Artikel 44 Håndtering af risici i forbindelse med EPJ-systemer og alvorlige hændelser

1.   Hvis en markedsovervågningsmyndighed i en medlemsstat har grund til at antage, at et EPJ-system udgør en risiko for fysiske personers sundhed, sikkerhed eller rettigheder eller for beskyttelsen af personoplysninger, foretager markedsovervågningsmyndigheden en evaluering vedrørende det pågældende EPJ-system, som omfatter alle de relevante krav, der er fastlagt i denne forordning. Fabrikanten, fabrikantens bemyndigede repræsentant og alle andre relevante erhvervsdrivende samarbejder i nødvendigt omfang med markedsovervågningsmyndighederne med henblik herpå og træffer alle nødvendige foranstaltninger for at sikre, at det pågældende EPJ-system ikke længere udgør denne risiko, når det bringes i omsætning, eller for at tilbagekalde eller tilbagetrække EPJ-systemet fra markedet inden for en rimelig frist.

2.   Hvis en medlemsstats markedsovervågningsmyndigheder konstaterer, at den manglende overensstemmelse af EPJ-systemet ikke er begrænset til deres nationale område, underretter de Kommissionen og de øvrige medlemsstaters markedsovervågningsmyndigheder om resultaterne af den i denne artikels stk. 1 omhandlede evaluering og om de korrigerende tiltag, de har pålagt den erhvervsdrivende at træffe i henhold til artikel 16, stk. 2, i forordning (EU) 2019/1020.

3.   Hvis en markedsovervågningsmyndighed finder, at et EPJ-system har forårsaget skade på fysiske personers sundhed eller sikkerhed eller på visse aspekter af beskyttelsen af samfundsinteresser, stiller fabrikanten straks information og dokumentation, alt efter hvad der er relevant, til rådighed for den berørte fysiske person eller bruger og, hvis det er relevant, for andre tredjeparter, der er berørt af den pågældende skade, uden at dette berører databeskyttelsesreglerne.

4.   Den pågældende erhvervsdrivende, der er omhandlet i stk. 1, sikrer, at der iværksættes alle fornødne korrigerende tiltag over for alle de pågældende EPJ-systemer, som denne har gjort tilgængelige på markedet i hele Unionen.

5.   Markedsovervågningsmyndigheden underretter uden unødigt ophold Kommissionen og andre medlemsstaters markedsovervågningsmyndigheder eller, hvis det er relevant, tilsynsmyndigheder i henhold til forordning (EU) 2016/679 om de i stk. 2 omhandlede korrigerende tiltag. Denne underretning skal indeholde alle tilgængelige oplysninger, navnlig de nødvendige data til identifikation af det pågældende EPJ-system, EPJ-systemets oprindelse og forsyningskæde, arten af den pågældende risiko og arten og varigheden af de trufne nationale foranstaltninger.

6.   Hvis et forhold konstateret af en markedsovervågningsmyndighed eller en alvorlig hændelse, som denne informeres om, vedrører beskyttelsen af personoplysninger underretter den pågældende markedsovervågningsmyndighed uden unødigt ophold de relevante tilsynsmyndigheder i henhold til forordning (EU) 2016/679 og samarbejder med disse.

7.   Fabrikanter af EPJ-systemer, der bringes i omsætning eller tages i brug, indberetter alle alvorlige hændelser, der involverer et EPJ-system, til markedsovervågningsmyndighederne i de medlemsstater, hvor en sådan alvorlig hændelse fandt sted, og til markedsovervågningsmyndighederne i den medlemsstat, hvor sådanne EPJ-systemer bringes i omsætning eller tages i brug. Indberetningen skal også omfatte en beskrivelse af de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte. Medlemsstaterne kan fastsætte bestemmelser om, at brugere af EPJ-systemer, der bringes i omsætning eller tages i brug, skal kunne indberette sådanne hændelser.

Den indberetning, der kræves i henhold til dette stykkes første afsnit, foretages, uden at det berører kravene til underretning om hændelsen i henhold til direktiv (EU) 2022/2555, umiddelbart efter, at fabrikanten har fastslået en årsagssammenhæng mellem EPJ-systemet og den alvorlige hændelse eller rimelig sandsynlighed for en sådan sammenhæng, og under alle omstændigheder senest tre dage efter, at fabrikanten har fået kendskab til den alvorlige hændelse, der involverer EPJ-systemet.

8.   De i stk. 7 omhandlede markedsovervågningsmyndigheder underretter straks de øvrige markedsovervågningsmyndigheder om den alvorlige hændelse og de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte eller er forpligtet til at iværksætte for at minimere risikoen for gentagelse af den alvorlige hændelse.

9.   Hvis dens opgaver ikke udføres af den digitale sundhedsmyndighed, samarbejder markedsovervågningsmyndigheden med den digitale sundhedsmyndighed. Markedsovervågningsmyndigheden underretter den digitale sundhedsmyndighed om alle alvorlige hændelser, om EPJ-systemer, der udgør en risiko, herunder risici vedrørende interoperabilitet, sikkerhed og patientsikkerhed, om eventuelle korrigerende tiltag og om eventuel tilbagekaldelse eller tilbagetrækning af sådanne EPJ-systemer.

10.   I tilfælde af hændelser, der bringer patientsikkerheden eller informationssikkerheden i fare, kan markedsovervågningsmyndighederne iværksætte øjeblikkelige tiltag og kræve, at fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og andre erhvervsdrivende iværksætter øjeblikkelige korrigerende tiltag.