
Projet SATW eHealth
Contribution à la définition d’une stratégie eHealth en Suisse
Beitrag zur Definition einer eHealth-Strategie für die Schweiz
La définition des données pertinentes à mettre sur la carte santé doit faire
l’objet d’une entente qui tient compte aussi de leur utilisation dans des cas
d’urgence.
9. L’accès sécurisé au dossier informatique du patient doit être garanti. Les
systèmes informatiques de gestion fédérée d’identité basée sur des standards
informatiques ouverts, donc disponibles sans restriction, tels que développés
par Liberty Alliance (www.projectliberty.org ) offrent déjà maintenant des
solutions qui répondent à de hautes exigences pour des applications
industrielles ou économiques (plus de 2 milliards d’identités de ce type ont
déjà été définies !). Aux USA, Liberty Alliance est déjà utilisé pour eHealth de
manière importante. Comme le montre l’essor de téléphones mobiles et des
disques compacts (CD), l’adoption de standards ouverts facilite énormément
la diffusion à des coûts raisonnables de nouvelles technologies dans le grand
public.
Il faut par ailleurs comprendre l’accès sécurisé comme étant sous le contrôle
absolu du patient. La souveraineté du patient signifie qu’il a accès sans
restriction à son patrimoine de données médicales et qu’il décide à qui il
donne l’autorisation d’y accéder par l’intermédiaire du réseau informatique. Le
principe de souveraineté du patient fait d’ailleurs partie des principes de base
de l’Union européenne en matière d’eHealth. Pour résoudre la question de la
souveraineté, le recours à une solution du type PKI (Public Key Infrastructure)
permet un contrôle optimal de l’information : schématiquement les données
sont stockées et ne peuvent y accéder que les porteurs dûment autorisés
d’une clé informatique, l’autorisation ayant été préalablement donnée par le
patient. Le système informatique s’assure que la clé de la personne qui veut
lire les données jouit des caractéristiques requises. Les personnes autorisées
à avoir accès aux données, ou à seulement à une partie des données,
peuvent être des médecins ou d’autres membres du personnel soignant du
système de santé. L’accréditation du fabricant de clés permet d’apporter les
garanties voulues en termes d’assurance qualité pour l’identification,
l’authentification et l’autorisation d’une signature électronique conformément à
la législation fédérale applicable au 1er janvier 2005. L’accréditation de
l’autorité de certification telle que définie par la loi n’est nécessaire que pour le
recours à des signatures qualifiées, qui correspondent à un niveau de qualité
supérieur d’accès sécurisé. Dans le cadre d’un PKI eHealth, l’ensemble des
études montre que le recours à ce type de certificat, dont le coût est élevé, ne
se justifie que pour certains groupes d’intervenants (par exemple les médecins)
dont la responsabilité est régie par des lois, mais en aucun cas pour
l’ensemble des patients. Par conséquent pour assurer la sécurité du modèle, il
suffit que les patients, qui ne doivent prouver que leur identité, disposent de
certificats standards. L’utilisation systématique de signatures avec certificat
accrédité correspondrait à de la surqualité et engendrerait des surcoûts
importants non nécessaire pour couvrir les besoins définis. Swisscom IT
Solutions est le premier organisme suisse certifié par le METAS (organe
accrédité de la Confédération) pour l’émission de certificats qualifiés.
Néanmoins, comme mentionné ci-dessus, les certificats qualifiés sont onéreux
et ne sont nécessaire que pour une partie limitée des acteurs. Il est donc tout