Artikkel 44 Tervisevaldkonna infosüsteemidest tulenevate riskide ja ohujuhtumite käsitlemine

1.   Kui ühe liikmesriigi turujärelevalveasutusel on põhjust uskuda, et tervisevaldkonna infosüsteemiga kaasneb risk füüsiliste isikute tervisele, ohutusele või õigustele või isikuandete kaitsele, viib kõnealune turujärelevalveasutus läbi asjaomase tervisevaldkonna infosüsteemi hindamise, lähtudes kõigist käesolevas määruses sätestatud asjakohastest nõuetest. Tootja, tootja volitatud esindajad ja kõik teised asjaomased ettevõtjad teevad sel eesmärgil turujärelevalveasutusega vajaduse korral koostööd ja võtavad kõik asjakohased meetmed tagamaks, et selle tervisevaldkonna infosüsteemiga ei kaasneks turule laskmisel enam riske, või et see tervisevaldkonna infosüsteem võetaks tagasi või kõrvaldataks turult mõistliku aja jooksul.

2.   Kui liikmesriigi turujärelevalveasutused on seisukohal, et tervisevaldkonna infosüsteemi mittevastavus ei piirdu üksnes nende liikmesriigi territooriumiga, teavitavad nad komisjoni ja teiste liikmesriikide turujärelevalveasutusi käesoleva artikli lõikes 1 osutatud hindamistulemustest ja parandusmeetmetest, mille võtmist nad on ettevõtjalt määruse (EL) 2019/1020 artikli 16 lõike 2 alusel nõudnud.

3.   Kui turujärelevalveasutus jõuab järeldusele, et tervisevaldkonna infosüsteem on tekitanud kahju füüsiliste isikute tervisele või ohutusele või teatud muudele avaliku huvi kaitse aspektidele, esitab tootja kahju kandnud füüsilisele isikule või kasutajale või kohaldataval juhul muudele kolmandatele isikutele, keda tekitatud kahju mõjutab, viivitamata teabe ja dokumendid, ilma et see piiraks andmekaitsenormide kohaldamist.

4.   Lõikes 1 osutatud asjaomane ettevõtja tagab, et kõigi tema poolt liidu turule lastud asjaomaste tervisevaldkonna infosüsteemide suhtes võetakse parandusmeetmed.

5.   Turujärelevalveasutus teavitab põhjendamatu viivituseta lõikes 2 osutatud parandusmeetmetest viivitamata komisjoni ja teiste liikmesriikide turujärelevalveasutusi või kohaldataval juhul määruse (EL) 2016/679 kohaseid järelevalveasutusi. Teave peab sisaldama kõiki teadaolevaid üksikasju, eelkõige asjaomase tervisevaldkonna infosüsteemi kindlakstegemiseks vajalikke andmeid, tervisevaldkonna infosüsteemi päritolu ja tarneahelat, kaasneva ohu olemust ning liikmesriigi võetud meetmete olemust ja kestust.

6.   Kui turujärelevalveasutuse järeldus või talle teatatud ohujuhtum on seotud isikuandmete kaitsega, teavitab turujärelevalveasutus põhjendamatu viivituseta määruse (EL) 2016/679 kohaseid asjaomaseid järelevalveasutusi ja teeb nendega koostööd.

7.   Turule lastud või kasutusele võetud tervisevaldkonna infosüsteemide tootjad teatavad igast tervisevaldkonna infosüsteemiga seotud ohujuhtumist nende liikmesriikide turujärelevalveasutustele, kus selline ohujuhtum aset leidis, ning selliste liikmesriikide turujärelevalveasutustele, kus selline tervisevaldkonna infosüsteem turule lasti või kasutusele võeti. Nimetatud aruanne sisaldab ka tootja võetud või kavandatud parandusmeetmete kirjeldust. Liikmesriigid võivad ette näha, et turule lastud või kasutusele võetud tervisevaldkonna infosüsteemide kasutajad saavad sellistest juhtumitest teatada.

Ilma et see mõjutaks direktiiviga (EL) 2022/2555 ettenähtud teatamisnõuete täitmist, tuleb käesoleva lõike esimese lõigu kohaselt nõutav teade teha kohe pärast seda, kui tootja on teinud kindlaks, et tervisevaldkonna infosüsteemi ja ohujuhtumi vahel on põhjuslik seos või et selline seos on põhjendatult tõenäoline, ning igal juhul hiljemalt kolm päeva pärast seda, kui tootja sai tervisevaldkonna infosüsteemiga seotud ohujuhtumist teadlikuks.

8.   Lõikes 7 osutatud turujärelevalveasutused teatavad teistele turujärelevalveasutustele viivitamata ohujuhtumist ja tootja poolt võetud või kavandatud või temalt nõutavatest parandusmeetmetest, et minimeerida ohujuhtumi kordumise riski.

9.   Kui turujärelevalveasutuse ülesandeid ei täida digitervishoiuasutus, teeb turujärelevalveasutus digitervishoiuasutusega koostööd. Turujärelevalveasutus teavitab digitervishoiuasutust kõigist ohujuhtumitest, tervisevaldkonna infosüsteemidest, millega kaasneb risk, sealhulgas koostalitlusvõime, turvalisuse ja patsiendi ohutusega seotud risk, selliste tervisevaldkonna infosüsteemide suhtes võetavatest parandusmeetmetest ning nende süsteemide tagasivõtmisest või turult kõrvaldamisest.

10.   Juhtumite puhul, millega kaasnev risk puudutab patsiendi ohutust või infoturvet, võivad turujärelevalveasutused võtta viivitamata meetmeid ja nõuda asjaomase tervisevaldkonna infosüsteemi tootjalt, tema volitatud esindajalt ja vajaduse korral teistelt ettevõtjatelt viivitamata parandusmeetmete võtmist.