avec un moyen d’identification émis par un éditeur certifié au sens de l’art. 31;

f.

informer les patients, à leur demande, lorsque des professionnels de la santé intègrent un groupe de professionnels de la santé.

¹Les communautés doivent:

a.

veiller à l’application des art. 1 et 2, al. 2;

b.

veiller à ce que les données médicales des dossiers électroniques soient sauvegardées séparément des autres données;

c.

veiller à ce que le procédé de chiffrement utilisé pour l’enregistrement et le transfert des données soit conforme aux progrès techniques;

d.

veiller à ce que les données saisies dans le dossier électronique du patient par les professionnels de la santé soient détruites au bout de vingt ans;

e.

veiller, en cas de suppression du dossier électronique en application de l’art. 21, à ce que toutes les données du dossier soient détruites.

²À la demande du patient, elles doivent veiller au surplus à ce que:

a.

certaines données médicales le concernant ne soient pas enregistrées dans son dossier électronique;

b.

des données soient exclues de la procédure de destruction visée à l’al. 1, let. d;

c.

certaines données médicales le concernant figurant dans son dossier électronique soient détruites.

³Le DFI fixe les prescriptions techniques et organisationnelles relatives à la tenue et au transfert des données du dossier. Il règle en particulier:

a.

les métadonnées à utiliser;

b.

les formats d’échange à utiliser;

c.

les profils d’intégration à utiliser;

d.

les prescriptions relatives aux historiques.

⁴Il peut décider de faire publier les prescriptions visées à l’al. 3 dans la langue d’origine et de ne pas les faire traduire dans les autres langues officielles.

⁵Il peut habiliter l’Office fédéral de la santé publique (OFSP) à adapter aux progrès techniques les prescriptions visées à l’al. 3.

Le DFI fixe les exigences applicables au portail d’accès destiné aux professionnels de la santé, notamment pour la mise à disposition et la consultation des données ainsi que pour l’accessibilité.

¹Les communautés doivent se doter d’un système de gestion de la protection et de la sécurité des données adapté aux risques. Ce système doit comprendre les éléments suivants en particulier:

a.

un système de détection et de gestion des incidents de sécurité;

b.³

un inventaire des moyens informatiques et un registre des activités de traitement;

c.

les exigences relatives à la protection et à la sécurité des données imposées aux institutions de santé et aux tiers affiliés à la communauté.

²Les communautés désignent un responsable de la protection et de la sécurité des données.

³Elles sont tenues de signaler à l’OFSP tout incident ayant une influence sur la sécurité survenu dans le système de gestion de la protection et de la sécurité des données.

⁴Le DFI fixe les exigences techniques et organisationnelles applicables à la protection et à la sécurité des données.

⁵Les supports de données doivent se trouver en Suisse et être régis par le droit suisse.

Les communautés doivent désigner un service d’assistance chargé d’aider les professionnels de la santé à utiliser le dossier électronique.

Les communautés de référence doivent observer les prescriptions énoncées dans la présente section en plus de celles énoncées dans la section 1.

¹Avant d’ouvrir un dossier électronique, la communauté de référence est tenue d’informer le patient sur les points suivants en particulier:

a.

le but du dossier électronique;

b.

le traitement des données;

c.

les conséquences du consentement, la possibilité de le révoquer et les conséquences de la révocation;

d.

l’attribution des droits d’accès.

²Elle doit recommander au patient des mesures de protection et de sécurité des données.

La communauté de référence doit obtenir le consentement du patient à la constitution d’un dossier électronique. La déclaration de consentement doit:

a.

porter la signature manuscrite du patient ou sa signature électronique qualifiée arborant un horodatage qualifié au sens de la loi du 18 mars 2016 sur la signature électronique⁵, ou

b.

être confirmée par le patient à l’aide d’un moyen d’identification émis par un éditeur certifié au sens de l’art. 31.

¹Les communautés de référence doivent:

a.

régler les modalités d’ouverture, de gestion et de suppression du dossier électronique;

b.

identifier les patients;

c.

veiller à ce que les patients et leurs représentants accèdent au dossier électronique en s’authentifiant avec un moyen d’identification émis par un éditeur certifié au sens de l’art. 31;

d.

demander les numéros d’identification des patients;

e.

prévoir des procédures régissant le changement de communauté de référence.

²Elles doivent veiller à la mise en œuvre de l’art. 2, al. 1 et 3, et des art. 3 et 4.

Le DFI fixe les exigences applicables au portail d’accès destiné aux patients, en particulier:

a.

pour la mise en œuvre des art. 1 à 4, notamment la présentation de la composition des groupes de professionnels de la santé;

b.

pour la présentation des historiques;

c.

pour la saisie et la consultation de données;

d.

pour l’accessibilité.

Le DFI fixe les exigences applicables à l’utilisation des données médicales saisies par les patients.

Les communautés de référence doivent désigner un service d’assistance chargé d’aider les patients à utiliser leur dossier électronique.

¹La communauté de référence supprime le dossier électronique du patient lorsque le patient révoque son consentement à la tenue du dossier électronique. La déclaration de révocation doit être conservée pendant dix ans.

²La communauté de référence peut supprimer un dossier électronique au plus tôt deux ans après le décès du patient.

³Lorsqu’une communauté de référence a supprimé un dossier électronique du patient, elle doit, dans un délai approprié, supprimer tous les droits d’accès au dossier et informer toutes les communautés ainsi que la CdC.

¹Les communautés et les communautés de référence sont tenues de mettre régulièrement à la disposition de l’OFSP des données utilisant des pseudonymes pour l’évaluation visée à l’art. 18 LDEP.

²Le DFI fixe les données à fournir et les délais.

³L’OFSP peut traiter les données visées à l’art. 39 à des fins d’évaluation et de recherche.

⁴Il peut demander aux organismes de certification ou aux organismes titulaires d’un certificat les documents nécessaires à la certification ou au renouvellement de la certification.