REGOLAMENTO (UE) 2025/327 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO dell’11 febbraio 2025 sullo spazio europeo dei dati sanitari e che modifica la direttiva 2011/24/UE e il regolamento (UE) 2024/2847 (Testo rilevante ai fini del SEE)

(1)

Il presente regolamento ha lo scopo di istituire lo spazio europeo dei dati sanitari (European Health Data Space, EHDS) al fine di migliorare l’accesso delle persone fisiche ai loro dati sanitari elettronici personali e il loro controllo su tali dati nel contesto dell’assistenza sanitaria, nonché per conseguire più efficacemente altre finalità che comportano l’uso dei dati sanitari elettronici nei settori sanitario e assistenziale di cui beneficerebbe la società, quali la ricerca, l’innovazione, la definizione delle politiche, la preparazione e la risposta alle minacce sanitarie, anche per quanto riguarda la prevenzione e la gestione di future pandemie, la sicurezza dei pazienti, la medicina personalizzata, le statistiche ufficiali o le attività normative. Il presente regolamento ha inoltre l’obiettivo di migliorare il funzionamento del mercato interno istituendo un quadro giuridico e tecnico uniforme in particolare per quanto riguarda lo sviluppo, la commercializzazione e l’uso di sistemi di cartelle cliniche elettroniche (European Health record system – EHR) in conformità dei valori dell’Unione. Lo spazio europeo dei dati sanitari sarà un elemento fondamentale nella creazione di un’Unione europea della salute forte e resiliente.

(2)

La pandemia di COVID-19 ha evidenziato l’assoluta necessità di disporre di un accesso tempestivo a dati sanitari elettronici di qualità per la preparazione e la risposta alle minacce sanitarie, nonché per la prevenzione, la diagnosi e la cura e per l’uso secondario di tali dati. Tale accesso tempestivo potrebbe potenzialmente contribuire, attraverso una sorveglianza e un monitoraggio efficienti della sanità pubblica, a realizzare una gestione più efficace delle pandemie future, a ridurre i costi e a migliorare la risposta alle minacce sanitarie, e in ultima analisi potrebbe aiutare a salvare più vite umane. Nel 2020 la Commissione ha adattato d’urgenza il sistema di gestione dei dati clinici dei pazienti, istituito dalla decisione di esecuzione (UE) 2019/1269 della Commissione (4), per consentire agli Stati membri di condividere i dati sanitari elettronici dei pazienti affetti dalla COVID-19 che durante il picco della pandemia sono passati da un prestatore di assistenza sanitaria a un altro e si sono spostati tra Stati membri. Tuttavia, tale adattamento ha costituito solo una soluzione di emergenza, che ha dimostrato la necessità di un approccio strutturale e coerente a livello di Stati membri e di Unione, sia per migliorare la disponibilità dei dati sanitari elettronici per il settore sanitario sia per facilitare l’accesso ai dati sanitari elettronici al fine di orientare risposte strategiche efficaci e contribuire a un livello elevato di tutela della salute umana.

(3)

La crisi COVID-19 ha consolidato l’attività della rete di assistenza sanitaria online (eHealth), una rete volontaria di autorità responsabili della sanità digitale, come pilastro principale per lo sviluppo di applicazioni di tracciamento dei contatti e di allerta dei contatti per dispositivi mobili e degli aspetti tecnici dei certificati COVID digitali dell’UE. Ha anche evidenziato la necessità di condividere dati sanitari elettronici che siano reperibili, accessibili, interoperabili e riutilizzabili («principi FAIR») e di garantire che i dati sanitari elettronici siano il più aperti possibile, rispettando al contempo il principio della minimizzazione dei dati quale stabilito nel regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (5). Dovrebbero essere garantite sinergie tra lo spazio europeo dei dati sanitari, il cloud europeo per la scienza aperta e le infrastrutture europee di ricerca, e si dovrebbe tenendo conto delle esperienze acquisite dalle soluzioni di condivisione dei dati sviluppate nel quadro della piattaforma europea di dati sulla COVID-19.

(4)

Vista la sensibilità dei dati sanitari elettronici personali, il presente regolamento intende fornire garanzie sufficienti sia a livello dell’Unione sia a livello nazionale per assicurare un elevato livello di protezione, sicurezza, riservatezza e uso etico dei dati. Tali garanzie sono necessarie per promuovere la fiducia nella gestione sicura dei dati sanitari elettronici delle persone fisiche per l’uso primario e per l’uso secondario quali definiti nel presente regolamento.

(5)

Il trattamento di dati sanitari elettronici personali è soggetto alle disposizioni del regolamento (UE) 2016/679 e, per le istituzioni, gli organi e gli organismi dell’Unione, del regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio (6). I riferimenti alle disposizioni del regolamento (UE) 2016/679 dovrebbero essere intesi anche come riferimenti alle corrispondenti disposizioni del regolamento (UE) 2018/1725 per le istituzioni, gli organi e gli organismi dell’Unione, se del caso.

(6)

Sono sempre più numerosi gli individui che vivono all’interno dell’Unione e attraversano le frontiere nazionali per lavorare, studiare, visitare i parenti o per altri motivi. Per facilitare lo scambio dei dati sanitari, e in linea con la necessità di dare maggior potere ai cittadini, questi dovrebbero poter accedere ai loro dati sanitari in un formato elettronico che possa essere riconosciuto e accettato in tutta l’Unione. Tali dati sanitari elettronici personali potrebbero includere dati personali relativi alla salute fisica o mentale di una persona fisica, anche relativi all’erogazione di servizi di assistenza sanitaria, e che rivelano informazioni sullo stato di salute di tale persona fisica, dati personali relativi a caratteristiche genetiche ereditarie o acquisite di una persona fisica che forniscono informazioni univoche sulla sua fisiologia o salute e che provengono, in particolare, dall’analisi di un suo campione biologico, e dati sui determinanti della salute, quali il comportamento, le influenze ambientali e fisiche, l’assistenza medica e fattori sociali o educativi. I dati sanitari elettronici includono anche dati che sono stati inizialmente raccolti per la ricerca, le statistiche, la valutazione di minacce sanitarie, la definizione delle politiche o finalità normative e che dovrebbe essere possibile rendere disponibili in conformità delle norme fissate dal presente regolamento. I dati sanitari elettronici riguardano tutte le categorie di questi dati, a prescindere dal fatto che tali dati siano forniti dall’interessato o da altre persone fisiche o giuridiche come i professionisti sanitari, o siano trattati in relazione alla salute o al benessere di una persona fisica e dovrebbero inoltre includere dati desunti o derivati, quali diagnosi, test ed esami medici, nonché i dati osservati e registrati con l’ausilio di strumenti automatizzati.

(7)

Nei sistemi sanitari, i dati sanitari elettronici personali in genere sono raccolti in cartelle cliniche elettroniche, che solitamente contengono l’anamnesi di una persona fisica, diagnosi e cure, medicinali, allergie e vaccinazioni, nonché immagini radiologiche, risultati di laboratorio e altri dati medici, distribuiti tra i diversi soggetti del sistema sanitario, quali medici di base, ospedali, farmacie o servizi di assistenza. Al fine di consentire l’accesso ai dati sanitari elettronici e la loro condivisione e modifica da parte delle persone fisiche o dei professionisti sanitari, alcuni Stati membri hanno adottato le necessarie misure giuridiche e tecniche e hanno istituito infrastrutture centralizzate che collegano i sistemi di cartelle cliniche elettroniche utilizzati dai prestatori di assistenza sanitaria e dalle persone fisiche. Inoltre, alcuni Stati membri forniscono sostegno a prestatori di assistenza sanitaria pubblici e privati nell’istituzione di spazi di dati sanitari elettronici personali per permettere l’interoperabilità tra diversi prestatori di assistenza sanitaria. Vari Stati membri, inoltre, sostengono o forniscono servizi elettronici di accesso ai dati sanitari per pazienti e professionisti sanitari, ad esempio attraverso portali per i pazienti o i professionisti sanitari. Tali Stati membri hanno inoltre adottato misure intese a garantire che i sistemi di cartelle cliniche elettroniche o le applicazioni per il benessere possano trasmettere dati sanitari elettronici al sistema centrale delle cartelle cliniche elettroniche, ad esempio utilizzando un sistema di certificazione. Tuttavia non tutti gli Stati membri hanno messo in atto tali sistemi, e gli Stati membri che li hanno attuati lo hanno fatto in modo frammentato. Al fine di facilitare la libera circolazione dei dati sanitari elettronici personali in tutta l’Unione ed evitare conseguenze negative per i pazienti quando ricevono assistenza sanitaria in un contesto transfrontaliero, è necessaria l’azione dell’Unione per garantire che le persone fisiche possano accedere più facilmente ai loro dati sanitari elettronici personali e che abbiano la facoltà di condividerli. A tale riguardo, occorre un intervento adeguato a livello dell’Unione e nazionale al fine di ridurre la frammentazione, l’eterogeneità e le divisioni e istituire un sistema di facile utilizzo e intuitivo in tutti gli Stati membri. Qualsiasi trasformazione digitale nel settore dell’assistenza sanitaria dovrebbe mirare a essere inclusiva e apportare benefici anche alle persone fisiche con una capacità limitata di accedere ai servizi digitali e di usufruirne, comprese le persone con disabilità.

(8)

Il regolamento (UE) 2016/679 contiene disposizioni specifiche sui diritti delle persone fisiche in relazione al trattamento dei loro dati personali. Lo spazio europeo dei dati sanitari si basa su tali diritti e ne integra alcuni là dove sono applicati ai dati sanitari elettronici personali. Tali diritti si applicano indipendentemente dallo Stato membro in cui sono trattati i dati sanitari elettronici personali, dal tipo di prestatore di assistenza sanitaria, dalle fonti dei dati o dallo Stato membro di affiliazione della persona fisica. Le norme e i diritti correlati all’uso primario dei dati sanitari elettronici personali ai sensi del presente regolamento riguardano tutte le categorie di questi dati, a prescindere dalle modalità con cui sono stati raccolti o da chi li ha forniti, dalla base giuridica per il trattamento ai sensi del regolamento (UE) 2016/679 o dallo stato del titolare del trattamento quale organizzazione pubblica o privata. Gli ulteriori diritti di accesso e portabilità dei dati sanitari elettronici personali ai sensi del presente regolamento non dovrebbero pregiudicare i diritti di accesso e portabilità stabiliti a norma del regolamento (UE) 2016/679. Le persone fisiche continuano a godere di tali diritti alle condizioni previste da tale regolamento.

(9)

Mentre i diritti conferiti dal regolamento (UE) 2016/679 dovrebbero continuare ad applicarsi, il diritto di accedere ai dati da parte di una persona fisica, stabilito nel regolamento (UE) 2016/679, dovrebbe essere ulteriormente integrato nel settore dell’assistenza sanitaria. Ai sensi di tale regolamento, i titolari del trattamento non hanno l’obbligo di fornire l’accesso immediatamente. In molti casi il diritto di accesso ai dati sanitari è tuttora comunemente attuato attraverso la fornitura dei dati sanitari richiesti in formato cartaceo o sotto forma di documenti scansionati, processo che risulta dispendioso in termini di tempo per il titolare del trattamento, come gli ospedali o altri prestatori di assistenza sanitari responsabili dell’accesso. Tale situazione rallenta l’accesso ai dati sanitari da parte delle persone fisiche e può avere un impatto negativo su di loro qualora abbiano bisogno immediatamente di tale accesso a causa di circostanze urgenti dovute alla loro condizione di salute. Pertanto è necessario fornire alle persone fisiche modalità più efficienti per accedere ai loro dati sanitari elettronici personali. Esse dovrebbero avere il diritto di accedere gratuitamente e immediatamente, rispettando la necessità di assicurare la praticabilità tecnologica, alle specifiche categorie prioritarie di dati sanitari elettronici personali, quali il profilo sanitario sintetico del paziente, mediante un servizio di accesso ai dati sanitari elettronici. Tale diritto dovrebbe applicarsi indipendentemente dallo Stato membro in cui sono trattati i dati sanitari elettronici personali, dal tipo di prestatore di assistenza sanitaria, dalle fonti dei dati o dallo Stato membro di affiliazione della persona fisica. La portata di tale diritto complementare stabilito dal presente regolamento e le condizioni per esercitarlo presentano alcune differenze rispetto a quelle relative al diritto di accesso ai dati personali ai sensi del regolamento (UE) 2016/679, che riguarda tutti i dati personali detenuti da un titolare del trattamento ed è esercitato nei confronti di un singolo titolare del trattamento, che ha fino a un mese per rispondere a una richiesta. Il diritto di accesso ai dati sanitari elettronici personali a norma del presente regolamento dovrebbe essere limitato alle categorie di dati che rientrano nel suo ambito di applicazione, essere esercitato tramite un servizio di accesso ai dati sanitari elettronici e comportare una risposta immediata. I diritti di cui al regolamento (UE) 2016/679 dovrebbero continuare ad applicarsi, consentendo alle persone fisiche di beneficiare dei diritti previsti da entrambi i quadri giuridici, in particolare il diritto di ottenere una copia cartacea dei dati sanitari elettronici.

(10)

È opportuno considerare che l’accesso immediato delle persone fisiche ad alcune categorie dei propri dati sanitari elettronici personali potrebbe essere dannoso per la loro sicurezza o non etico. Ad esempio potrebbe non essere etico informare un paziente attraverso un canale elettronico in merito alla diagnosi di una malattia incurabile che probabilmente sarà terminale anziché prima comunicare tale informazione in un colloquio con il paziente. Pertanto, in tali situazioni, dovrebbe essere possibile ritardare la fornitura dell’accesso ai dati sanitari elettronici personali per un periodo limitato, ad esempio fino al momento in cui il professionista sanitario possa spiegare la situazione al paziente. Gli Stati membri dovrebbero essere in grado di fissare tale eccezione laddove costituisca una misura necessaria e proporzionata in una società democratica, in linea con le limitazioni previste all’articolo 23 del regolamento (UE) 2016/679.

(11)

Il presente regolamento non pregiudica le competenze degli Stati membri per quanto riguarda la registrazione iniziale dei dati sanitari elettronici personali, ad esempio subordinando la registrazione dei dati genetici al consenso della persona fisica o ad altre garanzie. Gli Stati membri possono esigere che i dati siano resi disponibili in formato elettronico prima dell’applicazione del presente regolamento. Ciò non dovrebbe pregiudicare l’obbligo di rendere disponibili in formato elettronico i dati sanitari elettronici personali registrati dopo la data di applicazione del presente regolamento.

(12)

Al fine di integrare le informazioni a loro disposizione, le persone fisiche dovrebbero poter aggiungere dati sanitari elettronici alle loro cartelle cliniche elettroniche o conservare informazioni supplementari nella loro cartella clinica personale separata a cui potrebbero accedere i professionisti sanitari. Tuttavia, le informazioni inserite dalle persone fisiche potrebbero non essere tanto affidabili quanto i dati sanitari elettronici immessi e verificati dai professionisti sanitari e non hanno lo stesso valore clinico o legale delle informazioni fornite da un professionista sanitario. Pertanto i dati aggiunti dalle persone fisiche nelle proprie cartelle cliniche elettroniche dovrebbero essere chiaramente distinguibili dai dati forniti dai professionisti sanitari. La possibilità per le persone fisiche di aggiungere e integrare i dati sanitari elettronici personali non dovrebbe permettere loro di modificare i dati sanitari elettronici personali forniti dai professionisti sanitari.

(13)

Rendendo possibile alle persone fisiche di accedere più facilmente e rapidamente ai propri dati sanitari elettronici personali si consentirà loro di notare possibili errori quali informazioni errate o cartelle cliniche attribuite erroneamente. In tali casi le persone fisiche dovrebbero poter richiedere online, immediatamente e gratuitamente, la rettifica dei dati sanitari elettronici errati attraverso un servizio di accesso ai dati sanitari elettronici personali. Tali richieste di rettifica dovrebbero successivamente essere eseguite dai pertinenti titolari del trattamento ai sensi del regolamento (UE) 2016/679, se necessario coinvolgendo i professionisti sanitari aventi una specializzazione pertinente e responsabili delle cure della persona fisica.

(14)

Ai sensi del regolamento (UE) 2016/679 il diritto alla portabilità dei dati è limitato ai dati trattati sulla base del consenso o di un contratto e forniti dall’interessato a un titolare del trattamento. Inoltre, ai sensi dello stesso regolamento, le persone fisiche hanno il diritto di ottenere la trasmissione diretta dei dati personali da un titolare del trattamento all’altro solo se tecnicamente fattibile. Tale regolamento non prevede tuttavia l’obbligo di rendere questa trasmissione diretta tecnicamente fattibile. Il diritto alla portabilità dei dati dovrebbe essere integrato nel quadro del presente regolamento, così da consentire alle persone fisiche di rendere accessibili almeno le categorie prioritarie dei loro dati sanitari elettronici personali ai professionisti sanitari di loro scelta, di scambiarli con questi e di scaricarli. Inoltre, alle persone fisiche dovrebbe essere garantito il diritto di chiedere a un prestatore di assistenza sanitaria la trasmissione di una parte dei loro dati sanitari elettronici a un destinatario chiaramente identificato nel settore della sicurezza sociale o dei servizi di rimborso. Tale trasmissione dovrebbe avvenire in una sola direzione.

(15)

Il quadro stabilito dal presente regolamento dovrebbe basarsi sul diritto alla portabilità dei dati previsto dal regolamento (UE) 2016/679 garantendo che le persone fisiche, in qualità di interessati, possano trasmettere i loro dati sanitari elettronici personali, compresi i dati desunti, nel formato europeo di scambio delle cartelle cliniche elettroniche, a prescindere dalla base giuridica per il trattamento dei dati sanitari elettronici. I professionisti sanitari dovrebbero astenersi dall’ostacolare l’applicazione dei diritti delle persone fisiche, ad esempio rifiutandosi di tenere conto dei dati sanitari elettronici personali provenienti da un altro Stato membro e forniti tramite il formato europeo di scambio delle cartelle cliniche elettroniche, interoperabile e affidabile.

(16)

L’accesso alle cartelle cliniche elettroniche da parte dei prestatori di assistenza sanitaria o di altri soggetti dovrebbe essere trasparente per le persone fisiche interessate. I servizi di accesso ai dati sanitari elettronici dovrebbero fornire informazioni dettagliate sugli accessi ai dati, ad esempio quando e quale soggetto o persona fisica ha avuto accesso a quali dati. Le persone fisiche dovrebbero altresì poter consentire o disabilitare le notifiche automatiche relative all’accesso ai dati sanitari elettronici personali che li riguardano tramite i servizi di accesso per professionisti sanitari.

(17)

È possibile che le persone fisiche non vogliano concedere l’accesso ad alcune parti dei loro dati sanitari elettronici personali, permettendo al contempo l’accesso ad altre parti. Tale aspetto potrebbe assumere particolare rilevanza in caso di questioni di salute come quelle legate alla salute mentale o sessuale, a procedure sensibili quali l’aborto o a dati su medicinali specifici che potrebbero rivelare altre questioni sensibili. È pertanto opportuno sostenere e attuare questa condivisione selettiva dei dati sanitari elettronici personali mediante limitazioni stabilite dalla persona fisica interessata con le stesse modalità all’interno del territorio di un dato Stato membro e per la condivisione transfrontaliera dei dati. Tali limitazioni dovrebbero consentire un livello di dettaglio sufficiente a limitare talune parti delle serie di dati, ad esempio componenti dei profili sanitari sintetici dei pazienti. Prima di definire dette limitazioni, le persone fisiche dovrebbero essere informate dei rischi per la sicurezza dei pazienti legati alla limitazione dell’accesso ai dati sanitari. Poiché l’indisponibilità dei dati sanitari elettronici personali soggetti a tali limitazioni può influire sull’erogazione o sulla qualità dei servizi sanitari erogati alla persona fisica, le persone fisiche che si avvalgono delle limitazioni dovrebbero assumersi la responsabilità del fatto che il prestatore di assistenza sanitaria non può tenere conto dei dati al momento dell’erogazione dei servizi sanitari. Le limitazioni all’accesso ai dati sanitari elettronici personali potrebbero mettere a repentaglio la vita delle persone e pertanto è opportuno che sia comunque possibile accedere a tali dati quando ciò è necessario per proteggere gli interessi vitali in situazioni di emergenza. Gli Stati membri potrebbero prevedere nel diritto interno disposizioni giuridiche più specifiche sui meccanismi delle limitazioni poste dalle persone fisiche su parti dei dati sanitari elettronici personali, in particolare per quanto riguarda la responsabilità medica nei casi in cui le persone fisiche interessate abbiano posto limitazioni.

(18)

Inoltre, a causa delle diverse sensibilità negli Stati membri per quanto riguarda il grado di controllo del paziente sui suoi dati sanitari, gli Stati membri dovrebbero poter prevedere il diritto assoluto di esclusione dall’accesso ai propri dati sanitari elettronici personali da parte di chiunque non sia il titolare del trattamento originario, senza alcuna possibilità di superare tale esclusione in situazioni di emergenza. In tal caso, gli Stati membri dovrebbero stabilire le norme e le garanzie specifiche relative a tali meccanismi di esclusione. Tali norme e garanzie specifiche potrebbero riguardare anche categorie specifiche di dati sanitari elettronici personali, ad esempio i dati genetici. Il diritto di esclusione implica che i dati sanitari elettronici personali relativi alla persona fisica che ne ha fatto uso non sarebbero resi disponibili mediante i servizi istituiti nell’ambito dello spazio europeo dei dati sanitari se non al prestatore di assistenza sanitaria che ha fornito le cure. Gli Stati membri dovrebbero poter richiedere la registrazione e la conservazione dei dati sanitari elettronici personali in un sistema di cartelle cliniche elettroniche utilizzato dal prestatore di assistenza sanitaria che ha fornito i servizi sanitari e che sia accessibile solo a quest’ultimo. Se una persona fisica ha esercitato il diritto di esclusione, i prestatori di assistenza sanitaria continueranno a documentare le cure prestate conformemente alle norme applicabili e potranno accedere ai dati da loro registrati. Le persone fisiche che hanno esercitato il diritto di esclusione dovrebbero poter revocare la loro decisione. In tal caso, i dati sanitari elettronici personali generati durante il periodo di validità dell’esclusione potrebbero non essere disponibili tramite i servizi di accesso e LaMiaSalute@UE (MyHealth@EU).

(19)

Un accesso tempestivo e completo dei professionisti sanitari alle cartelle cliniche dei pazienti è fondamentale per garantire la continuità dell’assistenza, evitare duplicazioni ed errori e ridurre i costi. Tuttavia, a causa della mancanza di interoperabilità, in molti casi i professionisti sanitari non possono accedere alle cartelle cliniche complete dei loro pazienti e non possono prendere decisioni mediche ottimali per la diagnosi e la cura, il che comporta costi notevoli sia per i sistemi sanitari che per le persone fisiche e può portare a esiti di salute peggiori per le persone fisiche. I dati sanitari elettronici resi disponibili in un formato interoperabile e che possono essere trasmessi tra prestatori di assistenza sanitaria possono anche ridurre l’onere amministrativo per i professionisti sanitari derivante dal dover inserire manualmente o copiare i dati sanitari da un sistema elettronico all’altro. Pertanto i professionisti sanitari dovrebbero essere muniti di mezzi elettronici adeguati, come dispositivi elettronici e portali ad essi dedicati o altri servizi di accesso per i professionisti sanitari, in modo da poter utilizzare i dati sanitari elettronici personali per l’esercizio delle loro funzioni. Poiché è difficile determinare in anticipo e in modo esaustivo quali dati provenienti dalle categorie prioritarie dei dati esistenti siano rilevanti dal punto di vista medico nell’ambito di una specifica prestazione di assistenza, ai professionisti sanitari dovrebbero essere garantito un ampio accesso ai dati. Nell’accedere ai dati relativi ai loro pazienti, i professionisti sanitari dovrebbero rispettare il diritto applicabile, i codici di condotta, gli orientamenti deontologici o altre disposizioni che disciplinano la condotta etica per quanto riguarda la condivisione delle informazioni o l’accesso alle stesse, in particolare in situazioni estreme o che comportino pericolo di morte. Ai sensi del regolamento (UE) 2016/679, al fine di limitare il loro accesso a ciò che è pertinente in una specifica prestazione di assistenza, i prestatori di assistenza sanitaria, nell’accedere ai dati sanitari elettronici personali, dovrebbero applicare il principio della minimizzazione dei dati, limitandosi a consultare i dati strettamente necessari e giustificati per la prestazione di un determinato servizio. La fornitura di servizi di accesso ai professionisti sanitari è un compito attribuito dal presente regolamento nell’interesse pubblico, la cui esecuzione richiede il trattamento dei dati personali ai sensi dell’articolo 6, paragrafo 1, lettera e), del regolamento (UE) 2016/679. Il presente regolamento stabilisce condizioni e garanzie per il trattamento dei dati sanitari elettronici nell’ambito dei servizi di accesso per i professionisti sanitari in conformità dell’articolo 9, paragrafo 2, lettera h), del regolamento (UE) 2016/679, ad esempio disposizioni dettagliate relative alla registrazione degli accessi a dati sanitari elettronici personali e volte a garantire trasparenza per gli interessati. Tuttavia il presente regolamento dovrebbe lasciare impregiudicato il diritto nazionale relativo al trattamento dei dati sanitari per la prestazione di assistenza sanitaria, compreso il diritto nazionale che definisce le categorie di professionisti sanitari che possono trattare differenti categorie di dati sanitari elettronici.

(20)

Al fine di facilitare l’esercizio dei diritti complementari di accesso e portabilità stabiliti a norma del presente regolamento, gli Stati membri dovrebbero istituire uno o più servizi di accesso ai dati sanitari elettronici. Tali servizi potrebbero essere forniti a livello nazionale, regionale o locale, o dai prestatori di assistenza sanitaria, sotto forma di un portale online per i pazienti, tramite un’applicazione per dispositivi mobili o tramite altri mezzi. Dovrebbero essere progettati in modo accessibile, in particolare per le persone con disabilità. Fornire tale servizio, che consente alle persone fisiche di accedere facilmente ai propri dati sanitari elettronici personali, costituisce un interesse pubblico sostanziale. Il trattamento dei dati sanitari elettronici personali tramite tali servizi è necessario per lo svolgimento del compito attribuito dal presente regolamento ai sensi dell’articolo 6, paragrafo 1, lettera e), e dell’articolo 9, paragrafo 2, lettera g), del regolamento (UE) 2016/679. Il presente regolamento stabilisce le condizioni e le garanzie necessarie per il trattamento dei dati sanitari elettronici nell’ambito dei servizi di accesso ai dati sanitari elettronici, quali l’identificazione elettronica delle persone fisiche che accedono a tali servizi.

(21)

Le persone fisiche dovrebbero poter fornire un’autorizzazione ad altre persone fisiche di loro scelta, come a parenti o ad altre persone fisiche loro vicine, che permetta a queste persone di loro scelta di accedere ai dati sanitari elettronici personali delle persone fisiche che forniscono l’autorizzazione o di controllarne l’accesso, oppure di utilizzare servizi di sanità digitale per loro conto. Tali autorizzazioni potrebbero anche risultare utili per altri usi alle persone fisiche che ricevono l’autorizzazione. Per consentire e attuare tali autorizzazioni è opportuno che gli Stati membri istituiscano servizi di delega che dovrebbero essere collegati a servizi di accesso ai dati sanitari elettronici personali, quali portali per i pazienti o applicazioni per dispositivi mobili rivolte ai pazienti. I servizi di delega dovrebbero anche permettere ai tutori di agire per conto dei loro tutelati, compresi i minori; in tali situazioni le autorizzazioni potrebbero essere automatiche. Oltre ai servizi di delega, gli Stati membri dovrebbero istituire anche servizi di assistenza facilmente accessibili forniti da personale adeguatamente formato per assistere le persone fisiche nell’esercizio dei propri diritti. Al fine di tenere conto dei casi in cui la visualizzazione, da parte dei tutori, di alcuni dati sanitari elettronici personali dei loro tutelati possa essere contraria agli interessi o alla volontà dei tutelati, compresi i minori, gli Stati membri dovrebbero poter prevedere nel diritto nazionale limitazioni e garanzie, nonché meccanismi per la loro attuazione tecnica. I servizi di accesso ai dati sanitari elettronici personali, quali portali per i pazienti o applicazioni per dispositivi mobili rivolte ai pazienti, dovrebbero utilizzare tali autorizzazioni e consentire così alle persone fisiche autorizzate di accedere ai dati sanitari elettronici personali che rientrano nell’ambito dell’autorizzazione. Al fine di garantire una soluzione orizzontale con una maggiore facilità d’uso, le soluzioni digitali per i servizi di delega dovrebbero essere in linea con il regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio (7) e alle specifiche tecniche del portafoglio europeo di identità digitale. Ciò contribuirebbe a ridurre gli oneri amministrativi e finanziari per gli Stati membri, riducendo il rischio di sviluppare sistemi paralleli non interoperabili a livello dell’Unione.

(22)

In alcuni Stati membri l’assistenza sanitaria è fornita da équipe di gestione delle cure di base, che sono gruppi di professionisti sanitari che si dedicano all’assistenza di base, come i medici di base, che svolgono le loro attività di assistenza sanitaria di base in virtù di un piano sanitario da essi elaborato. In diversi Stati membri esistono anche altri tipi di équipe sanitarie con altre finalità di assistenza. Nell’ambito dell’uso primario nello spazio europeo dei dati sanitari, l’accesso dovrebbe essere fornito ai professionisti sanitari membri di tali équipe.

(23)

Le autorità di controllo istituite ai sensi del regolamento (UE) 2016/679 sono competenti per monitorare e assicurare l’applicazione di tale regolamento, in particolare per il monitoraggio del trattamento dei dati sanitari elettronici personali e per rispondere a eventuali reclami presentati dalle persone fisiche interessate. Il presente regolamento stabilisce diritti complementari per le persone fisiche in merito all’uso primario, che vanno al di là dei diritti di accesso e portabilità sanciti dal regolamento (UE) 2016/679 e li integrano. Poiché tali ulteriori diritti dovrebbero essere garantiti anche dalle autorità di controllo istituite a norma del regolamento (UE) 2016/679, gli Stati membri dovrebbero provvedere affinché le autorità di controllo siano dotate delle risorse umane e finanziarie, dei locali e delle infrastrutture necessari per l’efficace adempimento di tali compiti aggiuntivi. L’autorità o le autorità di controllo responsabili del monitoraggio e dell’applicazione del trattamento dei dati sanitari elettronici personali per uso primario in conformità del presente regolamento dovrebbero essere competenti a infliggere sanzioni amministrative pecuniarie. Il sistema giudiziario della Danimarca non consente l’irrogazione di sanzioni amministrative pecuniarie come previsto dal presente regolamento. In Danimarca le norme relative alle sanzioni amministrative pecuniarie possono essere applicate in modo tale che la sanzione pecuniaria sia inflitta dalle competenti autorità giurisdizionali nazionali quale sanzione penale, purché l’applicazione di tali norme abbia effetto equivalente alle sanzioni amministrative pecuniarie irrogate dalle autorità di controllo. In ogni caso, le sanzioni pecuniarie irrogate dovrebbero essere effettive, proporzionate e dissuasive.

(24)

Nell’applicare il presente regolamento gli Stati membri dovrebbero adoperarsi per aderire a principi etici, quali i principi etici europei dell’etica per la salute digitale adottati dalla rete eHealth il 26 gennaio 2022 e il principio di riservatezza tra i professionisti sanitari e i pazienti. Riconoscendo l’importanza dei principi etici, i principi europei dell’etica della sanità digitale forniscono orientamenti rivolti a professionisti, ricercatori, innovatori, responsabili politici e autorità di regolamentazione.

(25)

La pertinenza delle diverse categorie di dati sanitari elettronici varia a seconda dei differenti scenari di assistenza sanitaria. Le diverse categorie di dati hanno inoltre conseguito livelli di maturità differenti in termini di normazione, e quindi l’attuazione di meccanismi per il loro scambio può essere più o meno complessa a seconda della categoria. Pertanto il miglioramento dell’interoperabilità e della condivisione dei dati dovrebbe essere graduale ed è necessario definire l’ordine di priorità di alcune categorie di dati sanitari elettronici. Le categorie di dati sanitari elettronici quali profili sanitari sintetici dei pazienti, prescrizioni elettroniche, dispensazioni elettroniche, esami diagnostici per immagini e relativi referti di immagini, risultati degli esami medici come risultati di laboratorio e relativi referti, e lettere di dimissione sono state selezionate dalla rete di assistenza sanitaria online come le più pertinenti per la maggior parte delle situazioni di assistenza sanitaria e gli Stati membri dovrebbero considerarle come categorie prioritarie per garantire l’accesso a esse e la loro trasmissione. Qualora tali categorie prioritarie di dati rappresentino gruppi di dati sanitari elettronici, il presente regolamento dovrebbe applicarsi sia agli interi gruppi sia alle singole voci di dati che rientrano in tali gruppi. Ad esempio, poiché lo status vaccinale fa parte del profilo sanitario sintetico del paziente, i diritti e i requisiti connessi a tale profilo dovrebbero applicarsi anche allo status vaccinale, anche se questo è trattato separatamente dal profilo sanitario sintetico del paziente nella sua interezza. Qualora siano individuate ulteriori necessità di scambiare categorie aggiuntive di dati sanitari elettronici per finalità di assistenza sanitaria, l’accesso a tali categorie aggiuntive e il relativo scambio dovrebbero essere possibili a norma del presente regolamento. Le categorie aggiuntive dovrebbero essere definite in sede di attuazione in primo luogo a livello di Stato membro e lo scambio su base volontaria di dati rientranti in tali categorie in situazioni transfrontaliere tra gli Stati membri cooperanti dovrebbe essere previsto dal presente regolamento. Si dovrebbe prestare particolare attenzione allo scambio di dati nelle regioni frontaliere di Stati membri confinanti dove l’erogazione di servizi sanitari transfrontalieri è più frequente e richiede procedure anche più rapide rispetto a quelle necessarie nell’Unione in generale.

(26)

Il livello di disponibilità dei dati sanitari e genetici personali in un formato elettronico varia a seconda degli Stati membri. Lo spazio europeo dei dati sanitari dovrebbe facilitare alle persone fisiche la possibilità di disporre di tali dati in formato elettronico e di avere un migliore controllo sull’accesso ai loro dati sanitari elettronici personali e sulla condivisione degli stessi. Ciò contribuirebbe anche al conseguimento dell’obiettivo di garantire che entro il 2030 il 100 % dei cittadini dell’Unione abbia accesso alle proprie cartelle cliniche elettroniche, come indicato nella decisione (UE) 2022/2481 del Parlamento europeo e del Consiglio (8). Al fine di rendere i dati sanitari elettronici disponibili e trasmissibili, è opportuno che l’accesso a tali dati e la loro trasmissione avvengano in un formato europeo di scambio delle cartelle cliniche elettroniche comune e interoperabile, almeno per determinate categorie di dati sanitari elettronici, quali i profili sanitari sintetici dei pazienti, le prescrizioni e le dispensazioni elettroniche, gli esami diagnostici per immagini e relativi referti di immagini, i risultati degli esami medici e le lettere di dimissione, prevedendo periodi di transizione. Laddove i dati sanitari elettronici personali siano messi a disposizione di un prestatore di assistenza sanitaria o di una farmacia da una persona fisica o siano trasmessi da un altro titolare del trattamento nel formato europeo di scambio delle cartelle cliniche elettroniche, il formato dovrebbe essere accettato, e il destinatario dovrebbe essere in grado di leggere e utilizzare tali dati, ai fini della prestazione di assistenza sanitaria o della dispensazione di un medicinale, sostenendo così l’erogazione dei servizi di assistenza sanitaria o la dispensazione della prescrizione elettronica. Il formato europeo di scambio delle cartelle cliniche elettroniche dovrebbe essere concepito in modo da facilitare, nella misura del possibile, la traduzione dei dati sanitari elettronici comunicati mediante tale formato nelle lingue ufficiali dell’Unione. La raccomandazione (UE) 2019/243 della Commissione (9) pone le basi di tale formato europeo comune di scambio delle cartelle cliniche elettroniche. L’interoperabilità dello spazio europeo dei dati sanitari dovrebbe contribuire a disporre di serie di dati sanitari europei di elevata qualità. L’uso del formato europeo di scambio delle cartelle cliniche elettroniche dovrebbe essere maggiormente ampliato a livello di Unione e nazionale. Il formato europeo di scambio delle cartelle cliniche elettroniche potrebbe accettare profili diversi per il suo utilizzo a livello dei sistemi di cartelle cliniche elettroniche e a livello dei punti di contatto nazionali per la sanità digitale in LaMiaSalute@UE (MyHealth@EU) per lo scambio transfrontaliero di dati.

(27)

Sebbene i sistemi di cartelle cliniche elettroniche siano ampiamente diffusi, il livello di digitalizzazione dei dati sanitari varia negli Stati membri a seconda delle categorie di dati e della copertura dei prestatori di assistenza sanitaria che registrano i dati sanitari in formato elettronico. Al fine di sostenere l’attuazione dei diritti degli interessati di accedere ai dati sanitari elettronici e di scambiarli, è necessaria l’azione dell’Unione per evitare un’ulteriore frammentazione. Onde contribuire a un’elevata qualità e alla continuità dell’assistenza sanitaria, determinate categorie di dati sanitari dovrebbero essere registrate sistematicamente in formato elettronico e secondo specifiche prescrizioni in materia di qualità dei dati. Il formato europeo di scambio delle cartelle cliniche elettroniche dovrebbe costituire la base per le specifiche relative alla registrazione e allo scambio dei dati sanitari elettronici.

(28)

La telemedicina sta diventando uno strumento sempre più importante in grado di fornire ai pazienti l’accesso all’assistenza e fare fronte alle disuguaglianze. Essa ha il potenziale di ridurre le disuguaglianze sanitarie e rafforzare la libera circolazione dei cittadini dell’Unione a livello transfrontaliero. Gli strumenti digitali e altri strumenti tecnologici possono agevolare la fornitura dell’assistenza nelle regioni remote. Quando i servizi digitali accompagnano l’erogazione fisica di un servizio di assistenza sanitaria, il servizio digitale dovrebbe essere considerato parte integrante dell’intera prestazione di assistenza. Ai sensi dell’articolo 168 del trattato sul funzionamento dell’Unione europea (TFUE), gli Stati membri sono responsabili della loro politica sanitaria, in particolare dell’organizzazione e dell’erogazione dei servizi sanitari e dell’assistenza medica, inclusa la regolamentazione di attività quali farmacie online, la telemedicina e altri servizi che forniscono e rimborsano, conformemente alla legislazione nazionale. Le diverse politiche in materia di assistenza sanitaria non dovrebbero tuttavia costituire un ostacolo alla libera circolazione dei dati sanitari elettronici nell’ambito dell’assistenza sanitaria transfrontaliera, ad esempio la telemedicina e i servizi farmaceutici online.

(29)

Il regolamento (UE) n. 910/2014 stabilisce le condizioni alle quali gli Stati membri effettuano l’identificazione delle persone fisiche in situazioni transfrontaliere utilizzando mezzi di identificazione elettronica rilasciati da un altro Stato membro, stabilendo norme per il riconoscimento reciproco di tali mezzi di identificazione elettronica. Lo spazio europeo dei dati sanitari richiede un accesso sicuro ai dati sanitari elettronici, anche in situazioni transfrontaliere. I servizi di accesso ai dati sanitari elettronici e i servizi di telemedicina dovrebbero consentire alle persone fisiche di esercitare i propri diritti indipendentemente dal loro Stato membro di affiliazione e dovrebbero pertanto supportare l’identificazione delle persone fisiche mediante qualsiasi mezzo di identificazione elettronica riconosciuto a norma del regolamento (UE) n. 910/2014. Tenendo presenti le possibili sfide per quanto riguarda la corrispondenza dell’identità in situazioni transfrontaliere, gli Stati membri di trattamento potrebbero dover approntare meccanismi supplementari di accesso, come token o codici di accesso, alle persone fisiche che arrivano da altri Stati membri e che ricevono assistenza sanitaria. Alla Commissione dovrebbe essere conferito il potere di adottare atti di esecuzione per definire i requisiti per l’identificazione e l’autenticazione interoperabili a livello transfrontaliero delle persone fisiche e dei professionisti sanitari, compresi eventuali meccanismi complementari che siano necessari per garantire che le persone fisiche possano esercitare i loro diritti sui dati sanitari elettronici personali in situazioni transfrontaliere.

(30)

Gli Stati membri dovrebbero designare autorità di sanità digitale competenti per la pianificazione e l’attuazione di norme per l’accesso ai dati sanitari elettronici e per la loro trasmissione, nonché per l’applicazione dei diritti delle persone fisiche e dei professionisti sanitari, sotto forma di autorità separate o come parte di autorità già esistenti. Il personale delle autorità di sanità digitale non dovrebbero avere interessi finanziari o di altro tipo nei settori o nelle attività economiche che possano compromettere la loro imparzialità. Nella maggior parte degli Stati membri esistono già autorità di sanità digitale che si occupano di cartelle cliniche elettroniche, interoperabilità, sicurezza o normazione. Nello svolgimento dei loro compiti, le autorità di sanità digitale dovrebbero cooperare in particolare con le autorità di controllo istituite a norma del regolamento (UE) 2016/679 e con gli organismi di vigilanza istituiti a norma del regolamento (UE) n. 910/2014. Le autorità di sanità digitale possono inoltre cooperare con il comitato europeo per l’intelligenza artificiale istituito dal regolamento (UE) 2024/1689 del Parlamento europeo e del Consiglio (10), il gruppo di coordinamento per i dispositivi medici istituito dal regolamento (UE) 2017/745 del Parlamento europeo e del Consiglio (11), il comitato europeo per l’innovazione in materia di dati istituito a norma del regolamento (UE) 2022/868 del Parlamento europeo e del Consiglio (12) e le autorità competenti ai sensi del regolamento (UE) 2023/2854 del Parlamento europeo e del Consiglio (13).Gli Stati membri dovrebbero facilitare la partecipazione di soggetti nazionali alla cooperazione a livello di Unione, convogliando le competenze e fornendo consulenza sulla concezione di soluzioni necessarie al conseguimento degli obiettivi dello spazio europeo dei dati sanitari.

(31)

Fatto salvo ogni altro ricorso amministrativo o extragiudiziale, ogni persona fisica o giuridica dovrebbe avere il diritto di proporre un ricorso giurisdizionale effettivo avverso una decisione giuridicamente vincolante di un’autorità di sanità digitale che la riguarda o qualora un’autorità di sanità digitale non tratti un reclamo o non informi la persona fisica o giuridica entro tre mesi dello stato o dell’esito del reclamo. I procedimenti contro un’autorità di sanità digitale dovrebbero essere intentati dinanzi a un tribunale degli Stati membri in cui è stabilita l’autorità di sanità digitale.

(32)

Le autorità di sanità digitale dovrebbero avere competenze tecniche sufficienti, riunendo possibilmente esperti di differenti organizzazioni. Le attività di tali autorità dovrebbero essere ben pianificate e monitorate al fine di garantirne l’efficienza. Le autorità di sanità digitale dovrebbero adottare le misure necessarie per proteggere i diritti delle persone fisiche mettendo a punto soluzioni tecniche nazionali, regionali e locali quali cartelle cliniche elettroniche nazionali, soluzioni di intermediazione e portali per i pazienti. È opportuno che, nell’adottare tali misure di protezione necessarie, le autorità sanitarie digitali applichino norme e specifiche comuni in tali soluzioni, promuovano l’applicazione delle norme e delle specifiche negli appalti e utilizzino altri mezzi innovativi come il rimborso di soluzioni conformi alle prescrizioni in materia di interoperabilità e sicurezza dello spazio europeo dei dati sanitari. Gli Stati membri dovrebbero provvedere affinché siano intraprese opportune iniziative di formazione. In particolare, i professionisti sanitari dovrebbero essere informati e formati per quanto riguarda i loro diritti e obblighi ai sensi del presente regolamento. Per eseguire tali compiti, le autorità di sanità digitale dovrebbero cooperare a livello di Unione e nazionale con altri soggetti, tra cui compagnie assicurative, prestatori di assistenza sanitaria, professionisti sanitari, fabbricanti di sistemi di cartelle cliniche elettroniche e di applicazioni per il benessere, nonché con altri portatori di interessi del settore sanitario o informatico, soggetti che gestiscono regimi di rimborso, organismi di valutazione della tecnologia sanitaria, autorità e agenzie di regolamentazione dei medicinali, autorità competenti sui dispositivi medici, committenti e autorità di cibersicurezza o di identificazione elettronica.

(33)

L’accesso ai dati sanitari elettronici e la loro trasmissione sono pertinenti in situazioni di assistenza sanitaria transfrontaliera, poiché possono sostenere la continuità dell’assistenza sanitaria quando le persone fisiche viaggiano in altri Stati membri o cambiano luogo di residenza. La continuità dell’assistenza e il rapido accesso ai dati sanitari elettronici personali sono ancora più importanti per i residenti delle regioni frontaliere che attraversano spesso i confini per ricevere assistenza sanitaria. In molte regioni frontaliere alcuni servizi specializzati di assistenza sanitaria potrebbero essere disponibili in luoghi più vicini oltre frontiera che nello stesso Stato membro. È necessaria un’infrastruttura per la trasmissione transfrontaliera di dati sanitari elettronici personali per il caso in cui in cui una persona fisica utilizzi i servizi di un prestatore di assistenza sanitaria stabilito in un altro Stato membro. È opportuno prendere in considerazione la graduale espansione di tale infrastruttura e il suo finanziamento. A tal fine, nel quadro delle azioni volte al conseguimento degli obiettivi della direttiva 2011/24/UE del Parlamento europeo e del Consiglio (14) è stata istituita un’infrastruttura volontaria denominata LaMiaSalute@UE (MyHealth@EU)]. Attraverso LaMiaSalute@UE (MyHealth@EU) gli Stati membri hanno iniziato a offrire alle persone fisiche la possibilità di condividere i loro dati sanitari elettronici personali con prestatori di assistenza sanitaria in occasione di viaggi all’estero. Sulla scorta di questa esperienza, la partecipazione degli Stati membri a LaMiaSalute@UE (MyHealth@EU) quale stabilita dal presente regolamento dovrebbe essere obbligatoria. Le specifiche tecniche per LaMiaSalute@UE (MyHealth@EU) dovrebbero consentire lo scambio di categorie prioritarie di dati sanitari elettronici e di categorie aggiuntive supportate dal formato europeo di scambio delle cartelle cliniche elettroniche. Tali specifiche dovrebbero essere definite mediante atti di esecuzione e dovrebbero basarsi sulle specifiche transfrontaliere del formato europeo di scambio delle cartelle cliniche elettroniche, integrate da ulteriori specifiche in materia di cibersicurezza, interoperabilità tecnica e semantica, gestione delle operazioni e dei servizi. Gli Stati membri dovrebbero essere tenuti ad aderire a LaMiaSalute@UE (MyHealth@EU), rispettarne le specifiche tecniche e provvedere al collegamento di prestatori di assistenza sanitaria, comprese le farmacie, in quanto ciò è necessario per consentire alle persone fisiche di esercitare i propri diritti ai sensi dal presente regolamento ad accedere ai propri dati sanitari elettronici personali e a utilizzarli indipendentemente dallo Stato membro in cui si trovano.

(34)

LaMiaSalute@UE (MyHealth@EU) fornisce un’infrastruttura comune agli Stati membri per garantire la connettività e l’interoperabilità in modo efficiente e sicuro per sostenere l’assistenza sanitaria transfrontaliera, senza pregiudicare le responsabilità degli Stati membri prima e dopo la trasmissione dei dati sanitari elettronici personali tramite tale infrastruttura. Agli Stati membri compete l’organizzazione dei loro punti di contatto nazionali per la sanità digitale e il trattamento dei dati personali ai fini della prestazione di assistenza sanitaria prima e dopo la trasmissione di tali dati tramite LaMiaSalute@UE (MyHealth@EU). La Commissione dovrebbe monitorare mediante controlli di conformità la conformità dei punti di contatto nazionali per la sanità digitale alle prescrizioni necessarie relative agli sviluppi tecnici di LaMiaSalute@UE (MyHealth@EU), nonché alle norme dettagliate riguardanti la sicurezza, la riservatezza e la protezione dei dati sanitari elettronici personali. In caso di grave inosservanza da parte di un punto di contatto nazionale per la sanità digitale, la Commissione dovrebbe poter sospendere i servizi interessati da tale inosservanza forniti da tale punto di contatto nazionale per la sanità digitale. La Commissione dovrebbe agire in qualità di responsabile del trattamento per conto degli Stati membri all’interno di LaMiaSalute@UE (MyHealth@EU) e fornire servizi centrali per quest’ultima. Al fine di assicurare la conformità alle norme in materia di protezione dei dati e di fornire un quadro per la gestione del rischio per la trasmissione dei dati sanitari elettronici personali, le responsabilità specifiche degli Stati membri, in qualità di contitolari del trattamento, e gli obblighi della Commissione, in qualità di responsabile del trattamento per loro conto, dovrebbero essere stabiliti mediante atti di esecuzione. Ogni Stato membro è il responsabile esclusivo dei dati e dei servizi sul proprio territorio. Il presente regolamento costituisce la base giuridica per il trattamento dei dati sanitari elettronici personali in LaMiaSalute@UE (MyHealth@EU) quale compito svolto nell’interesse pubblico assegnato dal diritto dell’Unione ai sensi dell’articolo 6, paragrafo 1, lettera e), del regolamento (UE) 2016/679. Tale trattamento è necessario per la prestazione di assistenza sanitaria in situazioni transfrontaliere, come indicato all’articolo 9, paragrafo 2, lettera h), di tale regolamento.

(35)

Oltre ai servizi presenti in LaMiaSalute@UE (MyHealth@EU) per lo scambio di dati sanitari elettronici personali sulla base del formato europeo di scambio delle cartelle cliniche elettroniche, potrebbero essere necessari altri servizi o infrastrutture supplementari, ad esempio nei casi di emergenze di sanità pubblica o quando l’architettura di LaMiaSalute@UE (MyHealth@EU) non è idonea per l’attuazione di alcuni casi d’uso. Esempi di tali casi d’uso includono il supporto delle funzionalità del libretto delle vaccinazioni, compreso lo scambio di informazioni sui piani vaccinali, o la verifica dei certificati di vaccinazione o di altri certificati collegati alla salute. Tali casi d’uso aggiuntivi sarebbero importanti anche per l’introduzione di ulteriori funzionalità per la gestione di crisi di sanità pubblica, come il supporto del tracciamento dei contatti ai fini del contenimento delle malattie infettive. LaMiaSalute@UE (MyHealth@EU) dovrebbe sostenere gli scambi di dati sanitari elettronici personali con i punti di contatto nazionali per la sanità digitale dei paesi terzi interessati e i sistemi istituiti a livello internazionale da organizzazioni internazionali per contribuire alla continuità dell’assistenza sanitaria. Ciò è particolarmente importante per gli individui che viaggiano da e verso paesi terzi limitrofi, paesi candidati e paesi e territori d’oltremare associati. Il collegamento di tali punti di contatto nazionali per la sanità digitale di paesi terzi LaMiaSalute@UE (MyHealth@EU) e l’interoperabilità con sistemi digitali istituiti a livello internazionale da organizzazioni internazionali dovrebbero essere oggetto di un controllo che garantisca la conformità di tali punti di contatto e sistemi digitali alle specifiche tecniche, alle norme in materia di protezione dei dati e ad altre prescrizioni di LaMiaSalute@UE (MyHealth@EU). Inoltre, dato che il collegamento a LaMiaSalute@UE (MyHealth@EU) comporterà il trasferimento di dati sanitari elettronici personali verso paesi terzi, come la condivisione di un profilo sanitario sintetico del paziente quando il paziente chiede assistenza in tale paese terzo, dovrebbero essere predisposti i pertinenti strumenti di trasferimento nell’ambito del capo V del regolamento (UE) 2016/679. Alla Commissione dovrebbe essere conferito il potere di adottare atti di esecuzione per agevolare il collegamento di tali punti di contatto nazionali per la sanità digitale di paesi terzi e sistemi istituiti a livello internazionale da organizzazioni internazionali a LaMiaSalute@UE (MyHealth@EU). Nella preparazione di tali atti di esecuzione la Commissione dovrebbe tenere conto degli interessi di sicurezza nazionale degli Stati membri.

(36)

Al fine di consentire lo scambio continuo di dati sanitari elettronici e garantire il rispetto dei diritti delle persone fisiche e dei professionisti sanitari, i sistemi di cartelle cliniche elettroniche commercializzati nel mercato interno dovrebbero essere in grado di conservare e trasmettere, in modo sicuro, dati sanitari elettronici di alta qualità. Si tratta di un obiettivo essenziale dello spazio europeo dei dati sanitari per garantire la libera e sicura circolazione dei dati sanitari elettronici nell’Unione. A tal fine dovrebbe essere istituito un sistema di autovalutazione obbligatoria della conformità per i sistemi di cartelle cliniche elettroniche che trattano una o più categorie prioritarie di dati sanitari elettronici per superare la frammentazione del mercato garantendo al contempo un approccio proporzionato. Attraverso l’autovalutazione i sistemi di cartelle cliniche elettroniche dimostreranno la conformità alle prescrizioni in materia di interoperabilità, sicurezza e registrazione per la comunicazione di dati sanitari elettronici personali stabiliti dai due componenti software obbligatori delle cartelle cliniche elettroniche armonizzate dal presente regolamento, vale a dire il «componente software europeo di interoperabilità dei sistemi di cartelle cliniche elettroniche» e il «componente software europeo di registrazione dei sistemi di cartelle cliniche elettroniche». I due componenti software armonizzati dei sistemi di cartelle cliniche elettroniche sono incentrati principalmente sulla trasformazione dei dati, anche se possono comportare la necessità di requisiti indiretti per il registro e la presentazione dei dati nei sistemi di cartelle cliniche elettroniche. Le specifiche tecniche per i componenti software armonizzati dei sistemi di cartelle cliniche elettroniche dovrebbero essere definite mediante atti di esecuzione e basarsi sull’uso del formato europeo di scambio delle cartelle cliniche elettroniche. I componenti software armonizzati dei sistemi di cartelle cliniche elettroniche dovrebbero essere progettati per essere riutilizzabili e integrati senza soluzione di continuità con altri componenti all’interno di un sistema software più ampio. Le prescrizioni in materia di sicurezza dei componenti software armonizzati dei sistemi di cartelle cliniche elettroniche dovrebbero riguardare elementi specifici dei sistemi di cartelle cliniche elettroniche, poiché le proprietà di sicurezza più generali dovrebbero essere garantite da altri meccanismi come quelli nell’ambito del regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio (15). A sostegno di tale processo, è opportuno istituire ambienti di prova digitali europei che forniscano strumenti automatizzati per verificare se il funzionamento dei componenti software armonizzati di un sistema di cartelle cliniche elettroniche sia conforme alle prescrizioni del presente regolamento. A tal fine alla Commissione dovrebbero essere conferite competenze di esecuzione per determinare le specifiche comuni relative a tali ambienti. La Commissione dovrebbe sviluppare il software necessario per gli ambienti di prova e renderlo disponibile come open source. Gli Stati membri dovrebbero essere responsabili per la gestione degli ambienti di prova digitali, in quanto sono più vicini ai fabbricanti e in una posizione migliore per sostenerli. I fabbricanti dovrebbero utilizzare tali ambienti di prova digitali per testare i loro prodotti prima di immetterli sul mercato, pur continuando ad assumersi la piena responsabilità della conformità dei loro prodotti. I risultati della prova dovrebbero far parte della documentazione tecnica del prodotto. Qualora il sistema di cartelle cliniche elettroniche o una sua parte sia conforme alle norme europee o alle specifiche comuni, nella documentazione tecnica dovrebbe essere altresì indicato l’elenco delle norme europee e delle specifiche comuni pertinenti. Per favorire la comparabilità dei sistemi di cartelle cliniche elettroniche, la Commissione dovrebbe elaborare un modello uniforme per la documentazione tecnica che accompagna tali sistemi.

(37)

I sistemi di cartelle cliniche elettroniche dovrebbero essere accompagnati da una scheda informativa contenente informazioni per gli utenti professionali e da istruzioni per l’uso chiare e complete, anche in formati accessibili per le persone con disabilità. Se un sistema di cartelle cliniche elettroniche non è accompagnato da tale scheda informativa, il fabbricante del sistema di cartelle cliniche elettroniche interessato, il suo rappresentante autorizzato e tutti gli altri operatori economici pertinenti dovrebbero essere tenuti ad aggiungere al sistema di cartelle cliniche elettroniche la scheda informativa e le istruzioni per l’uso in questione.

(38)

Mentre i sistemi di cartelle cliniche elettroniche specificamente previsti dai fabbricanti per essere utilizzati per il trattamento di una o più categorie specifiche di dati sanitari elettronici dovrebbero essere soggetti a un’autocertificazione obbligatoria, i software di tipo generico non dovrebbero essere considerati sistemi di cartelle cliniche elettroniche, anche quando sono utilizzati in contesti di assistenza sanitaria, e pertanto non dovrebbero essere tenuti a rispettare il presente regolamento. Si tratta di casi quali il software di elaborazione testuale utilizzato per redigere relazioni che diventerebbero poi parte di cartelle cliniche elettroniche scritte, middleware di uso generale o software di gestione delle banche dati utilizzato come parte di soluzioni di archiviazione dati.

(39)

Il presente regolamento impone un sistema obbligatorio di autovalutazione della conformità per i componenti armonizzati software dei sistemi di cartelle cliniche elettroniche, al fine di garantire che i sistemi di cartelle cliniche elettroniche immessi sul mercato dell’Unione siano in grado di scambiare dati nel formato europeo di scambio delle cartelle cliniche elettroniche e che dispongano delle capacità di registrazione richieste. Tale sistema obbligatorio di autovalutazione della conformità, nella forma di una dichiarazione UE di conformità da parte del produttore, dovrebbe garantire che tali prescrizioni siano rispettate in modo proporzionato, evitando un onere eccessivo agli Stati membri e ai produttori.

(40)

I fabbricanti dovrebbero apporre, sui documenti che accompagnano il sistema di cartelle cliniche elettroniche e, se del caso, sull’imballaggio una marcatura CE di conformità che indichi che il sistema di cartelle cliniche elettroniche è conforme al presente regolamento e, relativamente agli aspetti non disciplinati dal presente regolamento, con altro diritto dell’Unione applicabile che prescrive l’apposizione di tale marcatura. Gli Stati membri dovrebbero avvalersi dei meccanismi esistenti per garantire un’applicazione corretta delle disposizioni sulla marcatura CE di conformità a norma del pertinente diritto dell’Unione e dovrebbero adottare le opportune misure in caso di uso improprio della marcatura.

(41)

Gli Stati membri dovrebbero mantenere la competenza di definire i requisiti relativi a qualsiasi altro componente software dei sistemi di cartelle cliniche elettroniche e i termini e le condizioni per la connessione dei prestatori di assistenza sanitaria alle rispettive infrastrutture nazionali, che potrebbero essere oggetto di una valutazione da parte di terzi a livello nazionale. Al fine di agevolare il buon funzionamento del mercato interno dei sistemi di cartelle cliniche elettroniche, dei prodotti sanitari digitali e dei servizi associati, è necessario garantire la massima trasparenza possibile per quanto riguarda il diritto nazionale che stabilisce prescrizioni per i sistemi di cartelle cliniche elettroniche e le disposizioni sulla loro valutazione della conformità in relazione ad aspetti diversi dalle componenti software armonizzate dei sistemi di cartelle cliniche elettroniche. Gli Stati membri dovrebbero pertanto informare la Commissione di tali prescrizioni nazionali affinché questa disponga delle informazioni necessarie per garantire che non influenzino negativamente i componenti software armonizzati dei sistemi di cartelle cliniche elettroniche.

(42)

Alcuni componenti software di sistemi di cartelle cliniche elettroniche potrebbero essere considerati dispositivi medici a norma del regolamento (UE) 2017/745 o dispositivi medico-diagnostici in vitro a norma del regolamento (UE) 2017/746 del Parlamento europeo e del Consiglio (16). I software o moduli di software che rientrano nella definizione di dispositivo medico, di dispositivo medico-diagnostico in vitro o di sistema di intelligenza artificiale (IA) considerati ad alto rischio («sistema di IA ad alto rischio») dovrebbero essere certificati in conformità dei regolamenti (UE) 2017/745, (UE) 2017/746 e (UE) 2024/1689, a seconda dei casi. Sebbene tali prodotti debbano soddisfare le prescrizioni del rispettivo regolamento che disciplina tali prodotti, gli Stati membri dovrebbero adottare misure adeguate per garantire che la rispettiva valutazione della conformità sia effettuata come procedura congiunta o coordinata al fine di limitare l’onere amministrativo sui fabbricanti e altri operatori economici. Le prescrizioni essenziali in materia di interoperabilità del presente regolamento dovrebbero applicarsi solo nella misura in cui il fabbricante di un dispositivo medico, di un dispositivo medico-diagnostico in vitro o di un sistema di IA ad alto rischio che fornisce dati sanitari elettronici da trattare come parte di un sistema di cartelle cliniche elettroniche dichiari l’interoperabilità con tale sistema. In tal caso le disposizioni sulle specifiche comuni per i sistemi di cartelle cliniche elettroniche dovrebbero essere applicabili a tali dispositivi medici, dispositivi medico-diagnostici in vitro e sistemi di IA ad alto rischio.

(43)

Per sostenere ulteriormente l’interoperabilità e la sicurezza, gli Stati membri dovrebbero poter mantenere o definire norme specifiche per l’appalto, il rimborso o il finanziamento di sistemi di cartelle cliniche elettroniche a livello nazionale nel contesto dell’organizzazione, dell’erogazione o del finanziamento di servizi sanitari. Tali norme specifiche non dovrebbero ostacolare la libera circolazione dei sistemi di cartelle cliniche elettroniche nell’Unione. Alcuni Stati membri hanno introdotto la certificazione obbligatoria dei sistemi di cartelle cliniche elettroniche o un test di interoperabilità obbligatorio per il loro collegamento ai servizi nazionali di sanità digitale. Tali prescrizioni solitamente si riflettono negli appalti organizzati da prestatori di assistenza sanitaria e autorità nazionali o regionali. La certificazione obbligatoria dei sistemi di cartelle cliniche elettroniche a livello di Unione dovrebbe stabilire uno scenario di base che può essere utilizzato nelle procedure di appalto a livello nazionale.

(44)

Al fine di garantire l’effettivo esercizio da parte dei pazienti dei loro diritti ai sensi del presente regolamento, i prestatori di assistenza sanitaria che sviluppano e utilizzano «internamente» un sistema di cartelle cliniche elettroniche per eseguire attività interne senza immetterlo sul mercato in cambio di un pagamento o una remunerazione dovrebbero comunque rispettare il presente regolamento. In tale contesto i prestatori di assistenza sanitaria in questione dovrebbero rispettare tutte le prescrizioni applicabili ai fabbricanti per quanto riguarda i sistemi di cartelle cliniche elettroniche sviluppati «internamente» e che i prestatori di assistenza sanitaria mettono in servizio. Tuttavia, poiché i prestatori di assistenza sanitaria potrebbero aver bisogno di più tempo per prepararsi al fine di conformarsi al presente regolamento, tali prescrizioni dovrebbero applicarsi a detti sistemi solo dopo un periodo transitorio prolungato.

(45)

Occorre prevedere una divisione chiara e proporzionata degli obblighi corrispondenti al ruolo di ciascun operatore economico nel processo di fornitura e di distribuzione dei sistemi di cartelle cliniche elettroniche. Gli operatori economici dovrebbero essere responsabili della conformità in relazione ai rispettivi ruoli in tale processo e dovrebbero garantire di mettere a disposizione sul mercato solo sistemi di cartelle cliniche elettroniche che rispettano le prescrizioni pertinenti.

(46)

La conformità alle prescrizioni essenziali in materia di interoperabilità e sicurezza dovrebbe essere dimostrata dai fabbricanti di sistemi di cartelle cliniche elettroniche attraverso l’attuazione di specifiche comuni. A tal fine alla Commissione dovrebbero essere conferite competenze di esecuzione per determinare tali specifiche comuni relative a serie di dati, sistemi di codifica, specifiche tecniche, norme, specifiche e profili per lo scambio di dati, nonché prescrizioni e principi collegati alla sicurezza dei pazienti e alla riservatezza, all’integrità e alla protezione dei dati personali, e specifiche e prescrizioni relative alla gestione dell’identificazione e all’uso dell’identificazione elettronica. Le autorità di sanità digitale dovrebbero contribuire allo sviluppo di tali specifiche comuni. Ove applicabile, tali specifiche comuni dovrebbero basarsi sulle norme armonizzate esistenti per i componenti software armonizzati dei sistemi di cartelle cliniche elettroniche ed essere compatibili con il diritto settoriale. Le specifiche comuni, qualora abbiano particolare importanza in relazione alle prescrizioni in materia di protezione dei dati personali per i sistemi di cartelle cliniche elettroniche, dovrebbero essere soggette a consultazione con il comitato europeo per la protezione dei dati (European Data Protection Board – EDPB) e il Garante europeo della protezione dei dati (GEPD) prima della loro adozione, ai sensi dell’articolo 42, paragrafo 2, del regolamento (UE) 2018/1725.

(47)

Al fine di garantire un’applicazione adeguata ed efficace delle prescrizioni e degli obblighi di cui al presente regolamento, è opportuno che si applichi il sistema di vigilanza del mercato e di conformità dei prodotti istituito dal regolamento (UE) 2019/1020 del Parlamento e del Consiglio (17). A seconda dell’organizzazione definita a livello nazionale, tali attività di vigilanza del mercato potrebbero essere svolte dalle autorità di sanità digitale che garantiscono la corretta attuazione del capo II del presente regolamento o da un’autorità di vigilanza del mercato separata responsabile dei sistemi di cartelle cliniche elettroniche. Sebbene la designazione di autorità di sanità digitale come autorità di vigilanza del mercato potrebbe avere significativi vantaggi pratici per l’attuazione di attività di assistenza sanitaria, dovrebbero essere evitati eventuali conflitti di interesse, ad esempio separando compiti differenti.

(48)

Il personale delle autorità di vigilanza del mercato non dovrebbe avere conflitti di interessi economici, finanziari o personali diretti o indiretti che possano essere considerati pregiudizievoli per la sua indipendenza e, in particolare, non dovrebbe trovarsi in una situazione che possa, direttamente o indirettamente, pregiudicare l’imparzialità della sua condotta professionale. Gli Stati membri dovrebbero determinare e pubblicare la procedura di selezione per le autorità di vigilanza del mercato. Essi dovrebbero provvedere affinché la procedura sia trasparente e non dia luogo a conflitti di interessi.

(49)

Gli utenti di applicazioni per il benessere, comprese le applicazioni per dispositivi mobili, dovrebbero essere informati sulla capacità di tali applicazioni di essere collegate e di fornire dati ai sistemi di cartelle cliniche elettroniche o a soluzioni di sanità elettronica nazionali nei casi in cui i dati prodotti dalle applicazioni per il benessere siano utili per finalità di assistenza sanitaria. La capacità di tali applicazioni di esportare dati in un formato interoperabile è pertinente anche per finalità di portabilità dei dati. Se del caso, gli utenti dovrebbero essere informati sulla conformità di tali applicazioni alle prescrizioni in materia di interoperabilità e sicurezza. Tuttavia, dato il numero elevato di applicazioni per il benessere e la pertinenza limitata per finalità di assistenza sanitaria dei dati prodotti da molte di esse, un sistema di certificazione per tali applicazioni non sarebbe adeguato. È pertanto opportuno istituire un sistema di etichettatura obbligatoria per le applicazioni per il benessere per le quali è dichiarata l’interoperabilità con un sistema di cartelle cliniche elettroniche quale meccanismo adeguato per garantire agli utenti di applicazioni per il benessere la trasparenza in merito alla conformità alle prescrizioni nell’ambito del presente regolamento, sostenendo in tal modo gli utenti nella scelta di applicazioni per il benessere appropriate, dotate di elevati standard di interoperabilità e sicurezza. La Commissione dovrebbe stabilire mediante atti di esecuzione informazioni dettagliate relative al formato e al contenuto di tale etichetta.

(50)

Gli Stati membri dovrebbero rimanere liberi di disciplinare altri aspetti dell’uso delle applicazioni per il benessere, a condizione che le relative norme siano conformi al diritto dell’Unione.

(51)

È necessario divulgare informazioni sui sistemi di cartelle cliniche elettroniche muniti di certificazione e sulle applicazioni per il benessere corredate di etichetta al fine di permettere a committenti e utenti di tali prodotti di trovare soluzioni interoperabili adeguate alle loro esigenze specifiche. È opportuno dunque istituire a livello di Unione una banca dati dei sistemi di cartelle cliniche elettroniche e delle applicazioni per il benessere interoperabili, che non rientrano nell’ambito di applicazione dei regolamenti (UE) 2017/745 e (UE) 2024/1689, simile alla banca dati europea dei dispositivi medici (Eudamed) istituita dal regolamento (UE) 2017/745. Gli obiettivi della banca dati dell’UE per la registrazione dei sistemi di cartelle cliniche elettroniche e delle applicazioni per il benessere interoperabili dovrebbero essere di migliorare la trasparenza generale, evitare la moltiplicazione degli obblighi di informazione e razionalizzare e facilitare il flusso di informazioni. Per quanto riguarda i dispositivi medici e i sistemi di IA, la registrazione dovrebbe essere mantenuta nel quadro delle banche dati esistenti istituite, rispettivamente, ai sensi dei regolamenti (UE) 2017/745 e (UE) 2024/1689, ma la conformità alle prescrizioni in materia di interoperabilità dovrebbe essere indicata dai fabbricanti quando la dichiarano, per fornire informazioni ai committenti.

(52)

Senza ostacolare o sostituire accordi contrattuali o meccanismi di altro tipo in vigore, il presente regolamento mira a istituire un meccanismo comune di accesso ai dati sanitari elettronici per l’uso secondario in tutta l’Unione. Nell’ambito di tale meccanismo i titolari dei dati sanitari dovrebbero mettere a disposizione i dati in loro possesso sulla base di un’autorizzazione ai dati o di una richiesta di dati sanitari. Ai fini del trattamento dei dati sanitari elettronici per l’uso secondario è richiesta una delle basi giuridiche di cui all’articolo 6, paragrafo 1, lettere a), c), e) o f), del regolamento (UE) 2016/679 in combinato disposto con l’articolo 9, paragrafo 2, del medesimo regolamento. Di conseguenza, il presente regolamento fornisce una base giuridica per l’uso secondario dei dati sanitari elettronici personali, comprese le garanzie richieste a norma dell’articolo 9, paragrafo 2, lettere da g) a j), del regolamento (UE) 2016/679 per consentire il trattamento di categorie particolari di dati, in termini di finalità legittime, governance affidabile per fornire l’accesso ai dati sanitari, attraverso il coinvolgimento di organismi responsabili dell’accesso ai dati sanitari, e il trattamento in un ambiente sicuro, nonché modalità per il trattamento dei dati, stabilite nell’autorizzazione ai dati. Di conseguenza, gli Stati membri non dovrebbero più poter mantenere o introdurre, a norma dell’articolo 9, paragrafo 4, del regolamento (UE) 2016/679, ulteriori condizioni, comprese limitazioni e disposizioni specifiche che richiedono il consenso delle persone fisiche, per quanto riguarda il trattamento per l’uso secondario dei dati sanitari elettronici personali a norma del presente regolamento, ad eccezione dell’introduzione di misure più rigorose e garanzie supplementari a livello nazionale intese a tutelare la sensibilità e il valore di taluni dati come previsto dal presente regolamento. I richiedenti di dati sanitari dovrebbero inoltre dimostrare una base giuridica, ai sensi dell’articolo 6 del regolamento (UE) 2016/679, che consenta loro di richiedere l’accesso ai dati sanitari elettronici a norma del presente regolamento e dovrebbero soddisfare le condizioni stabilite nel capo IV. Inoltre, l’organismo responsabile dell’accesso ai dati sanitari dovrebbe valutare le informazioni fornite dal richiedente di dati sanitari, sulla cui base dovrebbe poter rilasciare un’autorizzazione ai dati per il trattamento dei dati sanitari elettronici personali ai sensi del presente regolamento che dovrebbe soddisfare le prescrizioni e le condizioni stabilite nel capo IV del presente regolamento. Per il trattamento di dati sanitari elettronici detenuti dai titolari dei dati sanitari, il presente regolamento introduce l’obbligo giuridico, ai sensi dell’articolo 6, paragrafo 1, lettera c), del regolamento (UE) 2016/679, conformemente all’articolo 9, paragrafo 2, lettere i) e j), di detto regolamento, secondo cui il titolare dei dati sanitari è tenuto a comunicare i dati sanitari elettronici personali agli organismi responsabili dell’accesso ai dati sanitari, mentre la base giuridica per la finalità del trattamento iniziale, ad esempio la prestazione di assistenza sanitaria, è inalterata. Il presente regolamento attribuisce inoltre compiti di interesse pubblico agli organismi responsabili dell’accesso ai dati sanitari ai sensi dell’articolo 6, paragrafo 1, lettera e), del regolamento (UE) 2016/679 e soddisfa le prescrizioni di cui all’articolo 9, paragrafo 2, lettere da g) a j), a seconda dei casi, di tale regolamento. Se l’utente dei dati sanitari invoca una base giuridica prevista dall’articolo 6, paragrafo 1, lettera e), o f), del regolamento (UE) 2016/679, il presente regolamento dovrebbe prevedere le garanzie richieste a norma dell’articolo 9, paragrafo 2, del regolamento (UE) 2016/679.

(53)

I dati sanitari elettronici usati per uso secondario possono apportare grandi benefici per la società. È opportuno incoraggiare l’utilizzo di dati e prove reali, tra cui le informazioni sui risultati comunicati dai pazienti, per scopi normativi e strategici basati su dati probanti, nonché per la ricerca, la valutazione delle tecnologie sanitarie e gli obiettivi clinici. I dati e le prove reali sono in grado di integrare i dati sanitari attualmente resi disponibili. Per conseguire tale obiettivo, è importante che le serie di dati messe a disposizione per l’uso secondario a norma del presente regolamento siano quanto più complete possibile. Il presente regolamento fornisce le garanzie necessarie per attenuare determinati rischi connessi al conseguimento di tali benefici. L’uso secondario di dati sanitari elettronici si basa su dati pseudonimizzati o anonimizzati, al fine di impedire l’identificazione degli interessati.

(54)

Per bilanciare la necessità degli utenti dei dati sanitari di disporre di serie di dati esaustivi e rappresentativi con la necessità di autonomia delle persone fisiche rispetto ai loro dati sanitari elettronici personali considerati particolarmente sensibili, le persone fisiche dovrebbero poter decidere se i propri dati sanitari elettronici personali possano essere trattati per l’uso secondario a norma del presente regolamento, sotto forma di un diritto di esclusione in relazione alla messa a disposizione di tali dati per l’uso secondario. Dovrebbe essere previsto un meccanismo per l’esercizio del diritto di esclusione facilmente comprensibile e accessibile all’utente. È inoltre indispensabile fornire alle persone fisiche informazioni sufficienti e complete sul loro diritto di esclusione, compresi i vantaggi e gli svantaggi che l’esercizio di tale diritto comporta. Le persone fisiche non dovrebbero essere tenute a indicare le ragioni dell’esercizio del proprio diritto di esclusione e dovrebbero avere la possibilità di riconsiderare la loro scelta in qualsiasi momento. Tuttavia, per determinate finalità strettamente legate all’interesse pubblico, quali le attività di protezione da gravi minacce per la salute a carattere transfrontaliero o la ricerca scientifica per importanti motivi di interesse pubblico, è opportuno prevedere la possibilità per gli Stati membri di istituire, tenendo conto del loro contesto nazionale, meccanismi per fornire l’accesso ai dati sanitari elettronici personali delle persone fisiche che si sono avvalse del diritto di esclusione, al fine di garantire che in tali situazioni possano essere rese disponibili serie di dati complete. Tali meccanismi dovrebbero essere conformi ai requisiti stabiliti per l’uso secondario a norma del presente regolamento. La ricerca scientifica per importanti motivi di interesse pubblico potrebbe comprendere, ad esempio, la ricerca che risponde a esigenze mediche insoddisfatte, anche per quanto riguarda le malattie rare, o le minacce sanitarie emergenti. Le norme relative a tale superamento del diritto di esclusione dovrebbero rispettare l’essenza dei diritti e delle libertà fondamentali e costituire una misura necessaria e proporzionata in una società democratica per rispondere all’interesse pubblico nell’ambito dei legittimi obiettivi scientifici e sociali. Il superamento dovrebbe essere disponibile solo per gli utenti dei dati sanitari che sono enti pubblici, o per le istituzioni, gli organi o gli organismi dell’Unione competenti incaricati dello svolgimento dei compiti nel settore della sanità pubblica o per altri soggetti incaricati di svolgere compiti pubblici nel settore della sanità pubblica o che agiscono per conto o per incarico di un’autorità pubblica, e solo ove i dati non possano essere ottenuti con mezzi alternativi in modo tempestivo ed efficace. Tali utenti dei dati sanitari dovrebbero giustificare il ricorso al superamento in quanto necessario per una domanda di accesso individuale ai dati sanitari o una richiesta di dati sanitari. Ove si ricorra al superamento, gli utenti dei dati sanitari dovrebbero continuare ad applicare le garanzie di cui al capo IV, in particolare il divieto di reidentificazione o dei tentativi di reidentificazione delle persone fisiche interessate.

(55)

Nel contesto dello spazio europeo dei dati sanitari, i dati sanitari elettronici esistono già e sono raccolti, tra gli altri, da prestatori di assistenza sanitaria, associazioni professionali, istituzioni pubbliche, regolatori, ricercatori e assicuratori nel corso delle loro attività. Tali dati dovrebbero essere resi disponibili anche per l’uso secondario, vale a dire per il trattamento di dati per finalità diverse da quelle per le quali sono stati raccolti o prodotti; tuttavia, molti di questi dati non sono resi disponibili per il trattamento per tali finalità. Ciò limita la capacità di ricercatori, innovatori, responsabili delle politiche, regolatori e medici di utilizzarli per finalità differenti, tra cui la ricerca, l’innovazione, la definizione delle politiche, finalità normative, la sicurezza dei pazienti o la medicina personalizzata. Al fine di sfruttare pienamente i benefici derivanti dall’uso secondario, tutti i titolari di dati sanitari dovrebbero contribuire rendendo disponibili per l’uso secondario le differenti categorie di dati sanitari elettronici in loro possesso, purché tale sforzo avvenga tramite processi efficaci e sicuri, nel debito rispetto degli obblighi professionali, quali gli obblighi di riservatezza.

(56)

Le categorie di dati sanitari elettronici che possono essere trattati per l’uso secondario dovrebbero essere abbastanza ampie e flessibili da soddisfare le mutevoli esigenze degli utenti dei dati sanitari, rimanendo al contempo limitate ai dati relativi alla salute o di cui è nota l’influenza sulla salute. Possono includere anche dati pertinenti provenienti dal sistema sanitario, ad esempio cartelle cliniche elettroniche, dati relativi alle domande di rimborso, dati sulle dispensazioni, dati ricavati da registri di malattia o dati genomici, nonché dati che hanno un impatto sulla salute, ad esempio dati sul consumo di varie sostanze, posizione socioeconomica o comportamento, e dati sui fattori ambientali, quali l’inquinamento, le radiazioni o l’uso di determinate sostanze chimiche. Le categorie di dati sanitari elettronici per uso secondario includono alcune categorie di dati inizialmente raccolti per altre finalità, come la ricerca, le statistiche, la sicurezza dei pazienti, attività normative o la definizione delle politiche, ad esempio registri inerenti alla definizione delle politiche o registri degli effetti collaterali di medicinali o dispositivi medici. In alcuni ambiti, come quello oncologico (sistema europeo d’informazione sul cancro) o delle malattie rare (per esempio la piattaforma europea per la registrazione delle malattie rare e i registri della rete di riferimento europea (ERN)], sono disponibili banche dati europee che facilitano l’utilizzo o il riutilizzo dei dati. Le categorie di dati sanitari elettronici che possono essere trattati per l’uso secondario dovrebbero anche includere dati generati automaticamente provenienti da dispositivi medici e dati generati dalla persona, quali dati provenienti da applicazioni per il benessere. Anche i dati sulle sperimentazioni cliniche e sulle indagini cliniche dovrebbero essere inclusi nelle categorie di dati sanitari elettronici per uso secondario al termine della sperimentazione clinica o dell’indagine clinica, senza pregiudicare la condivisione volontaria dei dati da parte dei promotori delle sperimentazioni e delle indagini in corso. I dati sanitari elettronici per l’uso secondario dovrebbero essere resi disponibili preferibilmente in un formato elettronico strutturato che ne faciliti il trattamento mediante sistemi informatici. Esempi di formato elettronico strutturato comprendono registrazioni in una banca dati relazionale, documenti XML o file CSV, testo libero, audio, video e immagini forniti come file leggibili da computer.

(57)

Gli utenti dei dati sanitari che beneficiano dell’accesso a serie di dati fornite ai sensi del presente regolamento potrebbero arricchire i dati in tali serie di dati con varie correzioni e annotazioni e altri miglioramenti, integrando ad esempio i dati mancanti o incompleti, migliorando in tal modo l’accuratezza, la completezza o la qualità dei dati nelle serie di dati. Gli utenti dei dati sanitari dovrebbero essere incoraggiati a segnalare errori critici nelle serie di dati agli organismi responsabili dell’accesso ai dati sanitari. Per favorire il miglioramento della banca dati iniziale e l’ulteriore utilizzo della serie di dati arricchita, gli Stati membri dovrebbero poter stabilire norme per il trattamento e l’uso dei dati sanitari elettronici contenenti miglioramenti per il loro trattamento. La serie di dati migliorata dovrebbe essere messa a disposizione del titolare dei dati sanitari originario gratuitamente assieme a una descrizione dei miglioramenti. Il titolare dei dati sanitari dovrebbe rendere disponibile la nuova serie di dati, a meno che non fornisca all’organismo responsabile dell’accesso ai dati sanitari un’opposizione giustificata a tale operazione, ad esempio in casi in cui l’arricchimento da parte degli utenti dei dati sanitari sia di bassa qualità. È opportuno garantire che i dati sanitari elettronici non personali siano disponibili per l’uso secondario. In particolare i dati genomici sugli agenti patogeni hanno un valore significativo per la salute umana, come dimostrato durante la pandemia di COVID-19, in cui l’accesso a tali dati e la loro condivisione tempestivi si sono dimostrati essenziali per il rapido sviluppo di strumenti di rilevamento, di contromisure mediche e di risposte alle minacce per la sanità pubblica. Il maggiore beneficio derivante dall’azione nel campo della genomica dei patogeni sarà conseguito quando i processi della sanità pubblica e della ricerca condivideranno le serie di dati e coopereranno per informarsi e migliorarsi a vicenda.

(58)

Al fine di aumentare l’efficacia dell’uso secondario dei dati sanitari elettronici personali e di beneficiare appieno delle possibilità offerte dal presente regolamento, la disponibilità, nello spazio europeo dei dati sanitari, dei dati sanitari di cui al capo IV dovrebbe essere tale che i dati siano il più possibile accessibili, di alta qualità, pronti e adatti allo scopo di creare valore e qualità scientifici, innovativi e sociali. I lavori sull’attuazione dello spazio europeo dei dati sanitari e su ulteriori miglioramenti delle serie di dati dovrebbero essere effettuati dando la priorità alle serie di dati più adatte a creare tale valore e qualità.

(59)

I soggetti pubblici o privati ricevono spesso finanziamenti pubblici, da fondi nazionali o dell’Unione, per raccogliere e trattare dati sanitari elettronici per la ricerca, le statistiche sia ufficiali che non ufficiali, o altre finalità simili, anche in ambiti in cui la raccolta di tali dati è frammentata o difficile, quali quelli relativi alle malattie rare o al cancro. Tali dati, raccolti e trattati dai titolari dei dati sanitari con il sostegno di finanziamenti pubblici nazionali o dell’Unione, dovrebbero essere messi a disposizione degli organismi responsabili dell’accesso ai dati sanitari al fine di massimizzare l’impatto dell’investimento pubblico e sostenere la ricerca, l’innovazione, la sicurezza dei pazienti o la definizione delle politiche, a beneficio della società. In alcuni Stati membri i soggetti privati, compresi i prestatori di assistenza sanitaria privati e le associazioni professionali, svolgono un ruolo di fondamentale importanza nel settore sanitario. I dati sanitari detenuti da tali prestatori dovrebbero essere resi disponibili anche per l’uso secondario. I titolari dei dati sanitari nel contesto dell’uso secondario dovrebbero pertanto essere soggetti che sono prestatori di assistenza sanitaria o cure assistenziali o svolgono attività di ricerca in relazione ai settori dell’assistenza sanitaria o delle cure assistenziali, o sviluppano prodotti o servizi destinati ai settori dell’assistenza sanitaria o delle cure assistenziali. Tali enti possono essere pubblici, senza scopo di lucro o privati. In linea con tale definizione, le case di cura, i centri di assistenza diurna, i soggetti che forniscono servizi alle persone con disabilità, i soggetti che svolgono le attività commerciali e tecnologiche connesse all’assistenza, come i centri ortopedici e le imprese che forniscono servizi di assistenza, dovrebbero essere considerati titolari di dati sanitari. Anche le persone giuridiche che sviluppano applicazioni per il benessere dovrebbero essere considerate titolari di dati sanitari. Anche le istituzioni, gli organi e gli organismi dell’Unione che trattano tali categorie di dati relativi alla salute e all’assistenza sanitaria nonché i registri di mortalità dovrebbero essere considerati titolari di dati sanitari. Al fine di evitare un onere sproporzionato a loro carico, di norma le persone fisiche e le microimprese dovrebbero essere esentate dagli obblighi dei titolari di dati sanitari. Gli Stati membri dovrebbero tuttavia poter estendere gli obblighi dei titolari di dati sanitari alle persone fisiche e alle microimprese nel loro diritto nazionale. Al fine di ridurre gli oneri amministrativi e alla luce dei principi di efficacia ed efficienza, gli Stati membri dovrebbero poter richiedere nel loro diritto nazionale che, per talune categorie di titolari di dati sanitari, le funzioni siano svolte da intermediari di dati sanitari. Tali intermediari di dati sanitari dovrebbero essere persone giuridiche in grado di trattare, rendere disponibili, registrare, fornire o scambiare dati sanitari elettronici per l’uso secondario forniti da titolari dei dati, o limitarne l’accesso. Tali intermediari di dati sanitari svolgono compiti diversi da quelli dei servizi di intermediazione dei dati nell’ambito del regolamento (UE) 2022/868.

(60)

I dati sanitari elettronici protetti da diritti di proprietà intellettuale o segreti commerciali, compresi i dati relativi a sperimentazioni cliniche, indagini e studi, possono essere molto utili per l’uso secondario e possono promuovere l’innovazione all’interno dell’Unione a beneficio dei pazienti dell’Unione. Al fine di incoraggiare l’Unione a continuare a svolgere un ruolo di primo piano in questo ambito, è importante incoraggiare la condivisione dei dati delle sperimentazioni cliniche e delle indagini cliniche attraverso lo spazio europeo dei dati sanitari per l’uso secondario. I dati delle sperimentazioni cliniche e delle indagini cliniche dovrebbero essere resi disponibili per quanto possibile, adottando nel contempo tutte le misure necessarie per proteggere i diritti di proprietà intellettuale e i segreti commerciali. Il presente regolamento non dovrebbe essere utilizzato per ridurre o eludere tale protezione e dovrebbe essere coerente con le pertinenti disposizioni in materia di trasparenza stabilite dal diritto dell’Unione, incluse quelle relative ai dati delle sperimentazioni cliniche e delle indagini cliniche. L’organismo responsabile dell’accesso ai dati sanitari dovrebbe valutare come preservare tale protezione, pur consentendo l’accesso a tali dati per gli utenti dei dati sanitari nella misura del possibile. Ove l’organismo responsabile dell’accesso ai dati sanitari non sia in grado fornire tale accesso, dovrebbe informare l’utente dei dati sanitari e spiegare perché non è possibile fornirlo. Le misure giuridiche, organizzative e tecniche per proteggere i diritti di proprietà intellettuale o i segreti commerciali potrebbero includere accordi contrattuali comuni in materia di accesso ai dati sanitari elettronici, obblighi specifici nell’ambito dell’autorizzazione ai dati in relazione a tali diritti, il pretrattamento dei dati per generare dati derivati che proteggono un segreto commerciale ma hanno comunque utilità per l’utente o la configurazione dell’ambiente di trattamento sicuro in modo che tali dati non siano accessibili all’utente dei dati sanitari.

(61)

L’uso secondario dei dati sanitari nello spazio europeo dei dati sanitari dovrebbe permettere ai soggetti pubblici, privati e senza scopo di lucro, così come ai singoli ricercatori, di avere accesso ai dati sanitari per la ricerca, l’innovazione, la definizione delle politiche, attività didattiche, la sicurezza dei pazienti, attività normative o la medicina personalizzata, in linea con le finalità stabilite nel presente regolamento. L’accesso ai dati per l’uso secondario dovrebbe contribuire all’interesse generale della società. In particolare, l’uso secondario dei dati sanitari per finalità di ricerca e sviluppo dovrebbe contribuire a un beneficio per la società sotto forma di nuovi medicinali, dispositivi medici e prodotti e servizi sanitari a prezzi accessibili ed equi per tutti i cittadini dell’Unione, nonché rafforzarne l’accessibilità e la disponibilità in tutti gli Stati membri. Le attività per le quali è legittimo l’accesso nel contesto del presente regolamento potrebbero comprendere l’uso dei dati sanitari elettronici per compiti eseguiti da enti pubblici, quali l’esercizio della funzione pubblica, tra cui la sorveglianza della sanità pubblica, obblighi di pianificazione e comunicazione, la definizione delle politiche in ambito sanitario e la garanzia della sicurezza dei pazienti, della qualità dell’assistenza e della sostenibilità dei sistemi di assistenza sanitaria. Gli enti pubblici e le istituzioni, gli organi e gli organismi dell’Unione potrebbero aver bisogno di accedere regolarmente ai dati sanitari elettronici per un periodo di tempo prolungato, anche al fine di adempiere al proprio mandato, come previsto dal presente regolamento. Gli enti pubblici potrebbero eseguire tali attività di ricerca ricorrendo a terzi, compresi i subappaltatori, a condizione che l’ente pubblico rimanga sempre il supervisore di tali attività. La fornitura dei dati dovrebbe inoltre favorire attività correlate alla ricerca scientifica. La nozione di ricerca scientifica dovrebbe essere interpretata in senso ampio, che ricomprenda lo sviluppo tecnologico e la dimostrazione, la ricerca fondamentale, la ricerca applicata e la ricerca finanziata da soggetti privati. Le attività correlate alla ricerca scientifica comprendono le attività di innovazione quali l’addestramento di algoritmi di intelligenza artificiale che potrebbero essere utilizzati nell’assistenza sanitaria o nella cura delle persone fisiche, nonché la valutazione e l’ulteriore sviluppo di algoritmi e prodotti esistenti a tali fini. È necessario che lo spazio europeo dei dati sanitari contribuisca anche alla ricerca fondamentale e, sebbene i suoi benefici per gli utilizzatori finali e i pazienti possano risultare meno diretti, tale ricerca è fondamentale per i benefici per la società a lungo termine. In taluni casi le informazioni di alcune persone fisiche, come le informazioni genomiche delle persone fisiche con una determinata malattia, potrebbero contribuire alla diagnosi o la cura di altre persone fisiche. È necessario che gli enti pubblici vadano oltre l’ambito della «necessità eccezionale» di cui al capo V del regolamento (UE) 2023/2854. Tuttavia agli organismi responsabili dell’accesso ai dati sanitari dovrebbe essere consentito di fornire sostegno agli enti pubblici quando trattano o collegano i dati. Il presente regolamento fornisce agli enti pubblici un canale per ottenere l’accesso alle informazioni di cui hanno bisogno per adempiere i compiti assegnati loro dalla legge, ma non estende il mandato di tali enti pubblici.

(62)

Dovrebbe essere vietato qualsiasi tentativo di utilizzare i dati sanitari elettronici per eventuali misure pregiudizievoli per le persone fisiche, ad esempio per aumentare i premi assicurativi, per intraprendere attività potenzialmente dannose per le persone fisiche concernenti l’occupazione, le pensioni o l’attività bancaria, compresa l’ipoteca sulle proprietà, per pubblicizzare prodotti o cure, per automatizzare il processo decisionale individuale, per reidentificare le persone fisiche o per sviluppare prodotti nocivi. Tale divieto dovrebbe applicarsi anche alle attività contrarie alle disposizioni etiche ai sensi del diritto nazionale, ad eccezione delle disposizioni etiche relative al consenso al trattamento dei dati personali e alle disposizioni etiche relative al diritto di esclusione, poiché il presente regolamento prevale sul diritto nazionale in conformità del principio generale del primato del diritto dell’Unione. Dovrebbe inoltre essere proibito fornire l’accesso ai dati sanitari elettronici, oppure renderli disponibili in altro modo, a terzi non menzionati nell’autorizzazione ai dati. Nell’autorizzazione ai dati dovrebbe essere indicata l’identità delle persone autorizzate, in particolare l’identità del ricercatore principale, che avranno il diritto a norma del presente regolamento di accedere ai dati sanitari elettronici nell’ambiente di trattamento sicuro. I ricercatori principali sono le principali persone responsabili della richiesta di accesso ai dati sanitari elettronici e del trattamento dei dati richiesti nell’ambiente di trattamento sicuro per conto dell’utente dei dati sanitari.

(63)

Il presente regolamento non conferisce poteri per l’uso secondario dei dati sanitari a fini di contrasto. La prevenzione, l’indagine, l’accertamento o il perseguimento di reati o l’esecuzione di sanzioni penali da parte delle autorità competenti non dovrebbero rientrare tra le finalità di uso secondario contemplate dal presente regolamento. Pertanto, gli organi giurisdizionali e altri soggetti del sistema giudiziario non dovrebbero essere considerati utenti dei dati sanitari per l’uso secondario dei dati sanitari a norma del presente regolamento. Inoltre, gli organi giurisdizionali e altri enti del sistema giudiziario non dovrebbero rientrare nella definizione di titolari di dati sanitari e non dovrebbero quindi essere destinatari degli obblighi dei titolari di dati sanitari ai sensi del presente regolamento. Restano inoltre impregiudicati dal presente regolamento i poteri delle autorità competenti per la prevenzione, l’indagine, l’accertamento e il perseguimento dei reati stabiliti per legge per ottenere dati sanitari elettronici. Analogamente, i dati sanitari elettronici detenuti dagli organi giurisdizionali ai fini di procedimenti giudiziari non rientrano nell’ambito di applicazione del presente regolamento.

(64)

L’istituzione di uno o più organismi responsabili dell’accesso ai dati sanitari, che sostengano l’accesso ai dati sanitari elettronici negli Stati membri, è essenziale per la promozione dell’uso secondario dei dati relativi alla salute. Gli Stati membri dovrebbero pertanto istituire uno o più organismi responsabili dell’accesso ai dati sanitari per rispecchiare, tra l’altro, la loro struttura costituzionale, organizzativa e amministrativa. Tuttavia uno di tali organismi responsabili dell’accesso ai dati sanitari dovrebbe essere designato come coordinatore nel caso in cui siano presenti più organismi responsabili dell’accesso ai dati sanitari. Laddove siano istituiti più organismi responsabili dell’accesso ai dati sanitari, lo Stato membro dovrebbe stabilire norme a livello nazionale atte ad assicurare la partecipazione coordinata di tali organismi al comitato dello spazio europeo dei dati sanitari («comitato EHDS»). Lo Stato membro dovrebbe in particolare designare un organismo responsabile dell’accesso ai dati sanitari che funga da punto di contatto unico per l’effettiva partecipazione di tali organismi e che garantisca la rapida e agevole cooperazione con altri organismi responsabili dell’accesso ai dati sanitari, il comitato EHDS e la Commissione. Gli organismi responsabili dell’accesso ai dati sanitari potrebbero variare in termini di organizzazione e dimensioni, spaziando da un’organizzazione dedicata vera e propria a un’unità o un dipartimento in un’organizzazione esistente. Gli organismi responsabili dell’accesso ai dati sanitari non dovrebbero essere influenzati nelle loro decisioni sull’accesso ai dati sanitari elettronici per l’uso secondario e dovrebbero evitare qualsiasi conflitto di interessi. I membri degli organismi amministrativi e decisionali e il personale di ciascun organismo responsabile dell’accesso ai dati sanitari dovrebbero pertanto astenersi da qualunque azione incompatibile con le loro funzioni e non dovrebbero esercitare alcuna altra attività incompatibile. Tuttavia l’indipendenza degli organismi responsabili dell’accesso ai dati sanitari non dovrebbe significare che essi non possano essere assoggettati a meccanismi di controllo o monitoraggio in relazione alle loro spese o a controllo giurisdizionale. Ciascun organismo responsabile dell’accesso ai dati sanitari dovrebbe disporre delle risorse umane, tecniche e finanziarie, dei locali e delle infrastrutture necessari per l’efficace adempimento dei propri compiti, compresi quelli di cooperazione con altri organismi responsabili dell’accesso ai dati sanitari in tutta l’Unione. I membri degli organismi amministrativi e decisionali e il personale degli organismi responsabili dell’accesso ai dati sanitari dovrebbero possedere le necessarie qualifiche, esperienza e competenze. Ciascun organismo responsabile dell’accesso ai dati sanitari dovrebbe disporre di un bilancio annuale pubblico separato, che potrebbe far parte del bilancio generale statale o nazionale. Al fine di consentire un migliore accesso ai dati sanitari e a integrazione dell’articolo 7, paragrafo 2, del regolamento (UE) 2022/868, gli Stati membri dovrebbero attribuire agli organismi responsabili dell’accesso ai dati sanitari il potere di prendere decisioni sull’accesso e l’uso secondario dei dati sanitari. Ciò potrebbe tradursi nell’attribuzione di nuovi compiti agli organismi competenti designati dagli Stati membri ai sensi dell’articolo 7, paragrafo 1, del regolamento (UE) 2022/868 o nella designazione di organismi settoriali esistenti o nuovi come responsabili di tali compiti in relazione all’accesso ai dati sanitari.

(65)

Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero monitorare l’applicazione del capo IV del presente regolamento e contribuire alla sua coerente applicazione in tutta l’Unione. A tal fine, gli organismi responsabili dell’accesso ai dati sanitari dovrebbero cooperare tra loro e con la Commissione. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero cooperare anche con i portatori di interessi, comprese le organizzazioni dei pazienti. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero sostenere i titolari dei dati sanitari che sono piccole imprese ai sensi della raccomandazione 2003/361/CE della Commissione (18), in particolare i medici e le farmacie. Poiché l’uso secondario dei dati sanitari comporta il trattamento di dati personali relativi alla salute, si applicano le pertinenti disposizioni dei regolamenti (UE) 2016/679 e (UE) 2018/1725 e le autorità di controllo ai sensi di questi regolamenti dovrebbero rimanere le uniche autorità competenti per l’applicazione di tali disposizioni. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero informare le autorità di protezione dei dati di eventuali sanzioni irrogate e di qualsiasi potenziale problematica connessa al trattamento dei dati per l’uso secondario e scambiare tutte le informazioni pertinenti a loro disposizione per garantire l’applicazione delle norme pertinenti. Oltre ai compiti necessari per garantire un efficace uso secondario dei dati sanitari, l’organismo responsabile dell’accesso ai dati sanitari dovrebbe cercare di accrescere la disponibilità di ulteriori serie di dati sanitari e promuovere l’elaborazione di norme comuni. Dovrebbe applicare tecniche all’avanguardia sperimentate in grado di garantire che il trattamento dei dati sanitari elettronici avvenga in modo da tutelare la riservatezza delle informazioni contenute nei dati per i quali è consentito l’uso secondario, comprese le tecniche di pseudonimizzazione, anonimizzazione, generalizzazione, soppressione e randomizzazione dei dati personali. Gli organismi responsabili dell’accesso ai dati sanitari possono preparare le serie di dati per gli utenti dei dati sanitari come richieste ai sensi dell’autorizzazione ai dati rilasciata. A questo proposito, gli organismi responsabili dell’accesso ai dati sanitari dovrebbero cooperare a livello transfrontaliero per sviluppare e scambiare le migliori pratiche e tecniche. Ciò include norme per la pseudonimizzazione e l’anonimizzazione di serie di microdati. Se del caso, la Commissione dovrebbe stabilire le procedure e le prescrizioni e fornire strumenti tecnici per una procedura unificata di pseudonimizzazione e anonimizzazione dei dati sanitari elettronici.

(66)

Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero garantire che l’uso secondario sia trasparente, fornendo informazioni pubbliche sulle autorizzazioni ai dati concesse e sulle relative motivazioni, sulle misure adottate per tutelare i diritti delle persone fisiche, sulle modalità con cui le persone fisiche possono esercitare i loro diritti in relazione all’uso secondario e sui risultati dell’uso secondario anche attraverso link a pubblicazioni scientifiche. Se del caso, le informazioni sui risultati dell’uso secondario dovrebbero includere anche una sintesi divulgativa fornita dall’utente dei dati sanitari. Tali obblighi di trasparenza integrano gli obblighi di cui all’articolo 14 del regolamento (UE) 2016/679. Potrebbero applicarsi le eccezioni previste dall’articolo 14, paragrafo 5, di tale. Qualora si applichino tali eccezioni, gli obblighi di trasparenza istituiti dal presente regolamento dovrebbero contribuire a garantire un trattamento equo e trasparente ai sensi dell’articolo 14, paragrafo 2, del regolamento (UE) 2016/679, ad esempio fornendo informazioni sulla finalità del trattamento e sulle categorie di dati trattati, consentendo così alle persone fisiche di comprendere se i loro dati sono messi a disposizione per l’uso secondario conformemente alle autorizzazioni ai dati.

(67)

Le persone fisiche dovrebbero essere informate dai titolari dei dati sanitari in merito alle risultanze significative relative alla loro salute rilevate dagli utenti dei dati sanitari. Le persone fisiche dovrebbero avere il diritto di chiedere di non esser informate di tali risultanze. Gli Stati membri potrebbero stabilire le condizioni relative alle modalità di comunicazione di tali informazioni alle persone fisiche interessate da parte dei titolari dei dati sanitari e sull’esercizio del diritto di non essere informati. Conformemente all’articolo 23, paragrafo 1, lettera i), del regolamento (UE) 2016/679, gli Stati membri dovrebbero poter limitare la portata dell’obbligo di informare le persone fisiche laddove necessario per la loro tutela sulla base della sicurezza del paziente e dell’etica, ritardando la comunicazione delle informazioni fino a quando un professionista sanitario non sia in grado di comunicare alle persone fisiche interessate informazioni che possono potenzialmente avere un impatto sulla loro salute e fornire le relative spiegazioni.

(68)

Al fine di promuovere la trasparenza, ogni due anni gli organismi responsabili dell’accesso ai dati sanitari dovrebbero pubblicare una relazione di attività che fornisca una sintesi delle loro attività. Qualora uno Stato membro abbia designato più di un organismo responsabile dell’accesso ai dati sanitari, ogni due anni l’organismo di coordinamento dovrebbe preparare e pubblicare una relazione comune. Le relazioni di attività dovrebbero seguire una struttura approvata dal comitato EHDS e fornire una sintesi delle attività, comprese informazioni sulle decisioni riguardanti le domande, audit e dialogo con i portatori di interessi pertinenti. Tra i portatori di interessi vi possono essere i rappresentanti delle persone fisiche, delle organizzazioni dei pazienti, dei professionisti sanitari, dei ricercatori e dei comitati etici.

(69)

Al fine di sostenere l’uso secondario, i titolari dei dati sanitari dovrebbero astenersi dal non mettere a disposizione i dati, dal richiedere tariffe ingiustificate non trasparenti né proporzionate ai costi sostenuti per rendere disponibili i dati o, se del caso, ai costi marginali della raccolta dei dati, dal richiedere agli utenti dei dati sanitari di co-pubblicare la ricerca o da altre pratiche che potrebbero dissuadere gli utenti dal richiedere i dati. Se il titolare dei dati sanitari è un ente pubblico, la parte delle tariffe legata ai suoi costi non dovrebbe coprire i costi della raccolta iniziale dei dati. Ove sia necessaria un’approvazione etica per fornire un’autorizzazione ai dati, la relativa valutazione dovrebbe basarsi sul merito.

(70)

È opportuno che agli organismi responsabili dell’accesso ai dati sanitari sia consentito imporre tariffe, tenendo conto delle norme orizzontali previste dal regolamento (UE) 2022/868, in relazione ai loro compiti. Tali tariffe potrebbero tenere conto della situazione e dell’interesse delle piccole e medie imprese (PMI), dei singoli ricercatori o degli organismi pubblici. In particolare, gli Stati membri dovrebbero poter stabilire misure per gli organismi responsabili dell’accesso ai dati sanitari nella loro giurisdizione che consentano di applicare tariffe ridotte a determinate categorie di utenti dei dati sanitari. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero essere in grado di coprire i costi del loro funzionamento con tariffe stabilite in modo proporzionato, giustificato e trasparente. Ciò potrebbe comportare tariffe più elevate per alcuni utenti dei dati sanitari, se il trattamento delle loro domande di accesso ai dati sanitari e richieste di dati sanitari richiede più lavoro. È opportuno che ai titolari dei dati sanitari sia consentito richiedere tariffe per la messa a disposizione dei dati che rispecchino i costi sostenuti. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero decidere in merito all’importo di tali tariffe, che potrebbero comprendere anche le tariffe richieste dal titolare dei dati sanitari. Tali tariffe dovrebbero essere imposte dall’organismo responsabile dell’accesso ai dati sanitari all’utente dei dati sanitari in un’unica fattura. L’organismo responsabile dell’accesso ai dati sanitari dovrebbe poi trasferire la quota pertinente delle tariffe pagate al titolare dei dati sanitari. Al fine di garantire un approccio armonizzato alle politiche e alla struttura delle tariffe, è opportuno attribuire alla Commissione competenze di esecuzione. È opportuno applicare l’articolo 10 del regolamento (UE) 2023/2854 alle tariffe imposte ai sensi del presente regolamento.

(71)

Al fine di rafforzare l’applicazione delle norme sull’uso secondario dovrebbero essere previste misure appropriate, le quali possono portare a sanzioni amministrative pecuniarie o misure di esecuzione da parte degli organismi responsabili dell’accesso ai dati sanitari o esclusioni temporanee o definitive dal quadro dello spazio europeo dei dati sanitari degli utenti dei dati sanitari o dei titolari dei dati sanitari che non rispettano i rispettivi obblighi. È opportuno che all’organismo responsabile dell’accesso ai dati sanitari sia conferito il potere di verificare la conformità degli utenti dei dati sanitari e dei titolari dei dati sanitari e di fornire loro l’opportunità di rispondere a eventuali osservazioni e di rimediare a eventuali violazioni. Nel decidere l’importo della sanzione amministrativa pecuniaria o in merito a una misura di esecuzione per ogni singolo caso, è opportuno che gli organismi responsabili dell’accesso ai dati sanitari tengano conto dei margini per i costi e dei criteri stabiliti nel presente regolamento, garantendo che tali sanzioni pecuniarie o misure siano proporzionate.

(72)

Data la sensibilità dei dati sanitari elettronici, è necessario ridurre i rischi per la riservatezza delle persone fisiche applicando il principio della minimizzazione dei dati. Pertanto, è opportuno mettere a disposizione dati sanitari elettronici non personali in tutti i casi in cui la fornitura di tali dati sia sufficiente. Se l’utente dei dati sanitari avesse bisogno di utilizzare dati sanitari elettronici personali, dovrebbe indicare chiaramente nella richiesta la giustificazione per l’uso di questo tipo di dati e l’organismo responsabile dell’accesso ai dati sanitari dovrebbe valutare se tale giustificazione sia valida. I dati sanitari elettronici personali dovrebbero essere resi disponibili solo in formato pseudonimizzato. Tenendo conto delle finalità specifiche del trattamento, i dati sanitari personali elettronici dovrebbero essere pseudonimizzati o anonimizzati il prima possibile nel processo di messa a disposizione dei dati per l’uso secondario. La pseudonimizzazione e l’anonimizzazione dovrebbero poter essere effettuate dagli organismi responsabili dell’accesso ai dati sanitari o dai titolari dei dati sanitari. In qualità di titolari del trattamento, agli organismi responsabili dell’accesso ai dati sanitari e ai titolari dei dati sanitari dovrebbe essere consentito delegare tali compiti ai responsabili del trattamento. Nel fornire accesso a una serie di dati pseudonimizzati o anonimizzati, un organismo responsabile dell’accesso ai dati sanitari dovrebbe utilizzare una tecnologia e norme di pseudonimizzazione o anonimizzazione all’avanguardia, garantendo nella misura massima possibile che una persona fisica non possa essere reidentificata dagli utenti dei dati sanitari. Tale tecnologia e norme per la pseudonimizzazione o anonimizzazione dei dati dovrebbero essere ulteriormente sviluppate. Gli utenti dei dati sanitari non dovrebbero tentare di reidentificare le persone fisiche dalla serie di dati fornita ai sensi del presente regolamento e qualora lo facciano dovrebbero essere soggetti a sanzioni amministrative pecuniarie e misure di esecuzione previste dal presente regolamento o eventualmente penali, nel caso in cui il diritto nazionale lo preveda. Inoltre, un richiedente di dati sanitari dovrebbe poter richiedere una risposta a una richiesta di dati sanitari in forma statistica anonimizzata. In tali casi l’utente dei dati sanitari tratterà solo i dati non personali e l’organismo responsabile dell’accesso ai dati sanitari rimarrà l’unico titolare del trattamento dei dati personali necessari a fornire la risposta alla richiesta di dati sanitari.

(73)

Al fine di garantire che tutti gli organismi responsabili dell’accesso ai dati sanitari rilascino autorizzazioni ai dati in modo simile, è necessario istituire un processo comune standard per il rilascio delle autorizzazioni ai dati, con richieste simili nei vari Stati membri. Il richiedente di dati sanitari dovrebbe fornire agli organismi responsabili dell’accesso ai dati sanitari diverse informazioni che li aiuterebbero a valutare la domanda di accesso ai dati sanitari e a decidere se il richiedente di dati sanitari può ricevere un’autorizzazione ai dati e si dovrebbe garantire la coerenza tra diversi organismi responsabili dell’accesso ai dati sanitari. Le informazioni fornite nell’ambito della domanda di accesso ai dati sanitari dovrebbero rispettare i requisiti stabiliti dal presente regolamento al fine di consentirne una valutazione approfondita, in quanto un’autorizzazione ai dati dovrebbe essere rilasciata solo se sono soddisfatte tutte le condizioni necessarie previste dal presente regolamento. Inoltre, se del caso, tali informazioni dovrebbero includere una dichiarazione attestante che gli usi previsti della richiesta di dati sanitari non comportano un rischio di stigmatizzazione o di danno alla dignità delle persone fisiche o dei gruppi cui la serie di dati richiesti fa riferimento. Potrebbe essere richiesta una valutazione etica in base al diritto nazionale. In tal caso, gli organismi etici esistenti dovrebbero poter effettuare tali valutazioni per l’organismo responsabile dell’accesso ai dati sanitari. Gli organismi etici esistenti negli Stati membri dovrebbero mettere le loro competenze a disposizione dell’organismo responsabile dell’accesso ai dati sanitari a tale scopo. In alternativa, gli Stati membri dovrebbero poter rendere gli organismi etici parte dell’organismo responsabile dell’accesso ai dati sanitari. L’organismo responsabile dell’accesso ai dati sanitari e, se del caso, i titolari dei dati sanitari dovrebbero assistere gli utenti dei dati sanitari nella selezione delle serie di dati o delle fonti di dati idonee per la destinazione d’uso prevista dell’uso secondario. Laddove il richiedente di dati sanitari abbia bisogno di dati in forma statistica anonimizzata, dovrebbe presentare una richiesta di dati sanitari in cui chiede all’organismo responsabile dell’accesso ai dati sanitari di fornire direttamente il risultato. Il diniego di un’autorizzazione ai dati da parte dell’organismo responsabile dell’accesso ai dati sanitari non dovrebbe precludere al richiedente di dati sanitari la presentazione di una nuova domanda di accesso ai dati sanitari. Al fine di garantire un approccio armonizzato tra organismi responsabili dell’accesso ai dati sanitari e di limitare l’onere amministrativo per i richiedenti di dati sanitari, la Commissione dovrebbe sostenere l’armonizzazione delle domande di accesso ai dati sanitari e delle richieste di dati sanitari, anche istituendo i modelli pertinenti. In casi giustificati, come nel caso di una richiesta complessa e onerosa, l’organismo responsabile dell’accesso ai dati sanitari dovrebbe essere autorizzato a prorogare il periodo concesso ai titolari dei dati sanitari per mettere i dati sanitari elettronici richiesti a sua disposizione.

(74)

Poiché le loro risorse sono limitate, agli organismi responsabili dell’accesso ai dati sanitari dovrebbe essere consentito applicare norme di definizione delle priorità, ad esempio dando la priorità a istituzioni pubbliche rispetto a soggetti privati, ma non dovrebbero discriminare tra organizzazioni nazionali e organizzazioni di altri Stati membri all’interno della stessa categoria di priorità. È opportuno che un utente dei dati sanitari possa prorogare la durata dell’autorizzazione ai dati al fine, ad esempio, di concedere l’accesso alle serie di dati ai revisori di pubblicazioni scientifiche o di permettere ulteriori analisi delle serie di dati in base ai risultati iniziali. Ciò dovrebbe richiedere una modifica dell’autorizzazione ai dati e potrebbe essere soggetto a una tariffa aggiuntiva. Tuttavia in tutti i casi l’autorizzazione ai dati dovrebbe rispecchiare tali utilizzi aggiuntivi della serie di dati. L’utente dei dati sanitari dovrebbe preferibilmente menzionarli nella sua domanda iniziale. Al fine di garantire un approccio armonizzato tra organismi responsabili dell’accesso ai dati sanitari, la Commissione dovrebbe sostenere l’armonizzazione delle autorizzazioni ai dati.

(75)

Come dimostrato dalla crisi COVID-19, le istituzioni, gli organi e gli organismi dell’Unione con un mandato giuridico nel settore della sanità pubblica, in particolare la Commissione, hanno bisogno di accedere ai dati sanitari per un periodo più lungo e in maniera ricorrente. Tale situazione si può verificare non solo per circostanze specifiche previste dal diritto dell’Unione o nazionale in tempi di crisi, ma anche per fornire periodicamente prove scientifiche e sostegno tecnico per le politiche dell’Unione. L’accesso a tali dati potrebbe essere richiesto in specifici Stati membri o in tutto il territorio dell’Unione. Tali istituzioni, organi e organismi dell’Unione dovrebbero poter beneficiare di una procedura accelerata per far sì che i dati siano messi a disposizione, di norma in meno di due mesi, con la possibilità di prorogare il termine di un mese nei casi più complessi.

(76)

Gli Stati membri dovrebbero essere autorizzati a designare titolari dei dati sanitari affidabili per i quali la procedura di rilascio dell’autorizzazione dei dati può essere eseguita in modo semplificato, al fine di alleviare l’onere amministrativo a carico degli organismi responsabili dell’accesso ai dati sanitari nella gestione delle richieste di dati da essi trattati. I titolari dei dati sanitari affidabili dovrebbero essere autorizzati a valutare le domande di accesso ai dati sanitari presentate nell’ambito di questa procedura semplificata, sulla base delle loro competenze nell’affrontare il tipo di dati sanitari che stanno trattando, e di rilasciare una raccomandazione in merito a un’autorizzazione ai dati. L’organismo responsabile dell’accesso ai dati sanitari dovrebbe rimanere responsabile del rilascio dell’autorizzazione finale ai dati e non dovrebbe essere vincolato dalla raccomandazione fornita dal titolare dei dati sanitari affidabile. I soggetti di intermediazione dei dati sanitari non dovrebbero essere designati come titolari di dati sanitari affidabili.

(77)

Data la sensibilità dei dati sanitari elettronici, gli utenti dei dati non dovrebbero avere accesso illimitato a tali dati. Tutti gli accessi per l’uso secondario ai dati sanitari elettronici richiesti dovrebbero avvenire attraverso un ambiente di trattamento sicuro. Al fine di assicurare l’esistenza di forti garanzie tecniche e di sicurezza per i dati sanitari elettronici, l’organismo responsabile dell’accesso ai dati sanitari o, se del caso, il titolare dei dati sanitari affidabile dovrebbe fornire l’accesso a tali dati in un ambiente di trattamento sicuro, rispettando gli elevati standard tecnici e di sicurezza stabiliti ai sensi del presente regolamento. Il trattamento dei dati personali in tale ambiente sicuro dovrebbe avvenire nel rispetto del regolamento (UE) 2016/679, inclusi, ove l’ambiente sicuro sia gestito da terzi, le prescrizioni del suo articolo 28 e, ove applicabile, il suo capo V. L’ambiente di trattamento sicuro dovrebbe ridurre i rischi per la riservatezza collegati a tali attività di trattamento e impedire che i dati sanitari elettronici siano trasmessi direttamente agli utenti dei dati sanitari. L’organismo responsabile dell’accesso ai dati sanitari o il titolare dei dati sanitari che fornisce tale servizio dovrebbe mantenere in qualsiasi momento il controllo dell’accesso ai dati sanitari elettronici e l’accesso concesso agli utenti dei dati sanitari dovrebbe essere determinato dalle condizioni dell’autorizzazione ai dati rilasciata. È opportuno che gli utenti dei dati sanitari scarichino dall’ambiente di trattamento sicuro solo i dati sanitari elettronici non personali che non contengono alcun dato sanitario personale elettronico. L’ambiente di trattamento sicuro costituisce quindi una garanzia essenziale per preservare i diritti e le libertà delle persone fisiche in relazione al trattamento dei loro dati sanitari elettronici per l’uso secondario. La Commissione dovrebbe assistere gli Stati membri nello sviluppo di norme comuni di sicurezza al fine di promuovere la sicurezza e l’interoperabilità dei vari ambienti di trattamento sicuri.

(78)

Il regolamento (UE) 2022/868 stabilisce le norme generali per la gestione dell’altruismo dei dati. Dato che il settore sanitario gestisce dati sensibili, dovrebbero essere stabiliti criteri aggiuntivi attraverso i codici di cui a tale regolamento. Ove tali norme prevedano il ricorso a un ambiente di trattamento sicuro per il settore in oggetto, tale ambiente di trattamento sicuro dovrebbe rispettare i criteri stabiliti nel presente regolamento. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero cooperare con le autorità competenti designate a norma del regolamento (UE) 2022/868 per controllare l’attività delle organizzazioni per l’altruismo dei dati nel settore sanitario o dell’assistenza.

(79)

Per il trattamento dei dati sanitari elettronici nell’ambito di un’autorizzazione ai dati o di una richiesta di dati sanitari, i titolari dei dati sanitari, compresi i titolari dei dati sanitari affidabili, gli organismi responsabili dell’accesso ai dati sanitari e gli utenti dei dati sanitari dovrebbero essere, a loro volta, considerati singolarmente titolari del trattamento per una parte specifica del processo e in base ai rispettivi ruoli che vi svolgono. I titolari dei dati sanitari dovrebbero essere considerati titolari del trattamento per la divulgazione dei dati sanitari elettronici personali richiesti agli organismi responsabili dell’accesso ai dati sanitari, mentre gli organismi responsabili dell’accesso ai dati sanitari dovrebbero essere considerati, a loro volta, titolari del trattamento per il trattamento dei dati sanitari elettronici personali nella preparazione dei dati e nella loro messa a disposizione all’utente dei dati sanitari. Gli utenti dei dati sanitari dovrebbero essere considerati titolari del trattamento per il trattamento dei dati sanitari elettronici personali in forma pseudonimizzata nell’ambiente di trattamento sicuro conformemente alle loro autorizzazioni ai dati. Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero essere considerati responsabili del trattamento per conto dell’utente dei dati sanitari per i trattamenti effettuati da quest’ultimo a norma di un’autorizzazione ai dati nell’ambiente di trattamento sicuro, nonché per i trattamenti volti a generare una risposta a una richiesta di dati sanitari. Analogamente, i titolari dei dati sanitari affidabili dovrebbero essere considerati titolari del trattamento per il trattamento dei dati sanitari elettronici personali relativi alla fornitura di dati sanitari elettronici all’utente dei dati sanitari in virtù di un’autorizzazione ai dati sanitari o di una richiesta di dati sanitari. I titolari dei dati sanitari affidabili dovrebbero essere considerati responsabili del trattamento per l’utente dei dati sanitari quando forniscono dati attraverso un ambiente di trattamento sicuro.

(80)

Al fine di ottenere un quadro inclusivo e sostenibile per l’uso secondario multinazionale è opportuno istituire un’infrastruttura transfrontaliera («DatiSanitari@UE (HealthData@EU)»). DatiSanitari@UE (HealthData@EU) dovrebbe accelerare l’uso secondario aumentando al contempo la certezza del diritto, rispettando la riservatezza delle persone fisiche ed essendo interoperabile. Data la sensibilità dei dati sanitari, laddove possibile dovrebbero essere rispettati principi quali la «tutela della vita privata fin dalla progettazione» e la «tutela della vita privata per impostazione predefinita» e il concetto di interrogare i dati anziché spostare i dati. Gli Stati membri dovrebbero designare punti di contatto nazionali per l’uso secondario, quali sportelli organizzativi e tecnici per gli organismi responsabili dell’accesso ai dati sanitari, e collegare tali punti di contatto a DatiSanitari@UE (HealthData@EU). Anche il servizio di accesso ai dati sanitari dell’Unione dovrebbe essere collegato a DatiSanitari@UE (HealthData@EU). Inoltre, i partecipanti autorizzati di DatiSanitari@UE (HealthData@EU) potrebbero essere infrastrutture di ricerca istituite come consorzio per un’infrastruttura europea di ricerca (ERIC) ai sensi del regolamento (CE) n. 723/2009 del Consiglio (19), come consorzio per l’infrastruttura digitale europea (EDIC) ai sensi della decisione (UE) 2022/2481o infrastrutture simili istituite ai sensi di altri atti giuridici dell’Unione, così come altri tipi di soggetti, incluse le infrastrutture del Forum strategico europeo sulle infrastrutture di ricerca (ESFRI) o le infrastrutture federate nel cloud europeo per la scienza aperta (EOSC). Anche i punti di contatto nazionali per l’uso secondario di paesi terzi e i sistemi istituiti a livello internazionale potrebbero diventare partecipanti autorizzati a DatiSanitari@UE (HealthData@EU), a condizione che siano conformi ai requisiti del presente regolamento. La comunicazione della Commissione del 19 febbraio 2020 dal titolo «Una strategia europea per i dati» ha promosso il collegamento dei vari spazi comuni europei di dati. DatiSanitari@UE (HealthData@EU) dovrebbe pertanto permettere l’uso secondario di differenti categorie di dati sanitari elettronici, compreso il collegamento dei dati sanitari con dati provenienti da altri spazi di dati quali quelli relativi all’ambiente, all’agricoltura e al settore sociale. Tale interoperabilità tra il settore sanitario e altri settori quali i settori ambientale, agricolo o sociale potrebbe essere pertinente per ottenere ulteriori informazioni sui determinanti della salute. La Commissione potrebbe fornire una serie di servizi all’interno di DatiSanitari@UE (HealthData@EU), tra cui il sostegno allo scambio di informazioni tra organismi responsabili dell’accesso ai dati sanitari e partecipanti autorizzati a DatiSanitari@UE (HealthData@EU) per la gestione di richieste di accesso transfrontaliero, il mantenimento di cataloghi di dati sanitari elettronici accessibili attraverso l’infrastruttura, la reperibilità della rete e le interrogazioni di metadati, i servizi per la connettività e la conformità. La Commissione potrebbe inoltre istituire un ambiente di trattamento sicuro, che permetta la trasmissione e l’analisi dei dati provenienti da differenti infrastrutture nazionali, su richiesta dei titolari del trattamento. Per motivi di efficienza informatica, di razionalizzazione e di interoperabilità degli scambi di dati, è opportuno riutilizzare il più possibile i sistemi esistenti per la condivisione dei dati, come quelli costituiti per lo scambio di prove secondo il sistema tecnico basato sul principio «una tantum» del regolamento (UE) 2018/1724 del Parlamento europeo e del Consiglio (20).

(81)

Inoltre, dato che il collegamento a DatiSanitari@UE (HealthData@EU) potrebbe comportare il trasferimento di dati personali relativi al richiedente o all’utente di dati sanitari verso paesi terzi, occorre che siano in vigore, per tali trasferimenti, i pertinenti strumenti di trasferimento ai sensi del capo V del regolamento (UE) 2016/679.

(82)

In caso di registri o di banche dati transfrontalieri, quali i registri delle reti di riferimento europee per le malattie rare, che ricevono dati da differenti prestatori di assistenza sanitaria in vari Stati membri, l’organismo responsabile dell’accesso ai dati sanitari dello Stato membro in cui si trova il coordinatore del registro dovrebbe essere responsabile della fornitura dell’accesso ai dati.

(83)

Il processo di autorizzazione per ottenere l’accesso ai dati sanitari personali elettronici in diversi Stati membri può essere ripetitivo e complicato per gli utenti dei dati sanitari. Laddove possibile, è opportuno creare sinergie per ridurre l’onere e gli ostacoli per gli utenti dei dati sanitari. Un modo per conseguire questo obiettivo è aderire al principio della «domanda unica», secondo il quale, con una sola domanda, l’utente dei dati sanitari può ottenere l’autorizzazione da molteplici organismi responsabili dell’accesso ai dati sanitari in diversi Stati membri o da partecipanti autorizzati a DatiSanitari@UE (HealthData@EU).

(84)

Gli organismi responsabili dell’accesso ai dati sanitari dovrebbero fornire informazioni sulle serie di dati disponibili e sulle loro caratteristiche in modo che gli utenti dei dati sanitari possano essere informati dei fatti basilari riguardanti tali serie di dati e valutare la possibile rilevanza di tali fatti per quanto li riguarda. Per questo motivo ciascuna serie di dati dovrebbe includere almeno informazioni relative alla fonte e alla natura dei dati, nonché alle condizioni per renderli disponibili. Il titolare dei dati sanitari dovrebbe verificare, come minimo su base annuale, che la sua descrizione della serie di dati nel catalogo nazionale delle serie di dati sia accurata e aggiornata. Pertanto dovrebbe essere istituito un catalogo UE delle serie di dati per facilitare la reperibilità delle serie di dati disponibili nello spazio europeo dei dati sanitari, per aiutare i titolari dei dati sanitari a pubblicare le loro serie di dati, per fornire a tutti i portatori di interessi, compreso il pubblico in generale, tenendo anche conto dei bisogni specifici delle persone con disabilità, informazioni sulle serie di dati inserite nello spazio europeo dei dati sanitari, quali i marchi di qualità e di utilità dei dati e le schede informative sulle serie di dati, e per fornire agli utenti dei dati sanitari informazioni aggiornate sulla qualità e l’utilità delle serie di dati.

(85)

Le informazioni sulla qualità e l’utilità delle serie di dati aumentano in modo significativo il valore dei risultati provenienti da attività di ricerca e innovazione a forte intensità di dati, promuovendo, al contempo, un processo decisionale normativo e strategico basato su dati concreti. Il miglioramento della qualità e dell’utilità delle serie di dati attraverso scelte informate dei clienti e l’armonizzazione delle relative prescrizioni a livello di Unione, tenendo conto delle norme internazionali e dell’Unione esistenti, degli orientamenti e delle raccomandazioni per la raccolta e lo scambio dei dati, quali i principi FAIR, apportano benefici anche a titolari dei dati sanitari, professionisti sanitari, persone fisiche e all’economia dell’Unione in generale. Un marchio di qualità e di utilità dei dati per le serie di dati informerebbe gli utenti dei dati sanitari sulle caratteristiche di qualità e utilità di una serie di dati e permetterebbe loro di scegliere le serie di dati più adatte alle loro esigenze. Il marchio di qualità e di utilità dei dati non dovrebbe impedire la messa a disposizione delle serie di dati attraverso lo spazio europeo dei dati sanitari, ma fornire un meccanismo di trasparenza tra i titolari dei dati sanitari e gli utenti dei dati sanitari. Ad esempio una serie di dati che non rispetti alcun requisito di qualità e utilità dei dati dovrebbe essere corredata di un’etichetta che riporti la classe che rappresenta il livello più basso di qualità e utilità, ma dovrebbe comunque essere resa disponibile. Nell’elaborazione del quadro di qualità e di utilità dei dati è opportuno tenere in considerazione le aspettative stabilite dai quadri istituiti a norma dell’articolo 10 del regolamento (UE) 2024/1689 e la documentazione tecnica pertinente specificata nell’allegato IV dello stesso. Gli Stati membri dovrebbero accrescere il livello di consapevolezza riguardo al marchio di qualità e di utilità dei dati attraverso attività di comunicazione. La Commissione potrebbe sostenere tali attività. L’uso delle serie di dati potrebbe essere privilegiato dagli utenti in base alla loro utilità e qualità.

(86)

Il catalogo UE delle serie di dati dovrebbe ridurre al minimo l’onere amministrativo per i titolari dei dati sanitari e altri utenti delle banche dati; dovrebbe inoltre essere di facile utilizzo, accessibile ed efficace in termini di costi, collegare i cataloghi delle serie di dati nazionali ed evitare la registrazione ridondante di serie di dati. Fatti salvi i requisiti di cui al regolamento (UE) 2022/868, il catalogo UE delle serie di dati potrebbe essere allineato all’iniziativa data.europa.eu. Dovrebbe essere garantita l’interoperabilità tra il catalogo UE delle serie di dati, i cataloghi delle serie di dati nazionali e i cataloghi delle serie di dati provenienti da infrastrutture di ricerca europee e altre infrastrutture pertinenti di condivisione dei dati.

(87)

Diverse organizzazioni professionali, la Commissione e altre istituzioni stanno attualmente collaborando e lavorando alla definizione di campi minimi di dati e di altre caratteristiche di differenti serie di dati, ad esempio i registri. Tale lavoro è più avanzato in ambiti quali quelli del cancro, delle malattie rare, delle malattie cardiovascolari e metaboliche, della valutazione dei fattori di rischio e delle statistiche, e dovrebbero essere tenuti in considerazione al momento della definizione di nuove norme e nuovi modelli armonizzati specifici per malattia per gli elementi di dati strutturati. Tuttavia la mancanza di armonizzazione di molte serie di dati pone problemi di comparabilità dei dati e rende difficile la ricerca transfrontaliera. Pertanto, negli atti di esecuzione dovrebbero essere stabilite norme più dettagliate per garantire l’armonizzazione della codifica e della registrazione dei dati sanitari elettronici per consentire la fornitura di tali dati per uso secondario in modo coerente. Tali serie di dati potrebbero includere dati provenienti dai registri per le malattie rare, dalle banche dati dei medicinali orfani, dai registri oncologici e dai registri delle malattie infettive di grande rilevanza. Gli Stati membri dovrebbero adoperarsi per assicurare che i sistemi e i servizi europei di sanità elettronica e le applicazioni interoperabili apportino vantaggi socioeconomici sostenibili, al fine di conseguire un elevato livello di fiducia e sicurezza, rafforzare la continuità dell’assistenza sanitaria e garantire l’accesso a un’assistenza sanitaria sicura e di elevata qualità. Le infrastrutture e i registri esistenti di dati sanitari possono fornire modelli utili per la definizione e l’attuazione di norme in materia di dati e l’interoperabilità e dovrebbero essere utilizzati per consentire la continuità e accrescere le attuali competenze.

(88)

La Commissione dovrebbe sostenere gli Stati membri nel potenziamento delle capacità e nel miglioramento dell’efficacia nell’ambito dei sistemi di sanità digitale per l’uso primario e l’uso secondario. Gli Stati membri dovrebbero essere sostenuti nel rafforzamento delle loro capacità. Le attività a livello di Unione, quali l’analisi comparativa e lo scambio delle migliori pratiche, sono misure pertinenti in tal senso. Tali attività dovrebbero tenere conto delle circostanze specifiche delle diverse categorie di portatori di interessi, quali i rappresentanti della società civile, i ricercatori, le società mediche e le PMI.

(89)

È fondamentale migliorare l’alfabetizzazione digitale in ambito sanitario sia per le persone fisiche che per i professionisti sanitari ai fini della fiducia e della sicurezza e un uso appropriato dei dati sanitari ed è pertanto essenziale per la corretta attuazione del presente regolamento. I professionisti sanitari fanno fronte a una trasformazione radicale nel contesto della digitalizzazione e riceveranno ulteriori strumenti digitali nel quadro dell’attuazione dello spazio europeo dei dati sanitari. Di conseguenza, i professionisti sanitari devono sviluppare la propria alfabetizzazione digitale in ambito sanitario e le proprie competenze digitali e gli Stati membri dovrebbero garantire ai professionisti sanitari l’accesso a corsi di alfabetizzazione digitale perché si possano preparare a lavorare con i sistemi di cartelle cliniche elettroniche. Tali corsi dovrebbero consentire ai professionisti sanitari e agli operatori informatici di ricevere sufficiente formazione per lavorare con le nuove infrastrutture digitali, al fine di garantire la cibersicurezza e la gestione etica dei dati sanitari. Le formazioni dovrebbero essere elaborate e riviste, oltre che aggiornate, su base regolare, in consultazione e collaborazione con gli esperti del settore. Il miglioramento dell’alfabetizzazione digitale in ambito sanitario è fondamentale per consentire alle persone fisiche di esercitare un autentico controllo sui propri dati sanitari, di gestire attivamente la propria salute e assistenza medica e di comprendere le implicazioni della gestione di tali dati sia per l’uso primario che per l’uso secondario. I diversi gruppi demografici hanno vari livelli di alfabetizzazione digitale che possono incidere sulla capacità delle persone fisiche di esercitare il loro diritto di controllare i propri dati sanitari elettronici. Gli Stati membri, ivi comprese le autorità regionali e locali, dovrebbero pertanto sostenere l’alfabetizzazione digitale in ambito sanitario e la sensibilizzazione del pubblico, garantendo nel contempo che l’attuazione del presente regolamento contribuisca alla riduzione delle disuguaglianze e non discrimini le persone che non hanno competenze digitali. È opportuno prestare particolare attenzione alle persone con disabilità e ai gruppi vulnerabili, tra cui i migranti e gli anziani. Gli Stati membri dovrebbero creare programmi nazionali mirati di alfabetizzazione digitale, compresi programmi per massimizzare l’inclusione sociale e garantire che tutte le persone fisiche possano effettivamente esercitare i diritti previsti dal presente regolamento. Gli Stati membri dovrebbero inoltre fornire alle persone fisiche orientamenti incentrati sui pazienti in relazione all’uso delle cartelle cliniche elettroniche e all’uso primario dei loro dati sanitari elettronici personali. Gli orientamenti dovrebbero essere adattati al livello di alfabetizzazione digitale in ambito sanitario del paziente, prestando un’attenzione particolare alle esigenze dei gruppi vulnerabili.

(90)

Anche l’utilizzo dei fondi dovrebbe contribuire al conseguimento degli obiettivi dello spazio europeo dei dati sanitari. I committenti pubblici, le autorità nazionali competenti negli Stati membri, tra cui le autorità di sanità digitale e gli organismi responsabili dell’accesso ai dati sanitari, e la Commissione dovrebbero fare riferimento alle specifiche tecniche, alle norme e ai profili applicabili in materia di interoperabilità, sicurezza e qualità dei dati, nonché ad altre prescrizioni messe a punto ai sensi del presente regolamento al momento della definizione delle condizioni per gli appalti pubblici, gli inviti a presentare proposte e l’assegnazione di fondi dell’Unione, inclusi i fondi strutturali e di coesione. Occorre che i fondi dell’Unione siano distribuiti in modo trasparente tra gli Stati membri, tenendo conto dei diversi livelli di digitalizzazione dei sistemi sanitari. La messa a disposizione dei dati per l’uso secondario richiede risorse aggiuntive per i sistemi di assistenza sanitaria, in particolare i sistemi sanitari pubblici. Tale onere aggiuntivo dovrebbe essere affrontato e ridotto al minimo durante la fase di attuazione dello spazio europeo dei dati sanitari.

(91)

L’attuazione dello spazio europeo dei dati sanitari richiede investimenti adeguati nello sviluppo delle capacità e nella formazione e un impegno adeguatamente finanziato a favore della consultazione pubblica e della partecipazione dei cittadini a livello sia di Stati membri che di Unione. I costi economici dell’attuazione del presente regolamento dovranno essere sostenuti sia a livello di Unione che a livello nazionale e dovrà essere raggiunta un’equa ripartizione di tali oneri tra i fondi dell’Unione e i fondi nazionali.

(92)

Determinate categorie di dati sanitari elettronici possono rimanere particolarmente sensibili anche quando sono in formato anonimizzato e dunque non personali, come specificamente previsto dal regolamento (UE) 2022/868. Anche nel caso in cui si ricorra alle tecniche di anonimizzazione più avanzate, permane il rischio residuo che esista o possa esistere in futuro una capacità di reidentificazione ulteriore rispetto ai mezzi di cui ci si può ragionevolmente avvalere. Tale rischio residuo è presente in relazione alle malattie rare, vale a dire patologie che comportano una minaccia per la vita o la debilitazione cronica e che colpiscono non più di cinque individui su 10 000 nell’Unione, nel quale caso i numeri limitati dei casi riducono la possibilità di aggregare completamente i dati pubblicati al fine di preservare la riservatezza delle persone fisiche mantenendo al contempo un appropriato livello di dettaglio perché i dati rimangano significativi. Tale rischio residuale può riguardare diverse categorie di dati sanitari e può portare alla reidentificazione degli interessati utilizzando mezzi che vanno oltre quelli di cui ci si può ragionevolmente avvalere. Tale rischio dipende dal livello di dettaglio, dalla descrizione delle caratteristiche degli interessati, dal numero di persone colpite, ad esempio nei casi dei dati inclusi in cartelle cliniche elettroniche, registri di malattia, biobanche e dati generati dalle persone, dove la gamma delle caratteristiche di identificazione è più ampia, e dall’eventuale combinazione con altre informazioni, ad esempio in zone geografiche molto piccole, o per via dell’evoluzione tecnologica di metodi che non erano disponibili al momento dell’anonimizzazione. Tale reidentificazione delle persone fisiche rappresenterebbe una seria preoccupazione ed è probabile che metta a repentaglio l’accettazione delle norme sull’uso secondario previste nel presente regolamento. Inoltre le tecniche di aggregazione sono meno testate per quanto riguarda i dati non personali contenenti ad esempio segreti commerciali, come nel caso delle relazioni sulle sperimentazioni cliniche e le indagini cliniche, e il perseguimento di violazioni di segreti commerciali al di fuori dell’Unione è più difficile in assenza di un’adeguata norma di protezione internazionale. Per queste categorie di dati sanitari permane pertanto un rischio di reidentificazione dopo l’anonimizzazione o l’aggregazione, che non ha potuto essere ragionevolmente ridotto in origine. Ciò rientra nei criteri indicati all’articolo 5, paragrafo 13, del regolamento (UE) 2022/868. Tali tipi di dati sanitari rientrerebbero dunque nel conferimento di potere di cui all’articolo 5, paragrafo 13, di tale regolamento per il trasferimento dei dati a paesi terzi. Le condizioni speciali previste nell’ambito del conferimento di poteri di cui all’articolo 5, paragrafo 13, del regolamento (UE) 2022/868 saranno specificate nel contesto dell’atto delegato adottato nell’ambito di tale conferimento, devono essere proporzionali al rischio di reidentificazione e devono tenere conto delle specificità delle differenti categorie di dati o delle differenti tecniche di anonimizzazione o aggregazione.

(93)

Il trattamento di grandi quantità di dati sanitari personali elettronici per le finalità dello spazio europeo dei dati sanitari, nell’ambito delle attività di trattamento dei dati sanitari nel contesto della gestione delle domande di accesso ai dati sanitari, delle autorizzazioni ai dati e delle richieste di dati sanitari, comporta maggiori rischi in termini di accesso non autorizzato a tali dati personali, nonché la possibilità di incidenti di cibersicurezza. I dati sanitari personali elettronici sono particolarmente sensibili in quanto contengono spesso informazioni intime, coperte da segreto medico, la cui divulgazione a terzi non autorizzati può causare un grave disagio. Tenendo pienamente conto dei principi delineati nella giurisprudenza della Corte di giustizia dell’Unione europea, il presente regolamento garantisce il pieno rispetto dei diritti fondamentali, del diritto alla vita privata e del principio di proporzionalità. Al fine di garantire la piena integrità e riservatezza dei dati sanitari elettronici personali a norma del presente regolamento, garantire un livello particolarmente elevato di protezione e sicurezza e ridurre il rischio di accesso illecito a tali dati sanitari elettronici personali, il presente regolamento autorizza gli Stati membri a richiedere che i dati sanitari elettronici personali siano conservati e trattati esclusivamente all’interno dell’Unione ai fini dello svolgimento dei compiti previsti dal presente regolamento, a meno che non si applichi una decisione di adeguatezza adottata a norma dell’articolo 45 del regolamento (UE) 2016/679.

(94)

L’accesso ai dati sanitari elettronici per gli utenti di dati sanitari stabiliti in paesi terzi o per le organizzazioni internazionali dovrebbe avvenire soltanto sulla base del principio di reciprocità. La messa a disposizione di dati sanitari elettronici a un paese terzo dovrebbe essere autorizzata soltanto ove la Commissione abbia stabilito, mediante un atto di esecuzione, che il paese terzo interessato consente l’accesso ai dati sanitari elettronici provenienti da tale paese terzo da parte di soggetti dell’Unione alle stesse condizioni e con le stesse garanzie che si applicherebbero se accedessero ai dati sanitari elettronici all’interno dell’Unione. La Commissione dovrebbe monitorare la situazione in tali paesi terzi e per le organizzazioni internazionali e produrre un elenco di tali atti di esecuzione. Laddove constati che un paese terzo non garantisce più l’accesso alle stesse condizioni, la Commissione dovrebbe revocare il relativo atto di esecuzione.

(95)

Al fine di promuovere l’applicazione coerente del presente regolamento, anche per quanto riguarda l’interoperabilità transfrontaliera dei dati sanitari elettronici, dovrebbe essere istituito un comitato EHDS. È opportuno che la Commissione partecipi alle attività del comitato e lo copresieda. Il comitato EHDS dovrebbe essere in grado di redigere contributi scritti relativi all’applicazione coerente del presente regolamento in tutta l’Unione, tra l’altro aiutando gli Stati membri a coordinare l’uso dei dati sanitari elettronici per l’assistenza sanitaria e la certificazione, nonché per l’uso secondario e il finanziamento di tali attività. Ciò potrebbe includere anche la condivisione di informazioni sui rischi e sugli incidenti negli ambienti di trattamento sicuri. La condivisione di tale tipo di informazioni non incide sugli obblighi derivanti da altri atti giuridici, come le notifiche di violazioni dei dati a norma del regolamento (UE) 2016/679. Più in generale, le attività del comitato EHDS fanno salvi i poteri delle autorità di controllo a norma del regolamento (UE) 2016/679. Dato che, a livello nazionale, le autorità di sanità digitale che gestiscono l’uso primario possono differire dagli organismi responsabili dell’accesso ai dati sanitari che gestiscono l’uso secondario, le funzioni sono differenti e ciascuno di tali ambiti richiede una cooperazione distinta, il comitato EHDS dovrebbe poter istituire sottogruppi per esercitare tali due funzioni, nonché altri sottogruppi, se necessario. Per porre in essere un metodo di lavoro efficiente, le autorità di sanità digitale e gli organismi responsabili dell’accesso ai dati sanitari dovrebbero creare reti e collegamenti a livello nazionale con altri organismi e autorità, ma anche a livello di Unione. Tali organismi potrebbero comprendere autorità di protezione dei dati, organismi responsabili della cibersicurezza, dell’identificazione elettronica e della normazione, nonché organismi e gruppi di esperti ai sensi dei regolamenti (UE) 2022/868, (UE) 2023/2854 e (UE) 2024/1689 e del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio (21). Il comitato EHDS dovrebbe operare in modo indipendente, nell’interesse pubblico e in linea con il suo codice di condotta.

(96)

Qualora siano discusse questioni che sono considerate di specifica rilevanza dal comitato EHDS, questo dovrebbe poter invitare osservatori, ad esempio il GEPD, i rappresentanti delle istituzioni dell’Unione, compreso il Parlamento europeo, e altri portatori di interessi.

(97)

Dovrebbe essere istituito un forum dei portatori di interesse per consigliare il comitato EHDS nell’adempimento dei propri compiti fornendo il contributo dei portatori di interessi a questioni relative al presente regolamento. Il forum dei portatori di interesse dovrebbe essere composto, tra gli altri, da rappresentanti delle organizzazioni dei pazienti e dei consumatori, dei professionisti sanitari, dell’industria, dei ricercatori scientifici e del mondo accademico, avere una composizione equilibrata e rappresentare i punti di vista dei diversi portatori di interessi pertinenti. Dovrebbero essere rappresentati gli interessi sia commerciali che non commerciali.

(98)

Al fine di garantire la corretta gestione quotidiana delle infrastrutture transfrontaliere per l’uso primario e l’uso secondario, è necessario creare gruppi direttivi composti da rappresentanti degli Stati membri. I gruppi direttivi dovrebbero prendere decisioni operative sulla gestione tecnica quotidiana delle infrastrutture transfrontaliere e sul loro sviluppo tecnico, anche per quanto riguarda le modifiche tecniche delle infrastrutture, il miglioramento delle funzionalità o dei servizi o la garanzia dell’interoperabilità con altre infrastrutture, o con altri sistemi digitali o spazi di dati. Le loro attività non dovrebbero includere il contributo allo sviluppo di atti di esecuzione che riguardano tali infrastrutture. I gruppi direttivi dovrebbero anche poter invitare alle loro riunioni rappresentanti di altri partecipanti autorizzati a DatiSanitari@UE (HealthData@EU) in qualità di osservatori e dovrebbero consultare gli esperti del settore nello svolgimento dei loro compiti.

(99)

Fatto salvo ogni altro ricorso amministrativo, giurisdizionale o extragiudiziale, qualsiasi persona fisica o giuridica dovrebbe avere il diritto di proporre reclamo a un’autorità di sanità digitale o a un organismo responsabile dell’accesso ai dati sanitari, qualora ritenga che i suoi diritti o interessi a norma del presente regolamento siano stati lesi. Successivamente al reclamo si dovrebbe condurre un’indagine, soggetta a controllo giurisdizionale, nella misura opportuna nel caso specifico. L’autorità di sanità digitale o l’organismo responsabile dell’accesso ai dati sanitari dovrebbe informare la persona fisica o giuridica dello stato o dell’esito del reclamo entro un periodo ragionevole. Se il caso richiede un’ulteriore indagine o il coordinamento con un’altra autorità di sanità digitale o un altro organismo responsabile dell’accesso ai dati sanitari, alla persona fisica o giuridica dovrebbero essere fornite informazioni sui progressi compiuti nel trattare il reclamo. Per agevolare la proposizione di reclami, ciascuna autorità di sanità digitale e ciascun organismo responsabile dell’accesso ai dati sanitari dovrebbe adottare misure quali la messa a disposizione di un modulo per la proposizione dei reclami compilabile anche elettronicamente, senza escludere la possibilità di utilizzare altri mezzi di comunicazione. Se il reclamo riguarda i diritti delle persone fisiche relativi alla protezione dei loro dati personali, l’autorità di sanità digitale o l’organismo responsabile dell’accesso ai dati sanitari dovrebbe trasmettere il reclamo alle autorità di controllo di cui al regolamento (UE) 2016/679. Le autorità di sanità digitale o gli organismi responsabili dell’accesso ai dati sanitari dovrebbero cooperare per trattare e risolvere i reclami, anche scambiando tutte le informazioni pertinenti per via elettronica, senza indebito ritardo.

(100)

La persona fisica che ritenga che siano stati violati i diritti di cui gode a norma del presente regolamento dovrebbe avere il diritto di dare mandato a un organismo, un’organizzazione o un’associazione che non abbiano scopo di lucro, costituiti in conformità del diritto nazionale, con obiettivi statutari di pubblico interesse e attivi nel settore della protezione dei dati personali per proporre reclamo per suo conto.

(101)

L’autorità di sanità digitale, l’organismo responsabile dell’accesso ai dati sanitari, il titolare dei dati sanitari o l’utente dei dati sanitari dovrebbe risarcire i danni subiti da una persona fisica o giuridica a causa di violazioni del presente regolamento. Il concetto di danno dovrebbe essere interpretato in senso lato alla luce della giurisprudenza della Corte di giustizia dell’Unione europea in modo tale da rispecchiare pienamente gli obiettivi del presente regolamento. Ciò non pregiudica le azioni di risarcimento di danni derivanti dalla violazione di altre disposizioni del diritto dell’Unione o nazionale. Le persone fisiche dovrebbero ottenere pieno ed effettivo risarcimento per il danno subito.

(102)

Per rafforzare il rispetto delle norme del presente regolamento dovrebbero essere imposte sanzioni, comprese sanzioni amministrative pecuniarie, per violazione del regolamento, in aggiunta o in sostituzione di misure appropriate imposte dagli organismi responsabili dell’accesso ai dati sanitari ai sensi del presente regolamento. L’imposizione di sanzioni, comprese sanzioni amministrative pecuniarie, dovrebbe essere soggetta a garanzie procedurali appropriate in conformità dei principi generali del diritto dell’Unione e della Carta dei diritti fondamentali dell’Unione europea, inclusi l’effettiva tutela giurisdizionale e il giusto processo.

(103)

È opportuno stabilire disposizioni che consentano agli organismi responsabili dell’accesso ai dati sanitari di applicare sanzioni amministrative pecuniarie per talune violazioni del presente regolamento che dovrebbero essere considerate gravi violazioni a norma del presente regolamento, ad esempio la reidentificazione delle persone fisiche, lo scaricamento dei dati sanitari personali elettronici al di fuori dell’ambiente di trattamento sicuro o il trattamento dei dati per gli usi vietati o gli usi non coperti da un’autorizzazione ai dati. Il presente regolamento dovrebbe specificare tali violazioni, indicare il limite massimo e i criteri per prevedere la relativa sanzione amministrativa pecuniaria, che dovrebbe essere stabilita dall’organismo responsabile dell’accesso ai dati sanitari competente in ogni singolo caso, tenuto conto di tutte le circostanze pertinenti della situazione specifica, in particolare della natura, gravità e durata dell’infrazione e delle relative conseguenze, nonché delle misure adottate per assicurare la conformità agli obblighi derivanti dal presente regolamento e prevenire o attenuare le conseguenze della violazione. Ai fini dell’imposizione di sanzioni amministrative a norma del presente regolamento, le imprese dovrebbero essere intese in conformità degli articoli 101 e 102 TFUE. Dovrebbe spettare agli Stati membri determinare se e in che misura le autorità pubbliche debbano essere soggette a sanzioni amministrative pecuniarie. Imporre una sanzione amministrativa pecuniaria o dare un avvertimento non dovrebbe incidere sull’applicazione di altri poteri degli organismi responsabili dell’accesso ai dati sanitari o di altre sanzioni a norma del presente regolamento.

(104)

Al fine di garantire il conseguimento degli obiettivi dello spazio europeo dei dati sanitari, è opportuno delegare alla Commissione il potere di adottare atti, conformemente all’articolo 290 TFUE, per la modifica, l’aggiunta o la rimozione nell’allegato I delle principali caratteristiche delle categorie prioritarie di dati sanitari elettronici personali, dell’elenco dei dati richiesti che i fabbricanti di sistemi di cartelle cliniche elettroniche e di applicazioni per il benessere devono inserire nella banca dati UE per la registrazione dei sistemi di cartelle cliniche elettroniche, nonché per la modifica, l’aggiunta o la rimozione di elementi che devono essere coperti dall’etichetta relativa alla qualità e all’utilità dei dati. È di particolare importanza che durante i lavori preparatori la Commissione svolga adeguate consultazioni, anche a livello di esperti, nel rispetto dei principi stabiliti nell’accordo interistituzionale «Legiferare meglio» del 13 aprile 2016 (22). In particolare, al fine di garantire la parità di partecipazione alla preparazione degli atti delegati, il Parlamento europeo e il Consiglio ricevono tutti i documenti contemporaneamente agli esperti degli Stati membri, e i loro esperti hanno sistematicamente accesso alle riunioni dei gruppi di esperti della Commissione incaricati della preparazione di tali atti delegati.

(105)

È opportuno attribuire alla Commissione competenze di esecuzione al fine di garantire condizioni uniformi di esecuzione del presente regolamento per quanto riguarda:

È opportuno che tali competenze siano esercitate conformemente al regolamento (UE) n. 182/2011 del Parlamento europeo e del Consiglio (23).

(106)

Gli Stati membri dovrebbero adottare tutte le misure necessarie per assicurare l’attuazione delle disposizioni di cui al presente regolamento, anche stabilendo sanzioni effettive, proporzionate e dissuasive in caso di violazione. Nel decidere l’importo della sanzione per ogni singolo caso, è opportuno che gli Stati membri tengano conto dei limiti e dei criteri stabiliti nel presente regolamento. La reidentificazione delle persone fisiche dovrebbe essere considerata una violazione grave del presente regolamento.

(107)

L’attuazione dello spazio europeo dei dati sanitari richiederà un notevole lavoro di sviluppo in tutti gli Stati membri e i servizi centrali. Al fine di monitorare i progressi raggiunti a questo riguardo, la Commissione dovrebbe riferire annualmente in merito, tenendo conto delle informazioni fornite dagli Stati membri, fino alla piena applicazione del presente regolamento. Tali relazioni potrebbero includere raccomandazioni di misure correttive, nonché una valutazione dei progressi compiuti.

(108)

Al fine di valutare se il presente regolamento raggiunga i suoi obiettivi in modo efficace ed efficiente, sia coerente e ancora pertinente, e apporti un valore aggiunto a livello di Unione, la Commissione ne dovrebbe effettuare una valutazione. La Commissione dovrebbe effettuare una valutazione mirata del presente regolamento entro otto anni dalla sua entrata in vigore e una valutazione generale entro dieci anni dalla sua entrata in vigore. Al termine di ogni valutazione la Commissione dovrebbe presentare relazioni sui risultati principali al Parlamento europeo, al Consiglio, al Comitato economico e sociale europeo e al Comitato delle regioni.

(109)

Per il buon esito dell’attuazione dello spazio europeo dei dati sanitari a livello transfrontaliero sarebbe opportuno considerare come punto di riferimento comune il quadro europeo di interoperabilità, il cui ambito di applicazione è stato aggiornato ed esteso dalla comunicazione della Commissione del 23 marzo 2017 dal titolo «Quadro europeo di interoperabilità – Strategia di attuazione» per tenere conto di requisiti di interoperabilità nuovi o riveduti, al fine di garantire un’interoperabilità giuridica, organizzativa, semantica e tecnica.

(110)

Poiché gli obiettivi del presente regolamento, ossia dare maggior potere alle persone fisiche offrendo loro un maggiore controllo sui loro dati sanitari personali elettronici e sostenerne la libertà di circolazione garantendo che i loro dati sanitari li accompagnino, incoraggiare un autentico mercato unico per i servizi e i prodotti di sanità digitale e garantire un quadro coerente ed efficiente per il riutilizzo dei dati sanitari delle persone fisiche per la ricerca, l’innovazione, la definizione delle politiche e le attività normative, non possono essere conseguiti in misura sufficiente dagli Stati membri attraverso le sole misure di coordinamento, come dimostrato dalla valutazione degli aspetti digitali della direttiva 2011/24/UE, ma, a motivo delle misure di armonizzazione per i diritti delle persone fisiche in relazione ai loro dati sanitari elettronici, dell’interoperabilità dei dati sanitari elettronici nonché del quadro comune e delle garanzie per l’uso primario e l’uso secondario, possono essere conseguiti meglio a livello di Unione, quest’ultima può intervenire in base al principio di sussidiarietà sancito dall’articolo 5 del trattato sull’Unione europea. Il presente regolamento si limita a quanto è necessario per conseguire tali obiettivi in ottemperanza al principio di proporzionalità enunciato nello stesso articolo.

(111)

La valutazione degli aspetti digitali della direttiva 2011/24/UE dimostra che l’efficacia della rete di assistenza sanitaria online è limitata, ma anche che esiste un grande potenziale di intervento a livello dell’Unione nell’ambito della sanità digitale, come dimostrato dal lavoro svolto durante la pandemia di COVID-19. La direttiva 2011/24/UE dovrebbe pertanto essere modificata di conseguenza.

(112)

Il presente regolamento integra i requisiti essenziali di cibersicurezza stabiliti dal regolamento (UE) 2024/2847. I sistemi di cartelle cliniche elettroniche che sono prodotti con elementi digitali ai sensi del regolamento (UE) 2024/2847 dovrebbero pertanto essere conformi ai requisiti essenziali di cibersicurezza stabiliti in tale regolamento. I fabbricanti dei sistemi di cartelle cliniche elettroniche dovrebbero dimostrare la conformità dei loro sistemi secondo quanto disposto dal presente regolamento. Per facilitare tale conformità, i fabbricanti dovrebbero essere autorizzati a redigere un’unica documentazione tecnica contenente gli elementi richiesti da entrambi gli atti giuridici. Dovrebbe essere possibile dimostrare la conformità dei sistemi di cartelle cliniche elettroniche ai requisiti essenziali di cibersicurezza stabiliti dal regolamento (UE) 2024/2847 mediante il quadro di valutazione previsto dal presente regolamento. Tuttavia, le parti della procedura di valutazione della conformità a norma del presente regolamento relative all’uso di ambienti di prova non dovrebbero essere applicate, in quanto gli ambienti di prova non consentono una valutazione della conformità ai requisiti essenziali di cibersicurezza. Poiché il regolamento (UE) 2024/2847 non contempla direttamente il servizio a livello di software (Software as a Service - SaaS) in quanto tale, i sistemi di cartelle cliniche elettroniche offerti attraverso il modello di concessione e fornitura di licenze SaaS non rientrano nell’ambito di applicazione di tale regolamento. Analogamente, i sistemi di cartelle cliniche elettroniche sviluppati e utilizzati internamente non rientrano nell’ambito di applicazione di tale regolamento, in quanto non sono immessi sul mercato.

(113)

Conformemente all’articolo 42, paragrafi 1 e 2, del regolamento (UE) 2018/1725, il GEPD e l’EDPB sono stati consultati e hanno formulato un parere congiunto il 12 luglio 2022.

(114)

Il presente regolamento non dovrebbe incidere sull’applicazione delle regole di concorrenza, in particolare degli articoli 101 e 102 TFUE. Le misure previste dal presente regolamento non dovrebbero essere utilizzate per limitare la concorrenza in contrasto con il TFUE.

(115)

Data la necessità di una preparazione tecnica, il presente regolamento dovrebbe applicarsi dal 26 marzo 2027. Ai fini del buon esito dell’attuazione dello spazio europeo dei dati sanitari e della creazione di condizioni efficaci per la cooperazione europea in materia di dati sanitari, è opportuno adottare un approccio attuativo graduale,