À Lucerne, les politiques examinent Epic à la loupe

Le système d’information clinique (SIC) du fournisseur américain Epic est déployé à l’Hôpital cantonal de Lucerne (LUKS) depuis 2019. En Suisse, le LUKS et l’Hôpital de l’Île à Berne ont été les premiers à acquérir ce logiciel et à le mettre en service. La semaine dernière, un autre grand hôpital, l’Hôpital universitaire de Zurich (USZ), a également choisi Epic.

Ces projets sont particulièrement coûteux: le LUKS a budgété 66 millions de francs pour Epic, le groupe Insel 80 millions, et l’USZ a attribué 94,8 millions pour une période de dix ans. À Zurich, la décision a été précédée d’une interpellation urgente au Parlement. À Lucerne aussi, le Conseil d’État a dû examiner le dossier Epic. En mars dernier, le député cantonal Bernhard Steiner (UDC), accompagné de nombreux cosignataires, a déposé une motion concernant «le développement et la protection des données du système d’information clinique LUKiS (Epic)».

Dans sa réponse, le Conseil d’État explique que, comme les autres plateformes logicielles, Epic est régulièrement mis à jour, adapté et enrichi en fonction des besoins cliniques et des évolutions médicales. Selon le LUKS, Epic permet l’intégration croissante d’applications intelligentes et a contribué à uniformiser l’environnement informatique. Ainsi, début 2024, l’Hôpital de Nidwald a été rattaché au système du LUKS, y compris à Epic.

Les députés ont aussi demandé si le logiciel avait été tellement individualisé qu’un développement direct par la maison mère serait difficile, voire impossible. Le Conseil d’État a assuré que la capacité de livraison d’Epic avait toujours été garantie: depuis 2019, dix mises à jour ont été effectuées sans problème majeur, dont une refonte importante de l’interface utilisateur en 2024. Le LUKS précise qu’il ne modifie pas le code source du logiciel, mais qu’il transmet certaines demandes à Epic Systems, qui les met ensuite en œuvre.

Lors de la mise en place du système, le LUKS n’avait pas repris certaines normes Epic, principalement conçues pour le marché américain. Or, le respect de ces standards est une condition pour bénéficier pleinement des modules proposés par l’éditeur. Le Conseil d’État indique que le LUKS entend désormais s’y conformer autant que possible afin de faciliter un développement direct par Epic. En revanche, un développement indépendant du système n’est pas envisagé.

Comme à Zurich, le Conseil d’État lucernois rappelle que l’exploitation et l’évolution du SIC relèvent de la responsabilité de chaque hôpital. Le Département de la santé et des affaires sociales est toutefois régulièrement informé des incidents, développements et défis liés à Epic.

La question de la sécurité des données n’est pas nouvelle. Avant même la motion parlementaire de janvier 2025, un patient du LUKS avait adressé une pétition à la Chancellerie d’État. La commission Santé, travail et sécurité sociale (GASK) s’est saisie du dossier et a consulté l’Institut national de test pour la cybersécurité (NTC), le préposé cantonal à la protection des données et le LUKS.

En janvier, le NTC avait analysé plusieurs systèmes hospitaliers, dont Epic, et identifié des failles dans chacun d’entre eux. Dans son rapport d’avril, la commission rappelle que le LUKS doit immédiatement notifier à la personne déléguée à la protection des données tout traitement non autorisé présentant un risque élevé pour les patients. L’existence éventuelle de clauses contractuelles contraires, comme des «accords de standstill» avec Epic, constituerait une violation du droit.

Le préposé à la protection des données part toutefois du principe que le LUKS a vérifié la conformité de ses contrats avec le droit cantonal et fédéral, et demandé des adaptations si nécessaire. Le LUKS affirme qu’aucun tel accord n’existe avec Epic et qu’il procède lui-même à des tests réguliers du logiciel, en collaboration avec les services fédéraux de cybersécurité.

Le Conseil d’État, se référant au rapport de la GASK, précise enfin que les exigences en matière de protection des données sont intégrées dans les directives internes, et que le personnel reçoit une formation régulière. Sur le plan technique, tous les accès sont consignés. Le respect des obligations légales en matière de protection des données, de sécurité informatique et de secret professionnel relève de la responsabilité du LUKS.