- L’État garantit la confiance dans l’E-ID par des normes de certification obligatoires (ISO, profils de protection) et leur respect dans la législation d’application de la LDEP.
- La Confédération et les cantons intègrent l’e-ID dans la numérisation de la santé, examinent les chances/risques dans le cadre des stratégies de cybersanté ainsi que des stratégies en matière de cyber et d’infrastructure critique.
Interpellation Feri (17.3531) : Numérisation dans le domaine de la santé
Texte soumis
Rien ne s’oppose à ce que la Poste, les CFF, l’UBS, Swisscom, le Credit Suisse ou d’autres entreprises émettent un E‑ID. Elles le font déjà et si ces entreprises s’efforcent d’améliorer et d’uniformiser leur service E‑ID, on ne peut que s’en féliciter. La confiance dans un service E‑ID est essentielle et doit être garantie par l’État lui-même (ou par un tiers mandaté). Enfin, l’E-ID pose la question fondamentale de savoir comment les infrastructures de données existantes de l’État ou des entreprises proches de l’État doivent être mises à la disposition de la collectivité. C’est pourquoi la question de la confiance envers l’E-ID se pose tout particulièrement dans le domaine de la santé.
Je demande donc au Conseil fédéral de répondre aux questions suivantes :
- Comment le patient peut-il vraiment s’assurer que la protection des données est également garantie avec l’E-ID ?
- Que fait-il pour intégrer l’identité numérique de l’État (E‑ID) comme mesure de confiance et comme base de la sécurité dans la numérisation du système de santé ?
- Existe-t-il déjà une analyse des chances et des risques en ce qui concerne la numérisation dans le secteur de la santé ?
Avis du Conseil fédéral du 30 août 2017
- Les profils de protection et les normes ISO (p. ex. ISO/CEI 27001:2013 et ISO/CEI 29115:2013) actuellement en vigueur pour la certification des émetteurs de moyens d’identification accordent une grande importance à la protection et à la sécurité des données, non seulement sur le plan technique, mais aussi en ce qui concerne le personnel impliqué dans l’émission d’un moyen d’identification et les processus à respecter. Cela permet de garantir une réaction adéquate aux événements liés à la sécurité, comme la compromission du moyen d’identification. Ces profils de protection et ces normes s’appliquent aussi bien aux émetteurs privés qu’aux émetteurs publics de moyens d’identification. Le respect de ces exigences est déjà assuré dans le Droit d’application de la loi fédérale sur le dossier électronique du patient (EPDG, SR 816.1) pour les moyens d’identificationL’ordonnance sur le dossier électronique du patient (ODEP, RS 816.11) impose l’utilisation d’un identifiant unique pour accéder au dossier électronique du patient. Les futures dispositions d’exécution de la loi fédérale sur les unités d’identification électronique reconnues (Loi sur l’identité électronique) respecteront et refléteront le niveau de protection de la LDE. Cela permettra de garantir que les moyens d’identification prévus par la loi sur la carte d’identité électronique sont conformes à la LDEP et à ses normes juridiques.
- Le Conseil fédéral a mené la procédure de consultation relative à la loi sur l’identité électronique du 22 février 2017 au 29 mai 2017. Ce projet prévoit que les émetteurs privés ou publics de moyens d’identification appropriés puissent obtenir d’un organisme de reconnaissance au niveau fédéral l’autorisation d’émettre des moyens d’identification électroniques reconnus par l’Etat. Les systèmes déjà existants ou en cours de développement, tels que les projets de la Poste et des CFF ainsi que des banques et de Swisscom, doivent également pouvoir être reconnus par la Confédération. Le moment venu, les moyens d’identification ainsi reconnus pourront également être utilisés dans le secteur de la santé. Jusqu’à ce que la loi sur l’e-ID soit en vigueur, les éditeurs des moyens d’identification électroniques prescrits pour l’accès au dossier électronique du patient devront passer par la procédure de certification définie dans la LDEP. Comme pour la loi sur l’e-ID, cette procédure est harmonisée avec les réglementations existantes dans le domaine des signatures électroniques, de sorte que les éditeurs de moyens d’identification reconnus bénéficient de synergies pour les certifications exigées.
- La Confédération et les cantons travaillent depuis 10 ans à la Mise en œuvre de la “Stratégie Cybersanté (eHealth) Suisse”. Dans le cadre de ces travaux, les chances et les risques de la numérisation ont toujours été discutés et les résultats de ces discussions ont été pris en compte dans le cadre des travaux en cours. Ainsi, par exemple, lors de l’élaboration des bases légales pour le dossier électronique du patient, une attention particulière a été accordée aux thèmes de la protection et de la sécurité des données. De même, lors de l’élaboration des recommandations d’eHealth Suisse, le centre de compétence et de coordination de la Confédération et des cantons, sur l’utilisation des applications de mHealth telles que les applications de santé ou les “wearables” comme les bracelets de fitness, la discussion sur les chances et les risques de cette nouvelle technologie ainsi que sur les questions liées aux thèmes de la protection et de la sécurité des données a servi de base à la formulation des recommandations (cf. www.e‑health-suisse.ch > Communautés & mise en œuvre > Activités eHealth > mHealth).
Par ailleurs, dans le cadre de la mise en œuvre de la stratégie “Suisse numérique”, adoptée par le Conseil fédéral en avril 2016, la Confédération et les cantons élaborent actuellement conjointement la “Stratégie Cybersanté Suisse 2.0” (cf. notamment la prise de position du Conseil fédéral sur 17.3435 Po Heim. Agenda numérique de la santé. Chances et risques ainsi que sur 17.3434 Po Graf-Litscher. Potentiel et conditions-cadres pour la durabilité numérique dans le domaine de la santé).
En outre, dans le cadre de la stratégie nationale contre les cyberrisques (NCS) et de la stratégie nationale pour la protection des infrastructures critiques (PIC), la résilience du sous-secteur critique “assistance médicale et hôpitaux” est examinée en mettant l’accent sur les vulnérabilités des technologies de l’information et de la communication et sur les cyberrisques, et des mesures sont élaborées pour les améliorer. Ces travaux sont régulièrement mis à jour pour tenir compte de l’évolution du contexte (p. ex. déploiement et utilisation de nouvelles technologies dans le domaine des moyens d’identification).