Message concernant la loi fédérale sur le dossier électronique de santé

Art. 1 But et objet

Al. 1

Le DES poursuit deux objectifs principaux: d’une part, permettre aux titulaires d’accéder en tout temps à leurs données pertinentes pour un traitement médical et, d’autre part, leur permettre de mettre ces données à la disposition de tous les professionnels de la santé et établissements de santé impliqués dans un traitement. Ces derniers ont ainsi accès, dans la mesure du possible, à toutes les informations pertinentes pour assurer une prise en charge optimale. Le DES vise à améliorer la qualité de la prise en charge médicale et des processus thérapeutiques, à augmenter la sécurité des patients, à accroître l’efficacité du système de santé et à encourager le développement de la littératie en santé. Il contribuera ainsi à garantir des prestations de santé de haute qualité et à maîtriser les coûts dans le domaine de l’assurance-maladie.

Al. 2

Les dispositions de la LDSan régissent le contenu du système d’information DES et les conditions d’accès à celui-ci (let. a), l’infrastructure technique et les traitements de données correspondants (let. b), l’ouverture et la suppression d’un DES et le changement de communauté (let. c), et les tâches obligatoires des acteurs concernés (let. d).

Art. 2 Définitions

Le projet de loi se fonde sur les définitions suivantes:

• a. professionnel de la santé

• Selon le ch. 1, sont considérés comme professionnels de la santé civils tous les groupes professionnels du secteur de la santé disposant d’une formation reconnue au niveau fédéral ou cantonal et qui, dans l’exercice de leur activité, effectuent ou prescrivent notamment des examens, des traitements médicaux ou des mesures de prévention, ou qui remettent des produits thérapeutiques dans ce cadre. Le terme «traitement médical» employé dans le texte normatif doit être interprété au sens large. Pour exercer leur profession sous leur propre responsabilité, la plupart de ces groupes professionnels ont besoin d’une autorisation de l’autorité cantonale de surveillance compétente ou sont soumis à l’obligation de déclaration. La notion de «professionnels de la santé» englobe aussi bien les professionnels de la santé exerçant sous leur propre responsabilité professionnelle que ceux exerçant sous la supervision d’un tiers. Le fait que les professionnels de la santé soient ou non autorisés à facturer à la charge des assurances sociales n’a ici aucune incidence.

• Par rapport à la législation en vigueur, la définition de «professionnel de la santé» a été étendue aux professionnels qui fournissent des traitements médicaux et exercent d’autres activités dans le cadre du système de santé militaire (ch. 2). Sont considérés comme tels les professionnels relevant de l’art. 34a, al. 1, de la loi fédérale du 3 février 1995 sur l’armée et l’administration militaire (LAAM)⁴⁶. Ils ne peuvent pas se raccorder à des communautés, celles-ci étant généralement organisées dans le secteur privé, raison pour laquelle le Groupement Défense du Département fédéral de la défense, de la protection de la population et des sports (DDPS) assume ici un rôle de coordination (cf. art. 29). La loi fait ainsi une distinction entre professionnels de la santé civils et militaires.

• Au sens de la présente loi, le personnel auxiliaire ne fait pas partie de la catégorie des professionnels de la santé (cf. art. 26). Il comprend par exemple les assistants médicaux, les assistants en pharmacie, les soldats du système de santé militaire ayant suivi une formation et une formation continue spéciales, ainsi que les stagiaires. Ces personnes peuvent toutefois accéder à un DES si elles agissent pour le compte d’un professionnel de la santé ou d’un établissement de santé. C’est pourquoi elles doivent aussi s’identifier personnellement (cf. art. 10).

• b. établissement de santé

• Comme pour les professionnels de la santé, la loi fait une distinction entre établissements de santé civils et militaires.

• Un établissement de santé civil au sens du ch. 1 est une personne morale de droit public ou privé au sein de laquelle des professionnels de la santé appliquent des traitements médicaux ou remettent des produits thérapeutiques dans le cadre d’un traitement médical; il est ainsi tenu compte du fait que, dans certains cas, ce sont des établissements et non des professionnels de la santé individuels qui sont responsables de la documentation des données pertinentes pour un traitement médical.

• Le ch. 2 mentionne les établissements de santé militaires (qui relèvent de l’art. 34a, al. 1, LAAM). L’objectif est d’offrir la possibilité d’un regroupement de professionnels du système de santé militaire, par exemple dans des centres de recrutement.

Art. 3 Application de la loi aux professionnels de la santé et aux établissements de santé

Al. 1

D’une part, la let. a précise que les obligations des professionnels de la santé civils et des établissements de santé civils relevant de la LDSan s’appliquent lorsque le professionnel de la santé ou l’établissement de santé doit se raccorder au système d’information DES en vertu de la législation fédérale ou cantonale. Il s’agit des fournisseurs de prestations visés par la LAMal, la LAI, la LAA et la LAM. De plus, compte tenu de leurs attributions dans le domaine de la santé, les cantons peuvent soumettre à cette obligation d’autres professionnels de la santé et établissements de santé compétents pour le traitement médical des patients.

D’autre part, la let. b précise que les obligations relevant de la LDSan s’appliquent également aux professionnels de la santé et aux établissements de santé qui se sont raccordés volontairement au système d’information DES (cf. art. 25, al. 1).

Al. 2

Les obligations prévues ne s’appliquent aux professionnels de la santé et aux établissements de santé du système de santé militaire que s’ils sont raccordés au système d’information DES (cf. art. 29, al. 1). Par ailleurs, il existe d’autres différences par rapport aux professionnels de la santé et établissements de santé civils, notamment le fait que les professionnels de la santé et établissements de santé militaires ne sont pas tenus d’adhérer à une communauté (art. 25, al. 2). En outre, la saisie de données par de tels professionnels et établissements requiert le consentement explicite du titulaire du DES (art. 14, al. 2). Enfin, le Groupement Défense du DDPS peut exclure toute saisie de données dans le DES par les services de santé militaires dans certaines situations ou pour certains membres de l’armée lorsque des intérêts prépondérants en matière de sécurité et de maintien du secret l’exigent (art. 29, al. 2).

Art. 4 Coûts

Le DES est en principe gratuit pour tous les titulaires, ce qui inclut en particulier l’ouverture, la gestion – y compris l’assistance de la communauté compétente – et la suppression du DES, ainsi que tout changement de communauté. De même, pour la procédure d’ouverture automatique avec droit d’opposition, aucune taxe ni aucun autre coût ne peut être imposé aux personnes concernées, qu’elles aient exercé ou non leur droit d’opposition.

Pour accéder eux-mêmes à leur DES, les titulaires doivent disposer d’un moyen d’authentification. L’e-ID offre à cet égard une solution adaptée; elle sera mise à disposition par la Confédération et sera en principe gratuite pour la population (cf. art. 31, al. 3, de la loi du 20 décembre 2024 sur l’e-ID [LeID]⁴⁷). Des frais afférents à l’e-ID peuvent cependant être encourus si l’identification n’est pas effectuée en ligne mais par un service cantonal et que le canton prévoit une taxe à cette fin, ou si elle doit être effectuée auprès d’une représentation consulaire à l’étranger. Le Conseil fédéral peut en outre autoriser d’autres moyens d’authentification pour l’utilisation dans le domaine du DES (cf. art. 10, al. 2); dans ce cas toutefois, il n’incombe pas à la Confédération de garantir la gratuité de ces moyens d’authentification, c’est-à-dire que tous les coûts qui en découlent doivent être supportés par les personnes qui y recourent. La même règle s’applique aux moyens d’identification prévus pour le DEP actuel, qui, en vertu de l’art. 46, al. 6, du présent projet, permettent également d’accéder au DES pendant une certaine période.

Art. 5 Exploitation et contenu

Al. 1

L’exploitation du système d’information DES relève de la compétence de la Confédération. Contrairement à la législation en vigueur, selon laquelle les communautés et communautés de référence, organisées de manière décentralisée, sont responsables de l’exploitation de l’infrastructure informatique nécessaire au DEP, la nouvelle loi prévoit que l’exploitation du système d’information central nécessaire au DES relève de la compétence de la Confédération. Elle peut assurer cette exploitation elle-même ou la confier à un mandataire agissant pour son compte. En revanche, le projet ne prévoit pas la possibilité de déléguer cette tâche à un tiers chargé de l’exécuter de manière indépendante.

Par conséquent, le financement du système d’information DES incombe en principe à la Confédération (cf. toutefois l’art. 9, al. 2). À ce titre, elle est aussi responsable des opérations de traitement de données nécessaires au bon fonctionnement du système d’information. Cette responsabilité concerne en particulier la réception, la conservation et la mise à disposition des données dans un DES. L’architecture du système d’information doit être conçue de manière à réduire au minimum les risques en matière de protection et de sécurité des données – notamment en séparant les données au niveau logique et même physique lorsque cela est possible (cf. ch. 7.7) –, à veiller à ce que chaque accès soit authentifié (cf. art. 10) et à assurer que ces accès soient intégralement consignés (cf. art. 6).

Al. 2

Le système d’information est constitué de l’ensemble des composants informatiques nécessaires à l’exploitation d’un produit numérique, en l’occurrence tous les éléments nécessaires à l’exploitation du DES. Le système d’information DES est composé des éléments informatiques présentés ci-dessous:

Le DES (let. a) traite les données personnelles et notamment les données concernant la santé des titulaires (cf. al. 3). Le système d’information permet aux titulaires, aux professionnels de la santé et aux établissements de santé d’accéder au DES et donc d’y effectuer des traitements de données. Cette possibilité est notamment garantie par la mise à disposition d’interfaces applicatives standardisées ou, faute d’utilisation de celles-ci, par un portail d’accès utilisable dans un navigateur Internet, en particulier pour les professionnels de la santé et les établissements de santé. Une application optimisée pour les appareils mobiles est également prévue pour accéder au DES.

L’annuaire des professionnels de la santé et des établissements de santé prévu à la let. b contient les données personnelles des professionnels de la santé, y compris leurs qualifications professionnelles, et un ou plusieurs identifiants. Comme il s’agit de données personnelles qui, bien qu’elles ne soient pas sensibles, sont en partie accessibles à tous les titulaires dans le DES (cf. art. 11, al. 1, let. e), cet annuaire est expressément mentionné dans la loi.

Pour assurer l’efficacité technique de l’exploitation du système d’information DES, l’utilisation de métadonnées uniformes est indispensable. C’est la seule façon de garantir l’interopérabilité entre le système d’information DES et les systèmes informatiques des professionnels de la santé et des établissements de santé qui y sont raccordés. C’est pourquoi la Confédération exploitera un service de recherche des métadonnées (ou de recherche de prescriptions sémantiques) qui ne contiendra, pour autant qu’on puisse le prévoir aujourd’hui, aucune donnée personnelle.

Al. 3

Cette disposition définit les données qui peuvent figurer dans un DES. Il peut notamment s’agir de données sensibles (let. c et d).

Le DES comporte tout d’abord des données du titulaire qui ne sont pas sensibles: selon la let. a, le système d’information DES contient les données relatives à l’identité du titulaire, soit l’ensemble des données figurant dans le registre central des assurés de la CdC pour chaque personne à laquelle est attribué un numéro AVS (nom de famille, prénom, sexe, date de naissance, etc.; cf. art. 17, al. 2). Ces données sont reprises telles quelles du registre central des assurés, ce qui garantit leur concordance avec les autres registres officiels. La personne concernée doit par conséquent s’adresser à l’autorité compétente pour rectifier ces données (cf. art. 8, al. 1, let. a).

Selon la let. b, le système d’information DES peut en outre comporter les coordonnées des titulaires, pour autant que ces derniers les aient saisies. Il s’agit par exemple de l’adresse postale, de l’adresse électronique et d’un numéro de téléphone. Ces coordonnées sont nécessaires pour que les titulaires puissent être informés des opérations qui concernent leur DES. Ainsi, ils peuvent par exemple recevoir des notifications automatiques sous forme électronique, notamment pour les données nouvellement saisies par les professionnels de la santé et les établissements de santé, ou pour ce qui concerne les droits d’accès nouvellement octroyés.

Par ailleurs, d’autres données des titulaires figurant dans le DES sont sensibles (let. c). Elles peuvent être enregistrées dans le DES par des professionnels de la santé et des établissements de santé, par des applications numériques de santé ou par le titulaire lui-même. Le système d’information DES, qui est le dépôt central des données pertinentes pour un traitement médical, peut donc comprendre notamment la documentation suivante: médicaments prescrits, rapports (p. ex. rapports de sortie, documents de transmission, rapports d’opération, rapports de consilium), anamnèses (p. ex. anamnèse familiale ou sociale), résultats (p. ex. examens de laboratoire, résultats radiologiques), informations sur les allergies, les intolérances et les vaccinations, prescriptions de prestations d’autres spécialistes (p. ex. physiothérapie, «déclaration des soins requis» des services d’aide et de soins à domicile).

Ces documents, comme d’autres qui figurent dans un DES, contiennent généralement des données sur la santé susceptibles d’inclure des données génétiques. D’autres données sensibles sont aussi traitées indirectement, car des données sur la santé et des données génétiques permettent parfois de déduire des données biométriques ou des informations concernant la sphère intime ou l’appartenance à une race ou à une ethnie.

Conformément à la let. d, un DES peut également comporter des données sensibles de parents et de proches du titulaire, qui peuvent être traitées en conséquence. Cette clarification est nécessaire car, dans certaines situations, les données pertinentes pour un traitement médical peuvent inclure des informations sur ces personnes (p. ex. anamnèse sociale renseignant sur la situation familiale, ou informations sur des parents en cas de maladies héréditaires).

Al. 4

Le système d’information DES doit pouvoir s’appuyer sur des informations fiables concernant l’identité des titulaires. Les données nécessaires sont extraites du registre DES, que la CdC tient de manière centralisée (cf. art. 17). Si ces informations étaient extraites des systèmes informatiques décentralisés des cabinets médicaux et des hôpitaux, il y aurait un risque de données contradictoires, notamment lorsque les noms sont orthographiés différemment ou si la date de naissance est saisie incorrectement. De plus, la qualité des données extraites du registre DES bénéficie du fait que la CdC tient également le registre central des assurés et peut ainsi s’appuyer sur une base de données existante.

Al. 5

En vertu de cette disposition, la Confédération est en droit de traiter toutes les données figurant dans le système d’information DES, y compris les données sensibles, pour autant que ce soit nécessaire au bon fonctionnement du système d’information DES. Ce traitement comprend notamment la réception de données (sensibles) fournies par la personne concernée, par le professionnel de la santé, par l’établissement de santé ou par une application numérique de santé, leur stockage et leur conservation dans le système d’information, et leur éventuelle mise à la disposition de professionnels de la santé ou d’établissements de santé, avec le consentement de la personne concernée. Pour garantir le bon fonctionnement du système d’information DES, la Confédération peut aussi effectuer les rectifications de données nécessaires en cas de besoin (cf. art. 8, al. 5). En revanche, la Confédération n’est pas tenue de rectifier les données, notamment lorsqu’il s’agit de données médicales ou relatives à la santé; aucune base légale n’est donc créée ici pour le traitement de ces données.

Al. 6

Cette disposition confère au Conseil fédéral la compétence d’ouvrir à d’autres milieux intéressés l’accès au service de recherche de métadonnées et à l’annuaire des professionnels de la santé et des établissements de santé. Les métadonnées utilisées dans le DES et les prescriptions sémantiques relatives aux contenus des formats de données structurés, comme celles relatives à la remise de médicaments, doivent être accessibles au public, afin qu’elles puissent faire l’objet d’une exploitation étendue dans le domaine de la santé: les fournisseurs de systèmes d’information cliniques pourront par exemple les utiliser ou les intégrer dans leurs logiciels. La possibilité d’ouvrir l’annuaire et le service en question contribue donc également à mettre en œuvre le principe des données ouvertes (art. 10 LMETA). Lorsqu’il édictera les dispositions d’exécution, le Conseil fédéral examinera s’il existe un intérêt public à cette accessibilité et évaluera les risques qui y sont associés.

Al. 7

Des données sensibles au sens de l’art. 5, let. c, de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)⁴⁸ sont traitées dans le système d’information DES. Il est donc essentiel d’appliquer des normes particulièrement élevées en matière de protection et de sécurité des données. Pour le garantir, cette disposition prescrit que toutes les données du système d’information DES doivent être conservées en Suisse et soumises au droit suisse.

La Confédération est responsable du respect de la protection des données, de la sécurité des données et de la sécurité de l’information dans les systèmes d’information dont l’exploitation relève de sa compétence. Ses obligations sont régies par les dispositions de la LPD et de la LSI. Cependant, il est à noter que l’objectif premier du DES est de mettre à la disposition des titulaires, des professionnels de la santé et des établissements de santé un système d’information qu’ils peuvent utiliser pour consulter et saisir des données pertinentes pour un traitement médical. La Confédération est donc responsable en premier lieu du stockage et de la conservation des données. Il arrive régulièrement que la responsabilité concernant le traitement des données soit partagée (art. 33 LPD), par exemple lorsque des professionnels de la santé ou des établissements de santé saisissent dans le système d’information DES des données issues du dossier médical d’une personne et pertinentes pour son traitement médical. Cette disposition ne rend pas la Confédération seule responsable de tous les traitements de données.

Art. 6 Historique des traitements de données

Cet article impose à la Confédération de consigner intégralement les traitements de données effectués dans le système d’information DES. Les données consignées ne contiennent pas de données médicales, mais uniquement des références aux personnes et aux opérations de traitement qu’elles ont déclenchées dans le DES, en particulier la consultation de données et leur saisie. La consignation des données vise à assurer la traçabilité des différentes opérations et ainsi à protéger les personnes dont les données sont traitées. Les titulaires ont donc la possibilité de consulter dans le système d’information DES certaines données consignées qui concernent leur propre DES. Elles peuvent aussi les consulter en s’adressant à une communauté.

Le Conseil fédéral fixera la durée de conservation des données consignées. En règle générale, elles devraient être disponibles pendant dix ans, mais des délais de conservation plus courts sont aussi envisageables, notamment en cas de suppression d’un DES. Lorsqu’un DES est supprimé, les données consignées sont effacées en même temps que les autres données du DES (cf. art. 24, al. 3).

Conformément à l’art. 4, al. 5, de l’ordonnance du 31 août 2022 sur la protection des données⁴⁹, le Conseil fédéral doit prévoir un système séparé pour stocker les données consignées afin de garantir que celles-ci ne puissent pas non plus être manipulées, par exemple en cas de cyberattaque.

Les titulaires peuvent consulter les données consignées, mais seulement dans la mesure nécessaire pour contrôler les accès à leur DES. Par exemple, il n’est généralement pas nécessaire de consulter un historique précis à la seconde près des accès d’un professionnel de la santé ou d’un établissement de santé (cf. le commentaire de l’art. 11, al. 1, let. b).

Art. 7 Prescriptions techniques

Cette disposition confère au Conseil fédéral la compétence de définir les bases nécessaires concernant la transmission des données au système d’information DES. Sont concernés notamment la définition des interfaces et les autres aspects techniques, dont la fixation des normes, des standards, des formats de données et des profils d’intégration à utiliser. La notion de «normes et standards» désigne un langage commun, c’est-à-dire des prescriptions techniques, syntaxiques et sémantiques permettant la coopération interorganisationnelle, ou interopérabilité. Par formats de données, on entend notamment les formats d’échange, soit des normes courantes et répandues pour les données de santé structurées (p. ex. FHIR), qui permettent d’échanger des données de manière interopérable entre les applications et les systèmes exploités par différents établissements. Parmi les exemples de formats d’échange déjà prévus par la LDEP, citons «eVaccination», «eMédication» et «eAllergiesintolérances». Une fois que le Conseil fédéral a défini des formats d’échange, ceux-ci doivent obligatoirement être utilisés par les professionnels de la santé et les établissements de santé après une phase de transition appropriée pour leur mise en œuvre. Les profils d’intégration sont indispensables pour raccorder les systèmes primaires des professionnels de la santé et des établissements de santé (profils de la norme «Integrating the Healthcare Enterprise» et leurs adaptations nationales). Ils servent aussi à raccorder les applications numériques de santé.

Ces prescriptions doivent être respectées dans le cadre des communications avec le système d’information DES. Leur mise en œuvre incombe en premier lieu aux professionnels de la santé et aux établissements de santé lors de la saisie de données dans un DES via un système primaire, et aux éditeurs d’applications numériques de santé. Ceux-ci sont également tenus de respecter les exigences en matière de protection et de sécurité des données dans leur propre domaine de compétence. La Confédération veille elle-même au respect des prescriptions dans le système d’information DES.

Art. 8 Rectification des données

En tant que responsable de l’exploitation du système d’information DES, la Confédération est en principe responsable des éventuelles rectifications des données traitées dans ce système. Cette disposition définit les exceptions à ce principe (al. 1 à 4) et limite la compétence de la Confédération aux rectifications de données nécessaires au bon fonctionnement du système d’information DES (al. 5). Ces prescriptions priment les dispositions générales de l’art. 41 LPD.

Al. 1

Les données relatives à l’identité d’une personne, visées à l’art. 5, al. 3, let. a (nom de famille, nom de célibataire, prénoms, sexe et date de naissance), ne peuvent être corrigées que sur demande adressée à l’autorité compétente (let. a)⁵⁰. Conformément au principe de saisie unique des données (once only), le système d’information DES reprend les données du registre central des assurés, qui reçoit lui-même ces données et les éventuelles rectifications via les registres des habitants tenus par les cantons ou d’autres registres officiels de personnes. Cette approche permet d’éviter toute divergence entre les données personnelles officielles et celles figurant dans le DES.

En vertu de la let. b, le titulaire d’un DES doit effectuer les éventuelles rectifications concernant ses coordonnées. Cette disposition se justifie par le fait que ces données sont saisies par le titulaire lui-même et ne sont pas absolument nécessaires à l’exploitation et à l’utilisation du DES (cf. art. 5, al. 3, let. b). Les coordonnées peuvent être utilisées pour recevoir certaines notifications concernant des opérations dans le DES (p. ex. notification automatique de nouvelles données saisies par un professionnel de la santé). Aucune obligation d’inscrire ces coordonnées n’est prévue, conformément au principe de minimisation des données.

La rectification des données sensibles pertinentes pour un traitement médical, c’est-à-dire des données visées à l’art. 5, al. 3, let. c et d, relève de la compétence du professionnel de la santé ou de l’établissement de santé qui a saisi les données (let. c).

Al. 2

Cette disposition prévoit que les professionnels de la santé ou les établissements de santé procèdent en principe aux rectifications en saisissant une nouvelle version du document ou de l’entrée en question avec les données correctes (gestion des versions). Cette disposition respecte le principe qui s’applique également à la rectification de la documentation primaire ou du dossier médical. Pour le titulaire, cette rectification est visible dans le système d’information DES, car il a accès à toutes les versions déposées. De plus, la rectification est consignée dans un historique, comme tout traitement de données effectué dans le système d’information DES.

Al. 3

En revanche, si le professionnel de la santé ou l’établissement de santé saisit par erreur dans un DES des données qui n’appartiennent pas à son titulaire, il est tenu de les supprimer immédiatement. Cette disposition permet de s’assurer que les erreurs dans l’attribution des données aux personnes peuvent être corrigées par le professionnel ou l’établissement lui-même. Cette rectification est également consignée dans un historique pour en permettre la traçabilité.

Al. 4

Cette disposition tient compte du fait que les données pertinentes pour un traitement médical comprennent, entre autres, des évaluations effectuées par les professionnels de la santé concernés. Il s’agit d’appréciations professionnelles qui, parfois, ne sont pas entièrement partagées par les titulaires d’un DES. Si un titulaire ne parvient pas à s’entendre avec un professionnel de la santé ou un établissement de santé quant à l’exactitude de données qui le concernent, il a – par analogie avec les dispositions de la LPD – le droit explicite d’insérer une note de contestation dans son DES. Cette règle vaut aussi si le professionnel de la santé ou l’établissement de santé n’est plus en activité. Le titulaire a également la possibilité de supprimer des données (cf. art. 11, al. 1, let. d), à condition qu’il ne s’agisse pas d’un cas visé à l’art. 11, al. 6 (ensembles de données désignés par le Conseil fédéral, dont les données ne peuvent pas être supprimées individuellement; cf. cet article).

Al. 5

Enfin, il faut créer une base légale permettant les rectifications de données nécessaires pour que le système d’information DES remplisse sa fonction. Cette compétence de la Confédération est subsidiaire par rapport aux compétences et aux obligations prévues aux al. 1 à 4. La Confédération peut effectuer les rectifications de données requises pour garantir le bon fonctionnement du système d’information DES, y compris celles de données sensibles. Cette disposition s’applique par exemple à la suppression de données que des professionnels de la santé ou des établissements de santé ont saisies par erreur dans le DES d’une autre personne, si ceux-ci ne sont plus en mesure d’effectuer l’opération eux-mêmes (p. ex. cessation d’activité, décès). Ces rectifications doivent être limitées au strict minimum et réservées un cercle restreint de personnes (les administrateurs du système).

Art. 9 Financement

La prise en charge des coûts de mise en service, d’exploitation et de développement du système d’information DES tient compte du fait que même s’il s’agit d’une infrastructure informatique de la Confédération, le système d’information est avant tout utile aux soins de santé, un domaine qui relève de la compétence des cantons. Il est donc indiqué d’impliquer également les cantons dans le financement du système d’information DES.

Al. 1

La Confédération prend en charge les coûts de mise en service et de développement du système d’information DES (cf. ch. 6 Conséquences financières pour la Confédération). Les coûts de mise en service comprennent notamment les coûts d’acquisition de l’infrastructure, y compris ceux liés à l’acquisition éventuelle de licences et de services externes. En font également partie les coûts de migration des données des DEP existants ou, éventuellement, des services de recherche de données, comme le Health Provider Directory. En outre, la Confédération prend en charge les coûts liés au développement du système d’information DES. Par développement, on entend notamment les adaptations visant à améliorer les performances ou la convivialité du système, ou encore à en étendre les fonctionnalités. L’extension des fonctionnalités consiste par exemple à mettre en œuvre un nouveau format d’échange dans le système d’information DES, à implémenter de nouvelles technologies ou à adapter de toute autre manière ce système aux besoins du secteur de la santé.

La Confédération coordonne les développements avec les cantons et d’autres milieux intéressés. Il est ainsi prévu de consulter les cantons et les représentants de groupes d’intérêts, notamment des professionnels de la santé et des organisations de patients, lors de la planification de développements importants. À cet effet, il convient de recourir autant que possible aux structures et comités existants. Les auditions ne doivent toutefois pas retarder les développements dont la mise en œuvre doit être rapide. À noter que le développement du système d’information DES pourrait nécessiter une adaptation des bases légales, ce qui implique une consultation au sens de la loi du 18 mars 2005 sur la consultation⁵¹.

Al. 2

Les cantons supportent les coûts d’exploitation du système d’information DES. Ceux-ci comprennent tous les coûts récurrents nécessaires pour assurer de manière durable et sans interruption les fonctionnalités du système d’information DES, et pour assurer sa sécurité. Il s’agit notamment des coûts d’exploitation effectifs (p. ex. serveur, banques de données et services de stockage). Sont également incluses l’administration, la surveillance et la maintenance du système, la gestion de la sécurité et de la sauvegarde des données, y compris les ressources externes utilisées à cette fin. À ceux-ci s’ajoutent des dépenses récurrentes générées par la maintenance et l’entretien des logiciels, comme la correction d’erreurs (bugfixes) dans les fonctionnalités existantes, les mises à jour de sécurité, les correctifs (patches) et les mises à niveau mineures sans modifications des fonctionnalités. Les coûts de renouvellement de licence sont inclus, que ces logiciels aient été achetés pour la mise en place, l’exploitation ou le développement du système d’information DES. Enfin, les dépenses relatives à l’assistance technique pour les professionnels de la santé, les établissements de santé et les communautés fait aussi partie des coûts d’exploitation courants, tout comme les six équivalents plein temps de la Confédération (OFSP et OFCS) chargés d’assurer l’exploitation du système d’information DES.

La Confédération détermine la part d’un canton aux coûts d’exploitation du système d’information DES en fonction de sa population résidante permanente. La population résidante permanente d’un canton comprend tous les citoyens suisses ayant leur domicile principal dans ce canton, tous les ressortissants étrangers titulaires d’une autorisation de séjour ou d’établissement d’une durée d’au moins 12 mois (permis B, C, L, F ou N) et les personnes titulaires d’une carte de légitimation du Département fédéral des affaires étrangères (personnel diplomatique et autres personnes jouissant d’une protection en vertu du droit international public, et leurs familles).

Art. 10 Authentification

Al. 1

Cette disposition prévoit que toute personne qui veut accéder au système d’information DES doit s’authentifier auprès de celui-ci. Sont notamment concernés les titulaires d’un DES, les professionnels de la santé indépendants et employés, les auxiliaires des professionnels de la santé et des établissements de santé, les collaborateurs des communautés et le personnel de la Confédération qui s’occupe de l’exploitation du système d’information DES. Chaque moyen d’authentification doit pouvoir être relié à une seule personne. Ce principe exclut notamment l’utilisation de moyens d’authentification qui ne sont pas délivrés à un seul individu, comme ceux délivrés à plusieurs employés d’un établissement de santé. Le Conseil fédéral peut toutefois prévoir des exceptions pour la saisie de données, c’est-à-dire des accès en écriture seule, afin de permettre aux professionnels de la santé et aux établissements de santé de saisir automatiquement dans un DES des données pertinentes pour un traitement médical, réduisant au minimum leur charge administrative. Du point de vue de l’autodétermination en matière d’information des titulaires de DES et de la protection des données, l’accès en écriture seule est moins délicat que la consultation, car il ne permet pas d’accéder à d’autres données figurant dans le DES.

Cette disposition ne couvre pas les applications numériques de santé autorisées conformément à l’art. 16, car le titulaire doit leur accorder le droit de consulter ou de saisir des données dans son DES (cf. art. 11, al. 2, let. c).

Al. 2

Cet alinéa confère au Conseil fédéral la compétence de désigner les moyens d’authentification qui peuvent être utilisés pour accéder au système d’information DES. Il s’agit avant tout des moyens d’authentification qui sont réglementés par des lois fédérales ou cantonales. Pour accéder à leur DES, les titulaires peuvent en premier lieu utiliser l’e-ID prévue dans la LeID, en conjonction avec le service AGOV, prévu à l’art. 11, al. 3^bis, LMETA⁵². Pour les professionnels de la santé toutefois, l’accès au DES via l’e-ID requiert des mesures supplémentaires, comme une mise en relation avec leur diplôme de formation, une autorisation de pratiquer ou d’autres caractéristiques. C’est pourquoi le Conseil fédéral a aussi la possibilité de fixer les exigences et la procédure pour la reconnaissance d’autres moyens d’authentification. Cette disposition offre la flexibilité nécessaire pour prendre en compte les moyens d’authentification existants et futurs, et les différentes exigences relatives à leur utilisation dans le domaine du DES. Elle est aussi dans l’intérêt des personnes qui ont le droit d’ouvrir un DES ou qui en ont ouvert un, mais qui ne peuvent pas ou plus obtenir une e-ID. Les éventuels coûts afférents à d’autres moyens d’authentification doivent être supportés par les personnes qui y recourent. Afin de garantir la protection et la sécurité des données, le Conseil fédéral fixera, comme le prévoit aussi la législation en vigueur, les exigences minimales concernant le niveau de confiance que doivent offrir les moyens d’authentification qui peuvent être utilisés dans le domaine du DES mais qui ne sont pas déjà réglementés par la loi. La procédure de reconnaissance à définir garantira le respect des exigences matérielles concernant les moyens d’authentification.

Les moyens d’authentification fournis par les éditeurs certifiés conformément à la législation en vigueur peuvent également être utilisés pour accéder au DES pendant une phase transitoire de deux ans (cf. art. 46, al. 6).

Art. 11 Accès et gestion par les titulaires d’un dossier électronique de santé

Al. 1

Cet alinéa décrit les traitements de données que les titulaires peuvent effectuer dans le DES. Ces opérations peuvent être exécutées directement dans le système d’information DES, ou par l’intermédiaire des services d’assistance des communautés (cf. art. 31, al. 2). Dans ce cas, les employés des communautés doivent accéder au DES du titulaire à la demande de ce dernier, à l’aide de leur moyen d’authentification personnel.

Selon la let. a, les titulaires peuvent consulter leurs données dans le DES. Ils ont aussi la possibilité de télécharger des données dans un format électronique courant et de les stocker sur un support de données personnel en dehors du DES. Si le titulaire souhaite supprimer son DES, cette mesure lui permet d’en enregistrer au préalable les données sur un autre support.

La let. b prévoit que le droit de consultation des titulaires s’étend aux données consignées en rapport avec leur DES (cf. art. 6). Ils ont ainsi la possibilité de contrôler toutes les opérations de traitement de données dans leur DES. L’objectif n’est pas de permettre au titulaire de surveiller de manière exhaustive l’activité des professionnels de la santé et des établissements de santé, mais de lui permettre de s’assurer que le DES n’a pas fait l’objet d’accès non autorisés. Il suffit donc que les données consignées permettent cette vérification. Il serait disproportionné que les titulaires puissent consulter un historique précis à la seconde près des accès des professionnels de la santé et des établissements de santé. Le Conseil fédéral en tiendra compte dans les dispositions d’exécution.

La let. c précise que les titulaires peuvent saisir leurs propres données dans leur DES. Il peut s’agir par exemple de données pertinentes pour un traitement médical qui proviennent de l’étranger ou d’un professionnel qui n’est pas raccordé au système d’information DES. Cette disposition englobe aussi les données que les titulaires saisissent eux-mêmes concernant leur état de santé et les notes personnelles relatives aux données saisies par des professionnels de la santé. Les titulaires peuvent ajouter des notes personnelles dans le DES lorsqu’ils y saisissent leurs propres données, désignées comme telles, ou en formulant des commentaires sur des données déjà enregistrées dans le DES. Les données des applications numériques de santé qui sont raccordées au DES sont également considérées comme des données saisies par le titulaire lui-même.

La let. d dispose que les titulaires peuvent détruire les données enregistrées dans leur DES. Ce droit s’applique aux données qu’ils ont saisies eux-mêmes et à celles saisies par des professionnels de la santé et des établissements de santé. Les données détruites ne sont plus accessibles dans le DES et sont irrévocablement effacées du système d’information DES. Ce droit s’applique toutefois sous réserve de l’al. 6, qui permet au Conseil fédéral de prévoir des exceptions pour les ensembles de données; dans ce cas, soit les données sont toutes disponibles dans le DES, soit elles sont toutes détruites. La destruction des données dans le DES n’a aucune incidence sur la documentation primaire, c’est-à-dire sur le dossier médical tenu dans les systèmes primaires des professionnels de la santé et des établissements de santé, dont le délai de conservation – tout comme d’autres dispositions relatives à la conservation – est essentiellement fixé par le droit cantonal.

Afin d’accorder l’autorisation de consulter les données du DES aux professionnels de la santé et aux établissements de santé et de les autoriser à enregistrer ces données dans les systèmes primaires, les titulaires d’un DES peuvent, selon la let. e, consulter l’annuaire des professionnels de la santé et des établissements de santé. Cet annuaire leur fournit par exemple la liste des professionnels de la santé ou des différentes cliniques d’un grand établissement de santé et leur permet d’accorder les autorisations qu’ils souhaitent. Les dispositions d’exécution préciseront les données de cet annuaire auxquelles les titulaires doivent avoir accès pour pouvoir exercer ce droit.

Al. 2

Cette disposition contient une liste non exhaustive des possibilités offertes aux titulaires pour gérer les autorisations dans leur DES. Ces options doivent être considérées comme des principes de base concernant le paramétrage des autorisations par les titulaires.

Selon la let. a, les titulaires d’un DES peuvent accorder des droits de consultation aux professionnels de la santé et aux établissements de santé. Ces droits peuvent être octroyés aussi bien à des professionnels de la santé individuels qu’à des groupes de professionnels de la santé (p. ex. une clinique ou une division au sein d’un grand établissement de santé) ou à un établissement de santé dans son ensemble. Sans droit de consultation, les professionnels de la santé et les établissements de santé n’ont pas accès au DES en question. Le système d’autorisation, que le Conseil fédéral réglementera en détail, doit notamment permettre d’attribuer à certaines données du DES un niveau de confidentialité privé, et de rendre ces données accessibles uniquement à soi-même ou à certains professionnels de la santé ou établissements de santé seulement. Cette possibilité peut être exclue pour des ensembles de données, comme le plan de médication ou les informations relatives à la vaccination, cf. al. 6) dans l’intérêt de l’exhaustivité et de la sécurité du traitement médical, de manière analogue au droit de destruction (cf. al. 1, let. d).

L’accès d’urgence est en revanche activé par défaut, de sorte que les professionnels de la santé et les établissements de santé peuvent consulter les informations pertinentes pour un traitement médical en situation d’urgence médicale, même sans le consentement de la personne concernée (cf. art. 13, al. 3). La let. b prévoit toutefois que les titulaires d’un DES peuvent désactiver ce paramètre par défaut, afin que les professionnels de la santé et les établissements de santé n’aient pas accès à leur DES en cas d’urgence.

Enfin, la let. c prévoit que les titulaires peuvent accorder l’accès à leur DES à des applications numériques de santé ou les autoriser à saisir des données dans leur DES. Ces droits ne peuvent toutefois être accordés qu’aux applications satisfaisant aux exigences de l’art. 16 et autorisées par le DFI à se raccorder au DES. Les autorisations doivent pouvoir être contrôlées dans la mesure du possible et du raisonnable, c’est-à-dire au moins en ce qui concerne la durée et le type d’accès (p. ex. en écriture seule, en lecture seule ou en lecture et écriture). Les détails seront définis dans les dispositions d’exécution en tenant compte de l’évolution de la technique.

Al. 3

Les titulaires d’un DES peuvent accorder des autorisations d’accès à un professionnel de la santé ou à un établissement de santé soit directement dans le système d’information DES (cf. art. 13, al. 1), soit sur place dans un cabinet ou un hôpital (cf. art. 13, al. 2). Ils peuvent exclure cette dernière option dans le système d’information DES. Dans ce cas, ils doivent préalablement accorder une autorisation dans le système d’information DES aux professionnels de la santé et aux établissements de santé qui doivent pouvoir avoir accès à leur DES.

Al. 4

Le titulaire d’un DES peut déclarer à un professionnel de la santé ou à un établissement de santé qu’aucune donnée ne doit être saisie dans son DES pour le traitement médical en question. Dans ce cas, le professionnel de la santé et l’établissement de santé concernés ne sont pas autorisés à saisir des données sur ce traitement dans le DES.

Al. 5

En vertu de cette disposition, les titulaires peuvent désigner un représentant pour le DES et déterminer en outre si celui-ci aura un accès complet ou limité à leur DES. Ils doivent pouvoir préciser, par exemple, que le représentant ne peut pas consulter toutes les données ou qu’il peut seulement définir les autorisations à sa place. Le représentant ne doit pas pouvoir modifier ces paramètres.

Il est aussi envisageable que le titulaire puisse définir ou limiter d’autres compétences du représentant, notamment la possibilité de supprimer le DES. Les modalités relatives à la possibilité de restreindre les droits de ce représentant doivent être examinées dans le cadre de l’élaboration des dispositions d’exécution.

Contrairement à la représentation prévue à l’art. 12 pour les enfants et les jeunes jusqu’à 14 ans et les personnes incapables de discernement, le titulaire d’un DES peut révoquer cette représentation en tout temps et désigner une autre personne comme représentante.

Al. 6

Cette disposition confère au Conseil fédéral le droit de fixer des exceptions à la possibilité de supprimer des données dans un DES (cf. al. 1, let. d) ou de les rendre accessibles uniquement à soi-même. Cette possibilité concerne les ensembles de données, à savoir les informations issues de formats d’échange ou de jeux de données structurés, par exemple le plan de médication. Les plans de médication et autres ensembles de données au sens de la présente loi sont automatiquement compilés ou agrégés à partir de données individuelles, telles que les médicaments prescrits.

Le plan de médication et d’autres ensembles de données du DES visent à servir de base fiable pour les professionnels de la santé afin de leur permettre d’évaluer l’état de santé des titulaires. Dans l’intérêt de la sécurité du traitement médical, le Conseil fédéral est donc autorisé à prévoir que les données appartenant à un tel ensemble ne peuvent pas être supprimées individuellement ou rendues individuellement accessibles uniquement au titulaire du DES. Si une telle exception est définie, par exemple, pour le plan de médication, le titulaire d’un DES devra soit renoncer à supprimer un médicament de manière isolée, soit renoncer à l’utilisation du plan de médication dans son ensemble.

Art. 12 Représentation des personnes mineures et incapables de discernement

Al. 1

La question de la représentation ne renvoie pas à l’exercice des droits civils de la personne concernée au sens de l’art. 13 du code civil⁵³, c’est-à-dire à sa majorité et à sa capacité de discernement, mais seulement à sa capacité de discernement (supposée) en ce qui concerne l’utilisation du DES. Les enfants et les jeunes à partir d’un certain âge doivent pouvoir exercer de manière autonome leur droit à l’autodétermination en matière d’information, d’autant plus que les données disponibles dans le DES sont sensibles. C’est pourquoi cette disposition prévoit que, pour tout ce qui concerne le DES, les enfants et les jeunes sont représentés par leurs représentants légaux, en général les parents (cf. art. 304 CC), jusqu’à l’âge de 14 ans seulement. Cette limite d’âge s’appuie, d’une part, sur l’exercice restreint des droits civils pour les personnes âgées de 7 à 18 ans et, d’autre part, sur les principes du droit à l’autodétermination dans le domaine du traitement médical, tels qu’ils sont définis par l’Académie suisse des sciences médicales (ASSM)⁵⁴.

Les adolescents plus âgés et les personnes majeures incapables de discernement en ce qui concerne l’utilisation du DES sont également représentés par leurs représentants légaux. Il peut s’agir par exemple des parents, d’un mandataire pour cause d’inaptitude (cf. art. 360 ss CC), d’une personne désignée dans une directive anticipée du patient ou dans un mandat pour cause d’inaptitude (art. 378, al. 1, ch. 1, CC), ou d’une curatelle instituée par l’autorité (cf. art. 390 ss CC).

Cette disposition a également des conséquences sur l’information dans le cadre de la procédure d’ouverture automatique avec droit d’opposition (cf. art. 20, al. 2): les cantons n’informent pas la personne incapable de discernement, mais la personne habilitée à la représenter, pour autant que celle-ci soit connue, et mettent en place la représentation requise dans le DES (cf. al. 4). S’ils ne connaissent pas la situation en matière de représentation, les cantons mettent en place une représentation sur demande d’une personne habilitée à l’assurer.

Le représentant de la personne incapable de discernement prend pour elle les décisions nécessaires. Il décide par exemple si un DES doit être ouvert pour cette personne ou s’il s’oppose à l’ouverture automatique. Il peut également supprimer le DES de la personne représentée. Les enfants, les jeunes et les personnes majeures incapables de discernement doivent être impliqués autant que possible dans les prises de décision. Il est également reconnu que l’opinion des enfants et des jeunes représentés acquiert de plus en plus de poids à mesure qu’ils grandissent et deviennent plus matures.

Le représentant peut effectuer les traitements de données et paramétrer les autorisations dans le DES de la personne qu’il représente (cf. art. 11, al. 1 et 2). En revanche, il n’est pas possible de mettre en place une représentation supplémentaire dans le cadre de l’art. 11, al. 5. La personne représentée conserve le droit de déclarer à un professionnel de la santé ou à un établissement de santé que certaines données ne doivent pas être saisies dans son DES, dans la mesure où elle est capable de discernement à cet égard (cf. art. 11, al. 4).

Le représentant de la personne incapable de discernement a besoin de son propre moyen d’authentification pour effectuer des traitements de données ou des paramétrages d’autorisation dans le DES de la personne représentée (cf. art. 10). À défaut, il peut faire effectuer ces tâches par le service d’assistance de la communauté chargée du DES de la personne représentée (cf. art. 31, al. 1 et 2). En revanche, il n’est pas nécessaire qu’il possède son propre DES.

Le représentant visé par le présent alinéa a le droit de consulter toutes les données du DES de la personne représentée. Sont aussi concernées les données auxquelles le titulaire d’un DES n’a pas donné d’accès à des tiers, dans le cas où le titulaire devient incapable de discernement et se retrouve dans une situation de représentation, par exemple à la suite d’un accident ou en raison de son âge.

La représentation est inscrite dans le DES de la personne concernée. A contrario, elle est supprimée du DES – ou peut faire l’objet d’une demande de suppression auprès du canton concerné – dans le cas des personnes majeures qui acquièrent ou retrouvent la capacité de discernement pour ce qui concerne leur DES (pour la représentation des personnes mineures de plus de 14 ans, cf. al. 2). Le canton de domicile de la personne représentée est chargé de la transmission des données correspondantes au système d’information DES.

Al. 2

Les mineurs âgés de 14 ans révolus et qui sont donc, en principe, capables de discernement en ce qui concerne l’utilisation du DES, décident eux-mêmes de toutes les questions liées à leur DES, y compris de l’ouverture, de la suppression ou de l’opposition à l’ouverture automatique. Si la personne mineure est incapable de discernement en ce qui concerne l’utilisation du DES à ce moment-là, elle continue à être représentée par son représentant légal, soit en général par ses parents. Le représentant doit apporter la preuve de cette incapacité de discernement.

Étant donné que les adolescents ont généralement encore besoin d’assistance pour gérer leurs démarches administratives et, en particulier, qu’ils n’exercent pas encore pleinement leurs droits civils, la représentation déjà existante dans le DES, prévue à l’al. 1, n’est pas supprimée automatiquement lorsque le titulaire atteint l’âge de 14 ans, mais est maintenue jusqu’à sa majorité. Le titulaire d’un DES est cependant libre de révoquer complètement cette représentation, de modifier les droits la concernant (cf. art. 11, al. 5) ou de mettre en place d’autres représentations.

Pour effectuer ces paramétrages, le titulaire d’un DES doit disposer de son propre moyen d’authentification (art. 10). Il peut également demander au service d’assistance de sa communauté de les effectuer pour lui.

Par analogie avec les principes susmentionnés du droit à l’autodétermination dans le traitement médical, cette règle affirme d’une part que le titulaire d’un DES doit désormais être en mesure de décider lui-même si le représentant peut encore consulter les données de son DES et, le cas échéant, lesquelles. D’autre part, le représentant peut continuer à aider la personne représentée à traiter des données dans son DES si cette dernière le souhaite, sans qu’il soit nécessaire de mettre en place une nouvelle représentation.

Al. 3

Les personnes mineures sont informées de leurs droits relatifs au DES par le canton dans lequel elles ont leur domicile ou leur résidence habituelle lorsqu’elles atteignent l’âge de 14 ans. Si elles disposent déjà d’un DES, elles sont en outre informées de leurs droits relatifs à la représentation (cf. al. 2). Si elles n’ont pas de DES, elles sont informées de la possibilité d’ouvrir volontairement un DES auprès d’une communauté de leur choix (cf. art. 22).

Al. 4

Cet alinéa confère au Conseil fédéral la compétence de régler les modalités concernant le début et la fin des représentations prévues à l’al. 1. Il s’agit principalement de déterminer quels services ou quelles personnes indiquent le début, la fin et la poursuite des représentations au système d’information DES. À cette fin, le Conseil fédéral peut notamment soumettre les cantons à l’obligation de communiquer les relations de représentation connues des autorités et à mettre en place ou à révoquer dans le DES les représentations prévues à l’al. 1.

Art. 13 Consultation et enregistrement par les professionnels de la santé et les établissements de santé

Al. 1

Pour que des professionnels de la santé ou des établissements de santé aient accès à un DES et enregistrent des données dans leurs systèmes, il faut qu’une relation de traitement médical existe. De plus, le titulaire d’un DES doit avoir accordé les droits correspondants par consentement explicite. Un droit de consultation accordé par voie électronique (via le système d’information DES) à un professionnel de la santé, à un établissement de santé ou encore à un groupe de professionnels de la santé est considéré comme un consentement explicite. Si les deux conditions sont remplies, le professionnel de la santé ou l’établissement de santé – le cas échéant par l’intermédiaire d’un auxiliaire qui y travaille – peut consulter un DES et, s’il en a besoin pour l’exercice de ses activités, enregistrer les données dans son système primaire. Les données ainsi stockées ne font alors plus partie du DES, mais de la documentation primaire ou du dossier médical et sont soumises aux dispositions légales applicables à cet égard. Les professionnels de la santé et les établissements de santé ont donc la responsabilité de traiter et, en particulier, de conserver ces données conformément aux dispositions sur la protection des données.

Dans le cadre de sa compétence d’exécution (art. 182, al. 1, Cst.), le Conseil fédéral peut préciser par voie d’ordonnance les cas dans lesquels une situation de traitement médical est avérée et, en particulier, prévoir des exceptions. Il est ainsi possible d’exclure les analyses et les examens qui ne relèvent pas en premier lieu des soins de santé individuels, mais sont par exemple destinés à établir si les conditions d’octroi de prestations sociales ou de prestations d’assurance sont remplies. Les professionnels de la santé et les établissements de santé ne sont pas autorisés à accéder à un DES dans les cas définis par le Conseil fédéral à cet égard. Cette disposition vise à éviter que des personnes s’opposent à l’ouverture automatique de leur DES ou qu’elles le ferment de peur que des informations contenues dans leur DES soient utilisées à leur détriment, par exemple en leur qualité d’assuré.

Al. 2

Cette disposition complète l’al. 1 par une possibilité d’octroi facilité de droits de consultation. Elle permet de tenir compte d’une demande largement partagée lors de la consultation et du fait que, souvent, l’octroi d’autorisations par voie électronique (cf. l’art. 11, al. 2, let. a) n’est pas ou ne peut pas être effectué, ou du moins pas à temps.

Sur la base de cette disposition, un professionnel de la santé ou un établissement de santé peut accéder à un DES s’il n’a reçu aucune autorisation explicite par voie électronique, mais que la personne concernée lui a explicitement accordé l’autorisation par une autre voie. Les déclarations de consentement déjà en usage dans de nombreux cabinets et établissements de santé peuvent être utilisées à cet effet. Par exemple, les déclarations en matière de protection des données signées lors de l’admission dans un cabinet médical ou un établissement de santé peuvent être complétées par l’octroi d’un accès au DES.

Les professionnels de la santé et les établissements de santé sont tenus de documenter ce consentement. Pour pouvoir consulter un DES, les professionnels de la santé et les établissements de santé doivent confirmer dans le DES qu’ils ont obtenu le consentement explicite du titulaire. Cette déclaration est consignée. En l’absence de consentement, les professionnels de la santé et les établissements de santé sont passibles de sanctions pour avoir consulté un DES sans autorisation (cf. art. 41). Les titulaires d’un DES peuvent contrôler tous les traitements de données dans leur DES en consultant les données consignées. En outre, la Confédération prend des mesures techniques pour détecter et empêcher les traitements abusifs de données, notamment ceux résultant de cette possibilité d’accès facilité à la consultation.

Enfin, le titulaire peut exclure de manière générale, dans son DES, la possibilité de donner son consentement directement au professionnel de la santé ou à l’établissement de santé (cf. art. 11, al. 3). Cette exclusion prime les éventuelles déclarations de consentement signées.

Al. 3

Comme le prévoit déjà la LDEP en vigueur, l’accès au DES est possible dans les situations d’urgence médicale où le titulaire n’est pas en mesure d’accorder des droits de consultation aux professionnels de la santé ou aux établissements de santé impliqués (p. ex. professionnels des services d’urgence).

Dans ce cas, les professionnels de la santé ou les établissements de santé peuvent demander une autorisation d’urgence directement dans le système d’information DES. À cette fin, ils doivent consentir aux conditions d’un accès d’urgence et prendre connaissance des conséquences juridiques qu’entraîne un accès non autorisé ou abusif. Les données de niveau de confidentialité privé ne sont pas concernées par l’accès d’urgence, à moins que le professionnel de la santé ou l’établissement de santé en question n’ait reçu une autorisation spéciale. Le professionnel de la santé ou l’établissement de santé doit ensuite informer rapidement le titulaire de l’accès d’urgence à son DES. Il est par exemple envisageable de délivrer une notification automatique au titulaire lorsqu’il a indiqué une adresse électronique vérifiée dans le DES.

Enfin, le titulaire d’un DES a la possibilité d’exclure totalement toute consultation en situation d’urgence (cf. art. 11, al. 2, let. b).

Art. 14 Saisie par les professionnels de la santé et les établissements de santé de données pertinentes pour un traitement médical

Al. 1

Dans la législation en vigueur, le consentement à l’ouverture d’un DEP est assorti d’une présomption légale selon laquelle la personne concernée accepte, en cas de traitement médical, la saisie de données par des professionnels de la santé. Cette présomption a pour effet de créer une obligation pour le professionnel de la santé de saisir dans le DEP les données pertinentes pour un traitement médical. Dans le présent projet de loi, cette obligation est désormais prévue de manière explicite par le biais de cette disposition. Les professionnels de la santé et les établissements de santé n’appartenant pas au système de santé militaire ont l’autorisation et l’obligation, en vertu de cet alinéa, de saisir les données pertinentes pour un traitement médical dans le DES des titulaires concernés.

Les données pertinentes pour le traitement médical dépendent de chaque cas de traitement et de son évolution. Il incombe donc aux professionnels de la santé et aux établissements de santé de déterminer au cas par cas les données à saisir dans le DES, car elles dépendent fortement de la situation médicale du titulaire. Les documents suivants sont considérés comme pertinents pour un traitement médical: liste de médication, diagnostics, rapports (p. ex. rapports de sortie, documents de transmission, rapports d’opération, rapports de consilium), résultats (p. ex. examens de laboratoire, radiologie), informations sur les allergies, les intolérances et les vaccinations. Comme le prévoit la LDEP en vigueur, le DES ne doit pas contenir le dossier médical complet ou l’ensemble de la documentation primaire du professionnel de la santé ou de l’établissement de santé, mais en premier lieu les documents qui présentent un intérêt pour les traitements médicaux ultérieurs.

Dans le but de constituer une base fiable pour la pratique médicale quotidienne et pour les titulaires, le Conseil fédéral peut définir dans les dispositions d’exécution les données qui sont généralement considérées comme pertinentes pour un traitement médical et qui doivent être obligatoirement saisies dans le DES par les professionnels de la santé et les établissements de santé (jeu de données minimal).

Les professionnels de la santé et les établissements de santé ne sont pas autorisés à saisir des données dans le DES si le titulaire leur a signifié son opposition (cf. art. 11, al. 4). Cette déclaration d’opposition doit être faite au plus tard pendant le traitement médical mais, dans tous les cas, avant que le professionnel de la santé ou l’établissement de santé n’ait saisi les données dans le DES. Par ailleurs, le titulaire a la possibilité de supprimer lui-même les données du DES, sauf s’il s’agit d’un ensemble de données désigné par le Conseil fédéral et dont les données individuelles ne peuvent pas être effacées (cf. art. 11, al. 6).

Al. 2

Lorsque les systèmes d’information militaires qui traitent des données de santé, et les professionnels et les établissements du système de santé militaire au sens de l’art. 34a, al. 1, LAAM sont raccordés au système d’information DES, ces derniers ont l’obligation de saisir dans le DES les données pertinentes pour le traitement médical du titulaire, à condition que celui-ci ait donné son consentement explicite.

Il est prévu que ce consentement puisse être donné dans le système d’information DES. Il est aussi envisageable qu’il soit donné dans un système d’information militaire. Lors de la mise en œuvre, il convient de tenir compte en particulier des besoins pratiques et de la sécurité des informations. Le titulaire d’un DES doit donner son consentement librement, ce qui signifie notamment qu’une personne qui s’oppose à ce qu’un professionnel de la santé militaire ou un établissement de santé militaire effectue une saisie de données ne doit subir aucun préjudice de ce fait.

Le Groupement Défense du DDPS peut exclure certaines données de cette obligation en raison d’intérêts prépondérants de l’armée en matière de sécurité et de maintien du secret (cf. art. 29, al. 2).

Al. 3

Cette disposition formule expressément trois exceptions à l’obligation prévue aux al. 1 et 2 de saisir les données pertinentes pour un traitement médical: selon la let. a, les professionnels de la santé et les établissements de santé ne sont pas tenus de saisir les données qui datent d’avant l’ouverture du DES. L’objectif est notamment d’éviter aux professionnels de la santé et aux établissements de santé de devoir numériser et saisir dans le DES des dossiers médicaux physiques.

Le Conseil fédéral peut prévoir des exceptions, notamment pour les nouveau-nés, pour lesquels les parents ou les représentants légaux ne peuvent ouvrir un DES qu’à partir du moment où l’identité du nouveau-né peut être prouvée, ce qui n’est pas possible immédiatement puisque les documents nécessaires ne sont pas disponibles à la naissance. C’est pourquoi, pour les nouveau-nés, il est prévu que les professionnels de la santé et les établissements de santé soient, pendant une période limitée, tenus de procéder a posteriori à la saisie des données en lien avec la naissance qui sont pertinentes pour un traitement médical.

Selon la let. b, les professionnels de la santé et les établissements de santé sont dispensés de l’obligation de saisir les données pertinentes pour un traitement médical s’ils remplissent les conditions suivantes: premièrement, ils doivent agir sur prescription ou mandat d’un autre professionnel de la santé ou établissement de santé; deuxièmement, il doit être garanti que ces données soient tout de même saisies dans le DES. Les professionnels de la santé impliqués se concertent pour savoir lequel d’entre eux s’en chargera. Cette disposition permet notamment de saisir des résultats de laboratoire ou d’imagerie qui, lorsqu’ils indiquent un diagnostic grave, ne doivent être communiqués au titulaire d’un DES qu’en présence du professionnel de la santé ou de l’établissement de santé traitant. Le but est en outre d’éviter que les mêmes informations soient saisies plusieurs fois (p. ex. une fois par le laboratoire mandaté, et une deuxième fois par le médecin qui a mandaté le laboratoire).

Selon la let. c, les professionnels de la santé et les établissements de santé ne sont pas tenus de saisir les données pertinentes pour un traitement médical dans un DES si cette saisie risque d’entraver des mesures prises dans le domaine du droit de la protection de l’enfant et de l’adulte. Cette disposition vise en particulier les situations où la documentation figurant dans le DES ferait échec à la notification ou à la prise rapide de mesures visant à protéger la personne concernée parce qu’un représentant aurait accès à ces données dans le DES. Par exemple, le représentant inscrit dans le DES ne doit pas être informé indirectement et prématurément du signalement d’une situation de danger par le professionnel de la santé (p. ex. suspicion de maltraitance d’un enfant).

Art. 15 Traitement des données par les communautés

Al. 1

Les communautés peuvent, sur demande d’un titulaire (c’est-à-dire avec son consentement explicite), consulter son DES, effectuer toutes les opérations de traitement des données, y compris des données sensibles, et procéder au paramétrage des autorisations (p. ex. consulter des données pertinentes pour un traitement médical et des données consignées, supprimer des données, attribuer le niveau de confidentialité privé à certaines données). Cette mesure est nécessaire pour que les services d’assistance des communautés, c’est-à-dire les collaborateurs qui y travaillent, puissent apporter un soutien aux personnes qui ont besoin d’aide pour utiliser des produits ou des technologies numériques ou qui ne disposent pas de moyens d’authentification. Les accès des communautés sont consignés et leurs collaborateurs doivent être authentifiés personnellement (cf. art. 10). De plus, les communautés sont responsables de documenter le consentement ou le mandat.

Al. 2

Conformément à cet alinéa, les collaborateurs des communautés peuvent aussi accéder au système d’information DES si cet accès est nécessaire à l’administration des professionnels de la santé et des établissements de santé adhérents. En principe, les professionnels de la santé et les établissements de santé doivent entreprendre toutes les démarches nécessaires pour remplir leur obligation de se raccorder au système d’information DES. Ils peuvent déléguer cette tâche à la communauté, en accord avec celle-ci. Dans ces cas, la communauté entreprend, sur mandat du professionnel de la santé ou de l’établissement de santé, les démarches permettant leur raccordement au système d’information DES (p. ex. inscription dans l’annuaire des professionnels de la santé et des établissements de santé, liaison avec les moyens d’authentification).

Al. 3

Chaque communauté doit désigner ceux de ses collaborateurs qui sont autorisés à accéder au système d’information DES, en particulier ceux qui peuvent traiter les données sensibles. Cette règle est nécessaire pour déterminer si, du point de vue pénal, quelqu’un consulte ou enregistre des données d’un DES sans le consentement de la personne concernée (cf. art. 41) ou si des sanctions administratives (cf. art. 38 ss) peuvent être prononcées à l’encontre d’une personne déterminée.

Art. 16 Raccordement des applications numériques de santé

Al. 1

Cette disposition définit les conditions que doit remplir une application numérique de santé pour que le DFI autorise son raccordement au système d’information DEP (let. a à c). Les titulaires peuvent accorder des droits d’accès à leur DES uniquement à des applications autorisées. Les données saisies par des applications numériques de santé autorisées par le DFI et disposant de droit d’accès accordés par le titulaire sont considérées comme des données saisies par le titulaire lui-même (cf. commentaire de l’art. 11, al. 1, let. c).

Selon la let. a, une application numérique de santé doit servir à traiter des maladies, à les prévenir, à les gérer ou à promouvoir la santé. Le critère déterminant est l’utilité de l’application pour la santé d’une personne. Cette utilité peut aussi se limiter à faciliter la documentation ou la transmission de données dans le DES (p. ex. en convertissant des données non structurées en données structurées pour le DES ou en formats d’échange).

La let. b prévoit en outre que les applications numériques de santé doivent satisfaire aux exigences techniques relatives au raccordement au système d’information DES et aux exigences en matière de protection et de sécurité des données applicables aux systèmes d’information de la Confédération. S’il existe a minima des indices plausibles d’une violation de ces exigences, l’autorisation doit pouvoir être refusée ou retirée.

Selon la let. c, il convient de s’assurer qu’une application numérique de santé ne perturbe pas le bon fonctionnement du système d’information DES. En particulier, elle ne doit pas entraîner de surcharge du système qui pourrait à son tour affecter d’autres fonctionnalités du système d’information DES.

Al. 2

Le Conseil fédéral précisera les conditions prévues à l’al. 1 dans les dispositions d’exécution et fixera notamment des exigences adéquates en matière de protection et de sécurité des données. L’autorisation délivrée par le DFI peut ainsi prévoir des restrictions d’accès aux données pour l’application concernée. Par exemple, une application dont la seule fonction est de documenter les maladies n’a pas besoin d’un accès en lecture aux données de santé. Dans un tel cas, en raison de la restriction définie dans l’autorisation, les titulaires d’un DES pourraient tout au plus accorder à cette application un accès en écriture à leur DES.

Les dispositions d’exécution détermineront également la forme de la preuve requise pour vérifier si les exigences prévues à l’al. 2, let. a et b, sont respectées. Par exemple, les exigences peuvent être allégées ou échelonnées pour les applications numériques de santé qui remplissent les conditions de mise sur le marché en tant que dispositif médical. Inversement, l’autorisation d’accès au DES d’une application numérique de santé n’a aucune influence sur l’évaluation concernant la qualification de dispositif médical ou sur la légalité de sa mise sur le marché selon la loi du 15 décembre 2000 sur les produits thérapeutiques⁵⁵. En outre, le Conseil fédéral peut édicter toute exigence supplémentaire nécessaire au bon fonctionnement du système d’information DES. Il peut notamment limiter les applications numériques de santé raccordées et leur accès au système d’information DES afin d’éviter une surcharge de l’infrastructure.

En vertu de l’art. 46a de la loi du 21 mars 1997 sur l’organisation du gouvernement et de l’administration (LOGA)⁵⁶, la Confédération percevra des émoluments auprès des éditeurs d’applications numériques de santé pour l’autorisation.

Art. 17 Tenue et contenu

Al. 1

Les données sensibles traitées dans le DES et la mise en œuvre de la procédure d’ouverture automatique avec droit d’opposition requièrent une identification sûre et univoque des personnes concernées. C’est pourquoi, comme dans la LDEP en vigueur, la CdC, qui tient le registre central des assurés, est compétente pour gérer les données de base et le numéro d’identification pour le DES. Le registre central des assurés, qui constitue une base de données sûre, est donc utilisé pour le registre DES également (cf. al. 3). Il contient des données personnelles, mais pas de données sensibles.

Al. 2

Cette disposition énumère les données personnelles traitées dans le registre DES. Celles-ci comprennent le numéro d’identification (let. a), le numéro AVS (let. b), des informations sur la personne (nom de famille, nom de célibataire, prénoms, sexe et date de naissance; let. c à g) et les données nécessaires pour le DES et la procédure d’ouverture automatique avec droit d’opposition (let. h). Ces données permettent d’identifier les personnes de manière univoque. Les indications mentionnées à la let. h sont aussi importantes, car elles visent notamment à éviter que la procédure d’ouverture automatique avec droit d’opposition doive de nouveau être effectuée pour une personne qui changerait de commune ou de canton de domicile.

Al. 3

Le registre central des assurés reçoit des registres cantonaux des habitants, ou d’autres registres officiels de personnes, les informations nécessaires à la gestion des données de base. Ces données sont transférées du registre central des assurés vers le registre DES. Ce dernier communique à son tour le numéro d’identification et les données personnelles mentionnées (sans le numéro AVS) au système d’information DES (cf. art. 5, al. 4). Compte tenu du principe de saisie unique des données (once only), cette disposition permet de garantir une qualité élevée des données d’une personne dans le DES, sans pour autant prévoir de nouvelles obligations (de déclaration).

Al. 4

Cette disposition confère au Conseil fédéral la compétence de définir des données supplémentaires pouvant être traitées dans le registre DES. Cette précaution est nécessaire pour répondre à l’évolution des exigences techniques et pratiques. Des données supplémentaires ne peuvent toutefois figurer dans le registre DES et y être traitées que si elles sont nécessaires pour ouvrir, tenir ou supprimer des DES.

Al. 5

Selon cette disposition, l’inscription de la date du décès du titulaire dans le registre central des assurés est déterminante pour la suppression d’un DES par suite d’un décès. Cette inscription déclenche l’envoi d’une notification au registre DES, qui à son tour la transmet au système d’information DES. Deux ans après l’inscription de la date de décès du titulaire dans le registre central des assurés, toutes ses données sont effacées du système d’information DES et du registre DES.

L’inscription d’une personne dans le registre central des assurés et dans tous les cas supprimée 140 ans après sa naissance. Cette suppression déclenche les mêmes notifications que l’inscription de la date de décès dans le registre central des assurés. Les données du titulaire sont immédiatement effacées du système d’information DES et du registre DES.

Art. 18 Accès

Al. 1

Cette disposition prévoit que les communautés, les professionnels de la santé, les établissements de santé et les cantons peuvent accéder aux données du registre DES. Les professionnels de la santé et les établissements de santé peuvent ainsi consulter les données personnelles actuelles des titulaires d’un DES et tenir à jour leurs propres données de base. Cette actualisation est indispensable pour identifier les titulaires correctement et sans équivoque et donc pour attribuer à un DES les données pertinentes pour un traitement médical.

D’un point de vue technique, l’accès au registre DES est possible via le système d’information DES. Par conséquent, le raccordement à ce dernier est suffisant pour consulter les données du registre DES.

La recherche dans le registre DES pour vérifier si une personne possède un DES constitue un cas particulier et pourra être effectuée par les cantons, les professionnels de la santé, les établissements de santé et les communautés. Elle sera notamment utilisée par les cantons dans le cadre de la procédure d’ouverture automatique avec droit d’opposition, et par les professionnels de la santé et les établissements de santé afin de déterminer si la personne qu’ils soignent dispose d’un DES (cf. art. 17, al. 2, let. h, ch. 1).

Al. 2

Cette disposition offre une base permettant d’utiliser le numéro AVS pour consulter des données, notamment le numéro d’identification, à partir du registre DES. Le numéro AVS est déjà largement utilisé dans le domaine de la santé, notamment pour la facturation ou la prise en charge des coûts, entre autres par l’assurance maladie et accidents. Les professionnels de la santé, les établissements de santé, les communautés et les cantons peuvent utiliser ce numéro pour savoir si une personne dispose d’un DES et pour connaître ses données personnelles actuelles.

Al. 3

Les modifications apportées aux données d’une personne dans le registre central des assurés sont automatiquement communiquées au registre DES, qui à son tour les transmet au système d’information DES, ce qui permet de s’assurer que tous les registres sont à jour. Les éventuelles rectifications de données sont régies à l’art. 8, al. 1, let. a.

Art. 19 Numéro d’identification

Cette disposition concerne la création, l’attribution et l’utilisation du numéro d’identification des titulaires d’un DES. Ce numéro est un identifiant personnel sectoriel, lié au numéro AVS, et sert déjà de numéro d’identification du patient dans le cadre de la LDEP⁵⁷.Cette possibilité d’identification est maintenue pour le DES, afin de garantir un regroupement correct et complet des données dans le DES. L’utilisation d’un identifiant sectoriel (par opposition à un identifiant général ou intersectoriel) est notamment avantageuse en matière de prévention du profilage et, de ce fait, de protection des données de la personne concernée.

Al. 1

Comme dans la législation en vigueur, la CdC est responsable de l’attribution du numéro d’identification. Elle génère un numéro d’identification pour chaque personne concernée par la procédure d’ouverture automatique avec droit d’opposition, ou qui ouvre volontairement un DES. Ce numéro est généré de manière aléatoire, c’est-à-dire qu’il ne contient aucune information codée (comme la date de naissance ou le sexe) qui permettrait de déduire l’identité. La gestion du numéro d’identification est assurée par la CdC selon les mêmes normes de qualité que pour le numéro AVS.

Al. 2

Les institutions et personnes chargées de l’exécution de la présente loi (communautés, professionnels de la santé, établissements de santé, Confédération et cantons) peuvent utiliser le numéro d’identification afin d’identifier les personnes de manière univoque pour accomplir leurs tâches.

Al. 3

Selon cette disposition, l’utilisation du numéro d’identification en dehors du champ d’application de la LDSan est possible à deux conditions: premièrement, cette utilisation doit être limitée au domaine de la santé et, deuxièmement, une loi au sens formel doit la prévoir explicitement. Ces conditions permettent d’éviter une utilisation détournée, ou sans base légale claire, du numéro d’identification.

Art. 20 Ouverture automatique

Al. 1

Cette disposition oblige les cantons à veiller à ce qu’un DES soit ouvert pour toute personne dont le domicile ou la résidence habituelle au sens de l’art. 13 de la loi fédérale du 6 octobre 2000 sur la partie générale du droit des assurances sociales⁵⁸ se trouve sur son territoire, et qui ne dispose pas déjà d’un DES (let. a), et n’a pas fait opposition à l’ouverture d’un DES ou qui ne l’a pas supprimé (let. b). La procédure d’ouverture automatique doit être lancée après la prise de domicile (établissement du domicile, établissement de la résidence habituelle ou naissance) d’une personne (pour les délais, cf. al. 2 et art. 21, al. 1). Les cantons disposent d’un délai de six mois à compter de l’entrée en vigueur de la disposition correspondante pour mettre en œuvre l’ouverture automatique initiale pour leur population résidente (cf. art. 46, al. 7).

Grâce aux registres des habitants de leurs communes, les cantons disposent des informations nécessaires concernant les prises de domicile. Ils ont également accès au registre DES (cf. art. 18), qui permet de savoir si une personne dispose déjà d’un DES (cf. art. 17, al. 2, let. h, ch. 1), si elle a fait opposition à l’ouverture automatique ou si elle a supprimé son DES (cf. art. 17, al. 2, let. h, ch. 3). Cette vérification évite de lancer une nouvelle fois la procédure d’ouverture automatique avec droit d’opposition lorsqu’une personne transfère son domicile dans un autre canton ou déménage dans une autre commune du même canton.

Les cantons sont chargés d’inscrire dans le registre DES les informations nécessaires à la mise en œuvre de l’ouverture automatique avec droit d’opposition. Pour ce faire, ils communiquent à la CdC les numéros AVS des personnes pour lesquelles un DES doit être automatiquement ouvert et la communauté chargée du DES.

Al. 2

Après avoir constaté que les conditions prévues à l’al. 1 sont remplies, les cantons doivent, dans les 30 jours suivant la prise de domicile, informer la personne concernée de la procédure d’ouverture automatique avec droit d’opposition (pour le contenu de cette information, voir ci-après). Pour les enfants et les jeunes de moins de 14 ans et pour les personnes incapables de discernement, l’information est adressée au représentant légal, s’il est connu. Depuis le 1^er janvier 2024, les autorités de protection de l’enfant et de l’adulte (APEA) sont tenues d’informer la commune de domicile lorsqu’une curatelle a été instituée pour une personne, ou lorsqu’un mandat pour cause d’inaptitude a pris effet pour une personne durablement incapable de discernement (cf. art. 449c, al. 1, ch. 2, CC). Dans ces cas et pour les enfants et les jeunes de moins de 14 ans, le canton dispose donc des renseignements nécessaires pour fournir les informations prévues lors de l’ouverture automatique d’un DES. À l’avenir, les registres des habitants contiendront également des informations sur l’autorité parentale. Les autorités d’état civil, les tribunaux civils, les autorités de migration et l’APEA seront tenus de communiquer aux services du contrôle des habitants les décisions et les modifications concernant l’autorité parentale. Le projet correspondant a été mis en consultation le 19 septembre 2025⁵⁹.

L’étendue de l’information est définie aux let. a à f: le canton doit informer de l’ouverture prochaine d’un DES (let. a) et du droit de s’y opposer (let. c). Cette information doit mentionner le fait que l’opposition peut être déposée soit par le biais d’un service mis à disposition par la Confédération dans le cadre du système d’information DES, soit directement auprès du canton compétent. Elle mentionne également la communauté chargée du DES (let. b), le fait que celle-ci peut être changée à tout moment (cf. art. 23) et qu’un DES peut être ouvert volontairement auprès d’une communauté librement choisie. En outre, le canton fournit des informations complètes sur les conséquences liées à la tenue d’un DES, notamment en matière de protection des données (let. d et e). Par ailleurs, la personne concernée doit être informée de ses droits, c’est-à-dire notamment des traitements qu’elle peut effectuer dans le DES (cf. art. 11, al. 1), des paramétrages d’autorisation possibles (cf. art. 11, al. 2) et de son droit de supprimer son DES à tout moment (cf. art. 24, al. 1) (let. f).

Dans l’optique d’une mise en œuvre uniforme de l’ouverture automatique avec droit d’opposition dans toute la Suisse, la Confédération mettra des modèles de documents d’information à la disposition des cantons (cf. art. 34, al. 3).

Al. 3

Les cantons indiquent dans le registre DES que le processus d’ouverture automatique d’un DES a été lancé pour la personne concernée. Le canton peut également indiquer dans le registre la date à laquelle le DES sera ouvert automatiquement si aucune opposition n’est déposée. Les cantons sont responsables de calculer eux-mêmes cette date, en tenant toutefois compte du mode d’expédition qu’ils ont choisi pour l’envoi de l’information, du délai d’opposition (cf. art. 21, al. 1, et 46, al. 8) et d’un délai raisonnable pour les éventuelles oppositions envoyées par la poste, y compris la durée de leur traitement.

Al. 4

Une fois le DES ouvert, le canton en informe la personne concernée, ce qui met un terme, pour le canton, à la procédure d’ouverture automatique avec droit d’opposition.

Al. 5

Le Conseil fédéral peut prévoir des exceptions à l’ouverture automatique d’un DES pour le personnel diplomatique et les autres personnes protégées par le droit international public, ainsi que pour leurs proches, afin de respecter les usages diplomatiques. Cette disposition concerne les personnes titulaires d’une carte de légitimation valable en vertu de la législation sur l’État hôte et les personnes titulaires d’un permis Ci (autorisation de séjour avec activité lucrative), mais pas les personnes titulaires d’un document d’identité suisse (passeport ou carte d’identité au sens de l’art. 1 de l’ordonnance du 20 septembre 2002 sur les documents d’identité⁶⁰) qui travaillent pour une organisation internationale.

Les personnes exemptées de l’ouverture automatique d’un DES peuvent en ouvrir un volontairement à tout moment, pour autant qu’elles remplissent les conditions requises (cf. art. 22, al. 1 et 2).

Art. 21 Opposition à l’ouverture automatique

Al. 1

Cette disposition prévoit un délai de 45 jours pour exercer son droit d’opposition dès réception de l’information concernant l’ouverture automatique d’un DES (cf. art. 20, al. 2). Ce droit est l’expression de l’autodétermination en matière d’information et, en combinaison avec le droit de supprimer un DES (art. 24, al. 1), il garantit la liberté d’avoir ou non un DES.

En dérogation à cette disposition, le délai pour faire opposition lors de la mise en œuvre initiale de la procédure d’ouverture automatique pour l’ensemble de la population résidant en Suisse est de 60 jours (cf. art. 46, al. 8).

La personne concernée doit pouvoir s’opposer facilement, sans avoir à fournir de motif, à l’ouverture automatique d’un DES auprès de l’autorité cantonale compétente. Dans le cadre de l’exploitation du système d’information DES, la Confédération mettra en outre à disposition un service numérique permettant d’exercer le droit d’opposition de manière simple (p. ex. en scannant un code QR).

L’opposition est inscrite dans le registre DES. Cette inscription permet d’éviter de relancer le processus d’ouverture automatique d’un DES en cas de déménagement dans une autre commune ou un autre canton. Toutefois, si la procédure d’ouverture automatique a déjà été lancée, un changement de domicile ne modifie pas la compétence d’un canton. En d’autres termes, la compétence d’un canton perdure jusqu’à la fin de cette procédure.

Al. 2

Les cantons doivent transmettre les oppositions qu’ils reçoivent au registre DES pour enregistrement. Cette mesure permet d’éviter qu’une personne fasse une nouvelle fois l’objet d’une ouverture automatique avec droit d’opposition, notamment si elle change de domicile ou revient s’installer en Suisse après un séjour à l’étranger.

Art. 22 Ouverture volontaire

Al. 1

Toute personne peut en tout temps ouvrir volontairement un DES.

En raison des délais à respecter dans la procédure d’ouverture automatique avec droit d’opposition (cf. art. 20, al. 2, et 21, al. 1), le processus d’ouverture d’un DES peut prendre jusqu’à deux mois et demi. Dans certaines situations, il peut arriver qu’un DES doive être disponible plus tôt, notamment dans le cas des nouveau-nés, pour lesquels les examens préventifs recommandés, mais surtout la documentation relative aux éventuelles complications postnatales, doivent figurer au plus tôt dans le DES. C’est pourquoi il est possible d’ouvrir un DES volontairement avant ou pendant la procédure d’ouverture automatique avec droit d’opposition. L’ouverture volontaire prend le pas sur cette procédure, qui doit donc être interrompue le cas échéant.

Toute personne qui souhaite ouvrir un DES doit, premièrement, avoir reçu un numéro AVS conformément à l’art. 50c de la loi fédérale du 20 décembre 1946 sur l’assurance-vieillesse et survivants⁶¹ (let. a). Deuxièmement, elle doit disposer d’un document d’identité délivré par les autorités suisses ou d’une preuve d’identité électronique au sens de la LeID (let. b). On garantit ainsi que cette personne a été identifiée par une autorité suisse. Cette exigence d’identification de la personne concernée est essentielle, car le DES contient des données sensibles qui ne doivent être accessibles qu’aux personnes autorisées.

Pour les citoyens suisses, un document d’identité valable conformément à la loi du 22 juin 2001 sur les documents d’identité⁶² (ch. 1) suffit pour ouvrir un DES. Cette disposition s’applique également aux Suisses de l’étranger.

Tous les étrangers titulaires d’une autorisation valable en vertu de la loi fédérale du 16 décembre 2005 sur les étrangers et l’intégration (LEI)⁶³ et de l’ordonnance du 24 octobre 2007 relative à l’admission, au séjour et à l’exercice d’une activité lucrative (OASA)⁶⁴ peuvent ouvrir un DES (ch. 2). Il s’agit des documents suivants:

• – permis L: autorisation de séjour de courte durée (art. 32 LEI, et 71, al. 1, OASA);

• – permis B: autorisation de séjour (art. 33 LEI, et 71, al. 1, OASA);

• – permis C: autorisation d’établissement (art. 34 LEI, et 71, al. 1, OASA);

• – permis Ci: autorisation de séjour avec activité lucrative (art. 30, al. 1, let. g, et 98, al. 2, LEI, art. 45 et 71a, al. 1, let. e, OASA);

• – permis N: livret pour requérants d’asile (art. 42 de la loi du 26 juin 1998 sur l’asile [LAsi]⁶⁵ et 71a, al. 1, let. b, OASA);

• – permis F: livret pour étrangers admis à titre provisoire (art. 41, al. 2, LEI, et 71a, al. 1, let. c, OASA);

• – permis S: livret pour les personnes à protéger (art. 74 LAsi et 71a, al. 1, let. d, OASA);

• – permis G: autorisation frontalière (art. 35 LEI et 71a, al. 1, let. a, OASA).

Tous les étrangers titulaires d’une carte de légitimation valable conformément à l’art. 17, al. 1, de l’ordonnance du 7 décembre 2007 sur l’État hôte⁶⁶ en relation avec l’art. 71a, al. 2, OASA peuvent également ouvrir un DES (ch. 3).

Comme mentionné plus haut, une preuve d’identité électronique au sens de la LeID est aussi suffisante pour l’ouverture volontaire d’un DES (ch. 4).

Toute personne disposant d’une preuve d’identité électronique au sens de la LeID peut procéder à l’ouverture du DES directement via le système d’information DES et choisir librement sa communauté. De plus, le Conseil fédéral peut prévoir un service électronique à cet effet, qui comprend également l’identification prévue à l’al. 1, let. b. Dans ce cas, les frais de vérification de l’identité sont à la charge de la personne concernée.

Al. 2

Les étrangers qui disposent d’une AOS ou d’une autre assurance sociale dans le domaine de la LAI, de la LAA ou de la LAM, ou qui ont ou ont eu le droit de bénéficier d’une telle assurance, ne possèdent pas tous une preuve d’identité visée à l’al 1. Les personnes suivantes n’en possèdent par exemple pas:

• – les membres de la famille des frontaliers;

• – les frontaliers retraités;

• – les membres de la famille d’une personne titulaire d’une carte de légitimation valable conformément à la législation sur l’État hôte, s’ils ne sont pas domiciliés en Suisse et ne disposent pas d’un document mentionné au ch. 2 ou 3;

• – les étrangers qui possèdent un bien immobilier (p. ex. une maison de vacances) en Suisse.

Comme le prévoient les dispositions d’exécution de la LDEP en vigueur, des exceptions sont également envisageables pour les nouveau-nés qui ne disposent pas encore d’une preuve d’identité mentionnée à l’al. 1, let. b (carte d’assurance-maladie d’une caisse maladie suisse, en combinaison avec un acte de naissance ou d’autres documents permettant d’identifier une personne).

C’est pourquoi le Conseil fédéral est compétent pour désigner d’autres preuves d’identité valables pour l’ouverture d’un DES. Cette disposition est en particulier nécessaire pour offrir un accès équitable au DES aux personnes qui bénéficient de l’accord du 21 juin 1999 entre la Confédération suisse, d’une part, et la Communauté européenne et ses États membres, d’autre part, sur la libre circulation des personnes (ALCP)⁶⁷. Sont concernés notamment les enfants de frontaliers (étrangers), notamment des pays de l’UE et de l’AELE.

Al. 3 et 4

L’ouverture du DES peut également se faire par l’intermédiaire du service d’assistance d’une communauté (cf. art. 31, al. 2) choisie librement. Dans ce contexte, la communauté a pour responsabilité d’identifier la personne concernée conformément à l’al. 1, let. b, ou 2. La communauté ouvre le DES directement dans le système d’information DES.

Al. 5 et 6

L’étendue de l’information dans le cas de l’ouverture volontaire d’un DES est régie par l’art. 20, al. 2, let. d à f. La personne concernée doit être informée des conséquences liées à la tenue d’un DES, notamment en matière de protection des données, et de ses autres droits en rapport avec le DES. L’obligation d’information incombe en principe à la communauté, dans la mesure où le DES est ouvert auprès d’un service d’assistance. Si le DES est ouvert par voie électronique dans le système d’information DES, les informations sont directement visibles dans ce dernier, et la personne concernée doit en prendre connaissance.

L’ouverture volontaire d’un DES suppose que la personne concernée y consente explicitement. Si l’ouverture du DES se fait par l’intermédiaire du service d’assistance d’une communauté, celle-ci doit conserver le consentement du titulaire jusqu’à deux ans après la suppression de son DES et être en mesure de le prouver à tout moment. Si le DES est ouvert via le système d’information DES, celui-ci consigne le consentement explicite de la personne concernée (cf. l’art. 6).

Art. 23 Section 6: Changement de communauté

Le titulaire d’un DES a le droit de changer de communauté. Un tel changement peut être opportun, par exemple, en cas de déménagement dans un canton où une autre communauté est chargée du DES. Il est prévu que le titulaire puisse changer de communauté directement via le système d’information DES ou le faire faire par le service d’assistance d’une communauté. Ce changement est gratuit.

L’indication de la communauté à laquelle le titulaire appartient est automatiquement mise à jour par le système d’information DES dans le registre DES (cf. art. 17, al. 2, let. h, ch. 4).

Art. 24 Section 7:
Suppression du dossier électronique de santé

Al. 1

Le titulaire d’un DES peut le supprimer à tout moment dans le système d’information DES (let. a).

Le DES peut également être supprimé si le titulaire en fait la demande auprès d’un service d’assistance de sa communauté (let. b). Dans ce cas, la communauté supprime le DES via le système d’information DES. Elle est tenue de conserver la demande du titulaire pendant deux ans.

Le droit de supprimer le DES est également conféré au représentant, si ce droit est compris dans l’étendue de ses pouvoirs. Le droit de supprimer le DES d’un enfant ou d’un jeune de moins de 14 ans ou d’une personne incapable de discernement est exercé par son représentant légal, qui doit toujours se conformer à sa volonté présumée.

La suppression du DES est inscrite dans le registre DES. La procédure d’ouverture automatique avec droit d’opposition n’est donc pas déclenchée une nouvelle fois en cas de changement de domicile.

Al. 2

En outre, le DES d’un titulaire est automatiquement supprimé deux ans après son décès, ou immédiatement en cas de radiation de son inscription dans le registre central des assurés de la CdC.

La date de décès est inscrite dans le registre central des assurés de la CdC sur notification des autorités correspondantes. Toutefois, il arrive dans des cas exceptionnels que la survenue d’un décès ne soit pas connue (notamment en cas de décès à l’étranger). La CdC «nettoie» donc le registre central des assurés en supprimant toute inscription 140 ans après la date de naissance.

Deux ans après l’inscription de la date de décès dans le registre central des assurés ou immédiatement après la radiation de ce registre, les données concernées sont également supprimées du registre DES, c’est-à-dire qu’elles sont irrévocablement effacées (cf. art. 17, al. 5). Cette modification est automatiquement transmise au système d’information DES (cf. art. 17, al. 3), à la suite de quoi le DES de la personne concernée est supprimé.

Al. 3

En cas de suppression du DES, la Confédération est tenue de détruire (c’est-à-dire d’effacer irrévocablement) les données relatives à la personne concernée, soit l’ensemble des données qui se trouvent dans le DES (cf. art. 5, al. 3). Ne sont pas concernés par l’obligation de suppression les dossiers médicaux des systèmes primaires des professionnels de la santé et des établissements de santé, qui doivent être conservés pendant une durée déterminée par le droit cantonal.

La suppression est consignée dans le système d’information DES. Le Conseil fédéral définira le délai pour effacer ces données consignées dans les dispositions d’exécution (cf. art. 6).

Art. 25 Raccordement

Al. 1

Les professionnels de la santé civils et les établissements de santé civils peuvent être tenus de se raccorder au système d’information DES par une loi fédérale ou par des dispositions cantonales. Le présent projet soumet à l’obligation de raccordement tous les fournisseurs de prestations autorisés à facturer à la charge de l’AOS, en plus des fournisseurs de prestations déjà soumis à cette obligation en vertu de la législation en vigueur (cf. art 45 et abrogation et modification d’autres actes, ch. 5.2). S’y ajoutent désormais aussi les fournisseurs de prestations qui facturent des prestations à la charge de l’assurance-invalidité, de l’assurance-accidents ou de l’assurance militaire. Par ailleurs, les professionnels de la santé et les établissements de santé qui ne sont pas soumis à une telle obligation peuvent se raccorder volontairement au système d’information DES. Les professionnels de la santé et les établissements de santé qui se raccordent volontairement sont également soumis aux obligations relevant de la LDSan, par exemple à celle d’adhérer à une communauté ou d’en créer une (cf. al. 2), et à celle de saisir les données pertinentes pour un traitement médical dans le DES de leurs patients, pour autant que ces derniers en possèdent un (cf. art. 14).

Le raccordement au système d’information DES est effectif dès que, premièrement, le professionnel de la santé ou l’établissement de santé peut consulter et saisir des données dans le DES, ce qu’il peut faire soit par l’intermédiaire d’un portail d’accès, soit via une interface DES, les deux étant mis à disposition par la Confédération. S’il choisit la seconde option, un raccordement technique du système primaire du professionnel de la santé ou de l’établissement de santé à l’interface du DES permet, dans la plupart des cas, l’échange de données automatisé entre celui-ci et le système d’information DES. Deuxièmement, pour que le raccordement soit effectif, le professionnel de la santé ou l’établissement de santé doit figurer dans l’annuaire des professionnels de la santé et des établissements de santé (cf. art. 27).

Al. 2

Pour que les communautés puissent assumer les obligations qui leur incombent en vertu de la présente loi, il faut que tous les professionnels de la santé et les établissements de santé devant se raccorder au système d’information DES ou s’y étant raccordés volontairement (cf. al. 1) adhèrent à une communauté. Les professionnels de la santé et les établissements de santé peuvent également créer de nouvelles communautés; celles-ci doivent être autorisées par le canton compétent (cf. art. 32).

Les professionnels de la santé et les établissements de santé sont en principe libres, en vertu du droit fédéral, de choisir la communauté à laquelle ils souhaitent adhérer. Les cantons peuvent édicter certaines prescriptions à ce sujet (cf. art. 30, al. 2 et 3).

Art. 26 Auxiliaires

Pour alléger leur charge de travail, les professionnels de la santé et les établissements de santé peuvent faire appel à des auxiliaires. Il peut s’agir non seulement de personnes considérées comme des professionnels de la santé au sens de la présente loi, mais aussi de personnel chargé de l’assistance administrative. Les professionnels de la santé et les établissements de santé sont responsables de désigner leurs auxiliaires. S’agissant en l’occurrence d’une définition du droit administratif dans une loi spéciale, la notion d’auxiliaire au sens de la présente loi ne doit pas être confondue avec celle d’auxiliaire dans le droit civil.

Art. 27 Inscription dans l’annuaire des professionnels de la santé et des établissements de santé

Al. 1

Pour que les titulaires d’un DES puissent octroyer des autorisations dans le système d’information DES, tous les professionnels de la santé et les établissements de santé doivent être inscrits dans l’annuaire des professionnels de la santé et des établissements de santé. Il incombe aux professionnels de la santé et aux établissements de santé de procéder à cette inscription, qui constitue, en plus de l’authentification (art. 10, al. 1), une condition préalable pour consulter et saisir des données dans un DES.

L’annuaire des professionnels de la santé et des établissements de santé est hiérarchisé. Au moins un professionnel de la santé doit être inscrit pour chaque établissement. Cette règle s’applique directement aux personnes (physiques) qui sont considérées comme des fournisseurs de prestations au sens de la LAMal, de la LAI, de la LAA ou de la LAM. Un professionnel de la santé ou un auxiliaire peut également être inscrit dans l’annuaire pour plusieurs établissements de santé et d’autres professionnels de la santé s’il travaille dans plusieurs établissements ou pour plusieurs professionnels de la santé.

Al. 2

Cette disposition confère au Conseil fédéral la compétence d’exiger des professionnels de la santé et des établissements de santé qu’ils inscrivent dans l’annuaire d’autres professionnels de la santé et auxiliaires – c’est-à-dire des personnes en dehors du cercle visé à l’al. 1 – lorsqu’ils travaillent ou sont employés par eux. Sont concernés les fournisseurs de prestations admis en tant qu’organisation ou établissement, pour lesquels les dispositions d’exécution devront définir quelles personnes physiques travaillant dans ces établissements sous leur propre responsabilité professionnelle doivent être inscrites dans l’annuaire. Un professionnel de la santé peut en outre se voir attribuer un ou plusieurs auxiliaires dans l’annuaire, ce qui permet par exemple de définir des divisions de grands hôpitaux ou des structures de cabinets collectifs, et de reproduire ainsi la structure organisationnelle interne de l’établissement de santé.

Ces prescriptions garantissent une représentation minimale de la structure organisationnelle interne d’un établissement de santé dans l’annuaire des professionnels de la santé et des établissements de santé, ce qui permet aux titulaires d’un DES d’affiner les critères de leurs autorisations.

Art. 28 Traitement des données par les professionnels de la santé pour les établissements de santé et par les auxiliaires

Al. 1

Il incombe aux établissements de santé de veiller à ce que les professionnels de la santé qu’ils emploient effectuent en leur nom les traitements de données prévus par la présente loi. Les établissements de santé peuvent s’en assurer en inscrivant correctement les professionnels de la santé qu’ils emploient dans l’annuaire des professionnels de la santé et des établissements de santé. Cette mesure inclut notamment l’obligation d’informer ces personnes des sanctions éventuelles en cas de violation des dispositions de la présente loi, notamment du caractère punissable de la consultation non autorisée d’un DES (art. 41). Cette disposition est nécessaire, car le présent projet de loi concerne uniquement les fournisseurs de prestations visés par la LAMal, la LAI, la LAA et la LAM et les professionnels de la santé qui se raccordent volontairement au système d’information DES, et pas les personnes employées par un établissement de santé raccordé.

Al. 2

Si un professionnel de la santé ou un établissement de santé fait appel à des auxiliaires, il doit, par analogie avec l’obligation prévue à l’al. 1, veiller à ce que ceux-ci effectuent les traitements de données en son nom, c’est-à-dire qu’ils soient correctement inscrits dans l’annuaire des professionnels de la santé et des établissements de santé et qu’ils soient notamment informés des sanctions prévues par la loi (cf. commentaire de l’al. 1).

Al. 3

Cette disposition précise que l’inscription dans l’annuaire des professionnels de la santé et des établissements de santé est une condition impérative pour pouvoir effectuer des traitements de données prévus par la présente loi. Comme cet annuaire est accessible aux titulaires d’un DES, il offre une transparence totale quant aux professionnels de la santé et aux établissements de santé qui peuvent traiter des données dans le DES.

Art. 29 Section 9:
Professionnels de la santé militaires et établissements de santé militaires

Al. 1

Cet alinéa impose au Groupement Défense du DDPS de raccorder au système d’information DES les professionnels de la santé militaires, les établissements de santé militaires et les systèmes d’information militaires mentionnés dans cette disposition afin de permettre la consultation des DES de membres de l’armée ou de conscrits, pour autant que ces personnes aient accordé les droits correspondants.

La possibilité pour les professionnels de la santé militaires et les établissements de santé militaires de consulter les DES est un avantage aussi bien pour l’armée que pour les titulaires. Ainsi, dans le cadre du recrutement, elle offre par exemple un accès facile à une radiographie prouvant qu’un conscrit est inapte au service. De plus, les titulaires d’un DES ont accès dans leur vie civile à la documentation relative aux traitements médicaux effectués par un professionnel de la santé militaire pendant le service.

Les personnes travaillant dans le domaine de la santé militaire, en particulier les médecins et le personnel infirmier, sont tenues d’enregistrer en continu les données des patients. Ces données sont archivées sous forme électronique dans le Système d’information médicale de l’armée (MEDISA) géré par le Groupement Défense du DDPS (cf. art. 25 ss de la loi fédérale du 3 octobre 2008 sur les systèmes d’information de l’armée et du DDPS [LSIA]⁶⁸). Les données de santé sont également traitées dans d’autres systèmes d’information militaires de l’armée, notamment les systèmes d’information sur les patients (SIPAT), le Système d’information de médecine aéronautique (MEDIS FA) et le Système d’information et de conduite pour le service sanitaire coordonné (SIC SSC) (art. 30 ss, 42 ss et 72 ss LSIA).

Le Groupement Défense du DDPS peut exclure du raccordement les professionnels de la santé militaires et les établissements de santé militaires. Cette mesure est nécessaire pour prendre en compte les spécificités du système de santé militaire, notamment lors d’opérations à l’étranger. Il convient de peser ces intérêts par rapport à l’objectif visé, à savoir que les titulaires d’un DES disposent à l’avenir de données pertinentes pour un traitement médical qui soient aussi complètes que possible. Le DDPS est donc chargé de prendre les dispositions nécessaires pour que les systèmes d’information militaires soient raccordés au système d’information DES, et d’édicter les prescriptions de service nécessaires à l’égard des professionnels de la santé militaires et des établissements de santé militaires concernant l’utilisation du DES.

Le Conseil fédéral est compétent pour exiger le raccordement au système d’information DES d’autres systèmes d’information prévus par la LSIA. Cette disposition tient compte du fait que d’autres systèmes d’information militaires pourraient à l’avenir contenir des données pertinentes pour un traitement médical et qui, dans l’intérêt du titulaire d’un DES ou des professionnels de la santé et des établissements de santé qui traitent ultérieurement le titulaire, devraient être transférées dans le DES. Il faut toutefois éviter que des données gérées dans les systèmes d’information militaires aux fins du profilage prévu à l’art. 2b LSIA ne se retrouvent dans le DES.

Al. 2

Cette disposition confère au Groupement Défense du DDPS la compétence d’exclure totalement ou partiellement la saisie de données pertinentes pour un traitement médical dans un DES en raison d’intérêts prépondérants de l’armée en matière de sécurité et de maintien du secret. À cet égard, il doit peser les intérêts de l’armée en matière de sécurité et de maintien du secret par rapport aux intérêts du titulaire d’un DES et des professionnels de la santé ou des établissements de santé qui traitent ultérieurement le titulaire à disposer d’une documentation aussi complète que possible sur le patient. Si les intérêts de l’armée en matière de sécurité et de maintien du secret l’emportent, il peut prendre les mesures nécessaires, par exemple exclure la saisie de données pertinentes pour le traitement médical des membres de certaines formations.

Art. 30 Composition, financement et adhésion

Al. 1

En vertu de la définition qui en est donnée à l’al. 1, une communauté se compose pour l’essentiel de professionnels de la santé civils et d’établissements de santé civils. Une communauté est donc un groupement de droit privé de ces acteurs, une description qui vaut aussi pour les communautés et les communautés de référence dans la LDEP en vigueur.

La définition des communautés et des communautés de référence dans le droit en vigueur s’est toutefois révélée peu adaptée à la réalité pratique, puisque seuls des professionnels de la santé peuvent y adhérer. Dans ce contexte, il a donc fallu créer des structures porteuses auxquelles les autres acteurs concernés (notamment les cantons) pouvaient être intégrés. La présente disposition permet dès lors que d’autres acteurs, en plus des professionnels de la santé civils et des établissements de santé civils, puissent participer directement à une communauté, en particulier des cantons et des associations professionnelles, mais aussi des entreprises informatiques. La LDSan doit être aussi ouverte que possible à cet égard, afin que l’organisation d’une communauté puisse être adaptée à l’évolution des besoins et que d’autres acteurs puissent y adhérer directement.

Les communautés peuvent percevoir des cotisations auprès de leurs membres pour assurer le financement de leurs activités.

Al. 2

Afin que les professionnels de la santé, les établissements de santé et les titulaires d’un DES puissent bénéficier des prestations des communautés, l’offre de ces dernières doit couvrir l’ensemble du territoire suisse. Il est établi que toutes les communautés ne peuvent pas se financer par leurs propres moyens, par exemple grâce aux cotisations des professionnels de la santé et des établissements de santé qui y adhèrent. Dans le cadre de la répartition des tâches entre la Confédération et les cantons et pour assurer le financement du DES, les cantons sont tenus de garantir l’existence d’au moins une communauté sur leur territoire.

Les cantons peuvent choisir librement la communauté dont ils doivent garantir l’existence. Les cantons, qui assurent l’ouverture automatique des DES pour leur population résidante, désignent au moins une communauté chargée d’assister les titulaires dans l’utilisation de leur dossier électronique.

À l’heure actuelle, les cantons sont impliqués à des degrés divers auprès des communautés (de référence). Étant tenus de veiller à ce qu’une communauté assure la prise en charge des titulaires d’un DES sur leur territoire et donc, dans certains cas, d’assurer son financement, ils doivent pouvoir obliger les professionnels de la santé et les établissements de santé à adhérer à une communauté donnée. À cette fin, ils sont également libres de fonder leur propre communauté, mais ils doivent y intégrer les professionnels de la santé et les établissements de santé, puisque ceux-ci doivent dans tous les cas faire partie des entités constitutives d’une communauté (cf. al. 1).

Al. 3

Un professionnel de la santé ou un établissement de santé actif dans plusieurs cantons et visé par des dispositions prévoyant l’adhésion à une communauté précise ne doit pas être tenu d’adhérer à plusieurs communautés. La présente disposition prévoit par conséquent qu’il est soumis aux seules prescriptions du canton sur le territoire duquel il réalise la majorité de ses traitements médicaux. En cas de doute sur le canton dans lequel la majorité des traitements médicaux sont réalisés, les cantons concernés doivent s’entendre sur ce point.

Art. 31 Tâches

En sus des tâches énoncées dans cet article, les communautés peuvent être sollicitées par les cantons pour les tâches qui incombent à ces derniers en vertu de la présente loi. Il est par exemple envisageable qu’un canton charge une communauté d’informer les personnes concernées par la procédure d’ouverture automatique avec droit d’opposition (cf. art. 20, al. 2).

Al. 1

Les communautés assistent les titulaires d’un DES dans l’utilisation de ce dernier. À leur demande, elles les aident à consulter, à saisir ou à supprimer des données dans leur DES, à paramétrer les autorisations ou à mettre en place des représentations (cf. art. 11, al. 1 à 3 et 5).

Pour exercer ces activités, elles sont autorisées à accéder aux données en question dans le système d’information DES (cf. art. 15, al. 1). Elles ne peuvent cependant pas mettre à la charge des titulaires les coûts qu’implique le recours à ces prestations (cf. art. 4).

Al. 2

Les communautés doivent veiller à offrir aux titulaires d’un DES un accès aisé aux services qu’elles mettent à leur disposition (cf. commentaire de l’al. 1). Parmi ces services figurent notamment le conseil personnalisé et d’autres prestations que les communautés dispensent dans le cadre d’un service d’assistance physique ou téléphonique. Cette disposition exige en outre que tous les titulaires d’un DES puissent, autant que possible, accéder à ces services d’assistance dans un délai raisonnable. Ces services doivent permettre aux titulaires d’un DES d’effectuer des opérations sans moyen d’authentification (cf. art. 10, al. 1), en particulier traiter des données dans leur DES, paramétrer les autorisations ou mettre en place des représentations (cf. art. 11, al. 1 à 3 et 5).

L’offre de services d’assistance permet aussi de répondre aux besoins spécifiques de personnes qui, par exemple en raison d’un handicap ou parce qu’elles ne sont pas familières de l’utilisation d’outils numériques, ne sont pas en mesure d’utiliser leur DES de manière indépendante.

Al. 3

Les professionnels de la santé et les établissements de santé doivent pouvoir utiliser le DES le plus simplement possible. C’est pourquoi les communautés doivent les former de manière qu’ils puissent s’en servir efficacement. Ces formations contribuent par ailleurs à une tenue des DES la plus uniforme possible.

Lorsque la législation est modifiée, et qu’elle introduit par exemple l’obligation d’utiliser un nouveau format d’échange, il incombe aux communautés d’informer leurs adhérents de ces nouveautés de manière appropriée. Les communautés aident ainsi les professionnels de la santé et les établissements de santé à remplir leurs obligations légales en lien avec la tenue des DES, tout en leur facilitant la tâche.

Al. 4

Cette disposition prévoit que les communautés peuvent aider les professionnels de la santé et les établissements de santé à accomplir d’autres tâches prévues dans le présent projet de loi, comme le raccordement au système d’information DES (voir l’art. 25, al. 1, et les obligations de raccordement inscrites dans la LAMal, la LAI, la LAA et la LAM). Les communautés peuvent également actualiser l’annuaire des professionnels de la santé et des établissements de santé et créer la liaison avec un moyen d’authentification. Elles ne sont toutefois pas tenues d’offrir ces services aux professionnels de la santé et aux établissements de santé.

Pour exercer ces activités, les communautés sont autorisées à accéder à l’annuaire des professionnels de la santé et des établissements de santé et, avec le consentement des professionnels de la santé et des établissements de santé concernés, à traiter les données en question (cf. art. 15, al. 2).

Al. 5

Si une communauté constate que l’un de ses professionnels ou établissements adhérents commet des infractions graves ou répétées à une obligation prévue par le présent projet – qu’il s’agisse par exemple de l’obligation de saisir les données pertinentes pour un traitement médical (cf. art. 14, al. 1) ou du respect des prescriptions techniques dans la communication avec le système d’information DES (cf. art. 7) –, elle le signale à l’autorité chargée de la surveillance des professionnels de la santé et des établissements de santé, afin que celle-ci puisse mener les investigations nécessaires et prendre au besoin les mesures qui s’imposent (cf. art. 36, al. 1 et 2).

Art. 32 Autorisation

En vertu du droit en vigueur, les communautés sont soumises à une obligation de certification pour pouvoir participer à l’échange de données inter-communautés dans le cadre du DEP. Le présent projet entraîne une centralisation de l’infrastructure technique du système d’information DES et fait donc disparaître certaines exigences essentielles qui s’appliquent aux communautés, comme celles concernant l’infrastructure technique et l’interopérabilité. Dans le cadre de cette centralisation, la procédure de certification propre au DEP, obsolète, est remplacée par une procédure d’autorisation. Celle-ci permet de s’assurer que les communautés respectent les exigences organisationnelles et techniques minimales qui leur sont imposées. On pense ici en particulier aux processus visant à garantir le respect des exigences de protection et de sécurité des données de la part des professionnels de la santé et des établissements de santé adhérents.

Al. 1

Pour exercer leur activité (cf. art. 31), les communautés doivent préalablement obtenir une autorisation.

Al. 2

L’autorisation est délivrée par les cantons. La compétence d’un canton est déterminée par le siège de la communauté. Aux termes de l’art. 36, les cantons sont tenus de désigner une autorité chargée d’assurer la surveillance des communautés et, partant, de leur délivrer l’autorisation ad hoc; ils doivent également établir la procédure en la matière (voir cet article).

Al. 3

Le Conseil fédéral précisera dans les dispositions d’exécution les exigences applicables aux communautés, notamment en ce qui concerne la protection et la sécurité des données. Dans ce cadre, il s’agit également d’examiner les dispositifs de formation des professionnels de la santé et des établissements de santé (ainsi que leur gestion), les dispositifs de soutien aux titulaires d’un DES et le respect des prescriptions concernant les services d’assistance.

Le Conseil fédéral peut aussi désigner un service auquel les communautés doivent s’adresser pour faire attester du respect des conditions citées ci-dessus. Ce service établit un plan d’examen en vue de l’expertise et procède à l’examen des communautés conformément à ce plan. Cet examen peut prendre la forme de visites de terrain, d’audits ou d’échanges écrits. Le service désigné peut également faire appel à d’autres entités compétentes, comme eHealth Suisse ou l’OFCS. eHealth Suisse peut apporter ses connaissances spécifiques des processus et des aspects techniques, tandis que l’OFCS peut mettre à profit ses compétences dans le domaine de la sécurité de l’information et des données. L’OFCS soutient aussi le service désigné pour ce qui est de certains aspects, comme les exigences de sécurité accrues auxquelles les communautés doivent se conformer et auxquelles elles doivent former les professionnels de la santé et les établissements de santé adhérents. Ces aspects concernent par exemple la configuration sécurisée des terminaux, la mise à jour des programmes informatiques aux fins de la protection contre les logiciels malveillants, les systèmes de protection des réseaux et la limitation des droits d’administration.

Art. 33 Suppression

Cette disposition confère au Conseil fédéral la compétence de fixer les droits et obligations des parties concernées en cas de suppression d’une communauté. Étant donné que les professionnels de la santé civils et les établissements de santé civils sont tenus, en vertu de l’art. 25, al. 2, d’adhérer à une communauté ou d’en créer une, il est nécessaire de trouver une solution de remplacement en cas de cessation d’activité. Il s’agit en particulier de définir le délai dans lequel les professionnels de la santé et les établissements de santé doivent adhérer à une autre communauté ou en créer une.

Dans le cas où une communauté disparaîtrait, les titulaires d’un DES n’auraient temporairement plus de service auquel s’adresser en cas de demandes liées au DES. Il faut donc prévoir qu’ils puissent se rendre auprès du service d’assistance d’une autre communauté ou le joindre d’une autre manière. Cette démarche pourrait être considérée comme un changement vers cette communauté (cf. art. 23).

Art. 34 Information

Al. 1 et 2

Ces dispositions correspondent à l’art. 15 de la LDEP en vigueur.

Fondamentalement, l’information adéquate de la population, des professionnels de la santé et des autres milieux intéressés incombe aux cantons. La Confédération coordonne ces activités et fournit, à titre subsidiaire, des informations générales sur le contenu du DES et sur ce qu’il implique pour la population. Elle peut le faire par exemple dans le cadre de campagnes, sur les sites Internet officiels de la Confédération et en coopération avec eHealth Suisse. Ces informations, qui portent par exemple sur les offres spécifiques ou les possibilités d’accès au DES, servent de base de décision pour tout ce qui concerne l’utilisation du DES. Afin de garantir une information cohérente et une approche concertée, il est expressément précisé que la Confédération coordonne son activité d’information avec celle des cantons.

Al. 3

Afin de garantir une communication unifiée vis-à-vis de la population dans le cadre de l’ouverture automatique de DES, la Confédération met à la disposition des cantons du matériel d’information et des documents, par exemple sous forme de modèles ou de brochures. Ces documents contiennent notamment les informations que les cantons doivent communiquer aux personnes concernées (cf. art. 20, al. 2).

Art. 35 Évaluation

Al. 1

L’art. 170 Cst., qui prévoit l’évaluation de l’efficacité des mesures prises par la Confédération, s’adresse en premier lieu à l’Assemblée fédérale, mais aussi indirectement à l’administration. Afin d’en tenir compte, il est précisé ici que le DFI veille à ce que l’adéquation et l’efficacité des mesures adoptées en vertu de la LDSan soient périodiquement évaluées. Il n’est pas précisé si le DFI procède lui-même à l’évaluation ou s’il la délègue à des tiers. Cette évaluation a pour but de déterminer scientifiquement, au prix d’un effort raisonnable, si et comment certaines mesures produisent les résultats attendus, et dans quelle mesure les objectifs poursuivis par la loi sont atteints. Dans le présent contexte, il s’agit de déterminer si les mesures prévues par la loi – et en particulier l’ouverture automatique avec droit d’opposition, l’obligation de raccordement de tous les fournisseurs de prestations visés par la LAMal, la LAI, la LAA et la LAM, ainsi que l’exploitation du système d’information DES par la Confédération – permettent d’améliorer la qualité des processus thérapeutiques, la sécurité des patients et l’efficacité du système de santé.

Art. 36 Compétences

Cet article concerne la surveillance des professionnels de la santé civils, des établissements de santé civils et des communautés. La surveillance des professionnels de la santé militaires et des établissements de santé militaires n’entre pas dans son champ d’application, car ces acteurs sont soumis à la surveillance des autorités militaires compétentes en vertu de dispositions de lois spéciales.

Al. 1

Comme les soins de santé relèvent constitutionnellement de la compétence des cantons, il leur incombe d’exercer la surveillance prévue par la présente loi et, partant, de poursuivre les infractions à ses dispositions. Cette règle fait écho à celles des différentes lois sur les assurances sociales, en particulier à celle de la LAMal, aux termes de laquelle il revient aux cantons d’assurer la surveillance des fournisseurs de prestations. Cette activité de surveillance porte aussi bien sur les professionnels de la santé civils et les établissements de santé civils que sur les communautés.

Les cantons doivent désigner une autorité chargée de la surveillance (cf. al. 4). Dans la pratique, il devrait souvent s’agir des services qui assurent la surveillance exigée par la LAMal, comme les offices cantonaux de la santé publique. Les cantons peuvent ainsi s’appuyer sur des structures existantes pour exercer leur activité de surveillance. Il est ainsi garanti que l’autorité de surveillance dispose des connaissances spécifiques pour accomplir cette tâche et, au besoin, prononcer des sanctions administratives. Les cantons doivent également définir la procédure de surveillance cantonale, qui devrait elle aussi s’aligner sur les réglementations existantes. Il n’en va pas de même pour les établissements de cure balnéaire (fournisseurs de prestations visés à l’art. 35, al. 2, let. l, LAMal): par cohérence avec la LAMal, le DFI est responsable de la surveillance de ces établissements et du contrôle concernant leur obligation de raccordement.

Les infractions à la présente loi sont principalement passibles de sanctions administratives plutôt que pénales (cf. art. 38). L’activité de surveillance comprend le contrôle du respect de toutes les dispositions de la présente loi, car comme le prévoit l’art. 38, al. 1, les infractions à l’obligation de raccordement prévue par une loi spéciale (let. a), de même que le non-respect des dispositions de la LDSan ou de ses dispositions d’exécution (let. b), sont passibles de sanctions administratives (cf. commentaire de l’art. 38).

Al. 2

Lorsque l’on cherche à savoir quel canton a compétence pour surveiller un professionnel de la santé civil ou un établissement de santé civil dans un cas d’espèce, le critère déterminant est le lieu où le traitement médical est effectué. Dans la grande majorité des cas, il permet de désigner le canton compétent.

La surveillance englobe également des activités des professionnels de la santé et des établissements de santé qui n’ont pas de rapport avec un acte thérapeutique précis. On peut penser ici à l’obligation d’adhérer à une communauté donnée, qu’un canton pourrait imposer aux professionnels de la santé et aux établissements de santé (cf. art. 30, al. 2 et 3), ou à l’obligation de s’inscrire dans l’annuaire des professionnels de la santé et des établissements de santé (cf. art. 27). D’autres obligations peuvent par ailleurs être prévues dans les dispositions d’exécution, comme celle du respect des normes techniques prescrites par le Conseil fédéral (cf. art. 7). Le critère déterminant pour la compétence en matière de surveillance est territorial: le canton compétent est celui sur le territoire duquel le professionnel de la santé ou l’établissement de santé effectue la majorité de ses traitements médicaux. En cas de doute sur l’attribution de cette compétence, les cantons, qui sont en ce cas tenus à l’entraide administrative (cf. art. 37), doivent clarifier la situation ensemble.

Al. 3

La surveillance d’une communauté relève du canton où cette dernière a son siège. Cette règle repose sur le principe de territorialité qui s’applique en droit pénal et qui offre ici une solution appropriée puisqu’elle tranche clairement la question de la compétence.

Étant donné que les communautés devraient généralement exercer leur activité dans plusieurs cantons, les services chargés de la surveillance sont tenus à l’entraide administrative, afin que dans un cas d’espèce, le service compétent dispose de toutes les informations lui permettant de s’acquitter de sa tâche (cf. art. 37).

Al. 4

Les cantons doivent désigner une autorité chargée de la surveillance des professionnels de la santé civils, des établissements de santé civils (à l’exception des établissements de cure balnéaire) et des communautés (cf. commentaire de l’al. 1).

Al. 5

Afin que les autorités de surveillance puissent vérifier si les professionnels de la santé et les établissements de santé tenus de se raccorder au système d’information DES en vertu d’une loi spéciale se sont conformés à cette obligation, la loi leur permet de consulter l’annuaire des professionnels de la santé et des établissements de santé.

Art. 37 Assistance administrative

Les autorités compétentes en matière de surveillance et d’autorisation doivent pouvoir échanger toute information obtenue ou utilisée dans le cadre de leur activité de surveillance. La présente disposition prévoit ainsi qu’elles doivent se communiquer mutuellement, sur demande, toutes les informations nécessaires à l’application d’une procédure donnée. Ces informations ne peuvent être utilisées qu’à cette fin. Cette disposition prévoit expressément que ces autorités sont habilitées à communiquer des données relatives aux poursuites et aux sanctions administratives et pénales, ainsi que des données relatives aux secrets professionnels, commerciaux et industriels. Cette précision est nécessaire, car dans certains cas, les informations transmises par une autorité de surveillance à une autre peuvent contenir de telles données (p. ex. des sanctions déjà prononcées ou du code informatique protégé par le droit d’auteur).

Art. 38 Infractions

Cette disposition confère aux autorités de surveillance la compétence de prendre les mesures administratives requises lorsqu’un professionnel de la santé civil, un établissement de santé civil ou une communauté contrevient à une obligation découlant du présent projet, y compris de ses dispositions d’exécution. La sanction administrative en cas d’infraction doit être distinguée de la sanction pénale prévue à l’art. 41.

Contrairement au droit pénal, qui a vocation à réprimer les comportements coupables et illicites, et à contribuer à la prévention générale comme à la prévention spéciale, les sanctions administratives sont destinées à protéger l’intérêt public – en l’occurrence le bon fonctionnement du DES – et à prévenir de futures infractions. Des sanctions administratives peuvent être prononcées en l’absence de toute faute. Cependant, l’art. 38 établit une distinction entre les infractions intentionnelles (al. 1) et les infractions résultant d’une négligence ou d’une faute légère (al. 2). Lorsqu’un professionnel de la santé, un établissement de santé ou une communauté a enfreint la LDSan sans intention de le faire ni par négligence, autrement dit lorsque la violation d’une obligation découlant de cette loi ne relève ni d’une intention ni d’une négligence, l’infraction n’est pas sanctionnée. Ces cas devraient toutefois rester extrêmement rares, puisqu’il est question ici de sanctionner des infractions à des normes de droit explicites que leurs destinataires doivent connaître.

Les infractions à des prescriptions cantonales complétant la LDSan n’entrent pas dans le champ d’application de la présente disposition; l’application de telles prescriptions et des sanctions qu’elles prévoient relève du droit cantonal.

Al. 1

La let. a prévoit la possibilité de sanctionner les professionnels de la santé et les établissements de santé qui ne respectent pas l’obligation ou la condition leur imposant de se raccorder au système d’information DES qui leur incombe en vertu des lois relevant du droit des assurances sociales énumérées ici. Cette disposition est le principal levier permettant aux autorités de surveillance de faire respecter l’obligation de raccordement afin que le DES puisse déployer son plein potentiel, ce qui suppose que le DES soit, dans la mesure du possible, utilisé par la totalité des professionnels de la santé et des établissements de santé impliqués dans un traitement médical.

La let. b prévoit elle aussi la possibilité de sanctionner administrativement les infractions à la présente loi ou à ses dispositions d’exécution commises par des professionnels de la santé, des établissements de santé ou des communautés. Parmi ces infractions figurent les violations des obligations légales incombant aux professionnels de la santé et aux établissements de santé, et en particulier les obligations suivantes:

• – respecter les prescriptions techniques (art. 7);

• – rectifier des données (art. 8, al. 1, let. c, 2 et 3);

• – ne pas saisir des données lorsque le titulaire du DES l’a spécifiquement demandé (art. 11, al. 4, et 14, al. 1);

• – informer le titulaire de l’accès à son dossier dans une situation d’urgence (art. 13, al. 3);

• – saisir les données pertinentes pour un traitement médical dans le DES (art. 14, al. 1);

• – adhérer à une communauté ou en créer une (art. 25, al. 2);

• – s’inscrire dans l’annuaire des professionnels de la santé et des établissements de santé (art. 27);

• – veiller à ce que les professionnels de la santé et les auxiliaires effectuent les traitements de données au nom des professionnels de la santé ou des établissements de santé qui ont fait appel à eux (art. 28).

Ces infractions comprennent également les violations des obligations légales incombant aux communautés, et en particulier des obligations suivantes:

• – désigner les collaborateurs qui ont accès aux données visées à l’art. 5, al. 3 (art. 15, al. 3);

• – ouvrir un DES (art. 22, al. 3);

• – permettre le changement de communauté (art. 23);

• – supprimer un DES (art. 24, al. 1, let. b);

• – rectifier des données (art. 8, al. 1, let. b), traiter des données (art. 11, al. 1), paramétrer des autorisations (art. 11, al. 2 et 3) et mettre en place des représentations (art. 11, al. 5) sur demande des titulaires et afin de les assister dans l’utilisation de leur DES (art. 31, al. 1);

• – offrir aux titulaires de DES un accès aisé aux services de conseil et d’assistance sur place et par téléphone (art. 31, al. 2);

• – former les professionnels de la santé et les établissements de santé adhérents et les informer des nouvelles dispositions légales (art. 31, al. 3);

• – signaler les infractions aux exigences découlant de la présente loi (art. 31, al. 5).

Les infractions visées aux let. a et b doivent avoir été intentionnelles; la sanction applicable à une infraction résultant d’une négligence est prévue à l’al. 2.

Les infractions sont passibles d’une amende pouvant s’élever à 10 000 francs au plus. L’appréciation du montant de l’amende incombe à l’autorité de surveillance.

Al. 2

En cas de faute grave, l’amende prononcée à l’encontre d’un professionnel de la santé, d’un établissement de santé ou d’une communauté peut s’élever à 100 000 francs au plus. Une faute est considérée comme grave lorsque le comportement fautif induit un risque sérieux pour la sécurité du DES ou en cas de violations répétées ou systématiques des dispositions de la LDSan. Un grave manquement aux obligations prévues, autrement dit lorsque les règles élémentaires de diligence ne sont pas respectées, peut également constituer une faute grave. Un hôpital qui refuserait de raccorder certaines cliniques au système d’information DES ou un professionnel de la santé qui ne saisirait aucune donnée dans le DES, et ce de manière systématique, constituent des exemples d’un tel manquement. En outre, les infractions commises par des personnes occupant des postes à responsabilité ou les infractions entraînant de lourdes conséquences sont indicatrices d’une faute grave.

À l’inverse, les autorités de surveillance peuvent se contenter de prononcer un avertissement ou renoncer à engager une procédure. C’est par exemple le cas lorsqu’un professionnel de la santé ou un établissement de santé oublie de saisir des données dans un DES, alors qu’en général, il s’acquitte de cette tâche de manière exemplaire.

Il revient à l’autorité de surveillance compétente de décider au cas par cas et dans les limites de son pouvoir d’appréciation si une infraction doit être sanctionnée et, le cas échéant, de quelle manière.

Art. 39 Prescription

Al. 1

Le délai de prescription est de deux ans à compter de la date à laquelle l’autorité de surveillance a eu connaissance des faits incriminés. Les autorités de surveillance sont ainsi tenues d’engager la procédure dans les meilleurs délais. Les faits peuvent ainsi être clarifiés dans un délai raisonnable pour toutes les personnes concernées.

Al. 2

Les procédures complexes sont souvent longues, avec le risque d’entraîner la prescription prévue à l’al. 1. Pour que cela n’arrive pas, cette disposition prévoit que tout acte d’instruction ou de procédure interrompt le délai de prescription s’il émane de l’autorité de surveillance, d’une autorité de poursuite pénale ou d’un tribunal.

Al. 3

Le délai de prescription est dans tous les cas de dix ans à compter de la commission des faits incriminés. Les actes d’instruction ou de procédure mentionnés à l’al. 2 n’ont pas pour effet d’interrompre ce délai. Par conséquent, une procédure doit être menée à son terme dans un délai de dix ans.

Art. 40 Information et publication d’informations sur les procédures administratives ou pénales

Al. 1

Les informations sur des poursuites ou des sanctions administratives et pénales sont des données personnelles sensibles (art. 5, let. c, ch. 5, LPD). La transmission de ces données par les autorités compétentes nécessite une base légale formelle. Celles-ci doivent en outre procéder au préalable à une pesée des intérêts: les informations ne peuvent être transmises à des tiers que si l’intérêt à les communiquer l’emporte sur les intérêts publics ou privés qui s’y opposent. De manière générale, la communication paraît par exemple justifiée lorsqu’un établissement de santé dont le financement repose en majeure partie sur les fonds publics ne respecte pas les dispositions de la LDSan. Il n’est en revanche pas justifié de divulguer des informations relatives à un cabinet médical qui aurait accidentellement omis de saisir quelques données dans un DES. L’autorité compétente est dans tous les cas tenue d’examiner avec soin les raisons qu’il y a à communiquer des données sensibles ou à y renoncer.

Al. 2

Les informations sensibles sur les sanctions administratives ou pénales ne doivent être publiées qu’à titre exceptionnel, si elles présentent un intérêt public. Tel peut par exemple être le cas si cette publication permet de lutter contre les abus ou les escroqueries. On peut penser au cas où des personnes tentent de manipuler ou d’utiliser le système d’information DES pour leur propre bénéfice. Il importe alors d’informer la population des dangers potentiels, afin d’éviter tout dommage.

Al. 3

La publication des décisions sous forme anonymisée n’appelle pas la présence d’un intérêt public comme le prévoit l’al. 2, car il ne s’agit pas de données sensibles au sens de la LPD.

Art. 41 Consultation non autorisée du dossier électronique de santé

Consulter un DES ou enregistrer des données provenant d’un DES dans un système d’information de cabinet médical ou un système d’information hospitalier sans autorisation est passible de sanctions. Cette disposition concerne essentiellement la consultation d’un DES par un professionnel de la santé ou un établissement de santé sans le consentement de la personne concernée qu’exige cet acte ou dans une situation qui ne constitue pas un cas d’urgence médicale (accès d’urgence fictif). Cette norme pénale s’applique également à toute autre consultation d’un DES réalisée sans autorisation ou sans le consentement de la personne titulaire. Elle peut notamment s’appliquer à un collaborateur d’une communauté qui aurait consulté un DES sans que la personne titulaire en ait fait la demande.

La sanction encourue est une amende pouvant aller jusqu’à 100 000 francs. Cette dérogation à l’art. 106, al. 1, CP, prévoyant une amende maximale de 10 000 francs, est justifiée, car elle est nécessaire pour prévenir efficacement une utilisation abusive du DES. Cependant, si le code pénal prévoit une sanction plus sévère, la disposition correspondante du code pénal s’applique (p. ex. en cas de piratage, qui constitue une introduction sans droit dans un système informatique, donc une infraction visée à l’art. 143^bis CP).

Art. 42 Applicabilité du droit pénal administratif

Cette disposition déclare applicables les art. 6 et 7 DPA. Un renvoi explicite est nécessaire, car le droit pénal administratif n’est en principe pas applicable en l’espèce. L’art. 6, al. 2, DPA permet d’engager la responsabilité de l’employeur dans le domaine de la LDSan puisque les obligations découlant de ladite loi concernent également les établissements de santé. L’art. 6, al. 2, DPA remplit ainsi une fonction similaire à celle de l’art. 29 CP, et définit une responsabilité pénale à l’échelon de la direction de l’entreprise, c’est-à-dire des personnes dirigeantes qui ont le pouvoir de décider et de donner des instructions. La responsabilité pénale peut ainsi être attribuée de manière appropriée au sein des entreprises.

Art. 43 Compétence

La disposition pénale relevant du droit pénal accessoire de la Confédération, il convient de déterminer quel organe a compétence pour poursuivre et juger les infractions en première instance. Cette disposition prévoit que cette compétence relève des cantons.

Art. 44 Exécution

Ces dispositions donnent explicitement mandat au Conseil fédéral d’édicter les dispositions d’exécution nécessaires à la mise en œuvre de la LDSan. Cette disposition générale est concrétisée par des normes de délégation dans la présente loi. Le Conseil fédéral peut également déléguer aux départements la compétence d’édicter les dispositions d’exécution, pour autant que la portée des normes envisagées le permette. Ce pouvoir de délégation découle de l’art. 48, al. 1, LOGA.

Art. 45 Abrogation et modification d’autres actes

L’abrogation et la modification d’autres actes sont réglées en annexe et commentées au ch. 5.2.

Art. 46 Dispositions transitoires

Les dispositions transitoires réglementent en particulier le transfert des données existantes des DEP vers le système d’information DES et la première mise en œuvre de l’ouverture automatique avec droit d’opposition. Étant donné que les différentes étapes de l’introduction du DES – à savoir la mise en place de l’infrastructure technique, le transfert des données des DEP tenus de manière décentralisée par les communautés et les communautés de référence vers le système d’information DES et la mise en service du nouveau dispositif, qui inclut l’accès des titulaires, des professionnels de la santé et des établissements de santé – ne peuvent pas intervenir simultanément, mais progressivement, les dispositions de la LDSan doivent être mises en vigueur de manière échelonnée. Il reviendra au Conseil fédéral de préciser l’échelonnement. En l’état actuel des connaissances, les étapes de l’entrée en vigueur des dispositions de la LDSan pourraient être celles-ci:

• Première étape: abrogation de la LDEP et entrée en vigueur de la LDSan, sections 1, 2, 4, 8 à 14 et 15 (art. 46, al. 1 à 6 uniquement);

• Deuxième étape: sections 3, 5 à 7, et art. 46, al. 7 à 9.

Du fait de l’abrogation de la LDEP, les communautés (de référence) ne seront plus autorisées à exploiter l’infrastructure actuelle du DEP ni à traiter les données DEP qu’elle contient, à l’exception des dispositifs et des tâches nécessaires au transfert des données (cf. al. 3). La deuxième étape doit donc intervenir de manière aussi rapprochée que possible de la première. Entre ces deux étapes, les patients, les professionnels de la santé et les établissements de santé ne pourront plus accéder au DEP actuel. Quant à l’accès au DES, il ne sera possible qu’une fois la deuxième étape effective.

Al. 1

Le numéro d’identification pour le DEP (numéro d’identification du patient) – pour les personnes qui en possèdent un – est utilisé comme numéro d’identification au sens de l’art. 19 et reste donc valable pour le DES. Il est ainsi garanti que les numéros d’identification du patient émis conformément à la LDEP en vigueur satisfont aux exigences légales pour être utilisés dans le domaine de la LDSan une fois la LDEP abrogée. Un numéro d’identification du patient n’est cependant transféré dans le DES que si le DEP auquel il est rattaché n’a pas été supprimé avant l’entrée en vigueur de la disposition en question.

Al. 2

À la différence de la LDEP en vigueur, la LDSan prévoit l’existence de communautés, mais pas de communautés de référence. Les communautés et communautés de référence créées en vertu du droit en vigueur peuvent cependant poursuivre leurs activités dans le cadre de la LDSan. Cette disposition énonce par conséquent que les communautés de référence au sens de la LDEP en vigueur sont réputées communautés – autorisées – au sens de la LDSan pendant un an à compter de l’entrée en vigueur de cette disposition. Il en va de même pour les communautés – au sens de la LDEP – qui existent déjà, pour autant qu’elles s’acquittent des tâches correspondantes, notamment assister les titulaires d’un DES – durant cette période. Cette précision est nécessaire, car l’obtention de l’autorisation d’exploiter une communauté peut prendre un certain temps, ce qui ne doit toutefois pas retarder l’introduction du DES.

Al. 3 à 5

Comme indiqué au début du commentaire du présent article, les données existantes des DEP doivent être transférées vers le système d’information DES. Les communautés et les communautés de référence au sens de la LDEP en vigueur sont dès lors tenues de procéder à ce transfert. Le Conseil fédéral détaillera l’obligation correspondante dans les dispositions d’exécution. Il y précisera en particulier le délai dans lequel les communautés (de référence) devront procéder au transfert des données. La Confédération prendra en charge les frais qui en résulteront pour les communautés (de référence) tenues de transférer les données. Une fois le transfert effectué, il est en outre prévu que les communautés et les communautés de référence suppriment ces données de leurs systèmes décentralisés.

L’obligation de transférer les données des DEP s’étend à tous les DEP qui n’ont pas déjà été supprimés au moment de l’abrogation de la LDEP. La suppression d’un DEP dans les trois mois précédant l’abrogation de la LDEP est considérée comme la suppression du DES. La Confédération se charge de saisir l’inscription correspondante dans le registre DES. L’objectif est d’éviter qu’un canton procède dans ces cas à une ouverture automatique avec droit d’opposition.

Enfin, le Conseil fédéral peut prévoir une obligation de saisie a posteriori dans le DES pour les professionnels de la santé et les établissements de santé qui sont déjà tenus d’adhérer à une communauté ou à une communauté de référence en vertu du droit en vigueur – et donc de saisir les données pertinentes pour un traitement médical dans le DEP. Ces professionnels de la santé et établissements de santé peuvent être des hôpitaux, des maisons de naissance ou des établissements médico-sociaux. Les médecins et les institutions de soins ambulatoires dispensés par des médecins sont aussi concernés s’ils ont été admis à facturer à la charge de l’AOS à partir du 1^er janvier 2022. L’obligation de saisie a posteriori vise des données générées entre l’abrogation de la LDEP et l’entrée en vigueur de la section 3 de la présente loi, et qui concernent des personnes titulaires d’un DEP au moment de l’abrogation de la LDEP. Elle permet de garantir que les données pertinentes pour un traitement médical générées durant la période où ni l’ancienne infrastructure DEP ni le nouveau système d’information DES ne sont accessibles soient saisies a posteriori dans le DES.

Al. 6

Selon la LDEP en vigueur, les personnes qui accèdent au DEP doivent disposer d’un moyen d’identification émis par un éditeur certifié conformément à l’art. 31 de l’ordonnance du 22 mars 2017 sur le dossier électronique du patient⁷². Ces moyens d’identification peuvent être utilisés dans le cadre du DES pendant leur durée de validité, mais au maximum pendant deux ans après l’entrée en vigueur de cette disposition.

Al. 7

La mise en œuvre initiale de la procédure d’ouverture automatique avec droit d’opposition nécessitera un certain temps compte tenu du grand nombre de personnes concernées – selon l’Office fédéral de la statistique, 9 051 029 personnes vivaient en Suisse en 2024⁷³ –, ce qui justifie d’accorder aux cantons un délai de six mois à compter de l’entrée en vigueur de cette disposition. La procédure en question doit être achevée durant ces six mois, ce qui implique pour chaque canton d’informer toutes les personnes établies sur son territoire avant la fin de ce délai. L’ouverture automatique avec droit d’opposition ne concerne pas les personnes qui disposent déjà d’un DES ou qui ont supprimé leur DEP dans les trois mois précédant l’abrogation de la LDEP (cf. commentaire des al. 3 à 5). Le contenu des informations que le canton doit transmettre est précisé à l’art. 20, al. 2. Il s’agit en particulier de faire connaître le droit de s’opposer à l’ouverture automatique du DES. Lorsque les personnes concernées n’ont pas fait usage de ce droit durant le délai prévu pour la mise en œuvre initiale (cf. al. 8), le canton veille à ce qu’un DES soit ouvert pour elles et les en informe dans le délai de six mois prévu à cet effet.

Al. 8

Les personnes concernées doivent disposer d’un délai suffisant pour se renseigner sur le DES et les droits qui y sont associés, et pour décider si elles souhaitent ou non qu’un DES soit ouvert pour elles. Étant donné que le DEP actuel ne sera vraisemblablement pas encore très répandu au moment de la mise en œuvre initiale de l’ouverture automatique avec droit d’opposition prévue par le nouveau projet de loi et que le changement de système pourrait en outre engendrer des incertitudes, les cantons doivent prévoir un délai suffisant pour que les personnes concernées puissent faire opposition si elles le souhaitent. En dérogation à l’art. 21, al. 1, ce délai est de 60 jours. Il permet de tenir compte de l’éventualité d’une absence prolongée des personnes concernées (p. ex. pour des vacances ou pour un déplacement professionnel). Ce délai de deux mois permet également à la population de se familiariser avec le nouveau DES sur la base des informations du canton et par des recherches personnelles, et d’examiner en particulier les questions de protection des données.

Al. 9

La quasi-totalité des personnes résidant en Suisse doivent être informées personnellement de l’ouverture prochaine d’un DES dans le cadre de la mise en œuvre initiale de la procédure d’ouverture automatique avec droit d’opposition (pour les exceptions, voir l’al. 7). Le coût important dû au grand nombre de personnes à informer sera pris en charge par la Confédération. Celle-ci prend en particulier en charge le coût des documents d’information (cf. art. 34, al. 3) et les frais liés à leur distribution.

Art. 47 Référendum et entrée en vigueur

La présente loi est sujette au référendum facultatif en vertu de l’art. 141, al. 1, let. a, Cst.

Le Conseil fédéral fixe la date de l’entrée en vigueur (cf. commentaire de l’art. 46).

Art. 26^ter Obligation des fournisseurs de prestations de se raccorder au système d’information pour le dossier électronique de santé

Conformément au présent projet, les fournisseurs de prestations visés aux art. 26 et 26^bis LAI qui facturent des prestations à la charge de l’assurance-invalidité sont tenus de se raccorder au système d’information DES. Toutefois, les fournisseurs de prestations relevant de la LAI ne sont pas tous soumis à cette obligation; seuls ceux qui fournissent des mesures médicales de réadaptation et de traitement des infirmités congénitales sont concernés (art. 12 et 13 LAI). Une obligation de raccordement pour tous les fournisseurs de prestations visés par la LAI irait à l’encontre de l’esprit du DES, car elle concernerait également des personnes et des institutions qui ne sont pas actives dans le domaine des mesures médicales. Pour les détails sur le raccordement et les exceptions concernant la garantie de la sécurité de l’offre de prestations médicales, voir le commentaire du P-LAMal (ch. 5.2.4).

Disposition transitoire relative à la modification du …

Les fournisseurs de prestations qui sont tenus de se raccorder au système d’information DES en vertu de l’art. 26^ter disposent d’un délai transitoire d’un an à compter de l’entrée en vigueur de la présente modification pour se conformer à cette obligation.

Art. 59a^bis Dossier électronique de santé

Cet article concerne les possibilités de consulter et d’interroger l’annuaire des professionnels de la santé et des établissements de santé. Ces accès permettent aux autorités de surveillance de vérifier le respect de la condition exigeant le raccordement au système d’information DES (cf. art. 36a, al. 2^bis, 39, al. 1, let. f, 40, al. 1, et 49a, al. 4). La disposition est adaptée afin de tenir compte de la nouvelle terminologie et de l’extension de l’obligation de raccordement à tous les fournisseurs de prestations.

Al. 1

Cet alinéa correspond à la LDEP en vigueur, mais il a été adapté en raison de la nouvelle terminologie et de l’extension à tous les fournisseurs de prestations de l’obligation de raccordement. Les autorités compétentes ont accès à l’annuaire des professionnels de la santé et des établissements de santé visé à l’art. 5, al. 2, let. b, P-LDSan, qui recense tous les professionnels de la santé et les établissements de santé raccordés au système d’information DES. En effectuant une recherche dans cet annuaire, lesdites autorités peuvent vérifier efficacement le respect de l’obligation de raccordement à laquelle les fournisseurs de prestations sont soumis.

Al. 2

Le nouveau droit permet aux assureurs d’accéder à l’annuaire des professionnels de la santé et des établissements de santé visé à l’art. 5, al. 2, let. b, P-LDSan. Ils ne peuvent cependant y accéder que dans la mesure où ils en ont besoin pour contrôler que les hôpitaux ou les maisons de naissance avec lesquels ils concluent des conventions sur la rémunération des prestations fournies au titre de l’AOS (art. 49a, al. 4, LAMal) respectent l’obligation de se raccorder au système d’information DES.

Dispositions transitoires relatives à la modification du …

Al. 1

Tous les fournisseurs de prestations nouvellement soumis à l’obligation de se raccorder au système d’information DES disposent d’un délai transitoire d’un an à compter de l’entrée en vigueur de la présente modification pour s’y conformer. À l’issue de la période de transition, tous les fournisseurs de prestations devront être raccordés au système d’information DES.

Al. 2

Certains fournisseurs de prestations ambulatoires étant déjà soumis à l’obligation de se raccorder au DEP actuel (médecins et institutions de soins ambulatoires dispensés par des médecins, en cas d’admission à partir du 1^er janvier 2022), ils ne bénéficient pas du délai transitoire prévu à l’al. 1.

Ce délai transitoire ne s’applique pas non plus aux fournisseurs de prestations stationnaires, déjà soumis à l’obligation de raccordement au DEP actuel.

Art. 54b Obligation du fournisseur de prestations de se raccorder au système d’information pour le dossier électronique de santé

Dans le présent projet, tous les fournisseurs de prestations qui facturent à la charge de l’assurance-accidents sont tenus de se raccorder au système d’information DES. Pour les détails sur le raccordement et les exceptions visant à garantir la sécurité de l’offre de prestations médicales, voir le commentaire du P-LAMal (ch. 5.2.4).

Disposition transitoire relative à la modification du …

Les fournisseurs de prestations qui sont tenus de se raccorder au système d’information DES en vertu de l’art. 54b disposent d’un délai transitoire d’un an à compter de l’entrée en vigueur de la présente modification pour se conformer à cette obligation.

Art. 25b Obligation du fournisseur de prestations de se raccorder au système d’information pour le dossier électronique de santé

Dans le présent projet, tous les fournisseurs de prestations qui facturent des prestations à la charge de l’assurance militaire sont tenus de se raccorder au système d’information DES. Pour les détails sur le raccordement et les exceptions concernant la garantie de la sécurité de l’offre de prestations médicales, voir le commentaire du P-LAMal (ch. 5.2.4).

Disposition transitoire relative à la modification du …

Les fournisseurs de prestations qui sont tenus de se raccorder au système d’information DES en vertu de l’art. 25b disposent d’un délai transitoire d’un an à compter de l’entrée en vigueur de la présente modification pour se conformer à cette obligation.