CELEX ID: 32025R0327

--- ENGLISH ---

Document:
Official Journal 
of the European Union
EN
L series
2025/327
5.3.2025
REGULATION (EU) 2025/327 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL
of 11 February 2025
on the European Health Data Space and amending Directive 2011/24/EU and Regulation (EU) 2024/2847
(Text with EEA relevance)
THE EUROPEAN PARLIAMENT AND THE COUNCIL OF THE EUROPEAN UNION,
Having regard to the Treaty on the Functioning of the European Union, and in particular Articles 16 and 114 thereof,
Having regard to the proposal from the European Commission,
After transmission of the draft legislative act to the national parliaments,
Having regard to the opinion of the European Economic and Social Committee 
(
1
)
,
Having regard to the opinion of the Committee of the Regions 
(
2
)
,
Acting in accordance with the ordinary legislative procedure 
(
3
)
,
Whereas:
(1)
The aim of this Regulation is to establish the European Health Data Space (EHDS) in order to improve natural persons’ access to and control over their personal electronic health data in the context of healthcare, as well as to better achieve other purposes involving the use of electronic health data in the healthcare and care sectors that would benefit society, such as research, innovation, policymaking, health threats preparedness and response, including preventing and addressing future pandemics, patient safety, personalised medicine, official statistics or regulatory activities. In addition, this Regulation’s goal is to improve the functioning of the internal market by laying down a uniform legal and technical framework in particular for the development, marketing and use of electronic health record systems (‘EHR systems’) in conformity with Union values. The EHDS will be a key element in the creation of a strong and resilient European Health Union.
(2)
The COVID-19 pandemic highlighted the imperative of having timely access to quality electronic health data for health threats preparedness and response, as well as for prevention, diagnosis and treatment and for secondary use of such electronic health data. Such timely access could potentially contribute, through efficient public health surveillance and monitoring, to more effective management of future pandemics, to a reduction of costs and to improving the response to health threats, and ultimately could help to save more lives. In 2020, the Commission urgently adapted its Clinical Patient Management System, established by Commission Implementing Decision (EU) 2019/1269 
(
4
)
, to allow Member States to share electronic health data of COVID-19 patients moving between healthcare providers and Member States during the peak of that pandemic. However, that adaptation was only an emergency solution, showing the need for a structural and consistent approach at Member State and Union level, both in order to improve the availability of electronic health data for healthcare and to facilitate access to electronic health data in order to steer effective policy responses and contribute to high standards of human health.
(3)
The COVID-19 crisis strongly cemented the work of the eHealth Network, a voluntary network of authorities responsible for digital health, as the main pillar for the development of contact-tracing and contact-warning applications for mobile devices and the technical aspects of the EU Digital COVID Certificates. It also highlighted the need for sharing electronic health data that are findable, accessible, interoperable and reusable (the ‘FAIR principles’), and ensuring that electronic health data are as open as possible, while respecting the data minimisation principle as set out in Regulation (EU) 2016/679 of the European Parliament and of the Council 
(
5
)
. Synergies between the EHDS, the European Open Science Cloud and the European Research Infrastructures should be ensured, and lessons should be learned from data-sharing solutions developed under the European COVID-19 Data Platform.
(4)
Given the sensitivity of personal electronic health data, this Regulation seeks to provide sufficient safeguards at both Union and national level to ensure a high degree of data protection, security, confidentiality and ethical use. Such safeguards are necessary to promote trust in safe handling of electronic health data of natural persons for primary use and secondary use as defined in this Regulation.
(5)
The processing of personal electronic health data is subject to the provisions of Regulation (EU) 2016/679 and, for Union institutions, bodies, offices and agencies, of Regulation (EU) 2018/1725 of the European Parliament and of the Council 
(
6
)
. References to the provisions of Regulation (EU) 2016/679 should be understood also as references to the corresponding provisions of Regulation (EU) 2018/1725 for Union institutions, bodies, offices and agencies, where relevant.
(6)
More and more individuals living in the Union cross national borders to work, study, visit relatives, or for other reasons. To facilitate the exchange of health data, and in line with the need to empower citizens, they should be able to access their health data in an electronic format that can be recognised and accepted across the Union. Such personal electronic health data could include personal data related to the physical or mental health of a natural person, including related to the provision of healthcare services, and which reveal information about that natural person’s health status, personal data relating to the inherited or acquired genetic characteristics of a natural person which give unique information about the physiology or the health of that natural person and which result, in particular, from an analysis of a biological sample from the natural person in question, as well as data determinants of health, such as behaviour, environmental and physical influences, medical care, and social or educational factors. Electronic health data also include data that have been initially collected for research, statistical, health threat assessment, policymaking or regulatory purposes and it should be possible to make them available in accordance with the rules laid down in this Regulation. Electronic health data consist of all categories of those data, irrespective of whether such data are provided by the data subject or other natural or legal persons, such as health professionals, or are processed in relation to a natural person’s health or well-being and should also include inferred and derived data, such as diagnostics, tests and medical examinations, as well as data observed and recorded by automated means.
(7)
In health systems, personal electronic health data are usually gathered in electronic health records, which typically contain a natural person’s medical history, diagnoses and treatment, medications, allergies and vaccinations, as well as radiology images, laboratory results and other medical data, spread between different actors in the health system, such as general practitioners, hospitals, pharmacies or care services. In order to allow electronic health data to be accessed, shared and modified by natural persons or health professionals, some Member States have taken the necessary legal and technical measures and set up centralised infrastructures connecting EHR systems used by healthcare providers and natural persons. In addition, some Member States provide support to public and private healthcare providers to set up personal electronic health data spaces to enable interoperability between different healthcare providers. Several Member States also support or provide electronic health data access services for patients and health professionals, for instance through patient or health professional portals. Those Member States have also taken measures to ensure that EHR systems or wellness applications are able to transmit electronic health data to the central EHR system, for instance by providing a system of certification. However, not all Member States have put in place such systems, and those Member States that have implemented them have done so in a fragmented manner. In order to facilitate the free movement of personal electronic health data across the Union and avoid negative consequences for patients when receiving healthcare in a cross-border context, Union action is needed to improve natural persons’ access to their own personal electronic health data and to empower them to share those data. In this respect, appropriate action at Union and national level should be taken as a means of reducing fragmentation, heterogeneity and division, and to create a system that is user-friendly and intuitive in all Member States. Any digital transformation in the healthcare sector should aim to be inclusive and also benefit natural persons with limited ability to access and use digital services, including people with disabilities.
(8)
Regulation (EU) 2016/679 sets out specific provisions concerning the rights of natural persons in relation to the processing of their personal data. The EHDS builds upon those rights and complements some of them as applied to personal electronic health data. Those rights apply regardless of the Member State in which the personal electronic health data are processed, type of healthcare provider, sources of those data or Member State of affiliation of the natural person. The rights and rules related to the primary use of personal electronic health data under this Regulation concern all categories of those data, irrespective of how they have been collected or who has provided them, the legal ground for the processing under Regulation (EU) 2016/679 or the status of the controller as a public or private organisation. The additional rights of access and portability of personal electronic health data provided for in this Regulation should be without prejudice to the rights of access and portability as established under Regulation (EU) 2016/679. Natural persons continue to have those rights under the conditions set out in that Regulation.
(9)
While the rights conferred by Regulation (EU) 2016/679 should continue to apply, the right of access to data by a natural person, established in Regulation (EU) 2016/679, should be further complemented in the healthcare sector. Under that Regulation, controllers do not have to provide access immediately. The right of access to health data is still commonly implemented in many places through the provision of the requested health data in paper format or as scanned documents, which is time-consuming for the controller, such as a hospital or other healthcare provider that provides access. That situation slows down access to health data by natural persons, and can have a negative impact on them if they need such access immediately due to urgent circumstances pertaining to their health condition. It is therefore necessary to provide for a more efficient way for natural persons to access their own personal electronic health data. They should have the right to have free-of-charge and immediate access, while respecting the need for technological practicability, to specific priority categories of personal electronic health data, such as the patient summary, through an electronic health data access service. That right should apply regardless of the Member State in which the personal electronic health data are processed, the type of healthcare provider, the sources of those data or the Member State of affiliation of the natural person. The scope of that complementary right established under this Regulation and the conditions for exercising it differ in certain ways from the right of access to personal data under Regulation (EU) 2016/679, which covers all personal data held by a controller and is exercised against an individual controller, which has up to one month to reply to a request. The right to access personal electronic health data under this Regulation should be limited to the categories of data falling within its scope, be exercised via an electronic health data access service and entail an immediate answer. The rights under Regulation (EU) 2016/679 should continue to apply, allowing natural persons to benefit from their rights under both legal frameworks, in particular the right to obtain a paper copy of the electronic health data.
(10)
It should be considered that immediate access of natural persons to certain categories of their personal electronic health data could be harmful for the safety of those natural persons or unethical. For example, it could be unethical to inform a patient through an electronic channel about a diagnosis of an incurable disease that is likely to be terminal instead of first providing that information in a consultation with the patient. Therefore, it should be possible to delay the provision of the access to personal electronic health data in such situations for a limited amount of time, for instance until the moment when the health professional can explain the situation to the patient. Member States should be able to establish such an exception where it constitutes a necessary and proportionate measure in a democratic society, in line with restrictions as provided for in Article 23 of Regulation (EU) 2016/679.
(11)
This Regulation does not affect Member States’ competences concerning the initial registration of personal electronic health data, such as making the registration of genetic data subject to the natural person’s consent or other safeguards. Member States may require that data be made available in an electronic format prior to the application of this Regulation. This should not affect the obligation to make personal electronic health data, registered after the date of application of this Regulation, available in an electronic format.
(12)
In order to complement the information available to them, natural persons should be able to add electronic health data to their EHRs or to store additional information in their separate personal health record which could be accessed by health professionals. However, information inserted by natural persons might not be as reliable as electronic health data entered and verified by health professionals and does not have the same clinical or legal value as information provided by health professionals. Therefore, data added by natural persons in their EHR should be clearly distinguishable from data provided by health professionals. That possibility for natural persons to add and complement personal electronic health data should not entitle them to change personal electronic health data which have been provided by health professionals.
(13)
Enabling natural persons to more easily and quickly access their personal electronic health data will enable them to notice possible errors such as incorrect information or incorrectly attributed patient records. In such cases, natural persons should be able to request online the rectification of the incorrect personal electronic health data, immediately and free of charge, through an electronic health data access service. Such rectification requests should then be treated by the relevant controllers in line with Regulation (EU) 2016/679, if necessary involving health professionals with a relevant specialisation and responsible for the natural persons’ treatment.
(14)
Under Regulation (EU) 2016/679, the right to data portability is limited to data processed based on consent or contract and provided by the data subject to a controller. Additionally, under that Regulation, natural persons have the right to have the personal data transmitted directly from one controller to another only where technically feasible. Regulation (EU) 2016/679, however, does not impose an obligation to make that direct transmission technically feasible. The right to data portability should be complemented under this Regulation, thereby empowering natural persons to provide access to, at least, priority categories of their personal electronic health data to the health professionals of their choice, to exchange such health data with such health professionals and to download such health data. In addition, natural persons should have the right to request a healthcare provider to transmit a part of their electronic health data to a clearly identified recipient in the social security or reimbursement services sector. Such a transfer should be one-way only.
(15)
The framework laid down by this Regulation should build on the right to data portability established in Regulation (EU) 2016/679 by ensuring that natural persons as data subjects can transmit their personal electronic health data, including inferred data, in the European electronic health record exchange format, irrespective of the legal basis for processing the electronic health data. Health professionals should refrain from hindering the application of the rights of natural persons, for example by refusing to take into account personal electronic health data originating from another Member State and which are provided through the interoperable and reliable European electronic health record exchange format.
(16)
Access to electronic health records by healthcare providers or other individuals should be transparent to the natural persons concerned. Electronic health data access services should provide detailed information on access to data, such as when and which entity or natural person accessed data and which data were accessed. Natural persons should also be able to enable or disable automatic notifications regarding access to personal electronic health data relating to them through the health professional access services.
(17)
Natural persons might not want to allow access to some parts of their personal electronic health data while enabling access to other parts. This could especially be relevant in cases of sensitive health issues such as those related to mental or sexual health, sensitive procedures such as abortions, or data on specific medication which could reveal other sensitive issues. Such selective sharing of personal electronic health data should therefore be supported and implemented through restrictions set by the natural person concerned in the same way within the territory of a given Member State and for cross-border data sharing. Those restrictions should allow for sufficient granularity to restrict parts of datasets, such as elements of the patient summaries. Before setting the restrictions, natural persons should be informed of the risks for patient safety associated with limiting access to health data. Given that the unavailability of the restricted personal electronic health data may impact the provision or quality of health services provided to the natural person, natural persons making use of such access restrictions should assume responsibility for the fact that the healthcare provider cannot take the data into account when providing health services. The restrictions on access to personal electronic health data could have life-threatening consequences and, therefore, access to those data should nevertheless be possible where necessary to protect vital interests in emergency situations. More specific legal provisions on the mechanisms of restrictions placed by natural persons on parts of their personal electronic health data could be provided for by Member States in their national law, in particular as regards medical liability in cases where restrictions have been placed by the natural person concerned.
(18)
In addition, due to the different sensitivities in the Member States on the degree of patients’ control over their health data, Member States should be able to provide for an absolute right to opt out from access to their personal electronic health data by anyone other than the original controller, without any possibility to override that opt-out in emergency situations. In such a case, Member States should establish the rules and specific safeguards regarding such opt-out mechanisms. Those rules and specific safeguards could also relate to specific categories of personal electronic health data, for example genetic data. The right to opt out means that personal electronic health data relating to the natural person who exercises that right would not be made available through the services set up under the EHDS other than to the healthcare provider that provided the treatment. Member States should be able to require the registration and storage of personal electronic health data in an EHR system used by the healthcare provider who provided the health services and accessible only to that healthcare provider. If a natural person has exercised the right to opt out, healthcare providers will still document the treatment provided in accordance with applicable rules, and will be able to access the data registered by them. Natural persons who exercise the right to opt out should be able to reverse their decision. In such cases, personal electronic health data generated during the period of the opt-out might not be available via the access services and MyHealth@EU.
(19)
Timely and full access by health professionals to the medical records of patients is fundamental for ensuring continuity of care, avoiding duplications and errors, and reducing costs. However, due to a lack of interoperability, in many cases health professionals cannot access the complete medical records of their patients and cannot make optimal medical decisions for their diagnosis and treatment, which adds considerable costs both for health systems and for natural persons and can lead to worse health outcomes for natural persons. Electronic health data made available in an interoperable format and which can be transmitted between healthcare providers can also reduce the administrative burden on health professionals of manually entering or copying health data between electronic systems. Therefore, health professionals should be provided with appropriate electronic means, such as electronic devices and health professional portals or other health professional access services, to use personal electronic health data for the exercise of their duties. As it is difficult to exhaustively determine in advance which data from the existing data in priority categories are medically relevant in a specific episode of care, health professionals should have a wide access to data. When accessing data relating to their patients, health professionals should comply with the applicable law, codes of conduct, deontological guidelines or other provisions governing ethical conduct with respect to sharing or accessing information, particularly in life-threatening or extreme situations. In accordance with Regulation (EU) 2016/679, in order to limit their access to what is relevant in a specific episode of care, healthcare providers should follow the data minimisation principle when accessing personal electronic health data, limiting the data accessed to data that are strictly necessary and justified for a given service. Providing health professional access services is a task assigned in the public interest by this Regulation and the performance of such task requires the processing of personal data as referred to in Article 6(1), point (e), of Regulation (EU) 2016/679. This Regulation provides for conditions and safeguards for the processing of electronic health data by the health professional access service in accordance with Article 9(2), point (h), of Regulation (EU) 2016/679, for instance detailed provisions regarding logging of access to personal electronic health data and that aim to provide transparency towards data subjects. However, this Regulation should be without prejudice to national law concerning the processing of health data for the delivery of healthcare, including national law establishing categories of health professionals that can process different categories of electronic health data.
(20)
In order to facilitate the exercise of the complementary access and portability rights established under this Regulation, Member States should establish one or more electronic health data access services. Those services could be provided at national, regional or local level, or by healthcare providers, in the form of an online patient portal, an application for mobile devices or by other means. They should be designed in an accessible way, in particular for persons with disabilities. Providing such a service to enable natural persons to have easy access to their personal electronic health data is a substantial public interest. The processing of personal electronic health data through those services is necessary for the performance of that task assigned by this Regulation in the sense of Article 6(1), point (e), and Article 9(2), point (g), of Regulation (EU) 2016/679. This Regulation lays down the necessary conditions and safeguards for the processing of electronic health data in electronic health data access services, such as electronic identification of natural persons accessing such services.
(21)
Natural persons should be able to provide an authorisation to other natural persons of their choice, such as their relatives or other close natural persons, enabling such persons of their choice to access or control the access to the personal electronic health data of the natural persons who provide the authorisation or to use digital health services on their behalf. Such authorisations could also be convenient for other usage by natural persons provided with such an authorisation. Proxy services for enabling and implementing such authorisations should be established by Member States, and be linked to personal electronic health data access services such as patient portals or patient-facing applications for mobile devices. Those proxy services should also enable guardians to act on behalf of their dependents, including minors; in such situations, authorisations could be automatic. In addition to those proxy services, Member States should also establish easily accessible support services to be provided by adequately trained staff dedicated to assisting natural persons when exercising their rights. In order to take into account cases in which the display of some personal electronic health data of dependent persons to their guardians could be contrary to the interests or the will of their dependents, including minors, Member States should be able to provide in national law for limitations and safeguards as well as for mechanisms for their technical implementation. Personal electronic health data access services, such as patient portals or patient-facing applications for mobile devices, should make use of such authorisations and thus enable authorised natural persons to access personal electronic health data falling within the scope of the authorisation. In order to provide a horizontal solution with increased user-friendliness, digital proxy solutions should be aligned with Regulation (EU) No 910/2014 of the European Parliament and of the Council 
(
7
)
 and the technical specifications of the European Digital Identity Wallet. That alignment would contribute to reducing both the administrative and financial burden for Member States by lowering the risk of developing parallel systems that are not interoperable across the Union.
(22)
In some Member States, healthcare is provided by primary care management teams, which are groups of health professionals focused on primary care, such as general practitioners, that carry out their primary care activities based on a healthcare plan that they draw up. Other types of healthcare teams also exist in several Member States for other care purposes. In the context of primary use in the EHDS, access should be provided to the health professionals belonging to such teams.
(23)
The supervisory authorities established pursuant to Regulation (EU) 2016/679 are competent for monitoring and enforcing the application of that Regulation, in particular for the monitoring of the processing of personal electronic health data and for handling any complaints lodged by the natural persons concerned. This Regulation establishes additional rights for natural persons regarding primary use, which go beyond and complement access and portability rights enshrined in Regulation (EU) 2016/679. Since those additional rights should also be enforced by the supervisory authorities established pursuant to Regulation (EU) 2016/679, Member States should ensure that those supervisory authorities are provided with the financial and human resources, premises and infrastructure necessary for the effective performance of those additional tasks. The supervisory authority or authorities responsible for the monitoring and enforcement of the processing of personal electronic health data for primary use in compliance with this Regulation should be competent to impose administrative fines. The legal system of Denmark does not allow for administrative fines as set out in this Regulation. The rules on administrative fines may be applied in such a manner that in Denmark the fines are imposed by the competent national courts as a criminal penalty, provided that such an application of the rules has an equivalent effect to administrative fines imposed by supervisory authorities. In any event, the fines imposed should be effective, proportionate and dissuasive.
(24)
Member States ought to strive to adhere to ethical principles, such as the European ethical principles for digital health adopted by the eHealth Network on 26 January 2022 and the principle of health professional-patient confidentiality, in the application of this Regulation. Recognising the importance of ethical principles, the European ethical principles for digital health provide guidance to practitioners, researchers, innovators, policy-makers and regulators.
(25)
The relevance of different categories of electronic health data for different healthcare scenarios varies. Different categories have also achieved different levels of maturity as regards standardisation, and therefore the implementation of mechanisms for their exchange may be more or less complex depending on the category. Therefore, the improvement of interoperability and data sharing should be gradual and prioritisation of certain categories of electronic health data is needed. Categories of electronic health data such as patient summaries, electronic prescriptions and dispensations, medical imaging studies and related imaging reports, medical test results such as laboratory results and related reports, and discharge reports have been selected by the eHealth Network as most relevant for the majority of healthcare situations and should be considered as priority categories for Member States to implement access to them and their transmission. Where such priority categories of data represent groups of electronic health data, this Regulation should apply to both the groups as a whole and to the individual data entries included in those groups. For example, given that vaccination status is part of a patient summary, the rights and requirements linked to the patient summary should also apply to such vaccination status even if it is processed separately from the patient summary as a whole. When further needs for the exchange of additional categories of electronic health data are identified for healthcare purposes, access to and exchange of those additional categories should be possible under this Regulation. The additional categories should be first implemented at Member State level and the exchange on a voluntary basis of such categories of data in cross-border situations between the cooperating Member States should be provided for in this Regulation. Particular attention should be given to data exchange in border regions of neighbouring Member States where the provision of cross-border health services is more frequent and needs even quicker procedures than across the Union in general.
(26)
The level of availability of personal health and genetic data in an electronic format varies between Member States. The EHDS should make it easier for natural persons to have those data available in electronic format and to control better the access to and sharing of their personal electronic health data. This would also contribute to the achievement of the target of 100 % of Union citizens having access to their electronic health records by 2030, as referred to in Decision (EU) 2022/2481 of the European Parliament and of the Council 
(
8
)
. In order to make electronic health data accessible and transmissible, such data should be accessed and transmitted in an interoperable common European electronic health record exchange format, at least for certain categories of electronic health data such as patient summaries, electronic prescriptions and dispensations, medical imaging studies and related imaging reports, medical test results and discharge reports, subject to transition periods. Where personal electronic health data are made available to a healthcare provider or a pharmacy by a natural person, or are transmitted by another controller in the European electronic health record exchange format, that format should be accepted, and the recipient should be able to read the data and use them for the provision of healthcare or for dispensation of a medicinal product, thus supporting the provision of the healthcare services or the dispensation of the electronic prescription. The European electronic health record exchange format ought to be designed in a way that facilitates translation of electronic health data communicated using that format into the official languages of the Union, to the extent possible. Commission Recommendation (EU) 2019/243 
(
9
)
 provides the foundations for such a common European electronic health record exchange format. The interoperability of the EHDS should contribute to having European health datasets of a high quality. The use of a European electronic health record exchange format should become more widespread at Union and national level. The European electronic health record exchange format could allow for different profiles for its use at the level of EHR systems and at the level of the national contact points for digital health in MyHealth@EU for cross-border data exchange.
(27)
While EHR systems are widespread, the level of digitalisation of health data varies in Member States depending on data categories and on the coverage of healthcare providers that register health data in electronic format. In order to support the application of data subjects’ rights of access to and exchange of electronic health data, Union action is needed to avoid further fragmentation. In order to contribute to a high quality and continuity of healthcare, certain categories of health data should be registered in electronic format systematically and in accordance with specific data quality requirements. The European electronic health record exchange format should form the basis for specifications related to the registration and exchange of electronic health data.
(28)
Telemedicine is becoming an increasingly important tool that can provide patients with access to care and tackle inequities. It has the potential to reduce health inequalities and reinforce the free movement of Union citizens across borders. Digital and other technological tools can facilitate the provision of care in remote regions. When digital services accompany the physical provision of a healthcare service, the digital service should be included in the overall care provision. Under Article 168 of the Treaty on the Functioning of the European Union (TFEU), Member States are responsible for their health policy, in particular for the organisation and delivery of health services and medical care, including the regulation of activities such as online pharmacies, telemedicine and other services that they provide and provide reimbursement for, in line with their national legislation. Different healthcare policies should not, however, constitute barriers to the free movement of electronic health data in the context of cross-border healthcare, for example telemedicine and online pharmacy services.
(29)
Regulation (EU) No 910/2014 lays down the conditions under which Member States perform identification of natural persons in cross-border situations using identification means issued by another Member State, establishing rules for the mutual recognition of such electronic identification means. The EHDS requires secure access to electronic health data, including in cross-border situations. Electronic health data access services and telemedicine services should enable natural persons to exercise their rights regardless of their Member State of affiliation, and should therefore support the identification of natural persons using any electronic identification means recognised pursuant to Regulation (EU) No 910/2014. Given the possibility of challenges regarding identity matching in cross-border situations, it might be necessary for Member States of treatment to provide complementary access mechanisms such as tokens or codes to natural persons who arrive from other Member States and receive healthcare. The Commission should be empowered to adopt implementing acts to determine the requirements for the interoperable and cross-border identification and authentication of natural persons and health professionals, including any complementary mechanisms that are necessary to ensure that natural persons can exercise their rights related to personal electronic health data in cross-border situations.
(30)
Member States should designate relevant digital health authorities for the planning and implementation of standards for access to and transmission of electronic health data and the enforcement of the rights of natural persons and health professionals, as separate organisations or as part of already existing authorities. The digital health authority staff should not have any financial or other interests in industries or economic activities which could affect their impartiality. Digital health authorities already exist in most of the Member States and they deal with EHRs, interoperability, security or standardisation. When carrying out their tasks, digital health authorities should cooperate in particular with the supervisory authorities established pursuant to Regulation (EU) 2016/679 and supervisory bodies established pursuant to Regulation (EU) No 910/2014. Digital health authorities can also cooperate with the European Artificial Intelligence Board established by Regulation (EU) 2024/1689 of the European Parliament and of the Council 
(
10
)
, the Medical Device Coordination Group established by Regulation (EU) 2017/745 of the European Parliament and of the Council 
(
11
)
, the European Data Innovation Board established pursuant to Regulation (EU) 2022/868 of the European Parliament and of the Council 
(
12
)
 and the competent authorities under Regulation (EU) 2023/2854 of the European Parliament and of the Council 
(
13
)
. Member States should facilitate the participation of national actors in the cooperation at Union level, the conveying of expertise and the provision of advice on the design of solutions necessary to achieve the goals of the EHDS.
(31)
Without prejudice to any other administrative or non-judicial remedy, any natural or legal person should have the right to an effective judicial remedy against a legally binding decision of a digital health authority concerning them or where a digital health authority does not handle a complaint or does not inform the natural or legal person within three months about the progress or outcome of the complaint. Proceedings against a digital health authority should be brought before the courts of the Member States where the digital health authority is established.
(32)
Digital health authorities should have sufficient technical skills, possibly by bringing together experts from different organisations. The activities of digital health authorities should be well-planned and monitored in order to ensure their efficiency. Digital health authorities should take the necessary measures to protect the rights of natural persons by setting up national, regional, and local technical solutions such as national EHR intermediation solutions and patient portals. When taking such necessary protective measures, digital health authorities should apply common standards and specifications in such solutions, promote the application of the standards and specifications in procurement procedures and use other innovative means including reimbursement of solutions that are compliant with interoperability and security requirements of the EHDS. Member States should ensure that appropriate training initiatives are taken. In particular, health professionals should be informed and trained with regard to their rights and obligations under this Regulation. To carry out their tasks, the digital health authorities should cooperate at Union and national level with other entities, including with insurance bodies, healthcare providers, health professionals, manufacturers of EHR systems and of wellness applications, as well as other stakeholders from the health or information technology sector, entities handling reimbursement schemes, health technology assessment bodies, medicinal products regulatory authorities and agencies, medical devices authorities, procurers and cybersecurity or e-ID authorities.
(33)
Access to and transmission of electronic health data is relevant in cross-border healthcare situations, as it can support continuity of healthcare when natural persons travel to other Member States or change their place of residence. Continuity of care and rapid access to personal electronic health data is even more important for residents in border regions who cross the border frequently to get healthcare. In many border regions, some specialised healthcare services might be available closer across the border than in the same Member State. Infrastructure is needed for the transmission of personal electronic health data across borders, in situations where a natural person is using services of a healthcare provider established in another Member State. The gradual expansion of such infrastructure and its funding should be considered. A voluntary infrastructure for that purpose, MyHealth@EU, was established as part of the actions to achieve the objectives set up in Directive 2011/24/EU of the European Parliament and of the Council 
(
14
)
. Through MyHealth@EU, Member States started to provide natural persons with the possibility of sharing their personal electronic health data with healthcare providers when travelling abroad. Building on that experience, the participation of Member States in MyHealth@EU as established by this Regulation should be mandatory. Technical specifications for MyHealth@EU should enable the exchange of priority categories of electronic health data as well as additional categories supported by the European electronic health record exchange format. Those specifications should be defined by means of implementing acts and should be based on the cross-border specifications of the European electronic health record exchange format, complemented by further specifications on cybersecurity, technical and semantic interoperability, operations and service management. Member States should be required to join MyHealth@EU, comply with its technical specifications and connect healthcare providers, including pharmacies, to it, as this is necessary for enabling natural persons to exercise their rights under this Regulation to access and make use of their personal electronic health data regardless of the Member State where the natural persons are located.
(34)
MyHealth@EU provides a common infrastructure for the Member States to ensure connectivity and interoperability in an efficient and secure way to support cross-border healthcare, without affecting Member States’ responsibilities before and after the transmission of personal electronic health data through it. Member States are responsible for the organisation of their national contact points for digital health and for the processing of personal data for the purposes of the delivery of healthcare, before and after the transmission of those data through MyHealth@EU. The Commission should monitor through compliance checks the compliance of national contact points for digital health with the necessary requirements regarding the technical development of MyHealth@EU as well as with detailed rules concerning the security, confidentiality and protection of personal electronic health data. In the event of serious non-compliance by a national contact point for digital health, the Commission should be able to suspend the services affected by the non-compliance provided by that national contact point for digital health. The Commission should act as a processor on behalf of the Member States within MyHealth@EU and should provide central services for it. To ensure compliance with data protection rules and to provide a risk management framework for the transmission of personal electronic health data, the specific responsibilities of the Member States, as joint controllers, and the Commission’s obligations as processor on their behalf should be specified by means of implementing acts. Each Member State is solely responsible for data and services in that Member State. This Regulation provides the legal basis for the processing of personal electronic health data in MyHealth@EU as a task carried out in the public interest assigned by Union law referred to in Article 6(1), point (e), of Regulation (EU) 2016/679. That processing is necessary for the provision of healthcare in cross-border situations, as mentioned in Article 9(2), point (h), of that Regulation.
(35)
In addition to services in MyHealth@EU for the exchange of personal electronic health data based on the European electronic health record exchange format, other services or supplementary infrastructures could be needed, for example in cases of public health emergencies or where the architecture of MyHealth@EU is not suitable for the implementation of some use cases. Examples of such use cases include support for vaccination card functionalities, including the exchange of information on vaccination plans, or verification of vaccination certificates or other health-related certificates. Such additional use cases would also be important for introducing additional functionality for handling public health crises, such as support for contact tracing for the purposes of containing infectious diseases. MyHealth@EU should support exchanges of personal electronic health data with national contact points for digital health of relevant third countries and systems established at international level by international organisations in order to contribute to the continuity of healthcare. This is particularly relevant for individuals travelling to and from neighbouring third countries, candidate countries, and the associated overseas countries and territories. The connection of such national contact points for digital health of third countries to MyHealth@EU and the interoperability with digital systems established at international level by international organisations should be subject to a check ensuring the compliance of those contact points and digital systems with the technical specifications, data protection rules and other requirements of MyHealth@EU. In addition, given that the connection to MyHealth@EU will entail transfers of personal electronic health data to third countries, such as sharing a patient summary when the patient seeks care in that third country, relevant transfer instruments under Chapter V of Regulation (EU) 2016/679 should be put in place. The Commission should be empowered to adopt implementing acts to facilitate the connection of such national contact points for digital health of third countries and systems established at international level by international organisations to MyHealth@EU. When preparing those implementing acts, the Commission should take into account Member States’ national security interests.
(36)
In order to enable the seamless exchange of electronic health data and ensure respect for the rights of natural persons and health professionals, EHR systems marketed in the internal market should be able to store and transmit, in a secure way, high quality electronic health data. It is a key objective of the EHDS to ensure the secure and free movement of electronic health data across the Union. To that end, a mandatory conformity self-assessment scheme for EHR systems processing one or more priority categories of electronic health data should be established to overcome market fragmentation while ensuring a proportionate approach. Through the self-assessment, EHR systems will prove compliance with the requirements on interoperability, security and logging for communication of personal electronic health data established by the two mandatory EHR software components harmonised by this Regulation, namely the European interoperability software component for EHR systems and the European logging software component for EHR systems (the ‘harmonised software components of EHR systems’). The harmonised software components of EHR systems mainly concern data transformation, although they may imply the need for indirect requirements for data registration and data presentation in EHR systems. Technical specifications for the harmonised software components of EHR systems should be defined by means of implementing acts and should be based on the use of the European electronic health record exchange format. The harmonised software components of EHR systems should be designed to be reusable and to integrate seamlessly with other components within a larger software system. The security requirements of the harmonised software components of EHR systems should cover elements specific to EHR systems, as more general security properties should be supported by other mechanisms such as those under Regulation (EU) 2024/2847 of the European Parliament and of the Council 
(
15
)
. To support that process, European digital testing environments should be set up to provide automated means to test whether the functioning of the harmonised software components of an EHR system is compliant with the requirements laid down in this Regulation. To that end, implementing powers should be conferred on the Commission to determine the common specifications for those environments. The Commission should develop the necessary software for the testing environments and make it available as open source. Member States should be responsible for the operation of the digital testing environments, as they are closer to manufacturers and better placed to support them. Manufacturers should use those digital testing environments to test their products before placing them on the market while continuing to bear full responsibility for the compliance of their products. The results of the test should become part of the product’s technical documentation. Where the EHR system or any part of it complies with European standards or common specifications, the list of the relevant European standards and common specifications should also be indicated in the technical documentation. To support the comparability of EHR systems, the Commission should prepare a uniform template for the technical documentation accompanying such systems.
(37)
EHR systems should be accompanied by an information sheet that includes information for its professional users and by clear and complete instructions for use, including in accessible formats for persons with disabilities. If an EHR system is not accompanied by such information, the manufacturer of the EHR system concerned, its authorised representative and all other relevant economic operators should be required to add to the EHR system that information sheet and those instructions for use.
(38)
While EHR systems specifically intended by the manufacturer to be used for processing one or more specific categories of electronic health data should be subject to mandatory self-certification, software for general purposes should not be considered to be an EHR system, even when used in a healthcare setting, and should therefore not be required to comply with this Regulation. That covers cases such as text-processing software used for writing reports that would then become part of written electronic health records, general-purpose middleware, or database management software that is used as part of data storage solutions.
(39)
This Regulation imposes a mandatory conformity self-assessment scheme for the harmonised software components of EHR systems to ensure that EHR systems placed on the Union market are able to exchange data in the European electronic health record exchange format and that they have the required logging capabilities. That mandatory conformity self-assessment, which would be in the form of an EU declaration of conformity by the manufacturer, should ensure that those requirements are fulfilled in a proportionate way, while avoiding an undue burden on Member States and manufacturers.
(40)
Manufacturers should affix in the accompanying documents of the EHR system, and where applicable on its packaging, a CE marking of conformity indicating that the EHR system is in conformity with this Regulation and, in respect of aspects not covered by this Regulation, with other applicable Union law which also requires the affixing of such marking. Member States should build upon existing mechanisms to ensure the correct application of the provisions on the CE marking of conformity under relevant Union law and should take appropriate action in the event of improper use of that marking.
(41)
Member States should remain competent to define requirements relating to any other software components of EHR systems and the terms and conditions for connection of healthcare providers to their respective national infrastructures, which could be subject to third-party assessment at national level. In order to facilitate the smooth functioning of the internal market for EHR systems, digital health products and associated services, it is necessary to ensure as much as possible transparency as regards national law establishing requirements for EHR systems and provisions on their conformity assessment in relation to aspects other than the harmonised software components of EHR systems. Therefore, Member States should inform the Commission of those national requirements so it has the necessary information to ensure that they do not adversely affect the harmonised software components of EHR systems.
(42)
Certain software components of EHR systems could be considered medical devices under Regulation (EU) 2017/745 or 
in vitro
 diagnostic medical devices under Regulation (EU) 2017/746 of the European Parliament and of the Council 
(
16
)
. Software or modules of software which fall within the definition of a medical device, 
in vitro
 diagnostic medical devices or an artificial intelligence (AI) system considered to be high-risk (the ‘high-risk AI system’) should be certified in accordance with Regulations (EU) 2017/745, (EU) 2017/746 and (EU) 2024/1689, as applicable. While such products are required to fulfil the requirements under the respective Regulation governing those products, Member States should take appropriate measures to ensure that the respective conformity assessment is carried out as a joint or coordinated procedure in order to limit the administrative burden on manufacturers and other economic operators. The essential requirements on interoperability of this Regulation should only apply to the extent that the manufacturer of a medical device, an 
in vitro
 diagnostic medical device, or a high-risk AI system, which is providing electronic health data to be processed as part of the EHR system, claims interoperability with such EHR system. In such case, the provisions on common specifications for EHR systems should be applicable to those medical devices, 
in vitro
 diagnostic medical devices and high-risk AI systems.
(43)
To further support interoperability and security, Member States should be able to maintain or define specific rules for the procurement, reimbursement or financing of EHR systems at national level in the context of the organisation, delivery or financing of health services. Such specific rules should not impede the free movement of EHR systems in the Union. Some Member States have introduced mandatory certification of EHR systems or mandatory interoperability testing for their connection to national digital health services. Such requirements are commonly reflected in procurement procedures organised by healthcare providers and national or regional authorities. The mandatory certification of EHR systems at Union level should establish a baseline that can be used in procurement procedures at national level.
(44)
In order to guarantee the effective exercise by patients of their rights under this Regulation, healthcare providers developing and using an EHR system ‘in-house’ to carry out internal activities without placing it on the market in return for payment or remuneration should also comply with this Regulation. In that context, such healthcare providers should comply with all requirements applicable to manufacturers as regards such EHR systems that are developed ‘in-house’ and that such healthcare providers put into service. However, given that the healthcare providers may need additional time to prepare for compliance with this Regulation, those requirements should only apply to such systems after an extended transitional period.
(45)
It is necessary to provide for a clear and proportionate distribution of obligations corresponding to the role of each economic operator in the supply and distribution process of EHR systems. Economic operators should be responsible for compliance in relation to their respective roles in such process and should ensure that they make available on the market only EHR systems which comply with relevant requirements.
(46)
Compliance with essential requirements on interoperability and security should be demonstrated by the manufacturers of EHR systems through the implementation of common specifications. To that end, implementing powers should be conferred on the Commission to determine such common specifications regarding datasets, coding systems, technical specifications, standards, specifications and profiles for data exchange, as well as requirements and principles related to patient safety and the security, confidentiality, integrity and protection of personal data, and specifications and requirements related to identification management and the use of electronic identification. Digital health authorities should contribute to the development of such common specifications. Where applicable, those common specifications should be based on existing harmonised standards for the harmonised software components of EHR systems and be compatible with sectoral law. Where common specifications have a particular importance in relation to personal data protection requirements concerning EHR systems, they should be subject to consultation with the European Data Protection Board (EDPB) and the European Data Protection Supervisor (EDPS) before their adoption, pursuant to Article 42(2) of Regulation (EU) 2018/1725.
(47)
In order to ensure there is appropriate and effective enforcement of the requirements and obligations laid down in this Regulation, the system of market surveillance and compliance of products established by Regulation (EU) 2019/1020 of the European Parliament and of the Council 
(
17
)
 should apply. Depending on the organisation defined at national level, such market surveillance activities could be carried out by the digital health authorities ensuring the proper implementation of Chapter II of this Regulation or by a separate market surveillance authority responsible for EHR systems. While designating digital health authorities as market surveillance authorities could have significant practical advantages for the implementation of health and care, any conflicts of interest should be avoided, for instance by separating different tasks.
(48)
The staff of market surveillance authorities should have no direct or indirect economic, financial or personal conflicts of interest that might be considered prejudicial to their independence and, in particular, they should not be in a situation that could, directly or indirectly, affect the impartiality of their professional conduct. Member States should determine and publish the selection procedure for market surveillance authorities. They should ensure that the procedure is transparent and does not allow conflicts of interest.
(49)
Users of wellness applications, including applications for mobile devices, should be informed about the capacity of such applications to be connected and to supply data to EHR systems or to national electronic health solutions in cases where data produced by wellness applications are useful for healthcare purposes. The capability of those applications to export data in an interoperable format is also relevant for data portability purposes. Where applicable, users should also be informed about the compliance of such wellness applications with interoperability and security requirements. However, given the large number of wellness applications and the limited relevance for healthcare purposes of the data produced by many of them, a certification scheme for these applications would not be proportionate. A mandatory labelling scheme for wellness applications for which interoperability with EHR systems is claimed should therefore be established as an appropriate mechanism for providing transparency for the users of wellness applications regarding compliance with requirements under this Regulation, thereby supporting users in their choice of appropriate wellness applications with high standards of interoperability and security. The Commission should set out by means of implementing acts the details regarding the format and content of such label.
(50)
Member States should remain free to regulate other aspects of the use of wellness applications, provided that the corresponding rules are in compliance with Union law.
(51)
The distribution of information on certified EHR systems and labelled wellness applications is necessary to enable procurers and users of such products to find interoperable solutions for their specific needs. A database of interoperable EHR systems and wellness applications, which do not fall within the scope of Regulations (EU) 2017/745 and (EU) 2024/1689, should therefore be established at Union level, similar to the European database on medical devices (Eudamed) established by Regulation (EU) 2017/745. The objectives of the EU database for registration of EHR systems and wellness applications should be to enhance overall transparency, to avoid multiple reporting requirements and to streamline and facilitate the flow of information. For medical devices and AI systems, the registration should be maintained under the existing databases established, respectively, under Regulations (EU) 2017/745 and (EU) 2024/1689, but the compliance with interoperability requirements should be indicated by manufacturers when they claim such compliance, in order to provide information to procurers.
(52)
Without hindering or replacing contractual arrangements or other mechanisms in place, this Regulation is aimed at establishing a common mechanism to access electronic health data for secondary use across the Union. Under that mechanism, health data holders should make the data they hold available on the basis of a data permit or a health data request. For the purpose of processing electronic health data for secondary use, one of the legal bases referred to in Article 6(1), points (a), (c), (e) or (f), of Regulation (EU) 2016/679 in conjunction with Article 9(2) thereof is required. Accordingly, this Regulation provides for a legal basis for the secondary use of personal electronic health data, including the safeguards required under Article 9(2), points (g) to (j), of Regulation (EU) 2016/679 to allow the processing of special categories of data, in terms of lawful purposes, trusted governance for providing access to health data through the involvement of health data access bodies, and processing in a secure processing environment, as well as arrangements for data processing, set out in the data permit. Consequently, Member States should no longer be able to maintain or introduce under Article 9(4) of Regulation (EU) 2016/679 further conditions, including limitations and specific provisions requesting the consent of natural persons, with regard to the processing for secondary use of personal electronic health data under this Regulation, with the exception of the introduction of stricter measures and additional safeguards at national level aimed at safeguarding the sensitivity and value of certain data as laid down in this Regulation. Health data applicants should also demonstrate a legal basis referred to in Article 6 of Regulation (EU) 2016/679 that allows them to request access to electronic health data pursuant to this Regulation and should fulfil the conditions set out in Chapter IV thereof. In addition, the health data access body should assess the information provided by the health data applicant, based on which it should be able to issue a data permit for the processing of personal electronic health data pursuant to this Regulation that should fulfil the requirements and conditions set out in Chapter IV of this Regulation. For processing of electronic health data held by the health data holders, this Regulation creates the legal obligation within the meaning of Article 6(1), point (c), of Regulation (EU) 2016/679, in accordance with Article 9(2), points (i) and (j), of that Regulation, for the health data holder to make available the personal electronic health data to health data access bodies, while the legal basis for the purpose of the initial processing, for example the delivery of healthcare, is unaffected. This Regulation also assigns tasks in the public interest within the meaning of Article 6(1), point (e), of Regulation (EU) 2016/679 to the health data access bodies, and meets the requirements of Article 9(2), points (g) to (j), as applicable, of that Regulation. If the health data user relies upon a legal basis set out in Article 6(1), point (e) or (f), of Regulation (EU) 2016/679, this Regulation should provide for the safeguards required under Article 9(2) of Regulation (EU) 2016/679.
(53)
Electronic health data used for secondary use can bring great societal benefits. The uptake of real-world data and real-world evidence, including patient-reported outcomes, for evidence-based regulatory and policy purposes as well as for research, health technology assessment and clinical objectives should be encouraged. Real-world data and real-world evidence have the potential to complement health data currently made available. To achieve that goal, it is important that datasets made available for secondary use pursuant to this Regulation be as complete as possible. This Regulation provides the necessary safeguards to mitigate certain risks involved in the achievement of those benefits. The secondary use of electronic health data is based on pseudonymised or anonymised data, in order to preclude the identification of the data subjects.
(54)
To balance the need of health data users to have exhaustive and representative datasets with the need for autonomy of natural persons over personal electronic health data of theirs that are considered particularly sensitive, natural persons should be able to make the decision as to whether their personal electronic health data can be processed for secondary use under this Regulation, in the form of a right to opt out from having those data being made available for secondary use. An easily understandable and accessible user-friendly mechanism to exercise that right to opt out should be provided for. Moreover, it is imperative to provide natural persons with sufficient and complete information regarding their right to opt out, including on the benefits and drawbacks entailed by exercising that right. Natural persons should not be required to give any reasons for opting out and should have the possibility of reconsidering their choice at any time. However, for certain purposes with a strong link to the public interest, such as activities for protection against serious cross-border threats to health or scientific research for important reasons of public interest, it is appropriate to provide for a possibility for Member States to establish, taking into account their national context, mechanisms to provide access to personal electronic health data of natural persons who have exercised their right to opt out, to ensure that complete datasets can be made available in those situations. Such mechanisms should comply with the requirements established for secondary use under this Regulation. Scientific research for important reasons of public interest could for example include research addressing unmet medical needs, including for rare diseases, or emerging health threats. The rules on such overrides should respect the essence of the fundamental rights and freedoms and be a necessary and proportionate measure in a democratic society to fulfil the public interest in relation to legitimate scientific and societal objectives. Such overrides should only be available to health data users that are public sector bodies, or relevant Union institutions, bodies, offices or agencies, entrusted with the performance of tasks in the area of public health, or to another entity entrusted with the performance of public tasks in the area of public health or acting on behalf of or commissioned by a public authority, and only where the data cannot be obtained by alternative means in a timely and effective manner. Those health data users should justify that the use of the override is necessary for an individual health data access application or health data request. When such an override is applied, the safeguards under Chapter IV should continue to be applied by health data users, in particular the prohibition of re-identification or attempting to re-identify the natural persons concerned.
(55)
In the context of the EHDS, electronic health data already exist and are being collected by, among others, healthcare providers, professional associations, public institutions, regulators, researchers and insurers in the course of their activities. Those data should also be made available for secondary use, that is to say for processing of data for purposes other than those for which they were collected or produced, however, many of such data are not made available for processing for such purposes. This limits the ability of researchers, innovators, policy-makers, regulators and doctors to use those data for different purposes, including research, innovation, policymaking, regulatory purposes, patient safety or personalised medicine. In order to fully exploit the benefits of secondary use, all health data holders should contribute to this effort in making different categories of electronic health data they are holding available for secondary use, provided that such effort is always made through effective and secured processes, with due respect for professional duties, such as confidentiality duties.
(56)
The categories of electronic health data that can be processed for secondary use should be broad and flexible enough to accommodate the evolving needs of health data users, while remaining limited to data related to health or known to influence health. They can also include relevant data from the health system, for example electronic health records, claims data, dispensation data, data from disease registries or genomic data, as well as data with an impact on health, for example data on consumption of different substances, socioeconomic status or behaviour, and data on environmental factors such as pollution, radiation or the use of certain chemical substances. The categories of electronic health data for secondary use include some categories of data that were initially collected for other purposes such as research, statistics, patient safety, regulatory activities or policymaking, for example, policymaking registries or registries concerning the side effects of medicinal products or medical devices. European databases that facilitate use or reuse of data are available in some areas, such as cancer (the European Cancer Information System) or rare diseases (for example, the European Platform on Rare Disease Registration and European reference networks (ERN) registries). The categories of electronic health data that can be processed for secondary use should also include automatically generated data from medical devices and person-generated data, such as data from wellness applications. Data on clinical trials and clinical investigations should also be included in the categories of electronic health data for secondary use when the clinical trial or clinical investigation has ended, without affecting any voluntary data sharing by the sponsors of ongoing trials and investigations. Electronic health data for secondary use should be made available preferably in a structured electronic format that facilitates their processing by computer systems. Examples of structured electronic formats include records in a relational database, XML documents or CSV files and free text, audios, videos and images provided as computer-readable files.
(57)
Health data users who benefit from access to datasets provided for under this Regulation could enrich the data in those datasets with various corrections, annotations and other improvements, for instance by supplementing missing or incomplete data, thus improving the accuracy, completeness or quality of the data in the datasets. Health data users should be encouraged to report critical errors in datasets to health data access bodies. To support the improvement of the initial database and further use of the enriched dataset, Member States should be able to establish rules for the processing and the use of electronic health data containing improvements related to the processing of those data. The improved dataset should be made available free of charge to the original health data holder together with a description of the improvements. The health data holder should make the new dataset available, unless it provides a justified notification to the health data access body for not doing so, for instance in cases in which the enrichment by the health data user is of low quality. It should be ensured that non-personal electronic health data are available for secondary use. In particular, pathogen genomic data hold significant value for human health, as shown during the COVID-19 pandemic during which timely access to and sharing of such data proved to be essential for the rapid development of detection tools, medical countermeasures and responses to public health threats. The greatest benefit from pathogen genomics efforts will be achieved when public health and research processes share datasets and cooperate to inform and improve each other.
(58)
In order to increase the effectiveness of the secondary use of personal electronic health data, and to fully benefit from the possibilities offered by this Regulation, the availability in the EHDS of electronic health data described in Chapter IV should be such that the data are as accessible, high-quality, ready and suitable for the purpose of creating scientific, innovative and societal value and quality as possible. Work on the implementation of the EHDS and further dataset improvements should be conducted in a manner that prioritises the datasets that are the most suitable for creating such value and quality.
(59)
Public or private entities often receive public funding from national or Union funds to collect and process electronic health data for research, official or unofficial statistics, or other similar purposes, including in areas where the collection of such data is fragmented or difficult, such as in relation to rare diseases or cancer. Such data, collected and processed by health data holders with the support of Union or national public funding, should be made available to health data access bodies, in order to maximise the impact of the public investment and support research, innovation, patient safety or policymaking, benefiting society. In some Member States, private entities, including private healthcare providers and professional associations, play a pivotal role in the health sector. The health data held by such providers should also be made available for secondary use. The health data holders in the context of secondary use should therefore be entities that are healthcare providers or care providers or carry out research with regard to the healthcare or care sectors, or develop products or services intended for the healthcare or care sectors. Such entities can be public, not for profit or private. In line with this definition, nursing homes, day-care centres, entities providing services for people with disabilities, entities carrying out business and technological activities related to care such as orthopaedics and companies providing care services should be considered health data holders. Legal persons developing wellness applications should also be considered health data holders. Union institutions, bodies, offices or agencies that process those categories of health and healthcare data as well as mortality registries should also be considered health data holders.In order to avoid a disproportionate burden for natural persons and microenterprises, they should be, as a general rule, exempted from the obligations on health data holders. Member States should, however, be able to extend the obligations of health data holders to natural persons and microenterprises in their national law. To reduce the administrative burden, and in light of the effectiveness and efficiency principles, Member States should be able to require in their national law that health data intermediation entities carry out the duties of certain categories of health data holders. Such health data intermediation entities should be legal persons able to process, make available, register, provide, restrict access to, and exchange electronic health data for secondary use provided by health data holders. Such health data intermediation entities perform tasks that differ from those of data intermediation services under Regulation (EU) 2022/868.
(60)
Electronic health data protected by intellectual property rights or trade secrets, including data on clinical trials, investigations and studies, can be very useful for secondary use and can foster innovation within the Union for the benefit of Union patients. In order to incentivise continuous Union leadership in this domain, it is important to encourage the sharing of clinical trials and clinical investigations data through the EHDS for secondary use. Clinical trials and clinical investigations data should be made available to the extent possible, while taking all necessary measures to protect intellectual property rights and trade secrets. This Regulation should not be used to reduce or circumvent such protection and should be consistent with the relevant transparency provisions laid down in Union law, including for clinical trials and clinical investigations data. Health data access bodies should assess how to preserve such protection while enabling access to such data for health data users to the extent possible. If a health data access body is unable to provide access to such data, it should inform the health data user and explain why it is not possible to provide such access. Legal, organisational and technical measures to protect intellectual property rights or trade secrets could include common electronic health data access contractual arrangements, specific obligations within the data permit in relation to such rights, pre-processing the data to generate derived data that protect a trade secret but nonetheless have a utility for the health data user or configuration of the secure processing environment so that such data are not accessible to the health data user.
(61)
The secondary use of health data under the EHDS should enable public, private and not-for-profit entities, as well as individual researchers, to have access to health data for research, innovation, policymaking, educational activities, patient safety, regulatory activities or personalised medicine, in line with the purposes as set out in this Regulation. Access to data for secondary use should contribute to the general interest of society. In particular, the secondary use of health data for research and development purposes should contribute to benefiting society in the form of new medicines, medical devices, and healthcare products and services at affordable and fair prices for Union citizens, as well as to enhancing access to and the availability of such products and services in all Member States. Activities for which access in the context of this Regulation is lawful could include using the electronic health data for tasks carried out by public sector bodies, such as the exercise of public duty, including public health surveillance, planning and reporting duties, health policymaking, and ensuring patient safety, quality of care and the sustainability of healthcare systems. Public sector bodies and Union institutions, bodies, offices and agencies might need to have regular access to electronic health data for an extended period of time, including in order to fulfil their mandate, as is provided for in this Regulation. Public sector bodies could carry out such research activities by using third parties, including sub-contractors, as long as the public sector body remains at all times the supervisor of those activities. The provision of the data should also support activities related to scientific research. The notion of scientific research purposes should be interpreted in a broad manner, including technological development and demonstration, fundamental research, applied research and privately funded research. Activities related to scientific research include innovation activities such as training of AI algorithms that could be used in healthcare or the care of natural persons, as well as the evaluation and further development of existing algorithms and products for such purposes. It is necessary that the EHDS also contribute to fundamental research, and, although its benefits to end-users and patients might be less direct, such fundamental research is crucial for societal benefits in the longer term. In some cases, the information of some natural persons, such as genomic information of natural persons with a certain disease, could contribute to the diagnosis or treatment of other natural persons. There is a need for public sector bodies to go beyond the scope of ‘exceptional need’ of Chapter V of Regulation (EU) 2023/2854. However, health data access bodies should be allowed to provide support to public sector bodies when processing or linking data. This Regulation provides for a channel for public sector bodies to obtain access to information that they require for fulfilling the tasks assigned to them by law, but does not extend the mandate of such public sector bodies.
(62)
Any attempt to use electronic health data for measures detrimental to natural persons, such as to increase insurance premiums, to engage in activities potentially detrimental to natural persons related to employment, pensions or banking, including mortgaging of properties, to advertise products or treatments, to automate individual decision-making, to re-identify natural persons or to develop harmful products should be prohibited. That prohibition should also apply to activities contrary to ethical provisions under national law, with the exception of ethical provisions relating to consent to the processing of personal data and ethical provisions relating to the right to opt out, since this Regulation takes precedence over national law in accordance with the general principle of the primacy of Union law. It should also be prohibited to provide access to, or otherwise make available, electronic health data to third parties not mentioned in the data permit. The identity of authorised persons, in particular the identity of the principal investigator, who will have the right pursuant to this Regulation to access electronic health data in the secure processing environment should be indicated in the data permit. The principal investigators are the main persons responsible for requesting access to the electronic health data and for processing the requested data within the secure processing environment on behalf of the health data user.
(63)
This Regulation does not create an empowerment for the secondary use of health data for the purpose of law enforcement. The prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties by the competent authorities should not be among the secondary use purposes covered under this Regulation. Therefore, courts and other entities of the justice system should not be considered health data users for the secondary use of health data under this Regulation. In addition, courts and other entities of the justice system should not be covered under the definition of health data holders and should not therefore be addressees of obligations on health data holders under this Regulation. Moreover, the powers of the competent authorities for the prevention, investigation, detection and prosecution of criminal offences established by law to obtain electronic health data are unaffected by this Regulation. Likewise, electronic health data held by courts for the purpose of judicial proceedings are outside the scope of this Regulation.
(64)
The establishment of one or more health data access bodies, supporting access to electronic health data in Member States, is essential to promoting the secondary use of health-related data. Member States should therefore establish one or more health data access bodies to reflect, inter alia, their constitutional, organisational and administrative structure. However, one of those health data access bodies should be designated as a coordinator in the event there is more than one health data access body. Where a Member State establishes several health data access bodies, it should lay down rules at national level to ensure the coordinated participation of those bodies in the European Health Data Space Board (the ‘EHDS Board’). That Member State should, in particular, designate one health data access body to function as a single contact point for the effective participation of those bodies, and ensure swift and smooth cooperation with other health data access bodies, the EHDS Board and the Commission. Health data access bodies could vary in terms of organisation and size, spanning from a dedicated fully fledged organisation to a unit or department in an existing organisation. Health data access bodies should not be influenced in their decisions on access to electronic data for secondary use and should avoid any conflicts of interest. Therefore, members of the governance and decision-making bodies of each health data access body and its staff should refrain from any action that is incompatible with their duties and should not engage in any incompatible occupation. However, the independence of the health data access bodies should not mean that they cannot be subject to control or monitoring mechanisms regarding their financial expenditure or to judicial review. Each health data access body should be provided with the financial, technical and human resources, premises and infrastructure necessary for the effective performance of its tasks, including those related to cooperation with other health data access bodies throughout the Union. The members of the governance and decision-making bodies of health data access bodies and their staff should have the necessary qualifications, experience and skills. Each health data access body should have a separate public annual budget, which could be part of the overall state or national budget. In order to enable better access to health data and complementing Article 7(2) of Regulation (EU) 2022/868, Member States should entrust health data access bodies with powers to take decisions on access to and secondary use of health data. This could consist in allocating new tasks to the competent bodies designated by Member States under Article 7(1) of Regulation (EU) 2022/868 or in designating existing or new sectoral bodies responsible for such tasks in relation to access to health data.
(65)
Health data access bodies should monitor the application of Chapter IV of this Regulation and contribute to its consistent application throughout the Union. For that purpose, health data access bodies should cooperate with each other and with the Commission. Health data access bodies should also cooperate with stakeholders, including patient organisations. Health data access bodies should support health data holders that are small enterprises in accordance with Commission Recommendation 2003/361/EC 
(
18
)
, in particular medical practitioners and pharmacies. Since the secondary use of health data involves the processing of personal data concerning health, the relevant provisions of Regulations (EU) 2016/679 and (EU) 2018/1725 apply and the supervisory authorities under those Regulations should remain the only authorities competent for enforcing those provisions. Health data access bodies should inform the data protection authorities of any penalties imposed and any potential issues related to data processing for secondary use and exchange any relevant information at their disposal to ensure enforcement of the relevant rules. In addition to the tasks necessary to ensure effective secondary use of health data, the health data access body should strive to expand the availability of additional health datasets, and promote the development of common standards. They should apply tested state-of-the-art techniques that ensure electronic health data are processed in a manner that preserves the privacy of the information contained in the data for which secondary use is allowed, including techniques for pseudonymisation, anonymisation, generalisation, suppression and randomisation of personal data. Health data access bodies can prepare datasets for the health data user as required under the issued data permit. In that regard, health data access bodies should cooperate across borders to develop and exchange best practices and techniques. This includes rules for pseudonymisation and anonymisation of micro datasets. When relevant, the Commission should set out the procedures and requirements, and provide technical tools, for a unified procedure for pseudonymising and anonymising electronic health data.
(66)
Health data access bodies should ensure that secondary use is transparent by providing public information about the data permits granted and their justifications, the measures taken to protect the rights of natural persons, the means for natural persons to exercise their rights in relation to secondary use, and the outcomes of secondary use including through links to scientific publications. Where appropriate, that information on the outcomes of secondary use should also include a lay summary to be provided by the health data user. Those transparency obligations complement the obligations laid down in Article 14 of Regulation (EU) 2016/679. The exceptions provided for in Article 14(5) of that Regulation could apply. Where such exceptions do apply, the transparency obligations established in this Regulation should contribute to ensuring fair and transparent processing as referred to in Article 14(2) of Regulation (EU) 2016/679, for example through providing information on the purpose of the processing and the data categories processed, thereby enabling natural persons to understand whether their data are being made available for secondary use pursuant to data permits.
(67)
Natural persons should be informed by the health data holders about significant findings related to their health made by health data users. Natural persons should have the right to request not to be informed of such findings. Member States could lay down conditions on the arrangements for the provision by the health data holders of such information to the natural persons concerned and on the exercise of the right not to be informed. Member States should be able, in accordance with Article 23(1), point (i), of Regulation (EU) 2016/679, to restrict the scope of the obligation to inform natural persons whenever necessary for their protection based on patient safety and ethics, by delaying the communication of their information until a health professional can communicate and explain to the natural persons concerned information that potentially can have an impact on their health.
(68)
In order to promote transparency, health data access bodies should also publish activity reports, every two years, providing an overview of their activities. Where a Member State has designated more than one health data access body, the coordinating body should prepare and publish a common report every two years. Activity reports should follow a structure agreed by the EHDS Board and provide an overview of activities, including information regarding decisions on applications, audits and engagement with relevant stakeholders. Such stakeholders can include representatives of natural persons, patient organisations, health professionals, researchers and ethical committees.
(69)
In order to support secondary use, health data holders should refrain from withholding the data, requesting unjustified fees that are not transparent or proportionate to the costs of making the data available or, where relevant, to marginal costs of data collection, requesting the health data users to co-publish the research or other practices that could dissuade the health data users from requesting the data. Where a health data holder is a public sector body, the part of the fees linked to its costs should not cover the costs of the initial collection of the data. Where ethical approval is necessary for providing a data permit, the evaluation related to ethical approval should be based on its own merits.
(70)
Health data access bodies should be allowed to charge fees, taking into account the horizontal rules provided by Regulation (EU) 2022/868, in relation to their tasks. Such fees could take into account the situation and interest of small and medium-sized enterprises (SMEs), individual researchers or public sector bodies. In particular, Member States should be able to establish measures for health data access bodies in their jurisdiction which make it possible to charge certain categories of health data users reduced fees. Health data access bodies should be able to cover the costs of their operations with fees set up in a proportionate, justified and transparent manner. This could result in higher fees for some health data users, if handling their health data access applications and health data requests requires more work. Health data holders should be allowed to also ask for fees for making data available which reflect their costs. Health data access bodies should decide on the amount of such fees, which could also include the fees requested by health data holders. The health data user ought to be charged such fees by the health data access body in a single invoice. The health data access body should then transfer the relevant part of the paid fees to the health data holder. In order to ensure a harmonised approach concerning fee policies and structure, implementing powers should be conferred on the Commission. Article 10 of Regulation (EU) 2023/2854 should apply to fees charged under this Regulation.
(71)
In order to strengthen the enforcement of the rules on secondary use, appropriate measures that can lead to administrative fines or enforcement measures by health data access bodies or temporary or definitive exclusions from the EHDS framework of health data users or health data holders that do not comply with their obligations should be envisaged. Health data access bodies should be empowered to verify compliance of health data users and health data holders and give them the opportunity to reply to any findings and to remedy any infringement. When deciding on the amount of the administrative fine or on an enforcement measure for each individual case, health data access bodies should take into account the cost margins and the criteria set out in this Regulation, ensuring that those fines or measures are proportionate.
(72)
Given the sensitivity of electronic health data, it is necessary to reduce risks for the privacy of natural persons by applying the data minimisation principle. Therefore, non-personal electronic health data should be made available in all cases where the provision of such data is sufficient. If the health data user needs to use personal electronic health data, it should clearly indicate in its request the justification for the use of that type of data and the health data access body should assess whether that justification is valid. The personal electronic health data should only be made available in pseudonymised format. Taking into account the specific purposes of the processing, personal electronic health data should be pseudonymised or anonymised as early as possible in the process of making data available for secondary use. It should be possible for pseudonymisation and anonymisation to be carried out by health data access bodies or by health data holders. As controllers, health data access bodies and health data holders should be allowed to delegate those tasks to processors. When providing access to a pseudonymised or anonymised dataset, a health data access body should use state-of-the-art pseudonymisation or anonymisation technology and standards, ensuring to the maximum extent possible that natural persons cannot be re-identified by health data users. Such technology and standards for data pseudonymisation or anonymisation should be further developed. Health data users should not attempt to re-identify natural persons from the dataset provided under this Regulation, and where they do so they should be subject to administrative fines and enforcement measures laid down in this Regulation or possible criminal penalties, where national law so provides. Moreover, a health data applicant should be able to request a response to a health data request in an anonymised statistical format. In such cases, the health data user will only process non-personal data, and the health data access body will remain sole controller for any personal data necessary to provide the response to the health data request.
(73)
In order to ensure that all health data access bodies issue data permits in a similar way, it is necessary to establish a standard common process for the issuance of data permits, with similar requests in different Member States. The health data applicant should provide health data access bodies with several elements of information that would help the body evaluate the health data access application and decide if the health data applicant can receive a data permit, and coherence should be ensured between different health data access bodies. The information provided as part of the health data access application should comply with the requirements established under this Regulation in order to enable it to be thoroughly assessed, as a data permit should only be issued if all the necessary conditions set out in this Regulation are met. In addition, where relevant, that information should include a declaration by the health data applicant that the intended use of the health data requested does not pose a risk of stigmatisation, or of causing harm to the dignity, of natural persons or groups to which the dataset requested relates. An ethical assessment could be requested based on national law. In that case, it should be possible for existing ethics bodies to carry out such assessments for the health data access body. Existing ethics bodies of Member States should make their expertise available to the health data access body for that purpose. Alternatively, Member States should be able to provide for ethics bodies to be part of the health data access body. The health data access body, and where relevant health data holders, should assist health data users in the selection of the suitable datasets or data sources for the intended purpose of secondary use. Where the health data applicant needs data in an anonymised statistical format, it should submit a health data request, requiring the health data access body to provide the result directly. A refusal of a data permit by the health data access body should not preclude the health data applicant from submitting a new health data access application. In order to ensure a harmonised approach between health data access bodies and to limit the administrative burden for the health data applicants, the Commission should support the harmonisation of health data access applications, as well as health data requests, including by establishing the relevant templates. In justified cases, such as in the case of a complex and burdensome request, the health data access body should be allowed to extend the time period for health data holders to make the requested electronic health data available to it.
(74)
As their resources are limited, health data access bodies should be allowed to apply prioritisation rules, for instance prioritising public institutions over private entities, but they should not discriminate between the national organisations and organisations from other Member States within the same category of priorities. A health data user should be able to extend the duration of the data permit in order, for example, to allow access to the datasets to reviewers of scientific publications or to enable additional analysis of the dataset based on the initial findings. This should require an amendment of the data permit and could be subject to an additional fee. However, in all cases, the data permit should reflect such additional uses of the dataset. Preferably, the health data user should mention them in their initial health data access application. In order to ensure a harmonised approach between health data access bodies, the Commission should support the harmonisation of data permits.
(75)
As the COVID-19 crisis has shown, the Union institutions, bodies, offices and agencies with a legal mandate in the field of public health, especially the Commission, need access to health data for a longer period and on a recurring basis. This may be the case not only for specific circumstances provided for in Union or national law in times of crisis but also to provide scientific evidence and technical support for Union policies on a regular basis. Access to such data could be required in specific Member States or throughout the whole territory of the Union. Such Union institutions, bodies, offices and agencies should be able to benefit from an accelerated procedure for having data made available, ordinarily in less than two months, with a possibility of prolonging the timeline by one month in more complex cases.
(76)
Member States should be able to designate trusted health data holders for which the data permit issuing procedure can be performed in a simplified manner, in order to alleviate the administrative burden for health data access bodies of managing requests for the data processed by them. Trusted health data holders should be allowed to assess the health data access applications submitted under this simplified procedure, based on their expertise in dealing with the type of health data they are processing, and issue a recommendation regarding a data permit. The health data access body should remain responsible for issuing the final data permit and should not be bound by the recommendation provided by the trusted health data holder. Health data intermediation entities should not be designated as trusted health data holders.
(77)
Given the sensitivity of electronic health data, health data users should not have unrestricted access to such data. All secondary use access to the requested electronic health data should be done through a secure processing environment. In order to ensure there are strong technical and security safeguards in place for the electronic health data, the health data access body or, where relevant, the trusted health data holder should provide access to such data in a secure processing environment, complying with the high technical and security standards set out pursuant to this Regulation. The processing of personal data in such a secure processing environment should comply with Regulation (EU) 2016/679, including, where the secure processing environment is managed by a third party, the requirements of Article 28 of that Regulation and, where applicable, Chapter V thereof. Such secure processing environment should reduce the privacy risks related to such processing activities and prevent the electronic health data from being transmitted directly to the health data users. The health data access body or the health data holder providing that service should remain at all times in control of the access to the electronic health data, and the access granted to the health data users should be determined by the conditions of the issued data permit. Only non-personal electronic health data which do not contain any personal electronic health data should be downloaded by the health data users from such secure processing environment. Thus, such a secure processing environment is an essential safeguard to preserve the rights and freedoms of natural persons in relation to the processing of their electronic health data for secondary use. The Commission should assist the Member States in developing common security standards in order to promote the security and interoperability of the various secure processing environments.
(78)
Regulation (EU) 2022/868 sets out the general rules for the management of data altruism. Given that the health sector manages sensitive data, additional criteria should be established through the rulebook referred to in that Regulation. Where such rules provide for the use of a secure processing environment for that sector, such secure processing environment should comply with the criteria established in this Regulation. The health data access bodies should cooperate with the competent authorities designated under Regulation (EU) 2022/868 to supervise the activity of data altruism organisations in the health or care sector.
(79)
For the processing of electronic health data in the scope of a data permit or a health data request, health data holders, including trusted health data holders, health data access bodies and health data users should be deemed each of them, in turn, controllers for a specific part of the process and according to their respective roles therein. Health data holders should be deemed controllers for the disclosure of the requested personal electronic health data to the health data access bodies, while the health data access bodies should in turn be deemed controllers for the processing of the personal electronic health data when preparing the data and making them available to the health data users. Health data users should be deemed controllers for the processing of personal electronic health data in pseudonymised form in the secure processing environment pursuant to their data permits. Health data access bodies should be deemed processors on behalf of the health data user for the processing carried out by the health data user pursuant to a data permit in the secure processing environment as well as for the processing to generate a response to a health data request. Similarly, trusted health data holders should be deemed controllers for their processing of personal electronic health data related to the provision of electronic health data to the health data user pursuant to a data permit or a health data request. The trusted health data holders should be deemed processors for the health data user when providing data through a secure processing environment.
(80)
In order to achieve an inclusive and sustainable framework for multi-country secondary use, a cross-border infrastructure should be established (‘HealthData@EU’). HealthData@EU should accelerate secondary use while increasing legal certainty, respecting the privacy of natural persons and being interoperable. Due to the sensitivity of health data, principles such as ‘privacy by design’ and ‘privacy by default’ and the concept of bringing questions to data instead of moving those data should be respected whenever possible. Member States should designate national contact points for secondary use, as organisational and technical gateways for health data access bodies, and connect those contact points to HealthData@EU. The Union health data access service should also be connected to HealthData@EU. In addition, authorised participants in HealthData@EU could be research infrastructures established as a European Research Infrastructure Consortium (ERIC) under Council Regulation (EC) No 723/2009 
(
19
)
, as a European digital infrastructure consortium (EDIC) under Decision (EU) 2022/2481 or similar infrastructures established under other Union legal acts, as well as other types of entities, including infrastructures under the European Strategy Forum on Research Infrastructures (ESFRI) or infrastructures federated under the European Open Science Cloud (EOSC). Third countries and international organisations could also become authorised participants in HealthData@EU, provided that they are compliant with the requirements in this Regulation. The Commission communication of 19 February 2020 entitled ‘A European strategy for data’ promoted the linking of the various common European data spaces. HealthData@EU should therefore enable the secondary use of different categories of electronic health data, including linking of the health data with data from other data spaces such as those relating to the environment, agriculture and social sector. Such interoperability between the health sector and other sectors such as the environmental, agricultural or social sectors could be relevant for obtaining additional insights on health determinants. The Commission could provide a number of services within HealthData@EU, including supporting the exchange of information amongst health data access bodies and authorised participants in HealthData@EU for the handling of cross-border access requests, maintaining catalogues of electronic health data available through the infrastructure, network discoverability and metadata queries, connectivity and compliance services. The Commission could also set up a secure processing environment, allowing data from different national infrastructures to be transmitted and analysed, at the request of the controllers. For the sake of IT efficiency, rationalisation and interoperability of data exchanges, existing systems for data sharing should be reused as much as possible, such as those being built for the exchange of evidence under the ‘once-only’ technical system of Regulation (EU) 2018/1724 of the European Parliament and of the Council 
(
20
)
.
(81)
In addition, given that the connection to HealthData@EU could entail transfers of personal data related to the applicant or the health data user to third countries, relevant transfer instruments under Chapter V of Regulation (EU) 2016/679 need to be in place for such transfers.
(82)
In the case of cross-border registries or databases, such as the registries of European Reference Networks for Rare Diseases, which receive data from different healthcare providers in several Member States, the health data access body of the Member State where the coordinator of the registry is located should be responsible for providing access to data.
(83)
The authorisation process to gain access to personal electronic health data in different Member States can be repetitive and cumbersome for health data users. Whenever possible, synergies should be established to reduce the burden and barriers for health data users. One way to achieve that aim is to adhere to the ‘single application’ principle whereby, with one application, the health data user can obtain authorisation from multiple health data access bodies in different Member States or authorised participants in HealthData@EU.
(84)
The health data access bodies should provide information about the available datasets and their characteristics so that health data users can be informed of elementary facts about the dataset and assess the possible relevance of those facts to those users. For this reason, each dataset should include, at least, information concerning the source and nature of the data and the conditions for making the data available. The health data holder should, at least every year, check that its dataset description in the national dataset catalogue is accurate and up to date. Therefore, an EU dataset catalogue should be established to: facilitate the discoverability of datasets available in the EHDS; help health data holders to publish their datasets; provide all stakeholders, including the general public, taking into account the specific needs of people with disabilities, with information about datasets placed on the EHDS, such as quality and utility labels and dataset information sheets; and provide health data users with up-to-date data quality and utility information about datasets.
(85)
Information on the quality and utility of datasets increases the value of outcomes from data-intensive research and innovation significantly while, at the same time, promoting evidence-based regulatory and policy decision-making. Improving the quality and utility of datasets through informed customer choice and harmonising related requirements at Union level, taking into account existing Union and international standards, guidelines and recommendations for data collection and data exchange, such as FAIR principles, also benefits health data holders, health professionals, natural persons and the Union economy overall. A data quality and utility label for datasets would inform health data users about the quality and utility characteristics of a dataset and enable them to choose the datasets that best fit their needs. The data quality and utility label should not prevent datasets from being made available through the EHDS, but provide a transparency mechanism between health data holders and health data users. For example, a dataset that does not fulfil any requirement of data quality and utility should be labelled with the class representing the poorest quality and utility, but should still be made available. Expectations set by frameworks created pursuant to Article 10 of Regulation (EU) 2024/1689 and the relevant technical documentation specified in Annex IV to that Regulation should be taken into account when developing the data quality and utility framework. Member States should raise awareness about the data quality and utility label through communication activities. The Commission could support those activities. The use of datasets could be prioritised by their users according to their usefulness and quality.
(86)
The EU dataset catalogue should minimise the administrative burden for the health data holders and other database users, be user-friendly, accessible and cost-effective, connect national dataset catalogues and avoid redundant registration of datasets. Without prejudice to the requirements set out in Regulation (EU) 2022/868, the EU dataset catalogue could be aligned with the data.europa.eu initiative. Interoperability should be ensured between the EU dataset catalogue, the national dataset catalogues and the dataset catalogues from European research infrastructures and other relevant data sharing infrastructures.
(87)
Cooperation and work are ongoing between different professional organisations, the Commission and other institutions to set up minimum data fields and other characteristics of different datasets, for instance registries. That work is more advanced in areas such as cancer, rare diseases, cardiovascular and metabolic diseases, risk factor assessment and statistics, and should be taken into account when defining new standards and disease-specific harmonised templates for structured data elements. However, many datasets are not harmonised, raising comparability issues and making cross-border research difficult. Therefore, more detailed rules should be set out in implementing acts to ensure a harmonised coding and registration of electronic health data to enable the supply of such data for secondary use in a consistent way. Such datasets could include data from registries of rare diseases, orphan drugs databases, cancer registries and registries of highly relevant infectious diseases. Member States should work towards ensuring that European electronic health systems and services and interoperable applications deliver sustainable economic and social benefits, with a view to achieving a high level of trust and security, enhancing continuity of healthcare and ensuring access to safe and high-quality healthcare. Existing health data infrastructures and registries can provide models that are useful for defining and implementing data standards and interoperability and should be leveraged to enable continuity and to build on existing expertise.
(88)
The Commission should support Member States in building capacity and enhancing effectiveness in the area of digital health systems for primary use and secondary use. Member States should be supported to strengthen their capacity. Activities at Union level, such as benchmarking and exchange of best practices, are relevant measures in that respect. Those activities should take into account the specific circumstances of different categories of stakeholders, such as representatives of civil society, researchers, medical societies and SMEs.
(89)
Improving digital health literacy for both natural persons and health professionals is essential to trust and safety and appropriate use of health data and thus is essential to achieving a successful implementation of this Regulation. Health professionals are faced with profound changes in the context of digitalisation and will be offered further digital tools as part of the implementation of the EHDS. Consequently, health professionals need to develop their digital health literacy and digital skills and Member States should provide access for health professionals to digital literacy courses so that they can prepare to work with EHR systems. Such courses should allow health professionals and IT operators to receive sufficient training in working with new digital infrastructures to ensure cybersecurity and ethical management of health data. The training courses should be developed and reviewed, and kept up to date, on a regular basis in consultation and cooperation with relevant experts. Improving digital health literacy is fundamental in order to empower natural persons to have true control over their health data, actively manage their health and care, and understand the implications of the management of such data for both primary use and secondary use. Different demographic groups have varying degrees of digital literacy, which can affect natural persons’ ability to exercise their rights to control their electronic health data. Member States, including regional and local authorities, should therefore support digital health literacy and public awareness, while ensuring that the implementation of this Regulation contributes to reducing inequalities and does not discriminate against people lacking digital skills. Particular attention should be given to persons with disabilities and vulnerable groups including migrants and the elderly. Member States should create targeted national digital literacy programmes, including programmes to maximise social inclusion and to ensure all natural persons can effectively exercise their rights under this Regulation. Member States should also provide patient-centric guidance to natural persons in relation to the use of electronic health records and primary use of their personal electronic health data. Guidance should be tailored to the patient’s level of digital health literacy, with specific attention to be given to the needs of vulnerable groups.
(90)
The use of funds should also contribute to attaining the objectives of the EHDS. Public procurers, national competent authorities in the Member States, including digital health authorities and health data access bodies, and the Commission should make references to applicable technical specifications, standards and profiles on interoperability, security and data quality, as well as other requirements developed under this Regulation, when defining the conditions for public procurement, calls for proposals and allocation of Union funds, including structural and cohesion funds. Union funds need to be distributed transparently among the Member States, taking into account the different levels of health system digitalisation. Making data available for secondary use requires additional resources for healthcare systems, in particular public healthcare systems. That additional burden should be addressed and minimised during the implementation phase of the EHDS.
(91)
The implementation of the EHDS requires appropriate investment in capacity-building and training and a well-funded commitment to public consultation and engagement both at Union and national level. The economic costs of implementing this Regulation will need to be borne at both Union and national level, and a fair sharing of that burden between Union and national funds will need to be found.
(92)
Certain categories of electronic health data can remain particularly sensitive even when they are in anonymised format and thus non-personal, as already specifically provided for in Regulation (EU) 2022/868. Even where state-of-the-art anonymisation techniques are used, there remains a residual risk that the capacity to re-identify could be or become available, beyond the means reasonably likely to be used. Such residual risk is present in relation to rare diseases, that is to say a life-threatening or chronically debilitating condition affecting not more than 5 in 10 000 persons in the Union, where the limited numbers of cases reduce the possibility of fully aggregating the published data in order to preserve the privacy of natural persons while also maintaining an appropriate level of granularity in order to remain meaningful. Such residual risk can affect different categories of health data and can lead to the re-identification of the data subjects using means that are beyond those reasonably likely to be used. Such risk depends on the level of granularity, on the description of the characteristics of data subjects, on the number of people affected, for instance in cases of data included in electronic health records, disease registries, biobanks and person-generated data, where the range of identification characteristics is broader, and on the possible combination with other information, for example in very small geographical areas, or through the technological evolution of methods which had not been available at the moment of anonymisation. Such re-identification of natural persons would present a major concern and would be likely to put the acceptance of the rules on secondary use provided for in this Regulation at risk. Furthermore, aggregation techniques are less tested for non-personal data containing for example trade secrets, as is the case in the reporting on clinical trials and clinical investigations, and enforcement of breaches of trade secrets outside the Union is more difficult in the absence of a sufficient international protection standard. Therefore, for those categories of health data, there remains a risk of re-identification after the anonymisation or aggregation, which cannot be reasonably mitigated initially. This falls within the criteria indicated in Article 5(13) of Regulation (EU) 2022/868. Those types of health data would thus fall within the empowerment set out in Article 5(13) of that Regulation for transfer to third countries. The special conditions provided for under the empowerment set out in Article 5(13) of Regulation (EU) 2022/868 will be detailed in the context of the delegated act adopted under that empowerment, and need to be proportional to the risk of re-identification and to take into account the specificities of different data categories or of different anonymisation or aggregation techniques.
(93)
The processing of large amounts of personal electronic health data for the purposes of the EHDS, as part of data processing activities in the context of handling health data access applications, data permits and health data requests entails higher risks of unauthorised access to such personal data, as well as the possibility of cybersecurity incidents. Personal electronic health data are particularly sensitive as they often contain information covered by medical secrecy, the disclosure of which to unauthorised third parties can cause significant distress. Taking fully into consideration the principles outlined in the case law of the Court of Justice of the European Union, this Regulation ensures full respect for fundamental rights, for the right to privacy and for the principle of proportionality. In order to ensure the full integrity and confidentiality of personal electronic health data under this Regulation, to guarantee a particularly high level of protection and security, and to reduce the risk of unlawful access to those personal electronic health data, this Regulation allows Member States to require that personal electronic health data be stored and processed solely within the Union for the purpose of carrying out the tasks provided for in this Regulation, unless an adequacy decision adopted pursuant to Article 45 of Regulation (EU) 2016/679 applies.
(94)
Access to electronic health data for health data users established in third countries or for international organisations should take place only on the basis of the reciprocity principle. Making electronic health data available to a third country should be allowed to take place only where the Commission has established, by means of an implementing act, that the third country concerned allows access to electronic health data originating from that third country by Union entities under the same conditions and with the same safeguards as would be the case if they were accessing electronic health data within the Union. The Commission should monitor and carry out a periodic review of the situation in those third countries and for international organisations and list those implementing acts. Where the Commission finds that a third country no longer ensures access on the same terms, it should revoke the corresponding implementing act.
(95)
In order to promote the consistent application of this Regulation, including as regards cross-border interoperability of electronic health data, a European Health Data Space Board should be set up. The Commission should participate in its activities and co-chair it. The EHDS Board should be able to issue written contributions related to the consistent application of this Regulation throughout the Union, including by helping Member States to coordinate the use of electronic health data for healthcare and certification, but also concerning secondary use, and the funding for those activities. This could also include sharing information on risks and incidents in the secure processing environments. The sharing of that kind of information does not affect obligations under other legal acts, such as data breach notifications under Regulation (EU) 2016/679. More generally, the activities of the EHDS Board are without prejudice to the powers of the supervisory authorities pursuant to Regulation (EU) 2016/679. Given that, at national level, digital health authorities dealing with primary use may be different from the health data access bodies dealing with secondary use, the functions are different and there is a need for distinct cooperation in each of those areas, the EHDS Board should be able to set up subgroups dealing with those two functions, as well as other subgroups, as needed. In order for there to be an efficient working method, the digital health authorities and health data access bodies should create networks and links at national level with other bodies and authorities, but also at Union level. Such bodies could comprise data protection authorities, cybersecurity, eID and standardisation bodies, as well as bodies and expert groups under Regulations (EU) 2022/868, (EU) 2023/2854 and (EU) 2024/1689 and Regulation (EU) 2019/881 of the European Parliament and of the Council 
(
21
)
. The EHDS Board should operate independently, in the public interest and in line with its code of conduct.
(96)
Where issues that are considered by the EHDS Board to be of specific relevance are discussed, it should be able to invite observers, for instance the EDPS, representatives of Union institutions, including of the European Parliament, and other stakeholders.
(97)
A stakeholder forum should be set up to advise the EHDS Board in the fulfilment of its tasks by providing stakeholder input on matters pertaining to this Regulation. The stakeholder forum should be composed, inter alia, of representatives of patient and consumer organisations, health professionals, industry, scientific researchers and academia. It should have a balanced composition and represent the views of different relevant stakeholders. Both commercial and non-commercial interests should be represented.
(98)
In order to ensure proper day-to-day management of the cross-border infrastructures for primary use and secondary use, it is necessary to create steering groups consisting of Member State representatives. These steering groups should take operational decisions on the technical day-to-day management of the cross-border infrastructures and their technical development, including on technical changes to the infrastructures, improving functionalities or services, or ensuring interoperability with other infrastructures, digital systems or data spaces. Their activities should not include contributing to the development of implementing acts affecting those infrastructures. The steering groups should also be able to invite representatives of other authorised participants in HealthData@EU as observers to their meetings and should consult relevant experts when carrying out their tasks.
(99)
Without prejudice to any other administrative, judicial or non-judicial remedy, any natural or legal person should have the right to lodge a complaint with a digital health authority or with a health data access body, if the natural or legal person considers that his or her rights or interests under this Regulation have been affected. The investigation following a complaint should be carried out, subject to judicial review, to the extent appropriate in the specific case. The digital health authority or health data access body should inform the natural or legal person of the progress and the outcome of the complaint within a reasonable period. If the case requires further investigation or coordination with another digital health authority or health data access body, information on the progress made in dealing with the complaint should be given to the natural or legal person. In order to facilitate the submission of complaints, each digital health authority and health data access body should take measures such as providing a complaint submission form which can also be completed electronically, without excluding the possibility of using other means of communication. Where the complaint concerns the rights of natural persons related to the protection of their personal data, the digital health authority or health data access body should transmit the complaint to the supervisory authorities under Regulation (EU) 2016/679. Digital health authorities or health data access bodies should cooperate to handle and resolve complaints, including by exchanging all relevant information by electronic means, without undue delay.
(100)
Where a natural person considers that his or her rights under this Regulation have been infringed, he or she should have the right to mandate a not-for-profit body, organisation or association constituted in accordance with national law, having statutory public interest objectives and active in the field of the protection of personal data, to lodge a complaint on his or her behalf.
(101)
The digital health authority, health data access body, health data holder or health data user should compensate any damage which a natural or legal person suffers as a result of an infringement of this Regulation. The concept of damage should be broadly interpreted in the light of the case law of the Court of Justice of the European Union, in a manner which fully reflects the objectives of this Regulation. This is without prejudice to any claims for damage deriving from the violation of other provisions in Union or national law. Natural persons should receive full and effective compensation for the damage they have suffered.
(102)
In order to strengthen the enforcement of the rules of this Regulation, penalties, including administrative fines, should be imposed for any infringement of this Regulation, in addition to, or instead of, appropriate measures imposed by health data access bodies pursuant to this Regulation. The imposition of penalties, including administrative fines, should be subject to appropriate procedural safeguards in accordance with the general principles of Union law and the Charter of Fundamental Rights of the European Union, including effective judicial protection and due process.
(103)
It is appropriate to lay down provisions enabling health data access bodies to apply administrative fines for certain infringements of this Regulation which should be considered under this Regulation to be serious infringements, such as the re-identification of natural persons, downloading personal electronic health data outside of the secure processing environment or processing of data for prohibited uses or uses not covered by a data permit. This Regulation should specify those infringements and the upper limit and criteria for setting the related administrative fines, which should be determined by the competent health data access body in each individual case, taking into account all the relevant circumstances of the specific situation, having due regard in particular to the nature, gravity and duration of the infringement and its consequences and the measures taken to ensure compliance with the obligations under this Regulation and to prevent or mitigate the consequences of the infringement. For the purposes of the imposition of administrative fines under this Regulation, the concept of undertaking should be understood in accordance with Articles 101 and 102 TFEU. It should be for the Member States to determine whether and to what extent public authorities should be subject to administrative fines. Imposing an administrative fine or giving a warning should not affect the enforcement of other powers of the health data access bodies or of other penalties under this Regulation.
(104)
In order to ensure that the EHDS fulfils its objectives, the power to adopt acts in accordance with Article 290 TFEU should be delegated to the Commission in respect of the modification, addition or removal in Annex I of the main characteristics of the priority categories of personal electronic health data, the list of required data to be entered by the manufacturers of EHR systems and wellness applications into the EU database for registration of EHR systems and wellness applications as well as the modification, addition or removal of elements to be covered by the data quality and utility label. It is of particular importance that the Commission carry out appropriate consultations during its preparatory work, including at expert level, and that those consultations be conducted in accordance with the principles laid down in the Inter-institutional Agreement of 13 April 2016 on Better Law-Making 
(
22
)
. In particular, to ensure equal participation in the preparation of delegated acts, the European Parliament and the Council receive all documents at the same time as Member States’ experts, and their experts systematically have access to meetings of Commission expert groups dealing with the preparation of delegated acts.
(105)
In order to ensure uniform conditions for the implementation of this Regulation, implementing powers should be conferred on the Commission as regards:
—
technical specifications for the interoperability of the proxy services of the Member States,
—
data quality requirements for the registration of personal electronic health data in an EHR system,
—
cross-border specifications for priority categories of personal electronic health data,
—
technical specifications for the categories of personal electronic health data, setting out the European electronic health record exchange format,
—
updates of the European electronic health record exchange format to integrate relevant revisions of the healthcare coding systems and nomenclatures,
—
technical specifications to extend the European electronic health record exchange format to additional categories of personal electronic health data,
—
requirements for the interoperable, cross-border identification and authentication mechanism for natural persons and health professionals, in accordance with Regulation (EU) No 910/2014,
—
requirements for the technical implementation of the rights of natural persons in relation to the primary use of their personal electronic health data,
—
necessary measures for the technical development of MyHealth@EU, detailed rules concerning the security, confidentiality and protection of personal electronic health data and the conditions for compliance checks necessary to join and remain connected to MyHealth@EU,
—
rules regarding the requirements of cybersecurity, technical interoperability, semantic interoperability, operations and service management in relation to the processing by the Commission and its responsibilities towards the controllers,
—
technical aspects of supplementary services provided through MyHealth@EU,
—
technical aspects of exchanges of personal electronic health data between MyHealth@EU and other services or infrastructures,
—
connection and disconnection of other infrastructures, of national contact points for digital health of third countries or of systems established at international level by international organisations to or from the central interoperability platform of MyHealth@EU,
—
common specifications in respect of the essential requirements laid down in Annex II,
—
common specifications for the European digital testing environment,
—
justifications of national measures taken by market surveillance authorities in the case of non-compliance by EHR systems,
—
format and content of the label of wellness applications,
—
principles for the fee policies and fee structures regarding the fees that health data access bodies and trusted health data holders can charge for making electronic health data available for secondary use,
—
the architecture of an IT tool aimed at supporting and making transparent to health data access bodies enforcement measures,
—
the logo for acknowledging the contribution of the EHDS,
—
templates for the health data access application, the data permit and the health data request,
—
technical, organisational, information security, confidentiality, data protection and interoperability requirements for the secure processing environments,
—
templates for agreements between controllers and processors,
—
decisions on the compliance of a national contact point for secondary use of a third country or a system established at international level by international organisations with the requirements of HealthData@EU for the purposes of secondary use of health data, on the compliance with Chapter IV and on whether that national contact point for secondary use or that system provides equivalent access for health data users located in the Union to the electronic health data it has access to,
—
HealthData@EU’s requirements, technical specifications and IT architecture; conditions and compliance checks to join and remain connected to HealthData@EU; minimum criteria to be met by national contact points for secondary use and the authorised participants in HealthData@EU; responsibilities of the controllers and processors which participate in HealthData@EU; responsibilities of the controllers and processors for the secure processing environment managed by the Commission; and common specifications for the architecture of HealthData@EU and for its interoperability with other common European data spaces,
—
decisions to connect individual authorised participants to HealthData@EU,
—
minimum elements for datasets and the characteristics of those elements to be provided by health data holders,
—
visual characteristics and technical specifications of the data quality and utility label,
—
minimum specifications for datasets of high impact for secondary use,
—
decisions on whether a third country allows Union health data applicants to access electronic health data in that third country under conditions that are not more restrictive than those provided for in this Regulation,
—
necessary measures for the establishment and operation of the EHDS Board.
Those powers should be exercised in accordance with Regulation (EU) No 182/2011 of the European Parliament and of the Council 
(
23
)
.
(106)
Member States should take all measures necessary to ensure that the provisions of this Regulation are implemented, including by laying down effective, proportionate and dissuasive penalties for their infringement. When deciding on the amount of the penalty for each individual case, Member States should take into account the limits and criteria set out in this Regulation. Re-identification of natural persons should be considered a serious breach of this Regulation.
(107)
Implementing the EHDS will require significant development work across Member States and central services. To track the progress made in that regard, the Commission should, until the full application of this Regulation, report annually on that progress, taking into account information provided by the Member States. Those reports could include recommendations for remedial measures, as well as an assessment of the progress made.
(108)
In order to assess whether this Regulation reaches its objectives effectively and efficiently, is coherent and still relevant and provides added value at Union level, the Commission should carry out an evaluation of this Regulation. The Commission should carry out a targeted evaluation of this Regulation within eight years of its entry into force, and an overall evaluation within 10 years of its entry into force. The Commission should submit reports on its main findings following each evaluation to the European Parliament and to the Council, the European Economic and Social Committee and the Committee of the Regions.
(109)
For a successful cross-border implementation of the EHDS, the European Interoperability Framework, the scope of which was updated and extended by the Commission communication of 23 March 2017 entitled ‘European Interoperability Framework – Implementation Strategy’ to take on board new or revised interoperability requirements, should be considered as a common reference to ensure legal, organisational, semantic and technical interoperability.
(110)
Since the objectives of this Regulation, namely to empower natural persons by providing them with increased control over their personal electronic health data and supporting their freedom of movement by ensuring that their health data follow them, to foster a genuine internal market for digital health services and products and to ensure a consistent and efficient framework for the reuse of natural persons’ health data for research, innovation, policymaking and regulatory activities, cannot be sufficiently achieved by the Member States through coordination measures alone, as shown by the evaluation of the digital aspects of Directive 2011/24/EU, but can rather, by reason of harmonising measures for rights of natural persons in relation to their electronic health data, interoperability of electronic health data and a common framework and safeguards for the primary use and secondary use, be better achieved at Union level, the Union may adopt measures, in accordance with the principle of subsidiarity as set out in Article 5 of the Treaty on European Union. In accordance with the principle of proportionality as set out in that Article, this Regulation does not go beyond what is necessary in order to achieve those objectives.
(111)
The evaluation of the digital aspects of Directive 2011/24/EU shows that the effectiveness of the eHealth Network is limited, but also that there is strong potential for work at Union level in the area of digital health, as demonstrated by the work carried out during the COVID-19 pandemic. Directive 2011/24/EU should therefore be amended accordingly.
(112)
This Regulation complements the essential cybersecurity requirements laid down in Regulation (EU) 2024/2847. EHR systems which are products with digital elements within the meaning of Regulation (EU) 2024/2847 should therefore also comply with the essential cybersecurity requirements set out in that Regulation. The manufacturers of those EHR systems should demonstrate conformity as required by this Regulation. To facilitate that conformity, manufacturers should be allowed to draw up a single set of technical documents containing the elements required by both legal acts. It should be possible to demonstrate conformity of EHR systems with essential cybersecurity requirements laid down in Regulation (EU) 2024/2847 through the assessment framework under this Regulation. However, the parts of the conformity assessment procedure under this Regulation which relate to the use of testing environments should not be applied, since those testing environments do not allow for an assessment of conformity with the essential cybersecurity requirements. As Regulation (EU) 2024/2847 does not cover Software as a Service (SaaS) directly as such, EHR systems offered through the SaaS licensing and delivery model do not fall within the scope of that Regulation. Similarly, EHR systems that are developed and used in-house do not fall within the scope of that Regulation, as they are not placed on the market.
(113)
The EDPS and the EDPB were consulted in accordance with Article 42(1) and (2) of Regulation (EU) 2018/1725 and delivered their joint opinion on 12 July 2022.
(114)
This Regulation should not affect the application of the rules of competition, and in particular Articles 101 and 102 TFEU. The measures provided for in this Regulation should not be used to restrict competition in a manner contrary to the TFEU.
(115)
Given the need for technical preparation, this Regulation should apply from 26 March 2027. In order to support the successful implementation of the EHDS and the creation of effective conditions for European health data cooperation, the implementation should take place in stages,
HAVE ADOPTED THIS REGULATION:
CHAPTER I
GENERAL PROVISIONS
Article 1
Subject matter and scope
1.   This Regulation establishes the European Health Data Space (EHDS) by providing for common rules, standards and infrastructures and a governance framework, with a view to facilitating access to electronic health data for the purposes of primary use of electronic health data and secondary use of those data.
2.   This Regulation:
(a)
specifies and complements the rights laid down in Regulation (EU) 2016/679 of natural persons in relation to the primary use and secondary use of their personal electronic health data;
(b)
lays down common rules for electronic health record systems (‘EHR systems’) in relation to two mandatory harmonised software components, namely the European interoperability software component for EHR systems and the European logging software component for EHR systems, as defined in Article 2(2), points (n) and (o), respectively, and for wellness applications which are claimed to be interoperable with EHR systems in relation to those two harmonised software components, as regards primary use of electronic health data;
(c)
lays down common rules and mechanisms for primary use of electronic health data and secondary use of electronic health data;
(d)
establishes a cross-border infrastructure enabling the primary use of personal electronic health data across the Union;
(e)
establishes a cross-border infrastructure for secondary use of electronic health data;
(f)
establishes governance and coordination mechanisms at Union and national level for both primary use of electronic health data and secondary use of electronic health data.
3.   This Regulation shall be without prejudice to other Union legal acts regarding access to, and sharing of or secondary use of, electronic health data, or Union requirements related to the processing of data in relation to electronic health data, in particular Regulations (EC) No 223/2009 
(
24
)
, (EU) No 536/2014 
(
25
)
, (EU) 2016/679, (EU) 2018/1725, (EU) 2022/868 and (EU) 2023/2854 of the European Parliament and of the Council and Directives 2002/58/EC 
(
26
)
 and (EU) 2016/943 
(
27
)
 of the European Parliament and of the Council.
4.   References in this Regulation to the provisions of Regulation (EU) 2016/679 shall be understood also as references to the corresponding provisions of Regulation (EU) 2018/1725, where relevant, as regards Union institutions, bodies, offices and agencies.
5.   This Regulation shall be without prejudice to Regulations (EU) 2017/745, (EU) 2017/746 and (EU) 2024/1689, as regards the security of medical devices, 
in vitro
 diagnostic medical devices and artificial intelligence (AI) systems that interact with EHR systems.
6.   This Regulation shall be without prejudice to Union or national law regarding electronic health data processing for the purposes of reporting, complying with access to information requests or demonstrating or verifying compliance with legal obligations, or to Union or national law regarding the granting of access to and disclosure of official documents.
7.   This Regulation shall be without prejudice to specific provisions in Union or national law providing for access to electronic health data for further processing by Member States’ public sector bodies, by Union institutions, bodies, offices and agencies, or by private entities entrusted under Union or national law with a task of public interest, for the purpose of carrying out such task.
8.   This Regulation shall not affect access to electronic health data for secondary use agreed in the framework of contractual or administrative arrangements between public or private entities.
9.   This Regulation does not apply to the processing of personal data in the following cases:
(a)
where the processing is carried out in the course of an activity which falls outside the scope of Union law;
(b)
where the processing is carried out by competent authorities for the purposes of the prevention, investigation, detection or prosecution of criminal offences or the execution of criminal penalties, including the safeguarding against and the prevention of threats to public security.
Article 2
Definitions
1.   For the purposes of this Regulation, the following definitions apply:
(a)
the definitions of ‘personal data’, ‘processing’, ‘pseudonymisation’, ‘controller’, ‘processor’, ‘third party’, ‘consent’, ‘genetic data’, ‘data concerning health’ and ‘international organisation’ laid down in Article 4, points (1), (2), (5), (7), (8), (10), (11), (13), (15) and (26), respectively, of Regulation (EU) 2016/679;
(b)
the definitions of ‘healthcare’, ‘Member State of affiliation’, ‘Member State of treatment’, ‘health professional’, ‘healthcare provider’, ‘medicinal product’ and ‘prescription’ laid down in Article 3, points (a), (c), (d), (f), (g), (i) and (k), respectively, of Directive 2011/24/EU;
(c)
the definitions of ‘data’, ‘access’, ‘data altruism’, ‘public sector body’ and ‘secure processing environment’ laid down in Article 2, points (1), (13), (16), (17) and (20), respectively, of Regulation (EU) 2022/868;
(d)
the definitions of ‘making available on the market’, ‘placing on the market’, ‘market surveillance’, ‘market surveillance authority’, ‘non-compliance’, ‘manufacturer’, ‘importer’, ‘distributor’, ‘economic operator’, ‘corrective action’, ‘recall’ and ‘withdrawal’ laid down in Article 3, points (1), (2), (3), (4), (7), (8), (9), (10), (13), (16), (22) and (23), respectively, of Regulation (EU) 2019/1020;
(e)
the definitions of ‘medical device’, ‘intended purpose’, ‘instructions for use’, ‘performance’, ‘health institution’ and ‘common specifications’ laid down in Article 2, points (1), (12), (14), (22), (36) and (71), respectively, of Regulation (EU) 2017/745;
(f)
the definitions of ‘electronic identification’ and ‘electronic identification means’ laid down in Article 3, points (1) and (2), respectively, of Regulation (EU) No 910/2014;
(g)
the definition of ‘contracting authorities’ laid down in Article 2(1), point (1), of Directive 2014/24/EU of the European Parliament and of the Council 
(
28
)
;
(h)
the definition of ‘public health’ laid down in Article 3, point (c), of Regulation (EC) No 1338/2008 of the European Parliament and of the Council 
(
29
)
.
2.   In addition, for the purposes of this Regulation the following definitions apply:
(a)
‘personal electronic health data’ means data concerning health and genetic data, processed in an electronic form;
(b)
‘non-personal electronic health data’ means electronic health data other than personal electronic health data, including both data that have been anonymised so that they no longer relate to an identified or identifiable natural person (the ‘data subject’) and data that have never related to a data subject;
(c)
‘electronic health data’ means personal or non-personal electronic health data;
(d)
‘primary use’ means the processing of electronic health data for the provision of healthcare, in order to assess, maintain or restore the state of health of the natural person to whom those data relate, including the prescription, dispensation and provision of medicinal products and medical devices, as well as for relevant social, administrative or reimbursement services;
(e)
‘secondary use’ means the processing of electronic health data for the purposes set out in Chapter IV of this Regulation, other than the initial purposes for which they were collected or produced;
(f)
‘interoperability’ means the ability of organisations, as well as of software applications or devices from the same manufacturer or different manufacturers, to interact through the processes they support, involving the exchange of information and knowledge, without changing the content of the data, between those organisations, software applications or devices;
(g)
‘registration of electronic health data’ means the recording of health data in an electronic format, through the manual entry of such data, through the collection of such data by a device, or through the conversion of non-electronic health data into an electronic format, to be processed in an EHR system or a wellness application;
(h)
‘electronic health data access service’ means an online service, such as a portal or an application for mobile devices, that enables natural persons not acting in a professional capacity to access their own electronic health data or the electronic health data of those natural persons whose electronic health data they are legally authorised to access;
(i)
‘health professional access service’ means a service, supported by an EHR system, that enables health professionals to access data of natural persons under their treatment;
(j)
‘electronic health record’ or ‘EHR’ means a collection of electronic health data related to a natural person and collected in the health system, processed for the purpose of the provision of healthcare;
(k)
‘electronic health record system’ or ‘EHR system’ means any system whereby the software, or a combination of the hardware and the software of that system, allows personal electronic health data that belong to the priority categories of personal electronic health data established under this Regulation to be stored, intermediated, exported, imported, converted, edited or viewed, and intended by the manufacturer to be used by healthcare providers when providing patient care or by patients when accessing their electronic health data;
(l)
‘putting into service’ means the first use, for its intended purpose, in the Union of an EHR system covered by this Regulation;
(m)
‘software component’ means a discrete part of software which provides a specific functionality or performs specific functions or procedures and which can operate independently or in conjunction with other components;
(n)
‘European interoperability software component for EHR systems’ means a software component of the EHR system which provides and receives personal electronic health data under a priority category for primary use established under this Regulation in the European electronic health record exchange format provided for in this Regulation and which is independent of the European logging software component for EHR systems;
(o)
‘European logging software component for EHR systems’ means a software component of the EHR system which provides logging information related to access by health professionals or other individuals to priority categories of personal electronic health data established under this Regulation, in the format defined in point 3.2. of Annex II thereto, and which is independent of the European interoperability software component for EHR systems;
(p)
‘CE marking of conformity’ means a marking by which the manufacturer indicates that the EHR system is in conformity with the applicable requirements set out in this Regulation and other applicable Union law providing for its affixing pursuant to Regulation (EC) No 765/2008 of the European Parliament and of the Council 
(
30
)
;
(q)
‘risk’ means the combination of the probability of an occurrence of a hazard causing harm to health, safety or information security and the degree of severity of such harm;
(r)
‘serious incident’ means any malfunction or deterioration in the characteristics or performance of an EHR system made available on the market that directly or indirectly leads, might have led or might lead to any of the following:
(i)
the death of a natural person or serious harm to a natural person’s health;
(ii)
serious prejudice to a natural person’s rights;
(iii)
serious disruption of the management and operation of critical infrastructure in the health sector;
(s)
‘care’ means a professional service the purpose of which is to address the specific needs of a natural person who, on account of impairment or other physical or mental conditions, requires assistance, including preventive and supportive measures, to carry out essential activities of daily living in order to support his or her personal autonomy;
(t)
‘health data holder’ means any natural or legal person, public authority, agency or other body in the healthcare or the care sectors, including reimbursement services where necessary, as well as any natural or legal person developing products or services intended for the health, healthcare or care sectors, developing or manufacturing wellness applications, performing research in relation to the healthcare or care sectors or acting as a mortality registry, as well as any Union institution, body, office or agency, that has either:
(i)
the right or obligation, in accordance with applicable Union or national law and in its capacity as a controller or joint controller, to process personal electronic health data for the provision of healthcare or care or for the purposes of public health, reimbursement, research, innovation, policymaking, official statistics or patient safety or for regulatory purposes; or
(ii)
the ability to make available non-personal electronic health data through the control of the technical design of a product and related services, including by registering, providing, restricting access to or exchanging such data;
(u)
‘health data user’ means a natural or legal person, including Union institutions, bodies, offices or agencies, which has been granted lawful access to electronic health data for secondary use pursuant to a data permit, a health data request approval or an access approval by an authorised participant in HealthData@EU;
(v)
‘data permit’ means an administrative decision issued to a health data user by a health data access body to process certain electronic health data specified in the data permit for specific secondary use purposes, based on conditions laid down in Chapter IV of this Regulation;
(w)
‘dataset’ means a structured collection of electronic health data;
(x)
‘dataset of high impact for secondary use’ means a dataset the re-use of which is associated with significant benefits due to its relevance for health research;
(y)
‘dataset catalogue’ means a collection of dataset descriptions, arranged in a systematic manner and including a user-oriented public part, in which information concerning individual dataset parameters is accessible by electronic means through an online portal;
(z)
‘data quality’ means the degree to which the elements of electronic health data are suitable for their intended primary use and secondary use;
(aa)
‘data quality and utility label’ means a graphic diagram, including a scale, describing the data quality and conditions of use of a dataset;
(ab)
‘wellness application’ means any software, or any combination of hardware and software, intended by the manufacturer to be used by a natural person, for the processing of electronic health data, specifically for providing information on the health of natural persons, or the delivery of care for purposes other than the provision of healthcare.
CHAPTER II
PRIMARY USE
SECTION 1
Rights of natural persons in relation to the primary use of their personal electronic health data, and related provisions
Article 3
Right of natural persons to access their personal electronic health data
1.   Natural persons shall have the right to access at least personal electronic health data relating to them that belong to the priority categories referred to in Article 14 and are processed for the provision of healthcare through the electronic health data access services referred to in Article 4. Access shall be provided immediately after the personal electronic health data have been registered in an EHR system, while respecting the need for technological practicability, and shall be provided free of charge and in an easily readable, consolidated and accessible format.
2.   Natural persons, or their representatives referred to in Article 4(2), shall have the right to download free of charge an electronic copy of at least the personal electronic health data in the priority categories referred to in Article 14 related to those natural persons, through the electronic health data access services referred to in Article 4, in the European electronic health record exchange format referred to in Article 15.
3.   In accordance with Article 23 of Regulation (EU) 2016/679, Member States may restrict the scope of rights provided for in paragraphs 1 and 2 of this Article, in particular whenever those restrictions are necessary to protect natural persons, on the basis of patient safety and ethical considerations by delaying access to their personal electronic health data for a limited period of time until a health professional is able to properly communicate and explain to the natural persons concerned information that can have a significant impact on their health.
Article 4
Electronic health data access services for natural persons and their representatives
1.   Member States shall ensure that one or more electronic health data access services at national, regional or local level are established, thereby enabling natural persons to access their personal electronic health data and exercise their rights provided for in Articles 3 and 5 to 10. Such electronic health data access services shall be free of charge for the natural persons and their representatives referred to in paragraph 2 of this Article.
2.   Member States shall ensure that one or more proxy services are established as a functionality of electronic health data access services which enables:
(a)
natural persons to authorise other natural persons of their choice to access their personal electronic health data, or part thereof, on their behalf for a limited or unlimited period and, if needed, for a specific purpose only, and to manage those authorisations; and
(b)
legal representatives of natural persons to access personal electronic health data of those natural persons whose affairs they administer, in accordance with national law.
Member States shall establish rules regarding the authorisations referred to in point (a) of the first subparagraph and actions of guardians and other legal representatives.
3.   The proxy services referred to in paragraph 2 shall provide authorisations in a transparent and easily understandable way, free of charge, and electronically or on paper. Natural persons and their representatives shall be informed about their authorisation rights, including about how to exercise those rights, and about the authorisation process.
The proxy services shall provide an easy complaint mechanism for natural persons.
4.   The proxy services referred to in paragraph 2 of this Article shall be interoperable among Member States. The Commission shall, by means of implementing acts, lay down the technical specifications for the interoperability of the proxy services of the Member States. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
5.   The electronic health data access services and the proxy services shall be easily accessible for persons with disabilities, vulnerable groups and persons with low digital literacy.
Article 5
Right of natural persons to insert information in their own EHR
Natural persons, or their representatives referred to in Article 4(2), shall have the right to insert information in the EHR of those natural persons through electronic health data access services or applications linked to those services as referred to in that Article. That information shall be clearly distinguishable as having been inserted by the natural person or by his or her representative. Natural persons, or their representatives referred to in Article 4(2), shall not be able to directly alter the electronic health data and related information inserted by health professionals.
Article 6
Right of natural persons to rectification
Electronic health data access services referred to in Article 4 shall enable natural persons to easily request online the rectification of their personal electronic health data in accordance with Article 16 of Regulation (EU) 2016/679. Where appropriate, the controller shall verify with a relevant health professional the accuracy of the information provided in the request.
Member States may also enable natural persons to exercise online other rights pursuant to Chapter III of Regulation (EU) 2016/679 through electronic health data access services.
Article 7
Right to data portability for natural persons
1.   Natural persons shall have the right to give access to, or to request a healthcare provider to transmit, all or part of their personal electronic health data to another healthcare provider of their choice immediately, free of charge and without hindrance from the healthcare provider or from the manufacturers of the systems used by that healthcare provider.
2.   Natural persons shall have the right, where the healthcare providers are located in different Member States, to request the transmission of their personal electronic health data in the European electronic health record exchange format referred to in Article 15 through the cross-border infrastructure referred to in Article 23. The receiving healthcare provider shall accept such data and shall be able to read them.
3.   Natural persons shall have the right to request a healthcare provider to transmit a part of their personal electronic health data to a clearly identified recipient in the social security or reimbursement services sector. Such transmission shall be carried out immediately, free of charge and without hindrance from the healthcare provider or from the manufacturers of the systems used by that healthcare provider, and shall be one-way only.
4.   Where natural persons have downloaded an electronic copy of their priority categories of personal electronic health data in accordance with Article 3(2), they shall be able to transmit those data to healthcare providers of their choice in the European electronic health record exchange format referred to in Article 15. The receiving healthcare provider shall accept such data and be able to read them, as applicable.
Article 8
Right to restrict access
Natural persons shall have the right to restrict the access of health professionals and healthcare providers to all or parts of their personal electronic health data as referred to in Article 3.
When exercising the right referred to in the first paragraph, natural persons shall be made aware that restricting access might impact the provision of healthcare to them.
The fact that a natural person has restricted access under the first paragraph shall not be visible to healthcare providers.
Member States shall establish the rules and specific safeguards regarding such restriction mechanisms.
Article 9
Right to obtain information on accessing data
1.   Natural persons shall have the right to obtain information, including through automatic notifications, on any access to their personal electronic health data through the health professional access service obtained in the context of healthcare, including access provided in accordance with Article 11(5).
2.   The information referred to in paragraph 1 shall be provided, free of charge and without delay, through electronic health data access services and shall be available for at least three years from each date of access to the data. That information shall include at least the following:
(a)
information on the healthcare provider or other individuals who accessed the personal electronic health data;
(b)
the date and time of access;
(c)
which personal electronic health data were accessed.
3.   Member States may provide for restrictions to the right referred to in paragraph 1 in exceptional circumstances, where there are factual indications that disclosure would endanger the vital interests or rights of the health professional or the care of the natural person.
Article 10
Right of natural persons to opt out in primary use
1.   Member States’ laws may provide that natural persons have the right to opt out from the access to their personal electronic health data registered in an EHR system through the electronic health data access services referred to in Articles 4 and 12. In such cases, Member States shall ensure that the exercise of that right is reversible.
2.   If a Member State provides for a right referred to in paragraph 1 of this Article, it shall establish the rules and specific safeguards regarding the opt-out mechanism. In particular, Member States may provide for a healthcare provider or health professional to be able to get access to the personal electronic health data in cases where processing is necessary in order to protect the vital interests of the data subject or of another natural person as referred to in Article 9(2), point (c), of Regulation (EU) 2016/679, even if the patient has exercised the right to opt out in primary use.
Article 11
Access by health professionals to personal electronic health data
1.   Where health professionals process data in an electronic format, they shall have access to the relevant and necessary personal electronic health data of natural persons under their treatment through the health professional access services referred to in Article 12, irrespective of the Member State of affiliation and the Member State of treatment.
2.   Where the Member State of affiliation of the natural person under treatment and the Member State of treatment of such natural person differ, cross-border access to the personal electronic health data of the natural person under treatment shall be provided through the cross-border infrastructure referred to in Article 23.
3.   The access referred to in paragraphs 1 and 2 of this Article shall include at least the priority categories of personal electronic health data referred to in Article 14.
In line with the principles provided for in Article 5 of Regulation (EU) 2016/679, Member States shall establish rules providing for the categories of personal electronic health data accessible by different categories of health professionals or for different healthcare tasks. Such rules shall take into account the possibility of restrictions imposed under Article 8 of this Regulation.
4.   In the case of treatment in a Member State other than the Member State of affiliation, the rules referred to in paragraph 3 shall be those of the Member State of treatment.
5.   Where access to personal electronic health data has been restricted by a natural person pursuant to Article 8, the healthcare provider or health professional shall not be informed of the restricted content of those data.
By way of derogation from the first paragraph of Article 8, where necessary in order to protect the vital interests of the data subject, the healthcare provider or health professional may be granted access to the restricted electronic health data. Such cases shall be logged in a clear and understandable format and shall be easily accessible for the data subject.
Member States may provide for additional safeguards.
Article 12
Health professional access services
For the provision of healthcare, Member States shall ensure that health professionals are able to access free of charge the priority categories of personal electronic health data referred to in Article 14, including for cross-border care, through health professional access services.
The services referred to in the first paragraph of this Article shall be accessible only to health professionals who are in possession of electronic identification means which are recognised pursuant to Article 6 of Regulation (EU) No 910/2014 or other electronic identification means compliant with common specifications referred to in Article 36 of this Regulation.
Personal electronic health data shall be presented in a user-friendly manner in the electronic health records to allow for easy use by health professionals.
Article 13
Registration of personal electronic health data
1.   Member States shall ensure that, where electronic health data are processed for the provision of healthcare, healthcare providers register the relevant personal electronic health data falling fully or partially under at least the priority categories of personal electronic health data referred to in Article 14 in an electronic format in an EHR system.
2.   When processing data in an electronic format, healthcare providers shall ensure that the personal electronic health data of the natural persons under their treatment are updated with information related to the healthcare.
3.   Where personal electronic health data are registered in a Member State of treatment that differs from the Member State of affiliation of the natural person concerned, the Member State of treatment shall ensure that the registration is performed under the identification data of the natural person in the Member State of affiliation.
4.   By 26 March 2027, the Commission shall, by means of implementing acts, determine data quality requirements, including in relation to semantics, uniformity, consistency, accuracy and completeness, for the registration of personal electronic health data in an EHR system as relevant. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
When personal electronic health data are registered or updated, the electronic health records shall identify the health professional and healthcare provider that carried out such registration or update, and the time at which such registration or update was carried out. Member States may require other aspects of data registration to be recorded.
Article 14
Priority categories of personal electronic health data for primary use
1.   For the purposes of this Chapter, where data are processed in electronic format the priority categories of personal electronic health data shall be the following:
(a)
patient summaries;
(b)
electronic prescriptions;
(c)
electronic dispensations;
(d)
medical imaging studies and related imaging reports;
(e)
medical test results, including laboratory and other diagnostic results and related reports; and
(f)
discharge reports.
The main characteristics of the priority categories of personal electronic health data for primary use shall be as set out in Annex I.
Member States may provide in their national law for additional categories of personal electronic health data to be accessed and exchanged for primary use pursuant to this Chapter.
The Commission may, by means of implementing acts, lay down cross-border specifications for the categories of personal electronic health data referred to in the third subparagraph of this paragraph pursuant to Article 15(3) and Article 23(8). Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
2.   The Commission is empowered to adopt delegated acts in accordance with Article 97 to amend this Regulation by amending Annex I through the addition, modification or removal of the main characteristics of the priority categories of personal electronic health data as referred to in paragraph 1, provided that the amendments are aimed at adapting the priority categories of personal electronic health data to technical developments and international standards. Moreover, additions and modifications of those characteristics shall satisfy both of the following criteria:
(a)
the characteristic is relevant for healthcare provided to natural persons;
(b)
the characteristic is used in the majority of Member States according to the most recent information.
Article 15
European electronic health record exchange format
1.   By 26 March 2027, the Commission shall, by means of implementing acts, lay down the technical specifications for the priority categories of personal electronic health data referred to in Article 14(1), setting out the European electronic health record exchange format. Such format shall be commonly used, machine-readable and allow transmission of personal electronic health data between different software applications, devices and healthcare providers. Such format shall support transmission of structured and unstructured health data and shall include the following elements:
(a)
harmonised datasets containing electronic health data and defining structures, such as data fields and data groups for the representation of clinical content and other parts of the electronic health data;
(b)
coding systems and values to be used in datasets containing electronic health data;
(c)
technical interoperability specifications for the exchange of electronic health data, including its content representation, standards and profiles.
The implementing acts referred to in the first subparagraph of this paragraph shall be adopted in accordance with the examination procedure referred to in Article 98(2).
2.   The Commission shall, by means of implementing acts, provide regular updates of the European electronic health record exchange format to integrate relevant revisions of the healthcare coding systems and nomenclatures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
3.   The Commission may, by means of implementing acts, lay down technical specifications to extend the European electronic health record exchange format to additional categories of personal electronic health data referred to in Article 14(1), third subparagraph. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
4.   Member States shall ensure that the priority categories of personal electronic health data referred to in Article 14 are issued in the European electronic health record exchange format referred to in paragraph 1 of this Article. Where such data are transmitted by automated means for primary use, the receiving provider shall accept the format of the data and be able to read them.
Article 16
Identification management
1.   Where natural persons use electronic health data access services referred to in Article 4, those natural persons shall have the right to identify themselves electronically using any electronic identification means which are recognised pursuant to Article 6 of Regulation (EU) No 910/2014. Member States may provide complementary mechanisms to ensure appropriate identity matching in cross-border situations.
2.   The Commission shall, by means of implementing acts, determine the requirements for the interoperable, cross-border identification and authentication mechanism for natural persons and health professionals, in accordance with Regulation (EU) No 910/2014. That mechanism shall facilitate the transferability of personal electronic health data in a cross-border context. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
3.   The Commission, in cooperation with Member States, shall implement services required by the interoperable, cross-border identification and authentication mechanism referred to in paragraph 2 of this Article at Union level, as part of the cross-border infrastructure referred to in Article 23.
4.   The Member States’ competent authorities and the Commission shall implement the interoperable, cross-border identification and authentication mechanism at Member State and Union level, respectively.
Article 17
Requirements for technical implementation
The Commission shall, by means of implementing acts, determine the requirements for the technical implementation of the rights set out in this Section.
Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 18
Compensation for making personal electronic health data available
Providers receiving data under this Chapter shall not be required to compensate the healthcare provider for making personal electronic health data available. A healthcare provider or a third party shall not directly or indirectly charge data subjects a fee or costs, or require compensation, for sharing or accessing data.
SECTION 2
Governance for primary use
Article 19
Digital health authorities
1.   Each Member State shall designate one or more digital health authorities responsible for the implementation and enforcement of this Chapter at national level. The Member States shall inform the Commission of the identity of the digital health authorities by 26 March 2027. Where a Member State designates more than one digital health authority or where the digital health authority consists of multiple organisations, the Member State concerned shall communicate to the Commission a description of the distribution of tasks between those various authorities or organisations. Where a Member State designates several digital health authorities, it shall designate one digital health authority to act as coordinator. The Commission shall make that information publicly available.
2.   Each digital health authority shall be entrusted with the following tasks and powers:
(a)
ensuring the implementation of the rights and obligations provided for in this Chapter and Chapter III by adopting necessary national, regional or local technical solutions and by establishing relevant rules and mechanisms;
(b)
ensuring that complete and up-to-date information about the implementation of rights and obligations provided for in this Chapter and Chapter III is made readily available to natural persons, health professionals and healthcare providers;
(c)
in the implementation of technical solutions referred to in point (a) of this paragraph, ensuring that such technical solutions comply with this Chapter, Chapter III and Annex II;
(d)
contributing at Union level to the development of technical solutions enabling natural persons and health professionals to exercise their rights and comply with their obligations set out in this Chapter;
(e)
facilitating persons with disabilities to exercise their rights under this Chapter in accordance with Directive (EU) 2019/882 of the European Parliament and of the Council 
(
31
)
;
(f)
supervising the national contact points for digital health and cooperating with other digital health authorities and the Commission on further development of MyHealth@EU;
(g)
ensuring the implementation at national level of the European electronic health record exchange format, in cooperation with national authorities and stakeholders;
(h)
contributing at Union level to the development of the European electronic health record exchange format, to the elaboration of common specifications, in accordance with Article 36, which address quality, interoperability, security, safety, ease of use, accessibility, non-discrimination or fundamental right concerns, and to the elaboration of the specifications of the EU database for registration of EHR systems and wellness applications referred to in Article 49;
(i)
where applicable, performing market surveillance activities in accordance with Article 43, while ensuring that any conflicts of interest are avoided;
(j)
building national capacity for implementing requirements concerning interoperability and security of electronic health data for primary use and participating in information exchanges and capacity building activities at Union level;
(k)
cooperating with market surveillance authorities, participating in the activities related to handling of risks posed by EHR systems and of serious incidents and supervising the implementation of corrective action in accordance with Article 44;
(l)
cooperating with other relevant entities and bodies at local, regional, national or Union level, to ensure interoperability, portability and security of electronic health data;
(m)
cooperating with supervisory authorities in accordance with Regulations (EU) No 910/2014 and (EU) 2016/679 and Directive (EU) 2022/2555 of the European Parliament and of the Council 
(
32
)
 and with other relevant authorities, including those competent for cybersecurity and electronic identification.
3.   Each Member State shall ensure that each digital health authority is provided with the human, technical and financial resources, premises and infrastructure necessary for the effective performance of its tasks and exercise of its powers.
4.   In the performance of its tasks, each digital health authority shall avoid any conflicts of interest. Each member of staff of the digital health authority shall act in the public interest and in an independent manner.
5.   In the performance of their tasks, the relevant digital health authorities shall actively cooperate and consult with relevant stakeholders’ representatives, including patients’ representatives, healthcare providers and health professionals’ representatives, including health professional associations, as well as consumer organisations and industry associations.
Article 20
Reporting by digital health authorities
Digital health authorities designated pursuant to Article 19 shall publish an activity report every two years, which shall contain a comprehensive overview of their activities. If a Member State designates more than one digital health authority, one of them shall be responsible for the drawing up of the report and, in doing so, it shall request the necessary information from the other digital health authorities. That activity report shall follow a structure agreed at Union level within the European Health Data Space Board (the ‘EHDS Board’) referred to in Article 92. That activity report shall contain at least information concerning:
(a)
the measures taken to implement this Regulation;
(b)
the percentage of natural persons having access to the various data categories of their electronic health records;
(c)
the handling of requests from natural persons regarding the exercise of their rights pursuant to this Regulation;
(d)
the number of healthcare providers of different types, including pharmacies, hospitals and other points of care, connected to MyHealth@EU calculated:
(i)
in absolute terms;
(ii)
as a share of all healthcare providers of the same type; and
(iii)
as a share of natural persons that are able to use the services;
(e)
the volumes of electronic health data of different categories shared across borders through MyHealth@EU;
(f)
the number of cases of non-compliance with mandatory requirements.
Article 21
Right to lodge a complaint with a digital health authority
1.   Without prejudice to any other administrative or judicial remedy, natural and legal persons shall have the right to lodge a complaint in relation to the provisions laid down in this Chapter, individually or, where relevant, collectively, with the competent digital health authority, provided that their rights or interests are negatively affected.
2.   Where the complaint concerns the rights of natural persons pursuant to Articles 3 and 5 to 10 of this Regulation, the digital health authority shall transmit the complaint to the competent supervisory authorities under Regulation (EU) 2016/679. The digital health authority shall provide the necessary information at its disposal to the competent supervisory authority under Regulation (EU) 2016/679 in order to facilitate the assessment and investigation of the complaint.
3.   The competent digital health authority with which the complaint has been lodged shall inform, in accordance with national law, the complainant of the progress made in dealing with the complaint, of the decision taken on the complaint, of any referral of the complaint to the competent supervisory authority under Regulation (EU) 2016/679 and, in cases of such a referral, that that supervisory authority is, from that moment on, to be the sole point of contact for the complainant in that matter.
4.   Digital health authorities in the Member States concerned shall cooperate to handle and resolve complaints related to cross-border exchange of and access to personal electronic health data, including by exchanging all relevant information by electronic means, without undue delay.
5.   Digital health authorities shall facilitate the submission of complaints and provide easily accessible tools for the submission of complaints.
Article 22
Relationship with supervisory authorities under Regulation (EU) 2016/679
The supervisory authority or supervisory authorities responsible for monitoring and enforcing the application of Regulation (EU) 2016/679 shall also be competent for monitoring and enforcing the application of Articles 3 and 5 to 10 of this Regulation. The relevant provisions of Regulation (EU) 2016/679 shall apply 
mutatis mutandis
. Supervisory authorities shall be empowered to impose administrative fines up to the amount referred to in Article 83(5) of Regulation (EU) 2016/679.
The supervisory authorities referred to in the first paragraph of this Article and digital health authorities referred to in Article 19 shall, where relevant, cooperate in the enforcement of this Regulation, within the remit of their respective competences.
SECTION 3
Cross-border infrastructure for primary use of personal electronic health data
Article 23
MyHealth@EU
1.   The Commission shall establish a central interoperability platform for digital health (‘MyHealth@EU’) to provide services to support and facilitate the exchange of personal electronic health data between the national contact points for digital health of the Member States.
2.   Each Member State shall designate one national contact point for digital health, as an organisational and technical gateway for the provision of services linked to the cross-border exchange of personal electronic health data in the context of primary use. Each national contact point for digital health shall be connected to all other national contact points for digital health in other Member States and to the central interoperability platform for digital health in the cross-border infrastructure MyHealth@EU. Where a national contact point for digital health is an entity consisting of multiple organisations responsible for implementing different services, the Member State concerned shall communicate to the Commission a description of the distribution of tasks between the organisations. Each Member State shall inform the Commission of the identity of its national contact point for digital health by 26 March 2027. The national contact point for digital health may be designated within the digital health authority referred to in Article 19. Member States shall inform the Commission of any subsequent modification of the identity of those national contact points for digital health. The Commission and the Member States shall make that information publicly available.
3.   Each national contact point for digital health shall enable the exchange of the personal electronic health data referred to in Article 14(1) with national contact points for digital health in other Member States through MyHealth@EU. That exchange shall be based on the European electronic health record exchange format.
Where Member States provide for additional categories of personal electronic health data under Article 14(1), third subparagraph, the national contact point for digital health shall enable the exchange of the additional categories of personal electronic health data referred to in Article 14(1), third subparagraph, insofar as the Member State concerned has provided for those additional categories of personal electronic health data to be accessed and exchanged in accordance with Article 14(1), third subparagraph.
4.   By 26 March 2027, the Commission shall, by means of implementing acts, adopt the necessary measures for the technical development of MyHealth@EU, detailed rules concerning the security, confidentiality and protection of personal electronic health data and the conditions for compliance checks necessary to join and remain connected to MyHealth@EU. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
5.   Member States shall ensure the connection of all healthcare providers to their national contact points for digital health. Member States shall ensure that connected healthcare providers are able to perform two-way exchanges of electronic health data with the national contact point for digital health.
6.   Member States shall ensure that pharmacies operating on their territories, including online pharmacies, are able to dispense electronic prescriptions issued in other Member States, under the conditions laid down in Article 11 of Directive 2011/24/EU.
Pharmacies shall access and accept electronic prescriptions transmitted to them from other Member States through MyHealth@EU, provided that the conditions laid down in Article 11 of Directive 2011/24/EU are fulfilled.
Following the dispensation of medicinal products based on an electronic prescription from another Member State, the pharmacy concerned shall report through MyHealth@EU such dispensation to the national contact point for digital health of the Member State in which that prescription was issued.
7.   The national contact points for digital health shall act as joint controllers of the personal electronic health data communicated through MyHealth@EU for the processing operations in which they are involved. The Commission shall act as processor.
8.   The Commission shall, by means of implementing acts, lay down the rules regarding the requirements of cybersecurity, technical interoperability, semantic interoperability, operations and service management in relation to the processing by the processor referred to in paragraph 7 of this Article and its responsibilities towards the controllers, in accordance with Chapter IV of Regulation (EU) 2016/679. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
9.   The national contact points for digital health shall fulfil the conditions to join and to remain connected to MyHealth@EU as laid down in the implementing acts referred to in paragraph 4. The compliance of the national contact points for digital health with those conditions shall be verified by the Commission through compliance checks.
Article 24
Supplementary cross-border digital health services and infrastructures
1.   Member States may provide through MyHealth@EU supplementary services that facilitate telemedicine, mobile health, access by natural persons to existing translations of their health data, exchange or verification of health-related certificates, including vaccination card services supporting public health and public health monitoring or digital health systems, services and interoperable applications, with a view to achieving a high level of trust and security, enhancing continuity of care and ensuring access to safe and high-quality healthcare. The Commission shall, by means of implementing acts, set out the technical aspects of such supplementary services. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
2.   The Commission and Member States may facilitate the exchange of personal electronic health data with other infrastructures, such as the Clinical Patient Management System or other services or infrastructures in the health, care or social security fields which may become authorised participants in MyHealth@EU. The Commission shall, by means of implementing acts, set out the technical aspects of such exchanges. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
The connection and disconnection of another infrastructure to or from the central platform for digital health shall be subject to a decision of the Commission adopted by means of an implementing act, based on the result of compliance checks of the technical aspects of exchanges as referred to in the first subparagraph of this paragraph. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 98(2).
3.   A national contact point for digital health of a third country or a system established at international level by an international organisation may become an authorised participant in MyHealth@EU, provided that it fulfils the requirements of MyHealth@EU for the purposes of the personal electronic health data exchange as referred to in Article 23, that the transfer stemming from the connection to MyHealth@EU complies with the rules in Chapter V of Regulation (EU) 2016/679, and that the requirements concerning legal, organisational, operational, semantic, technical and cybersecurity measures are equivalent to those applicable to Member States in the operation of MyHealth@EU services. Those requirements shall be verified by the Commission through compliance checks.
Based on the outcome of the compliance checks referred to in the first subparagraph of this paragraph, the Commission may, by means of implementing acts, decide to connect or disconnect the national contact point for digital health of the third country or the system established at international level by an international organisation, as applicable, to or from MyHealth@EU. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
The Commission shall establish and maintain a list of national contact points for digital health of third countries or of systems established at international level by international organisations which are connected to MyHealth@EU pursuant to this paragraph and shall make that list publicly available.
CHAPTER III
EHR SYSTEMS AND WELLNESS APPLICATIONS
SECTION 1
Scope and general provisions for EHR systems
Article 25
Harmonised software components of EHR systems
1.   EHR systems shall include a European interoperability software component for EHR systems and a European logging software component for EHR systems (the ‘harmonised software components of EHR systems’), in accordance with the provisions laid down in this Chapter.
2.   This Chapter shall not apply to general purpose software used in a healthcare environment.
Article 26
Placing on the market and putting into service
1.   EHR systems shall be placed on the market or put into service only if they comply with the provisions laid down in this Chapter.
2.   EHR systems that are manufactured and used within health institutions established in the Union, as well as EHR systems offered as a service as defined in Article 1(1), point (b), of Directive (EU) 2015/1535 of the European Parliament and of the Council 
(
33
)
 to a natural or legal person established in the Union, shall be considered as having been put into service.
3.   Member States shall not prohibit or restrict the placing on the market of EHR systems which comply with this Regulation, on account of considerations relating to aspects concerning the harmonised software components of EHR systems regulated by this Regulation.
Article 27
Relation to Union law governing medical devices, in vitro diagnostic medical devices and AI systems
1.   Manufacturers of medical devices or 
in vitro
 diagnostic medical devices, as defined in Article 2, point (1), of Regulation (EU) 2017/745 and Article 2, point (2), of Regulation (EU) 2017/746, respectively, that claim interoperability of those medical devices or 
in vitro
 diagnostic medical devices with the harmonised software components of EHR systems shall prove compliance with the essential requirements on the European interoperability software component for EHR systems and the European logging software component for EHR systems, laid down in Section 2 of Annex II to this Regulation. Article 36 of this Regulation shall apply to those medical devices and 
in vitro
 diagnostic medical devices.
2.   Providers of AI systems considered to be high-risk in accordance with Article 6 of Regulation (EU) 2024/1689 (the ‘high-risk AI system’) and which do not fall within the scope of Regulation (EU) 2017/745 or (EU) 2017/746, that claim interoperability of those high-risk AI systems with the harmonised software components of EHR systems, shall prove compliance with the essential requirements on the European interoperability software component for EHR systems and the European logging software component for EHR systems, as laid down in Section 2 of Annex II to this Regulation. Article 36 of this Regulation shall apply to those high-risk AI systems.
Article 28
Claims
In the information sheet, instructions for use or other information accompanying EHR systems, and in the advertising of EHR systems, it shall be prohibited to use text, names, trademarks, pictures and figurative or other signs that may mislead the professional user as defined in Article 3, point (8), of Regulation (EU) 2018/1807 of the European Parliament and of the Council 
(
34
)
 with regard to their intended purpose, interoperability and security by:
(a)
ascribing functions and properties to the EHR system which it does not have;
(b)
failing to inform the professional user of likely limitations related to interoperability or security features of the EHR system in relation to its intended purpose;
(c)
suggesting uses for the EHR system other than those stated to form part of the intended purpose in the technical documentation.
Article 29
Procurement, reimbursement and financing
Member States may maintain or define specific rules for the procurement or financing of, or reimbursement for, EHR systems in the context of the organisation, delivery or financing of healthcare services, provided that such rules are compliant with Union law and do not affect the functioning or compliance of the harmonised software components of EHR systems.
SECTION 2
Obligations of economic operators with regard to EHR systems
Article 30
Obligations of manufacturers of EHR systems
1.   Manufacturers of EHR systems shall:
(a)
ensure that the harmonised software components of their EHR systems and the EHR systems themselves, to the extent that this Chapter establishes requirements for them, are in conformity with the essential requirements laid down in Annex II and with the common specifications in accordance with Article 36;
(b)
ensure that the harmonised software components of their EHR systems are not adversely affected by other software components of the same EHR system;
(c)
draw up the technical documentation of their EHR systems in accordance with Article 37 before placing those EHR systems on the market, and subsequently keep it up to date;
(d)
ensure that their EHR systems are accompanied, free of charge for the user, by the information sheet provided for in Article 38 and clear and complete instructions for use;
(e)
draw up the EU declaration of conformity in accordance with Article 39;
(f)
affix the CE marking of conformity in accordance with Article 41;
(g)
indicate the name, registered trade name or registered trade mark, the postal address, and the website, email address or other digital contact details through which they can be contacted, in the EHR system; indicate in the contact details a single point at which the manufacturer can be contacted; the contact details shall be in a language that is easily understood by users and market surveillance authorities;
(h)
comply with the registration obligations in Article 49;
(i)
take without undue delay any necessary corrective action in respect of their EHR systems, where they consider or have reason to believe that such systems are not or are no longer in conformity with the essential requirements laid down in Annex II, or recall or withdraw such systems; the manufacturers of EHR systems shall subsequently inform the national authorities of the Member States in which they made their EHR systems available on the market or put them into service of the non-conformity, of any corrective action taken, including the timetable for implementation, and of the date at which the harmonised software components of their EHR systems have been brought into conformity or been recalled or withdrawn;
(j)
inform the distributors of their EHR systems and, where applicable, the authorised representative, importers and users of the non-conformity and of any corrective action, recall or withdrawal of those EHR systems;
(k)
inform the distributors of their EHR systems and, where applicable, the authorised representative, importers and users of any mandatory preventive maintenance of the EHR systems and its frequency;
(l)
upon request, provide, in an official language of the Member State concerned, market surveillance authorities in that Member State with all the information and documentation necessary to demonstrate the conformity of the EHR systems which they have placed on the market or put into service with the essential requirements laid down in Annex II;
(m)
cooperate with market surveillance authorities, at their request, on any action taken to bring the EHR systems which they have placed on the market or put into service into conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42 in an official language of the Member State concerned;
(n)
establish channels of complaint and keep distributors informed thereof;
(o)
keep a register of complaints and a register of non-conforming EHR systems and keep distributors informed thereof.
2.   Manufacturers of EHR systems shall ensure that procedures are in place to ensure that the design, development and deployment of the harmonised software components of an EHR system continue to comply with the essential requirements laid down in Annex II and the common specifications referred to in Article 36. Changes in EHR system design or characteristics with regard to the harmonised software components of an EHR system shall be adequately taken into account and reflected in the technical documentation.
3.   Manufacturers of EHR systems shall keep the technical documentation referred to in Article 37 and the EU declaration of conformity referred to in Article 39 for 10 years after the EHR system covered by the EU declaration of conformity has been placed on the market.
Manufacturers of EHR systems shall make available the source code or the programming logic included in the technical documentation, upon a reasoned request, to the relevant authorities, if that source code or programming logic is necessary in order for those authorities to be able to check compliance with the essential requirements laid down in Annex II.
4.   A manufacturer of EHR systems established outside the Union shall ensure that its authorised representative has the necessary documentation readily available in order to fulfil the tasks referred to in Article 31(2).
5.   Manufacturers of EHR systems shall, upon a reasoned request from a market surveillance authority, provide it with all the information and documentation, in paper or electronic form, necessary to demonstrate the conformity of the EHR system with the essential requirements laid down in Annex II and the common specifications referred to in Article 36, in a language which can be easily understood by that market surveillance authority. The manufacturers of EHR systems shall cooperate with the market surveillance authority, at its request, on any measures taken to eliminate the risks posed by an EHR system which they have placed on the market or put into service.
Article 31
Authorised representatives
1.   Prior to making an EHR system available on the Union market, a manufacturer of an EHR system established outside of the Union shall, by written mandate, appoint an authorised representative which is established in the Union.
2.   An authorised representative shall perform the tasks specified in the mandate agreed with the manufacturer. The mandate shall allow the authorised representative to do at least the following:
(a)
keep the EU declaration of conformity and the technical documentation referred to in Article 37 at the disposal of market surveillance authorities for the period referred to in Article 30(3);
(b)
further to a reasoned request from a market surveillance authority, provide authorities of the Member State concerned with a copy of the mandate and all the information and documentation necessary to demonstrate the conformity of an EHR system with the essential requirements laid down in Annex II as well as the common specifications referred to in Article 36;
(c)
inform without undue delay the manufacturer if the authorised representative has reason to believe that an EHR system is no longer in conformity with the essential requirements laid down in Annex II;
(d)
inform without undue delay the manufacturer about any complaint received from consumers or professional users;
(e)
cooperate with the market surveillance authorities, at their request, on any corrective action taken in relation to the EHR systems covered by their mandate;
(f)
terminate the mandate if the manufacturer does not comply with its obligations under this Regulation;
(g)
ensure that the technical documentation referred to in Article 37 can be made available to relevant authorities, upon request.
3.   In the event of a change of the authorised representative, the detailed arrangements for such change shall address at least the following:
(a)
the date of termination of the mandate of the outgoing authorised representative and the date of the beginning of the mandate of the incoming authorised representative;
(b)
the transfer of documents, including confidentiality aspects and property rights.
4.   Where the manufacturer is established outside the Union and has not complied with the obligations laid down in Article 30, the authorised representative shall be jointly and severally liable for non-compliance with this Regulation on the same basis as the manufacturer.
Article 32
Obligations of importers
1.   Importers shall place on the Union market only EHR systems which are in conformity with the essential requirements laid down in Annex II as well as the common specifications referred to in Article 36.
2.   Before making an EHR system available on the market, importers shall ensure that:
(a)
the manufacturer has drawn up the technical documentation referred to in Article 37 and the EU declaration of conformity;
(b)
the manufacturer is identified and an authorised representative has been appointed in accordance with Article 31;
(c)
the EHR system bears the CE marking of conformity referred to in Article 41 after the conformity assessment procedure has been completed;
(d)
the EHR system is accompanied by the information sheet referred to in Article 38 with clear and complete instructions for use, including for its maintenance, in accessible formats.
3.   Importers shall indicate their name, registered trade name or registered trade mark, the postal address, website, email address or other digital contact details through which they can be contacted in a document accompanying the EHR system. The contact details shall indicate a single point at which the manufacturer can be contacted and shall be in a language which can be easily understood by users and market surveillance authorities. Importers shall ensure that any additional label does not conceal or obscure any of the information provided by the manufacturer that appears on any original label which is provided for the EHR system.
4.   Importers shall ensure that, while an EHR system is under their responsibility, the EHR system is not altered in such a way that its conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42 is jeopardised.
5.   Where an importer considers or has reason to believe that an EHR system is not or is no longer in conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42, it shall not make that EHR system available on the market, or, if that EHR system was already placed on the market, shall recall or withdraw it, until the EHR system has been brought into conformity. In the event of such recall or withdrawal, the importer shall inform without undue delay the manufacturer of such EHR system, the users and the market surveillance authorities of the Member State in which it made the EHR system available on the market of such recall or withdrawal, giving details, in particular, of the non-conformity and of any corrective measures taken.
Where an importer considers or has reason to believe that an EHR system presents a risk to the health or safety of natural persons, it shall without undue delay inform the market surveillance authorities of the Member State in which it is established, as well as the manufacturer and, where applicable, the authorised representative.
6.   Importers shall keep a copy of the EU declaration of conformity at the disposal of the market surveillance authorities for the period referred to in Article 30(3) and ensure that the technical documentation referred to in Article 37 can be made available to those authorities, upon request.
7.   Importers shall, further to a reasoned request from market surveillance authorities of the Member States concerned, provide them with all the information and documentation necessary to demonstrate the conformity of an EHR system. Importers shall cooperate with those authorities, at their request, and with the manufacturer and, where applicable, with the authorised representative in an official language of the Member State where the market surveillance authority is located. Importers shall cooperate with those authorities, at their request, on any action taken to bring their EHR systems into conformity with the essential requirements in relation to the harmonised software components as laid down in Annex II or to ensure that the EHR systems which are not in conformity with those essential requirements are recalled or withdrawn.
8.   Importers shall establish reporting channels and ensure that they are accessible to allow users to submit complaints, and shall keep a register of complaints, of non-conforming EHR systems and EHR system recalls and withdrawals. Importers shall verify whether the channels of complaint established pursuant to Article 30(1), point (n), are publicly available, allowing users to submit complaints and to receive any communication concerning any risk related to their health and safety or to other aspects of public interest protection and allowing users to be informed of any serious incident involving an EHR system. Where such channels of complaint were not established, the importers shall establish them and take into account the accessibility needs of vulnerable groups and persons with disabilities.
9.   Importers shall investigate complaints and follow up on information received on incidents involving an EHR system they made available on the market. Importers shall register those complaints, any recalls or withdrawals of EHR systems and any corrective measure taken to bring the EHR system into conformity, in the register referred to in Article 30(1), point (o), or in their own internal register. Importers shall keep the manufacturer, distributors and, where relevant, authorised representatives informed in a timely manner of the investigation and follow-up carried out and of the results of the investigation and follow-up.
Article 33
Obligations of distributors
1.   Before making an EHR system available on the market, distributors shall verify that:
(a)
the manufacturer has drawn up the EU declaration of conformity;
(b)
the EHR system bears the CE marking of conformity;
(c)
the EHR system is accompanied by the information sheet referred to in Article 38 with clear and complete instructions for use in accessible formats;
(d)
where applicable, the importer has complied with the requirements set out in Article 32(3).
2.   Distributors shall ensure that, while an EHR system is under their responsibility, the EHR system is not altered in such a way that its conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42 is jeopardised.
3.   Where a distributor considers or has reason to believe that an EHR system is not in conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42, it shall not make that EHR system available on the market until it has been brought into conformity. The distributor shall inform without undue delay the manufacturer or the importer, as well as the market surveillance authorities of the Member States where the EHR system has been or is to be made available on the market, to that effect. Where a distributor considers or has reason to believe that an EHR system presents a risk to the health or safety of natural persons, it shall inform the market surveillance authorities of the Member State in which the distributor is established, as well as the manufacturer and the importer.
4.   Distributors shall, further to a reasoned request from a market surveillance authority, provide it with all the information and documentation necessary to demonstrate the conformity of an EHR system. They shall cooperate with that authority, at its request, and with the manufacturer, the importer and, where applicable, with the manufacturer’s authorised representative on any action taken to bring an EHR system into conformity with the essential requirements laid down in Annex II and with any requirements adopted pursuant to Article 42 or to recall or withdraw it.
Article 34
Cases in which obligations of manufacturers of an EHR system apply to other entities or individuals
An importer, distributor or user shall be considered a manufacturer for the purposes of this Regulation and shall be subject to the obligations laid down in Article 30 where they:
(a)
make an EHR system available on the market under their own name or trademark;
(b)
modify an EHR system already placed on the market in such a way that conformity with the applicable requirements might be affected; or
(c)
modify an EHR system in such a way that it leads to changes in the intended purpose declared by the manufacturer.
Article 35
Identification of economic operators
Economic operators shall, on request, identify the following to the market surveillance authorities, for 10 years from the date when the last EHR system covered by the EU declaration of conformity has been placed on the market:
(a)
any economic operator that has supplied them with an EHR system; and
(b)
any economic operator to which they have supplied an EHR system.
SECTION 3
Conformity of the harmonised software components of EHR systems
Article 36
Common specifications
1.   By 26 March 2027, the Commission shall, by means of implementing acts, adopt common specifications in respect of the essential requirements laid down in Annex II, including a common template and a time limit for implementing those common specifications. Where relevant, those common specifications shall take into account the specificities of medical devices and high-risk AI systems referred to in Article 27(1) and (2), respectively, including the state-of-the-art standards for health informatics and the European electronic health record exchange format. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
2.   The common specifications referred to in paragraph 1 shall include the following information and elements:
(a)
their scope;
(b)
their applicability to different categories of EHR systems or functions included in them;
(c)
their version;
(d)
their validity period;
(e)
a normative part;
(f)
an explanatory part, including any relevant implementation guidelines.
3.   The common specifications referred to in paragraph 1 may include elements related to the following:
(a)
datasets containing electronic health data and defining structures, such as data fields and data groups for the representation of clinical content and other parts of the electronic health data;
(b)
coding systems and values to be used in datasets containing electronic health data, taking due account of both potential future harmonisation of terminologies and their compatibility with existing national terminologies;
(c)
other requirements related to data quality, such as the completeness and accuracy of electronic health data;
(d)
technical specifications, standards and profiles for the exchange of electronic health data;
(e)
requirements and principles related to patient safety and the security, confidentiality, integrity and protection of electronic health data;
(f)
specifications and requirements related to identification management and the use of electronic identification.
4.   EHR systems, medical devices, 
in vitro
 diagnostic medical devices and high-risk AI systems referred to in Articles 25 and 27 that are in conformity with the common specifications referred to in paragraph 1 of this Article shall be considered to be in conformity with the essential requirements covered by those common specifications or parts thereof, laid down in Annex II, and covered by those common specifications or the relevant parts thereof.
5.   Where common specifications covering interoperability and security requirements of EHR systems affect medical devices, 
in vitro
 diagnostic medical devices or high-risk AI systems falling under other legal acts, such as Regulation (EU) 2017/745, (EU) 2017/746 or (EU) 2024/1689, the adoption of those common specifications may be preceded by a consultation with the Medical Device Coordination Group (MDCG) established by Article 103 of Regulation (EU) 2017/745 or the European Artificial Intelligence Board established by Article 65 of Regulation (EU) 2024/1689 and the European Data Protection Board (EDPB), as applicable.
6.   Where common specifications covering interoperability and security requirements of medical devices, 
in vitro
 diagnostic medical devices or high-risk AI systems falling under other legal acts, such as Regulation (EU) 2017/745, (EU) 2017/746 or (EU) 2024/1689, affect EHR systems, the Commission shall ensure that the adoption of those common specifications is preceded by a consultation with the EHDS Board and the EDPB, as applicable.
Article 37
Technical documentation
1.   Manufacturers shall draw up technical documentation before the EHR system is placed on the market or put into service, and shall keep that documentation up to date.
2.   The technical documentation referred to in paragraph 1 of this Article shall demonstrate that the EHR system complies with the essential requirements laid down in Annex II and provide market surveillance authorities with all the necessary information to assess the conformity of the EHR system with those requirements. That technical documentation shall contain, as a minimum, the elements set out in Annex III and a reference to the results obtained from a European digital testing environment referred to in Article 40.
3.   The technical documentation referred to in paragraph 1 shall be drawn up in an official language of the Member State concerned or a language that is easily understandable in that Member State. Following a reasoned request from the market surveillance authority of a Member State, the manufacturer shall provide a translation of the relevant parts of the technical documentation into an official language of that Member State.
4.   When a market surveillance authority requests the technical documentation or a translation of parts thereof from a manufacturer, the manufacturer shall provide such technical documentation or translation within 30 days of the date of the request, unless a shorter deadline is justified because of a serious and immediate risk. If the manufacturer does not comply with the requirements of paragraphs 1, 2 and 3 of this Article, the market surveillance authority may require it to have a test performed by an independent body at its own expense within a specified period in order to verify the conformity with the essential requirements laid down in Annex II and the common specifications referred to in Article 36.
Article 38
Information sheet accompanying the EHR system
1.   EHR systems shall be accompanied by an information sheet that includes concise, complete, correct and clear information that is relevant, accessible and comprehensible to professional users.
2.   The information sheet referred to in paragraph 1 shall specify:
(a)
the identity, registered trade name or registered trademark, and contact details of the manufacturer and, where applicable, of its authorised representative;
(b)
the name and version of the EHR system and date of its release;
(c)
the intended purpose of the EHR system;
(d)
the categories of electronic health data that the EHR system has been designed to process;
(e)
the standards, formats and specifications supported by the EHR system and versions of those standards, formats and specifications.
3.   As an alternative to supplying the information sheet referred to in paragraph 1 of this Article with the EHR system, manufacturers may enter the information referred to in paragraph 2 of this Article into the EU database for registration of EHR systems and wellness applications referred to in Article 49.
Article 39
EU declaration of conformity
1.   The EU declaration of conformity referred to in Article 30(1), point (e), shall state that the manufacturer of an EHR system has demonstrated that the essential requirements laid down in Annex II have been fulfilled.
2.   Where an EHR system is subject to other Union legal acts in respect of aspects not covered by this Regulation, which also require an EU declaration of conformity by the manufacturer in which it is stated that the fulfilment of the requirements of those legal acts has been demonstrated, a single EU declaration of conformity shall be drawn up in respect of all Union legal acts applicable to the EHR system. That EU declaration of conformity shall contain all the information required for the identification of the Union legal acts to which it relates.
3.   The EU declaration of conformity shall contain the information set out in Annex IV and shall be translated into one or more official Union languages determined by the Member States in which the EHR system is made available.
4.   Where an EU declaration of conformity is drawn up in a digital format, it shall be made accessible online for the expected lifetime of the EHR system and, in any event, for at least 10 years from the placing on the market or the putting into service of the EHR system.
5.   By drawing up the EU declaration of conformity, the manufacturer shall assume responsibility for the compliance of the harmonised software components of the EHR system with the requirements laid down in this Regulation when it is placed on the market or put into service.
6.   The Commission shall publish a standard uniform template for the EU declaration of conformity and make it available in a digital format in all official languages of the Union.
Article 40
European digital testing environment
1.   The Commission shall develop a European digital testing environment for the assessment of harmonised software components of EHR systems. The Commission shall make the software supporting the European digital testing environment available as open-source.
2.   Member States shall operate digital testing environments for the assessment of harmonised software components of EHR systems. Such digital testing environments shall comply with the common specifications for the European digital testing environment laid down pursuant to paragraph 4. Member States shall inform the Commission about their digital testing environments.
3.   Before placing EHR systems on the market, manufacturers shall use the digital testing environments referred to in paragraphs 1 and 2 of this Article for the assessment of harmonised software components of EHR systems. The results of that assessment shall be included in the technical documentation referred to in Article 37. The elements in relation to which the results of the assessment are positive shall be presumed to be in conformity with this Regulation.
4.   The Commission shall, by means of implementing acts, lay down the common specifications for the European digital testing environment. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 41
CE marking of conformity
1.   The CE marking of conformity shall be affixed visibly, legibly and indelibly to the accompanying documents of the EHR system and, where applicable, to the packaging of the EHR system.
2.   The CE marking of conformity shall be affixed before placing the EHR system on the market.
3.   The CE marking of conformity shall be subject to the general principles set out in Article 30 of Regulation (EC) No 765/2008.
Article 42
National requirements and reporting to the Commission
1.   Member States may adopt national requirements for EHR systems and provisions on their conformity assessment in relation to aspects other than the harmonised software components of EHR systems.
2.   The national requirements or provisions referred to in paragraph 1 shall not adversely affect the harmonised software components of EHR systems.
3.   When Member States adopt requirements or provisions in accordance with paragraph 1, they shall inform the Commission thereof.
SECTION 4
Market surveillance of EHR systems
Article 43
Market surveillance authorities
1.   Regulation (EU) 2019/1020 shall apply to EHR systems in relation to the requirements applicable to, and risks posed by, EHR systems covered by this Chapter.
2.   Member States shall designate the market surveillance authority or authorities responsible for the implementation of this Chapter. Member States shall entrust their market surveillance authorities with the necessary powers and shall provide them with the human, financial and technical resources, the equipment and the knowledge necessary for the proper performance of their tasks pursuant to this Regulation. Market surveillance authorities shall be empowered to take the market surveillance measures referred to in Article 16 of Regulation (EU) 2019/1020 to enforce the obligations laid down in this Chapter. Member States shall communicate the identity of the market surveillance authorities they designate to the Commission. The Commission and the Member States shall make that information publicly available.
3.   Market surveillance authorities designated pursuant to paragraph 2 of this Article may be the same authorities as the digital health authorities designated pursuant to Article 19. Where a digital health authority carries out tasks of a market surveillance authority, Member States shall ensure that any conflicts of interest are avoided.
4.   Market surveillance authorities shall report to the Commission on a yearly basis the outcomes of relevant market surveillance activities.
5.   Where a manufacturer or another economic operator fails to cooperate with a market surveillance authority or where the information and documentation they have provided is incomplete or incorrect, the market surveillance authority may take all appropriate measures to prohibit or restrict the relevant EHR system from being made available on the market until the manufacturer or the economic operator concerned cooperates or provides complete and correct information, or to recall or withdraw such EHR system from the market.
6.   The market surveillance authorities of the Member States shall cooperate with each other and with the Commission. The Commission shall enable the organisation of exchanges of information necessary for such cooperation.
7.   For medical devices, 
in vitro
 diagnostic medical devices or high-risk AI systems referred to in Article 27(1) and (2), the responsible authorities for market surveillance shall be those referred to in Article 93 of Regulation (EU) 2017/745, Article 88 of Regulation (EU) 2017/746 or Article 70 of Regulation (EU) 2024/1689, as applicable.
Article 44
Handling of risks posed by EHR systems and of serious incidents
1.   Where a market surveillance authority of one Member State has reason to believe that an EHR system poses a risk to the health, safety or rights of natural persons or to the protection of personal data, that market surveillance authority shall carry out an evaluation in relation to the EHR system concerned covering all relevant requirements laid down in this Regulation. The manufacturer, the manufacturer’s authorised representative and all other relevant economic operators shall cooperate as necessary with the market surveillance authority for that purpose and take all appropriate measures to ensure that the EHR system concerned no longer poses that risk when placed on the market or to recall or withdraw the EHR system from the market within a reasonable period.
2.   Where the market surveillance authorities of a Member State consider that the non-compliance of the EHR system is not limited to their national territory, they shall inform the Commission and the other Member States’ market surveillance authorities of the results of the evaluation referred to in paragraph 1 of this Article and of the corrective action which they have required the economic operator to take pursuant to Article 16(2) of Regulation (EU) 2019/1020.
3.   Where a market surveillance authority finds that an EHR system has caused harm to the health or safety of natural persons or to certain aspects of public interest protection, the manufacturer shall immediately provide information and documentation, as applicable, to the affected natural person or user and, where applicable, other third parties affected by that harm, without prejudice to data protection rules.
4.   The economic operator concerned referred to in paragraph 1 shall ensure that corrective action is taken in respect of all the EHR systems concerned that it has placed on the market throughout the Union.
5.   The market surveillance authority shall without undue delay inform the Commission and the market surveillance authorities, or, if applicable, the supervisory authorities under Regulation (EU) 2016/679, of other Member States of the corrective action referred to in paragraph 2. That information shall include all available details, in particular the data necessary for the identification of the EHR system concerned, the origin and the supply chain of the EHR system, the nature of the risk involved and the nature and duration of the national measures taken.
6.   Where a finding of a market surveillance authority, or a serious incident it is informed of, concerns personal data protection, that market surveillance authority shall without undue delay inform the relevant supervisory authorities under Regulation (EU) 2016/679 and cooperate with them.
7.   Manufacturers of EHR systems placed on the market or put into service shall report any serious incident involving an EHR system to the market surveillance authorities of the Member States where such serious incident occurred and of the Member States where such EHR systems are placed on the market or put into service. That reporting shall also include a description of the corrective action taken or envisaged by the manufacturer. Member States may provide for users of EHR systems placed on the market or put into service to be able to report such incidents.
The reporting required pursuant to the first subparagraph of this paragraph shall be carried out, without prejudice to incident notification requirements under Directive (EU) 2022/2555, immediately after the manufacturer has established a causal link between the EHR system and the serious incident or the reasonable likelihood of such a link and, in any event, not later than three days after the manufacturer becomes aware of the serious incident involving the EHR system.
8.   The market surveillance authorities referred to in paragraph 7 shall inform the other market surveillance authorities, without delay, of the serious incident and the corrective action taken or envisaged by the manufacturer or required of it to minimise the risk of recurrence of the serious incident.
9.   Where its tasks are not performed by the digital health authority, the market surveillance authority shall cooperate with the digital health authority. The market surveillance authority shall inform the digital health authority of any serious incidents, of EHR systems presenting a risk, including risks related to interoperability, security and patient safety, of any corrective action and of any recall or withdrawal of such EHR systems.
10.   In the event of incidents putting at risk patient safety or information security, the market surveillance authorities may take immediate action and require the manufacturer of the EHR system concerned, its authorised representative and other economic operators, if applicable, to take immediate corrective action.
Article 45
Handling of non-compliance
1.   Where a market surveillance authority makes a finding of non-compliance, it shall require the manufacturer of the EHR system concerned, its authorised representative and all other relevant economic operators to take, by a specific deadline, adequate corrective action to bring the EHR system into conformity. Such findings of non-compliance include, but are not limited to, the following:
(a)
the EHR system is not in conformity with essential requirements laid down in Annex II or with the common specifications referred to in Article 36;
(b)
the technical documentation is not available, not complete or not in accordance with Article 37;
(c)
the EU declaration of conformity has not been drawn up or has not been drawn up correctly in accordance with Article 39;
(d)
the CE marking of conformity has been affixed in breach of Article 41 or has not been affixed;
(e)
the registration obligations of Article 49 have not been fulfilled.
2.   Where the manufacturer of the EHR system concerned, its authorised representative or any other relevant economic operator does not take adequate corrective action within a reasonable period, the market surveillance authorities shall take all appropriate provisional measures to prohibit or restrict the EHR system from being made available on the market of their Member States, or to recall or withdraw the EHR system from that market.
The market surveillance authorities shall inform the Commission and the other Member States’ market surveillance authorities, without delay, of those provisional measures. That information shall include all available details, in particular the data necessary for the identification of the non-compliant EHR system, the origin of that EHR system, the nature of the non-compliance alleged and the risk involved, the nature and duration of the measures taken by the market surveillance authorities and the arguments put forward by the relevant economic operator. In particular, the market surveillance authorities shall indicate whether the non-compliance is due to any of the following:
(a)
failure of the EHR system to meet the essential requirements set out in Annex II;
(b)
shortcomings regarding the common specifications referred to in Article 36.
3.   Market surveillance authorities other than the market surveillance authorities initiating the procedure under this Article shall inform without delay the Commission and the other Member States’ market surveillance authorities of any measures adopted, of any additional information at their disposal relating to the non-compliance of the EHR system concerned and, in the event of disagreement with the adopted national measure, of their objections.
4.   Where, within three months of receipt of the information referred to in the second subparagraph of paragraph 2, no objection has been raised by either a market surveillance authority from another Member State or the Commission in respect of a provisional measure taken by a market surveillance authority, that measure shall be deemed justified.
5.   Where the non-compliance referred to in paragraph 1 persists, the market surveillance authority concerned shall take all appropriate measures to prohibit or restrict the EHR system from being made available on the market or ensure that it is recalled or withdrawn from the market.
Article 46
Union safeguard procedure
1.   Where, under Article 44(2) and Article 45(3), objections are raised against a national measure taken by a market surveillance authority, or where the Commission considers a national measure to be contrary to Union law, the Commission shall without delay enter into consultations with that market surveillance authority and the relevant economic operators and shall evaluate the national measure concerned. On the basis of the results of that evaluation, the Commission shall adopt an implementing decision determining whether the national measure is justified. That implementing decision shall be adopted in accordance with the examination procedure referred to in Article 98(2). The Commission shall address its implementing decision to all Member States and shall immediately communicate it to them and to the relevant economic operators.
2.   If the national measure referred to in paragraph 1 is considered justified by the Commission, all Member States concerned shall take the necessary measures to ensure that the non-compliant EHR system is withdrawn from their market, and shall inform the Commission accordingly.
If the national measure referred to in paragraph 1 is considered unjustified by the Commission, the Member State concerned shall revoke that measure.
SECTION 5
Other provisions on interoperability
Article 47
Labelling of wellness applications
1.   Where a manufacturer of a wellness application claims interoperability with an EHR system in relation to the harmonised software components of EHR systems and therefore compliance with the common specifications referred to in Article 36 and essential requirements laid down in Annex II, such wellness application shall be accompanied by a label, clearly indicating its compliance with those specifications and requirements. That label shall be issued by the manufacturer of the wellness application.
2.   The label referred to in paragraph 1 shall indicate the following information:
(a)
the categories of electronic health data for which compliance with essential requirements laid down in Annex II has been confirmed;
(b)
a reference to common specifications to demonstrate compliance;
(c)
the validity period of the label.
3.   The Commission shall, by means of implementing acts, determine the format and content of the label referred to in paragraph 1. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
4.   The label shall be drawn-up in one or more official languages of the Union or in an easily understandable language determined by the Member State in which the wellness application is placed on the market or put into service.
5.   The validity of the label shall not exceed three years.
6.   If the wellness application is an integral part of a device or is embedded in a device after it has been put into service, the accompanying label shall be shown in the application itself or placed on that device. Where the wellness application consists only of software, the label shall have a digital format and shall be shown in the application itself. Two-dimensional (2D) barcodes may also be used to display the label.
7.   The market surveillance authorities shall check the compliance of wellness applications with the essential requirements laid down in Annex II.
8.   Each supplier of a wellness application for which a label has been issued shall ensure that the wellness application that is placed on the market or put into service is accompanied by the label for each individual unit, free of charge.
9.   Each distributor of a wellness application for which a label has been issued shall make the label available to customers at the point of sale in electronic form.
Article 48
Interoperability of wellness applications with EHR systems
1.   Manufacturers of wellness applications may claim interoperability with an EHR system, provided that the relevant common specifications and essential requirements referred to in Article 36 and Annex II, respectively, are met. In the event of such claim, those manufacturers shall duly inform users of the interoperability of such wellness applications and the effects of such interoperability.
2.   The interoperability of wellness applications with EHR systems shall not entail the automatic sharing of all or part of the health data from the wellness application with, or automatic transmission of all or part of such data to, the EHR system. The sharing or transmission of such data shall only be possible if it is in accordance with Article 5 and after consent is given by the natural person concerned and interoperability shall be limited exclusively to those purposes. The manufacturers of wellness applications claiming interoperability with an EHR system shall ensure that the natural person concerned is able to choose which categories of health data from the wellness application are to be inserted in the EHR system and the circumstances for the sharing or transmission of those categories of data.
SECTION 6
Registration of EHR systems and wellness applications
Article 49
EU database for registration of EHR systems and wellness applications
1.   The Commission shall establish and maintain a publicly available EU database with data on EHR systems for which an EU declaration of conformity has been issued pursuant to Article 39 and wellness applications for which a label has been issued pursuant to Article 47 (the ‘EU database for registration of EHR systems and wellness applications’).
2.   Before placing on the market or putting into service an EHR system referred to in Article 26 or a wellness application referred to in Article 47, the manufacturer of such EHR system or wellness application or, where applicable, its authorised representative shall enter the required data as referred to in paragraph 4 of this Article into the EU database for registration of EHR systems and wellness applications, including, in the case of EHR systems, the results of the assessment referred to in Article 40.
3.   Medical devices, 
in vitro
 diagnostic medical devices or high-risk AI systems referred to in Article 27(1) and (2) of this Regulation shall also be registered in the databases established pursuant to Regulation (EU) 2017/745, (EU) 2017/746 or (EU) 2024/1689, as applicable. In such cases, the data to be entered shall also be forwarded to the EU database for registration of EHR systems and wellness applications.
4.   The Commission is empowered to adopt delegated acts in accordance with Article 97 to supplement this Regulation by determining the list of required data to be entered into the EU database for registration of EHR systems and wellness applications by the manufacturers of EHR systems and wellness applications pursuant to paragraph 2 of this Article.
CHAPTER IV
SECONDARY USE
SECTION 1
General conditions with regard to secondary use
Article 50
Applicability to health data holders
1.   The following categories of health data holders shall be exempt from the obligations on health data holders laid down in this Chapter:
(a)
natural persons, including individual researchers;
(b)
legal persons that qualify as microenterprises as defined in Article 2(3) of the Annex to Commission Recommendation 2003/361/EC.
2.   Member States may provide in their national law that the obligations of health data holders laid down in this Chapter apply to the health data holders referred to in paragraph 1 which fall under their jurisdiction.
3.   Member States may provide in their national law that the duties of certain categories of health data holders are to be fulfilled by health data intermediation entities. In that case, the data shall nevertheless be considered as being made available by several health data holders.
4.   Member States shall notify to the Commission the national law referred to in paragraphs 2 and 3 by 26 March 2029. Any subsequent law or amendment affecting such law shall be notified to the Commission without delay.
Article 51
Minimum categories of electronic health data for secondary use
1.   Health data holders shall make the following categories of electronic health data available for secondary use in accordance with this Chapter:
(a)
electronic health data from EHRs;
(b)
data on factors impacting on health, including socioeconomic, environmental and behavioural determinants of health;
(c)
aggregated data on healthcare needs, resources allocated to healthcare, the provision of and access to healthcare, healthcare expenditure and financing;
(d)
data on pathogens that impact human health;
(e)
healthcare-related administrative data, including on dispensations, reimbursement claims and reimbursements;
(f)
human genetic, epigenomic and genomic data;
(g)
other human molecular data such as proteomic, transcriptomic, metabolomic, lipidomic and other omic data;
(h)
personal electronic health data automatically generated through medical devices;
(i)
data from wellness applications;
(j)
data on professional status, and on the specialisation and institution of health professionals involved in the treatment of a natural person;
(k)
data from population-based health data registries such as public health registries;
(l)
data from medical registries and mortality registries;
(m)
data from clinical trials, clinical studies, clinical investigations and performance studies subject to Regulation (EU) No 536/2014, Regulation (EU) 2024/1938 of the European Parliament and of the Council 
(
35
)
, Regulation (EU) 2017/745 and Regulation (EU) 2017/746;
(n)
other health data from medical devices;
(o)
data from registries for medicinal products and medical devices;
(p)
data from research cohorts, questionnaires and surveys related to health, after the first publication of the related results;
(q)
health data from biobanks and associated databases.
2.   Member States may provide in their national law that additional categories of electronic health data are to be made available for secondary use pursuant to this Regulation.
3.   Member States may establish rules for the processing and use of electronic health data containing improvements related to the processing of those data, such as correction, annotation or enrichment, based on a data permit pursuant to Article 68.
4.   Member States may introduce stricter measures and additional safeguards at national level aimed at safeguarding the sensitivity and value of the data that fall under paragraph 1, points (f), (g), (i) and (q). Member States shall notify the Commission of those measures and safeguards and, without delay, of any subsequent amendment affecting them.
Article 52
Intellectual property rights and trade secrets
1.   Electronic health data protected by intellectual property rights, trade secrets or covered by the regulatory data protection right laid down in Article 10(1) of Directive 2001/83/EC of the European Parliament and of the Council 
(
36
)
 or Article 14(11) of Regulation (EC) No 726/2004 of the European Parliament and of the Council 
(
37
)
 shall be made available for secondary use in accordance with the rules laid down in this Regulation.
2.   Health data holders shall inform the health data access body of any electronic health data containing content or information protected by intellectual property rights, trade secrets or covered by the regulatory data protection right laid down in Article 10(1) of Directive 2001/83/EC or Article 14(11) of Regulation (EC) No 726/2004. Health data holders shall identify which parts of the datasets are concerned and justify the need for the specific protection of the data. Health data holders shall provide that information when communicating to the health data access body the description of the dataset they hold pursuant to Article 60(3) of this Regulation or, at the latest, following a request received from the health data access body.
3.   Health data access bodies shall take all specific appropriate and proportionate measures, including of a legal, organisational and technical nature, they deem necessary to protect the intellectual property rights, trade secrets or the regulatory data protection right laid down in Article 10(1) of Directive 2001/83/EC or Article 14(11) of Regulation (EC) No 726/2004. Health data access bodies shall remain responsible for determining whether such measures are necessary and appropriate.
4.   When issuing data permits in accordance with Article 68, health data access bodies may make the access to certain electronic health data conditional on legal, organisational and technical measures, which may include contractual arrangements between health data holders and health data users for the sharing of data containing information or content protected by intellectual property rights or trade secrets. The Commission shall develop and recommend non-binding models of contractual terms for such arrangements.
5.   Where the granting of access to electronic health data for secondary use entails a serious risk of infringing intellectual property rights, trade secrets or the regulatory data protection right laid down in Article 10(1) of Directive 2001/83/EC or Article 14(11) of Regulation (EC) No 726/2004 which cannot be addressed in a satisfactory manner, the health data access body shall refuse access to the health data applicant to such data. The health data access body shall inform the health data applicant of, and provide to the health data applicant a justification for, that refusal. Health data holders and health data applicants shall have the right to lodge a complaint in accordance with Article 81 of this Regulation.
Article 53
Purposes for which electronic health data can be processed for secondary use
1.   Health data access bodies shall only grant access to electronic health data referred to in Article 51 for secondary use to a health data user where the processing of the data by that health data user is necessary for one of the following purposes:
(a)
the public interest in the areas of public or occupational health, such as activities to protect against serious cross-border threats to health, public health surveillance or activities ensuring high levels of quality and safety of healthcare, including patient safety, and of medicinal products or medical devices;
(b)
policymaking and regulatory activities to support public sector bodies or Union institutions, bodies, offices or agencies, including regulatory authorities, in the health or care sector to carry out their tasks defined in their mandates;
(c)
statistics as defined in Article 3, point (1), of Regulation (EC) No 223/2009, such as national, multi-national and Union-level official statistics, related to health or care sectors;
(d)
education or teaching activities in health or care sectors at vocational or higher education level;
(e)
scientific research related to health or care sectors that contributes to public health or health technology assessments, or ensures high levels of quality and safety of healthcare, of medicinal products or of medical devices, with the aim of benefiting end-users, such as patients, health professionals and health administrators, including:
(i)
development and innovation activities for products or services;
(ii)
training, testing and evaluation of algorithms, including in medical devices, 
in vitro
 diagnostic medical devices, AI systems and digital health applications;
(f)
improvement of the delivery of care, of the optimisation of treatment and of the provision of healthcare, based on the electronic health data of other natural persons.
2.   Access to electronic health data for the purposes referred to in paragraph 1, points (a), (b) and (c), shall be reserved for public sector bodies and Union institutions, bodies, offices and agencies exercising the tasks conferred on them by Union or national law, including where processing of data for carrying out those tasks is done by a third party on behalf of those public sector bodies or of Union institutions, bodies, offices and agencies.
Article 54
Prohibited secondary use
Health data users shall only process electronic health data for secondary use on the basis of and in accordance with the purposes contained in a data permit issued pursuant to Article 68, health data requests approved pursuant to Article 69 or, in situations referred to in Article 67(3), an access approval from the relevant authorised participant in HealthData@EU referred to in Article 75.
In particular, seeking access to and processing electronic health data obtained via a data permit issued pursuant to Article 68 or a health data request approved pursuant to Article 69 for the following uses shall be prohibited:
(a)
taking decisions detrimental to a natural person or a group of natural persons based on their electronic health data; in order to qualify as ‘decisions’ for the purposes of this point, they have to produce legal, social or economic effects or similarly significantly affect those natural persons;
(b)
taking decisions in relation to a natural person or a group of natural persons in relation to job offers, offering less favourable terms in the provision of goods or services, including exclusion of such persons or groups from the benefit of an insurance or credit contract, the modification of their contributions and insurance premiums or conditions of loans, or taking any other decisions in relation to a natural person or a group of natural persons which result in discriminating against them on the basis of the health data obtained;
(c)
carrying out advertising or marketing activities;
(d)
developing products or services that may harm individuals, public health or society at large, such as illicit drugs, alcoholic beverages, tobacco and nicotine products, weaponry or products or services which are designed or modified in such a way that they create addiction, contravene public order or cause a risk for human health;
(e)
carrying out activities in conflict with ethical provisions laid down in national law.
SECTION 2
Governance and mechanisms for secondary use
Article 55
Health data access bodies
1.   Member States shall designate one or more health data access bodies responsible for carrying out the tasks and obligations set out in Articles 57, 58 and 59. Member States may either establish one or more new public sector bodies or rely on existing public sector bodies or on internal services of public sector bodies that fulfil the conditions set out in this Article. The tasks set out in Article 57 may be distributed between different health data access bodies. Where a Member State designates several health data access bodies, it shall designate one health data access body to act as coordinator, with responsibility for coordinating tasks with the other health data access bodies both within the territory of that Member State and in other Member States.
Each health data access body shall contribute to the consistent application of this Regulation throughout the Union. For that purpose, health data access bodies shall cooperate with each other, with the Commission and, for concerns regarding data protection, with the relevant supervisory authorities.
2.   In order to support the effective performance of the tasks and the exercise of the powers of the health data access bodies, Member States shall ensure that each health data access body is provided with the following elements:
(a)
the necessary human, financial and technical resources;
(b)
the necessary expertise; and
(c)
the necessary premises and infrastructure.
Where an assessment by ethics bodies is required under national law, those bodies shall make expertise available to the health data access body. As an alternative, Member States may provide for ethics bodies to form part of the health data access body.
3.   Member States shall ensure that any conflicts of interest between the organisational parts of health data access bodies performing the different tasks of such bodies is avoided by, for example, providing for organisational safeguards such as segregation between health data access bodies’ different functions, including assessing applications, the reception and preparation of datasets, for example pseudonymisation and anonymisation of datasets, and the provision of data in secure processing environments.
4.   In the performance of their tasks, health data access bodies shall actively cooperate with relevant stakeholders’ representatives, especially with representatives of patients, health data holders and health data users and shall avoid any conflicts of interest.
5.   In the performance of their tasks and exercise of their powers, health data access bodies shall avoid any conflicts of interest. Health data access bodies’ staff shall act in the public interest and in an independent manner.
6.   Member States shall inform the Commission of the identity of the health data access bodies designated pursuant to paragraph 1 by 26 March 2027. They shall also inform the Commission of any subsequent modification of the identity of those bodies. The Commission and the Member States shall make that information publicly available.
Article 56
Union health data access service
1.   The Commission shall perform the tasks set out in Articles 57 and 59 where the health data holders are Union institutions, bodies, offices or agencies.
2.   The Commission shall ensure that the necessary human, technical and financial resources, premises and infrastructure are allocated for the effective performance of the tasks set out in Articles 57 and 59 and the exercise of its duties.
3.   Unless otherwise explicitly excluded, references to health data access bodies in this Regulation in relation to the performance of tasks and exercise of duties shall be understood to also apply to the Commission, where the health data holders are Union institutions, bodies, offices or agencies.
Article 57
Tasks of health data access bodies
1.   Health data access bodies shall carry out the following tasks:
(a)
deciding on health data access applications pursuant to Article 67 of this Regulation, authorising and issuing data permits pursuant to Article 68 of this Regulation to access electronic health data falling within their remit for secondary use and deciding on health data requests submitted pursuant to Article 69 of this Regulation in accordance with this Chapter and Chapter II of Regulation (EU) 2022/868, including with regard to:
(i)
providing access to electronic health data to health data users pursuant to a data permit in a secure processing environment in accordance with Article 73;
(ii)
monitoring and supervising compliance by health data users and health data holders with the requirements laid down in this Regulation;
(iii)
requesting electronic health data referred to in Article 51 from relevant health data holders pursuant to a data permit issued or a health data request approved;
(b)
processing electronic health data referred to in Article 51 such as by receiving, combining, preparing and compiling such data when requested from health data holders and the pseudonymisation or anonymisation of those data;
(c)
taking all measures necessary to preserve the confidentiality of intellectual property rights, for regulatory data protection and to preserve the confidentiality of trade secrets as provided for in Article 52, taking into account the relevant rights of both the health data holder and health data user;
(d)
cooperating with and supervising health data holders to ensure the consistent and accurate implementation of the provisions on data quality and utility label in Article 78;
(e)
maintaining a management system to record and process health data access applications, health data requests, decisions on those applications and requests and the data permits issued and health data requests handled, providing at least information on the name of the health data applicant, the purpose of access, the date of issuance, the duration of the data permit and a description of the health data access application or the health data request;
(f)
maintaining a public information system to comply with the obligations laid down in Article 58;
(g)
cooperating at Union and national level to lay down common standards, technical requirements and appropriate measures for accessing electronic health data in a secure processing environment;
(h)
cooperating at Union and national level and providing advice to the Commission on techniques and best practices for secondary use and the management of electronic health data;
(i)
facilitating cross-border access to electronic health data for secondary use hosted in other Member States through HealthData@EU referred to in Article 75 and cooperating closely with each other and with the Commission;
(j)
making public, through electronic means:
(i)
a national dataset catalogue that includes details about the source and nature of electronic health data, in accordance with Articles 77, 78 and 80, and the conditions for making electronic health data available;
(ii)
any health data access application and health data request without undue delay after initial reception;
(iii)
all data permits issued or health data requests approved as well as refusal decisions, including their justification, within 30 working days of the issuance, approval or refusal;
(iv)
measures related to non-compliance pursuant to Article 63;
(v)
results communicated by health data users pursuant to Article 61(4);
(vi)
an information system to comply with the obligations laid down in Article 58;
(vii)
information, at a minimum on an easily accessible website or web portal, on the connection to HealthData@EU of national contact points for secondary use of a third country, or of a system established at international level by an international organisation, as soon as the third country or the international organisation becomes an authorised participant in HealthData@EU;
(k)
fulfilling obligations towards natural persons pursuant to Article 58;
(l)
fulfilling any other tasks related to making possible the secondary use of electronic health data in the context of this Regulation.
The national dataset catalogue referred to in point (j)(i) of this paragraph shall also be made available to single information points under Article 8 of Regulation (EU) 2022/868.
2.   In the exercise of their tasks, health data access bodies shall:
(a)
cooperate with supervisory authorities under Regulation (EU) 2016/679 in relation to personal electronic health data and the EHDS Board;
(b)
cooperate with all relevant stakeholders, including patient organisations, representatives of natural persons, health professionals, researchers, and ethics committees, where applicable in accordance with Union or national law;
(c)
cooperate with other national competent bodies, including the national competent authorities supervising data altruism organisations under Regulation (EU) 2022/868, the competent authorities under Regulation (EU) 2023/2854 and the national competent authorities under Regulations (EU) 2017/745, (EU) 2017/746 and (EU) 2024/1689, where relevant.
3.   Health data access bodies may provide assistance to public sector bodies where those public sector bodies access electronic health data in accordance with Article 14 of Regulation (EU) 2023/2854.
4.   Health data access bodies may provide support to a public sector body where it obtains data in the circumstances referred to in Article 15, point (a) or (b), of Regulation (EU) 2023/2854, in accordance with the rules laid down in that Regulation, by providing technical support to process those data or combining them with other data for joint analysis.
Article 58
Obligations of health data access bodies towards natural persons
1.   Health data access bodies shall make information on the conditions under which electronic health data are made available for secondary use publicly available, easily searchable through electronic means and accessible for natural persons. That information shall cover the following:
(a)
the legal basis under which access to electronic health data is granted to the health data user;
(b)
the technical and organisational measures taken to protect the rights of natural persons;
(c)
the applicable rights of natural persons in relation to secondary use;
(d)
the arrangements for natural persons to exercise their rights in accordance with Chapter III of Regulation (EU) 2016/679;
(e)
the identity and the contact details of the health data access body;
(f)
who has been granted access to datasets of electronic health data and to which datasets they were granted access and details of the data permit regarding the purposes for processing such data as referred to in Article 53(1);
(g)
the results or outcomes of the projects for which the electronic health data were used.
2.   If a Member State has provided for the right to opt out pursuant to Article 71 to be exercised through the health data access bodies, the relevant health data access bodies shall provide public information about the procedure to opt out and facilitate the exercise of that right.
3.   Where a health data access body is informed by a health data user of a significant finding related to the health of a natural person, as referred to in Article 61(5), the health data access body shall inform the health data holder about that finding. The health data holder shall, under the conditions laid down by national law, inform the natural person or health professional treating the natural person concerned. Natural persons shall have the right to request not to be informed of such findings.
4.   Member States shall inform the public at large about the role and benefits of health data access bodies.
Article 59
Reporting by health data access bodies
1.   Each health data access body shall publish an activity report every two years and make it publicly available on its website. If a Member State designates more than one health data access body, the coordinating body referred to in Article 55(1) shall be responsible for the activity report and request the necessary information from the other health data access bodies. That activity report shall follow a structure agreed by the EHDS Board pursuant to Article 94(2), point (d), and contain at least the following categories of information:
(a)
information relating to the health data access applications and health data requests submitted, such as the types of health data applicants, number of data permits issued or refused, categories of purposes of access and categories of electronic health data accessed, and a summary of the results of the electronic health data uses, where applicable;
(b)
information on the fulfilment of regulatory and contractual commitments by health data users and health data holders, as well as the number and amount of administrative fines imposed by health data access bodies;
(c)
information on audits carried out on health data users to ensure compliance of the processing they carry out in the secure processing environment pursuant to Article 73(1), point (e);
(d)
information on internal and third-party audits on compliance of secure processing environments with the defined standards, specifications and requirements, as referred to in Article 73(3);
(e)
information on the handling of requests from natural persons relating to the exercise of their data protection rights;
(f)
a description of the health data access body’s activities carried out in relation to engagement with and consultation of relevant stakeholders;
(g)
revenues from data permits and health data requests;
(h)
the average number of days between health data access applications or health data requests and access to data;
(i)
the number of data quality labels issued by health data holders, disaggregated per quality category;
(j)
the number of peer-reviewed research publications, policy documents and regulatory procedures using data accessed via the EHDS;
(k)
the number of digital health products and services, including AI applications, developed using data accessed via the EHDS.
2.   The activity report referred to in paragraph 1 shall be submitted to the Commission and the EHDS Board within six months of the end of the second year of the relevant reporting period. The activity report shall be accessible via the Commission’s website.
Article 60
Duties of health data holders
1.   Health data holders shall make relevant electronic health data referred to in Article 51 available upon request to the health data access body, in accordance with a data permit issued pursuant to Article 68, or upon a health data request approved pursuant to Article 69.
2.   Health data holders shall put the requested electronic health data referred to in paragraph 1 at the disposal of the health data access body within a reasonable time and no later than three months from the receipt of the request by the health data access body. In justified cases, the health data access body may extend that period by a maximum of three months.
3.   The health data holder shall communicate to the health data access body a description of the dataset it holds in accordance with Article 77. The health data holder shall, at a minimum on an annual basis, check that its dataset description in the national dataset catalogue is accurate and up to date.
4.   Where a data quality and utility label accompanies the dataset pursuant to Article 78, the health data holder shall provide sufficient documentation to the health data access body for that body to verify the accuracy of the label.
5.   Health data holders of non-personal electronic health data shall provide access to data through trusted open databases to ensure unrestricted access for all users and data storage and preservation. Trusted open public databases shall have in place robust, transparent and sustainable governance and a transparent model of user access.
Article 61
Duties of health data users
1.   Health data users may access and process the electronic health data referred to in Article 51 for secondary use only in accordance with a data permit issued pursuant to Article 68, a health data request approved pursuant to Article 69 or, in situations referred to in Article 67(3), an access approval from the relevant authorised participant in HealthData@EU referred to in Article 75.
2.   When processing electronic health data within the secure processing environments referred to in Article 73, health data users shall not provide access to the electronic health data, or make those data available, to third parties not mentioned in the data permit.
3.   Health data users shall not re-identify or attempt to re-identify the natural persons to whom the electronic health data obtained by the health data users on the basis of a data permit, a health data request or an access approval by an authorised participant in HealthData@EU relate.
4.   Health data users shall make public the results or output of secondary use, including information relevant for the provision of healthcare, within 18 months of the completion of the processing of the electronic health data in the secure processing environment or of having received the response to the health data request referred to in Article 69.
In justified cases related to the permitted purposes of the processing of electronic health data, the period referred to in the first subparagraph may be extended by the health data access body, in particular in cases where the result is published in a scientific journal or other scientific publication.
The results or output of secondary use shall contain only anonymous data.
Health data users shall inform the health data access bodies from which a data permit was obtained about the results or output of secondary use and assist them to make that information public on health data access bodies’ websites. Such publication shall be without prejudice to publication rights in scientific journals or other scientific publications.
When health data users use electronic health data in accordance with this Chapter, they shall acknowledge the sources of the electronic health data and the fact that the electronic health data have been obtained in the framework of the EHDS.
5.   Without prejudice to paragraph 2, health data users shall inform the health data access body of any significant finding related to the health of the natural person whose data are included in the dataset.
6.   Health data users shall cooperate with health data access bodies in those bodies’ performance of their tasks.
Article 62
Fees
1.   Health data access bodies, including the Union health data access service, or trusted health data holders referred to in Article 72 may charge fees for making electronic health data available for secondary use.
The fees shall be in proportion to the cost of making the data available and they shall not restrict competition.
The fees shall cover all or part of the costs related to the procedure for assessing a health data access application or a health data request, for issuing, refusing or amending a data permit pursuant to Articles 67 and 68 or for providing a response to a health data request submitted pursuant to Article 69, including costs related to the consolidation, preparation, pseudonymisation, anonymisation and provision of the electronic health data.
Member States may establish reduced fees for certain types of health data users located in the Union, such as public sector bodies or Union institutions, bodies, offices and agencies with a legal mandate in the field of public health, university researchers or microenterprises.
2.   The fees referred to in paragraph 1 of this Article may include compensation for the costs incurred by the health data holder for compiling and preparing the electronic health data to be made available for secondary use. In such cases, the health data holder shall provide an estimate of such costs to the health data access body. Where the health data holder is a public sector body, Article 6 of Regulation (EU) 2022/868 shall not apply. The part of the fees linked to the health data holder’s costs shall be paid to the health data holder.
3.   Any fees charged to health data users pursuant to this Article shall be transparent and non-discriminatory.
4.   Where health data holders and health data users do not agree on the level of the fees within one month of the data permit being issued, the health data access body may set the fees in proportion to the cost of making electronic health data available for secondary use. Where health data holders or health data users disagree with the fee set by the health data access body, they shall have access to dispute settlement bodies in accordance with Article 10 of Regulation (EU) 2023/2854.
5.   Before issuing a data permit pursuant to Article 68 or providing a response to a health data request submitted pursuant to Article 69, the health data access body shall inform the health data applicant of the estimated fees. The health data applicant shall be informed about the option to withdraw the health data access application or health data request. If the health data applicant withdraws its application or request, the health data applicant shall only be charged the costs that have already been incurred.
6.   The Commission shall, by means of implementing acts, lay down principles for the fee policies and fee structures, including deductions for the entities referred to in paragraph 1, fourth subparagraph, of this Article in order to support consistency and transparency between Member States regarding such fee policies and fee structures. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 63
Enforcement by health data access bodies
1.   When carrying out their monitoring and supervisory tasks, as referred to in Article 57(1), point (a)(ii), health data access bodies shall have the right to request and receive all the necessary information from health data users and health data holders to verify compliance with this Chapter.
2.   Where health data access bodies find that a health data user or health data holder does not comply with the requirements of this Chapter, they shall immediately notify the health data user or health data holder of those findings and take appropriate measures. The health data access body concerned shall give the health data user or health data holder concerned the opportunity to state their views within a reasonable period that shall not exceed four weeks.
Where the finding of non-compliance concerns a possible breach of Regulation (EU) 2016/679, the health data access body concerned shall immediately inform the supervisory authorities under that Regulation and provide them with all relevant information concerning that finding.
3.   With regard to non-compliance by health data users, health data access bodies shall have the power to revoke the data permit issued pursuant to Article 68 and stop without undue delay the affected electronic health data processing operation carried out by the health data user, and shall take appropriate and proportionate measures aimed at ensuring compliant processing by the health data user.
As part of such enforcement measures, the health data access bodies may also, where appropriate, exclude, or initiate proceedings to exclude, in accordance with national law, the health data user concerned from any access to electronic health data within the EHDS in the context of secondary use for a period of up to five years.
4.   With regard to non-compliance by health data holders, where a health data holder withholds the electronic health data from health data access bodies with the manifest intention of obstructing the use of electronic health data, or does not respect the deadlines set out in Article 60(2), the health data access body shall have the power to fine the health data holder for each day of delay with a periodic penalty payment, which shall be transparent and proportionate. The amount of the fines shall be established by the health data access body in accordance with national law. In the event of repeated breaches by the health data holder of the obligation of cooperation with the health data access body, that body may exclude or initiate proceedings to exclude, in accordance with national law, the health data holder concerned from submitting health data access applications pursuant to this Chapter for a period of up to five years. During the period of that exclusion, the health data holder shall remain obliged to make data accessible under this Chapter, where applicable.
5.   The health data access body shall communicate the enforcement measures taken pursuant to paragraphs 3 and 4, and the reasons on which they are based, to the health data user or health data holder concerned, without delay, and shall lay down a reasonable period for the health data user or health data holder to comply with those measures.
6.   Any enforcement measures taken by the health data access body pursuant to paragraph 3 shall be notified to other health data access bodies through the IT tool referred to in paragraph 7. Health data access bodies may make that information publicly available on their websites.
7.   The Commission shall, by means of implementing acts, set out the architecture of an IT tool, as part of the infrastructure of HealthData@EU referred to in Article 75, aimed at supporting and making transparent to other health data access bodies the enforcement measures referred to in this Article, especially periodic penalty payments, the revoking of data permits and exclusions. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
8.   The Commission shall issue guidelines, by 26 March 2032, in close cooperation with the EHDS Board, on enforcement measures including periodic penalty payments and other measures to be taken by the health data access bodies.
Article 64
General conditions for the imposition of administrative fines by health data access bodies
1.   Each health data access body shall ensure that the imposition of administrative fines pursuant to this Article in respect of infringements referred to in paragraphs 4 and 5 is effective, proportionate and dissuasive in each individual case.
2.   Administrative fines shall, depending on the circumstances of each individual case, be imposed in addition to, or instead of, enforcement measures referred to in Article 63(3) and (4). Health data access bodies shall decide whether to impose an administrative fine and the amount of the administrative fine in each individual case by giving due regard to the following circumstances:
(a)
the nature, gravity and duration of the infringement;
(b)
whether any penalties or administrative fines have already been imposed by other competent authorities for the same infringement;
(c)
the intentional or negligent character of the infringement;
(d)
any action taken by the health data holder or health data user to mitigate the damage caused;
(e)
the degree of responsibility of the health data user, taking into account technical and organisational measures implemented by that health data user pursuant to Article 67(2), point (g), and Article 67(4);
(f)
any relevant previous infringements by the health data holder or health data user;
(g)
the degree of cooperation of the health data holder or health data user with the health data access body as regards remedying the infringement and mitigating its possible adverse effects;
(h)
the manner in which the health data access body became aware of the infringement, in particular whether, and to what extent, the health data user notified it of the infringement;
(i)
compliance with any enforcement measures referred to in Article 63(3) and (4) which have been ordered previously against the controller or processor concerned with regard to the same subject matter;
(j)
any other aggravating or mitigating factor applicable to the circumstances of the case, such as financial benefits gained or losses avoided, directly or indirectly, through the infringement.
3.   If a health data holder or a health data user intentionally or negligently infringes several provisions of this Regulation for the same or a linked data permit or health data request, the total amount of the administrative fine shall not exceed the amount specified for the most serious infringement.
4.   In accordance with paragraph 2 of this Article, infringements of the duties of the health data holder or health data user pursuant to Article 60 and Article 61(1), (5) and (6) shall be subject to administrative fines of a maximum of EUR 10 000 000 or, in the case of an undertaking, of a maximum of 2 % of its total worldwide annual turnover in the preceding financial year, whichever is higher.
5.   In accordance with paragraph 2, the following infringements shall be subject to administrative fines of a maximum of EUR 20 000 000 or, in the case of an undertaking, of a maximum of 4 % of its total worldwide annual turnover in the preceding financial year, whichever is higher:
(a)
health data users processing electronic health data obtained via a data permit issued pursuant to Article 68 for the uses referred to in Article 54;
(b)
health data users extracting personal electronic health data from secure processing environments;
(c)
re-identifying or attempting to re-identify the natural persons to whom the electronic health data obtained by the health data users on the basis of a data permit or a health data request pursuant to Article 61(3) relate;
(d)
non-compliance with enforcement measures taken by the health data access body pursuant to Article 63(3) and (4).
6.   Without prejudice to the powers of health data access bodies pursuant to Article 63, each Member State may lay down rules on whether and to what extent administrative fines may be imposed on public authorities and public sector bodies established in that Member State.
7.   The exercise by a health data access body of its powers under this Article shall be subject to appropriate procedural safeguards in accordance with Union and national law, including effective judicial remedies and due process.
8.   Where the legal system of a Member State does not provide for administrative fines, this Article may be applied in a manner that, in accordance with its national legal framework, ensures that those legal remedies are effective and have an equivalent effect to the administrative fines imposed by health data access bodies. In any event, the fines imposed shall be effective, proportionate and dissuasive. The Member State concerned shall notify the Commission of the provisions of the laws which it adopts pursuant to this paragraph by 26 March 2029 and, without delay, of any subsequent law amending such provisions or amendments affecting such provisions.
Article 65
Relationship with supervisory authorities under Regulation (EU) 2016/679
The supervisory authority or authorities responsible for monitoring and enforcing the application of Regulation (EU) 2016/679 shall also be competent for monitoring and enforcing the application of the right to opt out from the processing of personal electronic health data for secondary use pursuant to Article 71. Those supervisory authorities shall be empowered to impose administrative fines up to the amount referred to in Article 83 of Regulation (EU) 2016/679.
The supervisory authorities referred to in the first paragraph of this Article and the health data access bodies referred to in Article 55 of this Regulation shall, where relevant, cooperate in the enforcement of this Regulation, within the remit of their respective competences. The relevant provisions of Regulation (EU) 2016/679 shall apply 
mutatis mutandis
.
SECTION 3
Access to electronic health data for secondary use
Article 66
Data minimisation and purpose limitation
1.   Where health data access bodies receive a health data access application, they shall ensure that access is only provided to electronic health data that are adequate, relevant and limited to what is necessary in relation to the purpose of processing indicated in the health data access application by the health data user and in line with the data permit issued pursuant to Article 68.
2.   Health data access bodies shall provide electronic health data in an anonymised format, where the purpose of processing by the health data user can be achieved with such data, taking into account the information provided by the health data user.
3.   Where the health data user has sufficiently demonstrated that the purpose of processing cannot be achieved with anonymised data in accordance with Article 68(1), point (c), health data access bodies shall provide access to electronic health data in pseudonymised format. The information necessary to reverse the pseudonymisation shall be available only to the health data access body or an entity that acts as a trusted third party in accordance with national law.
Article 67
Health data access applications
1.   A natural or legal person may submit a health data access application for the purposes referred to in Article 53(1) to a health data access body.
2.   The health data access application shall include:
(a)
the health data applicant’s identity, a description of that health data applicant’s professional functions and activities, including the identity of the natural persons who would have access to the electronic health data if a data permit were issued; the health data applicant shall notify the health data access body of any update of the list of natural persons;
(b)
the purposes referred to in Article 53(1) for which access to data is applied for;
(c)
a detailed explanation of the intended use of the electronic health data and expected benefit related to that use and how that benefit would contribute to the purposes referred to in Article 53(1);
(d)
a description of the requested electronic health data, including their scope, time range, format, sources and, where possible, the geographical coverage where such data are requested from health data holders in several Member States or from authorised participants in HealthData@EU referred to in Article 75;
(e)
a description explaining whether the electronic health data need to be made available in a pseudonymised or anonymised format; in the case of a pseudonymised format, a justification as to why the processing cannot be carried out using anonymised data;
(f)
where the health data applicant intends to bring datasets already held by that health data applicant into the secure processing environment, a description of those datasets;
(g)
a description of the safeguards, which are to be proportionate to the risks, planned to prevent any misuse of the electronic health data, as well as to protect the rights and interests of the health data holder and of the natural persons concerned, including to prevent any re-identification of natural persons in the dataset;
(h)
a justified indication of the period during which the electronic health data are needed for processing in a secure processing environment;
(i)
a description of the tools and computing resources needed for a secure processing environment;
(j)
where applicable, information on any assessment of ethical aspects of the processing, required under national law, which may serve to replace the health data applicant’s own ethics assessment;
(k)
where the health data applicant intends to make use of an exception under Article 71(4), the justification required by national law pursuant to that Article.
3.   When seeking access to electronic health data held by health data holders established in more than one Member State or from the relevant authorised participants in HealthData@EU referred to in Article 75, the health data applicant shall submit a single health data access application through the health data access body of the Member State where the main establishment of the health data applicant is located, through the health data access body of the Member State in which one of those health data holders is established or through the services provided by the Commission in HealthData@EU referred to in Article 75. The health data access application shall be automatically forwarded to the relevant authorised participants in HealthData@EU and to the health data access bodies of the Member States where the health data holders identified in the health data access application are established.
4.   When seeking access to the personal electronic health data in a pseudonymised format, the health data applicant shall provide, together with the health data access application, a description of how the processing would comply with applicable Union and national law on data protection and privacy, in particular with Regulation (EU) 2016/679 and, more specifically, with Article 6(1) thereof.
5.   Public sector bodies and Union institutions, bodies, offices and agencies shall provide the same information as required under paragraphs 2 and 4, except for paragraph 2, point (h), in which case they shall submit instead information concerning the period for which the electronic health data can be accessed, the frequency of that access or the frequency of the data updates.
Article 68
Data permit
1.   For the purposes of granting access to electronic health data, the health data access bodies shall assess whether all the following criteria are fulfilled:
(a)
the purposes described in the health data access application correspond to one or more of the purposes listed in Article 53(1);
(b)
the requested data are necessary, adequate and proportionate for the purposes described in the health data access application, taking into account data minimisation and purpose limitation requirements provided for in Article 66;
(c)
the processing complies with Article 6(1) of Regulation (EU) 2016/679 and, in the case of pseudonymised data, there is sufficient justification that the purpose cannot be achieved with anonymised data;
(d)
the health data applicant is qualified in relation to the intended purposes of data use and has appropriate expertise, including professional qualifications in the areas of healthcare, care, public health or research, consistent with ethical practice and applicable laws and regulations;
(e)
the health data applicant demonstrates sufficient technical and organisational measures to prevent the misuse of the electronic health data and to protect the rights and interests of the health data holder and of the natural persons concerned;
(f)
the information on the assessment of ethical aspects of the processing, referred to in Article 67(2), point (j), where applicable, complies with national law;
(g)
where the health data applicant intends to make use of an exception under Article 71(4), the justification required by national law adopted pursuant to that Article has been provided;
(h)
all other requirements in this Chapter are fulfilled by the health data applicant.
2.   The health data access body shall also take into account the following:
(a)
risks for national defence, security, public security and public order;
(b)
the risk of undermining the confidentiality of data in governmental databases of regulatory authorities.
3.   Where the health data access body concludes that the requirements in paragraph 1 are fulfilled and the risks referred to in paragraph 2 are sufficiently mitigated, the health data access body shall grant access to electronic health data by issuing a data permit. Health data access bodies shall refuse all health data access applications where the requirements in this Chapter are not fulfilled.
Where the requirements for issuing a data permit are not met, but the requirements to provide a response in an anonymised statistical format under Article 69 are, the health data access body may decide to provide such response, on condition that providing that response would mitigate the risks and, if the purpose of the health data access application can be fulfilled in this manner, that the health data applicant agrees to receiving a response in an anonymised statistical format under Article 69.
4.   By way of derogation from Regulation (EU) 2022/868, the health data access body shall issue or refuse a data permit within three months of receiving a complete health data access application. If the health data access body finds that the health data access application is incomplete, it shall notify the health data applicant, which shall be given the possibility of completing that application. If the health data applicant does not complete the health data access application within four weeks, the data permit shall not be issued.
The health data access body may extend the period for responding to a health data access application by three additional months where necessary, taking into account the urgency and complexity of the health data access application and the volume of health data access applications submitted for decision. In such cases, the health data access body shall notify the health data applicant as soon as possible that more time is needed for examining the health data access application, together with the reasons for the delay.
5.   When handling a health data access application for cross-border access to electronic health data referred to in Article 67(3), health data access bodies and relevant authorised participants in HealthData@EU referred to in Article 75 shall remain responsible for adopting decisions to grant or refuse access to electronic health data within their remit in accordance with this Chapter.
The health data access bodies and authorised participants in HealthData@EU concerned shall inform each other of their decisions. They may take that information into consideration when deciding on granting or refusing access to electronic health data.
A data permit issued by one health data access body may benefit from mutual recognition by the other health data access bodies.
6.   Member States shall provide for an accelerated health data access application procedure for public sector bodies and Union institutions, bodies, offices and agencies with a legal mandate in the field of public health if the processing of electronic health data is to be carried out for the purposes established in Article 53(1), points (a), (b) and (c).
When such accelerated procedure applies, the health data access body shall issue or refuse a data permit within two months of receiving a complete health data access application. The health data access body may extend the period for responding to a health data access application by one additional month where necessary.
7.   Following the issuance of the data permit, the health data access body shall immediately request the electronic health data from the health data holder. The health data access body shall make available the electronic health data to the health data user within two months of receiving them from the health data holders, unless the health data access body specifies that the data are to be provided within a longer specified timeframe.
8.   In cases referred to in paragraph 5, first subparagraph, of this Article, the health data access bodies and authorised participants in HealthData@EU which issued a data permit or access approval, respectively, may decide to provide access to the electronic health data in the secure processing environment provided by the Commission as referred to in Article 75(9).
9.   Where the health data access body refuses to issue a data permit, it shall provide a justification for that refusal to the health data applicant.
10.   When issuing a data permit, the health data access body shall set out in that data permit the general conditions applicable to the health data user. The data permit shall contain the following:
(a)
the categories, specification and format of the electronic health data to be accessed, which are covered by the data permit, including their sources and an indication of whether the electronic health data are to be accessed in a pseudonymised format in the secure processing environment;
(b)
a detailed description of the purpose for which the electronic health data are made available;
(c)
where a mechanism to implement an exception is provided for and applicable under Article 71(4), information on whether it has been applied and the reason for the related decision;
(d)
the identity of authorised persons, in particular the identity of the principal investigator, with access rights to the electronic health data in the secure processing environment;
(e)
the duration of the data permit;
(f)
information about the technical characteristics and tools available to the health data user within the secure processing environment;
(g)
the fees to be paid by the health data user;
(h)
any specific conditions.
11.   Health data users shall have the right to access and process the electronic health data in a secure processing environment in accordance with the data permit issued to them on the basis of this Regulation.
12.   A data permit shall be issued for the duration necessary to fulfil the requested purposes and that duration shall not exceed 10 years. That duration may be extended once, for a period which does not exceed 10 years, at the request of the health data user, based on arguments and documents to justify that extension which shall be provided one month before the expiry of the data permit. The health data access body may charge fees which increase to reflect the costs and risks of storing electronic health data for a period exceeding the initial period. In order to reduce such costs and fees, the health data access body may also propose to the health data user to store the dataset in a storage system with reduced capabilities. Such reduced capabilities shall not affect the security of the processed dataset. The electronic health data within the secure processing environment shall be deleted within six months of the expiry of the data permit. At the request of the health data user, the formula for the creation of the requested dataset may be stored by the health data access body.
13.   If the data permit needs to be updated, the health data user shall submit a request for an amendment of the data permit.
14.   The Commission may, by means of an implementing act, develop a logo for acknowledging the contribution of the EHDS. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 69
Health data request
1.   The health data applicant may submit a health data request for the purposes referred to in Article 53 with the aim of obtaining a response only in an anonymised statistical format. A health data access body shall not provide a response to a health data request in any other format and the health data user shall have no access to the electronic health data used to provide that response.
2.   A health data request as referred to in paragraph 1 shall include the following information:
(a)
the identity of the health data applicant and a description of that health data applicant’s professional functions and activities;
(b)
a detailed explanation of the intended use of the electronic health data, including the purposes referred to in Article 53(1) for which the health data request is submitted;
(c)
a description of the requested electronic health data, their format and the sources of those data, where possible;
(d)
a description of the statistical content;
(e)
a description of the safeguards planned to prevent any misuse of the requested electronic health data;
(f)
a description of how the processing would comply with Article 6(1) of Regulation (EU) 2016/679 or Article 5(1) and Article 10(2) of Regulation (EU) 2018/1725;
(g)
where the health data applicant intends to make use of an exception under Article 71(4), the justification required in that regard by national law pursuant to that Article.
3.   The health data access body shall assess if the health data request is complete and take into account the risks referred to in Article 68(2).
4.   The health data access body shall assess the health data request within three months of receipt of the request and, where possible, subsequently provide the response to the health data user within a further three months.
Article 70
Templates to support access to electronic health data for secondary use
By 26 March 2027, the Commission shall, by means of implementing acts, set out the templates for the health data access application, the data permit and the health data request referred to in Articles 67, 68 and 69, respectively. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 71
Right to opt out from the processing of personal electronic health data for secondary use
1.   Natural persons shall have the right to opt out at any time, and without providing any reason, from the processing of personal electronic health data relating to them for secondary use under this Regulation. The exercise of that right shall be reversible.
2.   Member States shall provide for an accessible and easily understandable opt-out mechanism to exercise the right established in paragraph 1, whereby natural persons may explicitly state that they do not wish to have their personal electronic health data processed for secondary use.
3.   Once natural persons have exercised the right to opt out, and where personal electronic health data relating to them can be identified in a dataset, personal electronic health data relating to those natural persons shall not be made available or otherwise processed pursuant to data permits issued under Article 68 or health data requests under Article 69 approved after the natural person has exercised the right to opt out.
The first subparagraph of this paragraph shall not affect the processing for secondary use of personal electronic health data relating to those natural persons pursuant to data permits or health data requests that were issued or approved before the natural persons exercised their right to opt out.
4.   By way of exception from the right to opt out provided for in paragraph 1, a Member State may provide in its national law for a mechanism to make data for which a right to opt out has been exercised available, provided that all the following conditions are fulfilled:
(a)
the health data access application or health data request is submitted by a public sector body or a Union institution, body, office or agency with a mandate to carry out tasks in the area of public health, or by another entity entrusted with carrying out public tasks in the area of public health, or acting on behalf of or commissioned by a public authority, and the processing of those data is necessary for any of the following purposes:
(i)
the purposes referred to in Article 53(1), points (a), (b) and (c);
(ii)
scientific research for important reasons of public interest;
(b)
those data cannot be obtained by alternative means in a timely and effective manner under equivalent conditions;
(c)
the health data applicant has provided the justification referred to in Article 68(1), point (g), or in Article 69(2), point (g).
The national law providing for such a mechanism shall provide for specific and suitable measures in order to protect the fundamental rights and the personal data of natural persons.
Where a Member State has provided in its national law for the possibility to request access to data for which a right to opt out has been exercised and the conditions referred to in the first subparagraph of this paragraph are fulfilled, those data may be included when carrying out the tasks under Article 57(1), points (a)(i), (a)(iii) and (b).
5.   The rules on any mechanism to implement exceptions provided for under paragraph 4 by way of exception from paragraph 1 shall respect the essence of the fundamental rights and freedoms and shall be a necessary and proportionate measure in a democratic society to fulfil purposes of public interest in the area of legitimate scientific and societal objectives.
6.   Any processing carried out in accordance with a mechanism to implement exceptions provided for under paragraph 4 of this Article shall comply with the requirements of this Chapter, in particular the prohibition on re-identifying or attempting to re-identify natural persons in accordance with Article 61(3). Any legislative measure providing for a mechanism in national law as referred to in paragraph 4 of this Article shall include specific provisions for the safety, and the protection of the rights, of natural persons.
7.   Member States shall notify without delay the Commission of the provisions of their national law which they adopt pursuant to paragraph 4 and of any subsequent amendment affecting them.
8.   When the purposes of the processing of personal electronic health data by a health data holder do not or no longer require the identification of a data subject by the controller, that health data holder shall not be obliged to maintain, acquire or process additional information in order to identify the data subject for the sole purpose of complying with the right to opt out under this Article.
Article 72
Simplified procedure for access to electronic health data from a trusted health data holder
1.   Where a health data access body receives a health data access application pursuant to Article 67 or a health data request pursuant to Article 69 that only covers electronic health data held by a trusted health data holder designated in accordance with paragraph 2 of this Article, the procedure set out in paragraphs 4 to 6 of this Article shall apply.
2.   Member States may establish a procedure whereby health data holders can apply to be designated as trusted health data holders, provided the health data holders meet the following conditions:
(a)
they are able to provide access to health data through a secure processing environment that complies with Article 73;
(b)
they have the necessary expertise to assess health data access applications and health data requests;
(c)
they provide the necessary guarantees to ensure compliance with this Regulation.
Member States shall designate trusted health data holders following an assessment of the fulfilment of those conditions by the relevant health data access body.
Member States shall establish a procedure to regularly review whether the trusted health data holder continues to fulfil those conditions.
Health data access bodies shall indicate the trusted health data holders in the dataset catalogue referred to in Article 77.
3.   Health data access applications and health data requests referred to in paragraph 1 shall be submitted to the health data access body, which may forward them to the relevant trusted health data holder.
4.   Following receipt of a health data access application or health data request pursuant to paragraph 3 of this Article, the trusted health data holder shall assess the health data access application or health data request against the criteria listed in Article 68(1) and (2) or Article 69(2) and (3), as applicable.
5.   The trusted health data holder shall submit the assessment it carries out pursuant to paragraph 4, accompanied by a proposal for decision, to the health data access body within two months of receipt of the health data access application or health data request from the health data access body. Within two months of receipt of the assessment, the health data access body shall issue a decision on the health data access application or health data request. The health data access body shall not be bound by the proposal submitted by the trusted health data holder.
6.   Following the health data access body’s decision to issue the data permit or to approve the health data request, the trusted health data holder shall carry out the tasks referred to in Article 57(1), points (a)(i) and (b).
7.   The Union health data access service referred to in Article 56 may designate health data holders that are Union institutions, bodies, offices or agencies which comply with the conditions laid down in paragraph 2, first subparagraph, points (a), (b) and (c), of this Article as trusted health data holders. Where it does so, paragraph 2, third and fourth subparagraphs, and paragraphs 3 to 6 of this Article shall apply 
mutatis mutandis
.
Article 73
Secure processing environment
1.   Health data access bodies shall provide access to electronic health data pursuant to a data permit only through a secure processing environment which is subject to technical and organisational measures and security and interoperability requirements. In particular, the secure processing environment shall comply with the following security measures:
(a)
the restriction of access to the secure processing environment to authorised natural persons listed in the data permit issued pursuant to Article 68;
(b)
the minimisation of the risk of the unauthorised reading, copying, modification or removal of electronic health data hosted in the secure processing environment through state-of-the-art technical and organisational measures;
(c)
the limitation of the input of electronic health data and the inspection, modification or deletion of electronic health data hosted in the secure processing environment to a limited number of authorised identifiable individuals;
(d)
ensuring that health data users have access only to the electronic health data covered by their data permit, by means of individual and unique user identities and confidential access modes only;
(e)
the keeping of identifiable logs of access to and activities in the secure processing environment for the period necessary to verify and audit all processing operations in that environment; logs of access shall be kept for at least one year;
(f)
ensuring compliance and monitoring the security measures referred to in this paragraph to mitigate potential security threats.
2.   Health data access bodies shall ensure that electronic health data from health data holders in the format specified in the data permit can be uploaded by those health data holders and can be accessed by the health data user in a secure processing environment.
Health data access bodies shall review the electronic health data included in a download request to ensure that health data users are only able to download non-personal electronic health data, including electronic health data in an anonymised statistical format, from the secure processing environment.
3.   Health data access bodies shall ensure that audits of the secure processing environments are carried out on a regular basis, including by third parties, and shall take corrective action for any shortcomings, risks or vulnerabilities identified by those audits in the secure processing environments.
4.   Where recognised data altruism organisations under Chapter IV of Regulation (EU) 2022/868 process personal electronic health data using a secure processing environment, those environments shall also comply with the security measures set out in paragraph 1, points (a) to (f), of this Article.
5.   By 26 March 2027, the Commission shall, by means of implementing acts, lay down the technical, organisational, information security, confidentiality, data protection and interoperability requirements for the secure processing environments, including with regard to the technical characteristics and tools available to the health data user within the secure processing environments. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 74
Controllership
1.   The health data holder shall be deemed controller for the making available of personal electronic health data requested pursuant to Article 60(1) to the health data access body.
The health data access body shall be deemed controller for the processing of the personal electronic health data when fulfilling its tasks pursuant to this Regulation.
Notwithstanding the second subparagraph of this paragraph, the health data access body shall be deemed to act as a processor on behalf of the health data user acting as a controller for the processing of the personal electronic health data pursuant to a data permit issued under Article 68 in the secure processing environment when providing data through such environment or for the processing of such data pursuant to a health data request approved under Article 69 for a response to be generated.
2.   In situations referred to in Article 72(6), the trusted health data holder shall be deemed controller for its processing of personal electronic health data related to the provision of electronic health data to the health data user pursuant to a data permit or a health data request. The trusted health data holder shall be deemed to act as a processor on behalf of the health data user when providing data through a secure processing environment.
3.   The Commission may, by means of implementing acts, establish a template for agreements between controllers and processors under paragraphs (1) and (2) of this Article. Those implementing acts shall be adopted in accordance with the examination procedure set out in Article 98(2).
SECTION 4
Cross-border infrastructure for secondary use
Article 75
HealthData@EU
1.   Each Member State shall designate one national contact point for secondary use. That national contact point for secondary use shall be an organisational and technical gateway, enabling and responsible for the making available of electronic health data for secondary use in a cross-border context. The national contact point for secondary use may be the coordinator health data access body referred to in Article 55(1). Each Member State shall inform the Commission of the name and contact details of the national contact point for secondary use by 26 March 2027. The Commission and the Member States shall make that information publicly available.
2.   The Union health data access service shall act as the contact point of the Union’s institutions, bodies, offices and agencies for secondary use and shall be responsible for making electronic health data available for secondary use.
3.   The national contact points for secondary use referred to in paragraph 1 and the Union health data access service referred to in paragraph 2 shall connect to the cross-border infrastructure for secondary use, namely HealthData@EU. The national contact points for secondary use and the Union health data access service shall facilitate the cross-border access to electronic health data for secondary use for different authorised participants in HealthData@EU. The national contact points for secondary use shall cooperate closely with each other and with the Commission.
4.   Health-related research infrastructures or similar infrastructures whose functioning is based on Union law and which provide support for the use of electronic health data for research, policymaking, statistical, patient safety or regulatory purposes may become authorised participants in HealthData@EU and connect to it.
5.   Third countries or international organisations may become authorised participants in HealthData@EU where they comply with the rules of this Chapter and provide access to health data users located in the Union, on equivalent terms and conditions, to the electronic health data available to their health data access bodies, subject to compliance with Chapter V of Regulation (EU) 2016/679.
The Commission may, by means of implementing acts, determine that a national contact point for secondary use of a third country or a system established at international level by an international organisation is compliant with the requirements of HealthData@EU for the purposes of secondary use of health data, is compliant with this Chapter and provides access to health data users located in the Union to the electronic health data it has access to on terms and conditions equivalent to those of HealthData@EU. Compliance with those legal, organisational, technical and security requirements, including with the requirements for secure processing environments provided for in Article 73, shall be checked under the control of the Commission. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2). The Commission shall make the list of implementing acts adopted pursuant to this paragraph publicly available.
6.   Each national contact point for secondary use and each authorised participant in HealthData@EU shall acquire the required technical capability to connect to and participate in HealthData@EU. They shall comply with the requirements and technical specifications needed to operate HealthData@EU and to allow them to connect to it.
7.   The Member States and the Commission shall set up HealthData@EU to support and facilitate the cross-border access to electronic health data for secondary use, connecting the national contact points for secondary use and authorised participants in HealthData@EU and the central platform referred to in paragraph 8.
8.   The Commission shall develop, deploy and operate a central platform for HealthData@EU by providing information technology services needed to support and facilitate the exchange of information between health data access bodies as part of HealthData@EU. The Commission shall only process electronic health data on behalf of the controllers as a processor.
9.   Where requested by two or more national contact points for secondary use, the Commission may provide a secure processing environment which is compliant with the requirements of Article 73 for data from more than one Member State. Where two or more national contact points for secondary use or authorised participants in HealthData@EU put electronic health data in the secure processing environment managed by the Commission, they shall be joint controllers and the Commission shall be processor for the purpose of processing data in that environment.
10.   The national contact points for secondary use shall act as joint controllers of the processing operations carried out in HealthData@EU in which they are involved and the Commission shall act as processor on behalf of those national contact points for secondary use, without affecting the tasks of health data access bodies prior to and following those processing operations.
11.   Member States and the Commission shall seek to ensure that HealthData@EU is interoperable with other relevant common European data spaces as referred to in Regulations (EU) 2022/868 and (EU) 2023/2854.
12.   By 26 March 2027, the Commission shall, by means of implementing acts, set out:
(a)
requirements, technical specifications and the IT architecture of HealthData@EU, which shall ensure state-of-the-art data security, confidentiality, and protection of electronic health data in HealthData@EU;
(b)
conditions and compliance checks required to be able to join and remain connected to HealthData@EU and conditions for temporary disconnection or definitive exclusion from HealthData@EU, including specific provisions for cases of serious misconduct or repeated infringements;
(c)
the minimum criteria that need to be met by the national contact points for secondary use and the authorised participants in HealthData@EU;
(d)
the responsibilities of the controllers and processors participating in HealthData@EU;
(e)
the responsibilities of the controllers and processors for the secure processing environment managed by the Commission;
(f)
common specifications for the architecture of HealthData@EU and for its interoperability with other common European data spaces.
The implementing acts referred to in the first subparagraph of this paragraph shall be adopted in accordance with the examination procedure referred to in Article 98(2).
13.   Where there is a positive outcome of the compliance check referred to in paragraph 5 of this Article, the Commission may, by means of implementing acts, take decisions to connect individual authorised participants to HealthData@EU. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 76
Access to cross-border registries or databases of electronic health data for secondary use
1.   In the case of cross-border registries and databases, the health data access body with which the health data holder for the specific registry or database is registered shall be competent to decide on health data access applications to provide access to electronic health data pursuant to a data permit. Where such registries or databases have joint controllers, the health data access body that decides on the health data access applications to be used to provide access to electronic health data shall be the health data access body of the Member State where one of the joint controllers is established.
2.   Where registries or databases from a number of Member States organise themselves into a single network of registries or databases at Union level, the associated registries or databases may designate a coordinator to ensure the provision of data from the registries’ or databases’ network for secondary use. The health data access body of the Member State in which the coordinator of the network is established shall be competent to decide on the health data access applications to be used to provide access to electronic health data for the network of registries or databases.
SECTION 5
Health data quality and utility for secondary use
Article 77
Dataset description and dataset catalogue
1.   Health data access bodies shall, through a publicly available and standardised machine-readable dataset catalogue, provide a description in the form of metadata of the available datasets and their characteristics. The description of each dataset shall include information concerning the source, scope, main characteristics, and nature of the electronic health data in the dataset and the conditions for making those data available.
2.   The dataset descriptions in the national dataset catalogue shall be available in at least one official language of the Union. The dataset catalogue for Union institutions, bodies, offices and agencies provided by the Union health data access service shall be available in all official languages of the Union.
3.   The dataset catalogue shall be made available to single information points established or designated under Article 8 of Regulation (EU) 2022/868.
4.   By 26 March 2027, the Commission shall, by means of implementing acts, set out the minimum elements health data holders are to provide for datasets and the characteristics of those elements. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 78
Data quality and utility label
1.   Datasets made available through health data access bodies may have a Union data quality and utility label applied by the health data holders.
2.   Datasets with electronic health data collected and processed with the support of Union or national public funding shall have a data quality and utility label covering the elements set out in paragraph 3.
3.   The data quality and utility label shall cover the following elements, where applicable:
(a)
for data documentation: metadata, support documentation, the data dictionary, the format and standards used, the source of the data and, where applicable, the data model;
(b)
for assessment of technical quality: the completeness, uniqueness, accuracy, validity, timeliness and consistency of the data;
(c)
for data quality management processes: the level of maturity of the data quality management processes, including review and audit processes, and bias examination;
(d)
for assessment of coverage: the period, population coverage and, where applicable, representativity of the population sampled, and the average timeframe in which a natural person appears in a dataset;
(e)
for information on access and provision: the time between the collection of the electronic health data and their addition to the dataset and the time needed to provide electronic health data following the issuing of a data permit or a health data request approval;
(f)
for information on data modifications: merging and adding data to an existing dataset, including links with other datasets.
4.   Where a health data access body has reason to believe that a data quality and utility label might be inaccurate, it shall assess whether the dataset covered by the label meets the quality requirements forming part of the elements of the data quality and utility label as referred to in paragraph 3 and, in the event the dataset does not meet the quality requirements, shall revoke the label.
5.   The Commission is empowered to adopt delegated acts in accordance with Article 97 to amend this Regulation by modifying, adding or removing elements to be covered by the data quality and utility label provided for in paragraph 3 of this Article.
6.   By 26 March 2027, the Commission shall, by means of implementing acts, set out the visual characteristics and technical specifications of the data quality and utility label, based on the elements referred to in paragraph 3 of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2) of this Regulation. Those implementing acts shall take into account the requirements in Article 10 of Regulation (EU) 2024/1689 and any adopted common specifications or harmonised standards supporting those requirements, where applicable.
Article 79
EU dataset catalogue
1.   The Commission shall establish an EU dataset catalogue connecting the national dataset catalogues established by the health data access bodies in each Member State as well as the dataset catalogues of authorised participants in HealthData@EU.
2.   The EU dataset catalogue, the national dataset catalogues and the dataset catalogues of authorised participants in HealthData@EU shall be made publicly available.
Article 80
Minimum specifications for datasets of high impact
The Commission may, by means of implementing acts, determine the minimum specifications for datasets of high impact for secondary use, taking into account existing Union infrastructures, standards, guidelines and recommendations. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
SECTION 6
Complaints
Article 81
Right to lodge a complaint with a health data access body
1.   Without prejudice to any other administrative or judicial remedy, natural and legal persons shall have the right to lodge a complaint in relation to the provisions laid down in this Chapter, individually or, where relevant, collectively, with a health data access body, provided that their rights or interests are negatively affected.
2.   The health data access body with which the complaint has been lodged shall inform the complainant of the progress made in dealing with the complaint and of the decision taken on the complaint.
3.   Health data access bodies shall provide easily accessible tools for the submission of complaints.
4.   Where the complaint concerns the rights of natural persons pursuant to Article 71 of this Regulation, the complaint shall be transmitted to the competent supervisory authority under Regulation (EU) 2016/679. The relevant health data access body shall provide the necessary information at its disposal to that supervisory authority under Regulation (EU) 2016/679 in order to facilitate the assessment and investigation of the complaint.
CHAPTER V
ADDITIONAL ACTIONS
Article 82
Capacity building
The Commission shall support the sharing of best practices and expertise to build capacity within Member States to strengthen digital health systems for primary use and secondary use taking into account the specific circumstances of the different categories of stakeholders involved. To support that capacity building, the Commission shall in close cooperation and consultation with Member States establish indicators for self-assessment for primary use and secondary use.
Article 83
Training programmes and information for health professionals
1.   Member States shall develop and implement or provide access to training programmes and provide access to information for health professionals in order for them to understand and effectively carry out their role in the primary use of and in the accessing of electronic health data, including in relation to Articles 11, 13 and 16. The Commission shall support Member States in that regard.
2.   The training programmes and information shall be accessible to and affordable for all health professionals, without prejudice to the organisation of healthcare systems at national level.
Article 84
Digital health literacy and digital health access
1.   Member States shall promote and support digital health literacy and the development of relevant competences and skills for patients. The Commission shall support Member States in this regard. Awareness-raising campaigns or programmes shall aim, in particular, to inform patients and the public at large about primary use and secondary use in the framework of the EHDS, including the rights arising from it, as well as the advantages, risks and potential gains for science and society of primary use and secondary use.
2.   The awareness-raising campaigns and programmes referred to in paragraph 1 shall be tailored to the needs of specific groups and shall be developed, reviewed and, where necessary, updated.
3.   Member States shall promote access to the infrastructure necessary for the effective management of natural persons’ electronic health data, both for primary use and secondary use.
Article 85
Additional requirements for public procurement and Union funding
1.   Contracting authorities, including digital health authorities and health data access bodies and Union institutions, bodies, offices or agencies, shall make reference to the applicable technical specifications, standards and profiles as referred to in Articles 15, 23, 36, 73, 75 and 78 for public procurement procedures and when formulating their tender documents or calls for proposals, as well as when defining the conditions for Union funding regarding this Regulation, including enabling conditions for the structural and cohesion funds.
2.   The criteria for obtaining funding from the Union shall take into account the requirements developed in the framework of Chapters II, III and IV.
Article 86
Storage of personal electronic health data for primary use
In accordance with the general principles of Union law, which include the fundamental rights enshrined in Articles 7 and 8 of the Charter of Fundamental Rights of the European Union, Member States shall ensure that a particularly high level of protection and security is in place when processing personal electronic health data for primary use, by means of appropriate technical and organisational measures. In this respect, this Regulation shall not preclude a requirement under national law, taking into account the national context, that, in cases where personal electronic health data are processed by healthcare providers for the provision of healthcare or by the national contact points for digital health connected to MyHealth@EU, the storage of personal electronic health data referred to in Article 14 of this Regulation for the purpose of primary use be located within the Union, in compliance with Union law and international commitments.
Article 87
Storage of personal electronic health data by health data access bodies and secure processing environments
1.   Health data access bodies, trusted health data holders and the Union health data access service shall store and process personal electronic health data in the Union when performing pseudonymisation, anonymisation and any other personal data processing operations referred to in Articles 67 to 72, through secure processing environments within the meaning of Article 73 and Article 75(9) or through HealthData@EU. That requirement shall apply to any entity performing those tasks on behalf of such bodies, holders or service.
2.   By way of exception from paragraph 1 of this Article, the data referred to in that paragraph may be stored and processed in a third country, or a territory or one or more specified sectors within that third country, where such country, territory or sector is covered by an adequacy decision adopted pursuant to Article 45 of Regulation (EU) 2016/679.
Article 88
Third-country transfer of non-personal electronic data
1.   Non-personal electronic health data made available by health data access bodies to a health data user in a third country under a data permit issued pursuant to Article 68 of this Regulation or a health data request approved pursuant to Article 69 of this Regulation, to authorised participants in a third country or to an international organisation, and based on a natural person’s electronic health data falling within one of the categories referred to in Article 51 of this Regulation, shall be deemed highly sensitive within the meaning of Article 5(13) of Regulation (EU) 2022/868 where the transfer of such non-personal electronic data to third countries presents a risk of re-identification through means going beyond those reasonably likely to be used, in particular in view of the limited number of natural persons to whom those data relate, the fact that they are geographically scattered or the technological developments expected in the near future.
2.   The protective measures for the categories of data mentioned in paragraph 1 of this Article shall be detailed in a delegated act referred to in Article 5(13) of Regulation (EU) 2022/868.
Article 89
International governmental access to non-personal electronic health data
1.   Digital health authorities, health data access bodies, authorised participants in the cross-border infrastructures provided for in Articles 23 and 75 and health data users shall take all reasonable technical, legal and organisational measures, including contractual arrangements, in order to prevent the transfer of non-personal electronic health data held in the Union to a third country or an international organisation, including for governmental access in a third country, where such transfer would create a conflict with Union law or the national law of the relevant Member State.
2.   Any judgment of a third-country court or tribunal and any decision of a third-country administrative authority requiring a digital health authority, health data access body or health data users to transfer or give access to non-personal electronic health data within the scope of this Regulation held in the Union shall be recognised or enforceable in any manner only if based on an international agreement, such as a mutual legal assistance treaty, in force between the requesting third country and the Union, or any such agreement between the requesting third country and a Member State.
3.   In the absence of an international agreement as referred to in paragraph 2, where a digital health authority, a health data access body or a health data user is the addressee of a decision or judgment of a third-country court or tribunal or of a decision of a third-country administrative authority requiring them to transfer or to give access to non-personal data within the scope of this Regulation held in the Union, and compliance with such a decision or judgment would risk putting the addressee in conflict with Union law or with the national law of the relevant Member State, the transfer to, or accessing of such data by, that third-country court, tribunal or administrative authority shall only take place or be provided where:
(a)
the third-country legal system requires the reasons and proportionality of such a decision or judgment to be set out and requires such a decision or judgment to be specific in character, for instance by establishing a sufficient link to certain suspected persons or infringements;
(b)
the reasoned objection of the addressee is subject to a review by a competent third-country court or tribunal; and
(c)
the competent third-country court or tribunal issuing the decision or judgment or reviewing the decision of an administrative authority is empowered by the national law of the third country to take duly into account the relevant legal interests of the provider of the data protected under Union law or the national law of the relevant Member State.
4.   If the conditions laid down in paragraph 2 or 3 are met, a digital health authority, a health data access body or a data altruism organisation shall provide the minimum amount of data permissible in response to a request, based on a reasonable interpretation of the request.
5.   The digital health authorities, health data access bodies and health data users shall inform the health data holder about the existence of a request of a third-country administrative authority to access its data before complying with that request, except where the request serves law enforcement purposes and for as long as compliance is necessary to preserve the effectiveness of the law enforcement activity.
Article 90
Additional conditions for transfer of personal electronic health data to a third country or an international organisation
Transfer of personal electronic health data to a third country or an international organisation shall be granted in accordance with Chapter V of Regulation (EU) 2016/679. Member States may maintain or introduce further conditions on international access to, and transfer of, personal electronic health data, including limitations, in accordance with Article 9(4) of Regulation (EU) 2016/679, in addition to the requirements laid down in Article 24(3) and Article 75(5) of this Regulation and in Chapter V of Regulation (EU) 2016/679.
Article 91
Health data access applications and health data requests from third countries
1.   Without prejudice to Articles 67, 68 and 69, health data access applications and health data requests submitted by a health data applicant established in a third country shall be considered eligible by health data access bodies and the Union health data access service if the third country concerned:
(a)
is an authorised participant on the basis of having a national contact point for secondary use covered by an implementing act referred to in Article 75(5); or
(b)
allows Union health data applicants access to electronic health data in that third country under conditions that are not more restrictive than those provided for in this Regulation, and therefore such access is covered by an implementing act referred to in paragraph 2 of this Article.
2.   By means of implementing acts, the Commission may determine that a third country meets the requirement set out in paragraph 1, point (b), of this Article. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2). The Commission shall make the list of implementing acts adopted pursuant to this paragraph publicly available.
3.   The Commission shall monitor developments in third countries and international organisations that could affect the application of the implementing acts adopted pursuant to paragraph 2, and shall provide for a periodic review of the application of this Article.
Where the Commission considers that a third country no longer meets the requirement laid down in paragraph 1, point (b), of this Article, it shall adopt an implementing act repealing the implementing act referred to in paragraph 2 of this Article relating to that third country that benefits from access. That implementing act shall be adopted in accordance with the examination procedure referred to in Article 98(2).
CHAPTER VI
EUROPEAN GOVERNANCE AND COORDINATION
Article 92
European Health Data Space Board
1.   A European Health Data Space Board (the ‘EHDS Board’) is hereby established to facilitate cooperation and the exchange of information among Member States and the Commission. The EHDS Board shall be composed of two representatives per Member State, namely one representative for primary use purposes and one for secondary use purposes, nominated by each Member State. Each Member State shall have one vote. Members of the EHDS Board shall undertake to act in the public interest and in an independent manner.
2.   A representative of the Commission and one of the representatives of the Member States referred to in paragraph 1 shall co-chair the meetings of the EHDS Board.
3.   Market surveillance authorities referred to in Article 43, the EDPB and the European Data Protection Supervisor, the European Medicines Agency, the European Centre for Disease Prevention and Control and the European Union Agency for Cybersecurity (ENISA) shall be invited to attend the meetings, where relevant according to the EHDS Board.
4.   The EHDS Board may invite national authorities, experts and observers as well as Union institutions, bodies, offices and agencies, in addition to those referred to in paragraph 3, and research infrastructures and other similar infrastructures to attend its meetings.
5.   The EHDS Board may cooperate with external experts where appropriate.
6.   Depending on the functions related to the use of electronic health data, the EHDS Board may work in subgroups for certain topics, in which digital health authorities or health data access bodies shall be represented. Those subgroups shall support the EHDS Board with specific expertise and may have joint meetings, as required.
7.   The EHDS Board shall adopt its rules of procedure and a code of conduct, following a proposal from the Commission. Those rules of procedure shall provide for the composition, organisation, functioning and cooperation of the subgroups referred to in paragraph 6 of this Article and the cooperation of the EHDS Board with the stakeholder forum referred to in Article 93.
The EHDS Board shall adopt decisions by consensus as far as possible. If a consensus cannot be reached, the EHDS Board shall adopt decisions by a majority of two-thirds of the Member States.
8.   The EHDS Board shall cooperate with other relevant bodies, entities and experts, such as the European Data Innovation Board established by Article 29 of Regulation (EU) 2022/868, competent authorities designated in accordance with Article 37 of Regulation (EU) 2023/2854, supervisory bodies designated in accordance with Article 46b of Regulation (EU) No 910/2014, the EDPB established by Article 68 of Regulation (EU) 2016/679, cybersecurity bodies, including ENISA, and the European Open Science Cloud, with a view to reaching advanced solutions towards findable, accessible, interoperable and reusable (FAIR) data usage in research and innovation.
9.   The EHDS Board shall be assisted by a secretariat provided by the Commission.
10.   The EHDS Board shall publish its meeting dates and the minutes of its deliberations, and publish an activity report every two years.
11.   The Commission shall, by means of implementing acts, adopt the necessary measures for the establishment and operation of the EHDS Board. Those implementing acts shall be adopted in accordance with the examination procedure referred to in Article 98(2).
Article 93
Stakeholder forum
1.   A stakeholder forum is hereby established for the purpose of facilitating the exchange of information and promoting cooperation among stakeholders in relation to the implementation of this Regulation.
2.   The stakeholder forum shall have a balanced composition and be composed of relevant stakeholders, including representatives of patient organisations, health professionals, industry, consumer organisations, scientific researchers and academia, and shall represent their views. Where commercial interests are represented in the stakeholder forum, the representation of such interests shall be based on a balanced combination of large companies, small and medium-sized enterprises and start-ups. The tasks of the stakeholder forum shall encompass equally primary use and secondary use.
3.   Members of the stakeholder forum shall be appointed by the Commission following a public call for interest and a transparent selection procedure. Members of the stakeholder forum shall make an annual declaration of interests which shall be made publicly available and updated, when relevant.
4.   The stakeholder forum may establish standing or temporary subgroups, as appropriate, for the purpose of examining specific questions related to the objectives of this Regulation. The stakeholder forum shall adopt its rules of procedure.
5.   The stakeholder forum shall hold regular meetings, which shall be chaired by a Commission representative.
6.   The stakeholder forum shall prepare an annual report of its activities. That report shall be made publicly available.
Article 94
Tasks of the EHDS Board
1.   The EHDS Board shall have the following tasks relating to primary use in accordance with Chapters II and III:
(a)
assisting Member States in coordinating practices of digital health authorities;
(b)
issuing written contributions and exchanging best practices on matters related to the coordination of the implementation at Member State level, taking into account the regional and local level, of this Regulation and of the delegated and implementing acts adopted pursuant to it, in particular as regards:
(i)
the provisions set out in Chapters II and III;
(ii)
the development of online services facilitating secure access, including secure electronic identification, to electronic health data for health professionals and natural persons;
(iii)
other aspects relating to primary use;
(c)
facilitating cooperation between digital health authorities through capacity building, establishing the framework for activity-reporting referred to in Article 20 and the exchange of information;
(d)
sharing among its members information concerning risks posed by EHR systems and serious incidents as well as the handling of such risks and incidents;
(e)
facilitating the exchange of views on primary use with the stakeholder forum referred to in Article 93, as well as with regulators and policy-makers in the health sector.
2.   The EHDS Board shall have the following tasks related to secondary use in accordance with Chapter IV:
(a)
assisting Member States in coordinating practices of health data access bodies in the implementation of provisions set out in Chapter IV, to ensure a consistent application of this Regulation;
(b)
issuing written contributions and exchanging best practices on matters related to the coordination of the implementation at Member State level of this Regulation and of the delegated and implementing acts adopted pursuant to it, in particular as regards:
(i)
implementation of rules for access to electronic health data;
(ii)
technical specifications or existing standards regarding the requirements set out in Chapter IV;
(iii)
incentives for promoting data quality and interoperability improvement;
(iv)
policies concerning fees to be charged by the health data access bodies and health data holders;
(v)
measures to protect the personal data of health professionals involved in the treatment of natural persons;
(vi)
other aspects of secondary use;
(c)
creating, in consultation and cooperation with relevant stakeholders, including representatives of patients, health professionals and researchers, guidelines in order to help health data users to fulfil their duties under Article 61(5), and in particular to determine whether their findings are clinically significant;
(d)
facilitating cooperation between health data access bodies through capacity building, establishing the framework for activity-reporting referred to in Article 59(1), and the exchange of information;
(e)
sharing information concerning risks and incidents related to secondary use, as well as the handling of such risks and incidents;
(f)
facilitating the exchange of views on secondary use with the stakeholder forum referred to in Article 93, as well as with health data holders, health data users, regulators and policy-makers in the health sector.
Article 95
Steering groups for MyHealth@EU and HealthData@EU
1.   The MyHealth@EU steering group and the HealthData@EU steering group (the ‘steering groups’) are hereby established for the cross-border infrastructures provided for in Articles 23 and 75. Each steering group shall be composed of one representative per Member State appointed from the relevant national contact points.
2.   The steering groups shall take operational decisions concerning the development and operation of MyHealth@EU and HealthData@EU.
3.   The steering groups shall take decisions by consensus. Where a consensus cannot be reached, a decision shall be adopted by two-thirds of the members. For the adoption of the decisions, each Member State shall have one vote.
4.   The steering groups shall adopt rules of procedure, setting out their composition, organisation, functioning and cooperation.
5.   Other authorised participants may be invited to exchange information and views on relevant matters related to MyHealth@EU and HealthData@EU. Where those authorised participants are invited, they shall have an observer role.
6.   Stakeholders and relevant third parties, including representatives of patients, health professionals, consumers and industry, may be invited to attend the meetings of the steering groups as observers.
7.   The steering groups shall elect chairs for their meetings.
8.   The steering groups shall be assisted by a secretariat provided by the Commission.
Article 96
Roles and responsibilities of the Commission regarding the functioning of the EHDS
1.   In addition to its role in making available electronic health data held by Union institutions, bodies, offices or agencies, in accordance with Article 55, Article 56 and Article 75(2), and its tasks under Chapter III, in particular Article 40, the Commission shall develop, maintain, host and operate the infrastructures and central services required to support the functioning of the EHDS, for all relevant connected entities, by means of:
(a)
an interoperable, cross-border identification and authentication mechanism for natural persons and health professionals, in accordance with Article 16(3) and (4);
(b)
the central services and infrastructures for digital health of MyHealth@EU, in accordance with Article 23(1);
(c)
compliance checks for connecting authorised participants to MyHealth@EU, in accordance with Article 23(9);
(d)
the supplementary cross-border digital health services and infrastructures referred to in Article 24(1);
(e)
as part of HealthData@EU, a service to submit health data access applications seeking access to electronic health data held by health data holders in more than one Member State or by other authorised participants in HealthData@EU and to automatically forward the health data access applications to the relevant contact points, in accordance with Article 67(3);
(f)
the central services and infrastructures of HealthData@EU, in accordance with Article 75(7) and (8);
(g)
a secure processing environment, in accordance with Article 75(9), in which health data access bodies can decide to make data available, in accordance with Article 68(8);
(h)
compliance checks for connecting authorised participants to HealthData@EU, in accordance with Article 75(5);
(i)
a federated EU dataset catalogue connecting the national dataset catalogues, in accordance with Article 79;
(j)
a secretariat for the EHDS Board, in accordance with Article 92(9);
(k)
a secretariat for the steering groups, in accordance with Article 95(8).
2.   The services referred to in paragraph 1 of this Article shall meet sufficient quality standards in terms of availability, security, capacity, interoperability, maintenance, monitoring and development to ensure the EHDS functions effectively. The Commission shall provide those services in accordance with the operational decisions of the relevant steering groups established in Article 95.
3.   The Commission shall prepare a report on the infrastructures and services supporting the EHDS that it provides in accordance with paragraph 1 every two years and make it publicly available.
CHAPTER VII
DELEGATION OF POWERS AND COMMITTEE PROCEDURE
Article 97
Exercise of the delegation
1.   The power to adopt delegated acts is conferred on the Commission subject to the conditions laid down in this Article.
2.   The power to adopt delegated acts referred to in Article 14(2), Article 49(4) and Article 78(5) shall be conferred on the Commission for an indeterminate period of time from 25 March 2025.
3.   The power to adopt delegated acts referred to in Article 14(2), Article 49(4) and Article 78(5) may be revoked at any time by the European Parliament or by the Council. A decision to revoke shall put an end to the delegation of the power specified in that decision. It shall take effect the day following the publication of the decision in the 
Official Journal of the European Union
 or at a later date specified therein. It shall not affect the validity of any delegated acts already in force.
4.   Before adopting a delegated act, the Commission shall consult experts designated by each Member State in accordance with the principles laid down in the Interinstitutional Agreement of 13 April 2016 on Better Law-Making.
5.   As soon as it adopts a delegated act, the Commission shall notify it simultaneously to the European Parliament and to the Council.
6.   A delegated act adopted pursuant to Article 14(2), Article 49(4) or Article 78(5) shall enter into force only if no objection has been expressed either by the European Parliament or by the Council within a period of three months of notification of that act to the European Parliament and to the Council or if, before the expiry of that period, the European Parliament and the Council have both informed the Commission that they will not object. That period shall be extended by three months at the initiative of the European Parliament or of the Council.
Article 98
Committee procedure
1.   The Commission shall be assisted by a committee. That committee shall be a committee within the meaning of Regulation (EU) No 182/2011.
2.   Where reference is made to this paragraph, Article 5 of Regulation (EU) No 182/2011 shall apply.
CHAPTER VIII
MISCELLANEOUS
Article 99
Penalties
Member States shall lay down the rules on penalties applicable to infringements of this Regulation, in particular for infringements which are not subject to administrative fines pursuant to Articles 63 and 64, and shall take all measures necessary to ensure that they are implemented. The penalties provided for shall be effective, proportionate and dissuasive. Member States shall, by 26 March 2027, notify the Commission of those rules and of those measures and shall notify it, without delay, of any subsequent amendment affecting them.
Member States shall take into account the following non-exhaustive and indicative criteria for the imposition of penalties for infringements of this Regulation, where appropriate:
(a)
the nature, gravity, scale and duration of the infringement;
(b)
any action taken by the infringer to mitigate or remedy the damage caused by the infringement;
(c)
any previous infringements by the infringer;
(d)
the financial benefits gained or losses avoided by the infringer due to the infringement, insofar as such benefits or losses can be reliably established;
(e)
any other aggravating or mitigating factors applicable to the circumstances of the case;
(f)
the infringer’s annual turnover in the Union in the preceding financial year.
Article 100
Right to receive compensation
Any natural or legal person that has suffered material or non-material damage as a result of an infringement of this Regulation shall have the right to receive compensation in accordance with Union and national law.
Article 101
Representation of a natural person
Where a natural person considers that his or her rights under this Regulation have been infringed, he or she shall have the right to mandate a not-for-profit body, organisation or association, constituted in accordance with national law, having statutory public interest objectives and active in the field of the protection of personal data, to lodge a complaint on his or her behalf or to exercise the rights referred to in Articles 21 and 81.
Article 102
Evaluation, review and progress report
1.   By 26 March 2033, the Commission shall carry out a targeted evaluation of this Regulation, and submit a report on its main findings to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions, accompanied, where appropriate, by a proposal for its amendment. That evaluation shall cover the following:
(a)
the possibilities of further extending interoperability between EHR systems and electronic health data access services other than those established by the Member States;
(b)
the need to update the data categories referred to in Article 51 and the purposes listed in Article 53(1);
(c)
the implementation and use by natural persons of the mechanisms to opt out from secondary use referred to in Article 71, in particular on the impact of those mechanisms on public health, scientific research and fundamental rights;
(d)
the use and implementation of any stricter measures introduced pursuant to Article 51(4);
(e)
the exercise and implementation of the right referred to in Article 8;
(f)
an assessment of the certification framework for EHR systems established in Chapter III and the need to introduce further tools regarding conformity assessment;
(g)
an assessment of the functioning of the internal market for EHR systems;
(h)
an assessment of the costs and benefits of the implementation of the provisions for secondary use laid down in Chapter IV;
(i)
the application of fees as referred to in Article 62.
2.   By 26 March 2035, the Commission shall carry out an overall evaluation of this Regulation, and submit a report on its main findings to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions, accompanied, where appropriate, by a proposal for its amendment or other appropriate measures. That evaluation shall include an assessment of the efficiency and functioning of the systems providing for access to electronic health data for further processing, carried out on the basis of Union or national law referred to in Article 1(7), with regard to their impact on the implementation of this Regulation.
3.   Member States shall provide the Commission with the information necessary for the preparation of the reports referred to in paragraphs 1 and 2 and the Commission shall take that information duly into account in those reports.
4.   Every year following 25 March 2025 until the end of the year in which all provisions of this Regulation apply as provided for in Article 105, the Commission shall submit a progress report to the Council on the preparations for the full implementation of this Regulation. That progress report shall contain information about the degree of progress and the readiness of the Member States in relation to the implementation of this Regulation, including an assessment of the feasibility of reaching the timeframes laid down in Article 105, and may also contain recommendations for Member States to improve preparedness for the application of this Regulation.
Article 103
Amendment to Directive 2011/24/EU
Article 14 of Directive 2011/24/EU is deleted with effect from 26 March 2031.
Article 104
Amendment to Regulation (EU) 2024/2847
Regulation (EU) 2024/2847 is amended as follows:
(1)
in Article 13, paragraph 4 is replaced by the following:
‘4.   When placing a product with digital elements on the market, the manufacturer shall include the cybersecurity risk assessment referred to in paragraph 3 of this Article in the technical documentation required pursuant to Article 31 and Annex VII. For products with digital elements as referred to in Article 12 and Article 32(5a), which are also subject to other Union legal acts, the cybersecurity risk assessment may be part of the risk assessment required by those Union legal acts. Where certain essential cybersecurity requirements are not applicable to the product with digital elements, the manufacturer shall include a clear justification to that effect in that technical documentation.’
;
(2)
in Article 31, paragraph 3 is replaced by the following:
‘3.   For products with digital elements as referred to in Article 12 and Article 32(5a), which are also subject to other Union legal acts which provide for technical documentation, a single set of technical documentation shall be drawn up containing the information referred to in Annex VII and the information required by those Union legal acts.’
;
(3)
in Article 32, the following paragraph is inserted:
‘5a.   Manufacturers of products with digital elements that are classified as EHR systems under Regulation (EU) 2025/327 of the European Parliament and of the Council
 (
*1
)
 shall demonstrate conformity with the essential requirements set out in Annex I to this Regulation using the relevant conformity assessment procedure provided for in Chapter III of Regulation (EU) 2025/327.
(
*1
)
  Regulation (EU) 2025/327 of the European Parliament and of the Council of 11 February 2025 on the European Health Data Space and amending Directive 2011/24/EU and Regulation (EU) 2024/2847 (
OJ L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj
).’."
CHAPTER IX
DEFERRED APPLICATION, TRANSITIONAL AND FINAL PROVISIONS
Article 105
Entry into force and application
This Regulation shall enter into force on the twentieth day following that of its publication in the 
Official Journal of the European Union
.
This Regulation shall apply from 26 March 2027.
However, Articles 3 to 15, Article 23(2) to (6), Articles 25, 26, 27, 47, 48 and 49 shall apply as follows:
(a)
from 26 March 2029 to priority categories of personal electronic health data referred to in Article 14(1), points (a), (b) and (c), and to EHR systems intended by the manufacturer to process such categories of data;
(b)
from 26 March 2031 to priority categories of personal electronic health data referred to in Article 14(1), points (d), (e) and (f), and to EHR systems intended by the manufacturer to process such categories of data;
(c)
from one year from the date established in a delegated act to be adopted pursuant to Article 14(2) for each amendment of the main characteristics of personal electronic health data set out in Annex I, provided that that date is subsequent to the date of application referred to in points (a) and (b) of this subparagraph for the categories of personal electronic health data concerned.
Chapter III shall apply to EHR systems put into service in the Union referred to in Article 26(2) from 26 March 2031.
Chapter IV shall apply from 26 March 2029. However, Article 55(6), Article 70, Article 73(5), Article 75(1) and (12), Article 77(4) and Article 78(6) shall apply from 26 March 2027; Article 51(1), points (b), (f), (g), (m) and (p), shall apply from 26 March 2031; and Article 75(5) shall apply from 26 March 2035.
The implementing acts referred to in Article 13(4), Article 15(1), Article 23(4) and Article 36(1) shall apply from the dates referred to in the third paragraph of this Article depending on the categories of personal electronic health data referred to in Article 14(1), points (a), (b) and (c), or Article 14(1), points (d), (e) and (f), respectively.
The implementing acts referred to in Article 70, Article 73(5), Article 75(12), Article 77(4) and Article 78(6) shall apply from 26 March 2029.
This Regulation shall be binding in its entirety and directly applicable in all Member States.
Done at Strasbourg, 11 February 2025.
For the European Parliament
The President
R. METSOLA
For the Council
The President
A. SZŁAPKA
(
1
)
  
            
OJ C 486, 21.12.2022, p. 123
.
(
2
)
  
            
OJ C 157, 3.5.2023, p. 64
.
(
3
)
  Position of the European Parliament of 24 April 2024 (not yet published in the Official Journal) and decision of the Council of 21 January 2025.
(
4
)
  Commission Implementing Decision (EU) 2019/1269 of 26 July 2019 amending Implementing Decision 2014/287/EU setting out criteria for establishing and evaluating European Reference Networks and their Members and for facilitating the exchange of information and expertise on establishing and evaluating such Networks (
OJ L 200, 29.7.2019, p. 35
).
(
5
)
  Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (
OJ L 119, 4.5.2016, p. 1
).
(
6
)
  Regulation (EU) 2018/1725 of the European Parliament and of the Council of 23 October 2018 on the protection of natural persons with regard to the processing of personal data by the Union institutions, bodies, offices and agencies and on the free movement of such data, and repealing Regulation (EC) No 45/2001 and Decision No 1247/2002/EC (
OJ L 295, 21.11.2018, p. 39
).
(
7
)
  Regulation (EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market and repealing Directive 1999/93/EC (
OJ L 257, 28.8.2014, p. 73
).
(
8
)
  Decision (EU) 2022/2481 of the European Parliament and of the Council of 14 December 2022 establishing the Digital Decade Policy Programme 2030 (
OJ L 323, 19.12.2022, p. 4
).
(
9
)
  Commission Recommendation (EU) 2019/243 of 6 February 2019 on a European Electronic Health Record exchange format (
OJ L 39, 11.2.2019, p. 18
).
(
10
)
  Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence and amending Regulations (EC) No 300/2008, (EU) No 167/2013, (EU) No 168/2013, (EU) 2018/858, (EU) 2018/1139 and (EU) 2019/2144 and Directives 2014/90/EU, (EU) 2016/797 and (EU) 2020/1828 (Artificial Intelligence Act) (
OJ L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj
).
(
11
)
  Regulation (EU) 2017/745 of the European Parliament and of the Council of 5 April 2017 on medical devices, amending Directive 2001/83/EC, Regulation (EC) No 178/2002 and Regulation (EC) No 1223/2009 and repealing Council Directives 90/385/EEC and 93/42/EEC (
OJ L 117, 5.5.2017, p. 1
).
(
12
)
  Regulation (EU) 2022/868 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU) 2018/1724 (Data Governance Act) (
OJ L 152, 3.6.2022, p. 1
).
(
13
)
  Regulation (EU) 2023/2854 of the European Parliament and of the Council of 13 December 2023 on harmonised rules on fair access to and use of data and amending Regulation (EU) 2017/2394 and Directive (EU) 2020/1828 (Data Act) (
OJ L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj
).
(
14
)
  Directive 2011/24/EU of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross-border healthcare (
OJ L 88, 4.4.2011, p. 45
).
(
15
)
  Regulation (EU) 2024/2847 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act) (
OJ L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
).
(
16
)
  Regulation (EU) 2017/746 of the European Parliament and of the Council of 5 April 2017 on 
in vitro
 diagnostic medical devices and repealing Directive 98/79/EC and Commission Decision 2010/227/EU (
OJ L 117, 5.5.2017, p. 176
).
(
17
)
  Regulation (EU) 2019/1020 of the European Parliament and of the Council of 20 June 2019 on market surveillance and compliance of products and amending Directive 2004/42/EC and Regulations (EC) No 765/2008 and (EU) No 305/2011 (
OJ L 169, 25.6.2019, p. 1
).
(
18
)
  Commission Recommendation 2003/361/EC of 6 May 2003 concerning the definition of micro, small and medium-sized enterprises (
OJ L 124, 20.5.2003, p. 36
).
(
19
)
  Council Regulation (EC) No 723/2009 of 25 June 2009 on the Community legal framework for a European Research Infrastructure Consortium (ERIC) (
OJ L 206, 8.8.2009, p. 1
).
(
20
)
  Regulation (EU) 2018/1724 of the European Parliament and of the Council of 2 October 2018 establishing a single digital gateway to provide access to information, to procedures and to assistance and problem-solving services and amending Regulation (EU) No 1024/2012 (
OJ L 295, 21.11.2018, p. 1
).
(
21
)
  Regulation (EU) 2019/881 of the European Parliament and of the Council of 17 April 2019 on ENISA (the European Union Agency for Cybersecurity) and on information and communications technology cybersecurity certification and repealing Regulation (EU) No 526/2013 (Cybersecurity Act) (
OJ L 151, 7.6.2019, p. 15
).
(
22
)
  
            
OJ L 123, 12.5.2016, p. 1
.
(
23
)
  Regulation (EU) No 182/2011 of the European Parliament and of the Council of 16 February 2011 laying down the rules and general principles concerning mechanisms for control by the Member States of the Commission’s exercise of implementing powers (
OJ L 55, 28.2.2011, p. 13
).
(
24
)
  Regulation (EC) No 223/2009 of the European Parliament and of the Council of 11 March 2009 on European statistics and repealing Regulation (EC, Euratom) No 1101/2008 of the European Parliament and of the Council on the transmission of data subject to statistical confidentiality to the Statistical Office of the European Communities, Council Regulation (EC) No 322/97 on Community Statistics, and Council Decision 89/382/EEC, Euratom establishing a Committee on the Statistical Programmes of the European Communities (
OJ L 87, 31.3.2009, p. 164
).
(
25
)
  Regulation (EU) No 536/2014 of the European Parliament and of the Council of 16 April 2014 on clinical trials on medicinal products for human use, and repealing Directive 2001/20/EC (
OJ L 158, 27.5.2014, p. 1
).
(
26
)
  Directive 2002/58/EC of the European Parliament and of the Council of 12 July 2002 concerning the processing of personal data and the protection of privacy in the electronic communications sector (Directive on privacy and electronic communications) (
OJ L 201, 31.7.2002, p. 37
).
(
27
)
  Directive (EU) 2016/943 of the European Parliament and of the Council of 8 June 2016 on the protection of undisclosed know-how and business information (trade secrets) against their unlawful acquisition, use and disclosure (
OJ L 157, 15.6.2016, p. 1
).
(
28
)
  Directive 2014/24/EU of the European Parliament and of the Council of 26 February 2014 on public procurement and repealing Directive 2004/18/EC (
OJ L 94, 28.3.2014, p. 65
).
(
29
)
  Regulation (EC) No 1338/2008 of the European Parliament and of the Council of 16 December 2008 on Community statistics on public health and health and safety at work (
OJ L 354, 31.12.2008, p. 70
).
(
30
)
  Regulation (EC) No 765/2008 of the European Parliament and of the Council of 9 July 2008 setting out the requirements for accreditation and repealing Regulation (EEC) No 339/93 (
OJ L 218, 13.8.2008, p. 30
).
(
31
)
  Directive (EU) 2019/882 of the European Parliament and of the Council of 17 April 2019 on the accessibility requirements for products and services (
OJ L 151, 7.6.2019, p. 70
).
(
32
)
  Directive (EU) 2022/2555 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) No 910/2014 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (
OJ L 333, 27.12.2022, p. 80
).
(
33
)
  Directive (EU) 2015/1535 of the European Parliament and of the Council of 9 September 2015 laying down a procedure for the provision of information in the field of technical regulations and of rules on Information Society services (
OJ L 241, 17.9.2015, p. 1
).
(
34
)
  Regulation (EU) 2018/1807 of the European Parliament and of the Council of 14 November 2018 on a framework for the free flow of non-personal data in the European Union (
OJ L 303, 28.11.2018, p. 59
).
(
35
)
  Regulation (EU) 2024/1938 of the European Parliament and of the Council of 13 June 2024 on standards of quality and safety for substances of human origin intended for human application and repealing Directives 2002/98/EC and 2004/23/EC (
OJ L, 2024/1938, 17.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1938/oj
).
(
36
)
  Directive 2001/83/EC of the European Parliament and of the Council of 6 November 2001 on the Community code relating to medicinal products for human use (
OJ L 311, 28.11.2001, p. 67
).
(
37
)
  Regulation (EC) No 726/2004 of the European Parliament and of the Council of 31 March 2004 laying down Union procedures for the authorisation and supervision of medicinal products for human use and establishing a European Medicines Agency (
OJ L 136, 30.4.2004, p. 1
).
ANNEX I
Main characteristics of priority categories of personal electronic health data for primary use
Electronic health data category
Main characteristics of electronic health data included under the category
1.
Patient summaries
Electronic health data that include significant clinical facts related to an identified natural person and that are essential for the provision of safe and efficient healthcare to that person. The following information is part of a patient summary:
1.
Personal details.
2.
Contact information.
3.
Information on insurance.
4.
Allergies.
5.
Medical alerts.
6.
Vaccination/prophylaxis information, possibly in the form of a vaccination card.
7.
Current, resolved, closed or inactive problems, including in an international classification coding.
8.
Textual information related to medical history.
9.
Medical devices and implants.
10.
Medical or care procedures.
11.
Functional status.
12.
Current and relevant past medicines.
13.
Social history observations related to health.
14.
Pregnancy history.
15.
Patient-provided data.
16.
Observation results pertaining to the health condition.
17.
Plan of care.
18.
Information on a rare disease, such as details about the impact or characteristics of the disease.
2.
Electronic prescriptions
Electronic health data constituting a prescription for a medicinal product as defined in Article 3, point (k), of Directive 2011/24/EU.
3.
Electronic dispensations
Information on the supply of a medicinal product to a natural person by a pharmacy based on an electronic prescription.
4.
Medical imaging studies and related imaging reports
Electronic health data related to the use of or produced by technologies that are used to view the human body in order to prevent, diagnose, monitor or treat medical conditions.
5.
Medical test results, including laboratory and other diagnostic results and related reports
Electronic health data representing results of studies performed in particular through 
in vitro
 diagnostics such as clinical biochemistry, haematology, transfusion medicine, microbiology, immunology and others, and including, where relevant, reports supporting the interpretation of the results.
6.
Discharge reports
Electronic health data related to a healthcare encounter or episode of care and including essential information about admission, treatment and discharge of a natural person.
ANNEX II
Essential requirements for the harmonised software components of EHR systems and for products for which interoperability with EHR systems has been claimed
The essential requirements laid down in this Annex shall apply 
mutatis mutandis
 to medical devices, 
in vitro
 diagnostic medical devices, AI systems and wellness applications claiming interoperability with EHR systems.
1.   General requirements
1.1.
The harmonised software components of an EHR system shall achieve the performance intended by its manufacturer and shall be designed and manufactured in such a way that, during normal conditions of use, they are suitable for their intended purpose and their use does not put at risk patient safety.
1.2.
The harmonised software components of the EHR system shall be designed and developed in such a way that the EHR system can be supplied and installed, taking into account the instructions and information provided by the manufacturer, without adversely affecting its characteristics and performance during its intended use.
1.3.
An EHR system shall be designed and developed in such a way that its interoperability, safety and security features uphold the rights of natural persons, in line with the intended purpose of the EHR system, as set out in Chapter II.
1.4.
The harmonised software components of an EHR system that is intended to be operated together with other products, including medical devices, shall be designed and manufactured in such a way that interoperability and compatibility are reliable and secure, and personal electronic health data can be shared between the device and the EHR system in relation to those harmonised software components of an EHR system.
2.   Requirements for interoperability
2.1.
Where an EHR system is designed to store or intermediate personal electronic health data, it shall provide an interface enabling access to the personal electronic health data processed by it in the European electronic health record exchange format, by means of the European interoperability software component for EHR systems.
2.2.
Where an EHR system is designed to store or intermediate personal electronic health data, it shall be able to receive personal electronic health data in the European electronic health record exchange format, by means of the European interoperability software component for EHR systems.
2.3.
Where an EHR system is designed to provide access to personal electronic health data, it shall be able to receive personal electronic health data in the European electronic health record exchange format, by means of the European interoperability software component for EHR systems.
2.4.
An EHR system that includes a functionality for entering structured personal electronic health data shall enable the entry of data with sufficient granularity to enable the provision of the entered personal electronic health data in the European electronic health record exchange format.
2.5.
The harmonised software components of an EHR system shall not include features that prohibit, restrict or place an undue burden on authorised access, personal electronic health data sharing or use of personal electronic health data for permitted purposes.
2.6.
The harmonised software components of an EHR system shall not include features that prohibit, restrict or place an undue burden on authorised exporting of personal electronic health data for the reasons of replacing the EHR system by another product.
3.   Requirements for security and logging.
3.1.
An EHR system designed to be used by health professionals shall provide reliable mechanisms for the identification and authentication of health professionals.
3.2.
The European logging software component of an EHR system designed to enable access by healthcare providers or other individuals to personal electronic health data shall provide sufficient logging mechanisms that record at least the following information on every access event or group of events:
(a)
identification of the healthcare provider or other individuals having accessed the personal electronic health data;
(b)
identification of the specific natural person or persons having accessed the personal electronic health data;
(c)
the categories of data accessed;
(d)
the time and date of access;
(e)
the origin or origins of data.
3.3.
The harmonised software components of an EHR system shall include tools or mechanisms to review and analyse the log data, or it shall support the connection and use of external software for the same purposes.
3.4.
The harmonised software components of an EHR system that store personal electronic health data shall support different retention periods and access rights that take into account the origins and categories of electronic health data.
ANNEX III
Technical documentation
The technical documentation referred to in Article 37 shall contain at least the following information, as applicable to the harmonised software components of an EHR system in the relevant EHR system:
1.
A detailed description of the EHR system including:
(a)
its intended purpose, and the date and version of the EHR system;
(b)
the categories of personal electronic health data that the EHR system has been designed to process;
(c)
how the EHR system interacts or can be used to interact with hardware or software that is not part of the EHR system itself;
(d)
the versions of relevant software or firmware and any requirement related to version update;
(e)
the description of all forms in which the EHR system is placed on the market or put into service;
(f)
the description of hardware on which the EHR system is intended to run;
(g)
a description of the system architecture explaining how software components build on or feed into each other and integrate into the overall processing, including, where appropriate, labelled pictorial representations (e.g. diagrams and drawings), clearly indicating key parts or software components and including sufficient explanation to understand the drawings and diagrams;
(h)
the technical specifications, such as features, dimensions and performance attributes, of the EHR system and any variants or configurations and accessories that would typically appear in the product specification made available to the user, for example in brochures, catalogues and similar publications, including a detailed description of the data structures, storage and input/output of data;
(i)
a description of any change made to the system throughout its lifecycle;
(j)
the instructions for use for the user and, where applicable, installation instructions.
2.
A detailed description of the system in place to evaluate the EHR system performance, where applicable.
3.
The references to any common specification used in accordance with Article 36 and in relation to which conformity is declared.
4.
The results and critical analyses of all verifications and validation tests undertaken to demonstrate conformity of the EHR system with the requirements laid down in Chapter III, in particular the applicable essential requirements.
5.
A copy of the information sheet referred to in Article 38.
6.
A copy of the EU declaration of conformity.
ANNEX IV
EU declaration of conformity
The EU declaration of conformity for the harmonised software components of an EHR system shall contain all of the following information:
1.
The name of the EHR system, version and any additional unambiguous reference allowing identification of the EHR system.
2.
Name and address of the manufacturer or, where applicable, its authorised representative.
3.
A statement that the EU declaration of conformity is issued under the sole responsibility of the manufacturer.
4.
A statement that the EHR system in question is in conformity with the provisions laid down in Chapter III and, if applicable, with any other relevant Union law that provides for the issuing of an EU declaration of conformity, complemented by the result from the testing environment mentioned in Article 40.
5.
References to any relevant harmonised standards used and in relation to which conformity is declared.
6.
References to any common specifications used and in relation to which conformity is declared.
7.
Place and date of issue of the declaration, signature plus name and function of the person who signed and, if applicable, an indication of the person on whose behalf it was signed.
8.
Where applicable, additional information.
ELI: http://data.europa.eu/eli/reg/2025/327/oj
ISSN 1977-0677 (electronic edition)

Summary:
European Health Data Space (EHDS)
SUMMARY OF:
Regulation (EU) 
2025/327
 on the European Health Data Space
WHAT IS THE AIM OF THE REGULATION?
Regulation (EU) 
2025/327
 establishes the 
European Health Data Space (EHDS)
 to enhance individuals’ access to and control over their personal electronic health data to improve healthcare delivery and support 
research and innovation
. The EHDS is a cornerstone of the European health union and the first common EU data space dedicated to a specific sector as part of the European strategy for data.
KEY POINTS
Purpose and scope
The EHDS 
regulation
 lays down rules that will:
empower individuals to access, control and share their electronic health data across borders for healthcare purposes (
primary use of data
);
enable the secure reuse of electronic health data for research, innovation, policymaking and regulatory activities (
secondary use of data
);
foster a single market for electronic health record (EHR) systems, supporting both primary and secondary use.
Primary use of electronic health data
Individuals’ rights
Under the EHDS regulation, individuals, or their representatives, will have additional rights in relation to specific categories of their personal electronic health data, including the right to:
access their electronic health data 
immediately
 and 
free of charge
 through health access services;
download a copy of their health data in the commonly used and machine-readable 
European electronic health record exchange format
 and share it with healthcare providers across the EU;
insert information into their EHRs and request corrections;
view records of who accessed their data, when and for what purpose;
manage proxy authorities;
restrict access to all or parts of their health data; and
opt out of giving access to their personal electronic health data, under certain conditions.
These additional rights apply to the following categories of personal electronic health data, collectively called the ‘priority categories’. These rights will start to apply in two phases.
First phase:
patient summaries (an extensive set of key clinical data including diagnoses and health conditions, allergies, medication, vaccination, plan of care, etc.);
electronic prescriptions;
electronic dispensations (information that a prescription has been used).
Added in the 
second phase
:
medical imaging studies and related imaging reports;
medical test results, including laboratory and other diagnostic results and related reports;
discharge reports.
Individuals will be able to exercise these additional rights on the first three categories by 26 March 2029 (first phase) and by 26 March 2031 on the last three categories (second phase).
These rights apply to these data categories when such data are processed electronically. These rights also cover historical data – they are not limited to documents generated after these rights start to apply.
Access by healthcare professionals
Healthcare professionals may access the priority categories of personal electronic health data for patients under their treatment, including across borders via 
MyHealth@EU
, to support 
safe
, 
high-quality
 and 
continuous
 care.
Each EU 
Member State
 will need to define access rights based on professional roles, along with tasks to be carried out. Only professionals with 
recognised electronic identification
 may access data, which must be presented in a 
user-friendly format
.
Individuals may restrict access to parts of their data. In such cases, professionals will 
not be aware
 of the existence or content of the restricted information. In emergencies, access may be granted if needed to protect the individual’s 
vital interests
, with all such access 
recorded
 and 
visible
 to the individual.
MyHealth@EU
, the EU’s central interoperability platform, enables the secure cross-border exchange of electronic health data for 
healthcare purposes (primary use)
, giving individuals and professionals access to necessary data when a person receives treatment in another Member State.
Rules for placing electronic health record systems and wellness applications on the market
EHR systems
 may only be placed on the EU market if they comply with the 
essential requirements
, follow 
common specifications
 and pass a 
conformity self-assessment
.
Manufacturers
 are responsible for ensuring ongoing compliance, maintaining technical documentation and, where required under EU law, affixing 
CE markings
 before placing the system on the market.
Wellness applications
 claiming interoperability with EHR systems, and therefore compliance with relevant requirements, must be labelled accordingly and meet minimum interoperability standards.
National market surveillance authorities
 monitor compliance with these requirements.
Secondary use of electronic health data
Where an entity qualifies as a health data holder, it will have to make the data categories listed in Article 51 available according to the conditions in Chapter IV of the EHDS.
Health data can be reused, under 
strict conditions
.
A 
data permit
 issued by a health data access body (HDAB)
1
 is required. This follows the submission of an application and its assessment by the HDAB under strict criteria, including whether access is requested for data falling within the ‘minimum’ categories, i.e. those categories of electronic health data allowed to be used for secondary use and for specific purposes.
Only 
pseudonymised
 or 
anonymised data
 can be accessed in a secure processing environment – no personal data can be downloaded from these environments.
Researchers, companies or public institutions may only access pseudonymised data if anonymised data is insufficient for their purposes.
Results of data use must be made 
publicly available
 when appropriate, especially if publicly funded or for transparency.
Certain uses, such as for 
advertising
, reidentification or 
discrimination
, are strictly 
prohibited
.
Member State responsibilities and EU coordination
To ensure consistent application of the regulation and smooth cross-border cooperation in primary use, each Member State must designate one or more 
digital health authorities
. These authorities are responsible for:
monitoring the implementation and 
enforcement
 of the regulation;
ensuring the interoperability and security of data systems;
supervising EHR systems and wellness applications made available in their territory;
coordinating digital health matters at both the national and EU levels.
In addition, Member States must appoint 
national contact points
 for digital health. These act as 
gateways
 for cross-border data exchange. All national contact points must be connected to the central interoperability platform for digital health in the cross-border infrastructure 
MyHealth@EU
.
With regard to 
secondary use
, each Member State must designate at least one 
HDAB
, responsible for handling data access applications and requests, issuing data permits, supervising compliance and ensuring transparency in data reuse.
HealthData@EU
 supports the 
secondary use
 of health data across Member States by connecting national contact points and authorised users to promote research and innovation across the EU.
The 
European Health Data Space Board
 is established to facilitate cooperation among Member States and the 
European Commission
 and to carry out tasks related to both primary and secondary use.
Member States are also required to 
ensure compliance
 through appropriate penalties and enforcement measures. The Commission 
reports annually
 on implementation progress, technical readiness and cooperation measures.
FROM WHEN DOES THE REGULATION APPLY?
The regulation applies from 26 March 2027, with phased implementation of key rules between 2029 and 2035.
Key implementation milestones
26 March 
2025
 – the regulation enters into force.
26 March 
2027
 – deadline for the Commission to adopt 
implementing acts
 for the application of the regulation.
From 26 March 
2029
 – cross-border exchange of patient summaries and electronic prescriptions and dispensations become mandatory in all Member States via 
MyHealth@EU (primary use)
. Rules on secondary use will also start to apply for most data categories (e.g. data from electronic health records).
From 26 March 
2031
 – cross-border exchange expands to include laboratory results, medical imaging and hospital discharge reports (primary use). Rules on secondary use will also start to apply for the remaining data categories (e.g. genomic data).
From 26 March 
2035
 – non-EU countries and international organisations may apply to join 
HealthData@EU
, under specific conditions (secondary use).
The regulation amends Directive 
2011/24/EU
 (see 
summary
) and Regulation (EU) 
2024/2847
 (see 
summary
).
BACKGROUND
The EHDS is a key pillar of the 
European health union
; it builds further on the 
General Data Protection Regulation
 (see 
summary
) and aligns with the 
Data Governance Act
 (see 
summary
), the 
Data Act
 (see 
summary
) and the 
NIS 2 Directive
 (see 
summary
).
For further information, see:
European Health Data Space Regulation (EHDS)
 (European Commission)
Certification of EHR systems
 (European Commission)
My rights over my health data
 (European Commission)
European Health Data Space: Council and Parliament strike deal
 (Council of the European Union).
KEY TERMS
Health data access body (HDAB).
 A national authority that authorises and oversees the secondary use of electronic health data under the EHDS.
MAIN DOCUMENT
Regulation (EU) 
2025/327
 of the European Parliament and of the Council of 11 February 2025 on the European Health Data Space and amending Directive 2011/24/EU and Regulation (EU) 
2024/2847
 (OJ L, 2025/327, 
5.3.2025
).
RELATED DOCUMENTS
Regulation (EU) 
2024/2847
 of the European Parliament and of the Council of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) 
No 168/2013
 and (EU) 
2019/1020
 and Directive (EU) 2020/1828 (Cyber Resilience Act) (OJ L, 2024/2847, 
20.11.2024
).
Successive amendments to Regulation (EU) 
2024/2847
 have been incorporated into the original text. This 
consolidated version
 is of documentary value only.
Regulation (EU) 
2023/2854
 of the European Parliament and of the Council of 13 December 2023 on harmonised rules on fair access to and use of data and amending Regulation (EU) 
2017/2394
 and Directive (EU) 2020/1828 (Data Act) (OJ L, 2023/2854, 
22.12.2023
).
Regulation (EU) 
2022/868
 of the European Parliament and of the Council of 30 May 2022 on European data governance and amending Regulation (EU) 
2018/1724
 (Data Governance Act) (OJ L 152, 
3.6.2022
, 
pp. 1–44
).
Directive (EU) 
2022/2555
 of the European Parliament and of the Council of 14 December 2022 on measures for a high common level of cybersecurity across the Union, amending Regulation (EU) 
No 910/2014
 and Directive (EU) 2018/1972, and repealing Directive (EU) 2016/1148 (NIS 2 Directive) (OJ L 333, 
27.12.2022
, 
pp. 80–152
).
See 
consolidated version
.
Commission Recommendation (EU) 
2019/243
 of 6 February 2019 on a European Electronic Health Record exchange format (OJ L 39, 
11.2.2019
, 
pp. 18–27
).
Regulation (EU) 
2016/679
 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) (OJ L 119, 
4.5.2016
, 
pp. 1–88
).
See 
consolidated version
.
Directive 
2011/24/EU
 of the European Parliament and of the Council of 9 March 2011 on the application of patients’ rights in cross-border healthcare (OJ L 88, 
4.4.2011
, 
pp. 45–65
).
See 
consolidated version
.
last update 
16.1.2026

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2025/327
5.3.2025
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2025/327
af 11. februar 2025
om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 2024/2847
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16 og 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Formålet med denne forordning er at oprette det europæiske sundhedsdataområde for at forbedre fysiske personers adgang til og kontrol med deres personlige elektroniske sundhedsdata i forbindelse med sundhedsydelser samt for bedre at opfylde andre formål, der omfatter anvendelse af elektroniske sundhedsdata, på sundhedsområdet og i plejesektoren, der vil være til gavn for samfundet, såsom forskning, innovation, politikudformning, beredskab og indsats over for sundhedstrusler, herunder forebyggelse og håndtering af fremtidige pandemier, patientsikkerhed, personlig medicin, officielle statistikker eller reguleringsmæssige aktiviteter. Formålet med denne forordning er endvidere at forbedre det indre markeds funktion ved at fastlægge ensartede retlige og tekniske rammer, navnlig for udvikling, markedsføring og anvendelse af elektroniske patientjournaler (»EPJ-systemer«) i overensstemmelse med Unionens værdier. Det europæiske sundhedsdataområde vil være et centralt element i skabelsen af en stærk og modstandsdygtig europæisk sundhedsunion.
(2)
Covid-19-pandemien understregede, at det er bydende nødvendigt at have rettidig adgang til elektroniske sundhedsdata af høj kvalitet til beredskab og indsats over for sundhedstrusler samt til forebyggelse, diagnosticering og behandling og til sekundær anvendelse af sådanne elektroniske sundhedsdata. En sådan rettidig adgang kan potentielt gennem effektiv overvågning af folkesundheden bidrage til en mere effektiv håndtering af fremtidige pandemier, til en reduktion af omkostninger og til at forbedre indsatsen over for sundhedstrusler og kan i sidste ende bidrage til at redde flere liv i fremtiden. I 2020 tilpassede Kommissionen hurtigt sit kliniske patientstyringssystem, der blev oprettet ved Kommissionens gennemførelsesafgørelse (EU) 2019/1269 
(
4
)
, for at give medlemsstaterne mulighed for at dele elektroniske sundhedsdata om covid-19-patienter, der flyttede mellem sundhedstjenesteydere og medlemsstater, da denne pandemi var på sit højeste. Denne tilpasning var imidlertid kun en nødløsning, der viste, at der var behov for en strukturel og ensartet tilgang på medlemsstats- og EU-plan for såvel at forbedre tilgængeligheden af elektroniske sundhedsdata i forbindelse med sundhedsydelser og lette adgangen til elektroniske sundhedsdata med henblik på at målrette effektive politiske svar og bidrage til høje standarder for menneskers sundhed.
(3)
Covid-19-krisen cementerede i høj grad arbejdet i e-sundhedsnetværket, som er et frivilligt netværk af myndigheder med ansvar for digital sundhed, som den vigtigste søjle i udviklingen af kontaktopsporings- og kontaktvarslingsapplikationer til mobilenheder og de tekniske aspekter af EU's digitale covidcertifikater. Den fremhævede også behovet for at dele elektroniske sundhedsdata, der er søgbare, tilgængelige, interoperable og genanvendelige (»FAIR-principperne«), og sikre, at elektroniske sundhedsdata er så åbne som muligt, samtidig med at princippet om dataminimering som fastsat i Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
5
)
 respekteres. Der bør sikres synergier mellem det europæiske sundhedsdataområde, den europæiske åbne videnskabscloud og de europæiske forskningsinfrastrukturer, og der bør tages ved lære af de datadelingsløsninger, der er udviklet under den europæiske covid-19-dataplatform.
(4)
I betragtning af personlige elektroniske sundhedsdatas følsomhed sigter denne forordning mod at stille tilstrækkelige garantier til rådighed på både EU-plan og nationalt plan for at sikre et højt niveau for databeskyttelsen, -sikkerheden og -fortroligheden samt den etiske brug af data. Sådanne garantier er nødvendige med henblik på at fremme tilliden til sikker håndtering af fysiske personers elektroniske sundhedsdata til primær anvendelse og sekundær anvendelse som defineret i denne forordning.
(5)
Behandlingen af elektroniske sundhedsdata er underlagt bestemmelserne i forordning (EU) 2016/679 og for Unionens institutioners, organers, kontorers og agenturers vedkommende i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
6
)
. Henvisninger til bestemmelserne i forordning (EU) 2016/679 bør også forstås som henvisninger til de tilsvarende bestemmelser i forordning (EU) 2018/1725 for Unionens institutioner, organer, kontorer og agenturer, hvor det er relevant.
(6)
Flere og flere personer, der bor i Unionen, krydser landegrænser for at arbejde, studere, besøge slægtninge eller af andre årsager. For at lette udvekslingen af sundhedsdata og i overensstemmelse med behovet for at styrke borgernes indflydelse bør de kunne få adgang til deres sundhedsdata i et elektronisk format, der kan anerkendes og accepteres i hele Unionen. Sådanne personlige elektroniske sundhedsdata kan omfatte personoplysninger vedrørende en fysisk persons fysiske eller mentale sundhed, herunder vedrørende brug af sundhedsydelser, og som afslører oplysninger om denne fysiske persons helbredstilstand, personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den pågældende fysiske persons fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, samt datadeterminanter for sundhed såsom adfærd, miljø, fysiske påvirkninger, lægebehandling, sociale eller uddannelsesmæssige faktorer. Elektroniske sundhedsdata omfatter også data, der oprindeligt er indsamlet med henblik på forskning, statistik, vurdering af sundhedstrusler, politikudformning eller reguleringsmæssige formål, og det bør være muligt at stille dem til rådighed i overensstemmelse med reglerne i denne forordning. Elektroniske sundhedsdata består af alle kategorier af disse data, uanset om sådanne oplysninger leveres af den registrerede eller andre fysiske eller juridiske personer såsom sundhedsprofessionelle eller behandles i forbindelse med en fysisk persons sundhed eller velbefindende, og bør også omfatte afledte og udledte data såsom diagnostik, test og medicinske undersøgelser samt data, der observeres og registreres automatisk.
(7)
I sundhedssystemerne indsamles personlige elektroniske sundhedsdata normalt i elektroniske patientjournaler, som typisk indeholder en fysisk persons sygehistorik, diagnoser og behandling, medicin, allergier og vaccinationer samt radiologiske billeder, laboratorieresultater og andre helbredsoplysninger, som spredes mellem forskellige aktører i sundhedssystemet, såsom praktiserende læger, hospitaler, apoteker eller plejetjenester. For at gøre det muligt for fysiske personer eller sundhedsprofessionelle at få adgang til, dele og ændre disse elektroniske sundhedsdata har nogle medlemsstater truffet de nødvendige retlige og tekniske foranstaltninger og etableret centraliserede infrastrukturer, der forbinder EPJ-systemer, der anvendes af sundhedstjenesteydere og fysiske personer. Desuden yder nogle medlemsstater støtte til offentlige og private sundhedstjenesteydere i at oprette personlige elektroniske sundhedsdataområder for at muliggøre interoperabilitet mellem forskellige sundhedstjenesteydere. Flere medlemsstater støtter eller leverer også tjenester for adgang til elektroniske sundhedsdata for patienter og sundhedsprofessionelle, f.eks. gennem portaler for patienter eller sundhedsprofessionelle. Disse medlemsstater har også truffet foranstaltninger til at sikre, at EPJ-systemer eller wellnessapplikationer er i stand til at overføre elektroniske sundhedsdata til det centrale EPJ-system, f.eks. ved at indføre et certificeringssystem. Det er imidlertid ikke alle medlemsstater, der har indført sådanne systemer, og de medlemsstater, der har, har gjort det på en fragmenteret måde. For at lette den frie udveksling af personlige elektroniske sundhedsdata i hele Unionen og undgå negative konsekvenser for patienter, når de modtager sundhedsydelser i en grænseoverskridende sammenhæng, er der behov for en indsats på EU-plan for at fysiske personer har bedre adgang til deres egne personlige elektroniske sundhedsdata og sætte dem i stand til at dele disse data. I denne henseende bør der på EU-plan og nationalt plan iværksættes passende tiltag som et middel til at reducere fragmentering, uensartethed og splittelse og til at skabe et system, der er brugervenligt og intuitivt i alle medlemsstater. Enhver digital omstilling i sundhedssektoren bør sigte mod at være inklusiv og også tage hensyn til fysiske personer med begrænset adgang til og brug af digitale tjenester, inklusive personer med handicap.
(8)
Forordning (EU) 2016/679 indeholder specifikke bestemmelser om fysiske personers rettigheder i forbindelse med behandling af deres personoplysninger. Det europæiske sundhedsdataområde bygger på disse rettigheder og supplerer nogle af dem, der vedrører personlige elektroniske sundhedsdata. Disse rettigheder gælder uanset i hvilken medlemsstat de personlige elektroniske sundhedsdata behandles, hvilken type sundhedstjenesteyder der er tale om, kilder til disse data eller den fysiske persons forsikringsmedlemsstat. Rettighederne og reglerne vedrørende den primære anvendelse af personlige elektroniske sundhedsdata i henhold til nærværende forordning vedrører alle kategorier af disse data, uanset hvordan de er blevet indsamlet, eller hvem der har leveret dem, retsgrundlaget for behandlingen i henhold til forordning (EU) 2016/679 eller den dataansvarliges status som en offentlig eller privat organisation. De yderligere rettigheder til adgang til og portabilitet af personlige elektroniske sundhedsdata, der er fastsat i nærværende forordning, bør ikke berøre retten til adgang og portabilitet som fastsat ved forordning (EU) 2016/679. Fysiske personer har fortsat disse rettigheder på de betingelser, der er fastsat i nævnte forordning.
(9)
Selv om de rettigheder, der følger af forordning (EU) 2016/679, fortsat bør finde anvendelse, bør retten til adgang til data for en fysisk person, der er fastsat i forordning (EU) 2016/679, suppleres yderligere i sundhedssektoren. I henhold til nævnte forordning behøver dataansvarlige ikke straks at give adgang. Retten til adgang til sundhedsdata sikres stadig ofte mange steder gennem levering af de ønskede sundhedsdata i papirformat eller som scannede dokumenter, hvilket er tidskrævende for den dataansvarlige, såsom et hospital eller en anden sundhedstjenesteyder, der giver adgang. Denne situation forsinker fysiske personers rettidige adgang til sundhedsdata og kan have en negativ indvirkning på dem, hvis de har brug for en sådan adgang straks på grund af en akut helbredsmæssig situation. Det er derfor nødvendigt at give fysiske personer en mere effektiv måde at få adgang til deres egne personlige elektroniske sundhedsdata på. De bør have ret til gratis og øjeblikkelig adgang til specifikke prioriterede kategorier af personlige elektroniske sundhedsdata, såsom patientresuméet, gennem en tjeneste for adgang til elektroniske sundhedsdata, samtidig med at behovet for teknologisk gennemførlighed respekteres. Denne rettighed bør gælde uanset i hvilken medlemsstat de personlige elektroniske sundhedsdata behandles, hvilken type sundhedstjenesteyder der er tale om, kilderne til disse data eller den fysiske persons forsikringsmedlemsstat. Anvendelsesområdet for denne supplerende rettighed, der er fastsat ved nærværende forordning, og betingelserne for at udøve den adskiller sig på visse måder fra retten til adgang til personoplysninger i henhold til forordning (EU) 2016/679, som omfatter alle personoplysninger, som en dataansvarlig er i besiddelse af, og udøves over for en enkelt dataansvarlig, som har op til en måned til at besvare en anmodning. Retten til adgang til personlige elektroniske sundhedsdata i henhold til nærværende forordning bør begrænses til de kategorier af data, der er omfattet af dens anvendelsesområde, og den bør udøves via en tjeneste for adgang til elektroniske sundhedsdata og medføre et øjeblikkeligt svar. Rettighederne i henhold til forordning (EU) 2016/679 bør fortsat finde anvendelse, således at fysiske personer kan drage fordel af deres rettigheder i henhold til begge retlige rammer, navnlig retten til at få en papirkopi af de elektroniske sundhedsdata.
(10)
Det bør tages i betragtning, at øjeblikkelig adgang for fysiske personer til visse kategorier af deres personlige elektroniske sundhedsdata kan være skadelig for disse fysiske personers sikkerhed eller være uetisk. Det kan f.eks. være uetisk at informere en patient via en elektronisk kanal om, at vedkommende er blevet diagnosticeret med en uhelbredelig sygdom, som sandsynligvis er terminal inden for meget kort tid, i stedet for først at give disse oplysninger i en konsultation med patienten. Det bør derfor være muligt at udsætte adgangen til personlige elektroniske sundhedsdata i sådanne situationer i en begrænset periode, f.eks. indtil det tidspunkt, hvor den sundhedsprofessionelle kan forklare situationen for patienten. Medlemsstaterne bør kunne indføre en sådan undtagelse, hvis den udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund i overensstemmelse med begrænsninger som fastsat i artikel 23 i forordning (EU) 2016/679.
(11)
Denne forordning berører ikke medlemsstaternes beføjelser vedrørende den første registrering af personlige elektroniske sundhedsdata, såsom at gøre registreringen af genetiske data betinget af den fysiske persons samtykke eller andre garantier. Medlemsstaterne kan kræve, at data stilles til rådighed i et elektronisk format forud for anvendelsen af denne forordning. Dette bør ikke berøre forpligtelsen til at stille personlige elektroniske sundhedsdata, der er registreret efter denne forordnings anvendelsesdato, til rådighed i et elektronisk format.
(12)
For at supplere de oplysninger, der er tilgængelige for dem, bør fysiske personer kunne tilføje elektroniske sundhedsdata til deres EPJ'er eller lagre yderligere oplysninger i deres særskilte personlige helbredsjournaler, som sundhedsprofessionelle kan få adgang til. Oplysninger, der indlæses af fysiske personer, er muligvis ikke så pålidelige som elektroniske sundhedsdata, der indlæses og verificeres af sundhedsprofessionelle, og har ikke den samme kliniske eller juridiske værdi som oplysninger, der stilles til rådighed af sundhedsprofessionelle. Data, der tilføjes af fysiske personer i deres EPJ, bør derfor tydeligt kunne skelnes fra data fra sundhedsprofessionelle. Denne mulighed for fysiske personer for at tilføje og supplere personlige elektroniske sundhedsdata bør ikke give dem ret til at ændre personlige elektroniske sundhedsdata, der er stillet til rådighed af sundhedsprofessionelle.
(13)
Ved at give fysiske personer lettere og hurtigere adgang til deres personlige elektroniske sundhedsdata får de mulighed for at gøre opmærksom på eventuelle fejl såsom forkerte oplysninger eller fejlagtigt tildelte patientjournaler. I sådanne tilfælde bør fysiske personer have mulighed for straks og gratis at anmode online om berigtigelse af ukorrekte personlige elektroniske sundhedsdata online via en tjeneste for adgang til personlige sundhedsdata. Sådanne anmodninger om berigtigelse af oplysninger bør derefter vurderes og behandles af de relevante dataansvarlige i henhold til forordning (EU) 2016/679, om nødvendigt med inddragelse af sundhedsprofessionelle med et relevant speciale og med ansvar for de fysiske personers behandling.
(14)
I henhold til forordning (EU) 2016/679 er retten til dataportabilitet begrænset til data, der behandles på grundlag af samtykke eller kontrakt, og som den registrerede har stillet til rådighed for en dataansvarlig. Derudover har fysiske personer i henhold til nævnte forordning kun ret til at få personoplysningerne videregivet direkte fra en dataansvarlig til en anden, hvis det er teknisk muligt. Forordning (EU) 2016/679 pålægger imidlertid ikke en forpligtelse til at gøre denne direkte transmission teknisk mulig. Retten til dataportabilitet bør suppleres i henhold til nærværende forordning og derved som minimum give fysiske personer mulighed for at give adgang til som minimum prioriterede kategorier af deres personlige elektroniske sundhedsdata til sundhedsprofessionelle efter eget valg, til at udveksle sådanne sundhedsdata med sådanne sundhedsprofessionelle og til at downloade sådanne sundhedsdata. Desuden bør fysiske personer have ret til at anmode en sundhedstjenesteyder om at overføre en del af deres elektroniske sundhedsdata til en klart identificeret modtager i sektoren for socialsikringstjenester eller refusionstjenester. En sådan overførsel bør udelukkende være en envejsoverførsel.
(15)
Den ramme, der fastsættes ved denne forordning, bør bygge på retten til dataportabilitet, der er fastsat i forordning (EU) 2016/679, ved at sikre, at fysiske personer som registrerede kan overføre deres personlige elektroniske sundhedsdata, herunder afledte data i det europæiske format for udveksling af elektroniske patientjournaler, uanset retsgrundlaget for behandling af de elektroniske sundhedsdata. Sundhedsprofessionelle bør ikke hindre anvendelsen af fysiske personers rettigheder, f.eks. ved at nægte at tage hensyn til personlige elektroniske sundhedsdata, der stammer fra en anden medlemsstat og som leveres gennem det interoperable og pålidelige europæiske format for udveksling af elektroniske patientjournaler.
(16)
Sundhedstjenesteydernes eller andre enkeltpersoners adgang til de elektroniske patientjournaler bør være gennemsigtig for de berørte fysiske personer. Tjenester for adgang til elektroniske sundhedsdata bør stille detaljerede oplysninger om adgang til data til rådighed, f.eks. hvornår og hvilken enhed eller fysisk person, der har fået adgang til data og hvilke data der blev tilgået. Fysiske personer bør også kunne slå automatiske meddelelser om adgang til personlige elektroniske sundhedsdata, der vedrører dem, gennem adgangstjenester for sundhedsprofessionelle til eller fra.
(17)
Fysiske personer ønsker muligvis ikke at give adgang til visse dele af deres personlige elektroniske sundhedsdata, men vil samtidig gerne give adgang til andre dele. Dette kan navnlig være relevant i tilfælde af følsomme sundhedsproblemer såsom i forhold til mental eller seksuel sundhed, følsomme behandlinger såsom abort eller oplysninger om specifikke lægemidler, der kan afsløre andre følsomme problemer. En sådan selektiv deling af personlige elektroniske sundhedsdata bør derfor støttes og gennemføres gennem begrænsninger, der fastsættes af den berørte fysiske person på samme måde inden for en given medlemsstats område og ved grænseoverskridende datadeling. Disse begrænsninger bør give mulighed for en tilstrækkelig detaljeringsgrad i forhold til at begrænse dele af datasæt, f.eks. elementer af patientresuméer. Forud for fastsættelsen af begrænsningerne bør fysiske personer informeres om de risici for patientsikkerheden, der er forbundet med begrænsning af adgangen til sundhedsdata. Da manglende adgang til begrænsede personlige elektroniske sundhedsdata kan påvirke leveringen eller kvaliteten af de sundhedsydelser, der leveres til den fysiske person, bør fysiske personer, der gør brug af sådanne adgangsbegrænsninger, påtage sig ansvaret for, at sundhedstjenesteyderen ikke kan tage dataene i betragtning, når vedkommende leverer sundhedsydelser. Begrænsningerne af adgangen til personlige elektroniske sundhedsdata kan have livstruende konsekvenser, og det bør derfor ikke desto mindre være muligt at tilgå disse data i nødsituationer for at beskytte vitale interesser. Mere specifikke retlige bestemmelser om mekanismerne for begrænsninger, som fysiske personer pålægger dele af deres personlige elektroniske sundhedsdata, kan fastsættes af medlemsstaterne i deres nationale ret, navnlig vedrørende lægeansvaret i tilfælde af, at den pågældende fysiske person har pålagt begrænsninger.
(18)
På grund af de forskellige opfattelser i medlemsstaterne med hensyn til graden af patienternes kontrol med deres sundhedsdata bør medlemsstaterne desuden kunne fastsætte en absolut ret til at fravælge adgang til deres personlige elektroniske sundhedsdata for alle, bortset fra den oprindelige dataansvarlige, uden nogen mulighed for at tilsidesætte denne fravalgsret i nødsituationer. I sådanne tilfælde bør medlemsstaterne fastsætte regler og specifikke garantier for sådanne fravalgsmekanismer. Disse regler og specifikke garantier kan også vedrøre specifikke kategorier af personlige elektroniske sundhedsdata, f.eks. genetiske data. Retten til fravalg betyder, at personlige elektroniske sundhedsdata vedrørende den fysiske person, der udøver nævnte ret, ikke stilles til rådighed gennem de tjenester, der er oprettet under det europæiske sundhedsdataområde, bortset fra den sundhedstjenesteyder, der leverede behandlingen. Medlemsstaterne bør kunne kræve registrering og lagring af personlige elektroniske sundhedsdata i et EPJ-system, der anvendes af den sundhedstjenesteyder, der leverede sundhedsydelserne, og som kun er tilgængelig for den pågældende sundhedstjenesteyder. Hvis en fysisk person har udøvet sin ret til fravalg, vil sundhedstjenesteyderne stadig dokumentere behandlingen i overensstemmelse med de gældende regler og kunne få adgang til de data, som de har registreret. Fysiske personer, der udøver retten til fravalg, bør kunne omgøre deres beslutning. I sådanne tilfælde, er personlige elektroniske sundhedsdata, der er blevet genereret i fravalgsperioden, muligvis ikke tilgængelige via adgangstjenesterne og MyHealth@EU.
(19)
Rettidig og fuld adgang for sundhedsprofessionelle til patientjournaler er afgørende for at sikre kontinuitet i behandlingen, undgå dobbeltarbejde og fejl samt reducere omkostninger. På grund af manglende interoperabilitet kan sundhedsprofessionelle imidlertid i mange tilfælde ikke få adgang til deres patienters fuldstændige patientjournaler og kan ikke træffe optimale medicinske beslutninger vedrørende deres diagnose og behandling, hvilket medfører betydelige omkostninger for både sundhedssystemerne og fysiske personer og kan føre til ringere sundhedsresultater for fysiske personer. Elektroniske sundhedsdata, der stilles til rådighed i et interoperabelt format, og som kan overføres mellem sundhedstjenesteydere, kan også mindske den administrative byrde for sundhedsprofessionelle for så vidt angår manuel indlæsning eller kopiering af sundhedsdata mellem elektroniske systemer. Sundhedsprofessionelle bør derfor udstyres med passende elektroniske midler, såsom elektroniske enheder og portaler for sundhedsprofessionelle eller andre adgangstjenester for sundhedsprofessionelle, så de kan bruge personlige elektroniske sundhedsdata i udførelsen af deres opgaver. Da det er vanskeligt på forhånd på udtømmende vis at fastslå, hvilke data fra de eksisterende data i prioriterede kategorier, der er lægeligt relevante i et specifikt tilfælde af pleje, bør sundhedsprofessionelle have bred adgang til data. Når sundhedsprofessionelle tilgår data vedrørende deres patienter, bør de overholde gældende ret, adfærdskodekser, deontologiske retningslinjer eller andre bestemmelser om etisk adfærd med hensyn til deling af eller adgang til oplysninger, navnlig i livstruende eller ekstreme situationer. I overensstemmelse med forordning (EU) 2016/679, for at begrænse deres adgang til det, der er relevant i et specifikt tilfælde af pleje, bør sundhedstjenesteydere følge princippet om dataminimering, når de tilgår personlige elektroniske sundhedsdata, og begrænse de data, der tilgås, til data, der er strengt nødvendige og berettigede for den pågældende ydelse. Levering af tjenester til sundhedsprofessionelles adgang er en opgave i samfundets interesse i henhold til nærværende forordning, hvis udførelse kræver behandling af personoplysninger som omhandlet i artikel 6, stk. 1, litra e), i forordning (EU) 2016/679. Nærværende forordning fastsætter betingelser og garantier for behandling af elektroniske sundhedsdata foretaget af adgangstjenesten for sundhedsprofessionelle i overensstemmelse med artikel 9, stk. 2, litra h), i forordning (EU) 2016/679, f.eks. detaljerede bestemmelser for logning af adgang til personlige elektroniske sundhedsdata, og som har til formål at skabe gennemsigtighed for de registrerede. Nærværende forordning bør dog ikke berøre nationale ret om behandling af sundhedsdata med henblik på at levere sundhedsydelser, herunder national ret, der fastsætter, hvilke kategorier af sundhedsprofessionelle der må behandle forskellige kategorier af elektroniske sundhedsdata.
(20)
For at lette udøvelsen af de supplerende adgangs- og portabilitetsrettigheder, der er fastsat i denne forordning, bør medlemsstaterne oprette en eller flere tjenester for adgang til elektroniske sundhedsdata. Disse tjenester kan leveres på nationalt, regionalt eller lokalt plan eller af sundhedstjenesteydere i form af en online patientportal, en applikation til mobilenheder eller på anden måde. De bør udformes på en tilgængelig måde, navnlig for personer med handicap. Det er i væsentlig samfundsinteresse, at en sådan tjeneste giver fysiske personer let adgang til deres personlige elektroniske sundhedsdata. Behandlingen af personlige elektroniske sundhedsdata gennem disse tjenester er nødvendig for udførelsen af den opgave, der er pålagt ved nærværende forordning, jf. artikel 6, stk. 1, litra e), og artikel 9, stk. 2, litra g), i forordning (EU) 2016/679. Nærværende forordning fastsætter de nødvendige betingelser og garantier for behandling af elektroniske sundhedsdata i tjenester for adgang til elektroniske sundhedsdata såsom elektronisk identifikation af fysiske personer, der har adgang til sådanne tjenester.
(21)
Fysiske personer bør kunne give tilladelse til andre fysiske personer efter eget valg, såsom deres pårørende eller andre nærtstående, således at sådanne personer efter eget valg kan få adgang til eller kontrollere adgangen til de personlige elektroniske sundhedsdata for de fysiske personer, der giver tilladelsen, eller anvende digitale sundhedstjenester på deres vegne. Sådanne tilladelser kan også være belejlige for anden brug af fysiske personer, der er givet en sådan tilladelse. Medlemsstaterne bør oprette og gennemføre fuldmagtstjenester for at muliggøre sådanne tilladelser og være knyttet til tjenester for adgang til personlige elektroniske sundhedsdata såsom patientportaler eller patientorienterede applikationer til mobilenheder. Disse fuldmagtstjenester bør også gøre det muligt for værger at handle på vegne af deres forsørgelsesberettigede, herunder mindreårige; i sådanne situationer kan tilladelserne være automatiske. Ud over disse fuldmagtstjenester bør medlemsstaterne også oprette let tilgængelige supporttjenester, der leveres af tilstrækkeligt uddannet personale til at hjælpe de fysiske personer når de udøver deres rettigheder. For at tage hensyn til tilfælde, hvor visningen af visse personlige elektroniske sundhedsdata om afhængige personer for deres værger kan være i strid deres afhængige personers, herunder mindreåriges, interesser eller vilje, bør medlemsstaterne i national ret kunne fastsætte begrænsninger og garantier samt mekanismer for deres tekniske gennemførelse. Tjenester for adgang til personlige elektroniske sundhedsdata, såsom patientportaler eller patientorienterede applikationer til mobilenheder, bør gøre brug af sådanne tilladelser og dermed gøre det muligt for autoriserede fysiske personer at få adgang til personlige elektroniske sundhedsdata, der er omfattet af tilladelsen. For at sikre en horisontal løsning med øget brugervenlighed, bør digitale fuldmagtsløsninger bringes i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
7
)
 og de tekniske specifikationer for den europæiske digitale identitetstegnebog. Denne tilpasning vil bidrage til at mindske både den administrative og finansielle byrde for medlemsstaterne ved at mindske risikoen for at udvikle parallelle systemer, der ikke er interoperable i hele Unionen.
(22)
I nogle medlemsstater leveres sundhedsydelser af sundhedsforvaltningsgrupper, som er grupper af sundhedsprofessionelle med fokus på primær sundhedspleje, såsom alment praktiserende læger, som udfører deres primære plejeaktiviteter på grundlag af en sundhedsplan, som de udarbejder. I flere medlemsstater findes der også andre typer sundhedsteams til andre behandlingsformål. I forhold til den primære anvendelse i det europæiske sundhedsdataområde bør adgangen gives til sundhedsprofessionelle i sådanne teams.
(23)
De tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, er kompetente med hensyn til overvågning af og håndhævelse af anvendelsen af nævnte forordning, navnlig med hensyn til at overvåge behandlingen af personlige elektroniske sundhedsdata og behandle klager fra de pågældende fysiske personer. Nærværende forordning fastsætter yderligere rettigheder for fysiske personer med hensyn til den primære anvendelse, der er mere vidtgående end og supplerer de adgangs- og overførselsrettigheder, der er fastsat i forordning (EU) 2016/679. Da disse yderligere rettigheder også bør håndhæves af de tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, bør medlemsstaterne sikre, at disse tilsynsmyndigheder råder over de nødvendige finansielle og menneskelige ressourcer samt de lokaler og den infrastruktur, der er nødvendige for effektivt at kunne udføre disse yderligere opgaver. Den tilsynsmyndighed eller de myndigheder, der er ansvarlige for overvågningen og håndhævelsen af behandlingen af personlige elektroniske sundhedsdata til primær anvendelse i overensstemmelse med nærværende forordning, bør have kompetence til at pålægge administrative bøder. Retssystemet i Danmark giver ikke mulighed for administrative bøder som fastsat i nærværende forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, forudsat at en sådan anvendelse af reglerne har tilsvarende virkning som administrative bøder pålagt af tilsynsmyndighederne. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
(24)
Medlemsstaterne bør bestræbe sig på at overholde etiske principper såsom de europæiske etiske principper for digital sundhed, der blev vedtaget af e-sundhedsnetværket den 26. januar 2022, og princippet om fortrolighed mellem sundhedsprofessionelle og patienter i forbindelse med anvendelsen af denne forordning. I anerkendelse af betydningen af etiske principper giver de europæiske etiske principper for digital sundhed vejledning til fagfolk, forskere, innovatorer, politiske beslutningstagere og lovgivere.
(25)
Relevansen af forskellige kategorier af elektroniske sundhedsdata for forskellige sundhedsscenarier varierer. Forskellige kategorier har også opnået forskellige grader af modenhed med hensyn til standardisering, og derfor kan gennemførelsen af mekanismer til deres udveksling være mere eller mindre kompleks afhængigt af kategorien. Derfor bør forbedringen af interoperabiliteten og dataudvekslingen ske gradvist, og der er behov for prioritering af visse kategorier af elektroniske sundhedsdata. Kategorier af elektroniske sundhedsdata såsom patientresuméer, elektroniske recepter og elektroniske lægemiddeludleveringer, medicinske billeddiagnostik og tilhørende billedrapporter, resultater af medicinske undersøgelser, såsom laboratorieresultater og tilhørende rapporter samt udskrivningsrapporter er blevet udvalgt af e-sundhedsnetværket som de mest relevante for de fleste sundhedssituationer og bør betragtes som prioriterede kategorier for medlemsstaterne med henblik på at sikre adgangen til dem og overførslen heraf. Hvis sådanne prioriterede kategorier af data repræsenterer grupper af elektroniske sundhedsdata, bør denne forordning finde anvendelse på både grupperne som helhed og på de individuelle dataposter, der indgår i disse grupper. Da vaccinationsstatus f.eks. er en del af et patientresumé, bør de rettigheder og krav, der er knyttet til patientresuméet, også gælde for en sådan vaccinationsstatus, selv om den behandles adskilt fra patientresuméet som helhed. Når der identificeres yderligere behov for udveksling af yderligere kategorier af elektroniske sundhedsdata med henblik på sundhedsydelser, bør adgang til og udveksling af disse yderligere kategorier muliggøres i henhold til denne forordning. De yderligere kategorier bør først gennemføres på medlemsstatsniveau, og udvekslingen på frivillig basis af sådanne kategorier af data i grænseoverskridende situationer mellem de samarbejdende medlemsstater bør fastsættes i denne forordning. Der bør lægges særlig vægt på dataudveksling i grænseregioner i nabomedlemsstater, hvor leveringen af grænseoverskridende sundhedsydelser er hyppigere og kræver endnu hurtigere procedurer end i hele Unionen generelt.
(26)
Graden af tilgængelighed af personlige sundhedsdata og genetiske data i elektronisk format varierer fra medlemsstat til medlemsstat. Det europæiske sundhedsdataområde bør gøre det lettere for fysiske personer at få adgang til disse data i elektronisk format og bedre kontrollere adgangen til og delingen af deres personlige elektroniske sundhedsdata. Dette vil også bidrage til at nå målet om, at 100 % af unionsborgerne skal have adgang til deres elektroniske patientjournaler senest i 2030, jf. Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 
(
8
)
. For at gøre elektroniske sundhedsdata tilgængelige og overførbare bør sådanne data tilgås og overføres i et interoperabelt fælles europæisk format for udveksling af elektroniske patientjournaler, i det mindste for visse kategorier af elektroniske sundhedsdata, såsom patientresuméer, elektroniske recepter og elektroniske medicinudleveringer, medicinske billeddiagnostik og tilhørende billedrapporter, resultater af medicinske undersøgelser og udskrivningsrapporter, med forbehold af overgangsperioder. Når personlige elektroniske sundhedsdata stilles til rådighed for en sundhedstjenesteyder eller et apotek af en fysisk person eller overføres af en anden dataansvarlig i det europæiske format for udveksling af elektroniske patientjournaler, bør dette format accepteres og modtageren bør kunne læse de pågældende data og anvende dem med henblik på levering af sundhedsydelser eller udlevering af et lægemiddel, hvilket dermed understøtter leveringen af sundhedsydelser eller udleveringen af den elektroniske recept. Det europæiske format for udveksling af elektroniske patientjournaler bør udformes på en måde, der letter oversættelse af elektroniske sundhedsdata, der kommunikeres ved hjælp af dette format, til Unionens officielle sprog i det omfang, det er muligt. Kommissionens henstilling (EU) 2019/243 
(
9
)
 danner grundlag for et sådant fælles europæisk format for udveksling af elektroniske patientjournaler. Det europæiske sundhedsdataområdes interoperabilitet bør bidrage til at have europæiske sundhedsdatasæt af høj kvalitet. Anvendelsen af et europæisk format for udveksling af elektroniske patientjournaler bør gøres mere udbredt på EU-plan og nationalt plan. Det europæiske format for udveksling af elektroniske patientjournaler kan give mulighed for forskellige profiler til brug i EPJ-systemerne og hos de nationale kontaktpunkter for digital sundhed i MyHealth@EU til grænseoverskridende dataudveksling.
(27)
Selv om EPJ-systemerne er vidt udbredte, varierer digitaliseringsniveauet for sundhedsdata i medlemsstaterne afhængigt af datakategorier og dækning af sundhedstjenesteydere, der registrerer sundhedsdata i elektronisk format. For at støtte anvendelsen af de registreredes ret til adgang til og udveksling af elektroniske sundhedsdata er der behov for en EU-indsats for at undgå yderligere fragmentering. For at bidrage til sundhedsydelsernes høje kvalitet og kontinuitet bør visse kategorier af sundhedsdata registreres systematisk i elektronisk format og i overensstemmelse med specifikke datakvalitetskrav. Det europæiske format for udveksling af elektroniske patientjournaler bør danne grundlag for specifikationer vedrørende registrering og udveksling af elektroniske sundhedsdata.
(28)
Telemedicin er et stadig vigtigere redskab, der kan give patienterne adgang til pleje og tackle uligheder. Det har potentiale til at reducere ulighederne inden for sundhed og styrke unionsborgernes frie bevægelighed på tværs af grænserne. Digitale og andre teknologiske værktøjer kan lette levering af pleje i afsidesliggende regioner. Når digitale tjenester ledsager den fysiske levering af en sundhedsydelse, bør den digitale tjeneste medtages i den samlede plejeydelse. I henhold til artikel 168 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) er medlemsstaterne ansvarlige for deres sundhedspolitik, navnlig for organisation og levering af sundhedstjenesteydelser og behandling på sundhedsområdet, herunder regulering af aktiviteter såsom onlineapoteker, telemedicin og andre tjenester, som de leverer og yder refusion for i overensstemmelse med deres nationale lovgivning. Forskellige sundhedspolitikker bør dog ikke udgøre hindringer for den frie bevægelighed for elektroniske sundhedsdata i forbindelse med grænseoverskridende sundhedstjenester, f.eks. telemedicin og onlineapotekertjenester.
(29)
Forordning (EU) nr. 910/2014 fastsætter de betingelser, hvorunder medlemsstaterne foretager identifikation af fysiske personer i grænseoverskridende situationer ved hjælp af identifikationsmidler udstedt af en anden medlemsstat, og fastsætter regler for gensidig anerkendelse af sådanne elektroniske identifikationsmidler. Det europæiske sundhedsdataområde kræver sikker adgang til elektroniske sundhedsdata, herunder i grænseoverskridende situationer. Tjenester for adgang til elektroniske sundhedsdata og telemedicintjenester bør gøre det muligt for fysiske personer at udøve deres rettigheder uanset deres forsikringsmedlemsstat og bør derfor støtte identifikationen af fysiske personer ved hjælp af ethvert elektronisk identifikationsmiddel, der er anerkendt i henhold til forordning (EU) nr. 910/2014. I betragtning af muligheden for udfordringer med hensyn til identitetssammenkobling i grænseoverskridende situationer kan det være nødvendigt, at behandlingsmedlemsstaterne udsteder supplerende adgangsmekanismer, såsom tokens eller koder til fysiske personer, der ankommer fra andre medlemsstater og modtager sundhedsydelser. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter for at fastsætte kravene til interoperabel og grænseoverskridende identifikation og autentificering af fysiske personer og sundhedsprofessionelle, herunder eventuelle supplerende mekanismer, der er nødvendige for at sikre at fysiske personers kan udøve deres rettigheder med hensyn til personlige elektroniske sundhedsdata i grænseoverskridende situationer.
(30)
Medlemsstaterne bør udpege relevante digitale sundhedsmyndigheder til planlægning og gennemførelse af standarder for adgang til og overførsel af elektroniske sundhedsdata og håndhævelse af fysiske personers og sundhedsprofessionelles rettigheder som separate organisationer eller som en del af allerede eksisterende myndigheder. Personalet hos de digitale sundhedsmyndigheder bør ikke have nogen finansielle eller andre interesser i brancher eller økonomiske aktiviteter, som kan påvirke deres uvildighed. Der findes allerede digitale sundhedsmyndigheder i de fleste medlemsstater, og de beskæftiger sig med EPJ'er, interoperabilitet, sikkerhed eller standardisering. Under udførelsen af deres opgaver bør digitale sundhedsmyndigheder navnlig samarbejde med de tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, og de tilsynsorganer, der er oprettet i henhold til forordning (EU) nr. 910/2014. Digitale sundhedsmyndigheder kan også samarbejde med Det Europæiske Udvalg for Kunstig Intelligens oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2024/1689 
(
10
)
, Koordinationsgruppen for Medicinsk Udstyr oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2017/745 
(
11
)
, Det Europæiske Datainnovationsråd oprettet i henhold til Europa-Parlamentets og Rådets forordning (EU) 2022/868 
(
12
)
 og de kompetente myndigheder i henhold til Europa-Parlamentets og Rådets forordning (EU) 2023/2854 
(
13
)
. Medlemsstaterne bør lette de nationale aktørers deltagelse i samarbejdet på EU-plan, formidling af ekspertise og rådgivning om udformningen af de løsninger, der er nødvendige for at nå målene for det europæiske sundhedsdataområde.
(31)
Uden at det berører andre administrative eller udenretslige klageadgange, bør enhver fysisk eller juridisk person have ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en digital sundhedsmyndighed vedrørende vedkommende, hvis en digital sundhedsmyndighed ikke behandler en klage eller undlader at underrette den fysiske eller juridiske person om forløbet eller resultatet af en klage inden for tre måneder. En sag mod en digital sundhedsmyndighed bør anlægges ved domstolene i de medlemsstater, hvor den digitale sundhedsmyndighed er etableret.
(32)
Digitale sundhedsmyndigheder bør have tilstrækkelige tekniske færdigheder, eventuelt ved at samle eksperter fra forskellige organisationer. De digitale sundhedsmyndigheders aktiviteter bør planlægges og overvåges grundigt for at sikre, at de er effektive. Digitale sundhedsmyndigheder bør træffe de nødvendige foranstaltninger til at beskytte fysiske personers rettigheder ved at indføre nationale, regionale og lokale tekniske løsninger såsom nationale EPJ'er, formidlingsløsninger og patientportaler. Når de digitale sundhedsmyndigheder træffer sådanne nødvendige beskyttelsesforanstaltninger, bør de anvende fælles standarder og specifikationer i sådanne løsninger, fremme anvendelsen af standarder og specifikationer i forbindelse med indkøbsprocedurer og anvende andre innovative midler, herunder refusion for løsninger, der opfylder interoperabilitets- og sikkerhedskravene i det europæiske sundhedsdataområde. Medlemsstaterne bør sikre, at der sørges for passende uddannelsesinitiativer. Navnlig bør sundhedsprofessionelle informeres om og uddannes med hensyn til deres rettigheder og forpligtelser i henhold til denne forordning. De digitale sundhedsmyndigheder bør for at udføre deres opgaver samarbejde på EU-plan og nationalt plan med andre enheder, herunder med forsikringsorganer, sundhedstjenesteydere, sundhedsprofessionelle, fabrikanter af EPJ-systemer og af wellnessapplikationer samt andre interessenter fra sundheds- eller informationsteknologisektoren, enheder, der håndterer refusionsordninger, organer til vurdering af medicinsk teknologi, myndigheder og agenturer for lægemiddelregulering, myndigheder med ansvar for medicinsk udstyr, indkøbere og cybersikkerheds- eller e-ID-myndigheder.
(33)
Adgang til og overførsel af elektroniske sundhedsdata er relevant i grænseoverskridende sundhedssituationer, da det kan understøtte kontinuiteten i sundhedsydelser, når fysiske personer rejser til andre medlemsstater eller skifter bopæl. Kontinuitet i behandlingen og hurtig adgang til personlige elektroniske sundhedsdata er endnu vigtigere for indbyggere i grænseregioner, som ofte krydser grænsen for at få sundhedsydelser. I mange grænseregioner kan visse specialiserede sundhedsydelser eventuelt være tilgængelige tættere på ovre på den anden side af grænsen end i samme medlemsstat. Der er behov for infrastruktur til overførsel af personlige elektroniske sundhedsdata på tværs af grænserne i situationer, hvor en fysisk person benytter tjenester fra en sundhedstjenesteyder, der er etableret i en anden medlemsstat. Den gradvise udvidelse af en sådan infrastruktur og finansieringen heraf bør overvejes. Der blev oprettet en frivillig infrastruktur til dette formål, MyHealth@EU, som led i de tiltag til at nå målene, der er fastsat i Europa-Parlamentets og Rådets direktiv 2011/24/EU 
(
14
)
. Via MyHealth@EU begyndte medlemsstaterne at give fysiske personer mulighed for at dele deres personlige elektroniske sundhedsdata med sundhedstjenesteydere, når de rejser til udlandet. Baseret på denne erfaring bør medlemsstaternes deltagelse i MyHealth@EU som fastsat ved denne forordning være obligatorisk. Tekniske specifikationer for MyHealth@EU bør muliggøre udveksling af prioriterede kategorier af elektroniske sundhedsdata samt yderligere kategorier, der understøttes af det europæiske format for udveksling af elektroniske patientjournaler. Disse specifikationer bør defineres ved hjælp af gennemførelsesretsakter og bør baseres på de grænseoverskridende specifikationer i det europæiske format for udveksling af elektroniske patientjournaler suppleret med yderligere specifikationer om cybersikkerhed, teknisk og semantisk interoperabilitet, drift og forvaltning af tjenester. Medlemsstaterne bør forpligtes til at tilslutte sig MyHealth@EU, overholde de tekniske specifikationer og koble sundhedstjenesteydere, herunder apoteker, til den, da dette er nødvendigt for at gøre det muligt for fysiske personer at udøve deres rettigheder i henhold til denne forordning til at få adgang til og gøre brug af deres personlige elektroniske sundhedsdata, uanset i hvilken medlemsstat de fysiske personer befinder sig.
(34)
MyHealth@EU stiller en fælles infrastruktur til rådighed for medlemsstaterne for at sikre konnektivitet og interoperabilitet på en effektiv og sikker måde til støtte for grænseoverskridende sundhedsydelser, uden at det berører medlemsstaternes ansvar før og efter overførslen af personlige elektroniske sundhedsdata gennem den. Medlemsstaterne er ansvarlige for organiseringen af deres nationale kontaktpunkter for digital sundhed og for behandlingen af personoplysninger med henblik på levering af sundhedsydelser før og efter overførslen af disse data gennem MyHealth@EU. Kommissionen bør ved hjælp af overensstemmelseskontroller overvåge de nationale kontaktpunkter for digital sundheds overholdelse af de nødvendige krav vedrørende den tekniske udvikling af MyHealth@EU samt af detaljerede regler om sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata. I tilfælde af alvorlig manglende overholdelse fra et nationalt kontaktpunkt for digital sundheds side bør Kommissionen have mulighed for at suspendere de tjenester, der er berørt af den manglende overholdelse, og som leveres af det pågældende nationale kontaktpunkt for digital sundhed. Kommissionen bør fungere som databehandler på vegne af medlemsstaterne inden for MyHealth@EU og levere centrale tjenester til den. For at sikre overholdelse af databeskyttelsesreglerne og skabe en ramme for risikostyring i forbindelse med overførsel af personlige elektroniske sundhedsdata bør medlemsstaternes specifikke ansvar som fælles dataansvarlige og Kommissionens forpligtelser som databehandler på deres vegne præciseres ved hjælp af gennemførelsesretsakter. Hver medlemsstat er eneansvarlig for data og tjenester i den pågældende medlemsstat. Denne forordning udgør retsgrundlaget for behandlingen af personlige elektroniske sundhedsdata i MyHealth@EU som en opgave, der udføres i samfundets interesse i henhold til EU-retten, jf. artikel 6, stk. 1, litra e), i forordning (EU) 2016/679. Denne behandling er nødvendig for levering af sundhedsydelser i grænseoverskridende situationer, jf. nævnte forordnings artikel 9, stk. 2, litra h).
(35)
Ud over tjenester i MyHealth@EU til udveksling af personlige elektroniske sundhedsdata baseret på det europæiske format for udveksling af elektroniske patientjournaler kan der være behov for andre tjenester eller supplerende infrastrukturer, f.eks. i tilfælde af folkesundhedskriser eller hvor arkitekturen i MyHealth@EU ikke er egnet til gennemførelse af visse brugsscenarier. Eksempler på sådanne brugsscenarier omfatter støtte til vaccinationskortfunktioner, herunder udveksling af oplysninger om vaccinationsplaner eller kontrol af vaccinationscertifikater eller andre sundhedsrelaterede certifikater. Sådanne supplerende brugsscenarier vil også være vigtige for at indføre yderligere funktioner til håndtering af folkesundhedskriser, f.eks. støtte til kontaktopsporing med henblik på at inddæmme smitsomme sygdomme. MyHealth@EU bør støtte udveksling af personlige elektroniske sundhedsdata med nationale kontaktpunkter for digital sundhed i relevante tredjelande og med systemer, der er etableret på internationalt plan af internationale organisationer, for at bidrage til kontinuiteten i sundhedsydelser. Dette er særlig relevant for personer, der rejser til og fra tilgrænsende tredjelande, kandidatlande og de associerede oversøiske lande og territorier. Tilslutningen af sådanne nationale kontaktpunkter for digital sundhed i tredjelande til MyHealth@EU og interoperabiliteten med digitale systemer, der er etableret på internationalt plan af internationale organisationer, bør være underlagt en kontrol, der sikrer, at disse kontaktpunkter og digitale systemer overholder de tekniske specifikationer, databeskyttelsesreglerne og andre krav i MyHealth@EU. Da forbindelsen til MyHealth@EU vil indebære overførsler af personlige elektroniske sundhedsdata til tredjelande, f.eks. udveksling af et patientresumé, når patienten søger behandling i det pågældende tredjeland, skal der desuden være indført relevante overførselsinstrumenter i henhold til kapitel V i forordning (EU) 2016/679. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter for at lette tilslutningen af sådanne nationale kontaktpunkter for digital sundhed i tredjelande og systemer, der er etableret på internationalt plan af internationale organisationer, til MyHealth@EU. Ved udarbejdelsen af disse gennemførelsesretsakter bør Kommissionen tage hensyn til medlemsstaternes nationale sikkerhedsinteresser.
(36)
For at muliggøre gnidningsløs udveksling af elektroniske sundhedsdata og sikre respekt for fysiske personers og sundhedsprofessionelles rettigheder bør EPJ-systemer, der markedsføres på det indre marked, på en sikker måde kunne lagre og overføre elektroniske sundhedsdata af høj kvalitet. Det er et centralt mål i det europæiske sundhedsdataområde at sikre sikker og fri bevægelighed for elektroniske sundhedsdata i hele Unionen. Med henblik herpå bør der indføres en obligatorisk ordning for selvvurdering af overholdelse for EPJ-systemer, der behandler en eller flere prioriterede kategorier af elektroniske sundhedsdata, for at afhjælpe markedsfragmenteringen og samtidig sikre en forholdsmæssig tilgang. Gennem selvvurderingen vil EPJ-systemer dokumentere overensstemmelse med kravene til interoperabilitet, sikkerhed og logning af kommunikation af personlige elektroniske sundhedsdata, der er fastsat ved de to obligatoriske EPJ-softwarekomponenter, der harmoniseres ved denne forordning, nemlig den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer (»de harmoniserede softwarekomponenter i EPJ-systemer«). De harmoniserede softwarekomponenter i EPJ-systemer vedrører hovedsagelig datatransformation, selv om de kan indebære behov for indirekte krav til dataregistrering og datapræsentation i EPJ-systemer. De tekniske specifikationer for de harmoniserede softwarekomponenter i EPJ-systemer bør defineres ved hjælp af gennemførelsesretsakter og bør baseres på anvendelsen af det europæiske format for udveksling af elektroniske patientjournaler. De harmoniserede softwarekomponenter i EPJ-systemer bør udformes, så de kan genbruges og integreres problemfrit med andre komponenter i et større softwaresystem. Sikkerhedskravene til de harmoniserede softwarekomponenter i EPJ-systemer bør omfatte elementer, der er specifikke for EPJ-systemer, da mere generelle sikkerhedsegenskaber bør understøttes af andre mekanismer, såsom mekanismerne i henhold til Europa-Parlamentets og Rådets forordning (EU) 2024/2847 
(
15
)
. For at støtte denne proces bør der oprettes europæiske digitale testmiljøer, som tilbyder automatiserede metoder til at teste, om funktionen af de harmoniserede softwarekomponenter i et EPJ-system er i overensstemmelse med kravene fastlagt i nærværende forordning. Med henblik herpå bør Kommissionen tillægges gennemførelsesbeføjelser til at fastlægge de fælles specifikationer for disse miljøer. Kommissionen bør udvikle den nødvendige software til testmiljøerne og stille den til rådighed som open source. Medlemsstaterne bør være ansvarlige for driften af de digitale testmiljøer, da de er tættere på fabrikanterne og bedre er i stand til at støtte dem. Fabrikanterne bør bruge disse digitale testmiljøer til at teste deres produkter, inden de bringes i omsætning, samtidig med at de fortsat bærer det fulde ansvar for deres produkters overensstemmelse. Testresultaterne bør indgå i produktets tekniske dokumentation. Hvis EPJ-systemet eller en del af det er i overensstemmelse med europæiske standarder eller fælles specifikationer, bør listen over de relevante europæiske standarder og fælles specifikationer også angives i den tekniske dokumentation. For at understøtte sammenligneligheden af EPJ-systemer bør Kommissionen udarbejde en ensartet model for den tekniske dokumentation, der ledsager sådanne systemer.
(37)
EPJ-systemer bør ledsages af et oplysningsskema, der indeholder oplysninger til professionelle brugere og af en klar og fuldstændig brugsanvisning i et format, der er tilgængeligt for personer med handicap. Hvis et EPJ-system ikke er ledsaget af sådanne oplysninger, skal fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og alle andre relevante erhvervsdrivende tilføje dette oplysningsskema og denne brugsanvisning til EPJ-systemet.
(38)
Selv om EPJ-systemer, som fabrikanten specifikt har udviklet til at blive anvendt til behandling af en eller flere specifikke kategorier af elektroniske sundhedsdata, bør være underlagt obligatorisk selvcertificering, bør software til generelle formål ikke betragtes som et EPJ-system, heller ikke når den anvendes i forbindelse med sundhedsydelser, og bør derfor ikke være forpligtet til at overholde denne forordning. Dette omfatter f.eks. tekstbehandlingssoftware, der anvendes til at skrive rapporter, og som derefter vil blive en del af skriftlige elektroniske patientjournaler, middleware til generelle formål eller databasestyringssoftware, der anvendes som en del af datalagringsløsninger.
(39)
Ved denne forordning indføres en obligatorisk selvvurderingsordning for de harmoniserede softwarekomponenter i EPJ-systemer for at sikre, at EPJ-systemer, der bringes i omsætning på EU-markedet, er i stand til at udveksle data i det europæiske format for udveksling af elektroniske patientjournaler, og at de har den nødvendige logningskapacitet. Denne obligatoriske selvvurderingsordning, der vil være i form af en overensstemmelseserklæring fra fabrikanten, bør sikre, at disse krav garanteres på en forholdsmæssig måde, samtidig med at det undgås, at medlemsstaterne og fabrikanterne pålægges en urimelig byrde.
(40)
Fabrikanterne bør i EPJ-systemets ledsagedokumenter og, hvis det er relevant, på emballagen anbringe en CE-overensstemmelsesmærkning, der angiver, at EPJ-systemet er i overensstemmelse med denne forordning og, for så vidt angår aspekter, der ikke er dækket af denne forordning, med anden gældende EU-ret, som ligeledes kræver anbringelse af en sådan mærkning. Medlemsstaterne bør benytte eksisterende mekanismer til at sikre, at bestemmelserne om CE-overensstemmelsesmærkning anvendes korrekt i henhold til relevant EU-ret, og bør iværksætte passende tiltag i tilfælde af uretmæssig anvendelse af denne mærkning.
(41)
Medlemsstaterne bør fortsat have kompetence til at fastlægge krav vedrørende alle andre softwarekomponenter i EPJ-systemer og vilkår og betingelser for tilslutning af sundhedstjenesteydere til deres respektive nationale infrastrukturer, som kan gøres til genstand for tredjepartsvurdering på nationalt plan. For at fremme et velfungerende indre marked for EPJ-systemer, digitale sundhedsprodukter og tilknyttede tjenester er det nødvendigt at sikres størst mulig gennemsigtighed for så vidt angår nationale ret om krav til EPJ-systemer og bestemmelser om deres overensstemmelsesvurdering i forbindelse med andre aspekter end de harmoniserede softwarekomponenter i EPJ-systemer. Medlemsstaterne bør derfor underrette Kommissionen om disse nationale krav, så den har de nødvendige oplysninger til at sikre, at de ikke påvirker de harmoniserede softwarekomponenter i EPJ-systemer negativt.
(42)
Visse EPJ-systemers softwarekomponenter kan betragtes som medicinsk udstyr i henhold til forordning (EU) 2017/745 eller medicinsk udstyr til in vitro-diagnostik i henhold til Europa-Parlamentets og Rådets forordning (EU) 2017/746 
(
16
)
. Software eller softwaremoduler, der falder ind under definitionen af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller et system for kunstig intelligens (AI), der betragtes som højrisiko (»højrisiko-AI-system«), bør certificeres i overensstemmelse med forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, alt efter hvad der er relevant. Selv om sådanne produkter skal opfylde kravene i den respektive forordning om disse produkter, bør medlemsstaterne træffe passende foranstaltninger til at sikre, at den respektive overensstemmelsesvurdering gennemføres som en fælles eller koordineret procedure for at begrænse den administrative byrde for fabrikanter og andre erhvervsdrivende. De væsentlige krav til interoperabilitet i nærværende forordning bør kun finde anvendelse i det omfang, fabrikanten af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller et højrisiko-AI-system, som leverer elektroniske sundhedsdata, der skal behandles som en del af EPJ-systemet, hævder, at det er interoperabelt med et sådant EPJ-system. I så fald bør bestemmelserne om fælles specifikationer for EPJ-systemer finde anvendelse på dette medicinske udstyr, dette medicinske udstyr til in vitro-diagnostik og disse højrisiko-AI-systemer.
(43)
For yderligere at støtte interoperabilitet og sikkerhed bør medlemsstaterne kunne opretholde eller fastlægge specifikke regler for indkøb, refusion eller finansiering af EPJ-systemer på nationalt plan i forbindelse med organisation, levering eller finansiering af sundhedstjenester. Sådanne specifikke regler bør ikke hindre den frie bevægelighed for EPJ-systemer i Unionen. Nogle medlemsstater har indført obligatorisk certificering af EPJ-systemer eller obligatorisk interoperabilitetstest for deres forbindelse til nationale digitale sundhedstjenester. Sådanne krav afspejles almindeligvis i udbudsprocedurer, der organiseres af sundhedstjenesteydere og nationale eller regionale myndigheder. Den obligatoriske certificering af EPJ-systemer på EU-plan bør skabe en reference, der kan anvendes i forbindelse med udbudsprocedurer på nationalt plan.
(44)
For at sikre, at patienter effektivt kan udøve deres rettigheder i henhold til denne forordning, bør sundhedstjenesteydere, der udvikler og anvender et EPJ-system »internt« til at udføre interne aktiviteter uden at bringe det i omsætning mod betaling eller vederlag, også overholde denne forordning. I den forbindelse bør sådanne sundhedstjenesteydere opfylde alle de krav, der gælder for fabrikanter for så vidt angår sådanne EPJ-systemer, der er udviklet »internt«, og som sådanne sundhedstjenesteydere tager i brug. Da sundhedstjenesteyderne imidlertid kan have brug for mere tid til at forberede sig på overholdelsen af denne forordning, bør disse krav først finde anvendelse på sådanne systemer efter en forlænget overgangsperiode.
(45)
Det er nødvendigt at fastlægge en klar og forholdsmæssig fordeling af forpligtelserne svarende til hver enkelt erhvervsdrivendes rolle i leverings- og distributionsprocessen for EPJ-systemer. De erhvervsdrivende bør være ansvarlige for overholdelse i forhold til deres respektive roller i en sådan proces og bør sikre, at de kun markedsfører EPJ-systemer, som opfylder de relevante krav.
(46)
Fabrikanter af EPJ-systemer bør påvise overensstemmelse med de væsentlige krav til interoperabilitet og sikkerhed ved at gennemføre fælles specifikationer. Med henblik herpå bør Kommissionen tillægges gennemførelsesbeføjelser til at fastlægge sådanne fælles specifikationer vedrørende datasæt, kodningssystemer, tekniske specifikationer, standarder, specifikationer og profiler for dataudveksling, samt krav og principper vedrørende patientsikkerhed og sikkerhed, fortrolighed, integritet og beskyttelse af personoplysninger og specifikationer og krav vedrørende identifikationsstyring og anvendelse af elektronisk identifikation. Digitale sundhedsmyndigheder bør bidrage til udviklingen af sådanne fælles specifikationer. Hvor det er relevant, bør disse fælles specifikationer baseres på eksisterende harmoniserede standarder for de harmoniserede softwarekomponenter i EPJ-systemer og være forenelige med sektorspecifik ret. Hvis fælles specifikationer er særligt vigtige i forhold til databeskyttelseskravene vedrørende EPJ-systemer, bør de være genstand for høring af Det Europæiske Databeskyttelsesråd (Databeskyttelsesrådet) og Den Europæiske Tilsynsførende for Databeskyttelse (EDPS), inden de vedtages, i henhold til artikel 42, stk. 2, i forordning (EU) 2018/1725.
(47)
For at sikre en hensigtsmæssig og effektiv håndhævelse af de krav og forpligtelser, der er fastsat i denne forordning, bør det system til markedsovervågning og produktoverensstemmelse, der er indført ved Europa-Parlamentets og Rådets forordning (EU) 2019/1020 
(
17
)
, finde anvendelse. Afhængigt af den organisation, der er fastlagt på nationalt plan, kan sådanne markedsovervågningsaktiviteter udføres af de digitale sundhedsmyndigheder, der sikrer en korrekt gennemførelse af nærværende forordnings kapitel II, eller af en særskilt markedsovervågningsmyndighed med ansvar for EPJ-systemer. Udpegelsen af digitale sundhedsmyndigheder som markedsovervågningsmyndigheder kan have betydelige praktiske fordele for gennemførelsen af sundhed og pleje, men enhver interessekonflikt bør undgås, f.eks. ved at adskille forskellige opgaver.
(48)
Markedsovervågningsmyndighedernes personale bør ikke befinde sig i nogen direkte eller indirekte økonomiske, finansielle eller personlige interessekonflikter, der kan anses for at være til skade for deres uafhængighed, og navnlig bør de ikke være i en situation, der direkte eller indirekte kan påvirke deres upartiske adfærd i forbindelse med udøvelsen af deres hverv. Medlemsstaterne bør fastlægge og offentliggøre udvælgelsesproceduren for markedsovervågningsmyndigheder. De bør sikre, at proceduren er gennemsigtig og ikke giver mulighed for interessekonflikter.
(49)
Brugere af wellnessapplikationer, herunder applikationer til mobilenheder, bør informeres om, at sådanne applikationer kan forbindes med og levere data til EPJ-systemer eller til nationale elektroniske sundhedsløsninger i tilfælde, hvor data produceret af wellnessapplikationer er nyttige i forbindelse med sundhedsydelser. Hvorvidt disse applikationer kan eksportere data i et interoperabelt format er også relevant for dataportabilitet. Hvor det er relevant, bør brugerne også informeres om sådanne wellnessapplikationers overensstemmelse med interoperabilitets- og sikkerhedskrav. I betragtning af det store antal wellnessapplikationer og den begrænsede relevans for sundhedsydelser af de data, der produceres af mange af dem, vil en certificeringsordning for disse applikationer imidlertid ikke være forholdsmæssig. Der bør derfor indføres en obligatorisk mærkningsordning for wellnessapplikationer, for hvilke der påberåbes interoperabilitet med EPJ-systemer, som en passende mekanisme til at skabe gennemsigtighed for brugerne af wellnessapplikationer med hensyn til overholdelse af kravene i henhold til denne forordning og dermed støtte brugerne i deres valg af passende wellnessapplikationer med høje standarder for interoperabilitet og sikkerhed. Kommissionen bør ved hjælp af gennemførelsesretsakter fastsætte nærmere bestemmelser om et sådant mærkes format og indhold.
(50)
Medlemsstaterne bør fortsat frit kunne regulere andre aspekter af anvendelsen af wellnessapplikationer, forudsat at de tilsvarende regler er i overensstemmelse med EU-retten.
(51)
Det er nødvendigt at formidle oplysninger om certificerede EPJ-systemer og mærkede wellnessapplikationer for at sætte indkøbere og brugere af sådanne produkter i stand til at finde interoperable løsninger til deres specifikke behov. Der bør derfor oprettes en database over interoperable EPJ-systemer og wellnessapplikationer, som ikke er omfattet af anvendelsesområdet for forordning (EU) 2017/745 og (EU) 2024/1689, på EU-plan svarende til den europæiske database for medicinsk udstyr (Eudamed), der er oprettet ved forordning (EU) 2017/745. Formålet med EU-databasen for registrering af EPJ-systemer og wellnessapplikationer bør være at øge den overordnede gennemsigtighed, undgå krav om flere indberetninger og strømline og lette informationsstrømmen. For medicinsk udstyr og AI-systemer bør registreringen opretholdes i de eksisterende databaser, der er oprettet i henhold til henholdsvis forordning (EU) 2017/745 og (EU) 2024/1689, men overensstemmelsen med interoperabilitetskravene bør angives af fabrikanterne, når de hævder en sådan overensstemmelse, med henblik på at informere indkøbere.
(52)
Uden at hindre eller erstatte eksisterende kontraktlige ordninger eller andre mekanismer har denne forordning til formål at oprette en fælles mekanisme for adgang til elektroniske sundhedsdata til sekundær anvendelse i hele Unionen. I henhold til denne mekanisme bør sundhedsdataindehavere stille de data, de er i besiddelse af, til rådighed på grundlag af en datatilladelse eller en sundhedsdataanmodning. Med henblik på behandling af elektroniske sundhedsdata til sekundær anvendelse er et af retsgrundlagene, der er omhandlet i artikel 6, stk. 1, litra a), c), e) eller f), i forordning (EU) 2016/679 sammenholdt med samme forordnings artikel 9, stk. 2, påkrævet. Nærværende forordning udgør derfor et retsgrundlag for den sekundære anvendelse af personlige elektroniske sundhedsdata, herunder garantierne der kræves i henhold til artikel 9, stk. 2, litra g)-j), i forordning (EU) 2016/679 for at tillade behandling af specielle kategorier af data for så vidt angår lovlige formål, pålidelig styring med henblik på at give adgang til sundhedsdata gennem involvering af organer med ansvar for adgang til sundhedsdata og behandling i et sikkert databehandlingsmiljø samt de nærmere bestemmelser for databehandling, der er fastsat i datatilladelsen I henhold til artikel 9, stk. 4, i forordning (EU) 2016/679 bør medlemsstaterne derfor ikke længere kunne opretholde eller indføre yderligere betingelser, herunder begrænsninger og specifikke bestemmelser om fysiske personers samtykke, med hensyn til behandling med henblik på sekundær anvendelse af personlige elektroniske sundhedsdata i henhold til nærværende forordning, med undtagelse af indførelsen af strengere foranstaltninger og yderligere garantier på nationalt plan med henblik på at beskytte følsomheden og værdien af visse data som fastsat i nærværende forordning. Sundhedsdataansøgere bør også dokumentere et retsgrundlag som omhandlet i artikel 6 i forordning (EU) 2016/679, der giver dem mulighed for at anmode om adgang til elektroniske sundhedsdata i henhold til nærværende forordning, og bør opfylde betingelserne i kapitel IV. Derudover bør organet med ansvar for adgang til sundhedsdata vurdere de oplysninger, som sundhedsdataansøgeren stiller til rådighed, på grundlag af hvilket det bør kunne udstede en datatilladelse til behandling af personlige elektroniske sundhedsdata i henhold til nærværende forordning, som bør opfylde kravene og betingelserne i kapitel IV i nærværende forordning. I forbindelse med behandling af elektroniske sundhedsdata, som sundhedsdataindehaverne er i besiddelse af skaber nærværende forordning en retlig forpligtelse som omhandlet i artikel 6, stk. 1, litra c), i forordning (EU) 2016/679, i overensstemmelse med nævnte forordnings artikel 9, stk. 2, litra i) og j), for sundhedsdataindehaveren til at gøre de personlige elektroniske sundhedsdata tilgængelige for organer med ansvar for adgang til sundhedsdata, mens retsgrundlaget for den indledende behandling, f.eks. levering af sundhedsydelser ikke berøres. Ved nærværende forordning overdrages også opgaver i offentlighedens interesse som omhandlet i artikel 6, stk. 1, litra e), i forordning (EU) 2016/679 til organer med ansvar for adgang til sundhedsdata og opfylder kravene i artikel 9, stk. 2, litra g)-j), alt efter hvad der er relevant, i nævnte forordning. Hvis sundhedsdatabrugeren baserer sig på et retsgrundlag, der er fastsat i artikel 6, stk. 1, litra e), eller f), i forordning (EU) 2016/679 bør nærværende forordning give de garantier, der kræves i henhold til artikel 9, stk. 2, i forordning (EU) 2016/679.
(53)
Elektroniske sundhedsdata, der anvendes til sekundær anvendelse, kan medføre store samfundsmæssige fordele. Der bør opfordres til anvendelse af data og evidens fra den virkelige verden, herunder resultater indberettet af patienten, til evidensbaseret lovgivning og politik samt til forskning, vurdering af medicinsk teknologi og kliniske mål. Data og evidens fra den virkelige verden har potentiale til at supplere de sundhedsdata, der stilles til rådighed i dag. For at nå dette mål er det vigtigt, at de datasæt, der stilles til rådighed for sekundær anvendelse i henhold til denne forordning, er så fuldstændige som muligt. Denne forordning indeholder de nødvendige garantier for at afbøde visse risici i forbindelse med opnåelsen af disse fordele. Den sekundære anvendelse af elektroniske sundhedsdata er baseret på pseudonymiserede eller anonymiserede data for at forhindre identifikation af de registrerede.
(54)
For at afveje sundhedsdatabrugernes behov for at have udtømmende og repræsentative datasæt med fysiske personers behov for autonomi over deres personlige elektroniske sundhedsdata, der anses for at være særligt følsomme, bør fysiske personer have mulighed for at træffe beslutning om, hvorvidt deres personlige elektroniske sundhedsdata kan behandles til sekundær anvendelse i henhold til denne forordning i form af en ret til at fravælge, at disse data stilles til rådighed til sekundær anvendelse. Der bør indføres en letforståelig, tilgængelig og brugervenlig mekanisme til at udøve denne ret til fravalg. Det er desuden bydende nødvendigt at give fysiske personer tilstrækkelige og fuldstændige oplysninger om deres ret til fravalg, herunder om fordele og ulemper ved udøvelsen af denne ret. Fysiske personer bør ikke være forpligtet til at begrunde deres fravalg og bør til enhver tid have mulighed for at genoverveje deres valg. Med henblik på visse formål med en stærk forbindelse til offentlighedens interesser, såsom aktiviteter til beskyttelse mod alvorlige grænseoverskridende sundhedstrusler eller videnskabelig forskning af hensyn til vigtige samfundsinteresser, er det imidlertid hensigtsmæssigt at give medlemsstaterne mulighed for under hensyntagen til deres nationale kontekst at indføre mekanismer til at give adgang til personlige elektroniske sundhedsdata for fysiske personer, der har udøvet deres ret til fravalg, for at sikre, at fuldstændige datasæt kan stilles til rådighed i disse situationer. Sådanne mekanismer bør opfylde de krav, der er fastsat for sekundær anvendelse i henhold til denne forordning. Videnskabelig forskning af hensyn til vigtige samfundsinteresser kan f.eks. omfatte forskning i uopfyldte medicinske behov, herunder sjældne sygdomme eller nye sundhedstrusler. Reglerne om sådanne tilsidesættelser bør respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at opfylde offentlighedens interesse i forbindelse med legitime videnskabelige og samfundsmæssige mål. Sådanne tilsidesættelser bør kun være tilgængelige for sundhedsdatabrugere, som er offentlige myndigheder eller relevante EU-institutioner, -organer, -kontorer eller -agenturer, der er blevet betroet at udføre opgaver på folkesundhedsområdet, eller for en anden enhed, der er blevet betroet at udføre offentlige opgaver på folkesundhedsområdet, eller som handler på vegne af eller er bestilt af en offentlig myndighed, og kun hvis dataene ikke kan opnås ved hjælp af alternative midler på en rettidig og effektiv måde, er opfyldt. Disse sundhedsdatabrugere bør begrunde, at anvendelsen af tilsidesættelsen er nødvendig for en individuel ansøgning om adgang til sundhedsdata eller sundhedsdataanmodning. Når en sådan tilsidesættelse anvendes, bør garantierne i kapitel IV fortsat anvendes af sundhedsdatabrugere, navnlig forbuddet mod, reidentifikation eller forsøg på at reidentificere de pågældende fysiske personer.
(55)
I forbindelse med det europæiske sundhedsdataområde findes der allerede elektroniske sundhedsdata, som indsamles af bl.a. sundhedstjenesteydere, faglige sammenslutninger, offentlige institutioner, lovgivere, forskere og forsikringsselskaber i forbindelse med deres aktiviteter. Disse data bør også stilles til rådighed til sekundær anvendelse, dvs. til behandling af data til andre formål end dem, hvortil de blev indsamlet eller frembragt; mange af sådanne data stilles imidlertid ikke til rådighed til behandling til sådanne formål. Dette begrænser forskeres, innovatorers, politiske beslutningstageres, lovgiveres og lægers mulighed for at anvende disse data til forskellige formål, herunder forskning, innovation, politikudformning, reguleringsmæssige formål, patientsikkerhed eller personlig medicin. For fuldt ud at udnytte fordelene ved sekundær anvendelse bør alle sundhedsdataindehavere bidrage til denne indsats ved at stille forskellige kategorier af elektroniske sundhedsdata, som de ligger inde med, til rådighed til sekundær anvendelse, forudsat at den pågældende indsats altid gøres via effektive og sikre processer med behørig respekt for professionelle forpligtelser såsom fortrolighedsforpligtelser.
(56)
De kategorier af elektroniske sundhedsdata, der kan behandles til sekundær anvendelse, bør være brede og fleksible nok til at imødekomme sundhedsdatabrugernes skiftende behov, samtidig med at de forbliver begrænset til data vedrørende sundhed eller data, der vides at påvirke sundheden. De kan også omfatte relevante data fra sundhedssystemet, f.eks. elektroniske patientjournaler, krav, ordinationsdata, data fra sygdomsregistre eller genomdata samt data med indvirkning på sundheden, f.eks. data om brug af forskellige stoffer, socioøkonomisk status eller adfærd og data om miljøfaktorer såsom forurening, stråling eller anvendelsen af visse kemiske stoffer. Kategorierne af elektroniske sundhedsdata til sekundær anvendelse omfatter nogle kategorier af data, der oprindeligt blev indsamlet med henblik på andre formål såsom forskning, statistikker, patientsikkerhed, reguleringsmæssige aktiviteter eller politikudformning, f.eks. sygdomsregistre, registre over politikudformning eller registre over bivirkninger ved lægemidler eller medicinsk udstyr. Der findes europæiske databaser, der fremmer anvendelse eller genanvendelse af data på visse områder, såsom kræft (det europæiske informationssystem på kræftområdet) eller sjældne sygdomme (f.eks. den europæiske platform for registrering af sjældne sygdomme og de europæiske netværk af referencecentres (ERN's) registre). Kategorierne af elektroniske sundhedsdata, der kan behandles til sekundær anvendelse, bør også omfatte automatisk genererede data fra medicinsk udstyr og persongenererede data såsom data fra wellnessapplikationer. Data om kliniske forsøg og kliniske afprøvninger bør også medtages i kategorierne af elektroniske sundhedsdata til sekundær anvendelse, når det kliniske forsøg eller den kliniske afprøvning er afsluttet, uden at dette berører sponsorernes frivillige datadeling af igangværende forsøg og afprøvninger. Elektroniske sundhedsdata til sekundær anvendelse bør helst stilles til rådighed i et struktureret elektronisk format, der gør det lettere for computersystemer at behandle dem. Eksempler på strukturerede elektroniske formater omfatter registreringer i en relationsdatabase, XML-dokumenter eller CSV-filer samt fritekst, lyd, videoer og billeder, der leveres som computerlæsbare filer.
(57)
Databrugere, der har adgang til datasæt i henhold til denne forordning, kan berige dataene i disse datasæt med forskellige rettelser, anmærkninger og andre forbedringer, f.eks. ved at supplere manglende eller ufuldstændige data og dermed forbedre nøjagtigheden, fuldstændigheden eller kvaliteten af dataene i datasættene. Sundhedsdatabrugere bør tilskyndes til at indberette kritiske fejl i datasættene til organerne med ansvar for adgang til sundhedsdata. For at støtte forbedringen af den oprindelige database og den videre anvendelse af det berigede datasæt bør medlemsstaterne kunne fastsætte regler om behandling og anvendelse af elektroniske sundhedsdata, der indeholder forbedringer vedrørende behandlingen af disse data. Det forbedrede datasæt bør stilles gratis til rådighed for den oprindelige sundhedsdataindehaver sammen med en beskrivelse af forbedringerne. Sundhedsdataindehaveren bør stille det nye datasæt til rådighed, medmindre den begrunder over for organet med ansvar for adgang til sundhedsdata, hvorfor dette ikke bør ske, f.eks. hvis sundhedsdatabrugerens berigelse er af ringe kvalitet. Det bør sikres, at elektroniske sundhedsdata, der ikke er personoplysninger, er tilgængelige til sekundær anvendelse. Navnlig patogene genomdata har en betydelig værdi for menneskers sundhed, hvilket har vist sig under covid-19-pandemien, hvor rettidig adgang til og udveksling af sådanne data viste sig at være afgørende for en hurtig udvikling af detektionsværktøjer, medicinske modforanstaltninger og reaktioner på trusler mod folkesundheden. Det største udbytte af indsatsen inden for genomiske analyser af patogener vil blive opnået, når folkesundhedsområdet og forskningsprocesser udveksler datasæt og samarbejder for at informere og forbedre hinanden.
(58)
For at øge effektiviteten af sekundær anvendelse af personlige elektroniske sundhedsdata og for fuldt ud at udnytte de muligheder, som denne forordning giver, bør tilgængeligheden i det europæiske sundhedsdataområde af elektroniske sundhedsdata som beskrevet i kapitel IV være på en sådan måde, at dataene er så tilgængelige, af høj kvalitet, klare og egnede til at skabe videnskabelig, innovativ og samfundsmæssig værdi og kvalitet som muligt. Arbejdet med gennemførelsen af det europæiske sundhedsdataområde og yderligere forbedringer af datasættene bør gennemføres på en måde, der prioriterer de datasæt, der er bedst egnede til at skabe en sådan værdi og kvalitet.
(59)
Offentlige eller private enheder modtager ofte offentlig finansiering fra nationale fonde eller EU-fonde til at indsamle og behandle elektroniske sundhedsdata til forskning, officielle eller uofficielle statistikker eller andre lignende formål, herunder på områder, hvor indsamlingen af sådanne data er fragmenteret eller vanskelig, f.eks. i forbindelse med sjældne sygdomme eller kræft. Sådanne data, der indsamles og behandles af sundhedsdataindehavere med støtte fra Unionens eller nationale offentlige midler, bør stilles til rådighed for organer med ansvar for adgang til sundhedsdata, for at maksimere virkningen af de offentlige investeringer og støtte forskning, innovation, patientsikkerhed eller politikudformning til gavn for samfundet. I nogle medlemsstater spiller private enheder, herunder private sundhedstjenesteydere og faglige sammenslutninger, en central rolle i sundhedssektoren. De sundhedsdata, som sådanne udbydere er i besiddelse af, bør også stilles til rådighed til sekundær anvendelse. Sundhedsdataindehavere i forbindelse med sekundær anvendelse bør derfor være enheder, der er sundhedstjenesteydere eller plejeudbydere eller udfører forskning med hensyn til sundheds- eller plejesektorerne eller udvikler produkter eller tjenester, der er beregnet til sundheds- eller plejesektorerne. Sådanne enheder kan være offentlige, almennyttige eller private. I overensstemmelse med denne definition bør plejehjem, dagcentre, enheder, der leverer tjenester til personer med handicap, enheder, der udfører forretnings- og teknologiaktiviteter i forbindelse med pleje, såsom ortopædi, og virksomheder, der leverer plejetjenester, betragtes som sundhedsdataindehavere. Juridiske personer, der udvikler wellnessapplikationer, bør også betragtes som sundhedsdataindehavere. EU-institutioner, -organer, -kontorer eller -agenturer, der behandler disse kategorier af sundheds- og sundhedsydelsesdata samt registre over dødelighed, bør også betragtes som sundhedsdataindehavere. For at undgå en uforholdsmæssig stor byrde for fysiske personer og mikrovirksomheder, bør de som hovedregel undtages fra de forpligtelser, der påhviler sundhedsdataindehavere. Medlemsstaterne bør dog kunne udvide sundhedsdataindehavernes forpligtelser til at omfatte fysiske personer og mikrovirksomheder i deres nationale ret. For at mindske den administrative byrde og i lyset af effektiviteten og principperne om effektivitet bør medlemsstaterne ved national ret kunne kræve, at sundhedsdataformidlingsenheder udfører de opgaver, der påhviler visse kategorier af sundhedsdataindehavere. Sådanne sundhedsdataformidlingsenheder bør være juridiske personer, der er i stand til at behandle, stille til rådighed, registrere, give, begrænse adgang til og udveksle elektroniske sundhedsdata til sekundær anvendelse, der stilles til rådighed af dataindehavere. Sådanne sundhedsdataformidlingsenheder udfører opgaver, der adskiller sig fra dem, der udføres af dataformidlingstjenester i henhold til forordning (EU) 2022/868.
(60)
Elektroniske sundhedsdata, der er beskyttet af intellektuelle ejendomsrettigheder eller forretningshemmeligheder, herunder data om kliniske forsøg, afprøvninger og undersøgelser, kan være meget nyttige til sekundær anvendelse og kan fremme innovation i Unionen til gavn for patienter i Unionen. For at tilskynde til fortsat EU-lederskab på dette område er det vigtigt at tilskynde til deling af data om kliniske forsøg og kliniske afprøvninger gennem det europæiske sundhedsdataområde til sekundær anvendelse. Data om kliniske forsøg og kliniske afprøvninger bør så vidt muligt stilles til rådighed, samtidig med at der træffes alle nødvendige foranstaltninger for at beskytte intellektuelle ejendomsrettigheder og forretningshemmeligheder. Denne forordning bør ikke anvendes til at reducere eller omgå en sådan beskyttelse og bør være i overensstemmelse med de relevante gennemsigtighedsbestemmelser, der er fastsat i EU-retten, herunder for data om kliniske forsøg og kliniske afprøvninger. Organer med ansvar for adgang til sundhedsdata bør vurdere, hvordan en sådan beskyttelse kan opretholdes, og samtidig give sundhedsdatabrugere adgang til sådanne data i det omfang, det er muligt. Hvis et organ med ansvar for adgang til sundhedsdata ikke er er i stand til at give adgang til sådanne data, bør det underrette sundhedsdatabrugeren og forklare, hvorfor det ikke er muligt at give sådan adgang. Retlige, organisatoriske og tekniske foranstaltninger til beskyttelse af intellektuelle ejendomsrettigheder eller forretningshemmeligheder kan omfatte fælles kontraktlige ordninger for adgang til elektroniske sundhedsdata, specifikke forpligtelser i datatilladelsen i forbindelse med sådanne rettigheder, forbehandling af data til generering af afledte data, der beskytter en forretningshemmelighed, men som ikke desto mindre har nytteværdi for sundhedsdatabrugeren eller konfigurationen af det sikre databehandlingsmiljø, således at sådanne data ikke er tilgængelige for sundhedsdatabrugeren.
(61)
Sekundær anvendelse af sundhedsdata under det europæiske sundhedsdataområde bør gøre det muligt for offentlige, private og almennyttige enheder samt individuelle forskere at få adgang til sundhedsdata med henblik på forskning, innovation, politikudformning, uddannelsesaktiviteter, patientsikkerhed, reguleringsmæssige aktiviteter eller personlig medicin i overensstemmelse med de formål, der er fastsat i denne forordning. Adgang til data til sekundær anvendelse bør bidrage til samfundets almene interesse. Navnlig bør sekundær anvendelse af sundhedsdata til forsknings- og udviklingsformål bidrage til at give samfundet en fordel i form af nye lægemidler, medicinsk udstyr og sundhedsydelsesprodukter og -tjenester til overkommelige og retfærdige priser for unionsborgerne samt øge adgangen til og tilgængeligheden af sådanne produkter og ydelser i alle medlemsstater. Aktiviteter, for hvilke adgang i henhold til denne forordning er lovlig, kan omfatte anvendelse af elektroniske sundhedsdata til opgaver, der udføres af offentlige myndigheder, såsom udførelse af offentlig tjeneste, herunder folkesundhedsovervågning, planlægnings- og rapporteringsforpligtelser, udformning af sundhedspolitikker og sikring af patientsikkerhed, behandlingskvalitet og sundhedssystemernes bæredygtighed. Offentlige myndigheder og Unionens institutioner, organer, kontorer og agenturer kan have behov for regelmæssig adgang til elektroniske sundhedsdata i en længere periode, herunder for at opfylde deres mandat, som er fastsat i denne forordning. Offentlige myndigheder kan udføre sådanne forskningsaktiviteter ved hjælp af tredjeparter, herunder underleverandører, så længe den offentlige myndighed til enhver tid fører tilsyn med disse aktiviteter. Leveringen af data bør også støtte aktiviteter i forbindelse med videnskabelig forskning. Begrebet forskningsformål bør fortolkes bredt, herunder teknologisk udvikling og demonstration, grundforskning, anvendt forskning og privatfinansieret forskning. Aktiviteter i forbindelse med videnskabelig forskning omfatter innovationsaktiviteter, såsom træning af AI-algoritmer, der kan anvendes inden for sundhedsydelser eller til pleje af fysiske personer, samt evaluering og videreudvikling af eksisterende algoritmer og produkter til sådanne formål. Det er nødvendigt, at det europæiske sundhedsdataområde også bidrager til grundforskning, og selv om fordelene for slutbrugere og patienter kan være mindre direkte, er en sådan grundforskning afgørende for samfundsmæssige fordele på længere sigt. I nogle tilfælde kan oplysninger om visse fysiske personer, såsom genominformation om fysiske personer med en bestemt sygdom, bidrage til diagnosticering eller behandling af andre fysiske personer. Der er behov for, at offentlige myndigheder går ud over anvendelsesområdet »ekstraordinære behov« i kapitel V i forordning (EU) 2023/2854. Organer med ansvar for adgang til sundhedsdata bør dog have mulighed for at yde støtte til offentlige myndigheder, når data behandles eller sammenkædes. Nærværende forordning giver offentlige myndigheder mulighed for at få adgang til oplysninger, som de har brug for til at udføre de opgaver, de er pålagt ved lov, men udvider ikke sådanne offentlige myndigheders mandat.
(62)
Ethvert forsøg på at anvende elektroniske sundhedsdata til foranstaltninger, der er skadelige for fysiske personer, såsom til at forhøje forsikringspræmier, til at deltage i aktiviteter, der muligvis er skadelige for fysiske personer i forhold til beskæftigelse, pensioner eller bankforhold, herunder pantsætning af ejendomme, til at reklamere for produkter eller behandlinger, til at automatisere individuel beslutningstagning, til at reidentificere fysiske personer eller til at udvikle skadelige produkter, bør forbydes. Dette forbud bør også finde anvendelse på aktiviteter, der er i strid med etiske bestemmelser i henhold til national ret, med undtagelse af etiske bestemmelser vedrørende samtykke til behandling af personoplysninger og etiske bestemmelser vedrørende retten til fravalg, da denne forordning har forrang for national ret, i overensstemmelse med det generelle princip om EU-rettens forrang. Det bør også forbydes at give adgang til eller på anden stille elektroniske sundhedsdata til rådighed for tredjeparter, der ikke er nævnt i datatilladelsen. Identiteten på de autoriserede personer, navnlig identiteten på den hovedinvestigator, som i henhold til denne forordning har ret til at få adgang til elektroniske sundhedsdata i det sikre databehandlingsmiljø, bør angives i datatilladelsen. Hovedinvestigatorerne er de hovedansvarlige for at anmode om adgang til de elektroniske sundhedsdata og for at behandle de ønskede data i det sikre databehandlingsmiljø på vegne af sundhedsdatabrugeren.
(63)
Denne forordning giver ikke beføjelse til sekundær anvendelse af sundhedsdata med henblik på retshåndhævelse. Forebyggelsen, efterforskningen, opdagelsen eller retsforfølgningen af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner ved de kompetente myndigheder bør ikke være omfattet af de sekundære anvendelser i henhold til denne forordning. Derfor bør domstole og andre enheder i retssystemet ikke betragtes som sundhedsdatabrugere i forbindelse med sekundær anvendelse af sundhedsdata i henhold til denne forordning. Desuden bør domstole og andre enheder i retssystemet ikke være omfattet af definitionen af sundhedsdataindehavere og bør derfor ikke være adressater for forpligtelser for sundhedsdataindehavere i henhold til denne forordning. Desuden de beføjelser, der tillægges de kompetente myndigheder med hensyn til forebyggelse, efterforskning, opdagelse og retsforfølgning af strafbare handlinger, der er fastsat ved lov, for så vidt angår indhentning af elektroniske sundhedsdata, berøres ikke af denne forordning. Elektroniske sundhedsdata, som domstolene er i besiddelse af med henblik på retssager, er heller ikke omfattet af denne forordnings anvendelsesområde.
(64)
Oprettelsen af et eller flere organer med ansvar for adgang til sundhedsdata, der støtter adgangen til elektroniske sundhedsdata i medlemsstaterne, er væsentlig for at fremme sekundær anvendelse af sundhedsrelaterede data. Medlemsstaterne bør derfor oprette et eller flere organer med ansvar for adgang til sundhedsdata, for bl.a. at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Et af disse organer med ansvar for adgang til sundhedsdata bør dog udpeges som koordinator, hvis der er mere end ét organ med ansvar for adgang til sundhedsdata. Hvis en medlemsstat opretter flere organer med ansvar for adgang til sundhedsdata, bør den fastsætte regler på nationalt plan for at sikre disse organers koordinerede deltagelse i udvalget for det europæiske sundhedsdataområde. Den pågældende medlemsstat bør navnlig udpege ét organ med ansvar for adgang til sundhedsdata som skal fungere som fælles kontaktpunkt for disse organers effektive deltagelse med henblik på at sikre et hurtigt og smidigt samarbejde med andre organer med ansvar for adgang til sundhedsdata, udvalget for det europæiske sundhedsdataområde og Kommissionen. Organer med ansvar for adgang til sundhedsdata kan variere med hensyn til organisation og størrelse, der spænder over en særlig organisation til en enhed eller afdeling i en eksisterende organisation. Organer med ansvar for adgang til sundhedsdata bør ikke påvirkes i deres beslutninger om adgang til elektroniske data til sekundær anvendelse og bør undgå interessekonflikter. Medlemmer af forvaltningen og besluttende organer i hvert organ med ansvar for adgang til sundhedsdata og dets personale bør derfor afholde sig fra enhver handling, der er uforenelig med deres opgaver, og bør ikke udøve nogen form for uforenelig beskæftigelse. Organerne med ansvar for adgang til sundhedsdatas uafhængighed bør dog ikke betyde, at de ikke kan gøres til genstand for kontrol- eller overvågningsmekanismer for så vidt angår deres finansielle udgifter eller for domstolsprøvelse. Hvert organ med ansvar for adgang til sundhedsdata bør have de nødvendige finansielle, tekniske og menneskelige ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende samarbejde med andre organer med ansvar for adgang til sundhedsdata i hele Unionen. Medlemmerne af forvaltningen og besluttende organer hos organerne med ansvar for adgang til sundhedsdata og deres personale bør have de nødvendige kvalifikationer, erfaring og færdigheder. Hvert organ med ansvar for adgang til sundhedsdata bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget. For at muliggøre bedre adgang til sundhedsdata og supplere artikel 7, stk. 2, i forordning (EU) 2022/868 bør medlemsstaterne give organer med ansvar for adgang til sundhedsdata beføjelser til at træffe afgørelser om adgang til og sekundær anvendelse af sundhedsdata. Dette kunne bestå i at tildele nye opgaver til de kompetente organer, der er udpeget af medlemsstaterne i henhold til artikel 7, stk. 1, i forordning (EU) 2022/868, eller at udpege eksisterende eller nye sektorspecifikke organer, der er ansvarlige for sådanne opgaver i forbindelse med adgang til sundhedsdata.
(65)
Organer med ansvar for adgang til sundhedsdata bør overvåge anvendelsen af kapitel IV i denne forordning og bidrage til en ensartet anvendelse heraf i hele Unionen. Med henblik herpå bør organer med ansvar for adgang til sundhedsdata samarbejde med hinanden og med Kommissionen. Organer med ansvar for adgang til sundhedsdata bør også samarbejde med interessenter, herunder patientorganisationer. Organer med ansvar for adgang til sundhedsdata bør støtte sundhedsdataindehavere, der er små virksomheder, i overensstemmelse med Kommissionens henstilling 2003/361/EF 
(
18
)
, navnlig læger og apoteker. Da den sekundære anvendelse af sundhedsdata indebærer behandling af personlige helbredsoplysninger, finder de relevante bestemmelser i forordning (EU) 2016/679 og (EU) 2018/1725 anvendelse, og tilsynsmyndighederne i henhold til nævnte forordninger bør fortsat være de eneste kompetente myndigheder til at håndhæve disse bestemmelser. Organer med ansvar for adgang til sundhedsdata bør underrette databeskyttelsesmyndighederne om eventuelle pålagte sanktioner og eventuelle problemer i forbindelse med databehandling til sekundær anvendelse og udveksle alle relevante oplysninger, som de råder over, for at sikre håndhævelsen af de relevante regler. Ud over de opgaver, der er nødvendige for at sikre en effektiv sekundær anvendelse af sundhedsdata, bør organet med ansvar for adgang til sundhedsdata bestræbe sig på at udvide tilgængeligheden af yderligere sundhedsdatasæt og fremme udviklingen af fælles standarder. De bør anvende testede og de nyeste teknikker, der sikrer, at elektroniske sundhedsdata behandles på en måde, der beskytter privatlivets fred for så vidt angår de oplysninger, der er indeholdt i de data, for hvilke sekundær anvendelse er tilladt, herunder teknikker til pseudonymisering, anonymisering, generalisering, fjernelse og randomisering af personoplysninger. Organer med ansvar for adgang til sundhedsdata kan udarbejde datasæt til sundhedsdatabrugeren som krævet i den udstedte datatilladelse. I den forbindelse bør organer med ansvar for adgang til sundhedsdata samarbejde på tværs af grænserne for at udvikle og udveksle bedste praksis og teknikker. Dette omfatter regler for pseudonymisering og anonymisering af mikrodatasæt. Kommissionen bør fastsætte procedurerne og kravene og stille tekniske værktøjer til rådighed med henblik på at opnå en ensartet procedure for pseudonymisering og anonymisering af elektroniske sundhedsdata, hvor det er relevant.
(66)
Organer med ansvar for adgang til sundhedsdata bør sikre at sekundær anvendelse er gennemsigtig, offentlige oplysninger om de udstedte datatilladelser og begrundelserne herfor, de foranstaltninger, der er blevet truffet for at beskytte fysiske personers rettigheder, midlerne for fysiske personer til at udøve deres rettigheder i forbindelse med sekundær anvendelse, og resultaterne af sekundær anvendelse, herunder gennem links til videnskabelige publikationer. Hvor det er relevant, bør disse oplysninger om resultaterne af sekundær anvendelse også omfatte et foreløbigt resumé, som skal fremlægges af sundhedsdatabrugeren. Disse gennemsigtighedsforpligtelser supplerer de forpligtelser, der er fastsat ved artikel 14 i forordning (EU) 2016/679. Undtagelserne i nævnte forordnings artikel 14, stk. 5, kan finde anvendelse. Hvis sådanne undtagelser finder anvendelse, bør gennemsigtighedsforpligtelserne, som fastsat i nærværende forordning, bidrage til at sikre en retfærdig og gennemsigtig behandling som omhandlet i artikel 14, stk. 2, i forordning (EU) 2016/679, f.eks. ved at give oplysninger om formålet med behandlingen og de behandlede datakategorier, der derved gør det muligt for fysiske personer at forstå, om deres data stilles til rådighed til sekundær anvendelse i henhold til datatilladelser.
(67)
Fysiske personer bør af sundhedsdataindehaverne underrettes om væsentlige fund, som sundhedsdatabrugere har opdaget vedrørende deres helbred. Fysiske personer bør have ret til at anmode om ikke at blive underrettet om sådanne fund. Medlemsstaterne kan fastsætte betingelser for, hvordan sundhedsdataindehavere skal give sådanne oplysninger til de berørte fysiske personer, og for udøvelsen af retten til ikke at blive underrettet. I overensstemmelse med artikel 23, stk. 1, litra i), i forordning (EU) 2016/679 bør medlemsstaterne have mulighed for at begrænse rækkevidden af forpligtelsen om at underrette de fysiske personer, når det er nødvendigt for deres beskyttelse på grundlag af patientsikkerhed og etik, ved at udsætte meddelelsen af deres oplysninger, indtil en sundhedsprofessionel kan videregive og forklare de pågældende fysiske personer de oplysninger, der potentielt kan have en indvirkning på deres sundhed.
(68)
For at fremme gennemsigtigheden bør organerne med ansvar for adgang til sundhedsdata også hvert andet år offentliggøre aktivitetsrapporter, der giver et overblik over deres aktiviteter. Hvis en medlemsstat har udpeget mere end ét organ med ansvar for adgang til sundhedsdata, bør koordineringsorganet hvert andet år udarbejde og offentliggøre en fælles rapport. Aktivitetsrapporterne bør følge en struktur, der er aftalt i udvalget for det europæiske sundhedsdataområde, og give et overblik over aktiviteter, herunder oplysninger vedrørende afgørelser om ansøgninger, revisioner og samarbejde med relevante interessenter. Sådanne interessenter kan omfatte repræsentanter for fysiske personer, patientorganisationer, sundhedsprofessionelle, forskere og etiske udvalg.
(69)
For at støtte sekundær anvendelse bør sundhedsdataindehaverne afholde sig fra at tilbageholde data, opkræve uberettigede gebyrer, som ikke er gennemsigtige eller ikke står i et rimeligt forhold til omkostningerne ved at stille data til rådighed eller, hvor det er relevant, til marginale omkostninger til dataindsamling, og anmode sundhedsdatabrugerne om at offentliggøre forskning eller anden praksis, der kunne afholde sundhedsdatabrugerne fra at anmode om dataene. Hvis en sundhedsdataindehaver er en offentlig myndighed, bør den del af gebyrerne, der er knyttet til dens omkostninger, ikke dække omkostningerne ved den indledende indsamling af dataene. Hvis etisk godkendelse er nødvendig for at give en datatilladelse, bør vurderingen vedrørende etisk godkendelse baseres på de specifikke omstændigheder.
(70)
Organer med ansvar for adgang til sundhedsdata bør have mulighed for at opkræve gebyrer under hensyntagen til de horisontale regler, der følger af forordning (EU) 2022/868, i forbindelse med deres opgaver. Sådanne gebyrer kan tage hensyn til små og mellemstore virksomheders (SMV'ers), individuelle forskeres eller offentlige myndigheders situation og interesser. Medlemsstaterne bør navnlig have mulighed for at træffe foranstaltninger for organer med ansvar for adgang til sundhedsdata inden for deres jurisdiktion, som gør det muligt at opkræve nedsatte gebyrer for visse kategorier af sundhedsdatabrugere. Organer med ansvar for adgang til sundhedsdata bør kunne dække omkostningerne ved deres drift med gebyrer, der fastsættes på en forholdsmæssig, begrundet og gennemsigtig måde. Dette kan føre til højere gebyrer for nogle sundhedsdatabrugere, hvis behandlingen af deres ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger kræver mere arbejde. Sundhedsdataindehavere bør også have mulighed for at anmode om gebyrer, der afspejler deres omkostninger ved at stille data til rådighed. Organer med ansvar for adgang til sundhedsdata bør træffe afgørelse om størrelsen af sådanne gebyrer, som også kan omfatte de gebyrer, som sundhedsdataindehaverne anmoder om. Sundhedsdatabrugeren bør opkræves sådanne gebyrer af organet med ansvar for adgang til sundhedsdata i én enkelt faktura. Organet med ansvar for adgang til sundhedsdata bør derefter overføre den relevante del af de betalte gebyrer til sundhedsdataindehaveren. For at sikre en harmoniseret tilgang til gebyrpolitik og -struktur bør Kommissionen tillægges gennemførelsesbeføjelser. Artikel 10 i forordning (EU) 2023/2854 bør finde anvendelse på gebyrer, der opkræves i henhold til nærværende forordning.
(71)
For at styrke håndhævelsen af reglerne om sekundær anvendelse bør der overvejes passende foranstaltninger, der kan føre til administrative bøder eller håndhævelsesforanstaltninger fra organer med ansvar for adgang til sundhedsdata eller midlertidige eller permanente udelukkelser fra det europæiske sundhedsdataområde af sundhedsdatabrugere eller sundhedsdataindehavere, der ikke opfylder deres forpligtelser. Organer med ansvar for adgang til sundhedsdata bør have beføjelse til at kontrollere overholdelsen af sundhedsdatabrugere og -indehavere og give dem mulighed for at svare på eventuelle anmærkninger og afhjælpe eventuelle overtrædelser. Organer med ansvar for adgang til sundhedsdata bør i forbindelse med fastsættelsen af den administrative bødes beløb eller en håndhævelsesforanstaltning i den enkelte sag tage højde for de omkostningsmargener og kriterier, der er fastsat i denne forordning, idet det sikres, at disse bøder eller foranstaltninger er forholdsmæssige.
(72)
I betragtning af de elektroniske sundhedsdatas følsomhed er det nødvendigt at reducere risiciene for fysiske personers privatliv ved at anvende princippet om dataminimering. Derfor bør andre elektroniske sundhedsdata end personoplysninger gøres tilgængelige i alle tilfælde, hvor leveringen af sådanne data er tilstrækkelige. Hvis sundhedsdatabrugeren har brug for at anvende personlige elektroniske sundhedsdata, bør denne i sin anmodning klart angive begrundelsen for anvendelsen af denne type data, og organet med ansvar for adgang til sundhedsdata bør vurdere, om denne begrundelse er gyldig. Personlige elektroniske sundhedsdata bør kun stilles til rådighed i pseudonymiseret format. Under hensyntagen til de specifikke formål med behandlingen bør personlige elektroniske sundhedsdata pseudonymiseres eller anonymiseres så tidligt som muligt i processen, hvor data stilles til rådighed til sekundær anvendelse. Det bør være muligt at pseudonymisering og anonymisering foretages af organer med ansvar for adgang til sundhedsdata eller af sundhedsdataindehavere. Som dataansvarlige bør organer med ansvar for adgang til sundhedsdata og sundhedsdataindehavere have mulighed for at uddelegere disse opgaver til databehandlere. Når et organ med ansvar for adgang til sundhedsdata giver adgang til et pseudonymiseret eller anonymiseret datasæt, bør det anvende de nyeste teknologier og standarder inden for pseudonymisering eller anonymisering og i videst muligt omfang sikre, at fysiske personer ikke kan reidentificeres af sundhedsdatabrugere. Sådanne teknologier og standarder for datapseudonymisering eller -anonymisering bør udvikles yderligere. Sundhedsdatabrugere bør ikke forsøge at reidentificere fysiske personer fra det datasæt, der leveres i henhold til denne forordning, og hvis de gør det, bør de være genstand for administrative bøder og håndhævelsesforanstaltninger som fastsat i denne forordning eller mulige strafferetlige sanktioner, hvis dette er fastsat i national ret. En sundhedsdataansøger bør desuden kunne anmode om et svar på en sundhedsdataanmodning i et anonymiseret, statistisk format. I sådanne tilfælde vil sundhedsdatabrugeren kun behandle andre sundhedsdata end personoplysninger, og organet med ansvar for adgang til sundhedsdata vil fortsat være enedataansvarlig for samtlige de personoplysninger, der er nødvendige for at besvare sundhedsdataanmodningen.
(73)
For at sikre, at alle organer med ansvar for adgang til sundhedsdata udsteder datatilladelser på samme måde, er det nødvendigt at fastlægge en fælles standardprocedure for udstedelse af datatilladelser med lignende anmodninger i forskellige medlemsstater. Sundhedsdataansøgeren bør give organer med ansvar for adgang til sundhedsdata flere oplysninger, som kan hjælpe organet med at vurdere ansøgningen om adgang til sundhedsdata og afgøre, om sundhedsdataansøgeren kan få en datatilladelse, og der bør sikres konsekvens mellem de forskellige organer med ansvar for adgang til sundhedsdata. De oplysninger, der stilles til rådighed som en del af ansøgningen om adgang til sundhedsdata bør være i overensstemmelse med de fastsatte betingelser i henhold til denne forordning for at muliggøre en grundig vurdering heraf, idet en datatilladelse kun bør udstedes, hvis samtlige nødvendige betingelser i denne forordning er opfyldt. Desuden bør disse oplysninger, hvis det er relevant, indeholde en erklæring fra sundhedsdataansøgeren om, at den tilsigtede anvendelse af de anmodede sundhedsdata ikke udgør en risiko for at stigmatisere eller for at forårsage skade på værdigheden for de fysiske personer eller grupper, som det anmodede datasættet omhandler. Der kan anmodes om en etisk vurdering på grundlag af national ret. I så fald, bør det være muligt for eksisterende etiske organer at foretage sådanne vurderinger for organet med ansvar for adgang til sundhedsdata. Medlemsstaternes eksisterende etiske organer bør stille deres ekspertise til rådighed for organet med ansvar for adgang til sundhedsdata til dette formål. Alternativt bør medlemsstaterne kunne beslutte at gøre etiske organer til en del af organet med ansvar for adgang til sundhedsdata. Organet med ansvar for adgang til sundhedsdata og, hvor det er relevant, sundhedsdataindehavere bør bistå sundhedsdatabrugere med at udvælge passende datasæt eller datakilder til det erklærede formål med den sekundære anvendelse. Hvis sundhedsdataansøgeren har brug for data i et anonymiseret statistisk format, bør vedkommende indgive en sundhedsdataanmodning med krav om, at organet med ansvar for adgang til sundhedsdata leverer resultatet direkte. Et afslag på en datatilladelse fra organet med ansvar for adgang til sundhedsdata bør ikke hindre sundhedsdataansøgeren i at indgive en ny ansøgning om adgang til sundhedsdata. For at sikre en harmoniseret tilgang mellem organer med ansvar for adgang til sundhedsdata og for at begrænse den unødvendige administrative byrde for sundhedsdataansøgere bør Kommissionen støtte harmoniseringen af ansøgninger om adgang til sundhedsdata samt sundhedsdataanmodninger, herunder ved at fastlægge de relevante skabeloner. I begrundede tilfælde, f.eks. i tilfælde af en kompleks og byrdefuld anmodning, bør organet med ansvar for adgang til sundhedsdata kunne forlænge fristen for sundhedsdataindehavere med hensyn til at stille de elektroniske sundhedsdata, der anmodes om, til rådighed for det.
(74)
Da deres ressourcer er begrænsede, bør organer med ansvar for adgang til sundhedsdata kunne anvende prioriteringsregler, f.eks. prioritere offentlige institutioner over private enheder, men de bør ikke forskelsbehandle de nationale organisationer og organisationer fra andre medlemsstater inden for samme kategori af prioriteter. En sundhedsdatabruger bør kunne forlænge datatilladelsens varighed for f.eks. at give evaluatorer af videnskabelige publikationer adgang til datasættene eller give mulighed for yderligere analyse af datasættet på grundlag af de første resultater. Dette bør kræve en ændring af datatilladelsen og kan blive pålagt et yderligere gebyr. I alle tilfælde bør datatilladelsen dog afspejle sådanne supplerende anvendelser af datasættet. Sundhedsdatabrugeren bør helst nævne dem i sin oprindelige ansøgning om adgang til sundhedsdata. For at sikre en harmoniseret tilgang mellem organer med ansvar for adgang til sundhedsdata bør Kommissionen støtte harmoniseringen af datatilladelser.
(75)
Som covid-19-krisen har vist, har Unionens institutioner, organer, kontorer og agenturer med et retligt mandat på folkesundhedsområdet, navnlig Kommissionen, brug for adgang til sundhedsdata i en længere periode og med jævne mellemrum. Dette kan være tilfældet under særlige omstændigheder i krisetider som fastsat i EU-retten eller national ret, men også for løbende at tilvejebringe videnskabelig dokumentation og teknisk støtte til Unionens politikker. Der kan kræves adgang til sådanne data i bestemte medlemsstater eller på hele Unionens område. Sådanne EU-institutioner, organer, kontorer og agenturer bør kunne drage fordel af en fremskyndet procedure for at få data stillet til rådighed normalt på mindre end to måneder med mulighed for at forlænge tidsfristen med én måned i mere komplekse tilfælde.
(76)
Medlemsstaterne bør have mulighed for at udpege betroede sundhedsdataindehavere, for hvilke proceduren for udstedelse af datatilladelser kan blive gennemført på en forenklet måde, for at lette den administrative byrde for organer med ansvar for adgang til sundhedsdata i forbindelse med forvaltningen af anmodninger om de data, de behandler. Betroede sundhedsdataindehavere bør have mulighed for at vurdere de ansøgninger om adgang til sundhedsdata, der indgives efter denne forenklede procedure, på grundlag af deres ekspertise med hensyn til at håndtere den type sundhedsdata, de behandler, og udstede en anbefaling vedrørende en datatilladelse. Organet med ansvar for adgang til sundhedsdata bør fortsat være ansvarligt for udstedelsen af den endelige datatilladelse og bør ikke være bundet af anbefalingen fra den betroede sundhedsdataindehaver. Enheder, der formidler sundhedsdata, bør ikke udpeges som pålidelige sundhedsdataindehavere.
(77)
I betragtning af de elektroniske sundhedsdatas følsomhed bør sundhedsdatabrugerne ikke have ubegrænset adgang til sådanne data. Al adgang til de elektroniske sundhedsdata, der anmodes om, med henblik på sekundær anvendelse bør ske gennem et sikkert databehandlingsmiljø. For at sikre at der er indført stærke tekniske og sikkerhedsmæssige garantier for de elektroniske sundhedsdata bør organer med ansvar for adgang til sundhedsdata eller, hvor det er relevant, den betroede dataindehaver give adgang til sådanne data i et sikkert databehandlingsmiljø i overensstemmelse med de høje tekniske og sikkerhedsmæssige standarder, der er fastsat i henhold til denne forordning. Behandlingen af personoplysninger i et sådant sikkert databehandlingsmiljø bør være i overensstemmelse med forordning (EU) 2016/679, herunder, hvis det sikre databehandlingsmiljø forvaltes af en tredjepart, kravene i nævnte forordnings artikel 28 og, hvor det er relevant, kapitel V heri. Et sådant sikkert databehandlingsmiljø bør mindske de risici for privatlivets fred, der er forbundet med sådanne behandlingsaktiviteter, og forhindre, at de elektroniske sundhedsdata overføres direkte til sundhedsdatabrugerne. Organet med ansvar for adgang til sundhedsdata eller den sundhedsdataindehaver, der leverer denne tjeneste, bør til enhver tid have kontrol over adgangen til de elektroniske sundhedsdata, og den adgang, der gives til databrugerne bør fastsættes i henhold til betingelserne i den udstedte datatilladelse. Sundhedsdatabrugere bør kun downloade andre elektroniske sundhedsdata end personoplysninger, der ikke indeholder personlige elektroniske sundhedsdata, fra et sådant sikkert databehandlingsmiljø. Et sådant sikkert databehandlingsmiljø er således en væsentlig garanti for at bevare fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af deres elektroniske sundhedsdata til sekundær anvendelse. Kommissionen bør bistå medlemsstaterne med at udvikle fælles sikkerhedsstandarder for at fremme sikkerheden og interoperabiliteten i de forskellige sikre databehandlingsmiljøer.
(78)
Ved forordning (EU) 2022/868 fastsættes de generelle regler for forvaltning af dataaltruisme. Idet sundhedssektoren forvalter følsomme data, bør der samtidig fastsættes yderligere kriterier gennem det regelsæt, der er omhandlet i nævnte forordning. Hvis sådanne regler indeholder bestemmelser om anvendelse af et sikkert databehandlingsmiljø for denne sektor, bør et sådant sikkert databehandlingsmiljø være i overensstemmelse med de kriterier, der er fastsat i nærværende forordning. Organerne med ansvar for adgang til sundhedsdata bør samarbejde med de kompetente myndigheder, der er udpeget i henhold til forordning (EU) 2022/868 med henblik på at føre tilsyn med dataaltruistiske organisationers aktiviteter i sundheds- eller plejesektoren.
(79)
I forbindelse med behandling af elektroniske sundhedsdata inden for rammerne af en datatilladelse eller en sundhedsdataanmodning bør sundhedsdataindehavere, herunder betroede sundhedsdataindehavere, organer med ansvar for adgang til sundhedsdata og sundhedsdatabrugere hver især betragtes som dataansvarlige for en specifik del af processen og i overensstemmelse med deres respektive roller heri. Sundhedsdataindehavere bør betragtes som dataansvarlige for videregivelsen af de ønskede personlige elektroniske sundhedsdata til organerne med ansvar for adgang til sundhedsdata, mens organerne med ansvar for adgang til sundhedsdata omvendt bør betragtes som dataansvarlige for behandlingen af de personlige elektroniske sundhedsdata, når de udarbejder dataene og stiller dem til rådighed for sundhedsdatabrugerne. Sundhedsdatabrugere bør betragtes som dataansvarlige ved behandling af personlige elektroniske sundhedsdata i pseudonymiseret form i det sikre databehandlingsmiljø i henhold til deres datatilladelser. Organerne med ansvar for adgang til sundhedsdata bør betragtes som databehandlere på vegne af sundhedsdatabrugeren for behandling udført af sundhedsdatabrugeren i henhold til en datatilladelse i det sikre databehandlingsmiljø samt for behandlingen for at generere et svar på sundhedsdataanmodningen. De betroede sundhedsdataindehavere bør på tilsvarende måde betragtes som dataansvarlige for deres behandling af personlige elektroniske sundhedsdata i forbindelse med bestemmelsen af elektroniske sundhedsdata til sundhedsdatabrugeren i henhold til en datatilladelse eller en sundhedsdataanmodning. De betroede sundhedsdataindehavere bør betragtes som databehandlere for sundhedsdatabrugeren, når de leverer data gennem et sikkert databehandlingsmiljø.
(80)
For at opnå en inklusiv og bæredygtig ramme for sekundær anvendelse i flere lande, bør der etableres en grænseoverskridende infrastruktur (»HealthData@EU«). HealthData@EU bør fremskynde sekundær anvendelse og samtidig øge retssikkerheden, respektere fysiske personers privatliv og være interoperabel. På grund af sundhedsdataenes følsomhed bør principper som »indbygget databeskyttelse« og »databeskyttelse gennem standardindstillinger« og begrebet »at stille spørgsmål til data i stedet for at flytte disse data« respekteres, når det er muligt. Medlemsstaterne bør udpege nationale kontaktpunkter for sekundær anvendelse som organisatoriske og tekniske portaler for organer med ansvar for adgang til sundhedsdata og forbinde disse kontaktpunkter til HealthData@EU. Unionens tjeneste for adgang til sundhedsdata bør også kobles til HealthData@EU. Derudover kan autoriserede deltagere i HealthData@EU være forskningsinfrastrukturer oprettet som et konsortium for en europæisk forskningsinfrastruktur (ERIC) i henhold til Rådets forordning (EF) nr. 723/2009 
(
19
)
 som et konsortium for en europæisk digital infrastruktur (EDIC) i henhold til afgørelse (EU) 2022/2481 eller lignende infrastrukturer, der er etableret i henhold til andre EU-retsakter, samt andre typer enheder, herunder infrastrukturer under Det Europæiske Strategiforum for Forskningsinfrastrukturer (ESFRI), eller infrastrukturer, der er organiseret under den europæiske åbne videnskabscloud (EOSC). Tredjelande og internationale organisationer kan også blive autoriserede deltagere i HealthData@EU, forudsat at de opfylder kravene i nærværende forordning. Kommissionens meddelelse af 19. februar 2020 med titlen »En europæisk strategi for data« fremmede sammenkædningen af de forskellige fælles europæiske dataområder. HealthData@EU bør derfor muliggøre sekundær anvendelse af forskellige kategorier af elektroniske sundhedsdata, herunder sammenkædning af sundhedsdata med data fra andre dataområder såsom dem, der vedrører miljø, landbrug og den sociale sektor. En sådan interoperabilitet mellem sundhedssektoren og andre sektorer såsom den miljømæssige, landbrugsmæssige eller sociale sektor kan være relevant for at opnå yderligere indsigt i sundhedsdeterminanter. Kommissionen kan levere en række tjenester inden for HealthData@EU, herunder støtte til udveksling af oplysninger mellem organer med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU med henblik på behandling af anmodninger om adgang på tværs af grænserne, forvaltning af kataloger over elektroniske sundhedsdata, der er tilgængelige via infrastrukturen, netværkssøgningsmulighederne og metadatasøgninger, konnektivitets- og overholdelsestjenester. Kommissionen kan også etablere et sikkert databehandlingsmiljø, der gør det muligt at overføre og analysere data fra forskellige nationale infrastrukturer efter anmodning fra de dataansvarlige. Af hensyn til IT-effektiviteten, rationaliseringen og interoperabiliteten af dataudvekslinger bør de eksisterende systemer til dataudveksling så vidt muligt genanvendes, såsom dem, der udvikles til udveksling af dokumentation under det tekniske system baseret på engangsprincippet i Europa-Parlamentets og Rådets forordning (EU) 2018/1724 
(
20
)
.
(81)
Da forbindelsen til HealthData@EU kan indebære overførsler til tredjelande af personoplysninger vedrørende ansøgeren eller sundhedsdatabrugeren, skal der desuden være indført relevante overførselsinstrumenter i henhold til kapitel V i forordning (EU) 2016/679 for sådanne overførsler.
(82)
I tilfælde af grænseoverskridende registre eller databaser, såsom registrene over europæiske referencenetværk for sjældne sygdomme, som modtager data fra forskellige sundhedstjenesteydere i flere medlemsstater, bør det organ med ansvar for adgang til sundhedsdata i den medlemsstat, hvor registerets koordinator er beliggende, være ansvarligt for at give adgang til data.
(83)
Godkendelsesproceduren for at få adgang til personlige elektroniske sundhedsdata i forskellige medlemsstater kan være repetitiv og besværlig for sundhedsdatabrugerne. Når det er muligt, bør der skabes synergier for at mindske byrden og hindringerne for sundhedsdatabrugerne. En måde at nå dette mål på er at overholde princippet om »én ansøgning«, ifølge hvilket sundhedsdatabrugeren med én ansøgning kan få tilladelse fra flere organer med ansvar for adgang til sundhedsdata i forskellige medlemsstater eller autoriserede deltagere i HealthData@EU.
(84)
Organerne med ansvar for adgang til sundhedsdata bør give oplysninger om de tilgængelige datasæt og deres karakteristika, således at sundhedsdatabrugere kan gives grundlæggende oplysninger om datasættet og vurdere den mulige relevans af disse oplysninger for disse brugere. Derfor bør hvert datasæt som minimum indeholde oplysninger om kilden og arten af dataene og betingelserne for at stille dataene til rådighed. Sundhedsdataindehaveren bør mindst hvert år kontrollere, at beskrivelsen af datasættet i det nationale katalog over datasæt er nøjagtigt og ajourført. Der bør derfor oprettes et EU-datasætkatalog for at: gøre det lettere at finde de datasæt, der er tilgængelige i det europæiske sundhedsdataområde; hjælpe sundhedsdataindehavere med at offentliggøre deres datasæt; give alle interessenter, herunder offentligheden, under hensyntagen til de særlige behov hos personer med handicap, oplysninger om datasæt, der er i det europæiske sundhedsdataområde, såsom datakvalitets- og dataudnyttelsesmærker, og oplysningsskemaer for datasæt, samt give sundhedsdatabruger ajourførte datakvalitets- og dataudnyttelsesoplysninger om datasæt.
(85)
Oplysninger om kvaliteten og udnyttelsen af datasæt øger værdien af resultaterne af dataintensiv forskning og innovation betydeligt, samtidig med at evidensbaseret reguleringsmæssige og politisk beslutningstagning fremmes. Forbedring af kvaliteten og udnyttelsen af datasæt gennem informerede kundevalg og harmonisering af relaterede krav på EU-plan under hensyntagen til eksisterende EU-standarder og internationale standarder, retningslinjer og anbefalinger vedrørende dataindsamling og dataudveksling, såsom FAIR-principperne er også til gavn for sundhedsdataindehavere, sundhedsprofessionelle, fysiske personer og Unionens økonomi som helhed. Et datakvalitets- og dataudnyttelsesmærke for datasæt vil informere sundhedsdatabrugerne om et datasæts kvalitets- og udnyttelsesegenskaber og sætte dem i stand til at vælge de datasæt, der passer bedst til deres behov. Datakvalitets- og dataudnyttelsesmærket bør ikke forhindre, at datasæt stilles til rådighed gennem det europæiske sundhedsdataområde, men skabe en gennemsigtighedsmekanisme mellem sundhedsdataindehavere og sundhedsdatabrugere. Et datasæt, der ikke opfylder noget krav om datakvalitet og -nytte, bør f.eks. mærkes med den klasse, der repræsenterer den dårligste kvalitet og udnyttelse, men bør stadig stilles til rådighed. Forventninger, der er fastsat ved de rammer, der er skabt i henhold til artikel 10 i forordning (EU) 2024/1689, og den relevante tekniske dokumentation, der er anført i nævnte forordnings bilag IV, bør tages i betragtning, når rammen for datakvalitet og -udnyttelse udvikles. Medlemsstaterne bør øge bevidstheden om datakvalitets- og dataudnyttelsesmærket gennem kommunikationsaktiviteter. Kommissionen kunne støtte disse aktiviteter. Brugen af datasæt kan prioriteres af brugerne i henhold til deres anvendelighed og kvalitet.
(86)
EU-datasætkataloget bør minimere den administrative byrde for sundhedsdataindehaverne og andre databasebrugere, være brugervenligt, tilgængeligt og omkostningseffektivt, forbinde nationale datasætkataloger og undgå overflødig registrering af datasæt. Uanset kravene i forordning (EU) 2022/868 kan EU-datasætkataloget bringes i overensstemmelse med data.europa.eu-initiativet. Der bør sikres interoperabilitet mellem EU-datasætkataloget, de nationale datasætkataloger og datasætkatalogerne fra europæiske forskningsinfrastrukturer og andre relevante datadelingsinfrastrukturer.
(87)
Der er samarbejde og arbejde i gang mellem forskellige faglige organisationer, Kommissionen og andre institutioner for at oprette minimumsdatafelter og andre karakteristika for forskellige datasæt, f.eks. registre. Dette arbejde er mere fremskredent på områder som kræft, sjældne sygdomme, kredsløbssygdomme og stofskiftesygdomme, vurdering af risikofaktorer og statistik og bør tages i betragtning ved fastlæggelsen af nye standarder og sygdomsspecifikke harmoniserede skabeloner for strukturerede dataelementer. Mange datasæt er imidlertid ikke harmoniserede, hvilket skaber problemer med sammenligneligheden og vanskeliggør grænseoverskridende forskning. Der bør derfor fastsættes mere detaljerede regler i gennemførelsesretsakter for at sikre en harmoniseret kodning og registrering af elektroniske sundhedsdata, for at muliggøre levering af sådanne date til sekundær anvendelse på en ensartet måde. Sådanne datasæt kan omfatte data fra registre over sjældne sygdomme, databaser over lægemidler til sjældne sygdomme, kræftregistre og registre over meget relevante smitsomme sygdomme. Medlemsstaterne bør arbejde for at sikre, at europæiske elektroniske sundhedssystemer og -tjenester samt interoperable applikationer leverer holdbare økonomiske og sociale fordele, med henblik på at opnå en høj grad af tillid og sikkerhed, styrke kontinuiteten i behandlingen og sikre adgang til sikre sundhedsydelser af høj kvalitet. Eksisterende sundhedsdatainfrastrukturer og -registre kan tilvejebringe modeller, der er nyttige med henblik på at definere og gennemføre datastandarder og interoperabilitet, og som bør udnyttes for at sikre kontinuitet og bygge videre på eksisterende ekspertise.
(88)
Kommissionen bør støtte medlemsstaterne i at opbygge kapacitet og fremme effektivitet inden for digitale sundhedssystemer til primær anvendelse og sekundær anvendelse. Medlemsstaterne bør støttes for at styrke deres kapacitet. Aktiviteter på EU-plan såsom benchmarking og udveksling af bedste praksis er relevante foranstaltninger i denne henseende. Disse aktiviteter bør tage hensyn til de særlige omstændigheder, der gør sig gældende for forskellige kategorier af interessenter, såsom repræsentanter for civilsamfundet, forskere, lægesamfund og SMV'er.
(89)
Forbedring af viden om digital sundhed for både fysiske personer og sundhedsprofessionelle er af afgørende betydning for tillid og sikkerhed, og passende anvendelse af sundhedsdata er således af afgørende betydning for at opnå en vellykket gennemførelse af denne forordning. Sundhedsprofessionelle står overfor gennembrigende ændringer i forbindelse med digitalisering og vil blive tilbudt yderligere digitale værktøjer som en del af gennemførelsen af det europæiske sundhedsdataområde. Sundhedsprofessionelle skal derfor udvikle deres viden om digital sundhed og digitale færdigheder, og medlemsstaterne bør give sundhedsprofessionelle adgang til kurser i digitale færdigheder så de kan forberede sig på at arbejde med EPJ-systemer. Sådanne kurser bør gøre det muligt for sundhedsprofessionelle og IT-operatører at få tilstrækkelig uddannelse i arbejdet med nye digitale infrastrukturer for at sikre cybersikkerhed og etisk forvaltning af sundhedsdata. Uddannelseskurserne bør udvikles og revideres og ajourføres regelmæssigt i samråd og samarbejde med relevante eksperter. Forbedring af viden om digital sundhed er af afgørende betydning for at give fysiske personer mulighed for reel kontrol med deres sundhedsdata, aktivt at styre deres sundhed og pleje og forstå konsekvenserne af forvaltning af sådanne data til både primær anvendelse og sekundær anvendelse. Forskellige demografiske grupper har varierende grader af digitale færdigheder, hvilket kan påvirke fysiske personers evne til at udøve deres ret til at kontrollere deres elektroniske sundhedsdata. Medlemsstater, herunder regionale og lokale myndigheder, bør derfor støtte viden om digital sundhed og offentlighedens kendskab og samtidig sikre, at gennemførelsen af denne forordning bidrager til at reducere uligheder og ikke forskelsbehandler personer, der mangler digitale kompetencer. Der bør lægges særlig vægt på personer med handicap og sårbare grupper, herunder migranter og ældre. Medlemsstaterne bør oprette målrettede nationale programmer for digitale færdigheder, herunder programmer for at maksimere social inklusion, og sikre, at alle fysiske personer effektivt kan udøve deres rettigheder i henhold til denne forordning. Medlemsstaterne bør også yde patientcentreret vejledning til fysiske personer i forbindelse med anvendelsen af elektroniske patientjournaler og primær anvendelse af deres personlige elektroniske sundhedsdata. Vejledningen bør tilpasses patientens niveau af viden om digital sundhed, idet der lægges særlig vægt på sårbare gruppers behov.
(90)
Anvendelsen af midler bør også bidrage til at nå målene for det europæiske sundhedsdataområde. Offentlige indkøbere, nationale kompetente myndigheder i medlemsstaterne, herunder digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata, samt Kommissionen bør tage hensyn til gældende tekniske specifikationer, standarder og profiler vedrørende interoperabilitet, sikkerhed og datakvalitet samt andre krav, der er udviklet i henhold til denne forordning, når de fastlægger betingelserne for offentlige udbud, indkaldelser af forslag og tildeling af EU-midler, herunder struktur- og samhørighedsfondene. EU-midlerne skal fordeles på en gennemsigtig måde mellem medlemsstaterne under hensyntagen til de forskellige niveauer af digitalisering af sundhedssystemerne. Tilrådighedsstillelse af data til sekundær anvendelse kræver yderligere ressourcer til sundhedssystemerne, navnlig offentlige sundhedssystemer. Denne yderligere byrde bør imødegås og minimeres i forbindelse med gennemførelsen af det europæiske sundhedsdataområde.
(91)
Gennemførelsen af det europæiske sundhedsdataområde kræver passende investering i kapacitetsopbygning og undervisning samt en velfinansieret forpligtelse til offentlige høringer og inddragelse både på EU-plan og nationalt plan. De økonomiske omkostninger ved gennemførelsen af denne forordning skal bæres på både EU-plan og nationalt plan, og der skal findes en rimelig fordeling af denne byrde mellem EU-midler og nationale midler.
(92)
Visse kategorier af elektroniske sundhedsdata kan fortsat være særligt følsomme, selv når de er i anonymiseret format og dermed ikke personlige, som det allerede specifikt er fastsat i forordning (EU) 2022/868. Selv hvor der anvendes avancerede anonymiseringsteknikker, er der fortsat en tilbageværende risiko for, at kapaciteten til at reidentificere den pågældende kan være eller blive tilgængelig ud over de midler, der med rimelighed kan forventes anvendt. En sådan tilbageværende risiko er til stede i forbindelse med sjældne sygdomme, dvs. en livstruende eller kronisk invaliderende lidelse, der berører højst fem ud af 10 000 personer i Unionen, hvor det begrænsede antal tilfælde mindsker muligheden for fuldt ud at aggregere de offentliggjorte data for at beskytte fysiske personers privatliv, samtidig med at der sikres en passende detaljeringsgrad, så dataene forbliver meningsfulde. En sådan tilbageværende risiko kan påvirke forskellige kategorier af sundhedsdata og kan føre til reidentifikation af de registrerede ved hjælp af andre midler end dem, der med rimelighed kan forventes at blive anvendt. En sådan risiko afhænger af detaljeringsgraden, af beskrivelsen af de registreredes karakteristika, af antallet af berørte personer, f.eks. i tilfælde af data, der indgår i elektroniske patientjournaler, sygdomsregistre, biobanker, og persongenererede data, hvor viften af identifikationskarakteristika er bredere, og af en eventuel kombination med andre oplysninger, f.eks. i meget små geografiske områder eller gennem den teknologiske udvikling af metoder, der ikke var tilgængelige på tidspunktet for anonymiseringen. En sådan reidentifikation af fysiske personer vil give anledning til stor bekymring og vil muligvis betyde, at de regler for sekundær anvendelse, der er fastsat i nærværende forordning, ikke vil blive accepteret. Desuden er aggregeringsteknikker i mindre grad afprøvet for andre oplysninger end personoplysninger, der f.eks. indeholder forretningshemmeligheder, som det er tilfældet i forbindelse med indberetning af kliniske forsøg og kliniske afprøvninger, og håndhævelse af brud på forretningshemmeligheder uden for Unionen er vanskeligere i mangel af en tilstrækkelig international beskyttelsesstandard. For disse kategorier af sundhedsdata er der derfor fortsat en risiko for reidentifikation efter anonymiseringen eller aggregeringen, som ikke med rimelighed kunne afbødes i første omgang. Dette falder ind under kriterierne i artikel 5, stk. 13, i forordning (EU) 2022/868. Disse typer sundhedsdata vil således falde ind under den beføjelse til overførsel til tredjelande, der er fastsat i nævnte forordnings artikel 5, stk. 13. De særlige betingelser, der er fastsat i den beføjelse, der er fastsat i artikel 5, stk. 13, i forordning (EU) 2022/868, vil blive præciseret i forbindelse med den delegerede retsakt, der vedtages i henhold til denne beføjelse, og skal stå i et rimeligt forhold til risikoen for reidentifikation og tage hensyn til de særlige forhold, der gør sig gældende for forskellige datakategorier eller forskellige anonymiserings- eller aggregeringsteknikker.
(93)
Behandling af store mængder personlige elektroniske sundhedsdata til de formål, der er fastsat i det europæiske sundhedsdataområde, som led i databehandlingsaktiviteter i forbindelse med behandling af ansøgninger om adgang til sundhedsdata, datatilladelser og sundhedsdataanmodninger indebærer større risiko for uautoriseret adgang til sådanne personoplysninger samt mulighed for cybersikkerhedshændelser. Personlige elektroniske sundhedsdata er særligt følsomme, da de ofte indeholder oplysninger, der er omfattet af lægelig tavshedspligt, og hvis videregivelse til uautoriserede tredjeparter kan forårsage alvorlige problemer. Under fuld hensyntagen til de principper, der er skitseret i Den Europæiske Unions Domstols retspraksis, sikrer denne forordning fuld overholdelse af de grundlæggende rettigheder, retten til privatlivets fred og proportionalitetsprincippet. For at sikre den fulde integritet og fortrolighed af personlige elektroniske sundhedsdata i henhold til denne forordning, garantere et særligt højt beskyttelsesniveau og sikkerhed og mindske risikoen for ulovlig adgang til disse personlige elektroniske sundhedsdata giver denne forordning medlemsstaterne mulighed for at kræve, at personlige elektroniske sundhedsdata udelukkende lagres og behandles i Unionen med henblik på at udføre de opgaver, der er fastsat i denne forordning, medmindre en afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget i henhold til artikel 45 i forordning (EU) 2016/679 finder anvendelse.
(94)
Adgang til elektroniske sundhedsdata for sundhedsdatabrugere, der er etableret i tredjelande eller for internationale organisationer bør udelukkende finde sted på grundlag af gensidighedsprincippet. Det bør kun være muligt at stille elektroniske sundhedsdata til rådighed for et tredjeland, når Kommissionen ved hjælp af en gennemførelsesretsakt har fastslået, at det pågældende tredjeland giver EU-enheder adgang til elektroniske sundhedsdata, der stammer fra det pågældende tredjeland, på de samme betingelser og med de samme garantier som ville være tilfældet, hvis de havde adgang til elektroniske sundhedsdata i Unionen. Kommissionen bør overvåge og foretage regelmæssig revision af situationen i disse tredjelande og for internationale organisationer og føre en liste over disse gennemførelsesretsakter. Hvis Kommissionen finder, at et tredjeland ikke længere sikrer adgang på de samme vilkår, bør den tilbagekalde den tilsvarende gennemførelsesretsakt.
(95)
For at fremme en ensartet anvendelse af denne forordning, herunder vedrørende grænseoverskridende interoperabilitet af elektroniske sundhedsdata, bør der oprettes et udvalg for det europæiske sundhedsdataområde. Kommissionen bør deltage i dets aktiviteter og være medformand for det. Udvalget for det europæiske sundhedsdataområde bør være i stand til at udarbejde skriftlige bidrag vedrørende en ensartet anvendelse af denne forordning i hele Unionen, herunder ved at hjælpe medlemsstaterne med at koordinere anvendelsen af elektroniske sundhedsdata i forbindelse med sundhedsydelser og certificering, men også med hensyn til sekundær anvendelse, og finansieringen til disse aktiviteter. Dette kan også omfatte udveksling af oplysninger om risici og hændelser i de sikre databehandlingsmiljøer. Udvekslingen af denne form for oplysninger berører ikke forpligtelser i henhold til andre retsakter såsom anmeldelser af brud på datasikkerheden i henhold til forordning (EU) 2016/679. Mere generelt berører aktiviteterne i udvalget for det europæiske sundhedsdataområde ikke tilsynsmyndighedernes beføjelser i henhold til forordning (EU) 2016/679. Eftersom digitale sundhedsmyndigheder på nationalt plan, der beskæftiger sig med primær anvendelse, kan være forskellige fra de organer med ansvar for adgang til sundhedsdata, som beskæftiger sig med sekundær anvendelse, er funktionerne forskellige, og der er behov for forskellige former for samarbejde på hvert af disse områder, bør udvalget for det europæiske sundhedsdataområde kunne nedsætte undergrupper, der beskæftiger sig med disse to funktioner, samt andre undergrupper efter behov. For at sikre en effektiv arbejdsmetode bør de digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata oprette netværk og forbindelser på nationalt plan med andre organer og myndigheder, men også på EU-plan. Sådanne organer kan omfatte databeskyttelsesmyndigheder, cybersikkerheds-, eID- og standardiseringsorganer samt organer og ekspertgrupper i henhold til forordning (EU) 2022/868, (EU) 2023/2854 og (EU) 2024/1689 og Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
21
)
. Udvalget for det europæiske sundhedsdataområde bør fungere uafhængigt, i offentlighedens interesse og i overensstemmelse med sin adfærdskodeks.
(96)
Når der drøftes spørgsmål, som ifølge udvalget for det europæiske sundhedsdataområde er af specifik relevans, bør det kunne indbyde observatører, f.eks. Den Europæiske Tilsynsførende for Databeskyttelse, repræsentanter for EU-institutionerne, herunder for Europa-Parlamentet og andre interessenter.
(97)
Der bør oprettes et interessentforum, som skal rådgive udvalget for det europæiske sundhedsdataområde i forbindelse med varetagelsen af dets opgaver ved at bidrage med input fra interessenter i anliggender, der vedrører denne forordning. Interessentforummet bør bestå af bl.a. repræsentanter for patient- og forbrugerorganisationer, sundhedsprofessionelle, industri, videnskabelige forskere og akademikere. Det bør have en balanceret sammensætning og repræsentere forskellige relevante interessenters holdninger. Både kommercielle og ikkekommercielle interesser bør være repræsenteret.
(98)
For at sikre en korrekt daglig forvaltning af de grænseoverskridende infrastrukturer til primær anvendelse og sekundær anvendelse det nødvendigt at oprette styringsgrupper bestående af repræsentanter for medlemsstaterne. Disse styringsgrupper bør træffe operationelle beslutninger om den tekniske daglige forvaltning af de grænseoverskridende infrastrukturer og deres tekniske udvikling, herunder om tekniske ændringer af infrastrukturerne, forbedring af funktioner eller tjenester eller sikring af interoperabilitet med andre infrastrukturer, digitale systemer eller dataområder. Deres aktiviteter bør ikke omfatte bidrag til udviklingen af gennemførelsesretsakter, der påvirker disse infrastrukturer. Styringsgrupperne bør også have mulighed for at indbyde repræsentanter for andre autoriserede deltagere i HealthData@EU som observatører til deres møder og bør høre relevante eksperter, når de udfører deres opgaver.
(99)
Uden at det berører andre administrative, juridiske eller udenretslige klageadgange, bør enhver fysisk eller juridisk person have ret til at indgive klage til en digital sundhedsmyndighed eller til et organ med ansvar for adgang til sundhedsdata, hvis den fysiske eller juridiske person mener, at dennes rettigheder eller interesser i henhold til nærværende forordning er blevet berørt. Med forbehold af domstolsprøvelse bør undersøgelsen af en klage i det specifikke tilfælde foretages i det omfang, det er passende. Den digitale sundhedsmyndighed eller organet med ansvar for adgang til sundhedsdata bør underrette den fysiske eller juridiske person om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden digital sundhedsmyndighed eller et organ med ansvar for adgang til sundhedsdata, bør den fysiske eller juridiske person modtage oplysninger om, hvordan klagesagsbehandlingen skrider fremad. For at lette indgivelsen af klager bør hver digital sundhedsmyndighed og hvert organ med ansvar for adgang til sundhedsdata træffe foranstaltninger såsom at stille en klageformular til rådighed, som også kan udfyldes elektronisk, uden at den udelukker muligheden for at anvende andre kommunikationsmidler. Hvis klagen vedrører fysiske personers rettigheder i forbindelse med beskyttelsen af deres personoplysninger, videresender den digitale sundhedsmyndighed eller organet med ansvar for adgang til sundhedsdata klagen til tilsynsmyndighederne i henhold til forordning (EU) 2016/679. Digitale sundhedsmyndigheder eller organer med ansvar for adgang til sundhedsdata bør samarbejde om at behandle og løse klager, herunder ved at udveksle alle relevante oplysninger ad elektronisk vej, uden unødigt ophold.
(100)
Hvis en fysisk person finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, bør den pågældende have ret til at give et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, som er etableret i overensstemmelse med national ret, og som har vedtægtsmæssige mål af samfundsmæssig interesse, og beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage.
(101)
Den digitale sundhedsmyndighed, organet med ansvar for adgang til sundhedsdata, sundhedsdataindehaveren eller sundhedsdatabrugeren bør kompensere for enhver skade, som en fysisk eller juridisk person lider som følge af en overtrædelse af denne forordning. Begrebet »skade« bør fortolkes bredt i lyset af Den Europæiske Unions Domstolsretspraksis, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller national ret. Fysiske personer bør modtage fuld og effektiv erstatning for den skade, de har lidt.
(102)
For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning i tillæg til eller i stedet for passende foranstaltninger, som organer med ansvar for adgang til sundhedsdata har pålagt i henhold til denne forordning. Pålæggelse af sanktioner, herunder administrative bøder, bør være omfattet af fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og Den Europæiske Unions charter om grundlæggende rettigheder, herunder effektiv retsbeskyttelse og en retfærdig rettergang.
(103)
Der bør fastsættes bestemmelser, der gør det muligt for organer med ansvar for adgang til sundhedsdata at pålægge administrative bøder for visse overtrædelser af denne forordning, som i henhold til denne forordning bør betragtes som alvorlige overtrædelser, såsom reidentifikation af fysiske personer, download af personlige elektroniske sundhedsdata uden for det sikre databehandlingsmiljø eller behandling af data til forbudte anvendelser eller anvendelser, som ikke er omfattet af en datatilladelse. Denne forordning bør præcisere disse overtrædelser og maksimumsbeløb samt kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af det kompetente organ med ansvar for adgang til sundhedsdata i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation navnlig under behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Med henblik på pålæggelsen af administrative bøder i henhold til denne forordning, bør begrebet virksomhed forstås i overensstemmelse med artikel 101 og 102 i TEUF. Det bør derfor være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder. Pålæggelse af en administrativ bøde eller udstedelse af en advarsel bør ikke berørehåndhævelsen af øvrige beføjelser eller andre sanktioner hos organet med ansvar for adgang til sundhedsdata i henhold til denne forordning.
(104)
For at sikre at det europæiske sundhedsdataområde opfylder sine mål, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF for så vidt angår ændringen, tilføjelsen eller fjernelsen i bilag I af de vigtigste karakteristika for de prioriterede kategorier af personlige elektroniske sundhedsdata, listen over de data, der kræves registreret af fabrikanterne af EPJ-systemer og wellnessapplikationer i EU-databasen for registrering af EPJ-systemer og wellnessapplikationer samt den ændring, tilføjelse eller fjernelse af elementer, som skal være omfattet af datakvalitets- og dataudnyttelsesmærket. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
22
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(105)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser for så vidt angår:
—
tekniske specifikationer for interoperabiliteten mellem medlemsstaternes fuldmagtstjenester
—
krav til datakvaliteten for registreringen af personlige elektroniske sundhedsdata i et EPJ-system
—
grænseoverskridende specifikationer for prioriterede kategorier af personlige elektroniske sundhedsdata
—
tekniske specifikationer for de kategorier af personlige elektroniske sundhedsdata, der danner grundlag for det europæiske format for udveksling af elektroniske patientjournaler
—
ajourføringer af det europæiske format for udveksling af elektroniske patientjournaler med henblik på at integrere de relevante revisioner af kodningssystemer og nomenklaturer for sundhedsbehandling
—
tekniske specifikationer, der udvider det europæiske format for udveksling af elektroniske patientjournaler til yderligere kategorier af personlige elektroniske sundhedsdata
—
krav til den interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med forordning (EU) nr. 910/2014
—
krav til den tekniske gennemførelse af fysiske personers rettigheder i forbindelse med den primære anvendelse af deres personlige elektroniske sundhedsdata
—
nødvendige foranstaltninger til den tekniske udvikling af MyHealth@EU, detaljerede regler vedrørende sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata og de betingelser for overensstemmelseskontroller, der er nødvendige for at tilslutte sig og forblive forbundet med MyHealth@EU
—
regler vedrørende kravene til cybersikkerhed, teknisk interoperabilitet, semantisk interoperabilitet, drift og serviceforvaltning i forbindelse med Kommissionens behandling og dens ansvar over for de dataanvarlige
—
tekniske aspekter af supplerende tjenester, der leveres gennem MyHealth@EU
—
tekniske aspekter af udveksling af personlige elektroniske sundhedsdata mellem MyHealth@EU og andre tjenester eller infrastrukturer
—
tilslutning og afbrydelse af andre infrastrukturer, af nationale kontaktpunkter for digital sundhed i tredjelande eller af systemer, der er etableret på internationalt plan af internationale organisationer, til eller fra den centrale platform for interoperabilitet MyHealth@EU
—
fælles specifikationer for så vidt angår de væsentlige krav, der er fastlagt i bilag II
—
fælles specifikationer for europæiske testmiljøer
—
begrundelser for nationale foranstaltninger truffet af markedsovervågningsmyndighederne i tilfælde af EPJ-systemernes manglende overholdelse
—
format og indhold af wellnessapplikationernes mærke
—
principper for gebyrpolitikker og gebyrstrukturer vedrørende de gebyrer som organer med ansvar for adgang til sundhedsdata og betroede sundhedsdataindehavere kan opkræve for at stille elektroniske sundhedsdata til sekundær anvendelse til rådighed
—
arkitekturen for et IT-værktøj, der har til formål at støtte og gøre håndhævelsesforanstaltninger gennemsigtige for organer med ansvar for adgang til sundhedsdata
—
logoet til anerkendelse af det europæiske sundhedsdataområdes bidrag
—
modeller til ansøgningen om adgang til sundhedsdata, datatilladelsen og sundhedsdataanmodningen
—
tekniske og organisatoriske krav og krav til informationssikkerhed, fortrolighed, databeskyttelse og interoperabilitet for de sikre databehandlingsmiljøer
—
modeller for aftaler mellem dataansvarlige og databehandlere
—
afgørelser om hvorvidt et nationalt kontaktpunkt for sekundær anvendelse i et tredjeland eller et system, der er oprettet på internationalt plan af internationale organisationer, opfylder kravene i HealthData@EU med henblik på sekundær anvendelse af sundhedsdata, hvorvidt kapitel IV er overholdt og hvorvidt dette nationale kontaktpunkt for sekundær anvendelse eller dette system giver tilsvarende adgang til sundhedsdatabrugere, der befinder sig i Unionen, til de elektroniske sundhedsdata, som det har adgang til
—
krav for HealthData@EU, tekniske specifikationer og IT-arkitektur, betingelser og overensstemmelseskontrol for at tilslutte sig og forblive forbundet med HealthData@EU, minimumskriterier, som de nationale kontaktpunkter for sekundær anvendelse og de autoriserede deltagere i HealthData@EU skal opfylde, ansvarsområderne for de dataansvarlige og databehandlere, der deltager i HealthData@EU, dataansvarliges og databehandleres ansvar for det sikre behandlingsmiljø, der forvaltes af Kommissionen og fælles specifikationer for HealthData@EU arkitektur og for dets interoperabilitet med andre fælles europæiske dataområder
—
afgørelser om at lade individuelle autoriserede deltagere slutte sig til HealthData@EU
—
elementer, som sundhedsdataindehavere som minimum skal stille til rådighed for datasæt og disse elementers karakteristika
—
visuelle karakteristika og tekniske specifikationer for datakvalitets- og dataudnyttelsesmærket
—
minimumsspecifikationer for datasæt med stor indvirkning på den sekundære anvendelse
—
afgørelser om hvorvidt et tredjeland giver EU-sundhedsdataansøgere adgang til elektroniske sundhedsdata i det pågældende tredjeland på betingelser, der ikke er mere restriktive en dem, der er fastsat ved denne forordning
—
foranstaltninger, der er nødvendige for, at udvalget for det europæiske sundhedsdataområde kan oprettes og drives.
Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
23
)
.
(106)
Medlemsstaterne bør træffe alle nødvendige foranstaltninger for at sikre, at bestemmelserne i denne forordning gennemføres, herunder ved at fastsætte sanktioner for overtrædelse heraf, som er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning. Medlemsstaterne bør i forbindelse med fastsættelsen af sanktionens beløb i den enkelte sag tage højde for de i denne forordning fastsatte grænser og kriterier. Reidentifikation af fysiske personer bør anses for at være en alvorlig overtrædelse af denne forordning.
(107)
Gennemførelsen af det europæiske sundhedsdataområde vil kræve et betydeligt udviklingsarbejde på tværs af medlemsstaterne og centrale tjenester. For at følge fremskridtene, der gøres i denne henseende, bør Kommissionen, indtil denne forordning anvendes fuldt ud, årligt aflægge rapport om disse fremskridt under hensyntagen til oplysninger fra medlemsstaterne. Disse rapporter kan indeholde anbefalinger om afhjælpende foranstaltninger samt en vurdering af de fremskridt, der er gjort.
(108)
Kommissionen bør foretage en evaluering af denne forordning med det formål at vurdere, om forordningens mål nås på effektiv vis, og om forordningen er sammenhængende, fortsat er relevant og skaber merværdi på EU-plan. Kommissionen bør foretage en målrettet evaluering af denne forordning senest otte år efter dens ikrafttræden og en samlet evaluering senest ti år efter dens ikrafttræden. Kommissionen bør forelægge en rapport om de vigtigste resultater efter hver evaluering for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget.
(109)
Med henblik på en vellykket gennemførelse af det europæiske sundhedsdataområde på tværs af grænserne bør den europæiske interoperabilitetsramme, hvis anvendelsesområde blev ajourført og udvidet ved Kommissionens meddelelse af 23. marts 2017 med titlen »Den europæiske interoperabilitetsramme — strategi for gennemførelse« for at medtage nye eller reviderede interoperabilitetskrav, betragtes som en fælles reference for at sikre juridisk, organisatorisk, semantisk og teknisk interoperabilitet.
(110)
Målene for denne forordning nemlig at styrke fysiske personer ved at give dem øget kontrol med deres personlige elektroniske sundhedsdata og støtte deres frie bevægelighed ved at sikre, at deres sundhedsdata følger dem, at fremme et ægte indre marked for digitale sundhedstjenester og -produkter og at sikre en konsekvent og effektiv ramme for videreanvendelse af fysiske personers sundhedsdata til forskning, innovation, politikudformning og reguleringsmæssige aktiviteter, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne alene gennem koordineringsforanstaltninger, som det fremgår af evalueringen af de digitale aspekter af direktiv 2011/24/EU, men kan på grund af harmonisering af foranstaltninger vedrørende fysiske personers rettigheder i forbindelse med deres elektroniske sundhedsdata, interoperabilitet mellem elektroniske sundhedsdata og en fælles ramme for og garantier for primær anvendelse og sekundær anvendelse bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(111)
Evalueringen af de digitale aspekter af direktiv 2011/24/EU viser at e-sundhedsnetværkets effektivitet er begrænset, men også at der er et stort potentiale for arbejde på EU-plan på området digital sundhed, som det arbejde, der blev gjort under Covid-19-pandemien, har vist. Direktiv 2011/24/EU bør derfor ændres i overensstemmelse hermed.
(112)
Denne forordning supplerer de væsentlige cybersikkerhedskrav, der er fastsat i forordning (EU) 2024/2847. EPJ-systemer, som er produkter med digitale elementer som omhandlet i forordning (EU) 2024/2847, bør derfor også opfylde de væsentlige cybersikkerhedskrav i nævnte forordning. Fabrikanterne af disse EPJ-systemer bør påvise overensstemmelse som krævet i nærværende forordning. For at lette denne overensstemmelse bør fabrikanterne have mulighed for at udarbejde et samlet sæt teknisk dokumentation, som indeholder de elementer, der kræves i begge retsakter. Det bør være muligt at påvise EPJ-systemers overensstemmelse med de væsentlige cybersikkerhedskrav, der er fastsat i forordning (EU) 2024/2847 gennem vurderingsrammen i henhold til nærværende forordning. De dele af overensstemmelsesvurderingsproceduren i henhold til nærværende forordning, der vedrører anvendelsen af testmiljøet, bør dog ikke anvendes, da disse testmiljøer ikke giver mulighed for en overensstemmelsesvurdering med de væsentlige cybersikkerhedskrav. Da forordning (EU) 2024/2847 ikke omfatter software-as-a-Service (SaaS) direkte som sådan, er EPJ-systemer, der tilbydes gennem SaaS-licens- og leveringsmodellen, ikke omfattet af nærværende forordnings anvendelsesområde. Tilsvarende er EPJ-systemer, der er udviklet og anvendes internt, ikke omfattet af nævnte forordnings anvendelsesområde, da de ikke bringes i omsætning.
(113)
EDPS og Databeskyttelsesrådet er blevet hørt i overensstemmelse med artikel 42, stk. 1 og 2 i forordning (EU) 2018/1725 og afgav deres fælles udtalelse den 12. juli 2022.
(114)
Denne forordning bør ikke berøre anvendelsen af konkurrencereglerne, særlig artikel 101 og 102 i TEUF. Foranstaltningerne i denne forordning bør ikke anvendes til at begrænse konkurrencen på en måde, der er i strid med TEUF.
(115)
Da der er behov for teknisk forberedelse, bør denne forordning anvendes fra den 26. marts 2027. For at støtte en vellykket gennemførelse af det europæiske sundhedsdataområde og skabelsen af effektive betingelser for det europæiske samarbejde om sundhedsdata bør gennemførelsen heraf finde sted trinvist —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
1.   Ved denne forordning oprettes det europæiske sundhedsdataområde med fælles regler, standarder og infrastrukturer og en forvaltningsramme med sigte på at lette adgangen til elektroniske sundhedsdata med henblik på primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af sådanne data.
2.   Denne forordning:
a)
præciserer og supplerer fysiske personers rettigheder, som fastsat i forordning (EU) 2016/679, med hensyn til primær anvendelse og sekundær anvendelse af deres personlige elektroniske sundhedsdata
b)
fastsætter fælles regler for elektroniske patientjournalsystemer (»EPJ-systemer«) i forbindelse med to obligatoriske harmoniserede softwarekomponenter, nemlig den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer som defineret i artikel 2, stk. 2, henholdsvis litra n) og o), og for wellnessapplikationer, der hævder at være interoperable med EPJ-systemer i forbindelse med disse to harmoniserede softwarekomponenter, med hensyn til primær anvendelse af elektroniske sundhedsdata
c)
fastsætter fælles regler og mekanismer for primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af elektroniske sundhedsdata
d)
etablerer en grænseoverskridende infrastruktur, der muliggør primær anvendelse af personlige elektroniske sundhedsdata i hele Unionen
e)
etablerer en grænseoverskridende infrastruktur for sekundær anvendelse af elektroniske sundhedsdata
f)
etablerer forvaltnings- og koordineringsmekanismer på EU-plan og nationalt plan for både primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af elektroniske sundhedsdata.
3.   Denne forordning berører ikke andre EU-retsakter vedrørende adgang til og deling eller sekundær anvendelse af elektroniske sundhedsdata eller EU-krav vedrørende behandling af data i forbindelse med elektroniske sundhedsdata, navnlig Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 
(
24
)
, (EU) nr. 536/2014 
(
25
)
, (EU) 2016/679, (EU) 2018/1725, (EU) 2022/868 og (EU) 2023/2854 og Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
26
)
 og (EU) 2016/943 
(
27
)
.
4.   Henvisninger i denne forordning til bestemmelserne i forordning (EU) 2016/679 skal også forstås som henvisninger til de tilsvarende bestemmelser i forordning (EU) 2018/1725, hvor det er relevant, for så vidt angår Unionens institutioner, organer, kontorer og agenturer.
5.   Denne forordning berører ikke forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, for så vidt angår sikkerheden af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik og systemer for kunstig intelligens (AI), der interagerer med EPJ-systemer.
6.   Denne forordning berører ikke EU-ret eller national ret vedrørende behandling af elektroniske sundhedsdata med henblik på indberetning, efterkommelse af anmodninger om adgang til oplysninger eller påvisning eller verifikation af overholdelse af retlige forpligtelser og ej heller EU-retten eller national ret vedrørende indrømmelse af adgang til og videregivelse af officielle dokumenter.
7.   Denne forordning berører ikke specifikke bestemmelser i EU-retten eller national ret, der giver adgang til elektroniske sundhedsdata med henblik på viderebehandling af medlemsstaternes offentlige myndigheder, af Unionens institutioner, organer, kontorer og agenturer eller af private enheder, der i henhold til EU-retten eller national ret har fået overdraget en opgave af offentlig interesse med henblik på at udføre en sådan opgave.
8.   Denne forordning berører ikke adgang til elektroniske sundhedsdata til sekundær anvendelse, der er aftalt inden for rammerne af kontraktlige eller administrative ordninger mellem offentlige eller private enheder.
9.   Denne forordning gælder ikke for behandling af personoplysninger i følgende tilfælde:
a)
hvis behandlingen udføres som led i en aktivitet, der falder uden for EU-rettens anvendelsesområde
b)
hvis behandlingen udføres af kompetente myndigheder med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgelse af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed.
Artikel 2
Definitioner
1.   I denne forordning forstås ved:
a)
definitionerne af »personoplysninger«, »behandling«, »pseudonymisering«, »dataansvarlig«, »databehandler«, »tredjepart«, »samtykke«, »genetiske data«, »helbredsoplysninger« og »international organisation« som fastsat i artikel 4, henholdsvis nr. 1), 2), 5), 7), 8), 10), 11), 13), 15) og 26), i forordning (EU) 2016/679
b)
definitionerne af »sundhedsydelser«, »forsikringsmedlemsstat«, »behandlingsmedlemsstat«, »sundhedsprofessionel«, »sundhedstjenesteyder«, »lægemiddel« og »recept« som fastsat i artikel 3, henholdsvis litra a), c), d), f), g), i) og k), i direktiv 2011/24/EU
c)
definitionerne af »data«, »adgang«, »dataaltruisme«, »offentlig myndighed« og »sikkert databehandlingsmiljø« som fastsat i artikel 2, henholdsvis nr. 1), 13), 16), 17) og 20), i forordning (EU) 2022/868
d)
definitionerne af »gøre tilgængelig på markedet«, »bringe i omsætning«, »markedsovervågning«, »markedsovervågningsmyndighed«, »manglende overensstemmelse«, »fabrikant«, »importør«, »distributør«, »erhvervsdrivende«, »korrigerende tiltag«, »tilbagekaldelse« og »tilbagetrækning« som fastsat i artikel 3, henholdsvis nr. 1), 2), 3), 4), 7), 8), 9), 10), 13), 16), 22) og 23), i forordning (EU) 2019/1020
e)
definitionerne af »medicinsk udstyr«, »erklæret formål«, »brugsanvisning«, »ydeevne«, »sundhedsinstitution« og »fælles specifikationer« som fastsat i artikel 2, henholdsvis nr. 1), 12), 14), 22), 36) og 71), i forordning (EU) 2017/745
f)
definitionerne af »elektronisk identifikation« og »elektronisk identifikationsmiddel« som fastsat i artikel 3, henholdsvis nr. 1) og 2), i forordning (EU) nr. 910/2014
g)
definitionen af »ordregivende myndigheder« som fastsat i artikel 2, stk. 1, nr. 1), i Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
28
)
h)
definitionen af »folkesundhed« som fastsat i artikel 3, litra c), i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 
(
29
)
.
2.   I denne forordning forstås desuden ved:
a)
»personlige elektroniske sundhedsdata«: helbredsoplysninger og genetiske data, som behandles i elektronisk form
b)
»andre elektroniske sundhedsdata end personoplysninger«: elektroniske sundhedsdata, som ikke er personlige elektroniske sundhedsdata, herunder både data, der er blevet anonymiseret, således at de ikke længere vedrører en identificeret eller identificerbar fysisk person (»den registrerede«), og data, der aldrig har haft forbindelse til en registreret
c)
»elektroniske sundhedsdata«: personlige elektroniske sundhedsdata eller andre elektroniske sundhedsdata end personoplysninger
d)
»primær anvendelse«: behandling af elektroniske sundhedsdata for at levere sundhedsydelser med henblik på at vurdere, vedligeholde eller genoprette sundhedstilstanden for den fysiske person, som disse data vedrører, herunder ordinering, udlevering og levering af lægemidler og medicinsk udstyr, samt for relevante sociale tjenester, administrative tjenester eller refusionstjenester
e)
»sekundær anvendelse«: behandling af elektroniske sundhedsdata til de formål, der er fastsat i kapitel IV i denne forordning, bortset fra de oprindelige formål, hvortil de blev indsamlet eller frembragt
f)
»interoperabilitet«: den evne, som organisationer samt softwareapplikationer eller -udstyr fra den samme fabrikant eller forskellige fabrikanter har til at interagere gennem de processer, de understøtter, herunder udveksling af oplysninger og viden uden at ændre indholdet af dataene mellem disse organisationer, softwareapplikationer eller -udstyr
g)
»registrering af elektroniske sundhedsdata«: registrering af sundhedsdata i elektronisk format, gennem manuel indlæsning af sådanne data, gennem indsamling af sådanne data ved hjælp af udstyr eller ved konvertering af ikkeelektroniske sundhedsdata til et elektronisk format, der skal behandles i et EPJ-system eller en wellnessapplikation
h)
»tjeneste for adgang til elektroniske sundhedsdata«: en onlinetjeneste såsom en portal eller en applikation til mobile enheder, der gør det muligt for fysiske personer, der ikke handler som led i deres erhverv, at få adgang til deres egne elektroniske sundhedsdata eller elektroniske sundhedsdata for de fysiske personer, hvis elektroniske sundhedsdata de er lovligt autoriseret til at få adgang til
i)
»adgangstjeneste for sundhedsprofessionelle«: en tjeneste, der understøttes af et EPJ-system, og som gør det muligt for sundhedsprofessionelle at få adgang til data om fysiske personer under deres behandling
j)
»elektronisk patientjournal« eller »EPJ«: en samling af elektroniske sundhedsdata vedrørende en fysisk person, der indsamles i sundhedssystemet, og som behandles med henblik på levering af sundhedsydelser
k)
»elektronisk patientjournalsystem« eller »EPJ-system«: ethvert system, hvorved softwaren eller en kombination af systemets hardware og software gør det muligt at lagre, formidle, eksportere, importere, konvertere, redigere eller se personlige elektroniske sundhedsdata, der tilhører de prioriterede kategorier af personlige elektroniske sundhedsdata som fastsat i denne forordning, og som af fabrikanten er beregnet til at blive anvendt af sundhedstjenesteydere i forbindelse med levering af patientpleje eller af patienter til at få adgang til deres elektroniske sundhedsdata
l)
»ibrugtagning«: første anvendelse i Unionen af et EPJ-system, der er omfattet af denne forordning, i overensstemmelse med dets erklærede formål
m)
»softwarekomponent«: en særskilt del af software, der har en specifik funktionalitet eller udfører specifikke funktioner eller procedurer, og som kan fungere selvstændigt eller sammen med andre komponenter
n)
»europæisk interoperabilitetssoftwarekomponent for EPJ-systemer«: en softwarekomponent i EPJ-systemet, som leverer og modtager personlige elektroniske sundhedsdata under en prioriteret kategori til primær anvendelse, der er fastsat i henhold til denne forordning i det europæiske format til udveksling af elektroniske patientjournaler, der er fastsat i denne forordning, og som er uafhængig af den europæiske logningssoftwarekomponent til EPJ-systemer
o)
»europæisk logningssoftwarekomponent for EPJ-systemer«: en softwarekomponent i EPJ-systemet, der giver logningsoplysninger vedrørende sundhedsprofessionelles eller andre personers adgang til prioriterede kategorier af personlige elektroniske sundhedsdata, der er fastsat i denne forordning, i det format, der er defineret i punkt 3.2 i bilag II hertil, og som er uafhængig af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer
p)
»CE-overensstemmelsesmærkning«: mærkning, hvormed fabrikanten angiver, at EPJ-systemet er i overensstemmelse med alle gældende krav i denne forordning og anden gældende EU-ret om anbringelse af denne mærkning i henhold til Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 
(
30
)
q)
»risiko«: kombinationen af sandsynligheden for, at der indtræffer en fare, der forårsager skade på sundhed, sikkerhed eller informationssikkerhed, og alvoren af en sådan skade
r)
»alvorlig hændelse«: enhver funktionsfejl eller forringelse af karakteristika eller ydeevne for et EPJ-system, der er gjort tilgængeligt på markedet, og som direkte eller indirekte fører til, kan have ført til eller kan føre til enten:
i)
en fysisk persons død eller alvorlig skade på en fysisk persons helbred
ii)
alvorlig skade på en fysisk persons rettigheder
iii)
alvorlige forstyrrelser i forvaltningen og driften af kritisk infrastruktur i sundhedssektoren
s)
»pleje«: en professionel tjenesteydelse, der har til formål at imødekomme de særlige behov hos en fysisk person, der på grund af funktionsnedsættelse eller andre fysiske eller mentale forhold har behov for hjælp, herunder forebyggende og understøttende foranstaltninger, til at udføre væsentlige daglige aktiviteter for at støtte vedkommendes personlige autonomi
t)
»sundhedsdataindehaver«: enhver fysisk eller juridisk person, enhver offentlig myndighed, ethvert agentur eller ethvert andet organ inden for sundheds- eller plejesektoren, herunder refusionstjenester, når det er nødvendigt, samt enhver fysisk eller juridisk person, der udvikler produkter eller tjenesteydelser til sundheds-, sundhedsydelses- eller plejesektoren, udvikler eller fremstiller wellnessapplikationer, udfører forskning i sundheds- eller plejesektoren, eller fungerer som dødelighedsregister, samt enhver EU-institution eller ethvert EU-organ, -kontor eller -agentur, som enten:
i)
i overensstemmelse med gældende EU-ret eller national ret har ret eller pligt til i sin egenskab af dataansvarlig eller fælles dataansvarlig at behandle personlige elektroniske sundhedsdata med henblik på levering af sundhedsydelser eller pleje eller med henblik på folkesundhed, refusion, forskning, innovation, politikudformning, officielle statistikker eller patientsikkerhed eller til reguleringsmæssige formål, eller
ii)
har evne til at stille andre elektroniske sundhedsdata end personoplysninger til rådighed gennem kontrol af den tekniske udformning af et produkt og relaterede tjenester, herunder ved at registrere, give, begrænse adgangen til eller udveksle sådanne data.
u)
»sundhedsdatabruger«: en fysisk eller juridisk person, herunder Unionens institutioner, organer, kontorer eller agenturer, som har fået lovlig adgang til elektroniske sundhedsdata til sekundær anvendelse i henhold til en datatilladelse, en godkendelse af en sundhedsdataanmodning, eller en adgangsgodkendelse fra en autoriseret deltager i MyHealth@EU
v)
»datatilladelse«: en administrativ afgørelse udstedt til en sundhedsdatabruger af et organ med ansvar for adgang til sundhedsdata med henblik på behandling af visse elektroniske sundhedsdata, der er angivet i datatilladelsen, til specifikke sekundære formål på grundlag af de betingelser, der er fastsat i denne forordnings kapitel IV
w)
»datasæt«: en struktureret samling af elektroniske sundhedsdata
x)
»datasæt med stor indvirkning på sekundær anvendelse«: et datasæt, hvis videreanvendelse er forbundet med betydelige fordele på grund af dets relevans for sundhedsforskning
y)
»datasætkatalog«: en samling beskrivelser af datasæt struktureret systematisk og omfattende en brugerorienteret offentlig del, i hvilken oplysninger om individuelle datasætparametre er tilgængelige ad elektronisk vej via en onlineportal
z)
»datakvalitet«: i hvor høj grad dele af elektroniske sundhedsdata egner sig til deres tilsigtede primære anvendelse og sekundære anvendelse
aa)
»datakvalitets- og dataudnyttelsesmærke«: et grafisk diagram, herunder en skala, der beskriver datakvaliteten og betingelserne for udnyttelse af et datasæt
ab)
»wellnessapplikation«: enhver software eller enhver kombination af hardware og software, som af fabrikanten er beregnet til at blive anvendt af en fysisk person til behandling af elektroniske sundhedsdata, specifikt til at give oplysninger om fysiske personers sundhed, eller med henblik på levering af pleje med andre formål end levering af sundhedsydelser.
KAPITEL II
PRIMÆR ANVENDELSE
AFDELING 1
Fysiske personers rettigheder i forbindelse med den primære anvendelse af deres personlige elektroniske sundhedsdata og beslægtede bestemmelser
Artikel 3
Fysiske personers ret til adgang til deres personlige elektroniske sundhedsdata
1.   Fysiske personer har som minimum ret til at få adgang til personlige elektroniske sundhedsdata, der vedrører dem, og som tilhører de i artikel 14 omhandlede prioriterede kategorier, og som behandles med henblik på levering af sundhedsydelser gennem de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata. Adgangen gives straks efter, at de personlige elektroniske sundhedsdata er blevet registreret i et EPJ-system, samtidig med at behovet for teknologisk gennemførlighed respekteres, og den gives gratis i et letlæseligt, konsolideret og tilgængeligt format.
2.   Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, har ret til gratis at downloade en elektronisk kopi af som minimum de elektroniske sundhedsdata i de i artikel 14 omhandlede prioriterede kategorier vedrørende disse fysiske personer gennem de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata, i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler.
3.   I overensstemmelse med artikel 23 i forordning (EU) 2016/679 kan medlemsstaterne begrænse rækkevidden af de i nærværende artikels stk. 1 og 2 fastsatte rettigheder, navnlig når disse begrænsninger er nødvendige for at beskytte fysiske personer på grundlag af patientsikkerhed og etiske overvejelser, ved at forsinke adgangen til deres personlige elektroniske sundhedsdata i en begrænset periode, indtil en sundhedsprofessionel er i stand til at videregive og forklare de berørte fysiske personer oplysninger, der kan have en betydelig indvirkning på deres helbred.
Artikel 4
Tjenester for adgang til elektroniske sundhedsdata for fysiske personer og deres repræsentanter
1.   Medlemsstaterne sikrer, at der oprettes en eller flere tjenester for adgang til elektroniske sundhedsdata på nationalt, regionalt eller lokalt plan, hvorved fysiske personer sættes i stand til at få adgang til deres personlige elektroniske sundhedsdata og udøve deres rettigheder, der er fastsat i artikel 3 og 5-10. Sådanne tjenester for adgang til elektroniske sundhedsdata skal være gratis for fysiske personer og deres repræsentanter, der er omhandlet i nærværende artikels stk. 2.
2.   Medlemsstaterne sikrer, at en eller flere fuldmagtstjenester etableres som en funktionalitet i forbindelse med tjenester for adgang til elektroniske sundhedsdata, der gør det muligt for:
a)
fysiske personer at bemyndige andre fysiske personer efter eget valg til at få adgang til deres personlige elektroniske sundhedsdata eller dele heraf på deres vegne i en begrænset eller ubegrænset periode og, hvis det er nødvendigt, udelukkende til et specifikt formål, og til at forvalte disse tilladelser, og
b)
fysiske personers retlige repræsentanter at få adgang til personlige elektroniske sundhedsdata for disse fysiske personer, hvis anliggender de administrerer, i overensstemmelse med national ret.
Medlemsstaterne fastsætter regler for de i første afsnit, litra a), omhandlede tilladelser og værgers og andre retlige repræsentanters handlinger.
3.   Den i stk. 2 omhandlede fuldmagtstjeneste udsteder gratis fuldmagter på gennemsigtig og let forståelig vis og elektronisk eller på papir. Fysiske personer og deres repræsentanter skal oplyses om deres fuldmagtsrettigheder, herunder om hvordan de udøver disse rettigheder, og om fuldmagtsprocessen.
Fuldmagtstjenesterne skal sikre en let klagemekanisme for fysiske personer.
4.   De i denne artikels stk. 2 omhandlede fuldmagtstjenester skal være interoperable mellem medlemsstaterne. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske specifikationer for interoperabiliteten mellem medlemsstaternes fuldmagtstjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
5.   Tjenesterne for adgang til elektroniske sundhedsdata og fuldmagtstjenesterne skal være let tilgængelige for personer med handicap, sårbare grupper og personer med lav digital færdighed.
Artikel 5
Fysiske personers ret til at indsætte oplysninger i deres egen EPJ
Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, har ret til at indsætte oplysninger i disse fysiske personers EPJ gennem tjenester for adgang til elektroniske sundhedsdata eller applikationer, der er knyttet til disse tjenester som omhandlet i nævnte artikel. Disse oplysninger markeres tydeligt som indsat af den fysiske person eller dennes repræsentant. Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, må ikke direkte kunne ændre de elektroniske sundhedsdata og tilhørende oplysninger, der er indsat af sundhedsprofessionelle.
Artikel 6
Fysiske personers ret til berigtigelse
De i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata gør det nemt for fysiske personer online at anmode om berigtigelse af deres personlige elektroniske sundhedsdata i overensstemmelse med artikel 16 i forordning (EU) 2016/679. Hvis det er relevant, verificerer den dataansvarlige nøjagtigheden af oplysningerne i anmodningen med en relevant sundhedsprofessionel.
Medlemsstaternes kan også gøre det muligt for fysiske personer at udøve andre rettigheder online i henhold til kapitel III i forordning (EU) 2016/679 gennem tjenester for adgang til elektroniske sundhedsdata.
Artikel 7
Fysiske personers ret til dataportabilitet
1.   Fysiske personer har ret til straks at give adgang til eller til at anmode en sundhedstjenesteyder om at overføre alle eller en del af deres personlige elektroniske sundhedsdata til en anden sundhedstjenesteyder efter eget valg, gratis og uden hindringer fra sundhedstjenesteyderen eller fra fabrikanterne af de systemer, der anvendes af den pågældende sundhedstjenesteyder.
2.   Fysiske personer har ret til, hvis sundhedstjenesteyderne befinder sig i forskellige medlemsstater, at anmode om overførsel af deres personlige elektroniske sundhedsdata i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler, gennem den i artikel 23 omhandlede grænseoverskridende infrastruktur. Den modtagende sundhedstjenesteyder skal acceptere sådanne data og skal kunne læse dem.
3.   Fysiske personer har ret til at anmode en sundhedstjenesteyder om at overføre en del af deres personlige elektroniske sundhedsdata til en klart identificeret modtager i sektoren for socialsikrings- eller refusionstjenester. En sådan overførsel udføres straks, gratis og uden hindringer fra sundhedstjenesteyderen eller fra fabrikanterne af de systemer, der anvendes af den pågældende sundhedstjenesteyder, og skal udelukkende være en envejsoverførsel.
4.   Hvis fysiske personer har downloadet en elektronisk kopi af deres prioriterede kategorier af personlige elektroniske sundhedsdata i overensstemmelse med artikel 3, stk. 2, skal de kunne overføre disse data til sundhedstjenesteydere efter eget valg i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler. Den modtagende sundhedstjenesteyder skal acceptere sådanne data og være i stand til at læse dem, alt efter hvad der er relevant.
Artikel 8
Ret til at begrænse adgang
Fysiske personer har ret til at begrænse adgangen for sundhedsprofessionelle og sundhedstjenesteydere til alle eller dele af deres personlige elektroniske sundhedsdata, jf. artikel 3.
Ved udøvelsen af den i stk. 1 omhandlede ret, gøres fysiske personer opmærksomme på, at en begrænsning af adgangen eventuelt kan påvirke leveringen af sundhedsydelser til dem.
Det faktum, at en fysisk person har begrænset adgangen i henhold til stk. 1, må ikke være synligt for sundhedstjenesteyderne.
Medlemsstaterne fastsætter regler og specifikke garantier vedrørende sådanne begrænsningsmekanismer.
Artikel 9
Ret til at få oplysninger om adgang til data
1.   Fysiske personer har ret til at få oplysninger, herunder gennem automatiske meddelelser, om enhver adgang til deres personlige elektroniske sundhedsdata gennem adgangstjenesten for sundhedsprofessionelle i forbindelse med sundhedsydelser, herunder adgang i overensstemmelse med artikel 11, stk. 5.
2.   De i stk. 1 omhandlede oplysninger gives gratis og uden forsinkelse gennem tjenester for adgang til elektroniske sundhedsdata og skal være tilgængelige i mindst tre år fra hver dato for adgang til dataene. Disse oplysninger skal som minimum omfatte følgende:
a)
oplysninger om sundhedstjenesteyderen eller andre individer, der har fået adgang til de personlige elektroniske sundhedsdata
b)
datoen og tidspunktet for adgangen
c)
hvilke personlige elektroniske sundhedsdata, der blev tilgået.
3.   Medlemsstater kan fastsætte begrænsninger for den i stk. 1 omhandlede rettighed i særlige tilfælde, hvor der er faktuelle indikationer på, at en videregivelse vil udgøre en risiko for den sundhedsprofessionelles vitale interesser eller rettigheder eller for den fysiske persons behandling.
Artikel 10
Fysiske personers ret til fravalg af primær anvendelse
1.   Medlemsstaternes lovgivning kan fastsætte, at fysiske personer har ret til at fravælge adgangen til deres personlige elektroniske sundhedsdata, der er registreret i et EPJ-system, gennem de i artikel 4 og 12 omhandlede tjenester for adgang til elektroniske sundhedsdata. I sådanne tilfælde sikrer medlemsstaterne, at udøvelsen af denne ret er reversibel.
2.   Hvis en medlemsstat indfører en rettighed omhandlet i denne artikels stk. 1, fastsætter den regler og specifikke garantier vedrørende fravalgsmekanismen. Medlemsstaterne kan navnlig give en sundhedstjenesteyder eller sundhedsprofessionel mulighed for at få adgang til de personlige elektroniske sundhedsdata i tilfælde, hvor behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser, jf. artikel 9, stk. 2, litra c), i forordning (EU) 2016/679, selv om patienten har udøvet retten til at fravælge primær anvendelse.
Artikel 11
Sundhedsprofessionelles adgang til personlige elektroniske sundhedsdata
1.   Hvis sundhedsprofessionelle behandler data i et elektronisk format, skal de have adgang til de relevante og nødvendige personlige elektroniske sundhedsdata for fysiske personer, som de behandler, gennem de i artikel 12 omhandlede adgangstjenester for sundhedsprofessionelle, uanset forsikringsmedlemsstaten og behandlingsmedlemsstaten.
2.   Hvis forsikringsmedlemsstaten for den fysiske person, der behandles, og behandlingsmedlemsstaten for en sådan fysisk person er forskellige, gives der grænseoverskridende adgang til de personlige elektroniske sundhedsdata for den fysiske person, der behandles, gennem den i artikel 23 omhandlede grænseoverskridende infrastruktur.
3.   Den i denne artikels stk. 1 og 2 omhandlede adgang skal som minimum indeholde de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata.
I overensstemmelse med principperne i artikel 5 i forordning (EU) 2016/679 fastsætter medlemsstaterne regler for de kategorier af personlige elektroniske sundhedsdata, der er tilgængelige for forskellige kategorier af sundhedsprofessionelle eller for forskellige sundhedsydelsesopgaver. Sådanne regler skal tage hensyn til muligheden for begrænsninger, der pålægges i henhold til nærværende forordnings artikel 8.
4.   I tilfælde af behandling i en anden medlemsstat end forsikringsmedlemsstaten gælder behandlingsmedlemsstatens regler, jf. stk. 3.
5.   Hvis en fysisk person har begrænset adgangen til personlige elektroniske sundhedsdata i henhold til artikel 8, må sundhedstjenesteyderen eller den sundhedsprofessionelle ikke oplyses om det indhold af disse data, hvortil adgangen er blevet begrænset.
Uanset artikel 8, stk. 1, kan sundhedstjenesteyderen eller den sundhedsprofessionelle, hvis det er nødvendigt for at beskytte den registreredes vitale interesser, gives adgang til de begrænsede elektroniske sundhedsdata. Sådanne tilfælde skal logges i et klart og forståeligt format og være let tilgængelige for den registrerede.
Medlemsstaterne kan foreskrive yderligere garantier.
Artikel 12
Adgangstjenester for sundhedsprofessionelle
Med henblik på levering af sundhedsydelser sikrer medlemsstaterne, at sundhedsprofessionelle kan få gratis adgang til de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, herunder i forbindelse med grænseoverskridende sundhedsydelser, gennem adgangstjenester for sundhedsprofessionelle.
De tjenester, der er omhandlet i denne artikels stk. 1, må kun være tilgængelige for sundhedsprofessionelle, som er i besiddelse af elektroniske identifikationsmidler, der er anerkendt i henhold til artikel 6 i forordning (EU) nr. 910/2014, eller andre elektroniske identifikationsmidler, der er i overensstemmelse med de i nærværende forordnings artikel 36 omhandlede fælles specifikationer.
Personlige elektroniske sundhedsdata præsenteres på en brugervenlig måde i de elektroniske patientjournaler, så de er nemme at bruge for sundhedsprofessionelle.
Artikel 13
Registrering af personlige elektroniske sundhedsdata
1.   Medlemsstaterne sikrer, at sundhedstjenesteydere, når der behandles elektroniske sundhedsdata med henblik på levering af sundhedsydelser, registrerer de relevante personlige elektroniske sundhedsdata, der helt eller delvis falder ind under de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, i et elektronisk format i et EPJ-system.
2.   Ved behandling af data i elektronisk format, sikrer sundhedstjenesteyderne, at de personlige elektroniske sundhedsdata for de fysiske personer, som de behandler, ajourføres med oplysninger om sundhedsydelserne.
3.   Hvis personlige elektroniske sundhedsdata er registreret i en behandlingsmedlemsstat, som er forskellige fra den berørte fysiske persons forsikringsmedlemsstat, sikrer behandlingsmedlemsstaten, at registreringen foretages under identifikationsdataene for den fysiske person i forsikringsmedlemsstaten.
4.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter krav til datakvaliteten, herunder i forhold til semantik, ensartethed, konsistens, nøjagtighed og fuldstændighed, for registreringen af personlige elektroniske sundhedsdata i et EPJ-system, alt efter hvad der er relevant. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Når personlige elektroniske sundhedsdata registreres eller ajourføres, skal de elektroniske patientjournaler identificere den sundhedsprofessionelle og den sundhedstjenesteyder, der foretog en sådan registrering eller ajourføring, og det tidspunkt, hvor en sådan registrering eller ajourføring blev foretaget. Medlemsstaterne kan kræve, at andre aspekter af dataregistreringen skal registreres.
Artikel 14
Prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse
1.   Med henblik på dette kapitel er de prioriterede kategorier af personlige elektroniske sundhedsdata, når data behandles i elektronisk format, følgende:
a)
patientresuméer
b)
elektroniske recepter
c)
elektroniske lægemiddeludleveringer
d)
medicinsk billeddiagnostik og tilhørende billedrapporter
e)
resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter, og
f)
udskrivningsrapporter.
De vigtigste karakteristika for de prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse er fastsat i bilag I.
Medlemsstaterne kan i deres nationale ret fastsætte yderligere kategorier af personlige elektroniske sundhedsdata, der skal tilgås og udveksles til primær anvendelse i henhold til dette kapitel.
Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte grænseoverskridende specifikationer for de i dette stykkes tredje afsnit omhandlede kategorier af personlige elektroniske sundhedsdata i henhold til artikel 15, stk. 3, og artikel 23, stk. 8. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre denne forordning ved at ændre bilag I gennem tilføjelse, ændring eller fjernelse af de vigtigste karakteristika for de i stk. 1 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, forudsat at ændringerne har til formål at tilpasse de prioriterede kategorier af personlige elektroniske sundhedsdata til den tekniske udvikling og internationale standarder. Tilføjelser og ændringer af disse karakteristika skal desuden opfylde begge følgende kriterier:
a)
karakteristika er relevante for sundhedsydelser, der leveres til fysiske personer
b)
de ændrede karakteristika anvendes i de fleste medlemsstater i henhold til de seneste oplysninger.
Artikel 15
Europæisk format for udveksling af elektroniske patientjournaler
1.   Senest den 26. marts 2027 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter de tekniske specifikationer for de i artikel 14, stk. 1, omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, der fastsætter det europæiske format for udveksling af elektroniske patientjournaler. Et sådant format skal være almindeligt anvendt, maskinlæsbart og gøre det muligt at overføre personlige elektroniske sundhedsdata mellem forskellige softwareapplikationer, -enheder og sundhedstjenesteydere. Et sådant format skal understøtte overførsel af strukturerede og ustrukturerede sundhedsdata og skal indeholde følgende elementer:
a)
harmoniserede datasæt, der indeholder elektroniske sundhedsdata og definerer strukturer såsom datafelter og datagrupper for beskrivelse af klinisk indhold og andre dele af de elektroniske sundhedsdata
b)
kodningssystemer og -værdier, der skal anvendes i datasæt, der indeholder elektroniske sundhedsdata
c)
tekniske specifikationer for interoperabilitet for udveksling af elektroniske sundhedsdata, herunder indholdsbeskrivelse, standarder og profiler.
De i dette stykkes første afsnit omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen sørger ved hjælp af gennemførelsesretsakter for regelmæssige ajourføringer af det europæiske format for udveksling af elektroniske patientjournaler med henblik på at integrere de relevante revisioner af kodningssystemer og nomenklaturer for sundhedsbehandling. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte tekniske specifikationer for at udvide det europæiske format for udveksling af elektroniske patientjournaler til de i artikel 14, stk. 1, tredje afsnit, omhandlede yderligere kategorier af personlige elektroniske sundhedsdata. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
4.   Medlemsstaterne sikrer, at de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, er udstedt i det i nærværende artikels stk. 1 omhandlede europæiske format for udveksling af elektroniske patientjournaler. Hvis sådanne data overføres ad automatiseret vej til primær anvendelse, skal den modtagende udbyder acceptere dataenes format og være i stand til at læse dem.
Artikel 16
Identifikationsstyring
1.   Hvis fysiske personer anvender de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata, har disse fysiske personer ret til selv at identificere sig elektronisk ved hjælp af ethvert elektronisk identifikationsmiddel, der er anerkendt i henhold til artikel 6 i forordning (EU) nr. 910/2014. Medlemsstaterne kan indføre supplerende mekanismer for at sikre passende identitetssammenkobling i grænseoverskridende situationer.
2.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter kravene til den interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med forordning (EU) nr. 910/2014. Denne mekanisme skal gøre det lettere at overføre personlige elektroniske sundhedsdata i en grænseoverskridende sammenhæng. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Kommissionen implementerer i samarbejde med medlemsstaterne de tjenester, der kræves til den i denne artikels stk. 2 omhandlede interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme, på EU-plan som en del af den i artikel 23 omhandlede grænseoverskridende infrastruktur.
4.   Medlemsstaternes kompetente myndigheder og Kommissionen implementerer den interoperable grænseoverskridende identifikations- og autentifikationsmekanisme på henholdsvis medlemsstatsplan og EU-plan.
Artikel 17
Krav til teknisk gennemførelse
Kommissionen fastsætter ved hjælp af gennemførelsesretsakter kravene til den tekniske gennemførelse af de rettigheder, der er fastsat i denne afdeling.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 18
Kompensation for at stille personlige elektroniske sundhedsdata til rådighed
Udbydere, der modtager data i henhold til dette kapitel, er ikke forpligtede til at kompensere sundhedstjenesteyderen for at stille personlige elektroniske sundhedsdata til rådighed. En sundhedstjenesteyder eller en tredjepart kan ikke direkte eller indirekte opkræve et gebyr eller omkostninger eller kræve kompensation for deling af eller adgang til data hos de registrerede.
AFDELING 2
Forvaltning af primær anvendelse
Artikel 19
Digitale sundhedsmyndigheder
1.   Hver medlemsstat udpeger en eller flere digitale sundhedsmyndigheder, der er ansvarlige for gennemførelsen og håndhævelsen af dette kapitel på nationalt plan. Medlemsstaten underretter Kommissionen om identiteten på de nationale digitale sundhedsmyndigheder senest den 26. marts 2027. Hvis en medlemsstat udpeger mere end en digital sundhedsmyndighed, eller hvis denne digitale sundhedsmyndighed består af flere organisationer, sender den pågældende medlemsstat Kommissionen en beskrivelse af fordelingen af opgaver mellem disse forskellige myndigheder eller organisationer. Hvis en medlemsstat udpeger flere digitale sundhedsmyndigheder, udpeger den én digital sundhedsmyndighed til at fungere som koordinator. Kommissionen gør disse oplysninger offentligt tilgængelige.
2.   Hver digital sundhedsmyndighed har følgende opgaver og beføjelser:
a)
sikre gennemførelsen af de i dette kapitel og kapitel III omhandlede rettigheder og forpligtelser, ved at indføre de nødvendige nationale, regionale eller lokale tekniske løsninger og ved at fastsætte relevante regler og mekanismer
b)
sikre, at fuldstændige og ajourførte oplysninger om gennemførelsen af de rettigheder og forpligtelser, der er fastsat i dette kapitel og i kapitel III, stilles til rådighed for fysiske personer, sundhedsprofessionelle og sundhedstjenesteydere
c)
ved gennemførelsen af de i dette stykkes litra a) omhandlede tekniske løsninger sikre, at sådanne tekniske løsninger stemmer overens med dette kapitel, kapitel III og bilag II
d)
på EU-plan bidrage til udviklingen af tekniske løsninger, der sætter fysiske personer og sundhedsprofessionelle i stand til at udøve deres rettigheder og overholde deres forpligtelser fastsat i dette kapitel
e)
gøre det lettere for personer med handicap at udøve deres rettigheder i henhold til dette kapitel i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2019/882 
(
31
)
f)
føre tilsyn med de nationale kontaktpunkter for digital sundhed og samarbejde med andre digitale sundhedsmyndigheder og Kommissionen om videreudvikling af MyHealth@EU
g)
sikre gennemførelsen på nationalt plan af det europæiske format for udveksling af elektroniske patientjournaler i samarbejde med nationale myndigheder og interessenter
h)
på EU-plan bidrage til udviklingen af det europæiske format for udveksling af elektroniske patientjournaler, til udarbejdelsen i overensstemmelse med artikel 36 af fælles specifikationer vedrørende kvalitet, interoperabilitet, sikkerhed, brugervenlighed, tilgængelighed, ikkeforskelsbehandling eller grundlæggende rettigheder og til udarbejdelsen af specifikationerne i den i artikel 49 omhandlede EU-database for registrering af EPJ-systemer og wellnessapplikationer
i)
hvor det er relevant, udføre markedsovervågningsaktiviteter i overensstemmelse med artikel 43, samtidig med at det sikres, at eventuelle interessekonflikter undgås
j)
opbygge national kapacitet til at gennemføre krav vedrørende interoperabilitet og sikkerhed i elektroniske sundhedsdata til primær anvendelse og deltage i informationsudveksling og kapacitetsopbygningsaktiviteter på EU-plan
k)
samarbejde med markedsovervågningsmyndighederne, deltage i aktiviteter vedrørende håndtering af risici i forbindelse med EPJ-systemer og af alvorlige hændelser og føre tilsyn med gennemførelsen af korrigerende tiltag i overensstemmelse med artikel 44
l)
samarbejde med andre relevante enheder og organer på lokalt, regionalt, nationalt plan eller EU-plan for at sikre interoperabilitet, portabilitet og sikkerhed i forbindelse med elektroniske sundhedsdata
m)
samarbejde med tilsynsmyndigheder i overensstemmelse med forordning (EU) nr. 910/2014 og (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
32
)
 og med andre relevante myndigheder, herunder dem, der er kompetente med hensyn til cybersikkerhed og elektronisk identifikation.
3.   Hver medlemsstat sikrer, at hver digital sundhedsmyndighed råder over de menneskelige, tekniske og økonomiske ressourcer, lokaler og infrastrukturer, der er nødvendige for, at de effektivt kan udføre deres opgaver og udøve deres beføjelser.
4.   Under udførelsen af sine opgaver undgår hver digital sundhedsmyndighed alle interessekonflikter. Hver af den digitale sundhedsmyndigheds ansatte handler i offentlighedens interesse og uafhængigt.
5.   Under udførelsen af deres opgaver samarbejder de relevante digitale sundhedsmyndigheder aktivt med og hører relevante repræsentanter for interessenter, herunder patientrepræsentanter, repræsentanter for sundhedstjenesteydere og sundhedsprofessionelle, herunder sammenslutninger af sundhedsprofessionelle, samt forbrugerorganisationer og brancheforeninger.
Artikel 20
De digitale sundhedsmyndigheders indberetning
Digitale sundhedsmyndigheder, der er udpeget i henhold til artikel 19, udarbejder hvert andet år en aktivitetsrapport, der skal indeholde en samlet oversigt over deres aktiviteter. Hvis en medlemsstat udpeger mere end én digital sundhedsmyndighed, er en af dem ansvarlig for udarbejdelsen af rapporten og anmoder i den forbindelse de andre digitale sundhedsmyndigheder om de nødvendige oplysninger. Denne aktivitetsrapport skal følge en struktur, der er aftalt på EU-plan i udvalget for det europæiske sundhedsdataområde omhandlet i artikel 92. Denne aktivitetsrapport skal som minimum indeholde oplysninger om:
a)
de foranstaltninger, den har truffet med henblik på gennemførelsen af denne forordning
b)
den procentdel af fysiske personer, der har adgang til de forskellige datakategorier i deres elektroniske patientjournaler
c)
behandlingen af anmodninger fra fysiske personer vedrørende udøvelsen af deres rettigheder i henhold til denne forordning
d)
det antal sundhedstjenesteydere af forskellige typer, herunder apoteker, hospitaler og andre behandlingssteder, der er forbundet med MyHealth@EU, beregnet:
i)
i absolutte tal
ii)
som en andel af alle sundhedstjenesteydere af samme type, og
iii)
som en andel af fysiske personer, der har mulighed for at benytte tjenesterne
e)
de mængder af elektroniske sundhedsdata for forskellige kategorier, der deles på tværs af grænserne via MyHealth@EU
f)
antallet af tilfælde af manglende overholdelse af obligatoriske krav.
Artikel 21
Ret til at indgive klage til en digital sundhedsmyndighed
1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har fysiske og juridiske personer ret til at indgive en klage vedrørende bestemmelserne i dette kapitel individuelt eller, hvor det er relevant, kollektivt til den kompetente digitale sundhedsmyndighed, forudsat at deres rettigheder eller interesser påvirkes negativt.
2.   Hvis klagen vedrører fysiske personers rettigheder i henhold til denne forordnings artikel 3 og 5-10, overfører den digitale sundhedsmyndighed klagen til de kompetente tilsynsmyndigheder i henhold til forordning (EU) 2016/679. Den digitale sundhedsmyndighed videregiver de nødvendige oplysninger, den har til rådighed, til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679 med henblik på at lette vurderingen og undersøgelsen af klagen.
3.   Den kompetente digitale sundhedsmyndighed, som klagen er indgivet til, underretter i overensstemmelse med national ret klageren om fremskridt i behandlingen klagen, om den trufne afgørelse vedrørende klagen, om en eventuel henvisning af klagen til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679 og, i tilfælde af en sådan henvisning, om, at denne tilsynsmyndighed fra dette tidspunkt er det eneste kontaktpunkt for klageren i den pågældende sag.
4.   Digitale sundhedsmyndigheder i de pågældende medlemsstater samarbejder om uden unødigt ophold at behandle og løse klager vedrørende grænseoverskridende udveksling af og adgang til personlige elektroniske sundhedsdata, herunder ved at udveksle alle relevante oplysninger ad elektronisk vej.
5.   Digitale sundhedsmyndigheder skal gøre det lettere at indgive klager og stille let tilgængelige værktøjer til indgivelse af klager til rådighed.
Artikel 22
Forholdet til tilsynsmyndighederne i henhold til forordning (EU) 2016/679
Den eller de tilsynsmyndigheder, der er ansvarlige for at overvåge og håndhæve anvendelsen af forordning (EU) 2016/679, er også ansvarlige for at overvåge og håndhæve anvendelsen af nærværende forordnings artikel 3 og 5-10. De relevante bestemmelser i forordning (EU) 2016/679 finder tilsvarende anvendelse. Tilsynsmyndigheder har beføjelse til at pålægge administrative bøder op til det beløb, der er omhandlet i artikel 83, stk. 5, i forordning (EU) 2016/679.
De i denne artikels stk. 1 omhandlede tilsynsmyndigheder og de i artikel 19 omhandlede digitale sundhedsmyndigheder samarbejder, hvor det er relevant, om håndhævelsen af denne forordning inden for rammerne af deres respektive beføjelser.
AFDELING 3
Grænseoverskridende infrastruktur til primær anvendelse af personlige elektroniske sundhedsdata
Artikel 23
MyHealth@EU
1.   Kommissionen opretter en central interoperabilitetsplatform for digital sundhed (»MyHealth@EU«) med henblik på at levere tjenester til at støtte og lette udvekslingen af personlige elektroniske sundhedsdata mellem medlemsstaternes nationale kontaktpunkter for digital sundhed.
2.   Hver medlemsstat udpeger et nationalt kontaktpunkt for digital sundhed som en organisatorisk og teknisk portal for levering af tjenester i forbindelse med grænseoverskridende udveksling af personlige elektroniske sundhedsdata i forbindelse med primær anvendelse. Hvert nationalt kontaktpunkt for digital sundhed skal være forbundet med alle andre nationale kontaktpunkter for digital sundhed i de øvrige medlemsstater og til den centrale interoperabilitetsplatform for digital sundhed i den grænseoverskridende infrastruktur MyHealth@EU. Hvis et nationalt kontaktpunkt for digital sundhed er en enhed bestående af flere organisationer med ansvar for gennemførelsen af forskellige tjenester, sender den pågældende medlemsstat Kommissionen en beskrivelse af fordelingen af opgaver mellem organisationerne. Hver medlemsstat underretter Kommissionen om benævnelsen på det nationale kontaktpunkt for digital sundhed senest den 26. marts 2027. Det nationale kontaktpunkt for digital sundhed kan udpeges inden for den i artikel 19 omhandlede digitale sundhedsmyndighed. Medlemsstaterne underretter Kommissionen om eventuel senere udskiftning af disse nationale kontaktpunkter for digital sundhed. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
3.   Hvert nationalt kontaktpunkt for digital sundhed skal muliggøre udveksling af de i artikel 14, stk. 1, omhandlede personlige elektroniske sundhedsdata med nationale kontaktpunkter for digital sundhed i andre medlemsstater gennem MyHealth@EU. Denne udveksling baseres på det europæiske format for udveksling af elektroniske patientjournaler.
Hvis medlemsstaterne fastsætter yderligere kategorier af personlige elektroniske sundhedsdata i henhold til artikel 14, stk. 1, tredje afsnit, skal det nationale kontaktpunkt for digital sundhed muliggøre udveksling af de i artikel 14, stk. 1, tredje afsnit, omhandlede yderligere kategorier af personlige elektroniske sundhedsdata, for så vidt som den pågældende medlemsstat har fastsat, at disse yderligere kategorier af personlige elektroniske sundhedsdata skal kunne tilgås og udveksles i overensstemmelse med artikel 14, stk. 1, tredje afsnit.
4.   Senest den 26. marts 2027 vedtager Kommissionen ved hjælp af gennemførelsesretsakter de nødvendige foranstaltninger til den tekniske udvikling af MyHealth@EU, detaljerede regler vedrørende sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata og de betingelser for overensstemmelseskontroller, der er nødvendige for at tilslutte sig og forblive forbundet med MyHealth@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
5.   Medlemsstaterne sikrer, at alle sundhedstjenesteydere forbindes med deres nationale kontaktpunkter for digital sundhed. Medlemsstaterne sikrer, at forbundne sundhedstjenesteydere er i stand til at foretage tovejsudveksling af elektroniske sundhedsdata med det nationale kontaktpunkt for digital sundhed.
6.   Medlemsstaterne sikrer, at apoteker, der opererer på deres område, herunder onlineapoteker, er i stand til at udlevere elektroniske recepter udstedt i andre medlemsstater på de betingelser, der er fastsat i artikel 11 i direktiv 2011/24/EU.
Apoteker har adgang til og accepterer elektroniske recepter, som de modtager fra andre medlemsstater, gennem MyHealth@EU, forudsat at betingelserne fastlagt i artikel 11 i direktiv 2011/24/EU er opfyldt.
Efter udlevering af lægemidler på grundlag af en elektronisk recept fra en anden medlemsstat indberetter det pågældende apotek via MyHealth@EU en sådan udlevering til det nationale kontaktpunkt for digital sundhed i den medlemsstat, hvor recepten blev udstedt.
7.   De nationale kontaktpunkter for digital sundhed fungerer som fælles dataansvarlige for de personlige elektroniske sundhedsdata, der kommunikeres gennem MyHealth@EU for de behandlingsaktiviteter, som de er involveret i. Kommissionen fungerer som databehandler.
8.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter regler vedrørende kravene til cybersikkerhed, teknisk interoperabilitet, semantisk interoperabilitet, drift og serviceforvaltning i forbindelse med den i denne artikels stk. 7 omhandlede databehandlers behandling og dennes ansvar over for de dataansvarlige i overensstemmelse med kapitel IV i forordning (EU) 2016/679. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
9.   De nationale kontaktpunkter for digital sundhed skal opfylde betingelserne for at tilslutte sig og forblive forbundet til MyHealth@EU som fastsat i de i stk. 4 omhandlede gennemførelsesretsakter. Kommissionen kontrollerer ved hjælp af overensstemmelseskontroller, at de nationale kontaktpunkter for digital sundhed overholder disse betingelser.
Artikel 24
Supplerende grænseoverskridende digitale sundhedstjenester og -infrastrukturer
1.   Medlemsstaterne kan via MyHealth@EU tilbyde supplerende tjenester, der letter telemedicin, mobil sundhed, fysiske personers adgang til eksisterende oversættelser af deres sundhedsdata, udveksling eller kontrol af sundhedsrelaterede certifikater, herunder vaccinationskorttjenester, der understøtter folkesundheden og overvågning af folkesundheden eller digitale sundhedssystemer, tjenester og interoperable applikationer, med henblik på at opnå et højt niveau af tillid og sikkerhed, øge kontinuiteten i behandlingen og sikre adgang til sikre sundhedsydelser af høj kvalitet. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske aspekter af leveringen af sådanne supplerende tjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen og medlemsstaterne kan lette udvekslingen af personlige elektroniske sundhedsdata med andre infrastrukturer såsom det kliniske patientstyringssystem eller andre tjenester eller infrastrukturer på sundheds-, pleje- eller socialsikringsområdet, som kan blive autoriserede deltagere i MyHealth@EU. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske aspekter af sådanne udvekslinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren jf. artikel 98, stk. 2.
Tilslutningen og afbrydelsen af en anden infrastruktur til eller fra den centrale platform for digital sundhed underlægges en afgørelse vedtaget af Kommissionen ved hjælp af en gennemførelsesretsakt på grundlag af resultatet af overensstemmelseskontrollerne af de tekniske aspekter af de i dette stykkes første afsnit omhandlede udvekslinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Et nationalt kontaktpunkt for digital sundhed i et tredjeland eller et system, der er etableret på internationalt plan af en international organisation, kan blive autoriseret deltager i MyHealth@EU, forudsat at det opfylder de i artikel 23 omhandlede krav i MyHealth@EU med henblik på udveksling af personlige elektroniske sundhedsdata, at overførslen som følge tilslutningen til MyHealth@EU er i overensstemmelse med reglerne i kapitel V i forordning (EU) 2016/679, og at kravene vedrørende retlige, organisatoriske, operationelle, semantiske, tekniske og cybersikkerhedsrelaterede foranstaltninger svarer til dem, der gælder for medlemsstaterne i forbindelse med driften af MyHealth@EU. Disse krav kontrolleres af Kommissionen ved hjælp af overensstemmelseskontroller.
På grundlag af resultatet af overensstemmelseskontrollerne omhandlet i dette stykkes første afsnit kan Kommissionen ved hjælp af gennemførelsesretsakter beslutte at tilslutte eller at afbryde det nationale kontaktpunkt for digital sundhed i tredjelandet eller det system, der er etableret på internationalt plan af en international organisation, alt efter hvad der er relevant, til MyHealth@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Kommissionen udarbejder og ajourfører en liste over nationale kontaktpunkter for digital sundhed i tredjelande eller systemer, der er etableret på internationalt plan af internationale organisationer, og som er forbundet til MyHealth@EU i henhold til dette stykke, og gør denne liste offentligt tilgængelig.
KAPITEL III
EPJ-SYSTEMER OG WELLNESSAPPLIKATIONER
AFDELING 1
Anvendelsesområde og almindelige bestemmelser om EPJ-systemer
Artikel 25
Harmoniserede softwarekomponenter til EPJ-systemer
1.   EPJ-systemer skal omfatte en europæisk interoperabilitetssoftwarekomponent for EPJ-systemer og en europæisk logningssoftwarekomponent for EPJ-systemer (de »harmoniserede softwarekomponenter til EPJ-systemer«) i overensstemmelse med bestemmelserne fastlagt i dette kapitel.
2.   Dette kapitel finder ikke anvendelse på generel software, der anvendes i et sundhedsmiljø.
Artikel 26
Bringe i omsætning og ibrugtagning
1.   EPJ-systemer må kun bringes i omsætning eller ibrugtages, hvis de opfylder bestemmelserne fastlagt i dette kapitel.
2.   EPJ-systemer, der fremstilles og anvendes i sundhedsinstitutioner, der er etableret i Unionen, samt EPJ-systemer, der tilbydes som en tjeneste som defineret i artikel 1, stk. 1, litra b), i Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 
(
33
)
 til en fysisk eller juridisk person, der er etableret i Unionen, anses for at være taget i brug.
3.   Medlemsstaterne må ikke forbyde eller begrænse, at EPJ-systemer, som overholder denne forordning, bringes i omsætning, af hensyn til aspekter vedrørende harmoniserede softwarekomponenter i EPJ-systemer, der er omfattet af denne forordning.
Artikel 27
Forholdet til EU-retten, der regulerer medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik og AI-systemer
1.   Fabrikanter af medicinsk udstyr eller medicinsk udstyr til in vitro-diagnostik, som defineret i henholdsvis artikel 2, nr. 1), i forordning (EU) 2017/745 og artikel 2, nr. 2), i forordning (EU) 2017/746, der hævder, at det pågældende medicinske udstyr eller medicinske udstyr til in vitro-diagnostik er interoperabelt med de harmoniserede softwarekomponenter i EPJ-systemer, skal dokumentere overensstemmelse med de væsentlige krav til den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer, der er fastsat i afsnit 2 i bilag II til nærværende forordning. Nærværende forordnings artikel 36 finder anvendelse på dette medicinske udstyr og medicinske udstyr til in vitro-diagnostik.
2.   Udbydere af AI-systemer, der anses for at være højrisikosystemer i overensstemmelse med artikel 6 i forordning (EU) 2024/1689 (»højrisiko-AI-system«), og som ikke falder ind under anvendelsesområdet for forordning (EU) 2017/745 eller (EU) 2017/746, og som hævder, at disse højrisiko-AI-systemer er interoperable med de harmoniserede softwarekomponenter i EPJ-systemer, dokumentere overensstemmelse med de væsentlige krav til den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer, som fastsat i afsnit 2 i bilag II til nærværende forordning. Nærværende forordnings artikel 36 finder anvendelse på disse højrisiko-AI-systemer.
Artikel 28
Anprisninger
I forbindelse med oplysningsskemaet, brugsanvisningen eller andre oplysninger, der ledsager EPJ-systemer, og i reklamer for EPJ-systemer er det forbudt at anvende tekst, navne, varemærker, billeder og figurer eller andre tegn, der kan vildlede den professionelle bruger som defineret i artikel 3, nr. 8), i Europa-Parlamentets og Rådets forordning (EU) 2018/1807 
(
34
)
 med hensyn til deres erklærede formål, interoperabilitet og sikkerhed ved at:
a)
tilskrive EPJ-systemet funktioner og egenskaber, som det ikke har
b)
undlade at informere den professionelle bruger om sandsynlige begrænsninger i forbindelse med interoperabilitets- eller sikkerhedselementerne i EPJ-systemet i forhold til dets erklærede formål
c)
foreslå andre anvendelser af EPJ-systemet end dem, der i den tekniske dokumentation er anført som værende en del af det erklærede formål.
Artikel 29
Indkøb, refusion og finansiering
Medlemsstaterne kan opretholde eller fastsætte specifikke regler for indkøb eller finansiering af eller refusion vedrørende EPJ-systemer i forbindelse med organisering, levering eller finansiering af sundhedsydelser, forudsat at sådanne regler er i overensstemmelse med EU-retten og ikke påvirker EPJ-systemernes harmoniserede softwarekomponenters funktion eller overensstemmelse.
AFDELING 2
Erhvervsdrivendes forpligtelser med hensyn til EPJ-systemer
Artikel 30
Forpligtelser for fabrikanter af EPJ-systemer
1.   Fabrikanter af EPJ-systemer:
a)
sikrer, at de harmoniserede softwarekomponenter i deres EPJ-systemer og EPJ-systemerne selv, i det omfang dette kapitel fastsætter krav til dem, er i overensstemmelse med de væsentlige krav, der er fastlagt i bilag II, og med de fælles specifikationer i overensstemmelse med artikel 36
b)
sikrer, at de harmoniserede softwarekomponenter i deres EPJ-systemer ikke påvirkes negativt af andre softwarekomponenter i det samme EPJ-system
c)
udarbejder den tekniske dokumentation for deres EPJ-systemer i overensstemmelse med artikel 37, inden de bringer disse EPJ-systemer i omsætning, og holder den ajour efterfølgende
d)
sikrer, at deres EPJ-systemer ledsages af det i artikel 38 omhandlede oplysningsskema og en klar og fuldstændig brugsanvisning, som er gratis for brugeren
e)
udarbejder EU-overensstemmelseserklæringen i overensstemmelse med artikel 39
f)
anbringer CE-overensstemmelsesmærkningen som anført i artikel 41
g)
angiver et navn, registreret firmanavn eller registreret varemærke, den postadresse og det websted, den e-mailadresse eller andre digitale kontaktoplysninger, hvorigennem de kan kontaktes, i EPJ-systemet; angiver i kontaktoplysningerne ét enkelt sted, hvor fabrikanten kan kontaktes; kontaktoplysninger skal være på et sprog, der er let at forstå for brugere og markedsovervågningsmyndigheder
h)
opfylder registreringsforpligtelserne i artikel 49
i)
iværksætter uden unødigt ophold alle nødvendige korrigerende tiltag for deres EPJ-systemer, når de finder eller har grund til at tro, at sådanne systemer ikke eller ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II, eller tilbagekalder eller trækker sådanne systemer tilbage; fabrikanter af EPJ-systemer underretter efterfølgende de nationale myndigheder i de medlemsstater, hvor de har gjort deres EPJ-systemer tilgængelige på markedet eller taget dem i brug, om den manglende overensstemmelse, om eventuelle korrigerende tiltag, der er truffet, herunder tidsplanen for gennemførelsen, og om datoen, hvor de harmoniserede softwarekomponenter i deres EPJ-systemer er blevet bragt i overensstemmelse med kravene eller er blevet tilbagekaldt eller trukket tilbage
j)
underretter distributørerne af deres EPJ-systemer og, hvis det er relevant, den bemyndigede repræsentant, importørerne og brugerne om den manglende overensstemmelse og om eventuelle korrigerende tiltag, tilbagekaldelser eller tilbagetrækninger af de pågældende EPJ-systemer
k)
underretter distributørerne af deres EPJ-systemer og, hvis det er relevant, den bemyndigede repræsentant, importørerne og brugerne, om eventuel obligatorisk forebyggende vedligeholdelse af EPJ-systemerne og hyppigheden heraf
l)
giver efter anmodning, på et officielt sprog i den pågældende medlemsstat, markedsovervågningsmyndighederne i nævnte medlemsstat al den information og dokumentation, der er nødvendig for at påvise, at de EPJ-systemer, de har bragt i omsætning eller taget i brug, er i overensstemmelse med de væsentlige krav fastlagt i bilag II
m)
samarbejder med markedsovervågningsmyndighederne, hvis disse anmoder herom, om ethvert tiltag, der træffes for at bringe de EPJ-systemer, som de har bragt i omsætning eller taget i brug, i overensstemmelse med bilag II og med eventuelle krav vedtaget i henhold til artikel 42 på et officielt sprog i den pågældende medlemsstat
n)
etablerer klagekanaler og holder distributørerne underrettet herom
o)
fører et register over klager og et register over EPJ-systemer, der ikke opfylder kravene, og holder distributørerne underrettet herom.
2.   Fabrikanter af EPJ-systemer sikrer, at der findes procedurer til sikring af, at designet, udviklingen og ibrugtagningen af de harmoniserede softwarekomponenter af et EPJ-system fortsat er i overensstemmelse med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer. Ændringer i EPJ-systemets design eller egenskaber med hensyn til de harmoniserede softwarekomponenter af et EPJ-system skal tages behørigt i betragtning og afspejles i den tekniske dokumentation.
3.   Fabrikanter af EPJ-systemer opbevarer den i artikel 37 omhandlede tekniske dokumentation og den i artikel 39 omhandlede EU-overensstemmelseserklæring i 10 år efter, at det EPJ-system, der er omfattet af EU-overensstemmelseserklæringen, er blevet bragt i omsætning.
Efter en begrundet anmodning stiller fabrikanter af EPJ-systemer kildekoden eller den programmerede logik, som indgår i den tekniske dokumentation, til rådighed for de relevante myndigheder, hvis denne kildekode eller programmerede logik er nødvendig for, at disse myndigheder kan kontrollere overholdelsen af de væsentlige krav fastlagt i bilag II.
4.   En fabrikant af EPJ-systemer, der er etableret uden for Unionen, sikrer, at dennes bemyndigede repræsentant har den nødvendige dokumentation let tilgængelig med henblik på at kunne udføre de i artikel 31, stk. 2, omhandlede opgaver.
5.   Efter en begrundet anmodning fra en markedsovervågningsmyndighed giver fabrikanter af EPJ-systemer denne myndighed al den information og dokumentation i papirform eller elektronisk form, som er nødvendig for at dokumentere, at EPJ-systemet er i overensstemmelse med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer, på et for denne markedsovervågningsmyndighed letforståeligt sprog. Fabrikanterne af EPJ-systemer skal, hvis markedsovervågningsmyndigheden anmoder herom, samarbejde med den om eventuelle foranstaltninger, der er truffet for at fjerne de risici, der stammer fra et EPJ-system, som de har bragt i omsætning eller taget i brug.
Artikel 31
Bemyndigede repræsentanter
1.   Før et EPJ-system gøres tilgængeligt på EU-markedet, udpeger en fabrikant af et EPJ-system, der er etableret uden for Unionen, ved skriftlig fuldmagt en bemyndiget repræsentant, der er etableret i Unionen.
2.   En bemyndiget repræsentant udfører de opgaver, der er fastsat i den fuldmagt, denne har aftalt med fabrikanten. Fuldmagten skal som minimum sætte den bemyndigede repræsentant i stand til:
a)
at sørge for, at EU-overensstemmelseserklæringen og den i artikel 37 omhandlede tekniske dokumentation står til rådighed for markedsovervågningsmyndighederne i den i artikel 30, stk. 3, omhandlede periode
b)
på grundlag af en begrundet anmodning fra en markedsovervågningsmyndighed at give myndighederne i den berørte medlemsstat en kopi af fuldmagten og al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse med de væsentlige krav fastlagt i bilag II samt de i artikel 36 omhandlede fælles specifikationer
c)
uden unødigt ophold at underrette fabrikanten, hvis den bemyndigede repræsentant har grund til at tro, at et EPJ-system ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II
d)
uden unødigt ophold at underrette fabrikanten om enhver klage modtaget fra forbrugere eller professionelle brugere
e)
at samarbejde med markedsovervågningsmyndighederne, hvis disse anmoder herom, om eventuelle korrigerende tiltag, der iværksættes i forbindelse med de EPJ-systemer, der er omfattet af deres fuldmagt
f)
at bringe fuldmagten til ophør, hvis fabrikanten ikke overholder sine forpligtelser i henhold til denne forordning
g)
sikre, at den i artikel 37 omhandlede tekniske dokumentation efter anmodning kan stilles til rådighed for de relevante myndigheder.
3.   I tilfælde af udskiftning af den bemyndigede repræsentant skal den nærmere ordning for en sådan udskiftning mindst omfatte følgende:
a)
datoen for ophøret af den afgående bemyndigede repræsentants fuldmagt og datoen for ikrafttrædelsen af den tiltrædende bemyndigede repræsentants fuldmagt
b)
overførsel af dokumenter, herunder fortrolighedsaspekter og ejendomsret.
4.   Når fabrikanten er etableret uden for Unionen og ikke har overholdt de i artikel 30 fastsatte forpligtelser, er den bemyndigede repræsentant solidarisk ansvarlig for manglende overholdelse af denne forordning på samme grundlag som fabrikanten.
Artikel 32
Importørernes forpligtelser
1.   Importører må kun bringe EPJ-systemer i omsætning på EU-markedet, hvis de er i overensstemmelse med de væsentlige krav fastlagt i bilag II samt de i artikel 36 omhandlede fælles specifikationer.
2.   Inden et EPJ-system gøres tilgængelig på markedet, kontrollerer importørerne, at:
a)
fabrikanten har udarbejdet den i artikel 37 omhandlede tekniske dokumentation og EU-overensstemmelseserklæringen
b)
fabrikanten er identificeret, og der er udpeget en bemyndiget repræsentant i overensstemmelse med artikel 31
c)
EPJ-systemet er forsynet med den i artikel 41 omhandlede CE-overensstemmelsesmærkning efter fuldførelsen af overensstemmelsesvurderingsproceduren
d)
EPJ-systemet ledsages af det i artikel 38 omhandlede oplysningsskema, med klare og fuldstændige brugsanvisninger, herunder til dets vedligeholdelse, i tilgængelige formater.
3.   Importørerne angiver deres navn, registrerede firmanavn eller registrerede varemærke, postadresse, websted, e-mailadresse eller andre digitale kontaktoplysninger, hvorigennem de kan kontaktes, i et dokument, der ledsager EPJ-systemet. Kontaktoplysningerne skal angive ét enkelt sted, hvor fabrikanten kan kontaktes, og være på et sprog, der let kan forstås af brugere og markedsovervågningsmyndigheder. Importørerne sikrer, at et eventuelt yderligere mærke ikke skjuler eller tilslører nogen af de oplysninger, som fabrikanten har angivet, og som er anført på et eventuelt oprindeligt mærke, som leveres til EPJ-systemet.
4.   Importørerne sikrer, at EPJ-systemet ikke ændres på en sådan måde, at dets overensstemmelse med bilag II og med eventuelle krav vedtaget i henhold til artikel 42 bringes i fare, mens et EPJ-system er under deres ansvar.
5.   Hvis en importør finder eller har grund til at tro, at et EPJ-system ikke eller ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42, må vedkommende først gøre det pågældende EPJ-system tilgængeligt på markedet, efter at det er blevet bragt i overensstemmelse, eller, hvis det pågældende EPJ-system allerede var bragt i omsætning, tilbagekalde eller tilbagetrække det. I tilfælde af en sådan tilbagekaldelse eller tilbagetrækning underretter importøren uden unødigt ophold fabrikanten af et sådant EPJ-system, brugerne og markedsovervågningsmyndighederne i den medlemsstat, hvor EPJ-systemet er gjort tilgængeligt på markedet, om en sådan tilbagekaldelse eller tilbagetrækning og giver nærmere oplysninger om navnlig den manglende overensstemmelse og om eventuelle trufne korrigerende foranstaltninger.
Hvis en importør mener eller har grund til at tro, at et EPJ-system udgør en risiko for fysiske personers sundhed eller sikkerhed, underretter den pågældende uden unødigt ophold markedsovervågningsmyndighederne i den medlemsstat, hvor vedkommende er etableret, samt fabrikanten og, hvor det er relevant, den bemyndigede repræsentant.
6.   Importørerne opbevarer en kopi af EU-overensstemmelseserklæringen, så den står til rådighed for markedsovervågningsmyndighederne i den i artikel 30, stk. 3, omhandlede periode, og sikrer, at den i artikel 37 omhandlede tekniske dokumentation kan forelægges disse myndigheder, hvis de anmoder herom.
7.   Importørerne giver på grundlag af en begrundet anmodning fra markedsovervågningsmyndighederne i de berørte medlemsstater al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse. Importørerne samarbejder med disse myndigheder, hvis de anmoder herom, og med fabrikanten og, hvor det er relevant, med den bemyndigede repræsentant på et officielt sprog i den medlemsstat, hvor markedsovervågningsmyndigheden er beliggende. Importørerne samarbejder med disse myndigheder, hvis de anmoder herom, om ethvert tiltag, der træffes for at bringe deres EPJ-systemer i overensstemmelse med de væsentlige krav i forbindelse med de harmoniserede softwarekomponenter som fastlagt i bilag II, eller for at sikre, at de EPJ-systemer, som ikke er i overensstemmelse med disse væsentlige krav, tilbagekaldes eller tilbagetrækkes.
8.   Importørerne etablerer indberetningskanaler og sikrer, at de er tilgængelige, så de giver brugerne mulighed for at indgive klager, og fører et register over klager, EPJ-systemer, der ikke opfylder kravene, og tilbagekaldelser og tilbagetrækninger af EPJ-systemer. Importørerne kontrollerer, om de klagekanaler, der er etableret i henhold til artikel 30, stk. 1, litra n), er offentligt tilgængelige, så brugerne kan indgive klager og modtage enhver meddelelse vedrørende enhver risiko i forbindelse med deres sundhed og sikkerhed eller om andre aspekter af beskyttelsen af offentlige interesser og giver brugerne mulighed for at blive underrettet om enhver alvorlig hændelse, der involverer et EPJ-system. Hvis sådanne klagekanaler ikke er etableret, skal importørerne etablere dem under hensyntagen til udsatte gruppers og personer med handicaps behov for tilgængelighed.
9.   Importørerne undersøger klager og følger op på modtagne oplysninger om hændelser, der involverer et EPJ-system, som de har gjort tilgængeligt på markedet. Importørerne registrerer disse klager, eventuelle tilbagekaldelser eller tilbagetrækninger af EPJ-systemer og eventuelle korrigerende foranstaltninger, der er truffet for at bringe EPJ-systemet i overensstemmelse, i det i artikel 30, stk. 1, litra o), omhandlede register eller i deres eget interne register. Importørerne holder fabrikanten, distributørerne og, hvor det er relevant, de bemyndigede repræsentanter rettidigt underrettet om den gennemførte undersøgelse og opfølgning og om resultaterne af undersøgelsen og opfølgningen.
Artikel 33
Distributørens forpligtelser
1.   Inden et EPJ-system gøres tilgængelig på markedet, kontrollerer distributørerne, at:
a)
fabrikanten har udarbejdet EU-overensstemmelseserklæringen
b)
EPJ-systemet er forsynet med CE-overensstemmelsesmærkning
c)
EPJ-systemet ledsages af det i artikel 38 omhandlede oplysningsskema med klare og fuldstændige brugsanvisninger i tilgængelige formater
d)
importøren har opfyldt kravene fastsat i artikel 32, stk. 3, hvis det er relevant.
2.   Distributørerne sikrer, at EPJ-systemet ikke ændres på en sådan måde, at dets overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42 bringes i fare, når et EPJ-system er under deres ansvar.
3.   Hvis en distributør finder eller har grund til at tro, at et EPJ-system ikke er i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42, må vedkommende først gøre EPJ-systemet tilgængeligt på markedet, efter at det er blevet bragt i overensstemmelse. Distributøren underretter uden unødig ophold fabrikanten eller importøren samt markedsovervågningsmyndighederne i de medlemsstater, hvor EPJ-systemet er gjort eller skal gøres tilgængeligt på markedet, herom. Hvis en distributør mener eller har grund til at tro, at et EPJ-system udgør en risiko for fysiske personers sundhed eller sikkerhed, underretter vedkommende markedsovervågningsmyndighederne i den medlemsstat, hvor distributøren er etableret, samt fabrikanten og importøren.
4.   Distributørerne giver på grundlag af en markedsovervågningsmyndigheds begrundede anmodning den al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse. De samarbejder med denne myndighed, hvis den anmoder herom, og med fabrikanten, importøren og, hvor det er relevant, med fabrikantens bemyndigede repræsentant om ethvert tiltag, der træffes for at bringe et EPJ-system i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42 eller for at tilbagekalde eller tilbagetrække det.
Artikel 34
Tilfælde, hvor forpligtelser for fabrikanter af et EPJ-system gælder for andre enheder eller enkeltpersoner
En importør, distributør eller bruger anses med henblik på denne forordning for at være en fabrikant og er underlagt de i artikel 30 fastsatte forpligtelser, hvis de:
a)
gør et EPJ-system tilgængeligt på markedet under eget navn eller varemærke
b)
ændrer et EPJ-system, der allerede er bragt i omsætning, på en sådan måde, at overensstemmelsen med de gældende krav muligvis kan blive påvirket, eller
c)
ændrer et EPJ-system, på en sådan måde at det fører til ændringer i det erklærede formål som angivet af fabrikanten.
Artikel 35
Identifikation af erhvervsdrivende
Efter anmodning skal erhvervsdrivende over for markedsovervågningsmyndighederne i 10 år fra den dato, hvor det seneste EPJ-system, der er omfattet af EU-overensstemmelseserklæringen, er blevet bragt i omsætning, identificere følgende:
a)
enhver erhvervsdrivende, som har leveret et EPJ-system til dem, og
b)
enhver erhvervsdrivende, som de har leveret et EPJ-system til.
AFDELING 3
Overensstemmelse af de harmoniserede softwarekomponenter i EPJ-systemer
Artikel 36
Fælles specifikationer
1.   Senest den 26. marts 2027 vedtager Kommissionen ved hjælp af gennemførelsesretsakter fælles specifikationer for så vidt angår de væsentlige krav, der er fastlagt i bilag II, herunder en fælles standardmodel og en frist for gennemførelsen af disse fælles specifikationer. Hvor det er relevant, tager disse fælles specifikationer hensyn til de særlige forhold, der gør sig gældende for medicinsk udstyr og højrisiko-AI-systemer, jf. artikel 27, stk. 1 og 2, herunder de nyeste standarder for sundhedsinformatik og det europæiske format for udveksling af elektroniske patientjournaler. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   De i stk. 1 omhandlede fælles specifikationer, omfatter følgende oplysninger og elementer:
a)
deres anvendelsesområde
b)
deres anvendelse på forskellige kategorier af EPJ-systemer eller funktioner, der indgår i dem
c)
deres version
d)
deres gyldighedsperiode
e)
en normativ del
f)
en forklarende del, herunder eventuelle relevante retningslinjer for gennemførelsen.
3.   De i stk. 1 omhandlede fælles specifikationer kan omfatte oplysninger om følgende:
a)
datasæt, der indeholder elektroniske sundhedsdata og definerer strukturer såsom datafelter og datagrupper for beskrivelse af klinisk indhold og andre dele af de elektroniske sundhedsdata
b)
kodningssystemer og -værdier, der skal anvendes i datasæt, der indeholder elektroniske sundhedsdata, under behørig hensyntagen til både potentiel fremtidig harmonisering af terminologierne og deres forenelighed med eksisterende nationale terminologier
c)
andre krav vedrørende datakvalitet, såsom elektroniske sundhedsdatas fuldstændighed og nøjagtighed
d)
tekniske specifikationer, standarder og profiler for udveksling af elektroniske sundhedsdata
e)
krav og principper vedrørende patientsikkerhed og sikkerhed, fortrolighed, integritet og beskyttelse af elektroniske sundhedsdata
f)
specifikationer og krav vedrørende identifikationsstyring og anvendelse af elektronisk identifikation.
4.   De i artikel 25 og 27 omhandlede EPJ-systemer, medicinske udstyr, medicinske udstyr til in vitro-diagnostik og højrisiko-AI-systemer, som er i overensstemmelse med de i nærværende artikels stk. 1 omhandlede fælles specifikationer, anses for at være i overensstemmelse med de væsentlige krav, der er omfattet af disse fælles specifikationer eller dele deraf, der er fastlagt i bilag II, og som er omfattet af disse fælles specifikationer eller de relevante dele deraf.
5.   Hvis fælles specifikationer, der dækker interoperabilitets- og sikkerhedskrav for EPJ-systemer, påvirker medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer, der er omfattet af andre retsakter, såsom forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, kan der forud for vedtagelsen af disse fælles specifikationer foretages en høring af Koordinationsgruppen for Medicinsk Udstyr (MDCG), der er nedsat ved artikel 103 i forordning (EU) 2017/745, eller Det Europæiske Udvalg for Kunstig Intelligens, der er nedsat ved artikel 65 i forordning (EU) 2024/1689, og Det Europæiske Databeskyttelsesråd, alt efter hvad der er relevant.
6.   Hvis fælles specifikationer, der dækker interoperabilitets- og sikkerhedskrav for medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer, der er omfattet af andre retsakter, såsom forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, påvirker EPJ-systemer, sikrer Kommissionen, at der forud for vedtagelsen af disse fælles specifikationer er foretaget en høring af udvalget for det europæiske sundhedsdataområde og Det Europæiske Databeskyttelsesråd, alt efter hvad der er relevant.
Artikel 37
Teknisk dokumentation
1.   Fabrikanterne udarbejder den tekniske dokumentation, inden EPJ-systemet bringes i omsætning eller tages i brug, og holder denne dokumentation ajour.
2.   Den i denne artikels stk. 1 omhandlede tekniske dokumentation skal godtgøre, at EPJ-systemet overholder de væsentlige krav fastlagt i bilag II og give markedsovervågningsmyndighederne alle de oplysninger, der er nødvendige for at vurdere EPJ-systemets overensstemmelse med disse krav. Denne tekniske dokumentation skal som minimum indeholde de i bilag III fastsatte elementer og en henvisning til de resultater, der er opnået fra et europæisk digitalt testmiljø, jf. artikel 40.
3.   Den i stk. 1 omhandlede tekniske dokumentation skal udfærdiges på et officielt sprog i den pågældende medlemsstat eller på et sprog, der er letforståeligt i denne medlemsstat. Efter begrundet anmodning fra markedsovervågningsmyndigheden i en medlemsstat fremskaffer fabrikanten en oversættelse af de relevante dele af den tekniske dokumentation til et officielt sprog i den pågældende medlemsstat.
4.   Hvis en markedsovervågningsmyndighed anmoder fabrikanten om den tekniske dokumentation eller en oversættelse af dele heraf, forelægger fabrikanten en sådan teknisk dokumentation eller oversættelse senest 30 dage efter datoen for anmodningen, medmindre en kortere frist er berettiget på grund af en alvorlig eller umiddelbar risiko. Hvis fabrikanten ikke opfylder kravene i denne artikels stk. 1, 2 og 3, kan markedsovervågningsmyndigheden kræve, at fabrikanten får foretaget en test for egen regning af et uafhængigt organ inden for en nærmere fastsat frist for at verificere overensstemmelsen med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer.
Artikel 38
Oplysningsskema, der ledsager EPJ-systemet
1.   EPJ-systemer ledsages af et oplysningsskema, som indeholder kortfattede, fuldstændige, korrekte og klare oplysninger, som er relevante, tilgængelige og forståelige for professionelle brugere.
2.   Det i stk. 1 omhandlede oplysningsskema angiver:
a)
benævnelse, registreret firmanavn eller registreret varemærke og kontaktoplysninger for fabrikanten og, hvis det er relevant, for dennes bemyndigede repræsentant
b)
navnet på og versionen af EPJ-systemet og datoen for dets frigivelse
c)
EPJ-systemets erklærede formål
d)
de kategorier af elektroniske sundhedsdata, som EPJ-systemet er designet til at behandle
e)
standarder, formater og specifikationer, der understøttes af EPJ-systemet, samt versioner af disse standarder, formater og specifikationer.
3.   Som et alternativ til at levere det i denne artikels stk. 1 omhandlede oplysningsskema med EPJ-systemet kan fabrikanterne indføre de i denne artikels stk. 2 omhandlede oplysninger i EU-databasen for registrering af EPJ-systemer og wellnessapplikationer, jf. artikel 49.
Artikel 39
EU-overensstemmelseserklæring
1.   Det skal af den i artikel 30, stk. 1, litra e), omhandlede EU-overensstemmelseserklæring fremgå, at fabrikanten af et EPJ-system har godtgjort, at de væsentlige krav fastlagt i bilag II er opfyldt.
2.   Hvis et EPJ-system for så vidt angår aspekter, der ikke er omfattet af denne forordning, er undergivet andre EU-retsakter, som også kræver, at fabrikanten afgiver en EU-overensstemmelseserklæring, hvori det er godtgjort, at kravene i disse retsakter er opfyldt, udarbejdes der én enkelt EU-overensstemmelseserklæring for alle EU-retsakter, der finder anvendelse på EPJ-systemet. Denne EU-overensstemmelseserklæring skal indeholde alle de oplysninger, der er påkrævet for at identificere, hvilke EU-retsakter den vedrører.
3.   EU-overensstemmelseserklæringen skal indeholde de oplysninger, der er anført i bilag IV, og skal oversættes til et eller flere af de officielle EU-sprog, der kræves af de medlemsstater, hvori EPJ-systemet gøres tilgængeligt.
4.   Hvis en EU-overensstemmelseserklæring udarbejdes i et digitalt format, gøres den tilgængelig online i EPJ-systemets forventede levetid og under alle omstændigheder i mindst 10 år efter, at EPJ-systemet er bragt i omsætning eller taget i brug.
5.   Ved at udarbejde EU-overensstemmelseserklæringen står fabrikanten inde for, at de harmoniserede softwarekomponenter i EPJ-systemet overholder de krav, der er fastsat i denne forordning, når det bringes i omsætning eller tages i brug.
6.   Kommissionen offentliggør en ensartet standardmodel til EU-overensstemmelseserklæringen og gør den tilgængelig i digitalt format på alle Unionens officielle sprog.
Artikel 40
Europæisk digitalt testmiljø
1.   Kommissionen udvikler et europæisk digitalt testmiljø til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Kommissionen stiller den software, der understøtter det europæiske digitale testmiljø, til rådighed som open source.
2.   Medlemsstaterne driver digitale testmiljøer til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Sådanne digitale testmiljøer skal være i overensstemmelse med de fælles specifikationer for det europæiske digitale testmiljø, der er fastsat i henhold til stk. 4. Medlemsstaterne underretter Kommissionen om deres digitale testmiljøer.
3.   Inden fabrikanter bringer EPJ-systemer i omsætning, anvender de de i denne artikels stk. 1 og 2 omhandlede digitale testmiljøer til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Resultaterne af denne vurdering skal indgå i den i artikel 37 omhandlede tekniske dokumentation. De elementer, for hvilke resultaterne af vurderingen er positive, formodes at være i overensstemmelse med denne forordning.
4.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de fælles specifikationer for europæiske digitale testmiljøer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 41
CE-overensstemmelsesmærkning
1.   CE-overensstemmelsesmærkningen anbringes på de dokumenter, der ledsager EPJ-systemet, og, hvor det er relevant, på EPJ-systemets emballage, så den er synlig, let læselig og ikke kan slettes.
2.   CE-overensstemmelsesmærkningen påsættes, inden EPJ-systemet gøres tilgængeligt på markedet.
3.   CE-overensstemmelsesmærkningen er underkastet de generelle principper i artikel 30 i forordning (EF) nr. 765/2008.
Artikel 42
Nationale krav og rapportering til Kommissionen
1.   Medlemsstaterne kan vedtage nationale krav til EPJ-systemer og bestemmelser om deres overensstemmelsesvurdering i forbindelse med andre aspekter end de harmoniserede softwarekomponenter i EPJ-systemer.
2.   De i stk. 1 omhandlede nationale krav eller bestemmelser må ikke påvirke de harmoniserede softwarekomponenter i EPJ-systemer negativt.
3.   Når medlemsstaterne vedtager krav eller bestemmelser i overensstemmelse med stk. 1, underretter de Kommissionen derom.
AFDELING 4
Markedsovervågning af EPJ-systemer
Artikel 43
Markedsovervågningsmyndigheder
1.   Forordning (EU) 2019/1020 finder anvendelse på EPJ-systemer i forbindelse med de krav, der finder anvendelse på, og de risici som er forbundet med, EPJ-systemer omfattet af dette kapitel.
2.   Medlemsstaterne udpeger den eller de markedsovervågningsmyndigheder, der er ansvarlige for gennemførelsen af dette kapitel. Medlemsstaterne giver deres markedsovervågningsmyndigheder de nødvendige beføjelser og forsyner dem med de menneskelige, finansielle og tekniske ressourcer, det udstyr og den viden, der er nødvendig, for at de kan udføre deres opgaver korrekt i henhold til denne forordning. Markedsovervågningsmyndighederne tillægges beføjelser til at træffe de markedsovervågningsforanstaltninger, der er omhandlet i artikel 16 i forordning (EU) 2019/1020, for at håndhæve de forpligtelser, der er fastsat i dette kapitel. Medlemsstaterne meddeler benævnelsen af de markedsovervågningsmyndigheder, de udpeger, til Kommissionen. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
3.   Markedsovervågningsmyndigheder, der er udpeget i henhold til denne artikels stk. 2, kan være de samme myndigheder som de digitale sundhedsmyndigheder, der er udpeget i henhold til artikel 19. Hvis en digital sundhedsmyndighed udfører opgaver som en markedsovervågningsmyndighed, skal medlemsstaterne sikre, at eventuelle interessekonflikter undgås.
4.   Markedsovervågningsmyndighederne aflægger årligt rapport til Kommissionen om resultaterne af relevante markedsovervågningsaktiviteter.
5.   Hvis en fabrikant eller en anden erhvervsdrivende ikke samarbejder med en markedsovervågningsmyndighed, eller hvis den information og dokumentation de har leveret er ufuldstændig eller forkert, kan markedsovervågningsmyndigheden træffe alle passende foranstaltninger for at forbyde eller begrænse, at det relevante EPJ-system bringes i omsætning, indtil fabrikanten eller den pågældende erhvervsdrivende samarbejder eller fremlægger fuldstændig og korrekt information, eller for at tilbagekalde eller tilbagetrække et sådant EPJ-system fra markedet.
6.   Medlemsstaternes markedsovervågningsmyndigheder samarbejder med hinanden og med Kommissionen. Kommissionen muliggør tilrettelæggelse af den udveksling af oplysninger, der er nødvendig for sådant samarbejde.
7.   For det i artikel 27, stk. 1 og 2, omhandlede medicinske udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer er de ansvarlige myndigheder for markedsovervågning dem, der er omhandlet i artikel 93 i forordning (EU) 2017/745, artikel 88 i forordning (EU) 2017/746 eller artikel 70 i forordning (EU) 2024/1689, alt efter hvad der er relevant.
Artikel 44
Håndtering af risici i forbindelse med EPJ-systemer og alvorlige hændelser
1.   Hvis en markedsovervågningsmyndighed i en medlemsstat har grund til at antage, at et EPJ-system udgør en risiko for fysiske personers sundhed, sikkerhed eller rettigheder eller for beskyttelsen af personoplysninger, foretager markedsovervågningsmyndigheden en evaluering vedrørende det pågældende EPJ-system, som omfatter alle de relevante krav, der er fastlagt i denne forordning. Fabrikanten, fabrikantens bemyndigede repræsentant og alle andre relevante erhvervsdrivende samarbejder i nødvendigt omfang med markedsovervågningsmyndighederne med henblik herpå og træffer alle nødvendige foranstaltninger for at sikre, at det pågældende EPJ-system ikke længere udgør denne risiko, når det bringes i omsætning, eller for at tilbagekalde eller tilbagetrække EPJ-systemet fra markedet inden for en rimelig frist.
2.   Hvis en medlemsstats markedsovervågningsmyndigheder konstaterer, at den manglende overensstemmelse af EPJ-systemet ikke er begrænset til deres nationale område, underretter de Kommissionen og de øvrige medlemsstaters markedsovervågningsmyndigheder om resultaterne af den i denne artikels stk. 1 omhandlede evaluering og om de korrigerende tiltag, de har pålagt den erhvervsdrivende at træffe i henhold til artikel 16, stk. 2, i forordning (EU) 2019/1020.
3.   Hvis en markedsovervågningsmyndighed finder, at et EPJ-system har forårsaget skade på fysiske personers sundhed eller sikkerhed eller på visse aspekter af beskyttelsen af samfundsinteresser, stiller fabrikanten straks information og dokumentation, alt efter hvad der er relevant, til rådighed for den berørte fysiske person eller bruger og, hvis det er relevant, for andre tredjeparter, der er berørt af den pågældende skade, uden at dette berører databeskyttelsesreglerne.
4.   Den pågældende erhvervsdrivende, der er omhandlet i stk. 1, sikrer, at der iværksættes alle fornødne korrigerende tiltag over for alle de pågældende EPJ-systemer, som denne har gjort tilgængelige på markedet i hele Unionen.
5.   Markedsovervågningsmyndigheden underretter uden unødigt ophold Kommissionen og andre medlemsstaters markedsovervågningsmyndigheder eller, hvis det er relevant, tilsynsmyndigheder i henhold til forordning (EU) 2016/679 om de i stk. 2 omhandlede korrigerende tiltag. Denne underretning skal indeholde alle tilgængelige oplysninger, navnlig de nødvendige data til identifikation af det pågældende EPJ-system, EPJ-systemets oprindelse og forsyningskæde, arten af den pågældende risiko og arten og varigheden af de trufne nationale foranstaltninger.
6.   Hvis et forhold konstateret af en markedsovervågningsmyndighed eller en alvorlig hændelse, som denne informeres om, vedrører beskyttelsen af personoplysninger underretter den pågældende markedsovervågningsmyndighed uden unødigt ophold de relevante tilsynsmyndigheder i henhold til forordning (EU) 2016/679 og samarbejder med disse.
7.   Fabrikanter af EPJ-systemer, der bringes i omsætning eller tages i brug, indberetter alle alvorlige hændelser, der involverer et EPJ-system, til markedsovervågningsmyndighederne i de medlemsstater, hvor en sådan alvorlig hændelse fandt sted, og til markedsovervågningsmyndighederne i den medlemsstat, hvor sådanne EPJ-systemer bringes i omsætning eller tages i brug. Indberetningen skal også omfatte en beskrivelse af de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte. Medlemsstaterne kan fastsætte bestemmelser om, at brugere af EPJ-systemer, der bringes i omsætning eller tages i brug, skal kunne indberette sådanne hændelser.
Den indberetning, der kræves i henhold til dette stykkes første afsnit, foretages, uden at det berører kravene til underretning om hændelsen i henhold til direktiv (EU) 2022/2555, umiddelbart efter, at fabrikanten har fastslået en årsagssammenhæng mellem EPJ-systemet og den alvorlige hændelse eller rimelig sandsynlighed for en sådan sammenhæng, og under alle omstændigheder senest tre dage efter, at fabrikanten har fået kendskab til den alvorlige hændelse, der involverer EPJ-systemet.
8.   De i stk. 7 omhandlede markedsovervågningsmyndigheder underretter straks de øvrige markedsovervågningsmyndigheder om den alvorlige hændelse og de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte eller er forpligtet til at iværksætte for at minimere risikoen for gentagelse af den alvorlige hændelse.
9.   Hvis dens opgaver ikke udføres af den digitale sundhedsmyndighed, samarbejder markedsovervågningsmyndigheden med den digitale sundhedsmyndighed. Markedsovervågningsmyndigheden underretter den digitale sundhedsmyndighed om alle alvorlige hændelser, om EPJ-systemer, der udgør en risiko, herunder risici vedrørende interoperabilitet, sikkerhed og patientsikkerhed, om eventuelle korrigerende tiltag og om eventuel tilbagekaldelse eller tilbagetrækning af sådanne EPJ-systemer.
10.   I tilfælde af hændelser, der bringer patientsikkerheden eller informationssikkerheden i fare, kan markedsovervågningsmyndighederne iværksætte øjeblikkelige tiltag og kræve, at fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og andre erhvervsdrivende iværksætter øjeblikkelige korrigerende tiltag.
Artikel 45
Håndtering af manglende overholdelse
1.   Hvis en markedsovervågningsmyndighed konstaterer manglende overholdelse, pålægger den fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og alle andre relevante erhvervsdrivende, inden for en bestemt frist at iværksætte passende korrigerende tiltag til at bringe EPJ-systemet i overensstemmelse med kravene. Sådanne konstateringer af manglende overholdelse omfatter, men er ikke begrænset til, følgende:
a)
EPJ-systemet er ikke i overensstemmelse med de væsentlige krav fastlagt i bilag II eller med de i artikel 36 omhandlede fælles specifikationer
b)
den tekniske dokumentation er ikke til rådighed, ikke fuldstændig eller er ikke i overensstemmelse med artikel 37
c)
der er ikke udarbejdet en EU-overensstemmelseserklæring, eller den er ikke udarbejdet korrekt i overensstemmelse med artikel 39
d)
CE-overensstemmelsesmærkningen er anbragt i strid med artikel 41 eller er ikke anbragt
e)
de i artikel 49 omhandlede registreringsforpligtelser er ikke blevet opfyldt.
2.   Hvis den pågældende fabrikant af EPJ-systemet, dens bemyndigede repræsentant eller eventuelle andre relevante erhvervsdrivende ikke iværksætter de fornødne korrigerende tiltag inden for et rimeligt tidsrum, træffer markedsovervågningsmyndighederne de nødvendige foreløbige foranstaltninger for at forbyde eller begrænse, at EPJ-systemet bringes i omsætning på deres medlemsstaters marked, eller for at tilbagekalde eller trække EPJ-systemet tilbage fra dette marked.
Markedsovervågningsmyndighederne underretter uden ophold Kommissionen og de øvrige medlemsstaters markedsovervågningsmyndigheder om disse midlertidige foranstaltninger. Disse oplysninger skal indeholde alle tilgængelige oplysninger, navnlig de nødvendige data til identifikation af det EPJ-system, der ikke opfylder kravene, det pågældende EPJ-systems oprindelse, karakteren af den påståede manglende overensstemmelse og af den involverede risiko, karakteren og varigheden af de foranstaltninger, som markedsovervågningsmyndighederne har truffet, samt de synspunkter, som den relevante erhvervsdrivende har fremsat. Markedsovervågningsmyndighederne angiver navnlig, om den manglende opfyldelse af kravene skyldes:
a)
EPJ-systemets manglende opfyldelse af de væsentlige krav fastlagt i bilag II
b)
mangler vedrørende de i artikel 36 omhandlede fælles specifikationer.
3.   De andre markedsovervågningsmyndigheder end de markedsovervågningsmyndigheder, der har indledt proceduren i henhold til denne artikel, underretter straks Kommissionen og de andre medlemsstaters markedsovervågningsmyndigheder om eventuelle trufne foranstaltninger, om yderligere oplysninger, som de måtte råde over, om det pågældende EPJ-systems manglende overensstemmelse og om deres indvendinger, hvis de ikke er indforstået med den trufne nationale foranstaltning.
4.   Hvis der ikke inden for tre måneder efter modtagelsen af de i stk. 2, andet afsnit, omhandlede oplysninger er blevet gjort indsigelse af en markedsovervågningsmyndighed fra en anden medlemsstat eller Kommissionen mod en foreløbig foranstaltning truffet af en markedsovervågningsmyndighed, anses foranstaltningen for at være berettiget.
5.   Hvis den i stk. 1 omhandlede manglende overensstemmelse varer ved, træffer den pågældende markedsovervågningsmyndighed alle nødvendige foranstaltninger til at forbyde eller begrænse, at det pågældende EPJ-system bringes i omsætning, eller sikre, at det tilbagekaldes eller trækkes tilbage fra markedet.
Artikel 46
Beskyttelsesprocedure
på
EU-plan
1.   Hvis der i henhold til artikel 44, stk. 2, og artikel 45, stk. 3, gøres indsigelse mod en national foranstaltning truffet af en markedsovervågningsmyndighed, eller hvis Kommissionen finder, at en national foranstaltning er i strid med EU-retten, drøfter Kommissionen straks spørgsmålet med denne markedsovervågningsmyndighed og de relevante erhvervsdrivende og evaluerer den pågældende nationale foranstaltning. På grundlag af resultaterne af denne evaluering vedtager Kommissionen en gennemførelses afgørelse, der fastslår, hvorvidt den nationale foranstaltning er berettiget. Denne gennemførelsesafgørelse vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen retter sin gennemførelsesafgørelse til alle medlemsstaterne og meddeler den straks til medlemsstaterne og til de relevante erhvervsdrivende.
2.   Hvis den i stk. 1 omhandlede nationale foranstaltning anses for at være berettiget af Kommissionen, træffer de berørte medlemsstater de nødvendige foranstaltninger for at sikre, at det EPJ-system, der ikke er i overensstemmelse, trækkes tilbage fra deres marked, og underretter Kommissionen herom.
Hvis den i stk. 1 omhandlede nationale foranstaltning anses for at være uberettiget af Kommissionen, ophæver den pågældende medlemsstat denne foranstaltning.
AFDELING 5
Andre bestemmelser om interoperabilitet
Artikel 47
Mærkning af wellnessapplikationer
1.   Hvis en fabrikant af en wellnessapplikation hævder, at den er interoperabel med et EPJ-system i forbindelse med de harmoniserede softwarekomponenter i EPJ-systemer, og at de i artikel 36 omhandlede fælles specifikationer og de væsentlige krav fastlagt i bilag II er opfyldt, skal en sådan wellnessapplikation ledsages af et mærke, der tydeligt viser, at den opfylder disse specifikationer og krav. Dette mærke udstedes af fabrikanten af wellnessapplikationen.
2.   Følgende oplysninger skal fremgå af det i stk. 1 omhandlede mærke:
a)
kategorierne af elektroniske sundhedsdata, for hvilke det er bekræftet, at de væsentlige krav fastlagt i bilag II er opfyldt
b)
en henvisning til fælles specifikationer for at påvise overensstemmelse
c)
mærkningens gyldighedsperiode.
3.   Kommissionen fastlægger ved hjælp af gennemførelsesretsakter det i stk. 1 omhandlede mærkes format og indhold. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
4.   Mærket udfærdiges på et eller flere af Unionens officielle sprog eller på et letforståeligt sprog, som den medlemsstat, hvor wellnessapplikationen bringes i omsætning eller tages i brug, fastsætter.
5.   Mærkets gyldighed må ikke overstige tre år.
6.   Hvis wellnessapplikationen er en integrerende del af et udstyr eller indgår i et udstyr efter dets ibrugtagning, skal det ledsagende mærke vises i selve applikationen eller anbringes på dette udstyr. Hvis wellnessapplikationen kun består af software, skal mærket have et digitalt format og vises i selve applikationen. Todimensionelle stregkoder (2D) kan også anvendes til at vise mærket.
7.   Markedsovervågningsmyndighederne kontrollerer, at wellnessapplikationerne opfylder de væsentlige krav fastlagt i bilag II.
8.   Hver leverandør af en wellnessapplikation, for hvilken der er udstedt et mærke, skal sikre, at den wellnessapplikation, der bringes i omsætning eller tages i brug, gratis ledsages af mærket for hver enkelt enhed.
9.   Hver distributør af en wellnessapplikation, for hvilken der er udstedt et mærke, skal stille mærket til rådighed for kunderne på salgsstedet i elektronisk form.
Artikel 48
Wellnessapplikationers interoperabilitet med EPJ-systemer
1.   Fabrikanter af wellnessapplikationer kan hævde, at de er interoperable med et EPJ-system, forudsat at de relevante fælles specifikationer og væsentlige krav omhandlet i henholdsvis artikel 36 og bilag II er opfyldt. I tilfælde af en sådan påstand informerer disse fabrikanter på behørig vis brugerne om interoperabiliteten af sådanne wellnessapplikationer og virkningerne af en sådan interoperabilitet.
2.   Wellnessapplikationers interoperabilitet med EPJ-systemer betyder ikke, at alle eller en del af sundhedsdataene fra wellnessapplikationen automatisk deles med eller automatisk overføres til EPJ-systemet. Deling eller overførsel af sådanne data er kun mulig, hvis det er i overensstemmelse med artikel 5, og efter at den berørte fysiske person har givet samtykke, og interoperabiliteten skal strengt begrænses til disse formål. Fabrikanter af wellnessapplikationer, der hævder, at deres applikationer er interoperable med et EPJ-system, sikrer, at den berørte fysiske person er i stand til at vælge, hvilke kategorier af sundhedsdataene fra wellnessapplikationen, der skal indsættes i EPJ-systemet, og omstændighederne omkring delingen eller overførslen af disse datakategorier.
AFDELING 6
Registrering af EPJ-systemer og wellnessapplikationer
Artikel 49
EU-database for registrering af EPJ-systemer og wellnessapplikationer
1.   Kommissionen opretter og fører en offentligt tilgængelig EU-database med data om EPJ-systemer, for hvilke der er udstedt en EU-overensstemmelseserklæring i henhold til artikel 39, og wellnessapplikationer, for hvilke der er udstedt et mærke i henhold til artikel 47 (»EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer«).
2.   Inden et EPJ-system, jf. artikel 26, eller en wellnessapplikation, jf. artikel 47, bringes i omsætning eller tages i brug, indfører fabrikanten af et sådant EPJ-system eller en sådan wellnessapplikation eller i givet fald dennes bemyndigede repræsentant de krævede data som omhandlet i nærværende artikels stk. 4 i EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer, herunder, når der er tale om EPJ-systemer, resultaterne af vurderingen omhandlet i artikel 40.
3.   Medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer som omhandlet i denne forordnings artikel 27, stk. 1 og 2, registreres også i de databaser, der er oprettet i henhold til forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, alt efter hvad der er relevant. I sådanne tilfælde fremsendes de data, der skal indføres, også til EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer.
4.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 med henblik på at supplere denne forordning ved at fastlægge listen over de data, der skal indføres i EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer af fabrikanterne af EPJ-systemer og wellnessapplikationer i henhold til nærværendes artikels stk. 2.
KAPITEL IV
SEKUNDÆR ANVENDELSE
AFDELING 1
Almindelige betingelser for sekundær anvendelse
Artikel 50
Anvendelse på
sundhedsdataindehaver
e
1.   Følgende kategorier af sundhedsdataindehavere er fritaget for de forpligtelser for sundhedsdataindehavere, der er fastlagt i dette kapitel:
a)
fysiske personer, herunder individuelle forskere
b)
juridiske personer, der er mikrovirksomheder som defineret i artikel 2, stk. 3, i bilaget til henstilling 2003/361/EF.
2.   Medlemsstaterne kan fastsætte i deres nationale ret, at de forpligtelser for sundhedsdataindehavere, der er fastsat i dette kapitel, finder anvendelse på de i stk. 1 omhandlede sundhedsdataindehavere, der henhører under deres jurisdiktion.
3.   Medlemsstaterne kan fastsætte i deres nationale ret, at visse kategorier af sundhedsdataindehaveres opgaver skal varetages af sundhedsdataformidlingsenheder. I så fald anses dataene ikke desto mindre for at være til rådighed fra flere sundhedsdataindehavere.
4.   Medlemsstaterne meddeler Kommissionen den i stk. 2 og 3 omhandlede nationale ret senest den 26. marts 2029. Eventuelle senere bestemmelser eller ændringer, der berører en sådan ret, meddeles straks til Kommissionen.
Artikel 51
Kategorier af elektroniske sundhedsdata til sekundær anvendelse, der som minimum skal indgå
1.   Sundhedsdataindehavere stiller følgende kategorier af elektroniske sundhedsdata til rådighed til sekundær anvendelse i overensstemmelse med dette kapitel:
a)
elektroniske sundhedsdata fra EPJ'er
b)
data om faktorer, der påvirker sundheden, herunder socioøkonomiske, miljømæssige og adfærdsmæssige sundhedsdeterminanter
c)
aggregerede data om behov for sundhedsydelser, ressourcer afsat til sundhedsydelser, levering af og adgang til sundhedsydelser, sundhedsudgifter og finansiering
d)
data om patogener, der påvirker menneskers sundhed
e)
sundhedsydelsesrelaterede administrative data, herunder oplysninger om dispensationer, refusionskrav og refusion
f)
genetiske, epigenomiske og genomiske data om mennesker
g)
andre menneskelige molekylære data såsom proteomiske transkriptomiske, metabolomiske, lipidomiske og andre omiske data
h)
personlige elektroniske sundhedsdata, der er automatisk genererede gennem medicinsk udstyr
i)
data fra wellnessapplikationer
j)
data vedrørende professionel status og vedrørende specialisering og institution for sundhedsprofessionelle, der er involveret i behandlingen af en fysisk person
k)
data fra sundhedsdataregistre over befolkningen såsom offentlige sundhedsregistre
l)
data fra medicinske registre og registre over dødelighed
m)
data fra kliniske forsøg, kliniske undersøgelser, kliniske afprøvninger og undersøgelser vedrørende ydeevne, der er omfattet af forordning (EU) nr. 536/2014, Europa-Parlamentets og Rådets forordning (EU) 2024/1938 
(
35
)
, (EU) 2017/745 og (EU) 2017/746
n)
andre sundhedsdata fra medicinsk udstyr
o)
data fra registre for lægemidler og medicinsk udstyr
p)
data fra forskningskohorter, spørgeskemaer og undersøgelser vedrørende sundhed efter den første offentliggørelse af de relaterede resultater
q)
sundhedsdata fra biobanker og tilhørende databaser.
2.   Medlemsstaterne kan fastsætte i deres nationale ret, at yderligere kategorier af elektroniske sundhedsdata skal stilles til rådighed til sekundær anvendelse i henhold til denne forordning.
3.   Medlemsstaterne kan fastsætte regler for behandling og anvendelse af elektroniske sundhedsdata, der indeholder forbedringer i forbindelse med behandling af disse data, såsom korrektion, anmærkning eller berigelse, på grundlag af en datatilladelse i henhold til artikel 68.
4.   Medlemsstaterne kan indføre strengere foranstaltninger og yderligere garantier på nationalt plan med henblik på at beskytte følsomheden og værdien af de data, der er omfattet af stk. 1, litra f), g), i) og q). Medlemsstaterne giver straks Kommissionen meddelelse om disse foranstaltninger og garantier og om alle senere ændringer, der berører dem.
Artikel 52
Intellektuelle ejendomsrettigheder og forretningshemmeligheder
1.   Elektroniske sundhedsdata, der er beskyttet af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller omfattet af den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i Europa-Parlamentets og Rådets direktiv 2001/83/EF 
(
36
)
 eller artikel 14, stk. 11, i Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 
(
37
)
, stilles til rådighed til sekundær anvendelse i overensstemmelse med reglerne fastlagt i nærværende forordning.
2.   Sundhedsdataindehavere underretter organet med ansvar for adgang til sundhedsdata om eventuelle elektroniske sundhedsdata med indhold eller oplysninger, der er beskyttet af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller er omfattet af den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004. Sundhedsdataindehavere angiver, hvilke dele af datasættene der er berørt, og begrunder behovet for den specifikke beskyttelse af dataene. Sundhedsdataindehavere giver disse oplysninger, når beskrivelserne af de datasæt, de er i besiddelse af i henhold til nærværende forordnings artikel 60, stk. 3, meddeles til organet med ansvar for adgang til sundhedsdata, eller senest efter en anmodning fra organet med ansvar for adgang til sundhedsdata.
3.   Organer med ansvar for adgang til sundhedsdata træffer alle specifikke passende og forholdsmæssige foranstaltninger, herunder af retlig, organisatorisk og teknisk karakter, som de anser for nødvendige for beskyttelsen af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004. Organer med ansvar for adgang til sundhedsdata forbliver ansvarlige for at vurdere, om sådanne foranstaltninger er nødvendige og passende.
4.   Når organer med ansvar for adgang til sundhedsdata udsteder datatilladelser i overensstemmelse med artikel 68, kan de gøre adgangen til visse elektroniske sundhedsdata betinget af retlige, organisatoriske og tekniske foranstaltninger, som kan omfatte kontraktlige ordninger mellem sundhedsdataindehavere og sundhedsdatabrugere med henblik på at dele data med oplysninger eller indhold, der er beskyttet af intellektuelle ejendomsrettigheder eller forretningshemmeligheder. Kommissionen udarbejder og anbefaler ikkebindende modeller for aftalevilkår for sådanne ordninger.
5.   Hvis tildelingen af adgang til elektroniske sundhedsdata til sekundær anvendelse indebærer en alvorlig risiko for at krænke de intellektuelle ejendomsrettigheder, forretningshemmeligheder eller den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004, der ikke kan imødegås på en tilfredsstillende måde, nægter organet med ansvar for adgang til sundhedsdata adgang til sundhedsdataansøgeren til sådanne data. Organet med ansvar for adgang til sundhedsdata underretter sundhedsdataansøgeren og giver sundhedsdataansøgeren en begrundelse for afslaget. Sundhedsdataindehavere og sundhedsdatabrugere har ret til at indgive en klage i overensstemmelse med nærværende forordnings artikel 81.
Artikel 53
Formål, hvortil elektroniske sundhedsdata kan behandles til sekundær anvendelse
1.   Organer med ansvar for adgang til sundhedsdata giver kun sundhedsdatabrugere adgang til elektroniske sundhedsdata som omhandlet i artikel 51 til sekundær anvendelse, hvis denne sundhedsdatabrugers behandling af dataene er nødvendig for et af følgende formål:
a)
offentlighedens interesse for så vidt angår folkesundheden eller sundhed på arbejdspladsen, såsom aktiviteter til beskyttelse mod alvorlige grænseoverskridende sundhedstrusler, overvågning af folkesundheden eller aktiviteter til sikring af et højt kvalitets- og sikkerhedsniveau for sundhedsydelser, herunder patientsikkerhed, og lægemidler eller medicinsk udstyr
b)
politikudformning og reguleringsmæssige tiltag til støtte for offentlige myndigheder eller EU-institutioner, -organer, -kontorer eller -agenturer, herunder regulerende myndigheder, i sundheds- eller plejesektoren med udførelsen af deres opgaver som beskrevet i deres mandater
c)
statistikker som defineret i artikel 3, nr. 1), i forordning (EF) nr. 223/2009, såsom officielle statistikker på nationalt og tværnationalt plan og EU-plan, vedrørende sundheds- eller plejesektoren
d)
uddannelses- eller undervisningsaktiviteter inden for sundheds- eller plejesektoren på erhvervsuddannelsesniveau eller videregående uddannelsesniveau
e)
videnskabelig forskning inden for sundheds- eller plejesektoren, der bidrager til vurderinger af folkesundhed eller medicinske teknologivurderinger eller sikrer et højt kvalitets- og sikkerhedsniveau i forbindelse med sundhedsydelser, lægemidler eller medicinsk udstyr, således at slutbrugere, såsom patienter, sundhedsprofessionelle og sundhedsadministratorer, kan få gavn heraf, herunder:
i)
udviklings- og innovationsaktiviteter i forhold til produkter eller tjenester
ii)
træning, test og evaluering af algoritmer, herunder i medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik, AI-systemer og digitale sundhedsapplikationer
f)
forbedring af leveringen af pleje, af optimeringen af behandling og af leveringen af sundhedsydelser på grundlag af andre fysiske personers elektroniske sundhedsdata.
2.   Adgang til elektroniske sundhedsdata til de i stk. 1, litra a), b) og c), omhandlede formål er forbeholdt offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer, der varetager de opgaver, der er pålagt dem i henhold til EU-retten eller national ret, herunder når behandlingen af data med henblik på udførelsen af disse opgaver foretages af en tredjepart på vegne af de pågældende offentlige organer eller af EU-institutioner, -organer, -kontorer og -agenturer.
Artikel 54
Forbudt sekundær anvendelse
Sundhedsdatabrugere må kun behandle elektroniske sundhedsdata til sekundær anvendelse på grundlag af og i overensstemmelse med de formål, der er indeholdt i en datatilladelse udstedt i henhold til artikel 68, sundhedsdataanmodninger godkendt i henhold til artikel 69 eller, i de i artikel 67, stk. 3, omhandlede situationer, en dataadgangsgodkendelse fra den relevante autoriserede deltager i HealthData@EU, jf. artikel 75.
Det er navnlig forbudt at søge adgang til og behandle elektroniske sundhedsdata, der er opnået via en datatilladelse udstedt i henhold til artikel 68 eller en sundhedsdataanmodning, der er godkendt i henhold til artikel 69, til følgende anvendelse:
a)
træffe afgørelser, der er til skade for en fysisk person eller en gruppe af personer, på grundlag af vedkommendes elektroniske sundhedsdata; for at kunne betegnes som »afgørelser« med henblik på dette litra skal de have retlige, sociale eller økonomiske virkninger eller på tilsvarende måde i væsentlig grad berøre disse fysiske personer
b)
træffe afgørelser vedrørende en fysisk person eller en gruppe af fysiske personer i forbindelse med jobtilbud, tilbud om mindre gunstige vilkår i forbindelse med levering af varer eller tjenester, herunder udelukkelse af sådanne personer eller grupper fra at være omfattet af en forsikrings- eller kreditaftale, ændring af deres bidrag og forsikringspræmier eller lånevilkår, eller enhver anden afgørelse vedrørende en fysisk person eller en gruppe af fysiske personer, som medfører forskelsbehandling mod dem på grundlag af de opnåede sundhedsdata
c)
udførelse af reklame- eller markedsføringsaktiviteter
d)
udvikling af produkter eller tjenester, der kan skade enkeltpersoner, folkesundheden eller samfund som helhed, såsom ulovlige stoffer, alkoholholdige drikkevarer, tobaksvarer og nikotinprodukter, våben eller produkter eller tjenesteydelser, der er designet eller ændret på en sådan måde, at de skaber afhængighed, strider mod den offentlige orden eller medfører en risiko for menneskers sundhed
e)
udførelse af aktiviteter, der er i strid med etiske bestemmelser fastlagt i national ret.
AFDELING 2
Forvaltning af og mekanismer til sekundær anvendelse
Artikel 55
Organer med ansvar for adgang til sundhedsdata
1.   Medlemsstaterne udpeger et eller flere organer med ansvar for adgang til sundhedsdata, som er ansvarlige for at udføre de opgaver og forpligtelser, der er fastlagt i artikel 57, 58 og 59. Medlemsstaterne kan enten oprette et eller flere nye offentlige myndigheder eller bruge eksisterende offentlige myndigheder eller interne tjenester i offentlige myndigheder, der opfylder betingelserne i nærværende artikel. De opgaver, der er fastsat i artikel 57, kan fordeles mellem forskellige organer med ansvar for adgang til sundhedsdata. Hvis en medlemsstat udpeger flere organer med ansvar for adgang til sundhedsdata, udpeger den ét organ med ansvar for adgang til sundhedsdata, der skal fungere som koordinator, med ansvar for at koordinere opgaver med de andre organer, både i denne medlemsstats og i andre medlemsstaters område.
Hvert organ med ansvar for adgang til sundhedsdata bidrager til ensartet anvendelse af denne forordning i hele Unionen. Med henblik herpå samarbejder organerne med ansvar for adgang til sundhedsdata med hinanden, med Kommissionen og, for så vidt angår betænkeligheder vedrørende databeskyttelse, med de relevante tilsynsmyndigheder.
2.   Med henblik på at støtte den effektive udførelse af opgaverne og udøvelsen af beføjelserne for organerne med ansvar for adgang til sundhedsdata sikrer medlemsstaterne, at hvert organ med ansvar for adgang til sundhedsdata råder over følgende elementer:
a)
de nødvendige menneskelige, økonomiske og tekniske ressourcer
b)
den nødvendige ekspertise, og
c)
de nødvendige lokaler og infrastrukturer.
Hvis en vurdering foretaget af etiske organer er påkrævet i henhold til national ret, stiller disse organer ekspertise til rådighed for organet med ansvar for adgang til sundhedsdata. Alternativt kan medlemsstaterne fastsætte, at etiske organer er en del af organet med ansvar for adgang til sundhedsdata.
3.   Medlemsstaterne sikrer, at alle interessekonflikter mellem de organisatoriske dele af organer med ansvar for adgang til sundhedsdata, der udfører de forskellige opgaver for sådanne organer, undgås ved f.eks. at fastsætte organisatoriske garantier såsom adskillelse mellem forskellige funktioner for organer med ansvar for adgang til sundhedsdata, herunder vurdering af ansøgninger, modtagelse og forberedelse af datasæt, f.eks. pseudonymisering og anonymisering af datasæt, samt tilvejebringelse af data i sikre databehandlingsmiljøer.
4.   Under udførelsen af deres opgaver samarbejder organer med ansvar for adgang til sundhedsdata aktivt med relevante repræsentanter for interessenter, navnlig med repræsentanter for patienter, sundhedsdataindehavere og sundhedsdatabrugere og skal undgå alle interessekonflikter.
5.   Organer med ansvar for adgang til sundhedsdata skal under udførelsen af deres opgaver og udøvelsen af deres beføjelser undgå interessekonflikter. Personalet i organer med ansvar for adgang til sundhedsdata handler i offentlighedens interesse og uafhængigt.
6.   Senest den 26. marts 2027 underretter medlemsstaterne Kommissionen om benævnelsen på de organer med ansvar for adgang til sundhedsdata, der er udpeget i henhold til stk. 1. De underretter ligeledes Kommissionen om eventuelle senere udskiftninger af disse organer. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
Artikel 56
Unionens tjeneste for adgang til sundhedsdata
1.   Kommissionen udfører de opgaver, der er fastsat i artikel 57 og 59, hvis sundhedsdataindehaverne er EU-institutioner, -organer, -kontorer eller -agenturer.
2.   Kommissionen sikrer, at de nødvendige menneskelige, tekniske og økonomiske ressourcer, lokaler og infrastrukturer tildeles til effektiv udførelse af de i artikel 57 og 59 fastsatte opgaver og udøvelse af beføjelserne.
3.   Medmindre andet udtrykkeligt er udelukket skal henvisninger til organer med ansvar for adgang til sundhedsdata i denne forordning i relation til udførelsen af opgaver og varetagelsen af pligter forstås således, at de også finder anvendelse på Kommissionen, hvis sundhedsdataindehaverne er EU-institutioner, -organer, -kontorer eller -agenturer.
Artikel 57
Opgaver for organer med ansvar for adgang til sundhedsdata
1.   Organer med ansvar for adgang til sundhedsdata skal udføre følgende opgaver:
a)
træffe afgørelse om ansøgninger om adgang til sundhedsdata i henhold til denne forordnings artikel 67, godkende og udstede datatilladelser i henhold til denne forordnings artikel 68 til at tilgå elektroniske sundhedsdata, der henhører under deres ansvarsområde, til sekundær anvendelse og træffe afgørelse om sundhedsdataanmodninger indgivet i henhold til denne forordnings artikel 69 i overensstemmelse med dette kapitel og kapitel II i forordning (EU) 2022/868, herunder med hensyn til at:
i)
tildele sundhedsdatabrugere adgang til elektroniske sundhedsdata i henhold til en datatilladelse i et sikkert databehandlingsmiljø i overensstemmelse med artikel 73
ii)
overvåge og føre tilsyn med, at sundhedsdatabrugere og sundhedsdataindehavere overholder de krav, der er fastlagt i denne forordning
iii)
anmode relevante sundhedsdataindehavere om elektroniske sundhedsdata som omhandlet i artikel 51 i henhold til en udstedt datatilladelse eller en godkendt sundhedsdataanmodning
b)
behandle de i artikel 51 omhandlede elektroniske sundhedsdata, såsom ved at modtage, samkøre, forberede og indsamle sådanne data, når der anmodes om dem fra sundhedsdataindehavere, og pseudonymisering eller anonymisering af disse data
c)
træffe alle nødvendige foranstaltninger til at bevare fortroligheden af intellektuelle ejendomsrettigheder og reguleringsmæssig databeskyttelse og til at bevare fortroligheden af forretningshemmeligheder som fastsat i artikel 52 og tage hensyn til de relevante rettigheder for både sundhedsdataindehavere og sundhedsdatabrugere
d)
samarbejde med og føre tilsyn med sundhedsdataindehavere for at sikre en konsekvent og nøjagtig gennemførelse af bestemmelserne om datakvalitets- og dataudnyttelsesmærket i artikel 78
e)
drive et forvaltningssystem til registrering og behandling af ansøgninger om adgang til sundhedsdata, sundhedsdataanmodninger, afgørelserne om disse ansøgninger og anmodninger og de udstedte datatilladelser og behandlede sundhedsdataanmodninger, der som minimum indeholder oplysninger om navnet på sundhedsdataansøgeren, formålet med adgangen, datoen for udstedelsen, varigheden af datatilladelsen og en beskrivelse af ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen
f)
drive et offentligt informationssystem for at opfylde forpligtelserne i artikel 58
g)
samarbejde på EU-plan og nationalt plan for at fastlægge fælles standarder, tekniske krav og passende foranstaltninger vedrørende adgang til elektroniske sundhedsdata i et sikkert databehandlingsmiljø
h)
samarbejde på EU-plan og nationalt plan og rådgive Kommissionen om teknikker og bedste praksis for sekundær anvendelse og forvaltningen af elektroniske sundhedsdata
i)
lette grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse i andre medlemsstater gennem HealthData@EU, jf. artikel 75, og samarbejde tæt med hinanden og med Kommissionen
j)
offentliggøre følgende ved hjælp af elektroniske midler:
i)
et nationalt datasætkatalog, der indeholder nærmere oplysninger om kilden til og arten af elektroniske sundhedsdata, jf. artikel 77, 78 og 80, og betingelserne for at gøre elektroniske sundhedsdata tilgængelige
ii)
alle ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger uden unødigt ophold efter den indledende modtagelse
iii)
alle udstedte datatilladelser eller godkendte sundhedsdataanmodninger samt afgørelser om afslag, herunder deres begrundelse, senest 30 arbejdsdage efter udstedelsen, godkendelsen eller afslaget
iv)
foranstaltninger vedrørende manglende overholdelse i henhold til artikel 63
v)
resultater meddelt af sundhedsdatabrugere i henhold til artikel 61, stk. 4
vi)
et informationssystem for at opfylde forpligtelserne fastlagt i artikel 58
vii)
oplysninger, som minimum på et lettilgængeligt websted eller en webportal, om nationale kontaktpunkters tilslutning til HealthData@EU for sekundær anvendelse i et tredjeland eller om et system etableret på internationalt plan af internationale organisationer, så snart tredjelandet eller den internationale organisation bliver en autoriseret deltager i HealthData@EU
k)
opfylde forpligtelser over for fysiske personer i henhold til artikel 58
l)
udføre alle andre opgaver i forbindelse med muliggørelsen af den sekundære anvendelse af elektroniske sundhedsdata i forbindelse med denne forordning.
Det i dette stykkes litra j), nr. i), omhandlede nationale datasætkatalog stilles også til rådighed for centrale informationssteder i henhold til artikel 8 i forordning (EU) 2022/868.
2.   Organer med ansvar for adgang til sundhedsdata skal under udførelsen af deres opgaver:
a)
samarbejde med tilsynsmyndigheder i henhold til forordning (EU) 2016/679 i forbindelse med personlige elektroniske sundhedsdata og udvalget for det europæiske sundhedsdataområde
b)
samarbejde med alle relevante interessenter, herunder patientorganisationer, repræsentanter for fysiske personer, sundhedsprofessionelle, forskere og etiske udvalg, hvor det er relevant i overensstemmelse med EU-retten eller national ret
c)
samarbejde med andre nationale kompetente organer, herunder de nationale kompetente myndigheder, der fører tilsyn med dataaltruistiske organisationer i henhold til forordning (EU) 2022/868, de kompetente myndigheder i henhold til forordning (EU) 2023/2854 og de nationale kompetente myndigheder i henhold til forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, hvor det er relevant.
3.   Organer med ansvar for adgang til sundhedsdata kan yde bistand til offentlige myndigheder, hvis disse offentlige myndigheder har adgang til elektroniske sundhedsdata i overensstemmelse med artikel 14 i forordning (EU) 2023/2854.
4.   Organer med ansvar for adgang til sundhedsdata kan yde støtte til en offentlig myndighed, hvis de opnår data under de omstændigheder, der er omhandlet i artikel 15, litra a) eller b), i forordning (EU) 2023/2854 i overensstemmelse med reglerne fastlagt i nævnte forordning, ved at yde teknisk støtte til at behandle disse data eller samkøre dem med andre data med henblik på fælles analyse.
Artikel 58
Forpligtelser for organer med ansvar for adgang til sundhedsdata over for fysiske personer
1.   Organer med ansvar for adgang til sundhedsdata gør oplysninger om de betingelser, hvorunder elektroniske sundhedsdata stilles til rådighed til sekundær anvendelse, offentligt tilgængelige, lette at søge i via elektroniske midler og tilgængelige for fysiske personer. Disse oplysninger skal omfatte følgende:
a)
det retsgrundlag, i henhold til hvilket sundhedsdatabrugeren gives adgang til elektroniske sundhedsdata
b)
de tekniske og organisatoriske foranstaltninger, der er truffet for at beskytte fysiske personers rettigheder
c)
fysiske personers gældende rettigheder i forbindelse med sekundær anvendelse
d)
de nærmere vilkår for, at fysiske personer kan udøve deres rettigheder i overensstemmelse med kapitel III i forordning (EU) 2016/679
e)
identiteten på og kontaktoplysningerne for organet med ansvar for adgang til sundhedsdata
f)
hvem der har fået adgang til datasæt af elektroniske sundhedsdata, og hvilke datasæt de har fået adgang til, samt nærmere oplysninger om datatilladelsen vedrørende formålene med at behandle sådanne data i henhold til artikel 53, stk. 1
g)
resultaterne af de projekter, som de elektroniske sundhedsdata blev anvendt til.
2.   Hvis en medlemsstat har fastsat, at retten til fravalg i henhold til artikel 71 skal udøves gennem organerne med ansvar for adgang til sundhedsdata, skal de relevante organer med ansvar for adgang til sundhedsdata give offentlige oplysninger om proceduren for fravalg og lette udøvelsen af denne ret.
3.   Hvis et organ med ansvar for adgang til sundhedsdata underrettes af en sundhedsdatabruger om et væsentligt fund, der vedrører en fysisk persons helbred, som omhandlet i artikel 61, stk. 5, skal organet med ansvar for adgang til sundhedsdata underrette sundhedsdataindehaveren herom. Sundhedsdataindehaveren underretter på de betingelser, der er fastsat i national ret, den fysiske person eller den sundhedsperson, der behandler den pågældende fysiske person. Fysiske personer har ret til at anmode om ikke at blive underrettet om sådanne fund.
4.   Medlemsstaterne informerer offentligheden om, hvilken rolle organerne med ansvar for adgang til sundhedsdata spiller, og hvilke fordele der er forbundet med dem.
Artikel 59
Organerne med ansvar for adgang til sundhedsdatas rapportering
1.   Hvert organ med ansvar for adgang til sundhedsdata offentliggør hvert andet år en aktivitetsrapport og gør den offentligt tilgængelig på sit websted. Hvis en medlemsstat udpeger mere end ét organ med ansvar for adgang til sundhedsdata, er det i artikel 55, stk. 1, omhandlede koordineringsorgan, ansvarligt for aktivitetsrapporten og anmoder de andre organer med ansvar for adgang til sundhedsdata om de nødvendige oplysninger. Denne aktivitetsrapport skal følge en struktur, der er aftalt af udvalget for det europæiske sundhedsdataområde i henhold til artikel 94, stk. 2, litra d), og som minimum indeholde følgende kategorier af oplysninger:
a)
oplysninger vedrørende ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger, der er indgivet, såsom typer af sundhedsdataansøgere, antal datatilladelser, der er udstedt eller afvist, kategorier af formål med adgang og kategorier af elektroniske sundhedsdata, hvortil der er givet adgang, og et resumé af resultaterne af anvendelsen af elektroniske sundhedsdata, hvor det er relevant
b)
oplysninger om sundhedsdatabrugeres og sundhedsdataindehaveres opfyldelse af reguleringsmæssige og kontraktlige forpligtelser samt antallet og størrelsen af administrative bøder, der er pålagt af organer med ansvar for adgang til sundhedsdata
c)
oplysninger om kontroller udført hos sundhedsdatabrugere for at sikre, at den behandling, de foretager i det sikre databehandlingsmiljø, overholder kravene i henhold til i artikel 73, stk. 1, litra e)
d)
oplysninger om interne og tredjeparters kontroller af sikre databehandlingsmiljøers overholdelse af de i artikel 73, stk. 3, omhandlede fastsatte standarder, specifikationer og krav
e)
oplysninger om behandlingen af anmodninger fra fysiske personer vedrørende udøvelsen af deres databeskyttelsesrettigheder
f)
en beskrivelse af organet med ansvar for adgang til sundhedsdatas aktiviteter i forbindelse med inddragelse og høring af relevante interessenter
g)
indtægter fra datatilladelser og sundhedsdataanmodninger
h)
det gennemsnitlige antal dage mellem ansøgninger om adgang til sundhedsdata eller sundhedsdataanmodninger og adgang til data
i)
antallet af datakvalitetsmærker, der er udstedt af sundhedsdataindehavere, og som er opdelt efter kvalitetskategori
j)
antallet af fagfællebedømte forskningspublikationer, politikdokumenter og reguleringsmæssige procedurer, der er baseret på data, der er tilgået via det europæiske sundhedsdataområde
k)
antallet af digitale sundhedsprodukter og -tjenester, herunder AI-applikationer, udviklet ved hjælp af data, der er tilgået via det europæiske sundhedsdataområde.
2.   Den i stk. 1 omhandlede aktivitetsrapport forelægges Kommissionen og udvalget for det europæiske sundhedsdataområde senest seks måneder efter udgangen af det andet år i den relevante rapporteringsperiode. Aktivitetsrapporten skal være tilgængelig via Kommissionens websted.
Artikel 60
Sundhedsdataindehavernes opgaver
1.   Sundhedsdataindehavere stiller efter anmodning relevante elektroniske sundhedsdata omhandlet i artikel 51 til rådighed for organet med ansvar for adgang til sundhedsdata i overensstemmelse med en datatilladelse udstedt i henhold til artikel 68 eller efter en sundhedsdataanmodning godkendt i henhold til artikel 69.
2.   Sundhedsdataindehavere stiller de i stk. 1 omhandlede elektroniske sundhedsdata, der anmodes om, til rådighed for organet med ansvar for adgang til sundhedsdata inden for en rimelig frist og senest tre måneder efter modtagelse af anmodningen af organet med ansvar for adgang til sundhedsdata. I begrundede tilfælde kan organet med ansvar for adgang til sundhedsdata forlænge denne periode med højest tre måneder.
3.   Sundhedsdataindehaveren fremsender en beskrivelse af det datasæt, den er i besiddelse af, til organet med ansvar for adgang til sundhedsdata i overensstemmelse med artikel 77. Sundhedsdataindehaveren kontrollerer som minimum en gang om året, at beskrivelsen af datasættet i kataloget over nationale datasæt er nøjagtig og ajourført.
4.   Hvis et datakvalitets- og dataudnyttelsesmærke ledsager datasættet i henhold til artikel 78, skal sundhedsdataindehaveren forelægge organet med ansvar for adgang til sundhedsdata tilstrækkelig dokumentation til, at det kan kontrollere, at mærkningen er korrekt.
5.   Sundhedsdataindehavere af andre elektroniske sundhedsdata end personoplysninger giver adgang til data gennem pålidelige åbne databaser for at sikre ubegrænset adgang for alle brugere samt lagring og opbevaring af data. Pålidelige åbne offentlige databaser skal have en robust, gennemsigtig og bæredygtig forvaltningsmodel og en gennemsigtig model for brugeradgang.
Artikel 61
Sundhedsdatabrugeres opgaver
1.   Sundhedsdatabrugere må kun tilgå og behandle de i artikel 51 omhandlede elektroniske sundhedsdata til sekundær anvendelse i overensstemmelse med en datatilladelse udstedt i henhold til artikel 68, en sundhedsdataanmodning godkendt i henhold til artikel 69 eller, i de i artikel 67, stk. 3, omhandlede situationer, en adgangsgodkendelse fra den relevante autoriserede deltager i HealthData@EU, jf. artikel 75.
2.   Ved behandling af elektroniske sundhedsdata inden for de i artikel 73 omhandlede sikre databehandlingsmiljøer, må sundhedsdatabrugerne ikke give adgang til de elektroniske sundhedsdata eller stille disse data til rådighed for tredjeparter, der ikke er nævnt i datatilladelsen.
3.   Sundhedsdatabrugere må ikke reidentificere eller forsøge at reidentificere de fysiske personer, som de elektroniske sundhedsdata, der er opnået af sundhedsdatabrugere på grundlag af en datatilladelse, en sundhedsdataanmodning eller en dataadgangsgodkendelse fra en autoriseret deltager i HealthData@EU, tilhører.
4.   Sundhedsdatabrugere offentliggør resultaterne eller outputtet af sekundær anvendelse, herunder oplysninger, der er relevante for levering af sundhedsydelser, senest 18 måneder efter afslutningen af behandlingen af de elektroniske sundhedsdata i det sikre databehandlingsmiljø eller efter at have modtaget svaret på den i artikel 69 omhandlede sundhedsdataanmodning.
I begrundede tilfælde vedrørende de tilladte formål med behandlingen af elektroniske sundhedsdata kan den i første afsnit omhandlede periode forlænges af organet med ansvar for adgang til sundhedsdata, navnlig i tilfælde, hvor resultatet offentliggøres i et videnskabeligt tidsskrift eller anden videnskabelig publikation.
Resultaterne eller outputtet af sekundær anvendelse må kun indeholde anonymiserede data.
Sundhedsdatabrugere underretter de organer med ansvar for adgang til sundhedsdata, hvorfra der var opnået en datatilladelse, om resultaterne og outputtet af sekundær anvendelse og bistår dem med at gøre disse oplysninger offentligt tilgængelige på organerne med ansvar for adgang til sundhedsdatas websteder. En sådan offentliggørelse berører ikke retten til offentliggørelse i videnskabelige tidsskrifter eller andre videnskabelige publikationer.
Når sundhedsdatabrugerne anvender elektroniske sundhedsdata i overensstemmelse med dette kapitel, anerkender de kilderne til de elektroniske sundhedsdata og det forhold, at de er opnået inden for rammerne af det europæiske sundhedsdataområde.
5.   Uden at dette berører stk. 2, underretter sundhedsdatabrugere organet med ansvar for adgang til sundhedsdata om ethvert væsentligt fund, der kan påvirke helbredet for den fysiske person, hvis data indgår i datasættet.
6.   Sundhedsdatabrugerne samarbejder med organer med ansvar for adgang til sundhedsdata om disse organers udførelse af deres opgaver.
Artikel 62
Gebyrer
1.   Organer med ansvar for adgang til sundhedsdata, herunder Unionens tjeneste for adgang til sundhedsdata eller betroede sundhedsdataindehavere, jf. artikel 72, kan opkræve gebyrer for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse.
Gebyrerne skal stå i forhold til omkostningerne ved at stille dataene til rådighed og de må ikke begrænse konkurrencen.
Gebyrerne skal dække alle eller en del af omkostningerne til proceduren til vurdering af en ansøgning om adgang til sundhedsdata eller en sundhedsdataanmodning, til udstedelse af, afslag på eller ændring af en datatilladelse i henhold til artikel 67 og 68 eller til svar på en sundhedsdataanmodning indgivet i henhold til artikel 69, herunder omkostninger i forbindelse med konsolidering, forberedelse, pseudonymisering, anonymisering og levering af elektroniske sundhedsdata.
Medlemsstaterne kan fastsætte nedsatte gebyrer for visse typer sundhedsdatabrugere, der befinder sig i Unionen, såsom offentlige myndigheder eller Unionens institutioner, organer, kontorer eller agenturer med et retligt mandat på folkesundhedsområdet, universitetsforskere eller mikrovirksomheder.
2.   Gebyrerne omhandlet i denne artikels stk. 1 kan omfatte kompensation for de omkostninger, som sundhedsdataindehaveren har afholdt i forbindelse med indsamling og forberedelse af de elektroniske sundhedsdata, der skal stilles til rådighed til sekundær anvendelse. I sådanne tilfælde forelægger sundhedsdataindehaveren et skøn over sådanne omkostninger for organet med ansvar for adgang til sundhedsdata. Når sundhedsdataindehaveren er en offentlig myndighed, finder artikel 6 i forordning (EU) 2022/868 ikke anvendelse. Den del af gebyrerne, der er knyttet til sundhedsdataindehaverens omkostninger, betales til sundhedsdataindehaveren.
3.   Eventuelle gebyrer, som organer med ansvar for adgang til sundhedsdata eller sundhedsdataindehavere måtte opkræve af sundhedsdatabrugere i henhold til denne artikel, skal være gennemsigtige og ikkediskriminerende.
4.   Hvis sundhedsdataindehavere og sundhedsdatabrugere ikke er blevet enige om gebyrernes størrelse senest én måned efter udstedelsen af datatilladelsen, kan organet med ansvar for adgang til sundhedsdata fastsætte gebyrerne i forhold til omkostningerne ved at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse. Hvis sundhedsdataindehaverne eller databrugerne er uenige i det gebyr, der er fastsat af organet med ansvar for adgang til sundhedsdata, skal de have adgang til tvistbilæggelsesorganer i overensstemmelse med artikel 10 i forordning (EU) 2023/2854.
5.   Inden organet med ansvar for adgang til sundhedsdata udsteder en datatilladelse i henhold til artikel 68 eller besvarer en sundhedsdataanmodning indgivet i henhold til artikel 69, underretter organet sundhedsdataansøgeren om de anslåede gebyrer. Sundhedsdataansøgeren underrettes om muligheden for at trække ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen tilbage. Hvis sundhedsdataansøgeren trækker sin ansøgning eller anmodning tilbage, opkræves sundhedsdataansøgeren kun de omkostninger, der allerede er afholdt.
6.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter principper og regler for gebyrpolitikker og gebyrstrukturer, herunder fradrag til de i denne artikels stk. 1, fjerde afsnits omhandlede enheder, med henblik på at støtte sammenhæng og gennemsigtighed mellem medlemsstater vedrørende sådanne gebyrpolitikker og gebyrstrukturer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 63
Håndhævelse ved organerne med ansvar for adgang til sundhedsdata
1.   Når organerne med ansvar for adgang til sundhedsdata udfører deres i artikel 57, stk. 1, litra a), nr. ii), omhandlede overvågnings- og tilsynsopgaver, har de ret til at anmode om og modtage alle nødvendige oplysninger fra sundhedsdatabrugere og sundhedsdataindehavere for at kontrollere overholdelsen af dette kapitel.
2.   Hvis organer med ansvar for adgang til sundhedsdata konstaterer, at en sundhedsdatabruger eller sundhedsdataindehaver ikke opfylder kravene i dette kapitel, underretter de straks sundhedsdatabrugeren eller sundhedsdataindehaveren om disse konstateringer og træffer passende foranstaltninger. Det pågældende organ med ansvar for adgang til sundhedsdata giver den pågældende sundhedsdatabruger eller sundhedsdataindehaver mulighed for at tilkendegive deres synspunkter inden for en rimelig frist på højst fire uger.
Hvis konstateringen af manglende opfyldelse af kravene vedrører en mulig overtrædelse af forordning (EU) 2016/679, underretter det pågældende organ med ansvar for adgang til sundhedsdata straks tilsynsmyndighederne i henhold til nævnte forordning og giver dem alle relevante oplysninger om denne konstatering.
3.   Med hensyn til sundhedsdatabrugeres manglende overholdelse har organer med ansvar for adgang til sundhedsdata beføjelse til at tilbagekalde den datatilladelse, der er udstedt i henhold til artikel 68, og uden unødigt ophold at standse den pågældende behandling af elektroniske sundhedsdata, der udføres af sundhedsdatabrugeren, og træffer passende og forholdsmæssige foranstaltninger til at sikre, at sundhedsdatabrugernes behandling opfylder kravene.
Som en del af sådanne håndhævelsesforanstaltninger kan organerne med ansvar for adgang til sundhedsdata også, hvor det er relevant, udelukke eller indlede procedurer for i overensstemmelse med national ret at udelukke den pågældende databruger fra enhver adgang til elektroniske sundhedsdata inden for det europæiske sundhedsdataområde i forbindelse med sekundær anvendelse i en periode på op til fem år.
4.   Med hensyn til sundhedsdataindehaveres manglende overholdelse, hvis en sundhedsdataindehaver tilbageholder de elektroniske sundhedsdata fra organer med ansvar for adgang til sundhedsdata med åbenlys hensigt om at hindre anvendelsen af elektroniske sundhedsdata eller ikke overholder de i artikel 60, stk. 2, fastsatte frister, har organet med ansvar for adgang til sundhedsdata beføjelse til at pålægge sundhedsdataindehaveren tvangsbøder for hver dags forsinkelse, hvilket skal ske gennemsigtigt og forholdsmæssigt. Bødernes størrelse fastsættes af organet med ansvar for adgang til sundhedsdata i overensstemmelse med national ret. I tilfælde af gentagne overtrædelser fra sundhedsdataindehaverens side af forpligtelsen til samarbejde med organet med ansvar for adgang til sundhedsdata kan dette organ udelukke eller indlede procedurer i overensstemmelse med national ret for at udelukke sundhedsdataindehaveren fra at indgive ansøgninger om adgang til sundhedsdata i henhold til dette kapitel i en periode på op til fem år. I udelukkelsesperioden er sundhedsdataindehaveren fortsat forpligtet til at gøre data tilgængelige i henhold til dette kapitel, hvor det er relevant.
5.   Organet med ansvar for adgang til sundhedsdata meddeler uden ophold den pågældende sundhedsdatabruger eller -indehaver de håndhævelsesforanstaltninger, der er truffet i henhold til stk. 3 og 4, og begrundelserne herfor og fastsætter en rimelig frist, inden for hvilken sundhedsdataindehaveren eller -brugeren skal overholde foranstaltningerne.
6.   Alle håndhævelsesforanstaltninger, der er truffet af organet med ansvar for adgang til sundhedsdata i henhold til stk. 3, skal meddeles andre organer med ansvar for adgang til sundhedsdata gennem det i stk. 7 omhandlede IT-værktøj. Organer med ansvar for adgang til sundhedsdata kan gøre disse oplysninger offentligt tilgængelige på deres websteder.
7.   Kommissionen fastlægger ved hjælp af gennemførelsesretsakter arkitekturen for et IT-værktøj, som en del af infrastrukturen for HealthData@EU, jf. artikel 75, der har til formål at støtte og gøre de i nærværende artikels omhandlede håndhævelsesforanstaltninger, navnlig tvangsbøder, tilbagekaldelse af datatilladelser og udelukkelser, gennemsigtige for andre organer med ansvar for adgang til sundhedsdata. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
8.   Kommissionen udsteder senest den 26. marts 2032 i tæt samarbejde med udvalget for det europæiske sundhedsdataområde retningslinjer for håndhævelsesforanstaltninger, herunder tvangsbøder og andre foranstaltninger, der skal træffes af organer med ansvar for adgang til sundhedsdata.
Artikel 64
Generelle betingelser for, at organer med ansvar for adgang til sundhedsdata kan pålægge administrative bøder
1.   Hvert organ med ansvar for adgang til sundhedsdata sikrer, at pålæggelsen af administrative bøder i henhold til denne artikel for overtrædelser som omhandlet i stk. 4 og 5 er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning i hver enkelt sag.
2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for håndhævelsesforanstaltninger som omhandlet i artikel 63, stk. 3 og 4. Organer med ansvar for adgang til sundhedsdata træffer afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt tilfælde, under behørig hensyntagen til følgende omstændigheder:
a)
overtrædelsens karakter, alvor og varighed
b)
hvorvidt andre kompetente myndigheder allerede har pålagt sanktioner eller administrative bøder for samme overtrædelse
c)
hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt
d)
ethvert tiltag, som sundhedsdataindehaveren eller sundhedsdatabrugeren har truffet for at afbøde den skade, der er sket
e)
graden af ansvar hos sundhedsdatabrugeren under hensyntagen til de tekniske og organisatoriske foranstaltninger, som den pågældende sundhedsdatabruger har gennemført i henhold til artikel 67, stk. 2, litra g, og artikel 67, stk. 4
f)
alle relevante tidligere overtrædelser begået af sundhedsdataindehaveren eller sundhedsdatabrugeren
g)
sundhedsdataindehaverens eller sundhedsdataholderens grad af samarbejde med organet med ansvar for adgang til sundhedsdata med hensyn til afhjælpning af overtrædelsen og begrænsning af dens mulige negative konsekvenser
h)
den måde, hvorpå organet med ansvar for adgang til sundhedsdata fik kendskab til overtrædelsen, navnlig om sundhedsdatabrugeren har underrettet det om overtrædelsen og i hvilket omfang
i)
overholdelse af eventuelle håndhævelsesforanstaltninger, der er omhandlet i artikel 63, stk. 3 og 4, der tidligere er blevet pålagt den pågældende dataansvarlige eller databehandler, med hensyn til samme genstand
j)
eventuelle andre skærpende eller formildende faktorer ved sagens omstændigheder såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.
3.   Hvis en sundhedsdataindehaver eller en sundhedsdatabruger forsætligt eller uagtsomt overtræder flere bestemmelser i denne forordning for den samme eller en forbundet datatilladelse eller sundhedsdataanmodning, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.
4.   I overensstemmelse med denne artikels stk. 2 straffes overtrædelser af sundhedsdataindehaverens eller sundhedsdatabrugerens forpligtelser i henhold til artikel 60 og artikel 61, stk. 1, 5 og 6, med administrative bøder på højest 10 000 000 EUR, eller hvis det drejer sig om en virksomhed, på højest 2 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere.
5.   I overensstemmelse med stk. 2, straffes følgende overtrædelser med administrative bøder på højest 20 000 000 EUR, eller, hvis det drejer sig om en virksomhed, på højest 4 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
a)
sundhedsdatabrugere der behandler elektroniske sundhedsdata, som er opnået via en datatilladelse udstedt i henhold til artikel 68 til de i artikel 54 omhandlede anvendelser
b)
sundhedsdatabrugere, der udtrækker personlige elektroniske sundhedsdata fra sikre databehandlingsmiljøer
c)
reidentifikation eller forsøg på reidentifikation af de fysiske personer, som de elektroniske sundhedsdata, som er opnået af sundhedsdatabrugerne på grundlag af en datatilladelse eller en sundhedsdataanmodning i henhold til artikel 61, stk. 3, vedrører
d)
manglende overholdelse af håndhævelsesforanstaltninger truffet af organet med ansvar for adgang til sundhedsdata i henhold til artikel 63, stk. 3 og 4.
6.   Uden at det berører de beføjelser, som organer med ansvar for adgang til sundhedsdata har i henhold til artikel 63, kan hver medlemsstat fastsætte regler om, hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder, der er etableret i den pågældende medlemsstat.
7.   Udøvelsen af de beføjelser, som et organ med ansvar for adgang til sundhedsdata har i henhold til denne artikel, er underlagt fornødne proceduremæssige garantier i overensstemmelse med EU-retten og national ret, herunder effektive retsmidler og retfærdig procedure.
8.   Hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel anvendes på en sådan måde, at det i overensstemmelse med dens nationale retlige rammer sikres, at disse retsmidler er effektive, og har en tilsvarende virkning som de administrative bøder, som pålægges af organer med ansvar for adgang til sundhedsdata. De bøder, der pålægges, skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. Den pågældende medlemsstat meddeler Kommissionen de bestemmelser i dens lovgivning, som den vedtager i medfør af dette stykke, senest den 26. marts 2029 og straks enhver senere lovgivning, der ændrer sådanne bestemmelser eller ændringer, der berører sådanne bestemmelser.
Artikel 65
Forholdet til tilsynsmyndighederne i henhold til forordning (EU) 2016/679
Den eller de tilsynsmyndigheder, der er ansvarlige for at overvåge og håndhæve anvendelsen af forordning (EU) 2016/679, er også kompetente med hensyn til at overvåge og håndhæve anvendelsen af retten til at fravælge behandlingen af personlige elektroniske sundhedsdata til sekundær anvendelse, jf. artikel 71. Disse tilsynsmyndigheder har beføjelse til at pålægge administrative bøder op til det beløb, der er omhandlet i artikel 83 i forordning (EU) 2016/679.
De tilsynsmyndigheder, der er omhandlet i nærværende artikels stk. 1, og de organer med ansvar for adgang til sundhedsdata, der er omhandlet i nærværende forordnings artikel 55, samarbejder, hvor det er relevant, om håndhævelsen af nærværende forordning inden for rammerne af deres respektive beføjelser. De relevante bestemmelser i forordning (EU) 2016/679 finder tilsvarende anvendelse.
AFDELING 3
Adgang til elektroniske sundhedsdata til sekundær anvendelse
Artikel 66
Dataminimering og formålsbegrænsning
1.   Hvis organer med ansvar for adgang til sundhedsdata modtager en ansøgning om adgang til sundhedsdata, sikrer de, at der kun gives adgang til de elektroniske sundhedsdata, der er tilstrækkelige, relevante og begrænset til hvad der er nødvendigt i forhold det formål med sundhedsdatabrugerens behandling, der er angivet i ansøgningen om adgang til sundhedsdata, og i overensstemmelse med datatilladelsen udstedt i henhold til artikel 68.
2.   Organer med ansvar for adgang til sundhedsdata leverer elektroniske sundhedsdata i et anonymiseret format, hvor formålet med sundhedsdatabrugerens behandling kan opfyldes med sådanne data, idet der tages hensyn til oplysningerne fra sundhedsdatabrugeren.
3.   Hvis sundhedsdatabrugeren i tilstrækkelig grad har påvist, at formålet med behandlingen ikke kan opfyldes med anonymiserede data i overensstemmelse med artikel 68, stk. 1, litra c), giver organerne med ansvar for adgang til sundhedsdata adgang til elektroniske sundhedsdata i pseudonymiseret format. De oplysninger, der er nødvendige for at ophæve pseudonymiseringen, må kun være tilgængelige for organet med ansvar for adgang til sundhedsdata eller en enhed, der fungerer som en pålidelig tredjepart i overensstemmelse med national ret.
Artikel 67
Ansøgninger om adgang til sundhedsdata
1.   En fysisk eller juridisk person kan indgive en ansøgning om adgang til sundhedsdata til de i artikel 53, stk. 1, omhandlede formål, til et organ med ansvar for adgang til sundhedsdata.
2.   Ansøgningen om adgang til sundhedsdata skal indeholde:
a)
sundhedsdataansøgerens identitet, en beskrivelse af den pågældende sundhedsdataansøgers faglige funktioner og aktiviteter, herunder identiteten af de fysiske personer, som ville få adgang til de elektroniske sundhedsdata, hvis der udstedtes en datatilladelse; sundhedsansøgeren underretter organet med ansvar for adgang til sundhedsdata om enhver ajourføring af listen over fysiske personer
b)
de i artikel 53, stk. 1, omhandlede formål, hvortil der søges om adgang til data
c)
en detaljeret redegørelse for den påtænkte anvendelse af de elektroniske sundhedsdata og den forventede fordel ved denne anvendelse, og hvordan denne fordel vil bidrage til de i artikel 53, stk. 1, omhandlede formål
d)
en beskrivelse af de elektroniske sundhedsdata, der anmodes om, herunder deres anvendelsesområde, tidsramme, format, kilder og, hvor det er muligt, den geografiske dækning, hvis der anmodes om sådanne data fra sundhedsdataindehavere i flere medlemsstater eller fra autoriserede deltagere i HealthData@EU, jf. artikel 75
e)
en beskrivelse, der forklarer, om de elektroniske sundhedsdata skal stilles til rådighed i et pseudonymiseret eller anonymiseret format; i tilfælde af et pseudonymiseret format, en begrundelse for hvorfor behandlingen ikke kan foretages med anonymiserede data
f)
hvis sundhedsdataansøgeren har til hensigt at indføre datasæt, som allerede er i denne sundhedsdataansøgers besiddelse, i det sikre databehandlingsmiljø, en beskrivelse af disse datasæt
g)
en beskrivelse af garantierne, som skal stå i et rimeligt forhold til risiciene, og som er planlagt for at forhindre misbrug af de elektroniske sundhedsdata samt for at beskytte sundhedsdataindehaverens og de berørte fysiske personers rettigheder og interesser, herunder for at forhindre enhver reidentifikation af fysiske personer i datasættet
h)
en begrundet angivelse over den periode, hvor der er behov for de elektroniske sundhedsdata til behandlingen i et sikkert databehandlingsmiljø
i)
en beskrivelse af de værktøjer og databehandlingsressourcer, der er nødvendige for et sikkert databehandlingsmiljø
j)
hvis det er relevant, oplysninger om enhver vurdering af de etiske aspekter af behandlingen, der kræves i henhold til national ret, og som kan erstatte sundhedsdataansøgerens egen etiske vurdering
k)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er givet i national ret i henhold til nævnte artikel.
3.   Hvor der søges adgang til elektroniske sundhedsdata der holdes af sundhedsdataindehavere, der er etableret i mere end én medlemsstat, eller fra de relevante autoriserede deltagere i HealthData@EU, der er omhandlet i artikel 75, indgiver sundhedsdataansøgeren en enkelt ansøgning om adgang til sundhedsdata via organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor sundhedsdataansøgerens hovedforretningssted befinder sig, gennem de organer med ansvar for adgang til sundhedsdata i den medlemsstat hvor disse sundhedsdataindehavere er etableret eller gennem de tjenester, der leveres af Kommissionen i HealthData@EU, jf. artikel 75. Ansøgningen om adgang til sundhedsdata sendes automatisk til de relevante autoriserede deltagere i HealthData@EU og til organerne med ansvar for adgang til sundhedsdata i de medlemsstater, hvor sundhedsdataindehaverne, der er identificeret i ansøgningen om adgang til sundhedsdata, er etableret.
4.   Hvis sundhedsdataansøgeren søger adgang til de personlige elektroniske sundhedsdata i pseudonymiseret format, forelægger sundhedsdataansøgeren sammen med ansøgningen om adgang til sundhedsdata en beskrivelse af, hvordan behandlingen vil være i overensstemmelse med gældende EU-ret eller national ret om databeskyttelse og privatlivets fred, navnlig med forordning (EU) 2016/679 og mere specifikt med artikel 6, stk. 1, deri.
5.   Offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer giver de samme oplysninger som dem, der kræves i henhold til stk. 2 og 4, med undtagelse af stk. 2, litra h), i hvilke tilfælde de i stedet indsender elektroniske sundhedsdata om den periode, i hvilken dataene kan tilgås, hyppigheden af denne adgang eller hyppigheden af dataajourføringer.
Artikel 68
Datatilladelse
1.   Med henblik på at give adgang til elektroniske sundhedsdata, vurderer organerne med ansvar for adgang til sundhedsdata om alle følgende kriterier er opfyldt:
a)
de formål, der er beskrevet i ansøgningen om adgang til sundhedsdata, svarer til et eller flere af de formål, der er anført i artikel 53, stk. 1
b)
de ønskede data er nødvendige, tilstrækkelige og forholdsmæssige til de formål, der er beskrevet i ansøgningen om adgang til sundhedsdata, under hensyntagen til krav om dataminimering og formålsbegrænsning, jf. artikel 66
c)
behandlingen er i overensstemmelse med artikel 6, stk. 1, i forordning (EU) 2016/679, og i tilfælde af pseudonymiserede data er der tilstrækkelig begrundelse for, at formålet ikke kan opfyldes med anonymiserede oplysninger
d)
sundhedsdataansøgeren er kvalificeret i forhold til de erklærede formål med dataanvendelse og har passende ekspertise, herunder faglige kvalifikationer inden for sundhedsydelser, pleje, folkesundhed eller forskning, i overensstemmelse med etisk praksis og gældende love og bestemmelser
e)
sundhedsdataansøgeren dokumenterer tilstrækkelige tekniske og organisatoriske foranstaltninger til at forhindre misbrug af de elektroniske sundhedsdata og til at beskytte sundhedsdataindehaverens og de berørte fysiske personers rettigheder og interesser
f)
oplysningerne om den i artikel 67, stk. 2, litra j), omhandlede vurdering af de etiske aspekter af behandlingen er i givet fald i overensstemmelse med national ret
g)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er påkrævet i national ret i henhold til nævnte artikel, er blevet givet
h)
sundhedsdataansøgeren opfylder alle andre krav i dette kapitel.
2.   Organet med ansvar for adgang til sundhedsdata tager også følgende i betragtning:
a)
risici for det nationale forsvar, sikkerheden, den offentlige sikkerhed og den offentlige orden
b)
risikoen for underminering af fortroligheden af data i de regulerende myndigheders statslige databaser.
3.   Hvis organet med ansvar for adgang til sundhedsdata konkluderer, at kravene i stk. 1 er opfyldt, og at de risici, der er omhandlet i stk. 2, er tilstrækkeligt afbødet, giver organet med ansvar for adgang til sundhedsdata adgang til elektroniske sundhedsdata ved at udstede en datatilladelse. Organer med ansvar for adgang til sundhedsdata afslår alle ansøgninger om adgang til sundhedsdata, for hvilke kravene i dette kapitel ikke er opfyldt.
Hvis kravene til udstedelse af en datatilladelse ikke er opfyldt, men kravene om at give et svar i et anonymiseret statistisk format i henhold til artikel 69 er opfyldt, kan organet med ansvar for adgang til sundhedsdata beslutte at give et sådant svar på betingelse af, at afgivelsen af svaret vil mindske risiciene, og, hvis formålet med ansøgningen om adgang til sundhedsdata kan opfyldes på denne måde, at sundhedsdataansøgeren indvilliger i at modtage et svar i et anonymiseret statistisk format i henhold til artikel 69.
4.   Uanset forordning (EU) 2022/868 skal et organ med ansvar for adgang til sundhedsdata udstede eller afslå en datatilladelse senest tre måneder efter modtagelsen af en fuldstændig ansøgning om adgang til sundhedsdata. Hvis organet med ansvar for adgang til sundhedsdata konstaterer, at ansøgningen om adgang til sundhedsdata er ufuldstændig, underretter det sundhedsdataansøgeren herom og giver denne mulighed for at fuldstændiggøre den pågældende ansøgning. Hvis sundhedsdataansøgeren ikke fuldstændiggøre ansøgningen om adgang til sundhedsdata inden for fire uger, udstedes der ikke en datatilladelse.
Organet med ansvar for adgang til sundhedsdata kan forlænge fristen for besvarelse af en ansøgning om adgang til sundhedsdata med yderligere tre måneder, hvis det er nødvendigt, under hensyntagen til ansøgningen om adgang til sundhedsdatas hastende karakter og kompleksitet og omfanget af ansøgninger om adgang til sundhedsdata, der er indgivet til afgørelse. I sådanne tilfælde underretter organet med ansvar for adgang til sundhedsdata hurtigst muligt sundhedsdataansøgeren om, at der er behov for mere tid til at behandle ansøgningen om adgang til sundhedsdata, sammen med årsagerne til forsinkelsen.
5.   Ved behandling af en ansøgning om adgang til sundhedsdata med henblik på grænseoverskridende adgang til elektroniske sundhedsdata, der er omhandlet i artikel 67, stk. 3, er organer med ansvar for adgang til sundhedsdata og relevante autoriserede deltagere i HealthData@EU, jf. artikel 75, fortsat ansvarlige for at vedtage afgørelser om at give eller nægte adgang til elektroniske sundhedsdata inden for deres ansvarsområde i overensstemmelse dette kapitel.
De pågældende organer med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU underretter hinanden om deres afgørelser. De kan tage hensyn til disse oplysninger, når de træffer afgørelse om at give eller nægte adgang til elektroniske sundhedsdata.
En datatilladelse udstedt af et organ med ansvar for adgang til sundhedsdata kan opnå gensidig anerkendelse fra de andre organer med ansvar for adgang til sundhedsdata.
6.   Medlemsstaterne fastsætter bestemmelser om en fremskyndet procedure for ansøgning om adgang til sundhedsdata for offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer med et retligt mandat på folkesundhedsområdet, hvis behandlingen af elektroniske sundhedsdata skal foretages med henblik på de formål, der er fastsat i artikel 53, stk. 1, litra a), b) og c).
Hvis en sådan fremskyndet procedure finder anvendelse, skal organet med ansvar for adgang til sundhedsdata udstede eller afslå en datatilladelse senest to måneder efter modtagelsen af en fuldstændig ansøgning om adgang til sundhedsdata. Organet med ansvar for adgang til sundhedsdata kan om nødvendigt forlænge fristen for besvarelse af en ansøgning om adgang til sundhedsdata med yderligere en måned.
7.   Efter udstedelsen af datatilladelsen anmoder organet med ansvar for adgang til sundhedsdata straks om de elektroniske sundhedsdata fra dataindehaveren. Organet med ansvar for adgang til sundhedsdata stiller de elektroniske sundhedsdata til rådighed for sundhedsdatabrugeren senest to måneder efter at have modtaget dem fra sundhedsdataindehaverne, medmindre organet angiver, at dataene skal leveres inden for en længere nærmere fastsat frist.
8.   I de tilfælde, der er omhandlet i denne artikels stk. 5, første afsnit, kan organerne med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU, der har udstedt henholdsvis en datatilladelse eller en adgangsgodkendelse, beslutte at give adgang til de elektroniske sundhedsdata i det sikre databehandlingsmiljø, som Kommissionen stiller til rådighed, jf. artikel 75, stk. 9.
9.   Hvis organet med ansvar for adgang til sundhedsdata afslår at udstede en datatilladelse, skal det give sundhedsdataansøgeren en begrundelse for dette afslag.
10.   Hvis organet med ansvar for adgang til sundhedsdata udsteder en datatilladelse, fastsætter det i denne datatilladelse de generelle betingelser, der gælder for sundhedsdatabrugeren. Datatilladelsen skal indeholde følgende:
a)
kategorierne, specifikationen og formatet af de elektroniske sundhedsdata, hvortil der skal opnås adgang, og som er omfattet af datatilladelsen, herunder deres kilder og en angivelse af, hvorvidt de elektroniske sundhedsdata skal tilgås i et pseudonymiseret format i det sikre databehandlingsmiljø
b)
en detaljeret beskrivelse af de formål, hvortil de elektroniske sundhedsdata stilles til rådighed
c)
hvis en mekanisme til gennemførelse af en undtagelse er fastsat og finder anvendelse i henhold til artikel 71, stk. 4, oplysninger om, hvorvidt den er blevet anvendt, og begrundelsen for de dertil knyttede afgørelser
d)
identiteten på de autoriserede personer, navnlig identiteten på hovedinvestigatoren, med adgangsrettigheder til de elektroniske sundhedsdata i det sikre databehandlingsmiljø
e)
datatilladelsens varighed
f)
oplysninger om de tekniske karakteristika og værktøjer, der er til rådighed for sundhedsdatabrugeren i det sikre databehandlingsmiljø
g)
de gebyrer, der skal betales af sundhedsdatabrugeren
h)
eventuelle specifikke betingelser.
11.   Sundhedsdatabrugere har ret til at få adgang til og behandle de elektroniske sundhedsdata i et sikkert databehandlingsmiljø i overensstemmelse med den datatilladelse, der er udstedt på grundlag af denne forordning.
12.   Der udstedes en datatilladelse for den periode, der er nødvendig for at opfylde de ønskede formål, og denne periode må ikke overstige ti år. Denne periode kan forlænges én gang med en periode, som ikke overstiger ti år, efter anmodning fra sundhedsdatabrugeren, der skal omfatte en begrundelse og dokumentation til støtte for forlængelsen, hvilket skal indgives én måned før datatilladelsens udløb. Organet med ansvar for adgang til sundhedsdata kan opkræve gebyrer, som stiger for at afspejle omkostningerne og risiciene ved lagring af elektroniske sundhedsdata i en periode, der overstiger den første periode. For at reducere sådanne omkostninger og gebyrer kan organet med ansvar for adgang til sundhedsdata også foreslå sundhedsdatabrugeren at lagre datasættet i et lagringssystem med reduceret kapacitet. En sådan reduceret kapacitet må ikke påvirke sikkerheden af det behandlede datasæt. De elektroniske sundhedsdata i det sikre databehandlingsmiljø slettes senest seks måneder efter datatilladelsens udløb. Efter anmodning fra sundhedsdatabrugeren kan formlen for oprettelse af det ønskede datasæt lagres af organet med ansvar for adgang til sundhedsdata.
13.   Hvis datatilladelsen skal ajourføres, skal sundhedsdatabrugeren indgive en anmodning om ændring af datatilladelsen.
14.   Kommissionen kan ved hjælp af en gennemførelsesretsakt udvikle et logo til anerkendelse af det europæiske sundhedsdataområdes bidrag. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 69
Sundhedsdataanmodning
1.   Sundhedsdataansøgeren kan indgive en sundhedsdataanmodning til de i artikel 53 omhandlede formål, med det formål at opnå et svar udelukkende i et anonymiseret statistisk format. Et organ med ansvar for adgang til sundhedsdata må ikke besvare en sundhedsdataanmodning i et andet format, og sundhedsdatabrugeren må ikke få adgang til de elektroniske sundhedsdata, der anvendes til at give dette svar.
2.   En sundhedsdataanmodning, der er omhandlet i stk. 1, skal indeholde følgende oplysninger:
a)
sundhedsdataansøgerens identitet og en beskrivelse af den pågældende sundhedsdataansøgers erhvervsmæssige funktioner og aktiviteter
b)
en detaljeret redegørelse for den påtænkte anvendelse af de elektroniske sundhedsdata, herunder de i artikel 53, stk. 1, omhandlede formål til hvilke sundhedsdataanmodningen er indgivet
c)
en beskrivelse af de elektroniske sundhedsdata, der anmodes om, deres format og kilderne til disse data, hvis det er muligt
d)
en beskrivelse af det statistiske indhold
e)
en beskrivelse af de garantier, der er planlagt for at forhindre ethvert misbrug af de elektroniske sundhedsdata, der anmodes om
f)
en beskrivelse af, hvordan behandlingen vil være i overensstemmelse med artikel 6, stk. 1, i forordning (EU) 2016/679 eller artikel 5, stk. 1, og artikel 10, stk. 2, i forordning (EU) 2018/1725
g)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er krævet i den forbindelse i national ret i henhold til nævnte artikel.
3.   Organet med ansvar for adgang til sundhedsdata vurderer, om sundhedsdataanmodningen er fuldstændig, og tager hensyn til de risici, der er omhandlet i artikel 68, stk. 2.
4.   Organet med ansvar for adgang til sundhedsdata foretager en vurdering af sundhedsdataanmodningen inden for tre måneder fra modtagelsen af anmodningen og forelægger om muligt efterfølgende svaret for sundhedsdatabrugeren inden for yderligere tre måneder.
Artikel 70
Modeller for støtte til adgang til elektroniske sundhedsdata til sekundær anvendelse
Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter modellerne for ansøgningen om adgang til sundhedsdata, datatilladelsen og sundhedsdataanmodningen, der er omhandlet i henholdsvis artikel 67, 68 og 69. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 71
Ret til at fravælge behandlingen af personlige elektroniske sundhedsdata til sekundær anvendelse (opt-out)
1.   Fysiske personer har til enhver tid og uden at skulle give nogen grund hertil ret til at fravælge behandlingen af personlige elektroniske sundhedsdata vedrørende dem, til sekundær anvendelse i henhold til denne forordning. Udøvelsen af denne ret er reversibel.
2.   Medlemsstater sikrer, at der indføres en tilgængelig og letforståelig fravalgsmekanisme til udøvelsen af den i stk. 1 fastsatte ret, hvor fysiske personer udtrykkeligt kan tilkendegive, at de ikke ønsker deres personlige elektroniske sundhedsdata behandlet til sekundær anvendelse.
3.   Når fysiske personer har udøvet deres ret til fravalg, og hvor personlige elektroniske sundhedsdata vedrørende dem kan identificeres i et datasæt, må personlige elektroniske sundhedsdata vedrørende disse fysiske personer ikke stilles til rådighed eller på anden måde behandles i henhold til datatilladelser udstedt i henhold til artikel 68 eller i henhold til sundhedsdataanmodninger godkendt i henhold til artikel 69, efter at den fysiske person har udøvet retten til fravalg.
Dette stykkes første afsnit berører ikke behandlingen til sekundær anvendelse af personlige elektroniske sundhedsdata, som vedrører disse fysiske personer, i henhold til datatilladelser eller sundhedsdataanmodninger, der blev udstedt eller godkendt, inden de fysiske personer udøvede deres ret til fravalg.
4.   Uanset den i stk. 1 fastsatte ret til fravalg kan en medlemsstat i sin nationale ret fastsætte en mekanisme til at stille data, for hvilke der er gjort brug af retten til fravalg til rådighed, forudsat at alle følgende betingelser er opfyldt:
a)
ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen indgives af en offentlig myndighed eller en EU-institution, et EU-organ, -kontor eller -agentur med mandat til at udføre opgaver på folkesundhedsområdet eller af en anden enhed, der har fået overdraget at udføre offentlige opgaver på folkesundhedsområdet, eller som handler på vegne af eller er bestilt af en offentlig myndighed, og behandlingen af disse data er nødvendig til et af følgende formål:
i)
de i artikel 53, stk. 1, litra a), b) og c), omhandlede formål
ii)
videnskabelig forskning af hensyn til vigtige samfundsinteresser
b)
disse data kan ikke opnås ved hjælp af alternative midler på en rettidig og effektiv måde under ensartede betingelser
c)
sundhedsdataansøgeren har fremlagt den begrundelse, der er omhandlet i artikel 68, stk. 1, litra g), eller artikel i 69, stk. 2, litra g).
Den nationale ret vedrørende en sådan mekanisme skal fastsætte specifikke og passende foranstaltninger for at beskytte de fysiske personers grundlæggende rettigheder og personoplysninger.
Hvis en medlemsstat i sin nationale ret har givet mulighed for at anmode om adgang til data, for hvilke retten til fravalg er blevet udøvet, og betingelserne i dette stykkes første afsnit er opfyldt, kan disse data, medtages i forbindelse med udførelsen af opgaverne i henhold til artikel 57, stk. 1, litra a), nr. i) og iii), og litra b).
5.   De regler om en mekanisme til gennemførelse af undtagelser, der som en undtagelse til stk. 1 er fastsat i stk. 4, skal respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og skal være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at opfylde formål af offentlighedens interesse inden for legitime videnskabelige og samfundsmæssige mål.
6.   Enhver behandling, der udføres i overensstemmelse med mekanismen til gennemførelse af undtagelser, jf. nærværende artikels stk. 4, skal opfylde kravene i dette kapitel, navnlig forbuddet mod at reidentificere eller forsøg på at reidentificere fysiske personer i overensstemmelse med artikel 61, stk. 3. Enhver lovgivningsmæssig foranstaltning, som i national ret fastsætter en mekanisme som omhandlet i nærværende artikels stk. 4, skal omfatte specifikke bestemmelser om sikkerheden og beskyttelsen af fysiske personers rettigheder.
7.   Medlemsstaterne giver straks Kommissionen meddelelse om de bestemmelser i deres nationale ret, som de vedtager i henhold til stk. 4, og om alle senere ændringer, der berører dem.
8.   Hvis formålene med en sundhedsdataindehavers behandling af personlige elektroniske sundhedsdata, ikke eller ikke længere kræver, at den dataansvarlige identificerer en registreret, er den pågældende sundhedsdataindehaver ikke forpligtet til at beholde, indhente eller behandle yderligere oplysninger med henblik på at identificere den registrerede alene med det formål at overholde retten til fravalg i henhold til denne artikel.
Artikel 72
Forenklet procedure for adgang til elektroniske sundhedsdata fra en betroet sundhedsdataindehaver
1.   Hvis et organ med ansvar for adgang til sundhedsdata modtager en ansøgning om adgang til sundhedsdata i henhold til artikel 67 eller en sundhedsdataanmodning i henhold til artikel 69, som kun omfatter elektroniske sundhedsdata, som en betroet sundhedsdataindehaver, der er udpeget i overensstemmelse med nærværende artikels stk. 2, er i besiddelse af, finder proceduren i nærværende artikels stk. 4-6 anvendelse.
2.   Medlemsstaterne kan indføre en procedure, hvorefter sundhedsdataindehavere kan ansøge om at blive udpeget som betroede sundhedsdataindehavere, forudsat at sundhedsdataindehaverne opfylder følgende betingelser:
a)
de kan give adgang til sundhedsdata gennem et sikkert databehandlingsmiljø, der er i overensstemmelse med artikel 73
b)
de har den nødvendige ekspertise til at vurdere ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger
c)
de giver de nødvendige garantier for at sikre, at denne forordning overholdes.
Medlemsstaterne udpeger betroede sundhedsdataindehavere efter en vurdering af opfyldelsen af disse betingelser foretaget af det relevante organ med ansvar for adgang til sundhedsdata.
Medlemsstaterne indfører en procedure for regelmæssigt at undersøge, om den betroede sundhedsdataindehaver fortsat opfylder disse betingelser.
Organer med ansvar for adgang til sundhedsdata angiver de betroede sundhedsdataindehavere i det artikel 77 omhandlede datasætkatalog.
3.   Ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger som omhandlet i stk. 1 indgives til organet med ansvar for adgang til sundhedsdata, som kan videresende dem til den relevante betroede sundhedsdataindehaver.
4.   Efter modtagelse af en ansøgning om adgang til sundhedsdata eller en sundhedsdataanmodning i henhold til denne artikels stk. 3 vurderer den betroede sundhedsdataindehaver ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen i forhold til kriterierne i artikel 68, stk. 1 og 2, eller artikel 69, stk. 2 og 3, alt efter hvad der er relevant.
5.   Den betroede sundhedsdataindehaver indgiver vurderingen, som den foretager i henhold til stk. 4, ledsaget af et forslag til afgørelse til organet med ansvar for adgang til sundhedsdata senest to måneder efter modtagelsen af ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen fra organet med ansvar for adgang til sundhedsdata. Senest to måneder efter modtagelsen af vurderingen træffer organet med ansvar for adgang til sundhedsdata en afgørelse om ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen. Organet med ansvar for adgang til sundhedsdata er ikke bundet af det forslag, der indgives af den betroede sundhedsdataindehaver.
6.   Når organet med ansvar for adgang til sundhedsdata har besluttet at udstede datatilladelsen eller godkende sundhedsdataanmodningen, udfører den betroede sundhedsdataindehaver de opgaver, der er omhandlet i artikel 57, stk. 1, litra a), nr. i), og litra b).
7.   Unionens tjeneste for adgang til sundhedsdata, som omhandlet i artikel 56, kan udpege sundhedsdataindehavere, der er EU-institutioner, -organer, -kontorer eller -agenturer, og som opfylder betingelserne, der er fastsat i nærværende artikels stk. 2, første afsnit, litra a), b) og c), som betroede sundhedsdataindehavere. I så fald finder nærværende artikels stk. 2, tredje og fjerde afsnit, samt stk. 3-6, tilsvarende anvendelse.
Artikel 73
Sikkert databehandlingsmiljø
1.   Organer med ansvar for adgang til sundhedsdata må kun give adgang til elektroniske sundhedsdata i henhold til en datatilladelse gennem et sikkert databehandlingsmiljø, som er underlagt tekniske og organisatoriske foranstaltninger og sikkerheds- og interoperabilitetskrav. Navnlig skal man i forbindelse med det sikre databehandlingsmiljø overholde følgende sikkerhedsforanstaltninger:
a)
begrænsningen af adgangen til det sikre databehandlingsmiljø til autoriserede fysiske personer, der er opført på listen i de datatilladelser, der er udstedt i henhold til artikel 68
b)
minimeringen af risikoen for uautoriseret læsning, kopiering, ændring eller fjernelse af elektroniske sundhedsdata, der lagres i det sikre databehandlingsmiljø, ved hjælp af de nyeste tekniske og organisatoriske foranstaltninger
c)
begrænsningen af adgangen til at indlæse elektroniske sundhedsdata samt kontrollere, ændre eller slette elektroniske sundhedsdata, der lagres i det sikre databehandlingsmiljø, til et begrænset antal autoriserede identificerbare personer
d)
der sikrer, at sundhedsdatabrugere kun har adgang til de elektroniske sundhedsdata, der er omfattet af deres datatilladelse, udelukkende ved hjælp af individuelle og unikke brugeridentiteter og fortrolige adgangsmetoder
e)
opbevaring af identificerbare logfiler for adgang til og aktiviteter i det sikre databehandlingsmiljø i den periode, der er nødvendig for at verificere og kontrollere alle behandlingsaktiviteter i det pågældende miljø; logfiler for adgang opbevares i mindst ét år
f)
der sikrer overholdelse og overvågning af de sikkerhedsforanstaltninger, der er omhandlet i dette stykke, for at afbøde potentielle sikkerhedstrusler.
2.   Organer med ansvar for adgang til sundhedsdata sikrer, at sundhedsdataindehaverne kan uploade elektroniske sundhedsdata i det format, der er specificeret i datatilladelsen, og at de kan tilgås af sundhedsdatabrugeren i et sikkert databehandlingsmiljø.
Organer med ansvar for adgang til sundhedsdata gennemgår de elektroniske sundhedsdata i en anmodning om download for at sikre, at sundhedsdatabrugere kun må kunne downloade andre elektroniske sundhedsdata end personoplysninger, herunder elektroniske sundhedsdata i et anonymiseret statistisk format, fra det sikre databehandlingsmiljø.
3.   Organer med ansvar for adgang til sundhedsdata sikrer, at kontroller af de sikre databehandlingsmiljøer foretages regelmæssigt, herunder af tredjeparter, og træffer øjeblikkelige korrigerende tiltag ved enhver mangel, risiko eller sårbarhed, der identificeres ved disse kontroller i de sikre databehandlingsmiljøer.
4.   Hvis anerkendte dataaltruistiske organisationer i henhold til kapitel IV i forordning (EU) 2022/868 behandler personlige elektroniske sundhedsdata ved hjælp af et sikkert databehandlingsmiljø, skal disse miljøer også overholde de sikkerhedsforanstaltninger, der er fastsat i nærværende artikels stk. 1, litra a)-f).
5.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de tekniske og organisatoriske krav og kravene til informationssikkerhed, fortrolighed, databeskyttelse og interoperabilitet for de sikre databehandlingsmiljøer, herunder for så vidt angår de tekniske karakteristika og værktøjer, der er til rådighed for sundhedsdatabrugeren i det sikre databehandlingsmiljø. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 74
Dataansvar
1.   Sundhedsdataindehaveren betragtes som dataansvarlig med hensyn til at stille de personlige elektroniske sundhedsdata, der ønskes i henhold til artikel 60, stk. 1, til rådighed for organet med ansvar for adgang til sundhedsdata.
Organet med ansvar for adgang til sundhedsdata betragtes som dataansvarlig med hensyn til behandling af de personlige elektroniske sundhedsdata, når det udfører sine opgaver i henhold til denne forordning.
Uanset dette stykkes andet afsnit anses organet med ansvar for adgang til sundhedsdata for at handle på vegne af sundhedsdatabrugeren, der handler som dataansvarlig for behandlingen af de personlige elektroniske sundhedsdata i henhold til en datatilladelse udstedt i henhold til artikel 68 i det sikre databehandlingsmiljø, når det leverer data gennem et sådant miljø, eller i forhold til behandlingen af sådanne data i henhold til en sundhedsdataanmodning godkendt i henhold til artikel 69 med henblik på at generere et svar.
2.   I de situationer, der er omhandlet i artikel 72, stk. 6, betragtes den betroede sundhedsdataindehaver som dataansvarlig for behandlingen af personlige elektroniske sundhedsdata i forbindelse med levering af elektroniske sundhedsdata til sundhedsdatabrugeren i henhold til en datatilladelse eller en sundhedsdataanmodning. Den betroede sundhedsdataindehaver anses for at fungere som databehandler på vegne af sundhedsdatabrugeren, når vedkommende leverer data gennem et sikkert databehandlingsmiljø.
3.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge en model for aftaler mellem dataansvarlige og databehandlere i henhold til denne artikels stk. 1 og 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
AFDELING 4
Grænseoverskridende infrastruktur til sekundær anvendelse
Artikel 75
HealthData@EU
1.   Hver medlemsstat udpeger ét nationalt kontaktpunkt for sekundær anvendelse. Dette nationale kontaktpunkt for sekundær anvendelse fungerer som en organisatorisk og teknisk portal, der giver mulighed for og er ansvarligt for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse i en grænseoverskridende sammenhæng. Det nationale kontaktpunkt for sekundær anvendelse kan være det i artikel 55, stk. 1, omhandlede koordinerende organ med ansvar for adgang til sundhedsdata. Hver medlemsstat underretter senest den 26. marts 2027 Kommissionen om navnet på og kontaktoplysninger for det nationale kontaktpunkt for sekundær anvendelse. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
2.   Unionens tjeneste for adgang til sundhedsdata fungerer som EU-institutionernes, -organernes, -kontorernes og -agenturernes kontaktpunkt for sekundær anvendelse og er ansvarlig for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse.
3.   De i stk. 1 omhandlede nationale kontaktpunkter for sekundær anvendelse, og Unionens tjeneste for adgang til sundhedsdata, der er omhandlet i stk. 2, tilsluttes den grænseoverskridende infrastruktur til sekundær anvendelse, dvs. HealthData@EU. De nationale kontaktpunkter for sekundær anvendelse og Unionens tjeneste for adgang til sundhedsdata letter grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse for forskellige autoriserede deltagere i HealthData@EU. De nationale kontaktpunkter for sekundær anvendelse arbejder tæt sammen med hinanden og med Kommissionen.
4.   Sundhedsrelaterede forskningsinfrastrukturer eller lignende infrastrukturer, hvis funktion er baseret på EU-retten, og som yder støtte til anvendelsen af elektroniske sundhedsdata til forskning, politikudformning, statistik, patientsikkerhed eller reguleringsmæssige formål, kan blive autoriserede deltagere i HealthData@EU og tilslutte sig det.
5.   Tredjelande eller internationale organisationer kan blive autoriserede deltagere HealthData@EU, hvis de overholder bestemmelserne i dette kapitel og giver adgang for sundhedsdatabrugere, der befinder sig i Unionen, på tilsvarende vilkår og betingelser til de elektroniske sundhedsdata, der er tilgængelige for deres organer med ansvar for adgang til sundhedsdata, forudsat at kapitel V i forordning (EU) 2016/679 overholdes.
Kommissionen kan ved hjælp af gennemførelsesretsakter fastslå, at et nationalt kontaktpunkt for sekundær anvendelse i et tredjeland eller et system, der er oprettet på internationalt plan af en international organisation, opfylder kravene i HealthData@EU med henblik på sekundær anvendelse af sundhedsdata, er i overensstemmelse med dette kapitel og giver sundhedsdatabrugere, der befinder sig i Unionen, adgang til de elektroniske sundhedsdata, som det har adgang til, på vilkår og betingelser svarende til dem, der gælder for HealthData@EU. Overholdelsen af disse retlige, organisatoriske, tekniske og sikkerhedsmæssige krav, herunder kravene til sikre databehandlingsmiljøer i artikel 73, kontrolleres under Kommissionens kontrol. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen gør listen over gennemførelsesretsakter vedtaget i henhold til dette stykke offentligt tilgængelig.
6.   Hvert nationalt kontaktpunkt for sekundær anvendelse og hver autoriseret deltager HealthData@EU skal have den nødvendige tekniske kapacitet til at tilslutte sig og deltage i HealthData@EU. De skal opfylde de krav og tekniske specifikationer, der er nødvendige for at drive HealthData@EU og give dem mulighed for at forbinde sig med den.
7.   Medlemsstaterne og Kommissionen opretter HealthData@EU for at støtte og lette grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse, der forbinder de nationale kontaktpunkter for sekundær anvendelse og autoriserede deltagere i HealthData@EU og den i stk. 8 omhandlede centrale platform.
8.   Kommissionen udvikler, udruller og driver en central platform for HealthData@EU ved at levere de informationsteknologitjenester, der er nødvendige for at støtte og lette informationsudvekslingen mellem organer med ansvar for adgang til sundhedsdata som en del af HealthData@EU. Kommissionen behandler kun elektroniske sundhedsdata på vegne af de dataansvarlige som databehandler.
9.   Hvis to eller flere nationale kontaktpunkter for sekundær anvendelse anmoder herom, kan Kommissionen tilvejebringe et sikkert databehandlingsmiljø, som opfylder kravene i artikel 73, for data fra mere end én medlemsstat. Hvis to eller flere nationale kontaktpunkter for sekundær anvendelse eller autoriserede deltagere i HealthData@EU indlæser elektroniske sundhedsdata i et sikkert databehandlingsmiljø, der forvaltes af Kommissionen, er de fælles dataansvarlige, og Kommissionen er databehandler med henblik på behandlingen af data i dette miljø.
10.   De nationale kontaktpunkter for sekundær anvendelse fungerer som fælles dataansvarlige for de behandlingsaktiviteter, der udføres i HealthData@EU, som de er involveret i, og Kommissionen fungerer som databehandler på vegne af disse nationale kontaktpunkter for sekundær anvendelse, uden at det berører opgaverne for organerne med ansvar for adgang til sundhedsdata forud for og efter disse behandlingsaktiviteter.
11.   Medlemsstaterne og Kommissionen bestræber sig på at, HealthData@EU er interoperabelt med andre relevante fælles europæiske dataområder som omhandlet i forordning (EU) 2022/868 og (EU) 2023/2854.
12.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter regler om:
a)
krav, tekniske specifikationer og IT-arkitektur på HealthData@EU, som skal sikre det mest avancerede niveau af datasikkerhed, fortrolighed og beskyttelse af elektroniske sundhedsdata i HealthData@EU
b)
betingelser og overensstemmelseskontrol, der kræves for at kunne tilslutte sig og forblive forbundet med HealthData@EU, og betingelser for midlertidig afbrydelse eller endelig udelukkelse fra HealthData@EU, herunder specifikke bestemmelser for så vidt angår tilfælde af alvorlige forseelser eller gentagne overtrædelser
c)
de minimumskriterier, som de nationale kontaktpunkter for sekundær anvendelse og de autoriserede deltagere i HealthData@EU skal opfylde
d)
ansvarsområderne for de dataansvarlige og databehandlere, der deltager i HealthData@EU
e)
de dataansvarliges og databehandleres ansvar for det sikre behandlingsmiljø, der forvaltes af Kommissionen
f)
fælles specifikationer for HealthData@EU-arkitektur for dets interoperabilitet med andre fælles europæiske dataområder.
Gennemførelsesretsakterne omhandlet i dette stykkes første afsnit vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
13.   Hvis resultatet af den i denne artikels stk. 5, omhandlede overensstemmelseskontrol er positivt, kan Kommissionen ved hjælp af gennemførelsesretsakter træffe afgørelser om at lade individuelle autoriserede deltagere tilslutte sig HealthData@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 76
Adgang til grænseoverskridende registre eller databaser over elektroniske sundhedsdata til sekundær anvendelse
1.   I tilfælde af grænseoverskridende registre og databaser har det organ med ansvar for adgang til sundhedsdata, hvor sundhedsdataindehaveren for det specifikke register eller den specifikke database er registreret, kompetence til at træffe afgørelse om ansøgninger om adgang til sundhedsdata med henblik på at give adgang til elektroniske sundhedsdata i henhold til en datatilladelse. Hvis sådanne registre eller databaser har fælles dataansvarlige, er det organ med ansvar for adgang til sundhedsdata, der træffer afgørelse om ansøgningerne om adgang til sundhedsdata, der skal anvendes til at give adgang til elektroniske sundhedsdata, organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor en af de fælles dataansvarlige er etableret.
2.   Hvis registre eller databaser fra en række medlemsstater organiserer sig i et enkelt netværk af registre eller databaser på EU-plan, kan de tilknyttede registre eller databaser udpege en koordinator for at sikre levering af data fra registrenes eller databasernes netværk til sekundær anvendelse. Organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor nettets koordinator er etableret, har kompetence til at træffe afgørelse om ansøgninger om adgang til sundhedsdata, der skal anvendes med henblik på at give adgang til elektroniske sundhedsdata for netværket af registre eller databaser.
AFDELING 5
Kvalitet og udnyttelse af sundhedsdata til sekundær anvendelse
Artikel 77
Beskrivelse af datasæt og datasætkatalog
1.   Organer med ansvar for adgang til sundhedsdata giver via et offentligt tilgængeligt og standardiseret maskinlæsbart datasætkatalog en beskrivelse i form af metadata af de tilgængelige datasæt og deres karakteristika. Beskrivelsen af hvert datasæt skal indeholde oplysninger om kilden, omfanget, de vigtigste karakteristika og arten af de elektroniske sundhedsdata i datasættet og betingelserne for at stille disse data til rådighed.
2.   Beskrivelserne af datasættene i det nationale datasætkatalog skal være tilgængelige på mindst ét af Unionens officielle sprog. Det datasætkatalog for EU-institutioner, -organer, -kontorer og -agenturer, der leveres af Unionens tjeneste for adgang til sundhedsdata, skal være tilgængeligt på alle Unionens officielle sprog.
3.   Datasætkataloget stilles til rådighed for centrale informationssteder, der er oprettet eller udpeget i henhold til artikel 8 i forordning (EU) 2022/868.
4.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de elementer, som sundhedsdataindehavere som minimum skal stille til rådighed for datasæt, og disse elementers karakteristika. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 78
Datakvalitets- og dataudnyttelsesmærke
1.   Datasæt, der stilles til rådighed via organer med ansvar for adgang til sundhedsdata, kan være forsynet med et EU-datakvalitets- og dataudnyttelsesmærke fra sundhedsdataindehaverne.
2.   Datasæt med elektroniske sundhedsdata, der indsamles og behandles med støtte fra EU-midler eller national offentlig finansiering, skal være forsynet med et datakvalitets- og dataudnyttelsesmærke, der omfatter de elementer, der er fastsat i stk. 3.
3.   Datakvalitets- og dataudnyttelsesmærket skal omfatte følgende krav, hvor det er relevant:
a)
for datadokumentation: metadata, støttedokumentation, dataordbogen, det anvendte format og anvendte standarder, datakilden og, hvis det er relevant, datamodellen
b)
for vurdering af teknisk kvalitet: dataenes fuldstændighed, unikke karakter, nøjagtighed, gyldighed, aktualitet og konsekvens
c)
for datakvalitetsstyringsprocesser: modenhedsgraden af datakvalitetsstyringsprocesserne, herunder kontrol- og revisionsprocesser, og undersøgelse af skævheder
d)
for vurdering af dækningen: perioden, populationsdækning og, hvis det er relevant, repræsentativitet af populationen i stikprøven og den gennemsnitlige tidsramme, inden for hvilken en fysisk person optræder i et datasæt
e)
for oplysninger om adgang og tilrådighedsstillelse: tiden mellem indsamlingen af de elektroniske sundhedsdata og deres tilføjelse til datasættet og den tid, der er nødvendig til levering af elektroniske sundhedsdata efter udstedelsen af en datatilladelse eller godkendelse af en sundhedsdataanmodning
f)
for oplysninger om dataændringer: sammenlægning og tilføjelse af data til et eksisterende datasæt, herunder links til andre datasæt.
4.   Hvis et organ med ansvar for adgang til sundhedsdata har grund til at tro, at et datakvalitets- og dataudnyttelsesmærke kan være unøjagtigt, vurderer det, om det datasæt, der er omfattet af mærket, opfylder de i stk. 3, omhandlede kvalitetskrav, og tilbagekalder mærket, hvis datasættet ikke opfylder kvalitetskravene.
5.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre denne forordning ved at ændre, tilføje eller fjerne elementer, der skal være omfattet af det i nærværende artikels stk. 3 omhandlede datakvalitets- og dataudnyttelsesmærke.
6.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de visuelle karakteristika og tekniske specifikationer for datakvalitets- og dataudnyttelsesmærket på grundlag af de i denne artikels stk. 3 omhandlede elementer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. denne forordnings artikel 98, stk. 2. Disse gennemførelsesretsakter skal tage hensyn til kravene i artikel 10 i forordning (EU) 2024/1689 og eventuelle vedtagne fælles specifikationer eller harmoniserede standarder til støtte for disse krav, hvor det er relevant.
Artikel 79
EU-datasætkatalog
1.   Kommissionen udarbejder et EU-datasætkatalog, der forbinder de nationale datasætkataloger, der er oprettet af organerne med ansvar for adgang til sundhedsdata i hver medlemsstat samt datasætkatalogerne over autoriserede deltagere i HealthData@EU.
2.   EU-datasætkataloget, de nationale datasætkataloger samt datasætkatalogerne over autoriserede deltagere i HealthData@EU gøres offentligt tilgængelige.
Artikel 80
Minimumsspecifikationer for datasæt med stor indvirkning
Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte minimumsspecifikationer for datasæt med stor indvirkning på sekundær anvendelse under hensyntagen til eksisterende EU-infrastrukturer, -standarder, -retningslinjer og -anbefalinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
AFDELING 6
Klager
Artikel 81
Retten til at indgive en klage til et organ med ansvar for adgang til sundhedsdata
1.   Uden at det berører andre administrative klageadgange eller retsmidler, har fysiske og juridiske personer ret til at indgive en klage vedrørende de i dette kapitel fastlagte bestemmelser, individuelt eller, hvor det er relevant, kollektivt til et organ med ansvar for adgang til sundhedsdata forudsat at deres rettigheder eller interesser påvirkes negativt.
2.   Det organ med ansvar for adgang til sundhedsdata, som klagen er indgivet til, underretter klageren om de fremskridt, der er gjort med behandlingen af klagen, og om den trufne afgørelse vedrørende klagen.
3.   Organer med ansvar for adgang til sundhedsdata stiller let tilgængelige værktøjer til indgivelse af klager til rådighed.
4.   Hvis klagen vedrører fysiske personers rettigheder i henhold til denne forordnings artikel 71, fremsendes klagen til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679. Det relevante organ med ansvar for adgang til sundhedsdata stiller de nødvendige oplysninger til rådighed for den pågældende tilsynsmyndighed i henhold til forordning (EU) 2016/679 med henblik på at lette vurderingen og undersøgelsen af klagen.
KAPITEL V
YDERLIGERE FORANSTALTNINGER
Artikel 82
Kapacitetsopbygning
Kommissionen støtter udveksling af bedste praksis og ekspertise med henblik på at opbygge kapacitet i medlemsstaterne til at styrke de digitale sundhedssystemer til primær anvendelse og sekundær anvendelse under hensyntagen til de specifikke omstændigheder for de forskellige kategorier af involverede interessenter. For at støtte denne kapacitetsopbygning udarbejder Kommissionen i tæt samarbejde og samråd med medlemsstaterne indikatorer for selvevaluering for primær anvendelse og sekundær anvendelse.
Artikel 83
Uddannelse og oplysning af sundhedsprofessionelle
1.   Medlemsstaterne udvikler og gennemfører eller giver adgang til uddannelsesprogrammer og giver sundhedsprofessionelle adgang til oplysninger, så de kan forstå og effektivt udføre deres rolle i forbindelse med den primære anvendelse af og i forbindelse med adgang til elektroniske sundhedsdata, herunder i forbindelse med artikel 11, 13 og 16. Kommissionen støtter medlemsstaterne i den henseende.
2.   Uddannelsesprogrammerne og oplysningerne skal være tilgængelige og økonomisk overkommelige for alle sundhedsprofessionelle, uden at dette berører tilrettelæggelsen af sundhedssystemerne på nationalt plan.
Artikel 84
Digital sundhedskompetence og digital sundhedsadgang
1.   Medlemsstaterne fremmer og støtter digitale sundhedskompetencer og udviklingen af relevante kompetencer og færdigheder for patienter. Kommissionen støtter medlemsstaterne i den henseende. Bevidstgørelseskampagner eller -programmer har navnlig til formål at oplyse patienter og offentligheden generelt om primær anvendelse og sekundær anvendelse inden for rammerne af det europæiske sundhedsdataområde, herunder om de rettigheder, der følger heraf, samt om de fordele, risici og potentielle gevinster for videnskaben og samfundet forbundet med primær anvendelse og sekundær anvendelse.
2.   De i stk. 1 omhandlede bevidstgørelseskampagner og -programmer skal skræddersys til specifikke gruppers behov og udvikles, revideres og om nødvendigt ajourføres.
3.   Medlemsstaterne fremmer adgangen til den infrastruktur, som er nødvendig til effektiv administration af fysiske personers elektroniske sundhedsdata i forbindelse med både primær anvendelse og sekundær anvendelse.
Artikel 85
Yderligere krav til offentlige udbud og EU-finansiering
1.   Ordregivende myndigheder, herunder digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata og EU-institutioner, -organer, -kontorer eller -agenturer, henviser til de gældende tekniske specifikationer, standarder og profiler som omhandlet i artikel 15, 23, 36, 73, 75 og 78 i forbindelse med procedurer for offentlige indkøb og ved udarbejdelsen af deres udbudsdokumenter eller indkaldelser af forslag samt ved fastlæggelsen af betingelserne for EU-finansiering i forbindelse med denne forordning, herunder grundforudsætninger for struktur- og samhørighedsfondene.
2.   Kriterierne for at opnå finansiering fra Unionen skal tage hensyn til de krav, der er udviklet inden for rammerne af kapitel II, III og IV.
Artikel 86
Lagring af personlige elektroniske sundhedsdata til primær anvendelse
I overensstemmelse med de generelle principper i EU-retten, herunder de grundlæggende rettigheder, der er nedfældet i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, sikrer medlemsstaterne, at et særligt højt beskyttelses- og sikkerhedsniveau er på plads ved behandlingen af personlige elektroniske sundhedsdata til primær anvendelse, idet de træffer passende tekniske og organisatoriske foranstaltninger. I den sammenhæng og i overensstemmelse med EU-retten og Unionens internationale forpligtelser er denne forordning ikke til hinder for, at man i henhold til national ret, og under hensyntagen til den nationale kontekst, kan kræve, at lagringen af personlige elektroniske sundhedsdata, jf. denne forordnings artikel 14, med henblik på primær anvendelse finder sted i Unionen i tilfælde, hvor personlige elektroniske sundhedsdata behandles af sundhedstjenesteydere i forbindelse med levering af sundhedsydelser eller af de nationale kontaktpunkter for digital sundhed, der er forbundet med MyHealth@EU.
Artikel 87
Lagring af personlige elektroniske sundhedsdata af organer med ansvar for adgang til sundhedsdata og sikre databehandlingsmiljøer
1.   Organer med ansvar for adgang til sundhedsdata, betroede sundhedsdataindehavere og Unionens tjeneste for adgang til sundhedsdata lagrer og behandler personlige elektroniske sundhedsdata i Unionen, når de udfører pseudonymisering, anonymisering og enhver anden behandling af personoplysninger, som omhandlet i artikel 67-72, gennem sikre databehandlingsmiljøer som omhandlet i artikel 73 og artikel 75, stk. 9, eller via HealthData@EU. Dette krav finder anvendelse på enhver enhed, der udfører disse opgaver på vegne af sådanne organer eller indehavere eller af en sådan tjeneste.
2.   Uanset denne artikels stk. 1 kan de oplysninger, der er omhandlet i nævnte stykke, lagres og behandles i et tredjeland eller et område eller én eller flere specificerede sektorer i det pågældende tredjeland, hvis et sådant land eller område eller en sådan sektor er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget i henhold til artikel 45 i forordning (EU) 2016/679.
Artikel 88
Overførsel fra tredjelande af andre elektroniske data end personoplysninger
1.   Andre elektroniske sundhedsdata end personoplysninger, der af organer med ansvar for adgang til sundhedsdata stilles til rådighed for en sundhedsdatabruger i et tredjeland i medfør af en datatilladelse udstedt i henhold til denne forordnings artikel 68 eller en sundhedsdataanmodning godkendt i henhold til denne forordnings artikel 69 til autoriserede deltagere i et tredjeland eller til en international organisation, og som er baseret på en fysisk persons elektroniske sundhedsdata, der falder ind under en af kategorierne omhandlet i denne forordnings artikel 51, anses for at være meget følsomme, jf. artikel 5, stk. 13, i forordning (EU) 2022/868, hvis overførslen af sådanne andre elektroniske oplysninger end personoplysninger til tredjelande udgør en risiko for reidentifikation ved hjælp af midler, der er mere vidtgående end dem, der med rimelighed kan forventes at blive anvendt, navnlig i betragtning af det begrænsede antal fysiske personer, som disse data vedrører, det forhold, at de er geografisk spredte, eller den forventede teknologiske udvikling i den nærmeste fremtid.
2.   Beskyttelsesforanstaltningerne for de kategorier af data, der er nævnt i denne artikels stk. 1, beskrives nærmere i en delegeret retsakt som omhandlet i artikel 5, stk. 13, i forordning (EU) 2022/868.
Artikel 89
International statslig adgang til andre elektroniske sundhedsdata end personoplysninger
1.   Digitale sundhedsmyndigheder, organer med ansvar for adgang til sundhedsdata, autoriserede deltagere i de grænseoverskridende infrastrukturer, der er omhandlet i artikel 23 og 75, og sundhedsdatabrugere træffer alle rimelige tekniske, retlige og organisatoriske foranstaltninger, herunder kontraktlige ordninger, for at forhindre overførslen af andre elektroniske sundhedsdata end personoplysninger, der er lagret i Unionen, til et tredjeland eller til en international organisation, herunder statslig adgang i et tredjeland, hvis en sådan overførsel ville være i strid med EU-retten eller den relevante medlemsstats nationale ret.
2.   Enhver dom afsagt af et tredjelands domstol og enhver afgørelse truffet af et tredjelands administrative myndighed, der kræver, at en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller sundhedsdatabrugere overfører eller giver adgang til andre elektroniske sundhedsdata end personoplysninger inden for denne forordnings anvendelsesområde, der er lagret i Unionen, kan kun anerkendes eller håndhæves på nogen måde, hvis den bygger på en international aftale såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en sådan aftale mellem det anmodende tredjeland og en medlemsstat.
3.   Hvis der ikke findes en international aftale som omhandlet i stk. 2, og hvis en domstol eller en administrativ myndighed i et tredjeland har afsagt en afgørelse eller en dom mod en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller en sundhedsdatabruger, der pålægger dem at overføre eller at give adgang til andre data end personoplysninger inden for denne forordnings anvendelsesområde, der er lagret i Unionen, og efterkommelse af en sådan afgørelse eller dom ville indebære en risiko for, at adressaten ville handle i strid med EU-retten eller den nationale ret i den relevante medlemsstat, må sådanne data kun overføres til eller tilgås af den pågældende domstol eller administrative myndighed i det pågældende tredjeland eller sådanne data kun videregives, hvis:
a)
tredjelandets retssystem kræver, at afgørelsen eller dommen begrundes, og at det godtgøres, at den står i et rimeligt forhold til formålet, og at det kræves, at afgørelsen eller kendelsen, alt efter omstændighederne, skal være af specifik karakter, f.eks. ved at fastslå en tilstrækkelig forbindelse til visse mistænkte personer eller overtrædelser
b)
adressatens begrundede indsigelse kan prøves ved en kompetent domstol i tredjelandet, og
c)
den kompetente domstol eller ret i tredjelandet, der udsteder afgørelsen eller kendelsen eller prøver en administrativ myndigheds afgørelse, i henhold til tredjelandets nationale ret har beføjelse til at tage behørigt hensyn til de relevante retlige interesser hos udbyderen, der stiller de data til rådighed, der er beskyttet af EU-retten eller national ret i den relevante medlemsstat.
4.   Hvis betingelserne i stk. 2 eller 3 er opfyldt, skal en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller en dataaltruistisk organisation stille de data, der som minimum er tilladt, til rådighed som svar på en anmodning, på grundlag af en rimelig fortolkning af anmodningen.
5.   De digitale sundhedsmyndigheder, organerne med ansvar for adgang til sundhedsdata og sundhedsdatabrugerne underretter sundhedsdataindehaveren om, at der foreligger en anmodning fra en administrativ myndighed i et tredjeland om at få adgang til vedkommendes data, inden anmodningen imødekommes, undtagen i tilfælde, hvor anmodningen tjener retshåndhævelsesformål, og så længe overholdelse er nødvendig for at bevare retshåndhævelsesaktivitetens effektivitet.
Artikel 90
Yderligere betingelser for overførsel af personlige elektroniske sundhedsdata til et tredjeland eller til en international organisation
Overførsel af personlige elektroniske sundhedsdata til et tredjeland eller til en international organisation bevilges i overensstemmelse med kapitel V i forordning (EU) 2016/679. Medlemsstaterne kan opretholde eller indføre yderligere betingelser for international adgang til og overførsel af personlige elektroniske sundhedsdata, herunder begrænsninger, i overensstemmelse med artikel 9, stk. 4, i forordning (EU) 2016/679, ud over kravene fastlagt i nærværende forordnings artikel 24, stk. 3, og artikel 75, stk. 5, og i kapitel V i forordning (EU) 2016/679.
Artikel 91
Ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger fra tredjelande
1.   Uden at det berører artikel 67, 68 og 69, anses ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger indgivet af en sundhedsdatabruger, der er etableret i et tredjeland, som berettigede til vurdering af organer med ansvar for adgang til sundhedsdata og Unionens tjeneste for adgang til sundhedsdata, såfremt det pågældende tredjeland:
a)
er en autoriseret deltager på grundlag af at have et nationalt kontaktpunkt for sekundær anvendelse omfattet af en gennemførelsesretsakt som omhandlet i artikel 75, stk. 5, eller
b)
giver EU-sundhedsdataansøgere adgang til elektroniske sundhedsdata i det pågældende tredjeland på betingelser, der ikke er mere restriktive end dem, der er fastsat i denne forordning, og sådan adgang derfor er omfattet af en gennemførelsesretsakt, der er omhandlet i denne artikels stk. 2.
2.   Ved hjælp af gennemførelsesretsakter kan Kommissionen fastslå, at et tredjeland opfylder kravene i denne artikels stk. 1, litra b). Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen gør listen over gennemførelsesretsakter vedtaget i henhold til nærværende stykke offentligt tilgængelig.
3.   Kommissionen overvåger udviklingstendenser i tredjelande og internationale organisationer, der kan påvirke anvendelsen af gennemførelsesretsakterne vedtaget i henhold til stk. 2, og sørger for, at der foretages en regelmæssig gennemgang af, hvordan denne artikel anvendes.
Hvis Kommissionen finder, at et tredjeland ikke længere opfylder kravet i denne artikels stk. 1, litra b), vedtager den en gennemførelsesretsakt om ophævelse af den gennemførelsesretsakt, der er omhandlet i denne artikels stk. 2, vedrørende det pågældende tredjeland, som nyder godt af adgang. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
KAPITEL VI
EUROPÆISK STYRING OG KOORDINERING
Artikel 92
Udvalget for det europæiske sundhedsdataområde
1.   Der oprettes herved et udvalg for det europæiske sundhedsdataområde for at lette samarbejdet og udvekslingen af oplysninger mellem medlemsstaterne og Kommissionen. Udvalget for det europæiske sundhedsdataområde sammensættes af to repræsentanter pr. medlemsstat, dvs. én repræsentant til formål forbundet med primær anvendelse og én repræsentant til formål forbundet med sekundær anvendelse, der udpeges af hver medlemsstat. Hver medlemsstat har én stemme. Medlemmerne af udvalget for det europæiske sundhedsdataområde forpligter sig til at handle uafhængigt og i offentlighedens interesse.
2.   En repræsentant for Kommissionen og én af de i stk. 1 omhandlede repræsentanter for medlemsstaterne, leder i fællesskab møderne i udvalget for det europæiske sundhedsdataområde.
3.   Markedsovervågningsmyndigheder, der er omhandlet i artikel 43, Databeskyttelsesrådet og Den Europæiske Tilsynsførende for Databeskyttelse, Det Europæiske Lægemiddelagentur, Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) indbydes til at deltage i møderne, hvis det er relevant ifølge Udvalget for det europæiske sundhedsdataområde.
4.   Udvalget for det europæiske sundhedsdataområde kan indbyde nationale myndigheder, eksperter og observatører samt EU-institutioner, -organer, -kontorer og -agenturer ud over dem, der er omhandlet i stk. 3, og forskningsinfrastrukturer og andre lignende infrastrukturer til at deltage i møderne.
5.   Udvalget for det europæiske sundhedsdataområde kan samarbejde med eksterne eksperter, hvis det er relevant.
6.   Afhængigt af de funktioner, der er forbundet med anvendelsen af elektroniske sundhedsdata, kan udvalget for det europæiske sundhedsdataområde arbejde i undergrupper vedrørende bestemte emner, hvor digitale sundhedsmyndigheder eller organer med ansvar for adgang til sundhedsdata skal være repræsenteret. Disse undergrupper støtter udvalget for det europæiske sundhedsdataområde med særlig ekspertise og kan afholde fælles møder efter behov.
7.   Udvalget for det europæiske sundhedsdataområde vedtager efter forslag fra Kommissionen sin forretningsorden og en adfærdskodeks. Denne forretningsorden skal indeholde bestemmelser om de i denne artikels stk. 6 omhandlede underudvalgs sammensætning, organisation, funktionsmåde og samarbejde såvel som om samarbejdet mellem udvalget for det europæiske sundhedsdataområdes og det i artikel 93 omhandlede interessentforum.
Udvalget for det europæiske sundhedsdataområde vedtager så vidt muligt afgørelser ved konsensus. Hvis der ikke kan opnås konsensus, vedtager udvalget for det europæiske sundhedsdataområde afgørelse med et flertal på to tredjedele af medlemsstaterne.
8.   Udvalget for det europæiske sundhedsdataområde samarbejder med andre relevante organer, enheder og eksperter såsom Det Europæiske Datainnovationsråd, der er oprettet ved artikel 29 i forordning (EU) 2022/868, kompetente myndigheder, der er udpeget i overensstemmelse med artikel 37 i forordning (EU) 2023/2854, tilsynsorganer, der er udpeget i overensstemmelse med artikel 46b i forordning (EU) nr. 910/2014, Det Europæiske Databeskyttelsesråd, der er oprettet ved artikel 68 i forordning (EU) 2016/679, cybersikkerhedsorganer, herunder ENISA og den europæiske åbne videnskabscloud, med henblik på at finde avancerede løsninger hen imod søgbar, tilgængelig, interoperabel og genanvendelig (FAIR) anvendelse af data inden for forskning og innovation.
9.   Udvalget for det europæiske sundhedsdataområde bistås af et sekretariat, som varetages af Kommissionen.
10.   Udvalget for det europæiske sundhedsdataområde offentliggør sine mødedatoer og referaterne af sine drøftelser og udgiver hvert andet år en aktivitetsrapport.
11.   Kommissionen vedtager ved hjælp af gennemførelsesretsakter de foranstaltninger, der er nødvendige for, at udvalget for det europæiske sundhedsdataområde kan oprettes og drives. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 93
Interessentforum
1.   Der oprettes hermed et interessentforum med henblik på at lette udvekslingen af oplysninger og fremme samarbejdet blandt interessenter i forbindelse med gennemførelsen af denne forordning.
2.   Interessentforummet skal have en afbalanceret sammensætning og bestå af relevante interessenter, herunder repræsentanter for patientsammenslutninger, sundhedsprofessionelle, industrien, forbrugerorganisationer, videnskabelige forskere og akademiske kredse, og repræsentere deres holdninger. Hvis kommercielle interesser er repræsenteret i interessentforummet, skal repræsentationen af sådanne interesser være på grundlag af en afbalanceret kombination af store virksomheder, små og mellemstore virksomheder og nystartede virksomheder. Interessentforummets opgaver omfatter både primær anvendelse og sekundær anvendelse.
3.   Medlemmerne af interessentforummet udpeges af Kommissionen på grundlag af en offentlig indkaldelse af interessetilkendegivelser og en gennemsigtig udvælgelsesprocedure. Medlemmerne af interessentforummet afgiver en årlig interesseerklæring, som gøres offentligt tilgængelig og ajourføres, når det er relevant.
4.   Interessentforummet kan nedsætte stående eller midlertidige underudvalg, hvis det er relevant, med henblik på at undersøge specifikke spørgsmål vedrørende denne forordnings formål. Interessentforummet vedtager sin forretningsorden.
5.   Interessentforummet afholder regelmæssige møder, som ledes af en repræsentant for Kommissionen.
6.   Interessentforummet udarbejder en årlig rapport om sine aktiviteter. Denne rapport gøres offentligt tilgængelig.
Artikel 94
Opgaver for udvalget for det europæiske sundhedsdataområde
1.   Udvalget for det europæiske sundhedsdataområde har følgende opgaver i forbindelse med primære anvendelse i overensstemmelse med kapitel II og III:
a)
bistå medlemsstaterne med at koordinere digitale sundhedsmyndigheders praksis
b)
udarbejde skriftlige bidrag og udveksle bedste praksis om spørgsmål vedrørende koordineringen af gennemførelsen på medlemsstatsniveau af denne forordning og af de delegerede retsakter og gennemførelsesretsakter, der er vedtaget i henhold hertil, idet der tages højde for det regionale og lokale niveau, og navnlig for så vidt angår:
i)
bestemmelserne i kapitel II og III
ii)
udviklingen af onlinetjenester, der letter sikker adgang, herunder sikker elektronisk identifikation, til elektroniske sundhedsdata for sundhedsprofessionelle og fysiske personer
iii)
andre aspekter vedrørende primær anvendelse
c)
lette samarbejdet mellem digitale sundhedsmyndigheder gennem kapacitetsopbygning, etablering af rammen for aktivitetsrapportering omhandlet i artikel 20 og udvekslingen af oplysninger
d)
udveksle oplysninger blandt sine medlemmer om risici i forbindelse med EPJ-systemer og alvorlige hændelser samt håndteringen af sådanne risici og hændelser
e)
lette udvekslingen af synspunkter om primær anvendelse med det i artikel 93 omhandlede interessentforum, samt med lovgivere og politiske beslutningstagere i sundhedssektoren.
2.   Udvalget for det europæiske sundhedsdataområde har følgende opgaver i forbindelse med sekundær anvendelse i overensstemmelse med kapitel IV:
a)
bistå medlemsstaterne med at koordinere praksis hos organer med ansvar for adgang til sundhedsdata i forbindelse med gennemførelsen af bestemmelserne i kapitel IV for at sikre en ensartet anvendelse af denne forordning
b)
udarbejde skriftlige bidrag og udveksle bedste praksis om spørgsmål vedrørende koordineringen af gennemførelsen på medlemsstatsniveau af denne forordning og af de delegerede retsakter og gennemførelsesretsakter, der er vedtaget i henhold hertil, navnlig for så vidt angår:
i)
gennemførelse af regler for adgang til elektroniske sundhedsdata
ii)
tekniske specifikationer eller eksisterende standarder vedrørende kravene i kapitel IV
iii)
incitamenter til fremme af datakvalitet og forbedring af interoperabiliteten
iv)
politikker vedrørende gebyrer, der opkræves af organerne med ansvar for adgang til sundhedsdata og sundhedsdataindehavere
v)
foranstaltninger til beskyttelse af personoplysninger for sundhedsprofessionelle, der er involveret i behandlingen af fysiske personer
vi)
andre aspekter af sekundær anvendelse
c)
oprette i samråd med relevante interessenter, herunder repræsentanter for patienter, sundhedsprofessionelle og forskere, retningslinjer, der skal hjælpe sundhedsdatabrugere med at opfylde deres forpligtelser i henhold til artikel 61, stk. 5, og navnlig at fastslå, hvorvidt deres fund er klinisk væsentlige
d)
lette samarbejdet mellem organer med ansvar for adgang til sundhedsdata gennem kapacitetsopbygning, etablering af rammen for aktivitetsrapportering omhandlet i artikel 59, stk. 1, og udvekslingen af oplysninger
e)
udveksle oplysninger om risici og hændelser i forbindelse med sekundær anvendelse samt håndteringen af sådanne risici og hændelser
f)
lette udvekslingen af synspunkter om sekundær anvendelse med det i artikel 93 omhandlede interessentforum, samt med sundhedsdataindehavere, sundhedsdatabrugere, lovgivere og politiske beslutningstagere i sundhedssektoren.
Artikel 95
Styringsgrupper for MyHealth@EU og HealthData@EU
1.   Styringsgruppen for MyHealth@EU og styringsgruppen HealthData@EU (»styringsgrupperne«) nedsættes hermed for de i artikel 23 og 75 fastsatte grænseoverskridende infrastrukturer. Hver styringsgruppe består af én repræsentant for hver medlemsstat, der udpeges fra de relevante nationale kontaktpunkter.
2.   Styringsgrupperne træffer operationelle beslutninger om udvikling og drift af MyHealth@EU og HealthData@EU.
3.   Styringsgrupperne træffer afgørelser ved konsensus. Hvis der ikke kan opnås konsensus, vedtages en afgørelse med to tredjedele af medlemmerne. Ved vedtagelsen af afgørelser har hver medlemsstat én stemme.
4.   Styringsgrupperne vedtager forretningsordener, der fastsætter deres sammensætning, organisation, funktionsmåde og samarbejde.
5.   Andre autoriserede deltagere kan indbydes til at udveksle oplysninger og synspunkter om relevante spørgsmål vedrørende MyHealth@EU og HealthData@EU. Hvor sådanne autoriserede deltagere indbydes, har de observatørstatus.
6.   Interessenter og relevante tredjeparter, herunder repræsentanter for patienter, sundhedsprofessionelle, forbrugere og industrien, kan indbydes til at deltage i styringsgruppernes møder som observatører.
7.   Styringsgrupperne vælger formænd til deres møder.
8.   Styringsgrupperne bistås af et sekretariat, som varetages af Kommissionen.
Artikel 96
Kommissionens rolle og ansvarsopgaver i forbindelse med det europæiske sundhedsdataområdes funktion
1.   Ud over sin rolle med hensyn til at stille elektroniske sundhedsdata, som Unionens institutioner, organer, kontorer eller agenturer er i besiddelse af, til rådighed i overensstemmelse med artikel 55, artikel 56 og artikel 75, stk. 2, og sine opgaver i henhold til kapitel III, navnlig artikel 40, udvikler, vedligeholder, hoster og driver Kommissionen de infrastrukturer og centrale tjenester, der er nødvendige for at støtte det europæiske sundhedsdataområdes funktion, for alle relevante forbundne enheder ved hjælp af:
a)
en interoperabel, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med artikel 16, stk. 3 og 4
b)
de centrale tjenester og infrastrukturer for digital sundhed på MyHealth@EU i overensstemmelse med artikel 23, stk. 1
c)
overensstemmelseskontroller i forbindelse med tilslutningen af autoriserede deltagere til MyHealth@EU i overensstemmelse med artikel 23, stk. 9
d)
de supplerende grænseoverskridende digitale sundhedstjenester og -infrastrukturer omhandlet i artikel 24, stk. 1
e)
som en del af HealthData@EU, en tjeneste til at indgive ansøgninger om adgang til sundhedsdata, hvorved der søges adgang til elektroniske sundhedsdata, som sundhedsdataindehavere i mere end én medlemsstat er i besiddelse af, eller fra andre autoriserede deltagere i HealthData@EU, og til automatisk at videresende ansøgningerne om adgang til sundhedsdata til de relevante kontaktpunkter i overensstemmelse med artikel 67, stk. 3
f)
de centrale tjenester og infrastrukturer i HealthData@EU i overensstemmelse med artikel 75, stk. 7 og 8
g)
et sikkert databehandlingsmiljø i overensstemmelse med artikel 75, stk. 9, hvor organer med ansvar for adgang til sundhedsdata kan beslutte at stille data til rådighed i overensstemmelse med artikel 68, stk. 8
h)
overensstemmelseskontroller i forbindelse med tilslutningen af autoriserede deltagere til HealthData@EU i overensstemmelse med artikel 75, stk. 5
i)
et samlet EU-datasætkatalog, der forbinder de nationale datasætkataloger, i overensstemmelse med artikel 79
j)
et sekretariat for udvalget for det europæiske sundhedsdataområde i overensstemmelse med artikel 92, stk. 9
k)
et sekretariat for styringsgrupperne i overensstemmelse med artikel 95, stk. 8.
2.   De tjenester, der er omhandlet i denne artikels stk. 1, skal opfylde tilstrækkelige kvalitetsstandarder med hensyn til tilgængelighed, sikkerhed, kapacitet, interoperabilitet, vedligeholdelse, overvågning og udvikling, så det sikres, at det europæiske sundhedsdataområde fungerer effektivt. Kommissionen stiller disse tjenester til rådighed i overensstemmelse med de operationelle afgørelser fra de relevante styringsgrupper, der er nedsat i artikel 95.
3.   Kommissionen udarbejder hvert andet år en rapport om de infrastrukturer og tjenester, der understøtter det europæiske sundhedsdataområde, og som den tilvejebringer i overensstemmelse med stk. 1, og gør rapporten offentlig tilgængelig.
KAPITEL VII
DELEGATION AF BEFØJELSER OG UDVALGSPROCEDURE
Artikel 97
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 14, stk. 2, artikel 49, stk. 4, og artikel 78, stk. 5, tillægges Kommissionen for en ubegrænset periode fra 25. marts 2025.
3.   Den i artikel 14, stk. 2, artikel 49, stk. 4, og artikel 78, stk. 5, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 14, stk. 2, artikel 49, stk. 4, eller artikel 78, stk. 5, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på tre måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med tre måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 98
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, anvendes artikel 5 i forordning (EU) nr. 182/2011.
KAPITEL VIII
DIVERSE
Artikel 99
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af bestemmelserne i denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 63 og 64, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver senest den 26. marts 2027 Kommissionen meddelelse om disse regler og foranstaltninger og underretter den straks om senere ændringer, der berører dem.
Medlemsstaterne tager hensyn til følgende ikkeudtømmende og vejledende kriterier for pålæggelse af sanktioner i forbindelse med overtrædelse af denne forordning, hvor det er relevant:
a)
overtrædelsens art, grovhed, omfang og varighed
b)
eventuelle tiltag, som den overtrædende part har truffet for at afbøde eller afhjælpe den skade, der er forårsaget af overtrædelsen
c)
eventuelle tidligere overtrædelser fra den overtrædende parts side
d)
de økonomiske fordele eller tab, som den overtrædende part har opnået eller undgået som følge af overtrædelsen, for så vidt som disse fordele eller tab kan fastslås på en pålidelig måde
e)
eventuelle andre skærpende eller formildende faktorer i sagen
f)
den overtrædende parts årlige omsætning i Unionen i det foregående regnskabsår.
Artikel 100
Ret til erstatning
Enhver fysisk eller juridisk person, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning i overensstemmelse med EU-ret eller national ret.
Artikel 101
Repræsentation af fysiske personer
Hvis en fysisk person finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, har den pågældende ret til at give et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, og som er etableret i overensstemmelse med national ret, og som har vedtægtsmæssige mål af samfundsmæssig interesse og beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage eller til at udøve de i artikel 21 og 81 omhandlede rettigheder.
Artikel 102
Evaluering, revision og statusrapport
1.   Senest den 26. marts 2033 foretager Kommissionen en målrettet evaluering af denne forordning og forelægger en rapport om de vigtigste resultater heraf for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, eventuelt ledsaget af et forslag til ændring heraf. Denne evaluering skal omfatte følgende:
a)
mulighederne for yderligere at udvide interoperabiliteten mellem EPJ-systemer og andre tjenester for adgang til elektroniske sundhedsdata end dem, der er oprettet af medlemsstaterne
b)
behovet for at ajourføre de i artikel 51 omhandlede datakategorier og de i artikel 53, stk. 1, anførte formål
c)
fysiske personers gennemførelse og anvendelse af fravalgsmekanismerne i forbindelse med sekundær anvendelse, jf. artikel 71, navnlig om indvirkningen at disse mekanismer på folkesundheden, videnskabelig forskning og grundlæggende rettigheder
d)
anvendelsen og gennemførelsen af eventuelle strengere foranstaltninger, der er indført i henhold til artikel 51, stk. 4
e)
udøvelsen og gennemførelsen af den ret, der er omhandlet i artikel 8
f)
en vurdering af certificeringsrammen for EPJ-systemer fastsat i kapitel III og behovet for at indføre yderligere værktøjer til overensstemmelsesvurdering
g)
en vurdering af, hvordan det indre marked fungerer for EPJ-systemer
h)
en vurdering af omkostninger og fordele ved gennemførelsen af bestemmelserne om sekundær anvendelse fastlagt i kapitel IV
i)
anvendelse af gebyrer som omhandlet i artikel 62.
2.   Senest den 26. marts 2035 foretager Kommissionen en overordnet evaluering af denne forordning og forelægger en rapport om de vigtigste resultater heraf for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, eventuelt ledsaget af et forslag til ændring heraf eller andre nødvendige foranstaltninger. Denne evaluering skal omfatte en vurdering af effektiviteten og funktionen af de systemer, der giver adgang til elektroniske sundhedsdata med henblik på videre behandling, foretaget på grundlag af EU-retten eller national ret, jf. artikel 1, stk. 7, med hensyn til deres indvirkning på gennemførelsen af denne forordning.
3.   Medlemsstaterne forelægger Kommissionen alle de oplysninger, der er nødvendige for udarbejdelsen af de i stk. 1 og 2 omhandlede rapporter, og Kommissionen tager behørigt hensyn til disse oplysninger i disse rapporter.
4.   Hvert år efter den 25. marts 2025 og indtil slutningen af det år, hvor alle denne forordnings bestemmelser finder anvendelse som fastsat i artikel 105, forelægger Kommissionen Rådet en statusrapport om status for forberedelserne til den fulde gennemførelse af denne forordning. Denne statusrapport skal indeholde oplysninger om graden af fremskridt og medlemsstaternes beredskab i relation til gennemførelsen af denne forordning, herunder en vurdering af, om det er muligt at nå de frister, der er fastsat i artikel 105, og rapporten kan også indeholde henstillinger til medlemsstaterne om at forbedre beredskabet, når det kommer til anvendelsen af denne forordning.
Artikel 103
Ændring af direktiv 2011/24/EU
Artikel 14 i direktiv 2011/24/EU udgår med virkning fra den 26. marts 2031.
Artikel 104
Ændringer til forordning (EU) 2024/2847
I forordning (EU) 2024/2847 foretages følgende ændringer:
1)
I artikel 13 affattes stk. 4 som følger:
»4.   Når et produkt med digitale elementer bringes i omsætning, medtager fabrikanten den cybersikkerhedsrisikovurdering, der er omhandlet i denne artikels stk. 3, i den tekniske dokumentation, der kræves i henhold til artikel 31 og bilag VII. For produkter med digitale elementer som omhandlet i artikel 12 og artikel 32, stk. 5a, der også er omfattet af andre EU-retsakter, kan cybersikkerhedsrisikovurderingen indgå i den risikovurdering, der kræves i henhold til disse EU-retsakter. Hvis visse væsentlige cybersikkerhedskrav ikke er relevante for produktet med digitale elementer, medtager fabrikanten en klar begrundelse herfor i den tekniske dokumentation.«
2)
I artikel 31 affattes stk. 3 som følger:
»3.   For produkter med digitale elementer som omhandlet i artikel 12 og artikel 32, stk. 5a, der også er omfattet af andre EU-retsakter, som indeholder bestemmelser om teknisk dokumentation, udarbejdes der en samlet teknisk dokumentation, som indeholder de oplysninger, der er omhandlet i bilag VII, og de oplysninger, der kræves i henhold til disse EU-retsakter.«
3)
I artikel 32 indsættes følgende stykke:
»5a.   Fabrikanter af produkter med digitale elementer, der er klassificeret som EPJ-systemer omfattet af Europa-Parlamentets og Rådets forordning (EU) 2024/327
 (
*1
)
 påviser overensstemmelse med de væsentlige krav fastsat i nærværende forordnings bilag I ved brug af den relevante overensstemmelsesvurderingsprocedure, der er fastsat i kapitel III i forordning (EU) 2024/327.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/327 af 11. februar 2025 om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 2024/2847 (
EUT L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj
).«
                                       "
KAPITEL IX
UDSKUDT ANVENDELSE, OVERGANGSBESTEMMELSER OG AFSLUTTENDE BESTEMMELSER
Artikel 105
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning finder anvendelse fra den 26. marts 2027.
Artikel 3-15, artikel 23, stk. 2-6, og artikel 25, 26, 27, 47, 48 og 49 finder dog anvendelse som følger:
a)
fra den 26. marts 2029 for de prioriterede kategorier af personlige elektroniske sundhedsdata, der er omhandlet i artikel 14, stk. 1, litra a), b) og c), og for EPJ-systemer, som producenten har til hensigt at bruge til at behandle sådanne kategorier af data
b)
fra den 26. marts 2031 for de prioriterede kategorier af personlige elektroniske sundhedsdata, der er omhandlet i artikel 14, stk. 1, litra d), e) og f), og for EPJ-systemer, som producenten har til hensigt at bruge til at behandle sådanne kategorier af data
c)
fra ét år fra den dato, der fastsættes i en delegeret retsakt vedtaget i henhold til artikel 14, stk. 2, for så vidt angår hver ændring af de vigtigste karakteristika for personlige elektroniske sundhedsdata fastsat i bilag I, forudsat at denne dato ligger efter anvendelsesdatoen, jf. dette afsnits litra a) og b), for de pågældende kategorier af personlige elektroniske sundhedsdata.
Kapitel III finder anvendelse på EPJ-systemer, der tages i brug i Unionen, jf. artikel 26, stk. 2, fra den 26. marts 2031.
Kapitel IV finder anvendelse fra den 26. marts 2029. Dog finder artikel 55, stk. 6, artikel 70, artikel 73, stk. 5, artikel 75, stk. 1 og 12, artikel 77, stk. 4, og artikel 78, stk. 6, anvendelse fra den 26. marts 2027, artikel 51, stk. 1, litra b), f), g), m) og p), finder anvendelse fra den 26. marts 2031, og artikel 75, stk. 5, finder anvendelse fra den 26. marts 2035.
De gennemførelsesretsakter, der er omhandlet i artikel 13, stk. 4, artikel 15, stk. 1, artikel 23, stk. 4, og artikel 36, stk. 1, finder anvendelse fra de i nærværende artikels stk. 3 omhandlede datoer afhængig af de i henholdsvis artikel 14, stk. 1, litra a), b) og c), eller artikel 14, stk. 1, litra d), e) og f), omhandlede kategorier af personlige elektroniske sundhedsdata.
De gennemførelsesretsakter, der er omhandlet i artikel 70, artikel 73, stk. 5, artikel 75, stk. 12, artikel 77, stk. 4, og artikel 78, stk. 6, finder anvendelse fra den 26. marts 2029.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 11. februar 2025.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
A. SZŁAPKA
Formand
(
1
)
  
            
EUT C 486 af 21.12.2022, s. 123
.
(
2
)
  
            
EUT C 157 af 3.5.2023, s. 64
.
(
3
)
  Europa-Parlamentets holdning af 24.4.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 21.1.2025.
(
4
)
  Kommissionens gennemførelsesafgørelse (EU) 2019/1269 af 26. juli 2019 om ændring af gennemførelsesafgørelse 2014/287/EU om fastsættelse af kriterier for etablering og evaluering af europæiske netværk af referencecentre og deres medlemmer og for lettelse af udvekslingen af oplysninger og ekspertise om etablering og evaluering af sådanne netværk (
EUT L 200 af 29.7.2019, s. 35
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
8
)
  Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 af 14. december 2022 om etablering af politikprogrammet for det digitale årti 2030 (
EUT L 323 af 19.12.2022, s. 4
).
(
9
)
  Kommissionens henstilling (EU) 2019/243 af 6. februar 2019 om et europæisk format for udveksling af elektroniske patientjournaler (
EUT L 39 af 11.2.2019, s. 18
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1689 af 13. juni 2024 om harmoniserede regler for kunstig intelligens og om ændring af forordning (EF) nr. 300/2008, (EU) nr. 167/2013, (EU) nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 og (EU) 2019/2144 samt direktiv 2014/90/EU, (EU) 2016/797 og (EU) 2020/1828 (forordningen om kunstig intelligens) (
EUT L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/745 af 5. april 2017 om medicinsk udstyr, om ændring af direktiv 2001/83/EF, forordning (EF) nr. 178/2002 og forordning (EF) nr. 1223/2009 og om ophævelse af Rådets direktiv 90/385/EØF og 93/42/EØF (
EUT L 117 af 5.5.2017, s. 1
).
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/868 af 30. maj 2022 om europæisk datastyring og om ændring af forordning (EU) 2018/1724 (forordning om datastyring) (
EUT L 152 af 3.6.2022, s. 1
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 om harmoniserede regler om fair adgang til og anvendelse af data og om ændring af forordning (EU) 2017/2394 og direktiv (EU) 2020/1828 (dataforordningen) (
EUT L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj
).
(
14
)
  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (
EUT L 88 af 4.4.2011, s. 45
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (
EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
).
(
16
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/746 af 5. april 2017 om medicinsk udstyr til in vitro-diagnostik og om ophævelse af direktiv 98/79/EF og Kommissionens afgørelse 2010/227/EU (
EUT L 117 af 5.5.2017, s. 176
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1020 af 20. juni 2019 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (
EUT L 169 af 25.6.2019, s. 1
).
(
18
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
19
)
  Rådets forordning (EF) nr. 723/2009 af 25. juni 2009 om fællesskabsrammebestemmelser for et konsortium for en europæisk forskningsinfrastruktur (ERIC) (
EUT L 206 af 8.8.2009, s. 1
).
(
20
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1724 af 2. oktober 2018 om oprettelse af en fælles digital portal, der giver adgang til oplysninger, procedurer og bistands- og problemløsningstjenester, og om ændring af forordning (EU) nr. 1024/2012 (
EUT L 295 af 21.11.2018, s. 1
).
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
22
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
24
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 af 11. marts 2009 om europæiske statistikker og om ophævelse af Europa-Parlamentets og Rådets forordning (EF, Euratom) nr. 1101/2008 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor, Rådets forordning (EF) nr. 322/97 om EF-statistikker og Rådets afgørelse 89/382/EØF, Euratom om nedsættelse af et udvalg for De Europæiske Fællesskabers statistiske program (
EUT L 87 af 31.3.2009, s. 164
).
(
25
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 536/2014 af 16. april 2014 om kliniske forsøg med humanmedicinske lægemidler og om ophævelse af direktiv 2001/20/EF (
EUT L 158 af 27.5.2014, s. 1
).
(
26
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktivet om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
27
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (
EUT L 157 af 15.6.2016, s. 1
).
(
28
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
29
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 af 16. december 2008 om fællesskabsstatistikker over folkesundhed og arbejdsmiljø (
EUT L 354 af 31.12.2008, s. 70
).
(
30
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 af 9. juli 2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 (
EUT L 218 af 13.8.2008, s. 30
).
(
31
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (
EUT L 151 af 7.6.2019, s. 70
).
(
32
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
33
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (
EUT L 241 af 17.9.2015, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1807 af 14. november 2018 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union (
EUT L 303 af 28.11.2018, s. 59
).
(
35
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1938 af 13. juni 2024 om kvalitets- og sikkerhedsstandarder for substanser af menneskelig oprindelse bestemt til anvendelse i mennesker og om ophævelse af direktiv 2002/98/EF og 2004/23/EF (
EUT L, 2024/1938, 17.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1938/oj
).
(
36
)
  Europa-Parlamentets og Rådets direktiv 2001/83/EF af 6. november 2001 om oprettelse af en fællesskabskodeks for humanmedicinske lægemidler (
EFT L 311 af 28.11.2001, s. 67
).
(
37
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 af 31. marts 2004 om fastlæggelse af EU-procedurer for godkendelse og overvågning af humanmedicinske lægemidler og om oprettelse af et europæisk lægemiddelagentur (
EUT L 136 af 30.4.2004, s. 1
).
BILAG I
Vigtigste karakteristika for prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse
Kategori af elektroniske sundhedsdata
Vigtigste karakteristika for elektroniske sundhedsdata, der er omfattet af kategorien
1.
Patientresuméer
Elektroniske sundhedsdata, der omfatter væsentlige kliniske kendsgerninger vedrørende en identificeret fysisk person, og som er afgørende for leveringen af sikre og effektive sundhedsydelser til den pågældende person. Følgende oplysninger indgår i et patientresumé:
1.
Oplysninger om personen
2.
Kontaktoplysninger
3.
Oplysninger om forsikring
4.
Allergi
5.
Medicinske indberetninger
6.
Oplysninger om vaccination/profylakse, eventuelt i form af et vaccinationskort
7.
Aktuelle, løste, lukkede eller inaktive problemer, herunder i en international klassifikationskode
8.
Tekstoplysninger om sygehistorik
9.
Medicinsk udstyr og implantater
10.
Læge- eller plejeprocedurer
11.
Funktionstilstand
12.
Nuværende og relevante tidligere lægemidler
13.
Observationer af den sociale historik i forbindelse med sundhed
14.
Graviditetshistorik
15.
Data afgivet af patienten
16.
Observationsresultater vedrørende sundhedstilstanden
17.
Plejeplan
18.
Oplysninger om sjælden sygdom, såsom oplysninger om sygdommens indvirkning eller karakteristika
2.
Elektronisk recept
Elektroniske sundhedsdata, der udgør en recept på et lægemiddel som defineret i artikel 3, litra k), i direktiv 2011/24/EU.
3.
Elektronisk udleveringer
Oplysninger om udlevering af et lægemiddel til en fysisk person fra et apotek på grundlag af en elektronisk recept.
4.
Medicinsk billeddiagnostik og tilhørende billedrapporter
Elektroniske sundhedsdata vedrørende brugen af, eller som er frembragt ved, teknologier, der anvendes til at se det menneskelige legeme med henblik på at forebygge, diagnosticere, overvåge eller behandle medicinske tilstande.
5.
Resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter
Elektroniske sundhedsdata, der repræsenterer resultater af undersøgelser, der navnlig er gennemført gennem in vitro-diagnostik såsom klinisk biokemi, hæmatologi, transfusionsmedicin, mikrobiologi, immunologi m.m., og herunder, hvor det er relevant, rapporter til støtte for fortolkningen af resultaterne.
6.
Udskrivningsrapport
Elektroniske sundhedsdata i forbindelse med kontakt med sundhedsvæsenet eller et plejeforløb, herunder væsentlige oplysninger om en fysisk persons indlæggelse, behandling og udskrivelse.
BILAG II
Væsentlige krav til de harmoniserede softwarekomponenter i EPJ-systemer og til produkter, for hvilke der er angivet interoperabilitet med EPJ-systemer
De væsentlige krav fastlagt i dette bilag finder tilsvarende anvendelse på medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik, AI-systemer og wellnessapplikationer, der angiver at være interoperable med EPJ-systemer.
1.   Generelle krav
1.1.
De harmoniserede softwarekomponenter i et EPJ-system skal have den af fabrikanten tilsigtede ydeevne og skal designes og fremstilles på en sådan måde, at de under normale anvendelsesbetingelser er egnede til deres erklærede formål, og at deres anvendelse ikke udgør en risiko for patientsikkerheden.
1.2.
De harmoniserede softwarekomponenter i EPJ-systemet skal designes og udvikles på en sådan måde, at EPJ-systemet kan leveres og installeres efter fabrikantens anvisninger og oplysninger, uden at det forringer dets egenskaber og ydeevne under den tilsigtede anvendelse.
1.3.
Et EPJ-system skal designes og udvikles på en sådan måde, at dets interoperabilitets- og sikkerhedselementer beskytter fysiske personers rettigheder i overensstemmelse med det erklærede formål med EPJ-systemet, jf. kapitel II.
1.4.
De harmoniserede softwarekomponenter i et EPJ-system, der er beregnet til at blive anvendt sammen med andre produkter, herunder medicinsk udstyr, skal designes og fremstilles på en sådan måde, at interoperabilitet og kompatibilitet er pålidelig og sikker, og at personlige elektroniske sundhedsdata kan deles mellem udstyret og EPJ-systemet i forbindelse med disse harmoniserede softwarekomponenter i EPJ-systemet.
2.   Krav til interoperabilitet
2.1.
Hvis et EPJ-system er designet til at lagre eller formidle personlige elektroniske sundhedsdata, skal det tilvejebringe en grænseflade, der giver adgang til de personlige elektroniske sundhedsdata, som det behandler, i det europæiske format for udveksling af elektroniske patientjournaler, ved hjælp af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer.
2.2.
Hvis et EPJ-system er designet til at lagre eller formidle personlige elektroniske sundhedsdata, skal det kunne modtage personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler ved hjælp af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer.
2.3.
Hvis et EPJ-system er designet med henblik på at give adgang til personlige elektroniske sundhedsdata, skal det kunne modtage personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler ved hjælp af den europæiske interoperabilitetskomponent for EPJ-systemer.
2.4.
Et EPJ-system, der omfatter en funktion til indlæsning af strukturerede personlige elektroniske sundhedsdata, skal gøre det muligt at indlæse oplysninger med en tilstrækkelig detaljeringsgrad til at muliggøre levering af de indlæste personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler.
2.5.
De harmoniserede softwarekomponenter i et EPJ-system må ikke indeholde elementer, der forbyder, begrænser eller pålægger en urimelig byrde for autoriseret adgang, elektronisk udveksling af sundhedsdata eller brug af personlige elektroniske sundhedsdata til tilladte formål.
2.6.
De harmoniserede softwarekomponenter i et EPJ-system må ikke indeholde elementer, der forbyder, begrænser eller pålægger en urimelig byrde for autoriseret eksport af personlige elektroniske sundhedsdata med henblik på at erstatte EPJ-systemet med et andet produkt.
3.   Krav til sikkerhed og logning.
3.1.
Et EPJ-system, der skal anvendes af sundhedsprofessionelle, skal tilvejebringe pålidelige mekanismer til identifikation og autentificering af sundhedsprofessionelle
3.2.
Den europæiske logningssoftwarekomponent i et EPJ-system, der er udformet med henblik på at give sundhedstjenesteydere eller andre personer adgang til personlige elektroniske sundhedsdata, skal omfatte tilstrækkelige logningsmekanismer, der som minimum registrerer følgende oplysninger om hver adgangshændelse eller gruppe af hændelser:
a)
identifikation af sundhedstjenesteyderen eller andre personer, der har fået adgang til de personlige elektroniske sundhedsdata
b)
identifikation af den eller de specifikke fysiske personer, der har fået adgang til de personlige elektroniske sundhedsdata
c)
kategorierne af data, der er tilgået
d)
tidspunktet og datoen for adgang
e)
dataenes oprindelse eller oprindelser.
3.3.
De harmoniserede softwarekomponenter i et EPJ-system skal omfatte værktøjer eller mekanismer til gennemgang og analyse af logdata, eller det skal understøtte tilslutning og brug af ekstern software til samme formål.
3.4.
De harmoniserede softwarekomponenter i et EPJ-system, der lagrer personlige elektroniske sundhedsdata, skal understøtte forskellige lagringsperioder og adgangsrettigheder, der tager hensyn til oprindelsen og kategorierne af elektroniske sundhedsdata.
BILAG III
Teknisk dokumentation
Den tekniske dokumentation, der er omhandlet i artikel 37, skal som minimum indeholde følgende oplysninger, alt efter hvad der er relevant for et EPJ-systems harmoniserede softwarekomponenter i det pågældende EPJ-system:
1.
En detaljeret beskrivelse af EPJ-systemet, herunder:
a)
det tilsigtede formål samt datoen og versionen af EPJ-systemet
b)
de kategorier af personlige elektroniske sundhedsdata, som EPJ-systemet er designet til at behandle
c)
hvordan EPJ-systemet interagerer eller kan bruges til at interagere med hardware eller software, der ikke er en del af selve EPJ-systemet
d)
versionerne af relevant software eller firmware og eventuelle krav vedrørende opdatering
e)
en beskrivelse af alle måder, hvorpå EPJ-systemet bringes i omsætning eller tages i brug
f)
en beskrivelse af den hardware, som EPJ-systemet er beregnet til at køre på
g)
en beskrivelse af systemarkitekturen, der forklarer, hvordan softwarekomponenter bygger på eller indgår i hinanden og integreres i den samlede behandling, herunder, hvor det er relevant, mærkede billedgengivelser (f.eks. diagrammer og illustrationer), der tydeligt angiver centrale dele eller softwarekomponenter og indeholder tilstrækkelig forklaring til at forstå diagrammerne og illustrationerne
h)
de tekniske specifikationer, f.eks. karakteristika, dimensioner og ydeevne, for EPJ-systemet og eventuelle varianter eller konfigurationer og tilbehør, der typisk optræder i den produktspecifikation, der gøres tilgængelig for brugeren, f.eks. i brochurer, kataloger og lignende, herunder en detaljeret beskrivelse af datastrukturer, lagring og input/output af data
i)
en beskrivelse af eventuelle ændringer af systemet i løbet af dets livscyklus
j)
brugsanvisning til brugeren og, hvis det er relevant, installationsvejledning.
2.
En detaljeret beskrivelse af det system, der er indført for at evaluere EPJ-systemet, hvis det er relevant.
3.
Henvisninger til eventuelle fælles specifikationer, der anvendes i overensstemmelse med artikel 36, og som der erklæres overensstemmelse med.
4.
Resultaterne og de kritiske analyser af alle verifikations- og valideringstest, der er foretaget for at påvise, at EPJ-systemet er i overensstemmelse med kravene i kapitel III, navnlig de gældende væsentlige krav.
5.
En kopi af det i artikel 38 nævnte produktdatablad.
6.
En kopi af EU-overensstemmelseserklæringen.
BILAG IV
EU-overensstemmelseserklæring
EU-overensstemmelseserklæringen for de harmoniserede softwarekomponenter i et EPJ-system skal indeholde alle følgende oplysninger:
1.
Navnet på EPJ-systemet, versionen og enhver yderligere entydig reference, der gør det muligt at identificere EPJ-systemet.
2.
Fabrikantens navn og adresse eller, hvis det er relevant, dens bemyndigede repræsentants navn og adresse.
3.
En erklæring om, at EU-overensstemmelseserklæringen udstedes på fabrikantens ansvar.
4.
En erklæring om, at det pågældende EPJ-system er i overensstemmelse med bestemmelserne i kapitel III og eventuelt med al anden relevant EU-ret, der fastsætter bestemmelser om udstedelse af en EU-overensstemmelseserklæring, suppleret med resultatet af det testmiljø, der er nævnt i artikel 40.
5.
Referencer til eventuelle fælles harmoniserede specifikationer, der er anvendt, og som der erklæres overensstemmelse med.
6.
Referencer til eventuelle fælles specifikationer, der er anvendt, og som der erklæres overensstemmelse med.
7.
Sted og dato for erklæringens udstedelse, underskrift plus navn og stilling på den person, der har underskrevet erklæringen, og i givet fald angivelse af den person, på hvis vegne den er underskrevet.
8.
I givet fald yderligere oplysninger.
ELI: http://data.europa.eu/eli/reg/2025/327/oj
ISSN 1977-0634 (electronic edition)

Summary:
Det europæiske sundhedsdataområde
RESUMÉ AF:
Forordning (EU) 
2025/327
 om det europæiske sundhedsdataområde
HVAD ER FORMÅLET MED DENNE FORORDNING?
Forordning (EU) 
2025/327
 etablerer 
det europæiske sundhedsdataområde
 for at styrke borgernes adgang til og kontrol med deres personlige elektroniske sundhedsdata og dermed forbedre leveringen af sundhedsydelser samt støtte 
forskning og innovation
. Det europæiske sundhedsdataområde er en hjørnesten i den europæiske sundhedsunion og det første fælles dataområde i EU, der er dedikeret til en specifik sektor som led i den europæiske strategi for data.
HOVEDPUNKTER
Formål og anvendelsesområde
Forordningen
 om det europæiske sundhedsdataområde fastsætter regler, der skal:
sætte enkeltpersoner i stand til at få adgang til, kontrollere og dele deres elektroniske sundhedsdata på tværs af grænser med henblik på sundhedspleje (
primær anvendelse af data
)
muliggøre sikker videreanvendelse af elektroniske sundhedsdata til forsknings-, innovations-, politikudformnings- og lovgivningsaktiviteter (
sekundær anvendelse af data
)
fremme et indre marked for elektroniske patientjournalsystemer, som understøtter både primær og sekundær anvendelse.
Primær anvendelse af elektroniske sundhedsdata
Enkeltpersoners rettigheder
I henhold til forordningen om det europæiske sundhedsdataområde vil enkeltpersoner eller deres repræsentanter have yderligere rettigheder i forbindelse med specifikke kategorier af deres personlige elektroniske sundhedsdata, herunder retten til at:
få adgang til deres elektroniske sundhedsdata 
med det samme
 og 
uden beregning
 via sundhedsadgangstjenester
downloade en kopi af deres sundhedsdata i det almindeligt anvendte og maskinlæsbare 
europæiske format for udveksling af elektroniske patientjournaler
 og dele den med sundhedstjenesteydere i hele EU
indsætte oplysninger i deres elektroniske patientjournalsystemer og anmode om rettelser
se registreringer over, hvem der har haft adgang til deres data, hvornår og til hvilket formål
administrere fuldmagter
begrænse adgangen til hele eller dele af deres sundhedsdata og
fravælge at give adgang til deres personlige elektroniske sundhedsdata under visse betingelser.
Disse yderligere rettigheder gælder for følgende kategorier af personlige elektroniske sundhedsdata, der tilsammen betegnes som »prioriterede kategorier«. Disse rettigheder begynder at finde anvendelse i to faser.
Første fase:
patientresuméer (et omfattende sæt af centrale kliniske data, herunder diagnoser og helbredstilstande, allergier, medicinering, vaccinationer, behandlingsplan osv.)
elektroniske recepter
elektroniske lægemiddeludleveringer (oplysninger om, at en recept er blevet anvendt).
Tilføjet i 
anden fase
:
medicinsk billeddiagnostik og tilhørende billedrapporter
resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter
udskrivningsrapporter.
Enkeltpersoner vil kunne udøve disse yderligere rettigheder for de første tre kategorier senest den 26. marts 2029 (første fase) og for de sidste tre kategorier senest den 26. marts 2031 (anden fase).
Disse rettigheder gælder disse datakategorier, når sådanne data behandles elektronisk. Disse rettigheder omfatter også historiske data — de er ikke begrænset til dokumenter, der er oprettet, efter at disse rettigheder trådte i kraft.
Sundhedspersoners adgang
Sundhedspersoner kan få adgang til de prioriterede kategorier af personlige elektroniske sundhedsdata for patienter under deres behandling, herunder på tværs af grænser via 
MyHealth@EU
, for at understøtte 
sikker
 og 
kontinuerlig
 pleje af 
høj kvalitet
.
Hver EU-
medlemsstat
 skal definere adgangsrettigheder baseret på faglige roller samt de opgaver, der skal udføres. Kun fagfolk med 
anerkendt elektronisk identifikation
 kan få adgang til data, som skal præsenteres i et 
brugervenligt format
.
Enkeltpersoner kan begrænse adgangen til dele af deres data. I sådanne tilfælde vil fagfolk 
ikke være bekendt med
 eksistensen eller indholdet af de begrænsede oplysninger. I nødsituationer kan der gives adgang til disse oplysninger, hvis det er nødvendigt for at beskytte den enkeltes 
vitale interesser
, og al sådan adgang vil være 
registreret
 og 
synlig
 for den enkelte.
MyHealth@EU
, EU’s centrale platform for interoperabilitet, muliggør sikker grænseoverskridende udveksling af elektroniske sundhedsdata til 
sundhedsformål (primær anvendelse)
 og giver borgere og sundhedspersonale adgang til de nødvendige data, når en person modtager behandling i en anden medlemsstat.
Regler for markedsføring af elektroniske patientjournalsystemer og wellnessapplikationer
Elektroniske patientjournalsystemer
 må kun bringes i omsætning på EU-markedet, hvis de opfylder de 
væsentlige krav
, følger de 
fælles specifikationer
 og består en 
selvvurdering af overensstemmelse
.
Fabrikanter
 er ansvarlige for at sikre løbende overholdelse, at vedligeholde den tekniske dokumentation og, når det kræves i henhold til EU-retten, at anbringe 
CE-mærkningen
 før systemet bringes i omsætning.
Wellnessapplikationer
, der hævder interoperabilitet med elektroniske patientjournalsystemer og dermed overholder relevante krav, skal mærkes i overensstemmelse hermed og opfylde minimumsstandarder for interoperabilitet.
Nationale markedsovervågningsmyndigheder
 overvåger overholdelsen af disse krav.
Sekundær anvendelse af elektroniske sundhedsdata
Når en enhed kvalificereres som sundhedsdataindehaver, skal den stille de datakategorier, der er opført i artikel 51, til rådighed i overensstemmelse med betingelserne i kapitel IV i det europæiske sundhedsdataområde.
Sundhedsdata kan genbruges under 
strenge betingelser
.
En 
datatilladelse
 udstedt af et organ med ansvar for adgang til sundhedsdata
1
 kræves. Dette sker efter indgivelsen af en ansøgning og organet med ansvar for adgang til sundhedsdatsa vurdering heraf efter strenge kriterier, herunder om der anmodes om adgang til data, der hører under "minimumskategorierne", dvs. de kategorier af elektroniske sundhedsdata, som må anvendes til sekundær anvendelse og til specifikke formål.
Kun 
pseudonymiserede
 eller 
anonymiserede data
 kan tilgås i et sikkert behandlingsmiljø — personoplysninger kan ikke downloades fra disse miljøer.
Forskere, virksomheder eller offentlige institutioner må kun få adgang til pseudonymiserede data, hvis anonymiserede data ikke er tilstrækkelige til deres formål.
Resultaterne af anvendelsen af data skal gøres 
offentligt tilgængelige
, når det er hensigtsmæssigt, især hvis anvendelsen er offentligt finansieret eller af hensyn til gennemsigtighed.
Visse anvendelser, f.eks. 
annoncering
, genidentifikation eller 
forskelsbehandling
, er strengt 
forbudt
.
Medlemsstaternes ansvar og EU-koordinering
For at sikre en ensartet anvendelse af forordningen og et gnidningsløst grænseoverskridende samarbejde om primær anvendelse skal hver medlemsstat udpege en eller flere 
digitale sundhedsmyndigheder
. Disse myndigheder er ansvarlige for:
overvågning af gennemførelsen og 
håndhævelsen
 af forordningen
sikring af datasystemernes interoperabilitet og sikkerhed
tilsyn med elektroniske patientjournalsystemer og wellnessapplikationer, der stilles til rådighed på deres område
koordinering af digitale sundhedsspørgsmål på både nationalt og EU-plan.
Desuden skal medlemsstaterne udpege 
nationale kontaktpunkter
 for digital sundhed. Disse fungerer som 
gateways
 for grænseoverskridende dataudveksling. Alle nationale kontaktpunkter skal være forbundet til den centrale interoperabilitetsplatform for digital sundhed i den grænseoverskridende infrastruktur 
MyHealth@EU
.
Med hensyn til 
sekundær anvendelse
 skal hver medlemsstat udpege mindst ét 
organ med ansvar for adgang til sundhedsdata
, som er ansvarlig for at behandle ansøgninger og anmodninger om dataadgang, udstede datatilladelser, føre tilsyn med overholdelsen og sikre gennemsigtighed i videreanvendelsen af data.
HealthData@EU
 støtter 
sekundær anvendelse
 af sundhedsdata på tværs af medlemsstaterne ved at forbinde nationale kontaktpunkter og autoriserede brugere for at fremme forskning og innovation i hele EU.
Rådet for det europæiske sundhedsdataområde
 er oprettet for at lette samarbejdet mellem medlemsstaterne og 
Europa-Kommissionen
 og for at udføre opgaver vedrørende både primær og sekundær anvendelse.
Medlemsstaterne skal også 
sikre overholdelse
 gennem passende sanktioner og håndhævelsesforanstaltninger. Kommissionen 
aflægger årligt rapport
 om fremskridt med gennemførelsen, teknisk parathed og samarbejdsforanstaltninger.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen finder anvendelse fra den 26. marts 2027, og de centrale regler indfases gradvist mellem 2029 og 2035.
Vigtige implementeringsmilepæle
26. marts 
2025
 — forordningen træder i kraft.
26. marts 
2027
 — frist for Kommissionens vedtagelse af 
gennemførelsesretsakter
 til anvendelse af forordningen.
Fra den 26. marts 
2029
 — grænseoverskridende udveksling af patientresuméer, elektroniske recepter og elektroniske lægemiddeludleveringer bliver obligatorisk i alle medlemsstater via 
MyHealth@EU (primær anvendelse)
. Reglerne om sekundær anvendelse vil også begynde at gælde for de fleste datakategorier (f.eks. data fra elektroniske patientjournaler).
Fra den 26. marts 
2031
 — grænseoverskridende udveksling udvides til at omfatte laboratorieresultater, rapporter i forbindelse med medicinsk billeddannelse og rapporter om udskrivning fra hospitalet (primær anvendelse). Reglerne om sekundær anvendelse vil også begynde at gælde for de resterende datakategorier (f.eks. genomdata).
Fra den 26. marts 
2035
 kan lande uden for EU og internationale organisationer ansøge om at tilslutte sig 
HealthData@EU
 på særlige betingelser (sekundær anvendelse).
Forordningen ændrer direktiv 
2011/24/EU
 (se 
sammendrag
) og forordning (EU) 
2024/2847
 (se 
sammendrag
).
BAGGRUND
Det europæiske sundhedsdataområde er en central hjørnesten i 
den europæiske sundhedsunion
. Det bygger videre på 
den generelle forordning om databeskyttelse
 (se 
resumé
) og er i overensstemmelse med 
forordningen om datastyring
 (se 
resumé
), 
dataforordningen
 (se 
resumé
) og 
NIS 2-direktivet
 (se 
resumé
).
For yderligere oplysninger henvises til:
Forordningen om det europæiske sundhedsdataområde
 (Europa-Kommissionen)
Certification of EHR systems
 (Europa-Kommissionen)
Mine rettigheder over mine sundhedsdata
 (Europa-Kommissionen)
Det europæiske sundhedsdataområde: Rådet og Parlamentet indgår aftale
 (Rådet for Den Europæiske Union).
VIGTIGE BEGREBER
Organ med ansvar for adgang til sundhedsdata.
 En national myndighed, der godkender og fører tilsyn med den sekundære anvendelse af elektroniske sundhedsdata i henhold til forordningen om det europæiske sundhedsdataområde.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2025/327
 af 11. februar 2025 om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 
2024/2847
 (EUT L, 2025/327,  
5.3.2025
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2024/2847
 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) 
nr. 168/2013
 og (EU) 
2019/1020
 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (EUT L, 2024/2847, 
20.11.2024
).
Efterfølgende ændringer til forordning (EU) have er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2023/2854
 af 13. december 2023 om harmoniserede regler om fair adgang til og anvendelse af data og om ændring af forordning (EU) 
2017/2394
 og direktiv (EU) 2020/1828 (dataforordningen) (EUT L, 2023/2854, 
22.12.2023
).
Europa-Parlamentets og Rådets forordning (EU) 
2022/868
 af 30. maj 2022 om europæisk datastyring og om ændring af forordning (EU) 
2018/1724
 (forordning om datastyring) (EUT L 152 af 
3.6.2022
, 
s. 1-44
).
Europa-Parlamentets og Rådets Direktiv (EU) 
2022/2555
 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af Forordning (EU) 
Nr. 910/2014
 og Direktiv (EU) 2018/1972 og om ophævelse af Direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 
27.12.2022
, 
s. 80–152
).
Kommissionens henstilling (EU) 
2019/243
 af 6. februar 2019 om et europæisk format for udveksling af elektroniske patientjournaler (EUT L 39 af 
11.2.2019
, 
s. 18-27
).
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
)
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets Direktiv 
2011/24/EU
 af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (EUT L 88 af 
4.4.2011
, 
s. 45-65
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
16.1.2026