Art. 68
Autorizzazione ai dati
In vigore dal 11 feb 2025
Autorizzazione ai dati
1. Al fine di concedere l’accesso ai dati sanitari elettronici, gli organismi responsabili dell’accesso ai dati sanitari valutano se sono soddisfatti i criteri cumulativi seguenti:
a)
le finalità descritte nella domanda di accesso ai dati sanitari corrispondono a una o più finalità di cui all’, paragrafo 1;
b)
i dati richiesti sono necessari, adeguati e proporzionati alle finalità descritte nella domanda di accesso ai dati sanitari, tenendo conto dei requisiti in materia di minimizzazione dei dati e limitazione della finalità previsti all’;
c)
il trattamento è conforme all’, paragrafo 1, del regolamento (UE) 2016/679 e, nel caso di dati pseudonimizzati, è stato sufficientemente giustificato che la finalità non può essere conseguita con dati anonimizzati;
d)
il richiedente di dati sanitari è qualificato per quanto riguarda la destinazione d’uso prevista dei dati e possiede competenze adeguate, comprese le qualifiche professionali nei settori dell’assistenza sanitaria, dell’assistenza, della sanità pubblica o della ricerca, conformi alla prassi in materia etica e alle disposizioni legislative e regolamentari applicabili;
e)
il richiedente di dati sanitari dà dimostrazione di misure tecniche e organizzative sufficienti per impedire un uso improprio dei dati sanitari elettronici e per tutelare i diritti e gli interessi del titolare dei dati sanitari e delle persone fisiche interessate;
f)
le informazioni sulla valutazione degli aspetti etici del trattamento di cui all’, paragrafo 2, lettera j), se del caso, rispettano il diritto nazionale;
g)
qualora il richiedente di dati sanitari intenda avvalersi di un’eccezione ai sensi dell’, paragrafo 4, la giustificazione richiesta dalle norme di diritto nazionale adottate a norma di tale articolo sono state presentate;
h)
il richiedente di dati sanitari soddisfa tutte le altre prescrizioni di cui al presente capo.
2. L’organismo responsabile dell’accesso ai dati sanitari tiene inoltre in considerazione i rischi seguenti:
a)
i rischi per la difesa nazionale, la sicurezza, la sicurezza pubblica e l’ordine pubblico;
b)
il rischio di compromettere la riservatezza dei dati contenuti nelle banche dati governative delle autorità di regolamentazione.
3. Se giunge alla conclusione che le prescrizioni di cui al paragrafo 1 sono soddisfatte e i rischi di cui al paragrafo 2 sono sufficientemente attenuati, l’organismo responsabile dell’accesso ai dati sanitari autorizza l’accesso ai dati sanitari elettronici tramite il rilascio di un’autorizzazione ai dati. Gli organismi responsabili dell’accesso ai dati sanitari respingono tutte le domande di accesso ai dati sanitari che non soddisfino le prescrizioni di cui al presente capo.
Qualora non siano soddisfatte le prescrizioni per il rilascio di un’autorizzazione ai dati, ma siano soddisfatte le prescrizioni perché sia fornita una risposta in forma statistica anonimizzata a norma dell’, l’organismo responsabile dell’accesso ai dati sanitari può decidere di fornire tale risposta a condizione che ciò attenui i rischi e, se la finalità della domanda di accesso ai dati sanitari può essere in tal modo soddisfatta, a condizione che il richiedente di dati sanitari accetti di ricevere una risposta in forma statistica anonimizzata ai sensi dell’.
4. In deroga al regolamento (UE) 2022/868 l’organismo responsabile dell’accesso ai dati sanitari rilascia o nega un’autorizzazione ai dati entro tre mesi dal ricevimento di una domanda completa di accesso ai dati sanitari. Se conclude che la domanda di accesso ai dati sanitari è incompleta, l’organismo responsabile dell’accesso ai dati sanitari informa il richiedente di dati sanitari, cui è concessa la possibilità di completare la domanda. Se il richiedente di dati sanitari non completa la domanda di accesso ai dati sanitari entro quattro settimane, l’autorizzazione non è rilasciata.
L’organismo responsabile dell’accesso ai dati sanitari può prorogare di altri tre mesi il termine di risposta a una domanda di accesso ai dati sanitari, se necessario, tenendo conto dell’urgenza e della complessità della domanda di accesso ai dati sanitari e del volume di domande di accesso ai dati sanitari presentate per decisione. In tali casi l’organismo responsabile dell’accesso ai dati sanitari comunica quanto prima al richiedente di dati sanitari che è necessario più tempo per esaminare la domanda di accesso ai dati sanitari, indicando i motivi del ritardo.
5. Nel trattare una domanda di accesso a dati sanitari elettronici riguardante un accesso transfrontaliero a dati sanitari elettronici di cui all’, paragrafo 3, gli organismi responsabili dell’accesso ai dati sanitari e i pertinenti partecipanti autorizzati a DatiSanitari@UE (HealthData@EU) di cui all’ rimangono responsabili dell’adozione di una decisione di concedere o negare l’accesso ai dati sanitari elettronici nell’ambito delle rispettive competenze in conformità del presente capo.
Gli organismi responsabili dell’accesso ai dati sanitari e i partecipanti autorizzati a DatiSanitari@UE (HealthData@EU) interessati si informano reciprocamente delle rispettive decisioni. Essi possono tenere conto di tali informazioni nel decidere se concedere o negare l’accesso ai dati sanitari elettronici.
Un’autorizzazione ai dati rilasciata da un organismo responsabile dell’accesso ai dati sanitari può beneficiare del riconoscimento reciproco da parte degli altri organismi responsabili dell’accesso ai dati sanitari.
6. Gli Stati membri prevedono una procedura accelerata di domanda di accesso a dati sanitari elettronici per gli enti pubblici e le istituzioni, gli organi e gli organismi dell’Unione con un mandato giuridico nel settore della sanità pubblica se il trattamento dei dati sanitari elettronici deve essere effettuato per le finalità di cui all’, paragrafo 1, lettere a), b) e c).
Ove questa procedura accelerata si applichi, l’organismo responsabile dell’accesso ai dati sanitari rilascia o nega un’autorizzazione ai dati entro due mesi dal ricevimento di una domanda completa di accesso ai dati sanitari. Se necessario, l’organismo responsabile dell’accesso ai dati sanitari può prorogare di un mese supplementare il termine di risposta a una domanda di accesso ai dati sanitari.
7. In seguito al rilascio dell’autorizzazione ai dati, l’organismo responsabile dell’accesso ai dati sanitari chiede immediatamente i dati sanitari elettronici al titolare dei dati sanitari. L’organismo responsabile dell’accesso ai dati sanitari mette i dati sanitari elettronici a disposizione dell’utente dei dati sanitari entro due mesi dal ricevimento di tali dati dai rispettivi titolari, a meno che l’organismo in questione non indichi che i dati saranno forniti entro un termine più lungo specificato.
8. Nei casi di cui al paragrafo 5, primo comma, del presente articolo, gli organismi responsabili dell’accesso ai dati sanitari e i partecipanti autorizzati a DatiSanitari@UE (HealthData@EU) che hanno rilasciato, rispettivamente, un’autorizzazione ai dati o un’approvazione di accesso possono decidere di concedere l’accesso ai dati sanitari elettronici nell’ambiente di trattamento sicuro fornito dalla Commissione di cui all’, paragrafo 9.
9. Ove rifiuti di rilasciare un’autorizzazione ai dati, l’organismo responsabile dell’accesso ai dati sanitari motiva il diniego al richiedente di dati sanitari.
10. Quando rilascia un’autorizzazione ai dati, l’organismo responsabile dell’accesso ai dati sanitari vi stabilisce le condizioni generali applicabili all’utente dei dati sanitari. L’autorizzazione ai dati contiene gli elementi seguenti:
a)
le categorie, la specifica e il formato dei dati sanitari elettronici a cui accedere contemplati dall’autorizzazione ai dati, comprese le relative fonti e, l’eventuale indicazione che l’accesso ai dati sanitari elettronici dovrà essere effettuato in forma pseudonimizzata nell’ambiente di trattamento sicuro;
b)
una descrizione dettagliata della finalità della messa a disposizione dei dati sanitari elettronici;
c)
qualora sia previsto un meccanismo di attuazione di un’eccezione e questo sia applicabile a norma dell’, paragrafo 4, informazioni che indichino se è stata applicato e il motivo della relativa decisione;
d)
l’identità delle persone autorizzate, in particolare l’identità del ricercatore principale, con il diritto di accedere ai dati sanitari elettronici nell’ambiente di trattamento sicuro;
e)
durata dell’autorizzazione ai dati;
f)
informazioni sulle caratteristiche tecniche e sugli strumenti a disposizione dell’utente dei dati sanitari nell’ambiente di trattamento sicuro;
g)
tariffe a carico dell’utente dei dati sanitari;
h)
eventuali condizioni specifiche.
11. Gli utenti dei dati sanitari hanno il diritto di accedere ai dati sanitari elettronici e di trattarli in un ambiente di trattamento sicuro conformemente all’autorizzazione ai dati a loro rilasciata sulla base del presente regolamento.
12. L’autorizzazione ai dati è rilasciata per la durata necessaria al conseguimento delle finalità richieste, che non può essere superiore a 10 anni. Tale durata può essere prorogata una volta, per un periodo non superiore a 10 anni, su richiesta dell’utente dei dati sanitari, sulla base di argomentazioni e documenti che giustifichino tale estensione forniti un mese prima della scadenza dell’autorizzazione ai dati. L’organismo responsabile dell’accesso ai dati sanitari può imporre tariffe che aumentano per rispecchiare i costi e i rischi legati alla conservazione dei dati sanitari elettronici per un periodo più lungo rispetto a quello iniziale. Al fine di ridurre tali costi e tariffe, l’organismo responsabile dell’accesso ai dati sanitari può anche proporre all’utente dei dati sanitari di conservare la serie di dati in un sistema di archiviazione con capacità ridotte. Tali capacità ridotte non devono incidere sulla sicurezza della serie di dati trattata. I dati sanitari elettronici contenuti nell’ambiente di trattamento sicuro sono cancellati entro sei mesi dalla scadenza dell’autorizzazione ai dati. Su richiesta dell’utente dei dati sanitari, l’organismo responsabile dell’accesso ai dati sanitari può conservare la formula per la creazione della serie di dati richiesta.
13. Se si rende necessario un aggiornamento dell’autorizzazione ai dati, l’utente dei dati sanitari presenta una richiesta di modifica della stessa.
14. La Commissione può elaborare, mediante un atto di esecuzione, un logo per riconoscere il contributo dello spazio europeo dei dati sanitari. Tale atto di esecuzione è adottato secondo la procedura d’esame di cui all’, paragrafo 2.
Storico versioni
Questo articolo non ha mai subito modificazioni dalla sua pubblicazione.
Le tue annotazioni
Proeli:reg:2025:327:oj#art-68