Wortlaut

Je prie le Conseil fédéral de répondre aux questions suivantes :

1. Dans le message concernant la loi fédérale sur le dossier électronique du patient (LDEP), les coûts de la certification d'une communauté de référence sont estimés à 100 000 francs. Est-il vrai que les coûts effectifs peuvent atteindre jusqu'à 1 million de francs ?

2. Pourquoi les critères techniques et organisationnels de certification applicables aux communautés et aux communautés de référence (CTO) et d'autres prescriptions en matière de certification ont-ils été modifiés au cours de la procédure de certification ? Est-il vrai que l'OFSP, l'organisme accrédité et les organismes de certification continuent de discuter, au-delà du 15 avril 2020, de la conception des contrôles et de leur étendue ? Quand les prescriptions définitives seront-elles disponibles ?

3. Est-il vrai que les organismes de certification doivent soumettre des infrastructures fournies par les prestataires techniques, qui ont déjà été dûment contrôlées par des professionnels, à des contrôles de sécurité techniques supplémentaires ?

4. Quand le Conseil fédéral espère-t-il que la première communauté de référence et la dernière communauté de référence auront obtenu leur certification ?

5. Combien coûte, en l'état actuel des connaissances, la constitution, la certification et l'exploitation d'une communauté de référence ? Quelles sont les conséquences de l'augmentation des coûts de certification pour le financement des communautés de référence ?

6. Les coûts de la constitution d'une communauté de référence ont fortement augmenté en raison des exigences accrues auxquelles la certification est soumise. Que fait le Conseil fédéral pour protéger les investissements de départ et pour empêcher que des communautés de référence ne doivent mettre fin à leurs activités ? En cas de cessation d'activités ou de fusion avec une autre communauté de référence, les investissements de départ doivent-ils être remboursés ?

7. Des identités électroniques certifiées destinées au dossier électronique du patient sont-elles disponibles et combien coûtent-elles ? Toutes les communautés de référence disposent-elles désormais d'identités électroniques certifiées pour les patients et pour les professionnels de la santé ?

8. Que pense le Conseil fédéral du fait qu'il serait suffisant de ne certifier que l'exploitant de la plateforme pour assurer la sécurité ?

Begründung

En vertu de la LDEP, tous les hôpitaux de soins aigus, les cliniques de rééducation et les établissements proposant des traitements psychiatriques avec hospitalisation devaient avoir adhéré à une communauté de référence certifiée au 15 avril 2020. Ce délai a dû être reporté parce que la certification des communautés de référence n'est pas encore terminée. Un mois environ avant l'échéance du délai, le DFI a publié la dernière mise à jour des CTO.

Stellungnahme des Bundesrates

La loi fédérale sur le dossier électronique du patient (LDEP ; RS 816.1) dispose que les communautés de référence et les communautés doivent être certifiées dans le but d'assurer, d'une part, la protection et la sécurité des données et, d'autre part, l'interopérabilité technique et sémantique. La certification d'organismes, d'applications logicielles et d'infrastructures informatiques à un tel niveau de complexité n'avait encore jamais eu lieu en Suisse. Sans expérience similaire sur laquelle se fonder, il n'a ainsi pas été possible de définir ou de prédire précisément dans le message concernant la LDEP (FF 2013 4747) les aspects temporels et financiers. Les années qui se sont écoulées depuis l'adoption puis l'entrée en vigueur de la LDEP ont mis en évidence que toutes les parties prenantes avaient sous-estimé cette complexité. Il est exact que l'Office fédéral de la santé publique (OFSP) a dû, de ce fait, procéder à quelques adaptations mineures des règles régissant la certification. Toutefois, ces adaptations n'ont jamais été importantes et tous les acteurs concernés, en particulier les organismes de certification et les communautés de références, ont toujours été informés de manière transparente et impliqués dans les discussions et les prises de décision.

1. Les coûts liés à la certification ont été sous-estimés par toutes les parties prenantes lors de la phase préparatoire. L'OFSP n'a pas connaissance pour l'heure des coûts concrètement engagés. On peut partir du principe que, dans certains cas, l'estimation de 100 000 francs a été clairement dépassée.

2. Toutes les bases légales relatives à la certification sont disponibles et connues depuis longtemps. La dernière révision des annexes de l'ordonnance du DFI du 22 mars 2017 sur le dossier électronique du patient (ODEP-DFI ; RS 816.111), entrée en vigueur le 15 avril 2020, est à l'avantage des communautés de référence ; en effet, cette révision a permis de lever des imprécisions concernant la procédure de certification.

3. Le contrôle des infrastructures s'effectue dans les limites du champ d'application pertinent pour la LDEP. La décision de soumettre les " infrastructures qui ont déjà été contrôlées " à une vérification dépend de l'appartenance ou non des éléments de l'infrastructure au champ d'application.

4. La planification actuelle prévoit que la première certification ait lieu à l'automne 2020. D'autres communautés de référence seront certifiées avant la fin de l'année 2020. La dernière certification devrait être délivrée mi-2021.

5. La planification des coûts est de la responsabilité des communautés de référence, qui, compte tenu de leur structure et de leur degré d'aboutissement, vont parvenir à des ordres de grandeur différents. Pour l'heure, il n'existe aucun élément fiable permettant de répondre à la question posée.

6. L'OFSP accompagne et soutient les communautés de référence depuis le début des travaux de mise en oeuvre. Pendant les trois premières années qui ont suivi son entrée en vigueur, les investissements de départ étaient régis dans la LDEP elle-même (art. 20 à 23) et étaient octroyés conformément aux articles concernés. En cas de fusion avec une autre communauté de référence, les moyens reçus comme investissements de départ ne doivent pas être remboursés. En cas de cessation d'activités, il faudrait étudier l'éventualité de non-exécution du contrat.

7. Pour le moment, deux éditeurs de moyens d'identification sont certifiés au sens de la LDEP. Les coûts font partie des accords passés individuellement entre les éditeurs et les communautés de référence et, par conséquent, ne sont pas publics. La création de moyens d'identification relève de la responsabilité des communautés de référence. À notre connaissance, toutes les communautés de référence auront passé un contrat de ce type d'ici au lancement.

8. Les communautés de référence sont les prestataires du DEP. Elles sont ainsi responsables de la mise en oeuvre des dispositions de la LDEP, en particulier celles concernant la protection et la sécurité des données. Les exploitants des plates-formes sont chargés d'assurer certaines prestations dans le cadre de l'exploitation par les communautés de références. Vérifier la mise en oeuvre de toutes les dispositions de la LDEP exige donc impérativement de contrôler et de certifier la communauté de référence. Le principe d'une certification des plates-formes peut être discuté. Toutefois, une telle certification nécessiterait de réviser la LDEP.

Réponse du Conseil fédéral.