Άρθρο 63 Επιβολή από φορείς πρόσβασης σε δεδομένα υγείας

1.   Όταν εκτελούν τα οικεία καθήκοντα παρακολούθησης και εποπτείας, όπως αναφέρονται στο άρθρο 57 παράγραφος 1 στοιχείο α) σημείο ii), οι φορείς πρόσβασης σε δεδομένα υγείας έχουν το δικαίωμα να ζητούν και να λαμβάνουν όλες τις απαραίτητες πληροφορίες από τους χρήστες δεδομένων υγείας και τους κατόχους δεδομένων υγείας πληροφορίες για την επαλήθευση της συμμόρφωσης με το παρόν κεφάλαιο.

2.   Όταν οι φορείς πρόσβασης σε δεδομένα υγείας διαπιστώνουν ότι ένας χρήστης δεδομένων υγείας ή κάτοχος δεδομένων υγείας δεν συμμορφώνεται με τις απαιτήσεις του παρόντος κεφαλαίου, ενημερώνουν αμέσως τον χρήστη δεδομένων υγείας ή κάτοχο δεδομένων υγείας για τα εν λόγω ευρήματα και λαμβάνουν κατάλληλα μέτρα. Ο ενδιαφερόμενος φορέας πρόσβασης σε δεδομένα υγείας παρέχει στον ενδιαφερόμενο χρήστη δεδομένων υγείας ή κάτοχο δεδομένων υγείας την ευκαιρία να εκθέσει τις απόψεις του εντός εύλογου χρονικού διαστήματος που δεν υπερβαίνει τις τέσσερις εβδομάδες.

Όταν η διαπίστωση μη συμμόρφωσης αφορά πιθανή παραβίαση του κανονισμού (ΕΕ) 2016/679, ο ενδιαφερόμενος φορέας πρόσβασης σε δεδομένα υγείας ενημερώνει αμέσως τις εποπτικές αρχές δυνάμει του εν λόγω κανονισμού και τους παρέχει όλες τις σχετικές πληροφορίες σχετικά με τη διαπίστωση αυτή.

3.   Όσον αφορά τη μη συμμόρφωση χρηστών δεδομένων υγείας, οι φορείς πρόσβασης σε δεδομένα υγείας έχουν την εξουσία να ανακαλούν την άδεια δεδομένων που έχει εκδοθεί δυνάμει του άρθρου 68 και να διακόπτουν χωρίς αδικαιολόγητη καθυστέρηση την επηρεαζόμενη πράξη επεξεργασίας ηλεκτρονικών δεδομένων υγείας που διενεργεί ο χρήστης δεδομένων υγείας και λαμβάνουν κατάλληλα και αναλογικά μέτρα που αποσκοπούν στη διασφάλιση της συμμορφούμενης επεξεργασίας από τον χρήστη δεδομένων υγείας.

Στο πλαίσιο αυτών των μέτρων επιβολής, οι φορείς πρόσβασης σε δεδομένα υγείας μπορούν επίσης, κατά περίπτωση, να αποκλείσουν ή να κινήσουν διαδικασία για να αποκλείσουν, σύμφωνα με το εθνικό δίκαιο, τον ενδιαφερόμενο χρήστη δεδομένων υγείας από οποιαδήποτε πρόσβαση σε ηλεκτρονικά δεδομένα υγείας εντός του ΕΧΔΥ για σκοπούς δευτερογενούς χρήσης, για περίοδο έως πέντε ετών.

4.   Όσον αφορά τη μη συμμόρφωση κατόχων δεδομένων υγείας, όταν κάτοχος δεδομένων υγείας παρακρατεί τα ηλεκτρονικά δεδομένα υγείας από τους φορείς πρόσβασης σε δεδομένα υγείας με έκδηλη πρόθεση να παρεμποδίσει τη χρήση των ηλεκτρονικών δεδομένων υγείας, ή δεν τηρεί τις προθεσμίες που ορίζονται στο άρθρο 60 παράγραφος 2, ο φορέας πρόσβασης σε δεδομένα υγείας έχει την εξουσία να επιβάλλει πρόστιμο στον κάτοχο δεδομένων υγείας για κάθε ημέρα καθυστέρησης με περιοδική χρηματική ποινή, η οποία είναι διαφανής και αναλογική. Το ύψος των προστίμων καθορίζεται από τον φορέα πρόσβασης σε δεδομένα υγείας σύμφωνα με το εθνικό δίκαιο. Σε περίπτωση επανειλημμένων παραβιάσεων από τον κάτοχο δεδομένων υγείας της υποχρέωσης συνεργασίας με τον φορέα πρόσβασης σε δεδομένα υγείας, ο εν λόγω φορέας μπορεί να αποκλείσει ή να κινήσει διαδικασία για να αποκλείσει, σύμφωνα με το εθνικό δίκαιο, τον κάτοχο δεδομένων υγείας από την υποβολή αιτήσεων πρόσβασης σε δεδομένα υγείας δυνάμει του παρόντος κεφαλαίου για χρονική περίοδο έως πέντε ετών. Κατά την περίοδο του εν λόγω αποκλεισμού, ο κάτοχος δεδομένων υγείας εξακολουθεί να υποχρεούται να καθιστά τα δεδομένα προσβάσιμα βάσει του παρόντος κεφαλαίου, κατά περίπτωση.

5.   Ο φορέας πρόσβασης σε δεδομένα υγείας ανακοινώνει αμελλητί τα μέτρα επιβολής που λαμβάνονται δυνάμει των παραγράφων 3 και 4, καθώς και τους λόγους στους οποίους βασίζονται, στον ενδιαφερόμενο χρήστη δεδομένων υγείας ή κάτοχο δεδομένων υγείας και προβλέπει εύλογο χρονικό διάστημα για τη συμμόρφωση του χρήστη δεδομένων υγείας ή κατόχου δεδομένων υγείας με τα εν λόγω μέτρα.

6.   Τυχόν μέτρα επιβολής που λαμβάνονται από τον φορέα πρόσβασης σε δεδομένα υγείας δυνάμει της παραγράφου 3 κοινοποιούνται σε άλλους φορείς πρόσβασης σε δεδομένα υγείας μέσω του εργαλείου ΤΠ που αναφέρεται στην παράγραφο 7. Οι φορείς πρόσβασης σε δεδομένα υγείας μπορούν να καθιστούν τις πληροφορίες αυτές διαθέσιμες στους ιστοτόπους τους.

7.   Η Επιτροπή καθορίζει, μέσω εκτελεστικών πράξεων, την αρχιτεκτονική ενός εργαλείου ΤΠ, ως μέρος της υποδομής του HealthData@EU που αναφέρεται στο άρθρο 75, με στόχο τη στήριξη και τη διαφάνεια, για άλλους φορείς πρόσβασης σε δεδομένα υγείας, των μέτρων επιβολής που αναφέρονται στο παρόν άρθρο, ιδίως των περιοδικών χρηματικών ποινών, της ανάκλησης των αδειών δεδομένων και των αποκλεισμών. Οι εν λόγω εκτελεστικές πράξεις εκδίδονται σύμφωνα με τη διαδικασία εξέτασης που αναφέρεται στο άρθρο 98 παράγραφος 2.

8.   Η Επιτροπή εκδίδει κατευθυντήριες γραμμές, έως τις 26 Μαρτίου 2032, σε στενή συνεργασία με το συμβούλιο του ΕΧΔΥ, σχετικά με τα μέτρα επιβολής, συμπεριλαμβανομένων των περιοδικών χρηματικών ποινών και άλλων μέτρων που πρέπει να λαμβάνονται από τους φορείς πρόσβασης σε δεδομένα υγείας.