Artigo 68.o Autorização de tratamento de dados

1.   Para efeitos da concessão de acesso a dados de saúde eletrónicos, os organismos responsáveis pelo acesso aos dados de saúde devem avaliar se estão preenchidos todos os seguintes critérios:

2.   O organismo responsável pelo acesso aos dados de saúde tem igualmente em conta o seguinte:

3.   Se o organismo responsável pelo acesso aos dados de saúde concluir que os requisitos previstos no n.o 1 estão cumpridos e que os riscos referidos no n.o 2 estão suficientemente atenuados, deve conceder acesso aos dados de saúde eletrónicos através da emissão de uma autorização de tratamento de dados. Os organismos responsáveis pelo acesso aos dados de saúde devem recusar todos os pedidos de acesso a dados de saúde em que os requisitos do presente capítulo não sejam cumpridos.

Se os requisitos para a emissão de uma autorização de tratamento de dados não estiverem cumpridos, mas os requisitos para dar uma resposta num formato estatístico anonimizado nos termos do artigo 69.o estiverem cumpridos, o organismo responsável pelo acesso aos dados de saúde pode decidir dar essa resposta, desde que essa resposta reduza os riscos e, se a finalidade do pedido de acesso aos dados puder ser cumprida desta forma, o requerente de dados de saúde concorde em receber uma resposta num formato estatístico anonimizado nos termos do artigo 69.o.

4.   Em derrogação do Regulamento (UE) 2022/868, os organismos responsáveis pelo acesso aos dados de saúde devem emitir ou recusar uma autorização de tratamento de dados no prazo de três meses a contar da receção do pedido completo de acesso aos dados de saúde. Caso verifique que o pedido de acesso aos dados de saúde está incompleto, deve notificar o requerente de dados de saúde, que terá a possibilidade de completar esse pedido. Se o requerente de dados de saúde não completar o pedido de acesso aos dados de saúde no prazo de quatro semanas, a autorização de tratamento de dados não será emitida.

O organismo responsável pelo acesso aos dados de saúde pode prorrogar o prazo de resposta a um pedido de acesso aos dados por mais três meses, se necessário, tendo em conta a urgência e complexidade do pedido de acesso aos dados de saúde, bem como o volume dos pedidos de acesso aos dados de saúde apresentados para uma decisão. Em tais casos, o organismo responsável pelo acesso aos dados de saúde deve notificar o requerente de dados de saúde, o mais rapidamente possível, de que é necessário mais tempo para analisar o pedido de acesso aos dados de saúde, indicando os motivos do atraso.

5.   Ao tratarem um pedido de acesso transfronteiriço a dados de saúde eletrónicos nos termos do artigo 67.o, n.o 3, os organismos responsáveis pelo acesso aos dados de saúde e os participantes autorizados pertinentes na «Dados de saúde @ UE» referidos no artigo 75.o continuam a ser responsáveis pela adoção de decisões de concessão ou recusa de acesso a dados de saúde eletrónicos no âmbito das suas competências, em conformidade com os requisitos constantes no presente capítulo.

Os organismos responsáveis pelo acesso aos dados de saúde e os participantes autorizados na «Dados de saúde @ UE» devem informar-se mutuamente das suas decisões e podem ter em conta as informações no momento de decidirem sobre a concessão ou recusa de acesso a dados de saúde eletrónicos.

Uma autorização de tratamento de dados emitida por um organismo responsável pelo acesso aos dados de saúde pode beneficiar do reconhecimento mútuo pelos outros organismos responsáveis pelo acesso aos dados de saúde.

6.   Os Estados-Membros devem prever um procedimento de pedido de acesso aos dados de saúde acelerado para os organismos do sector público e as instituições, órgãos e organismos da União com mandato legal no domínio da saúde pública se o tratamento dos dados de saúde eletrónicos for efetuado para os fins previstos no artigo 53.o, n.o 1, alíneas a), b) e c).

Quando se aplica esse procedimento acelerado, os organismos responsáveis pelo acesso aos dados de saúde devem emitir ou recusar uma autorização de tratamento de dados no prazo de dois meses a contar da receção do pedido de acesso aos dados. O organismo responsável pelo acesso aos dados de saúde pode prorrogar o prazo de resposta a um pedido de acesso aos dados de saúde por mais um mês se necessário.

7.   Após a emissão da autorização de tratamento de dados, o organismo responsável pelo acesso aos dados de saúde deve solicitar imediatamente os dados de saúde eletrónicos ao detentor dos dados de saúde. O organismo responsável pelo acesso aos dados de saúde deve disponibilizar os dados de saúde eletrónicos ao utilizador dos dados de saúde no prazo de dois meses após os receber dos detentores dos dados de saúde, a menos que especifique que os dados serão facultados num prazo especificado mais longo.

8.   Nos casos referidos no n.o 5, primeiro parágrafo, do presente artigo, os organismos responsáveis pelo acesso aos dados de saúde e os participantes autorizados na «Dados de saúde @ UE» que emitiram uma autorização de tratamento de dados ou uma aprovação de acesso, podem decidir conceder acesso aos dados de saúde eletrónicos no ambiente de tratamento seguro disponibilizado pela Comissão, tal como referido no artigo 75.o, n.o 9.

9.   Caso recuse emitir uma autorização de tratamento de dados, o organismo responsável pelo acesso aos dados de saúde deve apresentar uma justificação dessa recusa ao requerente de dados de saúde.

10.   Ao emitir uma autorização de tratamento de dados, o organismo responsável pelo acesso aos dados de saúde deve definir nessa autorização de tratamento de dados as condições gerais aplicáveis ao utilizador dos dados de saúde. A autorização de tratamento de dados deve conter os seguintes elementos:

11.   Os utilizadores dos dados de saúde têm o direito de aceder aos dados de saúde eletrónicos e de os tratar num ambiente de tratamento seguro em consonância com a autorização de tratamento de dados que lhes foi emitida com base no presente regulamento.

12.   Uma autorização de tratamento de dados é emitida para o período necessário à consecução das finalidades solicitadas e esse período não pode ser superior a 10 anos. Esse período pode ser prorrogado uma vez, por um período que não pode ser exceder 10 anos, a pedido do utilizador dos dados de saúde, com base em argumentos e documentos que justifiquem essa prorrogação e que devem apresentados um mês antes do termo da autorização de tratamento de dados. O organismo responsável pelo acesso aos dados de saúde pode cobrar taxas que aumentam de modo a refletir os custos e os riscos decorrentes do armazenamento de dados de saúde eletrónicos durante um período que exceda o período inicial. A fim de reduzir esses custos e taxas, o organismo responsável pelo acesso aos dados de saúde pode propor igualmente ao utilizador dos dados de saúde o armazenamento do conjunto de dados num sistema de armazenamento com capacidades reduzidas. Essas capacidades reduzidas não devem afetar a segurança do conjunto de dados tratados. Os dados de saúde eletrónicos no ambiente de tratamento seguro são apagados no prazo de seis meses a contar do termo da autorização de tratamento de dados. A pedido do utilizador dos dados de saúde, a fórmula relativa à criação do conjunto de dados solicitado pode ser armazenada pelo organismo responsável pelo acesso aos dados de saúde.

13.   Caso a autorização de tratamento de dados careça de atualização, o utilizador dos dados de saúde deve apresentar um pedido de alteração da mesma.

14.   A Comissão pode, por meio de um ato de execução, desenvolver um logótipo para o reconhecimento do contributo do EEDS. O referido ato de execução é adotado em conformidade com o procedimento de exame a que se refere o artigo 98.o, n.o 2.