CELEX ID: 32025R0327

--- ENGLISH ---

Document:
$en_document

Summary:
$en_summary

--- DANISH ---

Document:
Den Europæiske Unions 
Tidende
DA
L-udgaven
2025/327
5.3.2025
EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2025/327
af 11. februar 2025
om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 2024/2847
(EØS-relevant tekst)
EUROPA-PARLAMENTET OG RÅDET FOR DEN EUROPÆISKE UNION HAR —
under henvisning til traktaten om Den Europæiske Unions funktionsmåde, særlig artikel 16 og 114,
under henvisning til forslag fra Europa-Kommissionen,
efter fremsendelse af udkast til lovgivningsmæssig retsakt til de nationale parlamenter,
under henvisning til udtalelse fra Det Europæiske Økonomiske og Sociale Udvalg 
(
1
)
,
under henvisning til udtalelse fra Regionsudvalget 
(
2
)
,
efter den almindelige lovgivningsprocedure 
(
3
)
, og
ud fra følgende betragtninger:
(1)
Formålet med denne forordning er at oprette det europæiske sundhedsdataområde for at forbedre fysiske personers adgang til og kontrol med deres personlige elektroniske sundhedsdata i forbindelse med sundhedsydelser samt for bedre at opfylde andre formål, der omfatter anvendelse af elektroniske sundhedsdata, på sundhedsområdet og i plejesektoren, der vil være til gavn for samfundet, såsom forskning, innovation, politikudformning, beredskab og indsats over for sundhedstrusler, herunder forebyggelse og håndtering af fremtidige pandemier, patientsikkerhed, personlig medicin, officielle statistikker eller reguleringsmæssige aktiviteter. Formålet med denne forordning er endvidere at forbedre det indre markeds funktion ved at fastlægge ensartede retlige og tekniske rammer, navnlig for udvikling, markedsføring og anvendelse af elektroniske patientjournaler (»EPJ-systemer«) i overensstemmelse med Unionens værdier. Det europæiske sundhedsdataområde vil være et centralt element i skabelsen af en stærk og modstandsdygtig europæisk sundhedsunion.
(2)
Covid-19-pandemien understregede, at det er bydende nødvendigt at have rettidig adgang til elektroniske sundhedsdata af høj kvalitet til beredskab og indsats over for sundhedstrusler samt til forebyggelse, diagnosticering og behandling og til sekundær anvendelse af sådanne elektroniske sundhedsdata. En sådan rettidig adgang kan potentielt gennem effektiv overvågning af folkesundheden bidrage til en mere effektiv håndtering af fremtidige pandemier, til en reduktion af omkostninger og til at forbedre indsatsen over for sundhedstrusler og kan i sidste ende bidrage til at redde flere liv i fremtiden. I 2020 tilpassede Kommissionen hurtigt sit kliniske patientstyringssystem, der blev oprettet ved Kommissionens gennemførelsesafgørelse (EU) 2019/1269 
(
4
)
, for at give medlemsstaterne mulighed for at dele elektroniske sundhedsdata om covid-19-patienter, der flyttede mellem sundhedstjenesteydere og medlemsstater, da denne pandemi var på sit højeste. Denne tilpasning var imidlertid kun en nødløsning, der viste, at der var behov for en strukturel og ensartet tilgang på medlemsstats- og EU-plan for såvel at forbedre tilgængeligheden af elektroniske sundhedsdata i forbindelse med sundhedsydelser og lette adgangen til elektroniske sundhedsdata med henblik på at målrette effektive politiske svar og bidrage til høje standarder for menneskers sundhed.
(3)
Covid-19-krisen cementerede i høj grad arbejdet i e-sundhedsnetværket, som er et frivilligt netværk af myndigheder med ansvar for digital sundhed, som den vigtigste søjle i udviklingen af kontaktopsporings- og kontaktvarslingsapplikationer til mobilenheder og de tekniske aspekter af EU's digitale covidcertifikater. Den fremhævede også behovet for at dele elektroniske sundhedsdata, der er søgbare, tilgængelige, interoperable og genanvendelige (»FAIR-principperne«), og sikre, at elektroniske sundhedsdata er så åbne som muligt, samtidig med at princippet om dataminimering som fastsat i Europa-Parlamentets og Rådets forordning (EU) 2016/679 
(
5
)
 respekteres. Der bør sikres synergier mellem det europæiske sundhedsdataområde, den europæiske åbne videnskabscloud og de europæiske forskningsinfrastrukturer, og der bør tages ved lære af de datadelingsløsninger, der er udviklet under den europæiske covid-19-dataplatform.
(4)
I betragtning af personlige elektroniske sundhedsdatas følsomhed sigter denne forordning mod at stille tilstrækkelige garantier til rådighed på både EU-plan og nationalt plan for at sikre et højt niveau for databeskyttelsen, -sikkerheden og -fortroligheden samt den etiske brug af data. Sådanne garantier er nødvendige med henblik på at fremme tilliden til sikker håndtering af fysiske personers elektroniske sundhedsdata til primær anvendelse og sekundær anvendelse som defineret i denne forordning.
(5)
Behandlingen af elektroniske sundhedsdata er underlagt bestemmelserne i forordning (EU) 2016/679 og for Unionens institutioners, organers, kontorers og agenturers vedkommende i Europa-Parlamentets og Rådets forordning (EU) 2018/1725 
(
6
)
. Henvisninger til bestemmelserne i forordning (EU) 2016/679 bør også forstås som henvisninger til de tilsvarende bestemmelser i forordning (EU) 2018/1725 for Unionens institutioner, organer, kontorer og agenturer, hvor det er relevant.
(6)
Flere og flere personer, der bor i Unionen, krydser landegrænser for at arbejde, studere, besøge slægtninge eller af andre årsager. For at lette udvekslingen af sundhedsdata og i overensstemmelse med behovet for at styrke borgernes indflydelse bør de kunne få adgang til deres sundhedsdata i et elektronisk format, der kan anerkendes og accepteres i hele Unionen. Sådanne personlige elektroniske sundhedsdata kan omfatte personoplysninger vedrørende en fysisk persons fysiske eller mentale sundhed, herunder vedrørende brug af sundhedsydelser, og som afslører oplysninger om denne fysiske persons helbredstilstand, personoplysninger vedrørende en fysisk persons arvede eller erhvervede genetiske karakteristika, som giver entydig information om den pågældende fysiske persons fysiologi eller helbred, og som navnlig foreligger efter en analyse af en biologisk prøve fra den pågældende fysiske person, samt datadeterminanter for sundhed såsom adfærd, miljø, fysiske påvirkninger, lægebehandling, sociale eller uddannelsesmæssige faktorer. Elektroniske sundhedsdata omfatter også data, der oprindeligt er indsamlet med henblik på forskning, statistik, vurdering af sundhedstrusler, politikudformning eller reguleringsmæssige formål, og det bør være muligt at stille dem til rådighed i overensstemmelse med reglerne i denne forordning. Elektroniske sundhedsdata består af alle kategorier af disse data, uanset om sådanne oplysninger leveres af den registrerede eller andre fysiske eller juridiske personer såsom sundhedsprofessionelle eller behandles i forbindelse med en fysisk persons sundhed eller velbefindende, og bør også omfatte afledte og udledte data såsom diagnostik, test og medicinske undersøgelser samt data, der observeres og registreres automatisk.
(7)
I sundhedssystemerne indsamles personlige elektroniske sundhedsdata normalt i elektroniske patientjournaler, som typisk indeholder en fysisk persons sygehistorik, diagnoser og behandling, medicin, allergier og vaccinationer samt radiologiske billeder, laboratorieresultater og andre helbredsoplysninger, som spredes mellem forskellige aktører i sundhedssystemet, såsom praktiserende læger, hospitaler, apoteker eller plejetjenester. For at gøre det muligt for fysiske personer eller sundhedsprofessionelle at få adgang til, dele og ændre disse elektroniske sundhedsdata har nogle medlemsstater truffet de nødvendige retlige og tekniske foranstaltninger og etableret centraliserede infrastrukturer, der forbinder EPJ-systemer, der anvendes af sundhedstjenesteydere og fysiske personer. Desuden yder nogle medlemsstater støtte til offentlige og private sundhedstjenesteydere i at oprette personlige elektroniske sundhedsdataområder for at muliggøre interoperabilitet mellem forskellige sundhedstjenesteydere. Flere medlemsstater støtter eller leverer også tjenester for adgang til elektroniske sundhedsdata for patienter og sundhedsprofessionelle, f.eks. gennem portaler for patienter eller sundhedsprofessionelle. Disse medlemsstater har også truffet foranstaltninger til at sikre, at EPJ-systemer eller wellnessapplikationer er i stand til at overføre elektroniske sundhedsdata til det centrale EPJ-system, f.eks. ved at indføre et certificeringssystem. Det er imidlertid ikke alle medlemsstater, der har indført sådanne systemer, og de medlemsstater, der har, har gjort det på en fragmenteret måde. For at lette den frie udveksling af personlige elektroniske sundhedsdata i hele Unionen og undgå negative konsekvenser for patienter, når de modtager sundhedsydelser i en grænseoverskridende sammenhæng, er der behov for en indsats på EU-plan for at fysiske personer har bedre adgang til deres egne personlige elektroniske sundhedsdata og sætte dem i stand til at dele disse data. I denne henseende bør der på EU-plan og nationalt plan iværksættes passende tiltag som et middel til at reducere fragmentering, uensartethed og splittelse og til at skabe et system, der er brugervenligt og intuitivt i alle medlemsstater. Enhver digital omstilling i sundhedssektoren bør sigte mod at være inklusiv og også tage hensyn til fysiske personer med begrænset adgang til og brug af digitale tjenester, inklusive personer med handicap.
(8)
Forordning (EU) 2016/679 indeholder specifikke bestemmelser om fysiske personers rettigheder i forbindelse med behandling af deres personoplysninger. Det europæiske sundhedsdataområde bygger på disse rettigheder og supplerer nogle af dem, der vedrører personlige elektroniske sundhedsdata. Disse rettigheder gælder uanset i hvilken medlemsstat de personlige elektroniske sundhedsdata behandles, hvilken type sundhedstjenesteyder der er tale om, kilder til disse data eller den fysiske persons forsikringsmedlemsstat. Rettighederne og reglerne vedrørende den primære anvendelse af personlige elektroniske sundhedsdata i henhold til nærværende forordning vedrører alle kategorier af disse data, uanset hvordan de er blevet indsamlet, eller hvem der har leveret dem, retsgrundlaget for behandlingen i henhold til forordning (EU) 2016/679 eller den dataansvarliges status som en offentlig eller privat organisation. De yderligere rettigheder til adgang til og portabilitet af personlige elektroniske sundhedsdata, der er fastsat i nærværende forordning, bør ikke berøre retten til adgang og portabilitet som fastsat ved forordning (EU) 2016/679. Fysiske personer har fortsat disse rettigheder på de betingelser, der er fastsat i nævnte forordning.
(9)
Selv om de rettigheder, der følger af forordning (EU) 2016/679, fortsat bør finde anvendelse, bør retten til adgang til data for en fysisk person, der er fastsat i forordning (EU) 2016/679, suppleres yderligere i sundhedssektoren. I henhold til nævnte forordning behøver dataansvarlige ikke straks at give adgang. Retten til adgang til sundhedsdata sikres stadig ofte mange steder gennem levering af de ønskede sundhedsdata i papirformat eller som scannede dokumenter, hvilket er tidskrævende for den dataansvarlige, såsom et hospital eller en anden sundhedstjenesteyder, der giver adgang. Denne situation forsinker fysiske personers rettidige adgang til sundhedsdata og kan have en negativ indvirkning på dem, hvis de har brug for en sådan adgang straks på grund af en akut helbredsmæssig situation. Det er derfor nødvendigt at give fysiske personer en mere effektiv måde at få adgang til deres egne personlige elektroniske sundhedsdata på. De bør have ret til gratis og øjeblikkelig adgang til specifikke prioriterede kategorier af personlige elektroniske sundhedsdata, såsom patientresuméet, gennem en tjeneste for adgang til elektroniske sundhedsdata, samtidig med at behovet for teknologisk gennemførlighed respekteres. Denne rettighed bør gælde uanset i hvilken medlemsstat de personlige elektroniske sundhedsdata behandles, hvilken type sundhedstjenesteyder der er tale om, kilderne til disse data eller den fysiske persons forsikringsmedlemsstat. Anvendelsesområdet for denne supplerende rettighed, der er fastsat ved nærværende forordning, og betingelserne for at udøve den adskiller sig på visse måder fra retten til adgang til personoplysninger i henhold til forordning (EU) 2016/679, som omfatter alle personoplysninger, som en dataansvarlig er i besiddelse af, og udøves over for en enkelt dataansvarlig, som har op til en måned til at besvare en anmodning. Retten til adgang til personlige elektroniske sundhedsdata i henhold til nærværende forordning bør begrænses til de kategorier af data, der er omfattet af dens anvendelsesområde, og den bør udøves via en tjeneste for adgang til elektroniske sundhedsdata og medføre et øjeblikkeligt svar. Rettighederne i henhold til forordning (EU) 2016/679 bør fortsat finde anvendelse, således at fysiske personer kan drage fordel af deres rettigheder i henhold til begge retlige rammer, navnlig retten til at få en papirkopi af de elektroniske sundhedsdata.
(10)
Det bør tages i betragtning, at øjeblikkelig adgang for fysiske personer til visse kategorier af deres personlige elektroniske sundhedsdata kan være skadelig for disse fysiske personers sikkerhed eller være uetisk. Det kan f.eks. være uetisk at informere en patient via en elektronisk kanal om, at vedkommende er blevet diagnosticeret med en uhelbredelig sygdom, som sandsynligvis er terminal inden for meget kort tid, i stedet for først at give disse oplysninger i en konsultation med patienten. Det bør derfor være muligt at udsætte adgangen til personlige elektroniske sundhedsdata i sådanne situationer i en begrænset periode, f.eks. indtil det tidspunkt, hvor den sundhedsprofessionelle kan forklare situationen for patienten. Medlemsstaterne bør kunne indføre en sådan undtagelse, hvis den udgør en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund i overensstemmelse med begrænsninger som fastsat i artikel 23 i forordning (EU) 2016/679.
(11)
Denne forordning berører ikke medlemsstaternes beføjelser vedrørende den første registrering af personlige elektroniske sundhedsdata, såsom at gøre registreringen af genetiske data betinget af den fysiske persons samtykke eller andre garantier. Medlemsstaterne kan kræve, at data stilles til rådighed i et elektronisk format forud for anvendelsen af denne forordning. Dette bør ikke berøre forpligtelsen til at stille personlige elektroniske sundhedsdata, der er registreret efter denne forordnings anvendelsesdato, til rådighed i et elektronisk format.
(12)
For at supplere de oplysninger, der er tilgængelige for dem, bør fysiske personer kunne tilføje elektroniske sundhedsdata til deres EPJ'er eller lagre yderligere oplysninger i deres særskilte personlige helbredsjournaler, som sundhedsprofessionelle kan få adgang til. Oplysninger, der indlæses af fysiske personer, er muligvis ikke så pålidelige som elektroniske sundhedsdata, der indlæses og verificeres af sundhedsprofessionelle, og har ikke den samme kliniske eller juridiske værdi som oplysninger, der stilles til rådighed af sundhedsprofessionelle. Data, der tilføjes af fysiske personer i deres EPJ, bør derfor tydeligt kunne skelnes fra data fra sundhedsprofessionelle. Denne mulighed for fysiske personer for at tilføje og supplere personlige elektroniske sundhedsdata bør ikke give dem ret til at ændre personlige elektroniske sundhedsdata, der er stillet til rådighed af sundhedsprofessionelle.
(13)
Ved at give fysiske personer lettere og hurtigere adgang til deres personlige elektroniske sundhedsdata får de mulighed for at gøre opmærksom på eventuelle fejl såsom forkerte oplysninger eller fejlagtigt tildelte patientjournaler. I sådanne tilfælde bør fysiske personer have mulighed for straks og gratis at anmode online om berigtigelse af ukorrekte personlige elektroniske sundhedsdata online via en tjeneste for adgang til personlige sundhedsdata. Sådanne anmodninger om berigtigelse af oplysninger bør derefter vurderes og behandles af de relevante dataansvarlige i henhold til forordning (EU) 2016/679, om nødvendigt med inddragelse af sundhedsprofessionelle med et relevant speciale og med ansvar for de fysiske personers behandling.
(14)
I henhold til forordning (EU) 2016/679 er retten til dataportabilitet begrænset til data, der behandles på grundlag af samtykke eller kontrakt, og som den registrerede har stillet til rådighed for en dataansvarlig. Derudover har fysiske personer i henhold til nævnte forordning kun ret til at få personoplysningerne videregivet direkte fra en dataansvarlig til en anden, hvis det er teknisk muligt. Forordning (EU) 2016/679 pålægger imidlertid ikke en forpligtelse til at gøre denne direkte transmission teknisk mulig. Retten til dataportabilitet bør suppleres i henhold til nærværende forordning og derved som minimum give fysiske personer mulighed for at give adgang til som minimum prioriterede kategorier af deres personlige elektroniske sundhedsdata til sundhedsprofessionelle efter eget valg, til at udveksle sådanne sundhedsdata med sådanne sundhedsprofessionelle og til at downloade sådanne sundhedsdata. Desuden bør fysiske personer have ret til at anmode en sundhedstjenesteyder om at overføre en del af deres elektroniske sundhedsdata til en klart identificeret modtager i sektoren for socialsikringstjenester eller refusionstjenester. En sådan overførsel bør udelukkende være en envejsoverførsel.
(15)
Den ramme, der fastsættes ved denne forordning, bør bygge på retten til dataportabilitet, der er fastsat i forordning (EU) 2016/679, ved at sikre, at fysiske personer som registrerede kan overføre deres personlige elektroniske sundhedsdata, herunder afledte data i det europæiske format for udveksling af elektroniske patientjournaler, uanset retsgrundlaget for behandling af de elektroniske sundhedsdata. Sundhedsprofessionelle bør ikke hindre anvendelsen af fysiske personers rettigheder, f.eks. ved at nægte at tage hensyn til personlige elektroniske sundhedsdata, der stammer fra en anden medlemsstat og som leveres gennem det interoperable og pålidelige europæiske format for udveksling af elektroniske patientjournaler.
(16)
Sundhedstjenesteydernes eller andre enkeltpersoners adgang til de elektroniske patientjournaler bør være gennemsigtig for de berørte fysiske personer. Tjenester for adgang til elektroniske sundhedsdata bør stille detaljerede oplysninger om adgang til data til rådighed, f.eks. hvornår og hvilken enhed eller fysisk person, der har fået adgang til data og hvilke data der blev tilgået. Fysiske personer bør også kunne slå automatiske meddelelser om adgang til personlige elektroniske sundhedsdata, der vedrører dem, gennem adgangstjenester for sundhedsprofessionelle til eller fra.
(17)
Fysiske personer ønsker muligvis ikke at give adgang til visse dele af deres personlige elektroniske sundhedsdata, men vil samtidig gerne give adgang til andre dele. Dette kan navnlig være relevant i tilfælde af følsomme sundhedsproblemer såsom i forhold til mental eller seksuel sundhed, følsomme behandlinger såsom abort eller oplysninger om specifikke lægemidler, der kan afsløre andre følsomme problemer. En sådan selektiv deling af personlige elektroniske sundhedsdata bør derfor støttes og gennemføres gennem begrænsninger, der fastsættes af den berørte fysiske person på samme måde inden for en given medlemsstats område og ved grænseoverskridende datadeling. Disse begrænsninger bør give mulighed for en tilstrækkelig detaljeringsgrad i forhold til at begrænse dele af datasæt, f.eks. elementer af patientresuméer. Forud for fastsættelsen af begrænsningerne bør fysiske personer informeres om de risici for patientsikkerheden, der er forbundet med begrænsning af adgangen til sundhedsdata. Da manglende adgang til begrænsede personlige elektroniske sundhedsdata kan påvirke leveringen eller kvaliteten af de sundhedsydelser, der leveres til den fysiske person, bør fysiske personer, der gør brug af sådanne adgangsbegrænsninger, påtage sig ansvaret for, at sundhedstjenesteyderen ikke kan tage dataene i betragtning, når vedkommende leverer sundhedsydelser. Begrænsningerne af adgangen til personlige elektroniske sundhedsdata kan have livstruende konsekvenser, og det bør derfor ikke desto mindre være muligt at tilgå disse data i nødsituationer for at beskytte vitale interesser. Mere specifikke retlige bestemmelser om mekanismerne for begrænsninger, som fysiske personer pålægger dele af deres personlige elektroniske sundhedsdata, kan fastsættes af medlemsstaterne i deres nationale ret, navnlig vedrørende lægeansvaret i tilfælde af, at den pågældende fysiske person har pålagt begrænsninger.
(18)
På grund af de forskellige opfattelser i medlemsstaterne med hensyn til graden af patienternes kontrol med deres sundhedsdata bør medlemsstaterne desuden kunne fastsætte en absolut ret til at fravælge adgang til deres personlige elektroniske sundhedsdata for alle, bortset fra den oprindelige dataansvarlige, uden nogen mulighed for at tilsidesætte denne fravalgsret i nødsituationer. I sådanne tilfælde bør medlemsstaterne fastsætte regler og specifikke garantier for sådanne fravalgsmekanismer. Disse regler og specifikke garantier kan også vedrøre specifikke kategorier af personlige elektroniske sundhedsdata, f.eks. genetiske data. Retten til fravalg betyder, at personlige elektroniske sundhedsdata vedrørende den fysiske person, der udøver nævnte ret, ikke stilles til rådighed gennem de tjenester, der er oprettet under det europæiske sundhedsdataområde, bortset fra den sundhedstjenesteyder, der leverede behandlingen. Medlemsstaterne bør kunne kræve registrering og lagring af personlige elektroniske sundhedsdata i et EPJ-system, der anvendes af den sundhedstjenesteyder, der leverede sundhedsydelserne, og som kun er tilgængelig for den pågældende sundhedstjenesteyder. Hvis en fysisk person har udøvet sin ret til fravalg, vil sundhedstjenesteyderne stadig dokumentere behandlingen i overensstemmelse med de gældende regler og kunne få adgang til de data, som de har registreret. Fysiske personer, der udøver retten til fravalg, bør kunne omgøre deres beslutning. I sådanne tilfælde, er personlige elektroniske sundhedsdata, der er blevet genereret i fravalgsperioden, muligvis ikke tilgængelige via adgangstjenesterne og MyHealth@EU.
(19)
Rettidig og fuld adgang for sundhedsprofessionelle til patientjournaler er afgørende for at sikre kontinuitet i behandlingen, undgå dobbeltarbejde og fejl samt reducere omkostninger. På grund af manglende interoperabilitet kan sundhedsprofessionelle imidlertid i mange tilfælde ikke få adgang til deres patienters fuldstændige patientjournaler og kan ikke træffe optimale medicinske beslutninger vedrørende deres diagnose og behandling, hvilket medfører betydelige omkostninger for både sundhedssystemerne og fysiske personer og kan føre til ringere sundhedsresultater for fysiske personer. Elektroniske sundhedsdata, der stilles til rådighed i et interoperabelt format, og som kan overføres mellem sundhedstjenesteydere, kan også mindske den administrative byrde for sundhedsprofessionelle for så vidt angår manuel indlæsning eller kopiering af sundhedsdata mellem elektroniske systemer. Sundhedsprofessionelle bør derfor udstyres med passende elektroniske midler, såsom elektroniske enheder og portaler for sundhedsprofessionelle eller andre adgangstjenester for sundhedsprofessionelle, så de kan bruge personlige elektroniske sundhedsdata i udførelsen af deres opgaver. Da det er vanskeligt på forhånd på udtømmende vis at fastslå, hvilke data fra de eksisterende data i prioriterede kategorier, der er lægeligt relevante i et specifikt tilfælde af pleje, bør sundhedsprofessionelle have bred adgang til data. Når sundhedsprofessionelle tilgår data vedrørende deres patienter, bør de overholde gældende ret, adfærdskodekser, deontologiske retningslinjer eller andre bestemmelser om etisk adfærd med hensyn til deling af eller adgang til oplysninger, navnlig i livstruende eller ekstreme situationer. I overensstemmelse med forordning (EU) 2016/679, for at begrænse deres adgang til det, der er relevant i et specifikt tilfælde af pleje, bør sundhedstjenesteydere følge princippet om dataminimering, når de tilgår personlige elektroniske sundhedsdata, og begrænse de data, der tilgås, til data, der er strengt nødvendige og berettigede for den pågældende ydelse. Levering af tjenester til sundhedsprofessionelles adgang er en opgave i samfundets interesse i henhold til nærværende forordning, hvis udførelse kræver behandling af personoplysninger som omhandlet i artikel 6, stk. 1, litra e), i forordning (EU) 2016/679. Nærværende forordning fastsætter betingelser og garantier for behandling af elektroniske sundhedsdata foretaget af adgangstjenesten for sundhedsprofessionelle i overensstemmelse med artikel 9, stk. 2, litra h), i forordning (EU) 2016/679, f.eks. detaljerede bestemmelser for logning af adgang til personlige elektroniske sundhedsdata, og som har til formål at skabe gennemsigtighed for de registrerede. Nærværende forordning bør dog ikke berøre nationale ret om behandling af sundhedsdata med henblik på at levere sundhedsydelser, herunder national ret, der fastsætter, hvilke kategorier af sundhedsprofessionelle der må behandle forskellige kategorier af elektroniske sundhedsdata.
(20)
For at lette udøvelsen af de supplerende adgangs- og portabilitetsrettigheder, der er fastsat i denne forordning, bør medlemsstaterne oprette en eller flere tjenester for adgang til elektroniske sundhedsdata. Disse tjenester kan leveres på nationalt, regionalt eller lokalt plan eller af sundhedstjenesteydere i form af en online patientportal, en applikation til mobilenheder eller på anden måde. De bør udformes på en tilgængelig måde, navnlig for personer med handicap. Det er i væsentlig samfundsinteresse, at en sådan tjeneste giver fysiske personer let adgang til deres personlige elektroniske sundhedsdata. Behandlingen af personlige elektroniske sundhedsdata gennem disse tjenester er nødvendig for udførelsen af den opgave, der er pålagt ved nærværende forordning, jf. artikel 6, stk. 1, litra e), og artikel 9, stk. 2, litra g), i forordning (EU) 2016/679. Nærværende forordning fastsætter de nødvendige betingelser og garantier for behandling af elektroniske sundhedsdata i tjenester for adgang til elektroniske sundhedsdata såsom elektronisk identifikation af fysiske personer, der har adgang til sådanne tjenester.
(21)
Fysiske personer bør kunne give tilladelse til andre fysiske personer efter eget valg, såsom deres pårørende eller andre nærtstående, således at sådanne personer efter eget valg kan få adgang til eller kontrollere adgangen til de personlige elektroniske sundhedsdata for de fysiske personer, der giver tilladelsen, eller anvende digitale sundhedstjenester på deres vegne. Sådanne tilladelser kan også være belejlige for anden brug af fysiske personer, der er givet en sådan tilladelse. Medlemsstaterne bør oprette og gennemføre fuldmagtstjenester for at muliggøre sådanne tilladelser og være knyttet til tjenester for adgang til personlige elektroniske sundhedsdata såsom patientportaler eller patientorienterede applikationer til mobilenheder. Disse fuldmagtstjenester bør også gøre det muligt for værger at handle på vegne af deres forsørgelsesberettigede, herunder mindreårige; i sådanne situationer kan tilladelserne være automatiske. Ud over disse fuldmagtstjenester bør medlemsstaterne også oprette let tilgængelige supporttjenester, der leveres af tilstrækkeligt uddannet personale til at hjælpe de fysiske personer når de udøver deres rettigheder. For at tage hensyn til tilfælde, hvor visningen af visse personlige elektroniske sundhedsdata om afhængige personer for deres værger kan være i strid deres afhængige personers, herunder mindreåriges, interesser eller vilje, bør medlemsstaterne i national ret kunne fastsætte begrænsninger og garantier samt mekanismer for deres tekniske gennemførelse. Tjenester for adgang til personlige elektroniske sundhedsdata, såsom patientportaler eller patientorienterede applikationer til mobilenheder, bør gøre brug af sådanne tilladelser og dermed gøre det muligt for autoriserede fysiske personer at få adgang til personlige elektroniske sundhedsdata, der er omfattet af tilladelsen. For at sikre en horisontal løsning med øget brugervenlighed, bør digitale fuldmagtsløsninger bringes i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 
(
7
)
 og de tekniske specifikationer for den europæiske digitale identitetstegnebog. Denne tilpasning vil bidrage til at mindske både den administrative og finansielle byrde for medlemsstaterne ved at mindske risikoen for at udvikle parallelle systemer, der ikke er interoperable i hele Unionen.
(22)
I nogle medlemsstater leveres sundhedsydelser af sundhedsforvaltningsgrupper, som er grupper af sundhedsprofessionelle med fokus på primær sundhedspleje, såsom alment praktiserende læger, som udfører deres primære plejeaktiviteter på grundlag af en sundhedsplan, som de udarbejder. I flere medlemsstater findes der også andre typer sundhedsteams til andre behandlingsformål. I forhold til den primære anvendelse i det europæiske sundhedsdataområde bør adgangen gives til sundhedsprofessionelle i sådanne teams.
(23)
De tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, er kompetente med hensyn til overvågning af og håndhævelse af anvendelsen af nævnte forordning, navnlig med hensyn til at overvåge behandlingen af personlige elektroniske sundhedsdata og behandle klager fra de pågældende fysiske personer. Nærværende forordning fastsætter yderligere rettigheder for fysiske personer med hensyn til den primære anvendelse, der er mere vidtgående end og supplerer de adgangs- og overførselsrettigheder, der er fastsat i forordning (EU) 2016/679. Da disse yderligere rettigheder også bør håndhæves af de tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, bør medlemsstaterne sikre, at disse tilsynsmyndigheder råder over de nødvendige finansielle og menneskelige ressourcer samt de lokaler og den infrastruktur, der er nødvendige for effektivt at kunne udføre disse yderligere opgaver. Den tilsynsmyndighed eller de myndigheder, der er ansvarlige for overvågningen og håndhævelsen af behandlingen af personlige elektroniske sundhedsdata til primær anvendelse i overensstemmelse med nærværende forordning, bør have kompetence til at pålægge administrative bøder. Retssystemet i Danmark giver ikke mulighed for administrative bøder som fastsat i nærværende forordning. Reglerne om administrative bøder kan i Danmark anvendes ved, at bøder pålægges af de kompetente nationale domstole som en strafferetlig sanktion, forudsat at en sådan anvendelse af reglerne har tilsvarende virkning som administrative bøder pålagt af tilsynsmyndighederne. De pålagte bøder bør under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning.
(24)
Medlemsstaterne bør bestræbe sig på at overholde etiske principper såsom de europæiske etiske principper for digital sundhed, der blev vedtaget af e-sundhedsnetværket den 26. januar 2022, og princippet om fortrolighed mellem sundhedsprofessionelle og patienter i forbindelse med anvendelsen af denne forordning. I anerkendelse af betydningen af etiske principper giver de europæiske etiske principper for digital sundhed vejledning til fagfolk, forskere, innovatorer, politiske beslutningstagere og lovgivere.
(25)
Relevansen af forskellige kategorier af elektroniske sundhedsdata for forskellige sundhedsscenarier varierer. Forskellige kategorier har også opnået forskellige grader af modenhed med hensyn til standardisering, og derfor kan gennemførelsen af mekanismer til deres udveksling være mere eller mindre kompleks afhængigt af kategorien. Derfor bør forbedringen af interoperabiliteten og dataudvekslingen ske gradvist, og der er behov for prioritering af visse kategorier af elektroniske sundhedsdata. Kategorier af elektroniske sundhedsdata såsom patientresuméer, elektroniske recepter og elektroniske lægemiddeludleveringer, medicinske billeddiagnostik og tilhørende billedrapporter, resultater af medicinske undersøgelser, såsom laboratorieresultater og tilhørende rapporter samt udskrivningsrapporter er blevet udvalgt af e-sundhedsnetværket som de mest relevante for de fleste sundhedssituationer og bør betragtes som prioriterede kategorier for medlemsstaterne med henblik på at sikre adgangen til dem og overførslen heraf. Hvis sådanne prioriterede kategorier af data repræsenterer grupper af elektroniske sundhedsdata, bør denne forordning finde anvendelse på både grupperne som helhed og på de individuelle dataposter, der indgår i disse grupper. Da vaccinationsstatus f.eks. er en del af et patientresumé, bør de rettigheder og krav, der er knyttet til patientresuméet, også gælde for en sådan vaccinationsstatus, selv om den behandles adskilt fra patientresuméet som helhed. Når der identificeres yderligere behov for udveksling af yderligere kategorier af elektroniske sundhedsdata med henblik på sundhedsydelser, bør adgang til og udveksling af disse yderligere kategorier muliggøres i henhold til denne forordning. De yderligere kategorier bør først gennemføres på medlemsstatsniveau, og udvekslingen på frivillig basis af sådanne kategorier af data i grænseoverskridende situationer mellem de samarbejdende medlemsstater bør fastsættes i denne forordning. Der bør lægges særlig vægt på dataudveksling i grænseregioner i nabomedlemsstater, hvor leveringen af grænseoverskridende sundhedsydelser er hyppigere og kræver endnu hurtigere procedurer end i hele Unionen generelt.
(26)
Graden af tilgængelighed af personlige sundhedsdata og genetiske data i elektronisk format varierer fra medlemsstat til medlemsstat. Det europæiske sundhedsdataområde bør gøre det lettere for fysiske personer at få adgang til disse data i elektronisk format og bedre kontrollere adgangen til og delingen af deres personlige elektroniske sundhedsdata. Dette vil også bidrage til at nå målet om, at 100 % af unionsborgerne skal have adgang til deres elektroniske patientjournaler senest i 2030, jf. Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 
(
8
)
. For at gøre elektroniske sundhedsdata tilgængelige og overførbare bør sådanne data tilgås og overføres i et interoperabelt fælles europæisk format for udveksling af elektroniske patientjournaler, i det mindste for visse kategorier af elektroniske sundhedsdata, såsom patientresuméer, elektroniske recepter og elektroniske medicinudleveringer, medicinske billeddiagnostik og tilhørende billedrapporter, resultater af medicinske undersøgelser og udskrivningsrapporter, med forbehold af overgangsperioder. Når personlige elektroniske sundhedsdata stilles til rådighed for en sundhedstjenesteyder eller et apotek af en fysisk person eller overføres af en anden dataansvarlig i det europæiske format for udveksling af elektroniske patientjournaler, bør dette format accepteres og modtageren bør kunne læse de pågældende data og anvende dem med henblik på levering af sundhedsydelser eller udlevering af et lægemiddel, hvilket dermed understøtter leveringen af sundhedsydelser eller udleveringen af den elektroniske recept. Det europæiske format for udveksling af elektroniske patientjournaler bør udformes på en måde, der letter oversættelse af elektroniske sundhedsdata, der kommunikeres ved hjælp af dette format, til Unionens officielle sprog i det omfang, det er muligt. Kommissionens henstilling (EU) 2019/243 
(
9
)
 danner grundlag for et sådant fælles europæisk format for udveksling af elektroniske patientjournaler. Det europæiske sundhedsdataområdes interoperabilitet bør bidrage til at have europæiske sundhedsdatasæt af høj kvalitet. Anvendelsen af et europæisk format for udveksling af elektroniske patientjournaler bør gøres mere udbredt på EU-plan og nationalt plan. Det europæiske format for udveksling af elektroniske patientjournaler kan give mulighed for forskellige profiler til brug i EPJ-systemerne og hos de nationale kontaktpunkter for digital sundhed i MyHealth@EU til grænseoverskridende dataudveksling.
(27)
Selv om EPJ-systemerne er vidt udbredte, varierer digitaliseringsniveauet for sundhedsdata i medlemsstaterne afhængigt af datakategorier og dækning af sundhedstjenesteydere, der registrerer sundhedsdata i elektronisk format. For at støtte anvendelsen af de registreredes ret til adgang til og udveksling af elektroniske sundhedsdata er der behov for en EU-indsats for at undgå yderligere fragmentering. For at bidrage til sundhedsydelsernes høje kvalitet og kontinuitet bør visse kategorier af sundhedsdata registreres systematisk i elektronisk format og i overensstemmelse med specifikke datakvalitetskrav. Det europæiske format for udveksling af elektroniske patientjournaler bør danne grundlag for specifikationer vedrørende registrering og udveksling af elektroniske sundhedsdata.
(28)
Telemedicin er et stadig vigtigere redskab, der kan give patienterne adgang til pleje og tackle uligheder. Det har potentiale til at reducere ulighederne inden for sundhed og styrke unionsborgernes frie bevægelighed på tværs af grænserne. Digitale og andre teknologiske værktøjer kan lette levering af pleje i afsidesliggende regioner. Når digitale tjenester ledsager den fysiske levering af en sundhedsydelse, bør den digitale tjeneste medtages i den samlede plejeydelse. I henhold til artikel 168 i traktaten om Den Europæiske Unions funktionsmåde (TEUF) er medlemsstaterne ansvarlige for deres sundhedspolitik, navnlig for organisation og levering af sundhedstjenesteydelser og behandling på sundhedsområdet, herunder regulering af aktiviteter såsom onlineapoteker, telemedicin og andre tjenester, som de leverer og yder refusion for i overensstemmelse med deres nationale lovgivning. Forskellige sundhedspolitikker bør dog ikke udgøre hindringer for den frie bevægelighed for elektroniske sundhedsdata i forbindelse med grænseoverskridende sundhedstjenester, f.eks. telemedicin og onlineapotekertjenester.
(29)
Forordning (EU) nr. 910/2014 fastsætter de betingelser, hvorunder medlemsstaterne foretager identifikation af fysiske personer i grænseoverskridende situationer ved hjælp af identifikationsmidler udstedt af en anden medlemsstat, og fastsætter regler for gensidig anerkendelse af sådanne elektroniske identifikationsmidler. Det europæiske sundhedsdataområde kræver sikker adgang til elektroniske sundhedsdata, herunder i grænseoverskridende situationer. Tjenester for adgang til elektroniske sundhedsdata og telemedicintjenester bør gøre det muligt for fysiske personer at udøve deres rettigheder uanset deres forsikringsmedlemsstat og bør derfor støtte identifikationen af fysiske personer ved hjælp af ethvert elektronisk identifikationsmiddel, der er anerkendt i henhold til forordning (EU) nr. 910/2014. I betragtning af muligheden for udfordringer med hensyn til identitetssammenkobling i grænseoverskridende situationer kan det være nødvendigt, at behandlingsmedlemsstaterne udsteder supplerende adgangsmekanismer, såsom tokens eller koder til fysiske personer, der ankommer fra andre medlemsstater og modtager sundhedsydelser. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter for at fastsætte kravene til interoperabel og grænseoverskridende identifikation og autentificering af fysiske personer og sundhedsprofessionelle, herunder eventuelle supplerende mekanismer, der er nødvendige for at sikre at fysiske personers kan udøve deres rettigheder med hensyn til personlige elektroniske sundhedsdata i grænseoverskridende situationer.
(30)
Medlemsstaterne bør udpege relevante digitale sundhedsmyndigheder til planlægning og gennemførelse af standarder for adgang til og overførsel af elektroniske sundhedsdata og håndhævelse af fysiske personers og sundhedsprofessionelles rettigheder som separate organisationer eller som en del af allerede eksisterende myndigheder. Personalet hos de digitale sundhedsmyndigheder bør ikke have nogen finansielle eller andre interesser i brancher eller økonomiske aktiviteter, som kan påvirke deres uvildighed. Der findes allerede digitale sundhedsmyndigheder i de fleste medlemsstater, og de beskæftiger sig med EPJ'er, interoperabilitet, sikkerhed eller standardisering. Under udførelsen af deres opgaver bør digitale sundhedsmyndigheder navnlig samarbejde med de tilsynsmyndigheder, der er oprettet i henhold til forordning (EU) 2016/679, og de tilsynsorganer, der er oprettet i henhold til forordning (EU) nr. 910/2014. Digitale sundhedsmyndigheder kan også samarbejde med Det Europæiske Udvalg for Kunstig Intelligens oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2024/1689 
(
10
)
, Koordinationsgruppen for Medicinsk Udstyr oprettet ved Europa-Parlamentets og Rådets forordning (EU) 2017/745 
(
11
)
, Det Europæiske Datainnovationsråd oprettet i henhold til Europa-Parlamentets og Rådets forordning (EU) 2022/868 
(
12
)
 og de kompetente myndigheder i henhold til Europa-Parlamentets og Rådets forordning (EU) 2023/2854 
(
13
)
. Medlemsstaterne bør lette de nationale aktørers deltagelse i samarbejdet på EU-plan, formidling af ekspertise og rådgivning om udformningen af de løsninger, der er nødvendige for at nå målene for det europæiske sundhedsdataområde.
(31)
Uden at det berører andre administrative eller udenretslige klageadgange, bør enhver fysisk eller juridisk person have ret til effektive retsmidler over for en juridisk bindende afgørelse truffet af en digital sundhedsmyndighed vedrørende vedkommende, hvis en digital sundhedsmyndighed ikke behandler en klage eller undlader at underrette den fysiske eller juridiske person om forløbet eller resultatet af en klage inden for tre måneder. En sag mod en digital sundhedsmyndighed bør anlægges ved domstolene i de medlemsstater, hvor den digitale sundhedsmyndighed er etableret.
(32)
Digitale sundhedsmyndigheder bør have tilstrækkelige tekniske færdigheder, eventuelt ved at samle eksperter fra forskellige organisationer. De digitale sundhedsmyndigheders aktiviteter bør planlægges og overvåges grundigt for at sikre, at de er effektive. Digitale sundhedsmyndigheder bør træffe de nødvendige foranstaltninger til at beskytte fysiske personers rettigheder ved at indføre nationale, regionale og lokale tekniske løsninger såsom nationale EPJ'er, formidlingsløsninger og patientportaler. Når de digitale sundhedsmyndigheder træffer sådanne nødvendige beskyttelsesforanstaltninger, bør de anvende fælles standarder og specifikationer i sådanne løsninger, fremme anvendelsen af standarder og specifikationer i forbindelse med indkøbsprocedurer og anvende andre innovative midler, herunder refusion for løsninger, der opfylder interoperabilitets- og sikkerhedskravene i det europæiske sundhedsdataområde. Medlemsstaterne bør sikre, at der sørges for passende uddannelsesinitiativer. Navnlig bør sundhedsprofessionelle informeres om og uddannes med hensyn til deres rettigheder og forpligtelser i henhold til denne forordning. De digitale sundhedsmyndigheder bør for at udføre deres opgaver samarbejde på EU-plan og nationalt plan med andre enheder, herunder med forsikringsorganer, sundhedstjenesteydere, sundhedsprofessionelle, fabrikanter af EPJ-systemer og af wellnessapplikationer samt andre interessenter fra sundheds- eller informationsteknologisektoren, enheder, der håndterer refusionsordninger, organer til vurdering af medicinsk teknologi, myndigheder og agenturer for lægemiddelregulering, myndigheder med ansvar for medicinsk udstyr, indkøbere og cybersikkerheds- eller e-ID-myndigheder.
(33)
Adgang til og overførsel af elektroniske sundhedsdata er relevant i grænseoverskridende sundhedssituationer, da det kan understøtte kontinuiteten i sundhedsydelser, når fysiske personer rejser til andre medlemsstater eller skifter bopæl. Kontinuitet i behandlingen og hurtig adgang til personlige elektroniske sundhedsdata er endnu vigtigere for indbyggere i grænseregioner, som ofte krydser grænsen for at få sundhedsydelser. I mange grænseregioner kan visse specialiserede sundhedsydelser eventuelt være tilgængelige tættere på ovre på den anden side af grænsen end i samme medlemsstat. Der er behov for infrastruktur til overførsel af personlige elektroniske sundhedsdata på tværs af grænserne i situationer, hvor en fysisk person benytter tjenester fra en sundhedstjenesteyder, der er etableret i en anden medlemsstat. Den gradvise udvidelse af en sådan infrastruktur og finansieringen heraf bør overvejes. Der blev oprettet en frivillig infrastruktur til dette formål, MyHealth@EU, som led i de tiltag til at nå målene, der er fastsat i Europa-Parlamentets og Rådets direktiv 2011/24/EU 
(
14
)
. Via MyHealth@EU begyndte medlemsstaterne at give fysiske personer mulighed for at dele deres personlige elektroniske sundhedsdata med sundhedstjenesteydere, når de rejser til udlandet. Baseret på denne erfaring bør medlemsstaternes deltagelse i MyHealth@EU som fastsat ved denne forordning være obligatorisk. Tekniske specifikationer for MyHealth@EU bør muliggøre udveksling af prioriterede kategorier af elektroniske sundhedsdata samt yderligere kategorier, der understøttes af det europæiske format for udveksling af elektroniske patientjournaler. Disse specifikationer bør defineres ved hjælp af gennemførelsesretsakter og bør baseres på de grænseoverskridende specifikationer i det europæiske format for udveksling af elektroniske patientjournaler suppleret med yderligere specifikationer om cybersikkerhed, teknisk og semantisk interoperabilitet, drift og forvaltning af tjenester. Medlemsstaterne bør forpligtes til at tilslutte sig MyHealth@EU, overholde de tekniske specifikationer og koble sundhedstjenesteydere, herunder apoteker, til den, da dette er nødvendigt for at gøre det muligt for fysiske personer at udøve deres rettigheder i henhold til denne forordning til at få adgang til og gøre brug af deres personlige elektroniske sundhedsdata, uanset i hvilken medlemsstat de fysiske personer befinder sig.
(34)
MyHealth@EU stiller en fælles infrastruktur til rådighed for medlemsstaterne for at sikre konnektivitet og interoperabilitet på en effektiv og sikker måde til støtte for grænseoverskridende sundhedsydelser, uden at det berører medlemsstaternes ansvar før og efter overførslen af personlige elektroniske sundhedsdata gennem den. Medlemsstaterne er ansvarlige for organiseringen af deres nationale kontaktpunkter for digital sundhed og for behandlingen af personoplysninger med henblik på levering af sundhedsydelser før og efter overførslen af disse data gennem MyHealth@EU. Kommissionen bør ved hjælp af overensstemmelseskontroller overvåge de nationale kontaktpunkter for digital sundheds overholdelse af de nødvendige krav vedrørende den tekniske udvikling af MyHealth@EU samt af detaljerede regler om sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata. I tilfælde af alvorlig manglende overholdelse fra et nationalt kontaktpunkt for digital sundheds side bør Kommissionen have mulighed for at suspendere de tjenester, der er berørt af den manglende overholdelse, og som leveres af det pågældende nationale kontaktpunkt for digital sundhed. Kommissionen bør fungere som databehandler på vegne af medlemsstaterne inden for MyHealth@EU og levere centrale tjenester til den. For at sikre overholdelse af databeskyttelsesreglerne og skabe en ramme for risikostyring i forbindelse med overførsel af personlige elektroniske sundhedsdata bør medlemsstaternes specifikke ansvar som fælles dataansvarlige og Kommissionens forpligtelser som databehandler på deres vegne præciseres ved hjælp af gennemførelsesretsakter. Hver medlemsstat er eneansvarlig for data og tjenester i den pågældende medlemsstat. Denne forordning udgør retsgrundlaget for behandlingen af personlige elektroniske sundhedsdata i MyHealth@EU som en opgave, der udføres i samfundets interesse i henhold til EU-retten, jf. artikel 6, stk. 1, litra e), i forordning (EU) 2016/679. Denne behandling er nødvendig for levering af sundhedsydelser i grænseoverskridende situationer, jf. nævnte forordnings artikel 9, stk. 2, litra h).
(35)
Ud over tjenester i MyHealth@EU til udveksling af personlige elektroniske sundhedsdata baseret på det europæiske format for udveksling af elektroniske patientjournaler kan der være behov for andre tjenester eller supplerende infrastrukturer, f.eks. i tilfælde af folkesundhedskriser eller hvor arkitekturen i MyHealth@EU ikke er egnet til gennemførelse af visse brugsscenarier. Eksempler på sådanne brugsscenarier omfatter støtte til vaccinationskortfunktioner, herunder udveksling af oplysninger om vaccinationsplaner eller kontrol af vaccinationscertifikater eller andre sundhedsrelaterede certifikater. Sådanne supplerende brugsscenarier vil også være vigtige for at indføre yderligere funktioner til håndtering af folkesundhedskriser, f.eks. støtte til kontaktopsporing med henblik på at inddæmme smitsomme sygdomme. MyHealth@EU bør støtte udveksling af personlige elektroniske sundhedsdata med nationale kontaktpunkter for digital sundhed i relevante tredjelande og med systemer, der er etableret på internationalt plan af internationale organisationer, for at bidrage til kontinuiteten i sundhedsydelser. Dette er særlig relevant for personer, der rejser til og fra tilgrænsende tredjelande, kandidatlande og de associerede oversøiske lande og territorier. Tilslutningen af sådanne nationale kontaktpunkter for digital sundhed i tredjelande til MyHealth@EU og interoperabiliteten med digitale systemer, der er etableret på internationalt plan af internationale organisationer, bør være underlagt en kontrol, der sikrer, at disse kontaktpunkter og digitale systemer overholder de tekniske specifikationer, databeskyttelsesreglerne og andre krav i MyHealth@EU. Da forbindelsen til MyHealth@EU vil indebære overførsler af personlige elektroniske sundhedsdata til tredjelande, f.eks. udveksling af et patientresumé, når patienten søger behandling i det pågældende tredjeland, skal der desuden være indført relevante overførselsinstrumenter i henhold til kapitel V i forordning (EU) 2016/679. Kommissionen bør tillægges beføjelser til at vedtage gennemførelsesretsakter for at lette tilslutningen af sådanne nationale kontaktpunkter for digital sundhed i tredjelande og systemer, der er etableret på internationalt plan af internationale organisationer, til MyHealth@EU. Ved udarbejdelsen af disse gennemførelsesretsakter bør Kommissionen tage hensyn til medlemsstaternes nationale sikkerhedsinteresser.
(36)
For at muliggøre gnidningsløs udveksling af elektroniske sundhedsdata og sikre respekt for fysiske personers og sundhedsprofessionelles rettigheder bør EPJ-systemer, der markedsføres på det indre marked, på en sikker måde kunne lagre og overføre elektroniske sundhedsdata af høj kvalitet. Det er et centralt mål i det europæiske sundhedsdataområde at sikre sikker og fri bevægelighed for elektroniske sundhedsdata i hele Unionen. Med henblik herpå bør der indføres en obligatorisk ordning for selvvurdering af overholdelse for EPJ-systemer, der behandler en eller flere prioriterede kategorier af elektroniske sundhedsdata, for at afhjælpe markedsfragmenteringen og samtidig sikre en forholdsmæssig tilgang. Gennem selvvurderingen vil EPJ-systemer dokumentere overensstemmelse med kravene til interoperabilitet, sikkerhed og logning af kommunikation af personlige elektroniske sundhedsdata, der er fastsat ved de to obligatoriske EPJ-softwarekomponenter, der harmoniseres ved denne forordning, nemlig den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer (»de harmoniserede softwarekomponenter i EPJ-systemer«). De harmoniserede softwarekomponenter i EPJ-systemer vedrører hovedsagelig datatransformation, selv om de kan indebære behov for indirekte krav til dataregistrering og datapræsentation i EPJ-systemer. De tekniske specifikationer for de harmoniserede softwarekomponenter i EPJ-systemer bør defineres ved hjælp af gennemførelsesretsakter og bør baseres på anvendelsen af det europæiske format for udveksling af elektroniske patientjournaler. De harmoniserede softwarekomponenter i EPJ-systemer bør udformes, så de kan genbruges og integreres problemfrit med andre komponenter i et større softwaresystem. Sikkerhedskravene til de harmoniserede softwarekomponenter i EPJ-systemer bør omfatte elementer, der er specifikke for EPJ-systemer, da mere generelle sikkerhedsegenskaber bør understøttes af andre mekanismer, såsom mekanismerne i henhold til Europa-Parlamentets og Rådets forordning (EU) 2024/2847 
(
15
)
. For at støtte denne proces bør der oprettes europæiske digitale testmiljøer, som tilbyder automatiserede metoder til at teste, om funktionen af de harmoniserede softwarekomponenter i et EPJ-system er i overensstemmelse med kravene fastlagt i nærværende forordning. Med henblik herpå bør Kommissionen tillægges gennemførelsesbeføjelser til at fastlægge de fælles specifikationer for disse miljøer. Kommissionen bør udvikle den nødvendige software til testmiljøerne og stille den til rådighed som open source. Medlemsstaterne bør være ansvarlige for driften af de digitale testmiljøer, da de er tættere på fabrikanterne og bedre er i stand til at støtte dem. Fabrikanterne bør bruge disse digitale testmiljøer til at teste deres produkter, inden de bringes i omsætning, samtidig med at de fortsat bærer det fulde ansvar for deres produkters overensstemmelse. Testresultaterne bør indgå i produktets tekniske dokumentation. Hvis EPJ-systemet eller en del af det er i overensstemmelse med europæiske standarder eller fælles specifikationer, bør listen over de relevante europæiske standarder og fælles specifikationer også angives i den tekniske dokumentation. For at understøtte sammenligneligheden af EPJ-systemer bør Kommissionen udarbejde en ensartet model for den tekniske dokumentation, der ledsager sådanne systemer.
(37)
EPJ-systemer bør ledsages af et oplysningsskema, der indeholder oplysninger til professionelle brugere og af en klar og fuldstændig brugsanvisning i et format, der er tilgængeligt for personer med handicap. Hvis et EPJ-system ikke er ledsaget af sådanne oplysninger, skal fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og alle andre relevante erhvervsdrivende tilføje dette oplysningsskema og denne brugsanvisning til EPJ-systemet.
(38)
Selv om EPJ-systemer, som fabrikanten specifikt har udviklet til at blive anvendt til behandling af en eller flere specifikke kategorier af elektroniske sundhedsdata, bør være underlagt obligatorisk selvcertificering, bør software til generelle formål ikke betragtes som et EPJ-system, heller ikke når den anvendes i forbindelse med sundhedsydelser, og bør derfor ikke være forpligtet til at overholde denne forordning. Dette omfatter f.eks. tekstbehandlingssoftware, der anvendes til at skrive rapporter, og som derefter vil blive en del af skriftlige elektroniske patientjournaler, middleware til generelle formål eller databasestyringssoftware, der anvendes som en del af datalagringsløsninger.
(39)
Ved denne forordning indføres en obligatorisk selvvurderingsordning for de harmoniserede softwarekomponenter i EPJ-systemer for at sikre, at EPJ-systemer, der bringes i omsætning på EU-markedet, er i stand til at udveksle data i det europæiske format for udveksling af elektroniske patientjournaler, og at de har den nødvendige logningskapacitet. Denne obligatoriske selvvurderingsordning, der vil være i form af en overensstemmelseserklæring fra fabrikanten, bør sikre, at disse krav garanteres på en forholdsmæssig måde, samtidig med at det undgås, at medlemsstaterne og fabrikanterne pålægges en urimelig byrde.
(40)
Fabrikanterne bør i EPJ-systemets ledsagedokumenter og, hvis det er relevant, på emballagen anbringe en CE-overensstemmelsesmærkning, der angiver, at EPJ-systemet er i overensstemmelse med denne forordning og, for så vidt angår aspekter, der ikke er dækket af denne forordning, med anden gældende EU-ret, som ligeledes kræver anbringelse af en sådan mærkning. Medlemsstaterne bør benytte eksisterende mekanismer til at sikre, at bestemmelserne om CE-overensstemmelsesmærkning anvendes korrekt i henhold til relevant EU-ret, og bør iværksætte passende tiltag i tilfælde af uretmæssig anvendelse af denne mærkning.
(41)
Medlemsstaterne bør fortsat have kompetence til at fastlægge krav vedrørende alle andre softwarekomponenter i EPJ-systemer og vilkår og betingelser for tilslutning af sundhedstjenesteydere til deres respektive nationale infrastrukturer, som kan gøres til genstand for tredjepartsvurdering på nationalt plan. For at fremme et velfungerende indre marked for EPJ-systemer, digitale sundhedsprodukter og tilknyttede tjenester er det nødvendigt at sikres størst mulig gennemsigtighed for så vidt angår nationale ret om krav til EPJ-systemer og bestemmelser om deres overensstemmelsesvurdering i forbindelse med andre aspekter end de harmoniserede softwarekomponenter i EPJ-systemer. Medlemsstaterne bør derfor underrette Kommissionen om disse nationale krav, så den har de nødvendige oplysninger til at sikre, at de ikke påvirker de harmoniserede softwarekomponenter i EPJ-systemer negativt.
(42)
Visse EPJ-systemers softwarekomponenter kan betragtes som medicinsk udstyr i henhold til forordning (EU) 2017/745 eller medicinsk udstyr til in vitro-diagnostik i henhold til Europa-Parlamentets og Rådets forordning (EU) 2017/746 
(
16
)
. Software eller softwaremoduler, der falder ind under definitionen af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller et system for kunstig intelligens (AI), der betragtes som højrisiko (»højrisiko-AI-system«), bør certificeres i overensstemmelse med forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, alt efter hvad der er relevant. Selv om sådanne produkter skal opfylde kravene i den respektive forordning om disse produkter, bør medlemsstaterne træffe passende foranstaltninger til at sikre, at den respektive overensstemmelsesvurdering gennemføres som en fælles eller koordineret procedure for at begrænse den administrative byrde for fabrikanter og andre erhvervsdrivende. De væsentlige krav til interoperabilitet i nærværende forordning bør kun finde anvendelse i det omfang, fabrikanten af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller et højrisiko-AI-system, som leverer elektroniske sundhedsdata, der skal behandles som en del af EPJ-systemet, hævder, at det er interoperabelt med et sådant EPJ-system. I så fald bør bestemmelserne om fælles specifikationer for EPJ-systemer finde anvendelse på dette medicinske udstyr, dette medicinske udstyr til in vitro-diagnostik og disse højrisiko-AI-systemer.
(43)
For yderligere at støtte interoperabilitet og sikkerhed bør medlemsstaterne kunne opretholde eller fastlægge specifikke regler for indkøb, refusion eller finansiering af EPJ-systemer på nationalt plan i forbindelse med organisation, levering eller finansiering af sundhedstjenester. Sådanne specifikke regler bør ikke hindre den frie bevægelighed for EPJ-systemer i Unionen. Nogle medlemsstater har indført obligatorisk certificering af EPJ-systemer eller obligatorisk interoperabilitetstest for deres forbindelse til nationale digitale sundhedstjenester. Sådanne krav afspejles almindeligvis i udbudsprocedurer, der organiseres af sundhedstjenesteydere og nationale eller regionale myndigheder. Den obligatoriske certificering af EPJ-systemer på EU-plan bør skabe en reference, der kan anvendes i forbindelse med udbudsprocedurer på nationalt plan.
(44)
For at sikre, at patienter effektivt kan udøve deres rettigheder i henhold til denne forordning, bør sundhedstjenesteydere, der udvikler og anvender et EPJ-system »internt« til at udføre interne aktiviteter uden at bringe det i omsætning mod betaling eller vederlag, også overholde denne forordning. I den forbindelse bør sådanne sundhedstjenesteydere opfylde alle de krav, der gælder for fabrikanter for så vidt angår sådanne EPJ-systemer, der er udviklet »internt«, og som sådanne sundhedstjenesteydere tager i brug. Da sundhedstjenesteyderne imidlertid kan have brug for mere tid til at forberede sig på overholdelsen af denne forordning, bør disse krav først finde anvendelse på sådanne systemer efter en forlænget overgangsperiode.
(45)
Det er nødvendigt at fastlægge en klar og forholdsmæssig fordeling af forpligtelserne svarende til hver enkelt erhvervsdrivendes rolle i leverings- og distributionsprocessen for EPJ-systemer. De erhvervsdrivende bør være ansvarlige for overholdelse i forhold til deres respektive roller i en sådan proces og bør sikre, at de kun markedsfører EPJ-systemer, som opfylder de relevante krav.
(46)
Fabrikanter af EPJ-systemer bør påvise overensstemmelse med de væsentlige krav til interoperabilitet og sikkerhed ved at gennemføre fælles specifikationer. Med henblik herpå bør Kommissionen tillægges gennemførelsesbeføjelser til at fastlægge sådanne fælles specifikationer vedrørende datasæt, kodningssystemer, tekniske specifikationer, standarder, specifikationer og profiler for dataudveksling, samt krav og principper vedrørende patientsikkerhed og sikkerhed, fortrolighed, integritet og beskyttelse af personoplysninger og specifikationer og krav vedrørende identifikationsstyring og anvendelse af elektronisk identifikation. Digitale sundhedsmyndigheder bør bidrage til udviklingen af sådanne fælles specifikationer. Hvor det er relevant, bør disse fælles specifikationer baseres på eksisterende harmoniserede standarder for de harmoniserede softwarekomponenter i EPJ-systemer og være forenelige med sektorspecifik ret. Hvis fælles specifikationer er særligt vigtige i forhold til databeskyttelseskravene vedrørende EPJ-systemer, bør de være genstand for høring af Det Europæiske Databeskyttelsesråd (Databeskyttelsesrådet) og Den Europæiske Tilsynsførende for Databeskyttelse (EDPS), inden de vedtages, i henhold til artikel 42, stk. 2, i forordning (EU) 2018/1725.
(47)
For at sikre en hensigtsmæssig og effektiv håndhævelse af de krav og forpligtelser, der er fastsat i denne forordning, bør det system til markedsovervågning og produktoverensstemmelse, der er indført ved Europa-Parlamentets og Rådets forordning (EU) 2019/1020 
(
17
)
, finde anvendelse. Afhængigt af den organisation, der er fastlagt på nationalt plan, kan sådanne markedsovervågningsaktiviteter udføres af de digitale sundhedsmyndigheder, der sikrer en korrekt gennemførelse af nærværende forordnings kapitel II, eller af en særskilt markedsovervågningsmyndighed med ansvar for EPJ-systemer. Udpegelsen af digitale sundhedsmyndigheder som markedsovervågningsmyndigheder kan have betydelige praktiske fordele for gennemførelsen af sundhed og pleje, men enhver interessekonflikt bør undgås, f.eks. ved at adskille forskellige opgaver.
(48)
Markedsovervågningsmyndighedernes personale bør ikke befinde sig i nogen direkte eller indirekte økonomiske, finansielle eller personlige interessekonflikter, der kan anses for at være til skade for deres uafhængighed, og navnlig bør de ikke være i en situation, der direkte eller indirekte kan påvirke deres upartiske adfærd i forbindelse med udøvelsen af deres hverv. Medlemsstaterne bør fastlægge og offentliggøre udvælgelsesproceduren for markedsovervågningsmyndigheder. De bør sikre, at proceduren er gennemsigtig og ikke giver mulighed for interessekonflikter.
(49)
Brugere af wellnessapplikationer, herunder applikationer til mobilenheder, bør informeres om, at sådanne applikationer kan forbindes med og levere data til EPJ-systemer eller til nationale elektroniske sundhedsløsninger i tilfælde, hvor data produceret af wellnessapplikationer er nyttige i forbindelse med sundhedsydelser. Hvorvidt disse applikationer kan eksportere data i et interoperabelt format er også relevant for dataportabilitet. Hvor det er relevant, bør brugerne også informeres om sådanne wellnessapplikationers overensstemmelse med interoperabilitets- og sikkerhedskrav. I betragtning af det store antal wellnessapplikationer og den begrænsede relevans for sundhedsydelser af de data, der produceres af mange af dem, vil en certificeringsordning for disse applikationer imidlertid ikke være forholdsmæssig. Der bør derfor indføres en obligatorisk mærkningsordning for wellnessapplikationer, for hvilke der påberåbes interoperabilitet med EPJ-systemer, som en passende mekanisme til at skabe gennemsigtighed for brugerne af wellnessapplikationer med hensyn til overholdelse af kravene i henhold til denne forordning og dermed støtte brugerne i deres valg af passende wellnessapplikationer med høje standarder for interoperabilitet og sikkerhed. Kommissionen bør ved hjælp af gennemførelsesretsakter fastsætte nærmere bestemmelser om et sådant mærkes format og indhold.
(50)
Medlemsstaterne bør fortsat frit kunne regulere andre aspekter af anvendelsen af wellnessapplikationer, forudsat at de tilsvarende regler er i overensstemmelse med EU-retten.
(51)
Det er nødvendigt at formidle oplysninger om certificerede EPJ-systemer og mærkede wellnessapplikationer for at sætte indkøbere og brugere af sådanne produkter i stand til at finde interoperable løsninger til deres specifikke behov. Der bør derfor oprettes en database over interoperable EPJ-systemer og wellnessapplikationer, som ikke er omfattet af anvendelsesområdet for forordning (EU) 2017/745 og (EU) 2024/1689, på EU-plan svarende til den europæiske database for medicinsk udstyr (Eudamed), der er oprettet ved forordning (EU) 2017/745. Formålet med EU-databasen for registrering af EPJ-systemer og wellnessapplikationer bør være at øge den overordnede gennemsigtighed, undgå krav om flere indberetninger og strømline og lette informationsstrømmen. For medicinsk udstyr og AI-systemer bør registreringen opretholdes i de eksisterende databaser, der er oprettet i henhold til henholdsvis forordning (EU) 2017/745 og (EU) 2024/1689, men overensstemmelsen med interoperabilitetskravene bør angives af fabrikanterne, når de hævder en sådan overensstemmelse, med henblik på at informere indkøbere.
(52)
Uden at hindre eller erstatte eksisterende kontraktlige ordninger eller andre mekanismer har denne forordning til formål at oprette en fælles mekanisme for adgang til elektroniske sundhedsdata til sekundær anvendelse i hele Unionen. I henhold til denne mekanisme bør sundhedsdataindehavere stille de data, de er i besiddelse af, til rådighed på grundlag af en datatilladelse eller en sundhedsdataanmodning. Med henblik på behandling af elektroniske sundhedsdata til sekundær anvendelse er et af retsgrundlagene, der er omhandlet i artikel 6, stk. 1, litra a), c), e) eller f), i forordning (EU) 2016/679 sammenholdt med samme forordnings artikel 9, stk. 2, påkrævet. Nærværende forordning udgør derfor et retsgrundlag for den sekundære anvendelse af personlige elektroniske sundhedsdata, herunder garantierne der kræves i henhold til artikel 9, stk. 2, litra g)-j), i forordning (EU) 2016/679 for at tillade behandling af specielle kategorier af data for så vidt angår lovlige formål, pålidelig styring med henblik på at give adgang til sundhedsdata gennem involvering af organer med ansvar for adgang til sundhedsdata og behandling i et sikkert databehandlingsmiljø samt de nærmere bestemmelser for databehandling, der er fastsat i datatilladelsen I henhold til artikel 9, stk. 4, i forordning (EU) 2016/679 bør medlemsstaterne derfor ikke længere kunne opretholde eller indføre yderligere betingelser, herunder begrænsninger og specifikke bestemmelser om fysiske personers samtykke, med hensyn til behandling med henblik på sekundær anvendelse af personlige elektroniske sundhedsdata i henhold til nærværende forordning, med undtagelse af indførelsen af strengere foranstaltninger og yderligere garantier på nationalt plan med henblik på at beskytte følsomheden og værdien af visse data som fastsat i nærværende forordning. Sundhedsdataansøgere bør også dokumentere et retsgrundlag som omhandlet i artikel 6 i forordning (EU) 2016/679, der giver dem mulighed for at anmode om adgang til elektroniske sundhedsdata i henhold til nærværende forordning, og bør opfylde betingelserne i kapitel IV. Derudover bør organet med ansvar for adgang til sundhedsdata vurdere de oplysninger, som sundhedsdataansøgeren stiller til rådighed, på grundlag af hvilket det bør kunne udstede en datatilladelse til behandling af personlige elektroniske sundhedsdata i henhold til nærværende forordning, som bør opfylde kravene og betingelserne i kapitel IV i nærværende forordning. I forbindelse med behandling af elektroniske sundhedsdata, som sundhedsdataindehaverne er i besiddelse af skaber nærværende forordning en retlig forpligtelse som omhandlet i artikel 6, stk. 1, litra c), i forordning (EU) 2016/679, i overensstemmelse med nævnte forordnings artikel 9, stk. 2, litra i) og j), for sundhedsdataindehaveren til at gøre de personlige elektroniske sundhedsdata tilgængelige for organer med ansvar for adgang til sundhedsdata, mens retsgrundlaget for den indledende behandling, f.eks. levering af sundhedsydelser ikke berøres. Ved nærværende forordning overdrages også opgaver i offentlighedens interesse som omhandlet i artikel 6, stk. 1, litra e), i forordning (EU) 2016/679 til organer med ansvar for adgang til sundhedsdata og opfylder kravene i artikel 9, stk. 2, litra g)-j), alt efter hvad der er relevant, i nævnte forordning. Hvis sundhedsdatabrugeren baserer sig på et retsgrundlag, der er fastsat i artikel 6, stk. 1, litra e), eller f), i forordning (EU) 2016/679 bør nærværende forordning give de garantier, der kræves i henhold til artikel 9, stk. 2, i forordning (EU) 2016/679.
(53)
Elektroniske sundhedsdata, der anvendes til sekundær anvendelse, kan medføre store samfundsmæssige fordele. Der bør opfordres til anvendelse af data og evidens fra den virkelige verden, herunder resultater indberettet af patienten, til evidensbaseret lovgivning og politik samt til forskning, vurdering af medicinsk teknologi og kliniske mål. Data og evidens fra den virkelige verden har potentiale til at supplere de sundhedsdata, der stilles til rådighed i dag. For at nå dette mål er det vigtigt, at de datasæt, der stilles til rådighed for sekundær anvendelse i henhold til denne forordning, er så fuldstændige som muligt. Denne forordning indeholder de nødvendige garantier for at afbøde visse risici i forbindelse med opnåelsen af disse fordele. Den sekundære anvendelse af elektroniske sundhedsdata er baseret på pseudonymiserede eller anonymiserede data for at forhindre identifikation af de registrerede.
(54)
For at afveje sundhedsdatabrugernes behov for at have udtømmende og repræsentative datasæt med fysiske personers behov for autonomi over deres personlige elektroniske sundhedsdata, der anses for at være særligt følsomme, bør fysiske personer have mulighed for at træffe beslutning om, hvorvidt deres personlige elektroniske sundhedsdata kan behandles til sekundær anvendelse i henhold til denne forordning i form af en ret til at fravælge, at disse data stilles til rådighed til sekundær anvendelse. Der bør indføres en letforståelig, tilgængelig og brugervenlig mekanisme til at udøve denne ret til fravalg. Det er desuden bydende nødvendigt at give fysiske personer tilstrækkelige og fuldstændige oplysninger om deres ret til fravalg, herunder om fordele og ulemper ved udøvelsen af denne ret. Fysiske personer bør ikke være forpligtet til at begrunde deres fravalg og bør til enhver tid have mulighed for at genoverveje deres valg. Med henblik på visse formål med en stærk forbindelse til offentlighedens interesser, såsom aktiviteter til beskyttelse mod alvorlige grænseoverskridende sundhedstrusler eller videnskabelig forskning af hensyn til vigtige samfundsinteresser, er det imidlertid hensigtsmæssigt at give medlemsstaterne mulighed for under hensyntagen til deres nationale kontekst at indføre mekanismer til at give adgang til personlige elektroniske sundhedsdata for fysiske personer, der har udøvet deres ret til fravalg, for at sikre, at fuldstændige datasæt kan stilles til rådighed i disse situationer. Sådanne mekanismer bør opfylde de krav, der er fastsat for sekundær anvendelse i henhold til denne forordning. Videnskabelig forskning af hensyn til vigtige samfundsinteresser kan f.eks. omfatte forskning i uopfyldte medicinske behov, herunder sjældne sygdomme eller nye sundhedstrusler. Reglerne om sådanne tilsidesættelser bør respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at opfylde offentlighedens interesse i forbindelse med legitime videnskabelige og samfundsmæssige mål. Sådanne tilsidesættelser bør kun være tilgængelige for sundhedsdatabrugere, som er offentlige myndigheder eller relevante EU-institutioner, -organer, -kontorer eller -agenturer, der er blevet betroet at udføre opgaver på folkesundhedsområdet, eller for en anden enhed, der er blevet betroet at udføre offentlige opgaver på folkesundhedsområdet, eller som handler på vegne af eller er bestilt af en offentlig myndighed, og kun hvis dataene ikke kan opnås ved hjælp af alternative midler på en rettidig og effektiv måde, er opfyldt. Disse sundhedsdatabrugere bør begrunde, at anvendelsen af tilsidesættelsen er nødvendig for en individuel ansøgning om adgang til sundhedsdata eller sundhedsdataanmodning. Når en sådan tilsidesættelse anvendes, bør garantierne i kapitel IV fortsat anvendes af sundhedsdatabrugere, navnlig forbuddet mod, reidentifikation eller forsøg på at reidentificere de pågældende fysiske personer.
(55)
I forbindelse med det europæiske sundhedsdataområde findes der allerede elektroniske sundhedsdata, som indsamles af bl.a. sundhedstjenesteydere, faglige sammenslutninger, offentlige institutioner, lovgivere, forskere og forsikringsselskaber i forbindelse med deres aktiviteter. Disse data bør også stilles til rådighed til sekundær anvendelse, dvs. til behandling af data til andre formål end dem, hvortil de blev indsamlet eller frembragt; mange af sådanne data stilles imidlertid ikke til rådighed til behandling til sådanne formål. Dette begrænser forskeres, innovatorers, politiske beslutningstageres, lovgiveres og lægers mulighed for at anvende disse data til forskellige formål, herunder forskning, innovation, politikudformning, reguleringsmæssige formål, patientsikkerhed eller personlig medicin. For fuldt ud at udnytte fordelene ved sekundær anvendelse bør alle sundhedsdataindehavere bidrage til denne indsats ved at stille forskellige kategorier af elektroniske sundhedsdata, som de ligger inde med, til rådighed til sekundær anvendelse, forudsat at den pågældende indsats altid gøres via effektive og sikre processer med behørig respekt for professionelle forpligtelser såsom fortrolighedsforpligtelser.
(56)
De kategorier af elektroniske sundhedsdata, der kan behandles til sekundær anvendelse, bør være brede og fleksible nok til at imødekomme sundhedsdatabrugernes skiftende behov, samtidig med at de forbliver begrænset til data vedrørende sundhed eller data, der vides at påvirke sundheden. De kan også omfatte relevante data fra sundhedssystemet, f.eks. elektroniske patientjournaler, krav, ordinationsdata, data fra sygdomsregistre eller genomdata samt data med indvirkning på sundheden, f.eks. data om brug af forskellige stoffer, socioøkonomisk status eller adfærd og data om miljøfaktorer såsom forurening, stråling eller anvendelsen af visse kemiske stoffer. Kategorierne af elektroniske sundhedsdata til sekundær anvendelse omfatter nogle kategorier af data, der oprindeligt blev indsamlet med henblik på andre formål såsom forskning, statistikker, patientsikkerhed, reguleringsmæssige aktiviteter eller politikudformning, f.eks. sygdomsregistre, registre over politikudformning eller registre over bivirkninger ved lægemidler eller medicinsk udstyr. Der findes europæiske databaser, der fremmer anvendelse eller genanvendelse af data på visse områder, såsom kræft (det europæiske informationssystem på kræftområdet) eller sjældne sygdomme (f.eks. den europæiske platform for registrering af sjældne sygdomme og de europæiske netværk af referencecentres (ERN's) registre). Kategorierne af elektroniske sundhedsdata, der kan behandles til sekundær anvendelse, bør også omfatte automatisk genererede data fra medicinsk udstyr og persongenererede data såsom data fra wellnessapplikationer. Data om kliniske forsøg og kliniske afprøvninger bør også medtages i kategorierne af elektroniske sundhedsdata til sekundær anvendelse, når det kliniske forsøg eller den kliniske afprøvning er afsluttet, uden at dette berører sponsorernes frivillige datadeling af igangværende forsøg og afprøvninger. Elektroniske sundhedsdata til sekundær anvendelse bør helst stilles til rådighed i et struktureret elektronisk format, der gør det lettere for computersystemer at behandle dem. Eksempler på strukturerede elektroniske formater omfatter registreringer i en relationsdatabase, XML-dokumenter eller CSV-filer samt fritekst, lyd, videoer og billeder, der leveres som computerlæsbare filer.
(57)
Databrugere, der har adgang til datasæt i henhold til denne forordning, kan berige dataene i disse datasæt med forskellige rettelser, anmærkninger og andre forbedringer, f.eks. ved at supplere manglende eller ufuldstændige data og dermed forbedre nøjagtigheden, fuldstændigheden eller kvaliteten af dataene i datasættene. Sundhedsdatabrugere bør tilskyndes til at indberette kritiske fejl i datasættene til organerne med ansvar for adgang til sundhedsdata. For at støtte forbedringen af den oprindelige database og den videre anvendelse af det berigede datasæt bør medlemsstaterne kunne fastsætte regler om behandling og anvendelse af elektroniske sundhedsdata, der indeholder forbedringer vedrørende behandlingen af disse data. Det forbedrede datasæt bør stilles gratis til rådighed for den oprindelige sundhedsdataindehaver sammen med en beskrivelse af forbedringerne. Sundhedsdataindehaveren bør stille det nye datasæt til rådighed, medmindre den begrunder over for organet med ansvar for adgang til sundhedsdata, hvorfor dette ikke bør ske, f.eks. hvis sundhedsdatabrugerens berigelse er af ringe kvalitet. Det bør sikres, at elektroniske sundhedsdata, der ikke er personoplysninger, er tilgængelige til sekundær anvendelse. Navnlig patogene genomdata har en betydelig værdi for menneskers sundhed, hvilket har vist sig under covid-19-pandemien, hvor rettidig adgang til og udveksling af sådanne data viste sig at være afgørende for en hurtig udvikling af detektionsværktøjer, medicinske modforanstaltninger og reaktioner på trusler mod folkesundheden. Det største udbytte af indsatsen inden for genomiske analyser af patogener vil blive opnået, når folkesundhedsområdet og forskningsprocesser udveksler datasæt og samarbejder for at informere og forbedre hinanden.
(58)
For at øge effektiviteten af sekundær anvendelse af personlige elektroniske sundhedsdata og for fuldt ud at udnytte de muligheder, som denne forordning giver, bør tilgængeligheden i det europæiske sundhedsdataområde af elektroniske sundhedsdata som beskrevet i kapitel IV være på en sådan måde, at dataene er så tilgængelige, af høj kvalitet, klare og egnede til at skabe videnskabelig, innovativ og samfundsmæssig værdi og kvalitet som muligt. Arbejdet med gennemførelsen af det europæiske sundhedsdataområde og yderligere forbedringer af datasættene bør gennemføres på en måde, der prioriterer de datasæt, der er bedst egnede til at skabe en sådan værdi og kvalitet.
(59)
Offentlige eller private enheder modtager ofte offentlig finansiering fra nationale fonde eller EU-fonde til at indsamle og behandle elektroniske sundhedsdata til forskning, officielle eller uofficielle statistikker eller andre lignende formål, herunder på områder, hvor indsamlingen af sådanne data er fragmenteret eller vanskelig, f.eks. i forbindelse med sjældne sygdomme eller kræft. Sådanne data, der indsamles og behandles af sundhedsdataindehavere med støtte fra Unionens eller nationale offentlige midler, bør stilles til rådighed for organer med ansvar for adgang til sundhedsdata, for at maksimere virkningen af de offentlige investeringer og støtte forskning, innovation, patientsikkerhed eller politikudformning til gavn for samfundet. I nogle medlemsstater spiller private enheder, herunder private sundhedstjenesteydere og faglige sammenslutninger, en central rolle i sundhedssektoren. De sundhedsdata, som sådanne udbydere er i besiddelse af, bør også stilles til rådighed til sekundær anvendelse. Sundhedsdataindehavere i forbindelse med sekundær anvendelse bør derfor være enheder, der er sundhedstjenesteydere eller plejeudbydere eller udfører forskning med hensyn til sundheds- eller plejesektorerne eller udvikler produkter eller tjenester, der er beregnet til sundheds- eller plejesektorerne. Sådanne enheder kan være offentlige, almennyttige eller private. I overensstemmelse med denne definition bør plejehjem, dagcentre, enheder, der leverer tjenester til personer med handicap, enheder, der udfører forretnings- og teknologiaktiviteter i forbindelse med pleje, såsom ortopædi, og virksomheder, der leverer plejetjenester, betragtes som sundhedsdataindehavere. Juridiske personer, der udvikler wellnessapplikationer, bør også betragtes som sundhedsdataindehavere. EU-institutioner, -organer, -kontorer eller -agenturer, der behandler disse kategorier af sundheds- og sundhedsydelsesdata samt registre over dødelighed, bør også betragtes som sundhedsdataindehavere. For at undgå en uforholdsmæssig stor byrde for fysiske personer og mikrovirksomheder, bør de som hovedregel undtages fra de forpligtelser, der påhviler sundhedsdataindehavere. Medlemsstaterne bør dog kunne udvide sundhedsdataindehavernes forpligtelser til at omfatte fysiske personer og mikrovirksomheder i deres nationale ret. For at mindske den administrative byrde og i lyset af effektiviteten og principperne om effektivitet bør medlemsstaterne ved national ret kunne kræve, at sundhedsdataformidlingsenheder udfører de opgaver, der påhviler visse kategorier af sundhedsdataindehavere. Sådanne sundhedsdataformidlingsenheder bør være juridiske personer, der er i stand til at behandle, stille til rådighed, registrere, give, begrænse adgang til og udveksle elektroniske sundhedsdata til sekundær anvendelse, der stilles til rådighed af dataindehavere. Sådanne sundhedsdataformidlingsenheder udfører opgaver, der adskiller sig fra dem, der udføres af dataformidlingstjenester i henhold til forordning (EU) 2022/868.
(60)
Elektroniske sundhedsdata, der er beskyttet af intellektuelle ejendomsrettigheder eller forretningshemmeligheder, herunder data om kliniske forsøg, afprøvninger og undersøgelser, kan være meget nyttige til sekundær anvendelse og kan fremme innovation i Unionen til gavn for patienter i Unionen. For at tilskynde til fortsat EU-lederskab på dette område er det vigtigt at tilskynde til deling af data om kliniske forsøg og kliniske afprøvninger gennem det europæiske sundhedsdataområde til sekundær anvendelse. Data om kliniske forsøg og kliniske afprøvninger bør så vidt muligt stilles til rådighed, samtidig med at der træffes alle nødvendige foranstaltninger for at beskytte intellektuelle ejendomsrettigheder og forretningshemmeligheder. Denne forordning bør ikke anvendes til at reducere eller omgå en sådan beskyttelse og bør være i overensstemmelse med de relevante gennemsigtighedsbestemmelser, der er fastsat i EU-retten, herunder for data om kliniske forsøg og kliniske afprøvninger. Organer med ansvar for adgang til sundhedsdata bør vurdere, hvordan en sådan beskyttelse kan opretholdes, og samtidig give sundhedsdatabrugere adgang til sådanne data i det omfang, det er muligt. Hvis et organ med ansvar for adgang til sundhedsdata ikke er er i stand til at give adgang til sådanne data, bør det underrette sundhedsdatabrugeren og forklare, hvorfor det ikke er muligt at give sådan adgang. Retlige, organisatoriske og tekniske foranstaltninger til beskyttelse af intellektuelle ejendomsrettigheder eller forretningshemmeligheder kan omfatte fælles kontraktlige ordninger for adgang til elektroniske sundhedsdata, specifikke forpligtelser i datatilladelsen i forbindelse med sådanne rettigheder, forbehandling af data til generering af afledte data, der beskytter en forretningshemmelighed, men som ikke desto mindre har nytteværdi for sundhedsdatabrugeren eller konfigurationen af det sikre databehandlingsmiljø, således at sådanne data ikke er tilgængelige for sundhedsdatabrugeren.
(61)
Sekundær anvendelse af sundhedsdata under det europæiske sundhedsdataområde bør gøre det muligt for offentlige, private og almennyttige enheder samt individuelle forskere at få adgang til sundhedsdata med henblik på forskning, innovation, politikudformning, uddannelsesaktiviteter, patientsikkerhed, reguleringsmæssige aktiviteter eller personlig medicin i overensstemmelse med de formål, der er fastsat i denne forordning. Adgang til data til sekundær anvendelse bør bidrage til samfundets almene interesse. Navnlig bør sekundær anvendelse af sundhedsdata til forsknings- og udviklingsformål bidrage til at give samfundet en fordel i form af nye lægemidler, medicinsk udstyr og sundhedsydelsesprodukter og -tjenester til overkommelige og retfærdige priser for unionsborgerne samt øge adgangen til og tilgængeligheden af sådanne produkter og ydelser i alle medlemsstater. Aktiviteter, for hvilke adgang i henhold til denne forordning er lovlig, kan omfatte anvendelse af elektroniske sundhedsdata til opgaver, der udføres af offentlige myndigheder, såsom udførelse af offentlig tjeneste, herunder folkesundhedsovervågning, planlægnings- og rapporteringsforpligtelser, udformning af sundhedspolitikker og sikring af patientsikkerhed, behandlingskvalitet og sundhedssystemernes bæredygtighed. Offentlige myndigheder og Unionens institutioner, organer, kontorer og agenturer kan have behov for regelmæssig adgang til elektroniske sundhedsdata i en længere periode, herunder for at opfylde deres mandat, som er fastsat i denne forordning. Offentlige myndigheder kan udføre sådanne forskningsaktiviteter ved hjælp af tredjeparter, herunder underleverandører, så længe den offentlige myndighed til enhver tid fører tilsyn med disse aktiviteter. Leveringen af data bør også støtte aktiviteter i forbindelse med videnskabelig forskning. Begrebet forskningsformål bør fortolkes bredt, herunder teknologisk udvikling og demonstration, grundforskning, anvendt forskning og privatfinansieret forskning. Aktiviteter i forbindelse med videnskabelig forskning omfatter innovationsaktiviteter, såsom træning af AI-algoritmer, der kan anvendes inden for sundhedsydelser eller til pleje af fysiske personer, samt evaluering og videreudvikling af eksisterende algoritmer og produkter til sådanne formål. Det er nødvendigt, at det europæiske sundhedsdataområde også bidrager til grundforskning, og selv om fordelene for slutbrugere og patienter kan være mindre direkte, er en sådan grundforskning afgørende for samfundsmæssige fordele på længere sigt. I nogle tilfælde kan oplysninger om visse fysiske personer, såsom genominformation om fysiske personer med en bestemt sygdom, bidrage til diagnosticering eller behandling af andre fysiske personer. Der er behov for, at offentlige myndigheder går ud over anvendelsesområdet »ekstraordinære behov« i kapitel V i forordning (EU) 2023/2854. Organer med ansvar for adgang til sundhedsdata bør dog have mulighed for at yde støtte til offentlige myndigheder, når data behandles eller sammenkædes. Nærværende forordning giver offentlige myndigheder mulighed for at få adgang til oplysninger, som de har brug for til at udføre de opgaver, de er pålagt ved lov, men udvider ikke sådanne offentlige myndigheders mandat.
(62)
Ethvert forsøg på at anvende elektroniske sundhedsdata til foranstaltninger, der er skadelige for fysiske personer, såsom til at forhøje forsikringspræmier, til at deltage i aktiviteter, der muligvis er skadelige for fysiske personer i forhold til beskæftigelse, pensioner eller bankforhold, herunder pantsætning af ejendomme, til at reklamere for produkter eller behandlinger, til at automatisere individuel beslutningstagning, til at reidentificere fysiske personer eller til at udvikle skadelige produkter, bør forbydes. Dette forbud bør også finde anvendelse på aktiviteter, der er i strid med etiske bestemmelser i henhold til national ret, med undtagelse af etiske bestemmelser vedrørende samtykke til behandling af personoplysninger og etiske bestemmelser vedrørende retten til fravalg, da denne forordning har forrang for national ret, i overensstemmelse med det generelle princip om EU-rettens forrang. Det bør også forbydes at give adgang til eller på anden stille elektroniske sundhedsdata til rådighed for tredjeparter, der ikke er nævnt i datatilladelsen. Identiteten på de autoriserede personer, navnlig identiteten på den hovedinvestigator, som i henhold til denne forordning har ret til at få adgang til elektroniske sundhedsdata i det sikre databehandlingsmiljø, bør angives i datatilladelsen. Hovedinvestigatorerne er de hovedansvarlige for at anmode om adgang til de elektroniske sundhedsdata og for at behandle de ønskede data i det sikre databehandlingsmiljø på vegne af sundhedsdatabrugeren.
(63)
Denne forordning giver ikke beføjelse til sekundær anvendelse af sundhedsdata med henblik på retshåndhævelse. Forebyggelsen, efterforskningen, opdagelsen eller retsforfølgningen af straffelovsovertrædelser eller fuldbyrdelse af strafferetlige sanktioner ved de kompetente myndigheder bør ikke være omfattet af de sekundære anvendelser i henhold til denne forordning. Derfor bør domstole og andre enheder i retssystemet ikke betragtes som sundhedsdatabrugere i forbindelse med sekundær anvendelse af sundhedsdata i henhold til denne forordning. Desuden bør domstole og andre enheder i retssystemet ikke være omfattet af definitionen af sundhedsdataindehavere og bør derfor ikke være adressater for forpligtelser for sundhedsdataindehavere i henhold til denne forordning. Desuden de beføjelser, der tillægges de kompetente myndigheder med hensyn til forebyggelse, efterforskning, opdagelse og retsforfølgning af strafbare handlinger, der er fastsat ved lov, for så vidt angår indhentning af elektroniske sundhedsdata, berøres ikke af denne forordning. Elektroniske sundhedsdata, som domstolene er i besiddelse af med henblik på retssager, er heller ikke omfattet af denne forordnings anvendelsesområde.
(64)
Oprettelsen af et eller flere organer med ansvar for adgang til sundhedsdata, der støtter adgangen til elektroniske sundhedsdata i medlemsstaterne, er væsentlig for at fremme sekundær anvendelse af sundhedsrelaterede data. Medlemsstaterne bør derfor oprette et eller flere organer med ansvar for adgang til sundhedsdata, for bl.a. at afspejle deres forfatningsmæssige, organisatoriske og administrative struktur. Et af disse organer med ansvar for adgang til sundhedsdata bør dog udpeges som koordinator, hvis der er mere end ét organ med ansvar for adgang til sundhedsdata. Hvis en medlemsstat opretter flere organer med ansvar for adgang til sundhedsdata, bør den fastsætte regler på nationalt plan for at sikre disse organers koordinerede deltagelse i udvalget for det europæiske sundhedsdataområde. Den pågældende medlemsstat bør navnlig udpege ét organ med ansvar for adgang til sundhedsdata som skal fungere som fælles kontaktpunkt for disse organers effektive deltagelse med henblik på at sikre et hurtigt og smidigt samarbejde med andre organer med ansvar for adgang til sundhedsdata, udvalget for det europæiske sundhedsdataområde og Kommissionen. Organer med ansvar for adgang til sundhedsdata kan variere med hensyn til organisation og størrelse, der spænder over en særlig organisation til en enhed eller afdeling i en eksisterende organisation. Organer med ansvar for adgang til sundhedsdata bør ikke påvirkes i deres beslutninger om adgang til elektroniske data til sekundær anvendelse og bør undgå interessekonflikter. Medlemmer af forvaltningen og besluttende organer i hvert organ med ansvar for adgang til sundhedsdata og dets personale bør derfor afholde sig fra enhver handling, der er uforenelig med deres opgaver, og bør ikke udøve nogen form for uforenelig beskæftigelse. Organerne med ansvar for adgang til sundhedsdatas uafhængighed bør dog ikke betyde, at de ikke kan gøres til genstand for kontrol- eller overvågningsmekanismer for så vidt angår deres finansielle udgifter eller for domstolsprøvelse. Hvert organ med ansvar for adgang til sundhedsdata bør have de nødvendige finansielle, tekniske og menneskelige ressourcer samt lokaler og infrastruktur til effektivt at kunne udføre sine opgaver, herunder opgaver vedrørende samarbejde med andre organer med ansvar for adgang til sundhedsdata i hele Unionen. Medlemmerne af forvaltningen og besluttende organer hos organerne med ansvar for adgang til sundhedsdata og deres personale bør have de nødvendige kvalifikationer, erfaring og færdigheder. Hvert organ med ansvar for adgang til sundhedsdata bør have et separat offentligt årligt budget, der kan indgå i det samlede statsbudget eller nationale budget. For at muliggøre bedre adgang til sundhedsdata og supplere artikel 7, stk. 2, i forordning (EU) 2022/868 bør medlemsstaterne give organer med ansvar for adgang til sundhedsdata beføjelser til at træffe afgørelser om adgang til og sekundær anvendelse af sundhedsdata. Dette kunne bestå i at tildele nye opgaver til de kompetente organer, der er udpeget af medlemsstaterne i henhold til artikel 7, stk. 1, i forordning (EU) 2022/868, eller at udpege eksisterende eller nye sektorspecifikke organer, der er ansvarlige for sådanne opgaver i forbindelse med adgang til sundhedsdata.
(65)
Organer med ansvar for adgang til sundhedsdata bør overvåge anvendelsen af kapitel IV i denne forordning og bidrage til en ensartet anvendelse heraf i hele Unionen. Med henblik herpå bør organer med ansvar for adgang til sundhedsdata samarbejde med hinanden og med Kommissionen. Organer med ansvar for adgang til sundhedsdata bør også samarbejde med interessenter, herunder patientorganisationer. Organer med ansvar for adgang til sundhedsdata bør støtte sundhedsdataindehavere, der er små virksomheder, i overensstemmelse med Kommissionens henstilling 2003/361/EF 
(
18
)
, navnlig læger og apoteker. Da den sekundære anvendelse af sundhedsdata indebærer behandling af personlige helbredsoplysninger, finder de relevante bestemmelser i forordning (EU) 2016/679 og (EU) 2018/1725 anvendelse, og tilsynsmyndighederne i henhold til nævnte forordninger bør fortsat være de eneste kompetente myndigheder til at håndhæve disse bestemmelser. Organer med ansvar for adgang til sundhedsdata bør underrette databeskyttelsesmyndighederne om eventuelle pålagte sanktioner og eventuelle problemer i forbindelse med databehandling til sekundær anvendelse og udveksle alle relevante oplysninger, som de råder over, for at sikre håndhævelsen af de relevante regler. Ud over de opgaver, der er nødvendige for at sikre en effektiv sekundær anvendelse af sundhedsdata, bør organet med ansvar for adgang til sundhedsdata bestræbe sig på at udvide tilgængeligheden af yderligere sundhedsdatasæt og fremme udviklingen af fælles standarder. De bør anvende testede og de nyeste teknikker, der sikrer, at elektroniske sundhedsdata behandles på en måde, der beskytter privatlivets fred for så vidt angår de oplysninger, der er indeholdt i de data, for hvilke sekundær anvendelse er tilladt, herunder teknikker til pseudonymisering, anonymisering, generalisering, fjernelse og randomisering af personoplysninger. Organer med ansvar for adgang til sundhedsdata kan udarbejde datasæt til sundhedsdatabrugeren som krævet i den udstedte datatilladelse. I den forbindelse bør organer med ansvar for adgang til sundhedsdata samarbejde på tværs af grænserne for at udvikle og udveksle bedste praksis og teknikker. Dette omfatter regler for pseudonymisering og anonymisering af mikrodatasæt. Kommissionen bør fastsætte procedurerne og kravene og stille tekniske værktøjer til rådighed med henblik på at opnå en ensartet procedure for pseudonymisering og anonymisering af elektroniske sundhedsdata, hvor det er relevant.
(66)
Organer med ansvar for adgang til sundhedsdata bør sikre at sekundær anvendelse er gennemsigtig, offentlige oplysninger om de udstedte datatilladelser og begrundelserne herfor, de foranstaltninger, der er blevet truffet for at beskytte fysiske personers rettigheder, midlerne for fysiske personer til at udøve deres rettigheder i forbindelse med sekundær anvendelse, og resultaterne af sekundær anvendelse, herunder gennem links til videnskabelige publikationer. Hvor det er relevant, bør disse oplysninger om resultaterne af sekundær anvendelse også omfatte et foreløbigt resumé, som skal fremlægges af sundhedsdatabrugeren. Disse gennemsigtighedsforpligtelser supplerer de forpligtelser, der er fastsat ved artikel 14 i forordning (EU) 2016/679. Undtagelserne i nævnte forordnings artikel 14, stk. 5, kan finde anvendelse. Hvis sådanne undtagelser finder anvendelse, bør gennemsigtighedsforpligtelserne, som fastsat i nærværende forordning, bidrage til at sikre en retfærdig og gennemsigtig behandling som omhandlet i artikel 14, stk. 2, i forordning (EU) 2016/679, f.eks. ved at give oplysninger om formålet med behandlingen og de behandlede datakategorier, der derved gør det muligt for fysiske personer at forstå, om deres data stilles til rådighed til sekundær anvendelse i henhold til datatilladelser.
(67)
Fysiske personer bør af sundhedsdataindehaverne underrettes om væsentlige fund, som sundhedsdatabrugere har opdaget vedrørende deres helbred. Fysiske personer bør have ret til at anmode om ikke at blive underrettet om sådanne fund. Medlemsstaterne kan fastsætte betingelser for, hvordan sundhedsdataindehavere skal give sådanne oplysninger til de berørte fysiske personer, og for udøvelsen af retten til ikke at blive underrettet. I overensstemmelse med artikel 23, stk. 1, litra i), i forordning (EU) 2016/679 bør medlemsstaterne have mulighed for at begrænse rækkevidden af forpligtelsen om at underrette de fysiske personer, når det er nødvendigt for deres beskyttelse på grundlag af patientsikkerhed og etik, ved at udsætte meddelelsen af deres oplysninger, indtil en sundhedsprofessionel kan videregive og forklare de pågældende fysiske personer de oplysninger, der potentielt kan have en indvirkning på deres sundhed.
(68)
For at fremme gennemsigtigheden bør organerne med ansvar for adgang til sundhedsdata også hvert andet år offentliggøre aktivitetsrapporter, der giver et overblik over deres aktiviteter. Hvis en medlemsstat har udpeget mere end ét organ med ansvar for adgang til sundhedsdata, bør koordineringsorganet hvert andet år udarbejde og offentliggøre en fælles rapport. Aktivitetsrapporterne bør følge en struktur, der er aftalt i udvalget for det europæiske sundhedsdataområde, og give et overblik over aktiviteter, herunder oplysninger vedrørende afgørelser om ansøgninger, revisioner og samarbejde med relevante interessenter. Sådanne interessenter kan omfatte repræsentanter for fysiske personer, patientorganisationer, sundhedsprofessionelle, forskere og etiske udvalg.
(69)
For at støtte sekundær anvendelse bør sundhedsdataindehaverne afholde sig fra at tilbageholde data, opkræve uberettigede gebyrer, som ikke er gennemsigtige eller ikke står i et rimeligt forhold til omkostningerne ved at stille data til rådighed eller, hvor det er relevant, til marginale omkostninger til dataindsamling, og anmode sundhedsdatabrugerne om at offentliggøre forskning eller anden praksis, der kunne afholde sundhedsdatabrugerne fra at anmode om dataene. Hvis en sundhedsdataindehaver er en offentlig myndighed, bør den del af gebyrerne, der er knyttet til dens omkostninger, ikke dække omkostningerne ved den indledende indsamling af dataene. Hvis etisk godkendelse er nødvendig for at give en datatilladelse, bør vurderingen vedrørende etisk godkendelse baseres på de specifikke omstændigheder.
(70)
Organer med ansvar for adgang til sundhedsdata bør have mulighed for at opkræve gebyrer under hensyntagen til de horisontale regler, der følger af forordning (EU) 2022/868, i forbindelse med deres opgaver. Sådanne gebyrer kan tage hensyn til små og mellemstore virksomheders (SMV'ers), individuelle forskeres eller offentlige myndigheders situation og interesser. Medlemsstaterne bør navnlig have mulighed for at træffe foranstaltninger for organer med ansvar for adgang til sundhedsdata inden for deres jurisdiktion, som gør det muligt at opkræve nedsatte gebyrer for visse kategorier af sundhedsdatabrugere. Organer med ansvar for adgang til sundhedsdata bør kunne dække omkostningerne ved deres drift med gebyrer, der fastsættes på en forholdsmæssig, begrundet og gennemsigtig måde. Dette kan føre til højere gebyrer for nogle sundhedsdatabrugere, hvis behandlingen af deres ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger kræver mere arbejde. Sundhedsdataindehavere bør også have mulighed for at anmode om gebyrer, der afspejler deres omkostninger ved at stille data til rådighed. Organer med ansvar for adgang til sundhedsdata bør træffe afgørelse om størrelsen af sådanne gebyrer, som også kan omfatte de gebyrer, som sundhedsdataindehaverne anmoder om. Sundhedsdatabrugeren bør opkræves sådanne gebyrer af organet med ansvar for adgang til sundhedsdata i én enkelt faktura. Organet med ansvar for adgang til sundhedsdata bør derefter overføre den relevante del af de betalte gebyrer til sundhedsdataindehaveren. For at sikre en harmoniseret tilgang til gebyrpolitik og -struktur bør Kommissionen tillægges gennemførelsesbeføjelser. Artikel 10 i forordning (EU) 2023/2854 bør finde anvendelse på gebyrer, der opkræves i henhold til nærværende forordning.
(71)
For at styrke håndhævelsen af reglerne om sekundær anvendelse bør der overvejes passende foranstaltninger, der kan føre til administrative bøder eller håndhævelsesforanstaltninger fra organer med ansvar for adgang til sundhedsdata eller midlertidige eller permanente udelukkelser fra det europæiske sundhedsdataområde af sundhedsdatabrugere eller sundhedsdataindehavere, der ikke opfylder deres forpligtelser. Organer med ansvar for adgang til sundhedsdata bør have beføjelse til at kontrollere overholdelsen af sundhedsdatabrugere og -indehavere og give dem mulighed for at svare på eventuelle anmærkninger og afhjælpe eventuelle overtrædelser. Organer med ansvar for adgang til sundhedsdata bør i forbindelse med fastsættelsen af den administrative bødes beløb eller en håndhævelsesforanstaltning i den enkelte sag tage højde for de omkostningsmargener og kriterier, der er fastsat i denne forordning, idet det sikres, at disse bøder eller foranstaltninger er forholdsmæssige.
(72)
I betragtning af de elektroniske sundhedsdatas følsomhed er det nødvendigt at reducere risiciene for fysiske personers privatliv ved at anvende princippet om dataminimering. Derfor bør andre elektroniske sundhedsdata end personoplysninger gøres tilgængelige i alle tilfælde, hvor leveringen af sådanne data er tilstrækkelige. Hvis sundhedsdatabrugeren har brug for at anvende personlige elektroniske sundhedsdata, bør denne i sin anmodning klart angive begrundelsen for anvendelsen af denne type data, og organet med ansvar for adgang til sundhedsdata bør vurdere, om denne begrundelse er gyldig. Personlige elektroniske sundhedsdata bør kun stilles til rådighed i pseudonymiseret format. Under hensyntagen til de specifikke formål med behandlingen bør personlige elektroniske sundhedsdata pseudonymiseres eller anonymiseres så tidligt som muligt i processen, hvor data stilles til rådighed til sekundær anvendelse. Det bør være muligt at pseudonymisering og anonymisering foretages af organer med ansvar for adgang til sundhedsdata eller af sundhedsdataindehavere. Som dataansvarlige bør organer med ansvar for adgang til sundhedsdata og sundhedsdataindehavere have mulighed for at uddelegere disse opgaver til databehandlere. Når et organ med ansvar for adgang til sundhedsdata giver adgang til et pseudonymiseret eller anonymiseret datasæt, bør det anvende de nyeste teknologier og standarder inden for pseudonymisering eller anonymisering og i videst muligt omfang sikre, at fysiske personer ikke kan reidentificeres af sundhedsdatabrugere. Sådanne teknologier og standarder for datapseudonymisering eller -anonymisering bør udvikles yderligere. Sundhedsdatabrugere bør ikke forsøge at reidentificere fysiske personer fra det datasæt, der leveres i henhold til denne forordning, og hvis de gør det, bør de være genstand for administrative bøder og håndhævelsesforanstaltninger som fastsat i denne forordning eller mulige strafferetlige sanktioner, hvis dette er fastsat i national ret. En sundhedsdataansøger bør desuden kunne anmode om et svar på en sundhedsdataanmodning i et anonymiseret, statistisk format. I sådanne tilfælde vil sundhedsdatabrugeren kun behandle andre sundhedsdata end personoplysninger, og organet med ansvar for adgang til sundhedsdata vil fortsat være enedataansvarlig for samtlige de personoplysninger, der er nødvendige for at besvare sundhedsdataanmodningen.
(73)
For at sikre, at alle organer med ansvar for adgang til sundhedsdata udsteder datatilladelser på samme måde, er det nødvendigt at fastlægge en fælles standardprocedure for udstedelse af datatilladelser med lignende anmodninger i forskellige medlemsstater. Sundhedsdataansøgeren bør give organer med ansvar for adgang til sundhedsdata flere oplysninger, som kan hjælpe organet med at vurdere ansøgningen om adgang til sundhedsdata og afgøre, om sundhedsdataansøgeren kan få en datatilladelse, og der bør sikres konsekvens mellem de forskellige organer med ansvar for adgang til sundhedsdata. De oplysninger, der stilles til rådighed som en del af ansøgningen om adgang til sundhedsdata bør være i overensstemmelse med de fastsatte betingelser i henhold til denne forordning for at muliggøre en grundig vurdering heraf, idet en datatilladelse kun bør udstedes, hvis samtlige nødvendige betingelser i denne forordning er opfyldt. Desuden bør disse oplysninger, hvis det er relevant, indeholde en erklæring fra sundhedsdataansøgeren om, at den tilsigtede anvendelse af de anmodede sundhedsdata ikke udgør en risiko for at stigmatisere eller for at forårsage skade på værdigheden for de fysiske personer eller grupper, som det anmodede datasættet omhandler. Der kan anmodes om en etisk vurdering på grundlag af national ret. I så fald, bør det være muligt for eksisterende etiske organer at foretage sådanne vurderinger for organet med ansvar for adgang til sundhedsdata. Medlemsstaternes eksisterende etiske organer bør stille deres ekspertise til rådighed for organet med ansvar for adgang til sundhedsdata til dette formål. Alternativt bør medlemsstaterne kunne beslutte at gøre etiske organer til en del af organet med ansvar for adgang til sundhedsdata. Organet med ansvar for adgang til sundhedsdata og, hvor det er relevant, sundhedsdataindehavere bør bistå sundhedsdatabrugere med at udvælge passende datasæt eller datakilder til det erklærede formål med den sekundære anvendelse. Hvis sundhedsdataansøgeren har brug for data i et anonymiseret statistisk format, bør vedkommende indgive en sundhedsdataanmodning med krav om, at organet med ansvar for adgang til sundhedsdata leverer resultatet direkte. Et afslag på en datatilladelse fra organet med ansvar for adgang til sundhedsdata bør ikke hindre sundhedsdataansøgeren i at indgive en ny ansøgning om adgang til sundhedsdata. For at sikre en harmoniseret tilgang mellem organer med ansvar for adgang til sundhedsdata og for at begrænse den unødvendige administrative byrde for sundhedsdataansøgere bør Kommissionen støtte harmoniseringen af ansøgninger om adgang til sundhedsdata samt sundhedsdataanmodninger, herunder ved at fastlægge de relevante skabeloner. I begrundede tilfælde, f.eks. i tilfælde af en kompleks og byrdefuld anmodning, bør organet med ansvar for adgang til sundhedsdata kunne forlænge fristen for sundhedsdataindehavere med hensyn til at stille de elektroniske sundhedsdata, der anmodes om, til rådighed for det.
(74)
Da deres ressourcer er begrænsede, bør organer med ansvar for adgang til sundhedsdata kunne anvende prioriteringsregler, f.eks. prioritere offentlige institutioner over private enheder, men de bør ikke forskelsbehandle de nationale organisationer og organisationer fra andre medlemsstater inden for samme kategori af prioriteter. En sundhedsdatabruger bør kunne forlænge datatilladelsens varighed for f.eks. at give evaluatorer af videnskabelige publikationer adgang til datasættene eller give mulighed for yderligere analyse af datasættet på grundlag af de første resultater. Dette bør kræve en ændring af datatilladelsen og kan blive pålagt et yderligere gebyr. I alle tilfælde bør datatilladelsen dog afspejle sådanne supplerende anvendelser af datasættet. Sundhedsdatabrugeren bør helst nævne dem i sin oprindelige ansøgning om adgang til sundhedsdata. For at sikre en harmoniseret tilgang mellem organer med ansvar for adgang til sundhedsdata bør Kommissionen støtte harmoniseringen af datatilladelser.
(75)
Som covid-19-krisen har vist, har Unionens institutioner, organer, kontorer og agenturer med et retligt mandat på folkesundhedsområdet, navnlig Kommissionen, brug for adgang til sundhedsdata i en længere periode og med jævne mellemrum. Dette kan være tilfældet under særlige omstændigheder i krisetider som fastsat i EU-retten eller national ret, men også for løbende at tilvejebringe videnskabelig dokumentation og teknisk støtte til Unionens politikker. Der kan kræves adgang til sådanne data i bestemte medlemsstater eller på hele Unionens område. Sådanne EU-institutioner, organer, kontorer og agenturer bør kunne drage fordel af en fremskyndet procedure for at få data stillet til rådighed normalt på mindre end to måneder med mulighed for at forlænge tidsfristen med én måned i mere komplekse tilfælde.
(76)
Medlemsstaterne bør have mulighed for at udpege betroede sundhedsdataindehavere, for hvilke proceduren for udstedelse af datatilladelser kan blive gennemført på en forenklet måde, for at lette den administrative byrde for organer med ansvar for adgang til sundhedsdata i forbindelse med forvaltningen af anmodninger om de data, de behandler. Betroede sundhedsdataindehavere bør have mulighed for at vurdere de ansøgninger om adgang til sundhedsdata, der indgives efter denne forenklede procedure, på grundlag af deres ekspertise med hensyn til at håndtere den type sundhedsdata, de behandler, og udstede en anbefaling vedrørende en datatilladelse. Organet med ansvar for adgang til sundhedsdata bør fortsat være ansvarligt for udstedelsen af den endelige datatilladelse og bør ikke være bundet af anbefalingen fra den betroede sundhedsdataindehaver. Enheder, der formidler sundhedsdata, bør ikke udpeges som pålidelige sundhedsdataindehavere.
(77)
I betragtning af de elektroniske sundhedsdatas følsomhed bør sundhedsdatabrugerne ikke have ubegrænset adgang til sådanne data. Al adgang til de elektroniske sundhedsdata, der anmodes om, med henblik på sekundær anvendelse bør ske gennem et sikkert databehandlingsmiljø. For at sikre at der er indført stærke tekniske og sikkerhedsmæssige garantier for de elektroniske sundhedsdata bør organer med ansvar for adgang til sundhedsdata eller, hvor det er relevant, den betroede dataindehaver give adgang til sådanne data i et sikkert databehandlingsmiljø i overensstemmelse med de høje tekniske og sikkerhedsmæssige standarder, der er fastsat i henhold til denne forordning. Behandlingen af personoplysninger i et sådant sikkert databehandlingsmiljø bør være i overensstemmelse med forordning (EU) 2016/679, herunder, hvis det sikre databehandlingsmiljø forvaltes af en tredjepart, kravene i nævnte forordnings artikel 28 og, hvor det er relevant, kapitel V heri. Et sådant sikkert databehandlingsmiljø bør mindske de risici for privatlivets fred, der er forbundet med sådanne behandlingsaktiviteter, og forhindre, at de elektroniske sundhedsdata overføres direkte til sundhedsdatabrugerne. Organet med ansvar for adgang til sundhedsdata eller den sundhedsdataindehaver, der leverer denne tjeneste, bør til enhver tid have kontrol over adgangen til de elektroniske sundhedsdata, og den adgang, der gives til databrugerne bør fastsættes i henhold til betingelserne i den udstedte datatilladelse. Sundhedsdatabrugere bør kun downloade andre elektroniske sundhedsdata end personoplysninger, der ikke indeholder personlige elektroniske sundhedsdata, fra et sådant sikkert databehandlingsmiljø. Et sådant sikkert databehandlingsmiljø er således en væsentlig garanti for at bevare fysiske personers rettigheder og frihedsrettigheder i forbindelse med behandling af deres elektroniske sundhedsdata til sekundær anvendelse. Kommissionen bør bistå medlemsstaterne med at udvikle fælles sikkerhedsstandarder for at fremme sikkerheden og interoperabiliteten i de forskellige sikre databehandlingsmiljøer.
(78)
Ved forordning (EU) 2022/868 fastsættes de generelle regler for forvaltning af dataaltruisme. Idet sundhedssektoren forvalter følsomme data, bør der samtidig fastsættes yderligere kriterier gennem det regelsæt, der er omhandlet i nævnte forordning. Hvis sådanne regler indeholder bestemmelser om anvendelse af et sikkert databehandlingsmiljø for denne sektor, bør et sådant sikkert databehandlingsmiljø være i overensstemmelse med de kriterier, der er fastsat i nærværende forordning. Organerne med ansvar for adgang til sundhedsdata bør samarbejde med de kompetente myndigheder, der er udpeget i henhold til forordning (EU) 2022/868 med henblik på at føre tilsyn med dataaltruistiske organisationers aktiviteter i sundheds- eller plejesektoren.
(79)
I forbindelse med behandling af elektroniske sundhedsdata inden for rammerne af en datatilladelse eller en sundhedsdataanmodning bør sundhedsdataindehavere, herunder betroede sundhedsdataindehavere, organer med ansvar for adgang til sundhedsdata og sundhedsdatabrugere hver især betragtes som dataansvarlige for en specifik del af processen og i overensstemmelse med deres respektive roller heri. Sundhedsdataindehavere bør betragtes som dataansvarlige for videregivelsen af de ønskede personlige elektroniske sundhedsdata til organerne med ansvar for adgang til sundhedsdata, mens organerne med ansvar for adgang til sundhedsdata omvendt bør betragtes som dataansvarlige for behandlingen af de personlige elektroniske sundhedsdata, når de udarbejder dataene og stiller dem til rådighed for sundhedsdatabrugerne. Sundhedsdatabrugere bør betragtes som dataansvarlige ved behandling af personlige elektroniske sundhedsdata i pseudonymiseret form i det sikre databehandlingsmiljø i henhold til deres datatilladelser. Organerne med ansvar for adgang til sundhedsdata bør betragtes som databehandlere på vegne af sundhedsdatabrugeren for behandling udført af sundhedsdatabrugeren i henhold til en datatilladelse i det sikre databehandlingsmiljø samt for behandlingen for at generere et svar på sundhedsdataanmodningen. De betroede sundhedsdataindehavere bør på tilsvarende måde betragtes som dataansvarlige for deres behandling af personlige elektroniske sundhedsdata i forbindelse med bestemmelsen af elektroniske sundhedsdata til sundhedsdatabrugeren i henhold til en datatilladelse eller en sundhedsdataanmodning. De betroede sundhedsdataindehavere bør betragtes som databehandlere for sundhedsdatabrugeren, når de leverer data gennem et sikkert databehandlingsmiljø.
(80)
For at opnå en inklusiv og bæredygtig ramme for sekundær anvendelse i flere lande, bør der etableres en grænseoverskridende infrastruktur (»HealthData@EU«). HealthData@EU bør fremskynde sekundær anvendelse og samtidig øge retssikkerheden, respektere fysiske personers privatliv og være interoperabel. På grund af sundhedsdataenes følsomhed bør principper som »indbygget databeskyttelse« og »databeskyttelse gennem standardindstillinger« og begrebet »at stille spørgsmål til data i stedet for at flytte disse data« respekteres, når det er muligt. Medlemsstaterne bør udpege nationale kontaktpunkter for sekundær anvendelse som organisatoriske og tekniske portaler for organer med ansvar for adgang til sundhedsdata og forbinde disse kontaktpunkter til HealthData@EU. Unionens tjeneste for adgang til sundhedsdata bør også kobles til HealthData@EU. Derudover kan autoriserede deltagere i HealthData@EU være forskningsinfrastrukturer oprettet som et konsortium for en europæisk forskningsinfrastruktur (ERIC) i henhold til Rådets forordning (EF) nr. 723/2009 
(
19
)
 som et konsortium for en europæisk digital infrastruktur (EDIC) i henhold til afgørelse (EU) 2022/2481 eller lignende infrastrukturer, der er etableret i henhold til andre EU-retsakter, samt andre typer enheder, herunder infrastrukturer under Det Europæiske Strategiforum for Forskningsinfrastrukturer (ESFRI), eller infrastrukturer, der er organiseret under den europæiske åbne videnskabscloud (EOSC). Tredjelande og internationale organisationer kan også blive autoriserede deltagere i HealthData@EU, forudsat at de opfylder kravene i nærværende forordning. Kommissionens meddelelse af 19. februar 2020 med titlen »En europæisk strategi for data« fremmede sammenkædningen af de forskellige fælles europæiske dataområder. HealthData@EU bør derfor muliggøre sekundær anvendelse af forskellige kategorier af elektroniske sundhedsdata, herunder sammenkædning af sundhedsdata med data fra andre dataområder såsom dem, der vedrører miljø, landbrug og den sociale sektor. En sådan interoperabilitet mellem sundhedssektoren og andre sektorer såsom den miljømæssige, landbrugsmæssige eller sociale sektor kan være relevant for at opnå yderligere indsigt i sundhedsdeterminanter. Kommissionen kan levere en række tjenester inden for HealthData@EU, herunder støtte til udveksling af oplysninger mellem organer med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU med henblik på behandling af anmodninger om adgang på tværs af grænserne, forvaltning af kataloger over elektroniske sundhedsdata, der er tilgængelige via infrastrukturen, netværkssøgningsmulighederne og metadatasøgninger, konnektivitets- og overholdelsestjenester. Kommissionen kan også etablere et sikkert databehandlingsmiljø, der gør det muligt at overføre og analysere data fra forskellige nationale infrastrukturer efter anmodning fra de dataansvarlige. Af hensyn til IT-effektiviteten, rationaliseringen og interoperabiliteten af dataudvekslinger bør de eksisterende systemer til dataudveksling så vidt muligt genanvendes, såsom dem, der udvikles til udveksling af dokumentation under det tekniske system baseret på engangsprincippet i Europa-Parlamentets og Rådets forordning (EU) 2018/1724 
(
20
)
.
(81)
Da forbindelsen til HealthData@EU kan indebære overførsler til tredjelande af personoplysninger vedrørende ansøgeren eller sundhedsdatabrugeren, skal der desuden være indført relevante overførselsinstrumenter i henhold til kapitel V i forordning (EU) 2016/679 for sådanne overførsler.
(82)
I tilfælde af grænseoverskridende registre eller databaser, såsom registrene over europæiske referencenetværk for sjældne sygdomme, som modtager data fra forskellige sundhedstjenesteydere i flere medlemsstater, bør det organ med ansvar for adgang til sundhedsdata i den medlemsstat, hvor registerets koordinator er beliggende, være ansvarligt for at give adgang til data.
(83)
Godkendelsesproceduren for at få adgang til personlige elektroniske sundhedsdata i forskellige medlemsstater kan være repetitiv og besværlig for sundhedsdatabrugerne. Når det er muligt, bør der skabes synergier for at mindske byrden og hindringerne for sundhedsdatabrugerne. En måde at nå dette mål på er at overholde princippet om »én ansøgning«, ifølge hvilket sundhedsdatabrugeren med én ansøgning kan få tilladelse fra flere organer med ansvar for adgang til sundhedsdata i forskellige medlemsstater eller autoriserede deltagere i HealthData@EU.
(84)
Organerne med ansvar for adgang til sundhedsdata bør give oplysninger om de tilgængelige datasæt og deres karakteristika, således at sundhedsdatabrugere kan gives grundlæggende oplysninger om datasættet og vurdere den mulige relevans af disse oplysninger for disse brugere. Derfor bør hvert datasæt som minimum indeholde oplysninger om kilden og arten af dataene og betingelserne for at stille dataene til rådighed. Sundhedsdataindehaveren bør mindst hvert år kontrollere, at beskrivelsen af datasættet i det nationale katalog over datasæt er nøjagtigt og ajourført. Der bør derfor oprettes et EU-datasætkatalog for at: gøre det lettere at finde de datasæt, der er tilgængelige i det europæiske sundhedsdataområde; hjælpe sundhedsdataindehavere med at offentliggøre deres datasæt; give alle interessenter, herunder offentligheden, under hensyntagen til de særlige behov hos personer med handicap, oplysninger om datasæt, der er i det europæiske sundhedsdataområde, såsom datakvalitets- og dataudnyttelsesmærker, og oplysningsskemaer for datasæt, samt give sundhedsdatabruger ajourførte datakvalitets- og dataudnyttelsesoplysninger om datasæt.
(85)
Oplysninger om kvaliteten og udnyttelsen af datasæt øger værdien af resultaterne af dataintensiv forskning og innovation betydeligt, samtidig med at evidensbaseret reguleringsmæssige og politisk beslutningstagning fremmes. Forbedring af kvaliteten og udnyttelsen af datasæt gennem informerede kundevalg og harmonisering af relaterede krav på EU-plan under hensyntagen til eksisterende EU-standarder og internationale standarder, retningslinjer og anbefalinger vedrørende dataindsamling og dataudveksling, såsom FAIR-principperne er også til gavn for sundhedsdataindehavere, sundhedsprofessionelle, fysiske personer og Unionens økonomi som helhed. Et datakvalitets- og dataudnyttelsesmærke for datasæt vil informere sundhedsdatabrugerne om et datasæts kvalitets- og udnyttelsesegenskaber og sætte dem i stand til at vælge de datasæt, der passer bedst til deres behov. Datakvalitets- og dataudnyttelsesmærket bør ikke forhindre, at datasæt stilles til rådighed gennem det europæiske sundhedsdataområde, men skabe en gennemsigtighedsmekanisme mellem sundhedsdataindehavere og sundhedsdatabrugere. Et datasæt, der ikke opfylder noget krav om datakvalitet og -nytte, bør f.eks. mærkes med den klasse, der repræsenterer den dårligste kvalitet og udnyttelse, men bør stadig stilles til rådighed. Forventninger, der er fastsat ved de rammer, der er skabt i henhold til artikel 10 i forordning (EU) 2024/1689, og den relevante tekniske dokumentation, der er anført i nævnte forordnings bilag IV, bør tages i betragtning, når rammen for datakvalitet og -udnyttelse udvikles. Medlemsstaterne bør øge bevidstheden om datakvalitets- og dataudnyttelsesmærket gennem kommunikationsaktiviteter. Kommissionen kunne støtte disse aktiviteter. Brugen af datasæt kan prioriteres af brugerne i henhold til deres anvendelighed og kvalitet.
(86)
EU-datasætkataloget bør minimere den administrative byrde for sundhedsdataindehaverne og andre databasebrugere, være brugervenligt, tilgængeligt og omkostningseffektivt, forbinde nationale datasætkataloger og undgå overflødig registrering af datasæt. Uanset kravene i forordning (EU) 2022/868 kan EU-datasætkataloget bringes i overensstemmelse med data.europa.eu-initiativet. Der bør sikres interoperabilitet mellem EU-datasætkataloget, de nationale datasætkataloger og datasætkatalogerne fra europæiske forskningsinfrastrukturer og andre relevante datadelingsinfrastrukturer.
(87)
Der er samarbejde og arbejde i gang mellem forskellige faglige organisationer, Kommissionen og andre institutioner for at oprette minimumsdatafelter og andre karakteristika for forskellige datasæt, f.eks. registre. Dette arbejde er mere fremskredent på områder som kræft, sjældne sygdomme, kredsløbssygdomme og stofskiftesygdomme, vurdering af risikofaktorer og statistik og bør tages i betragtning ved fastlæggelsen af nye standarder og sygdomsspecifikke harmoniserede skabeloner for strukturerede dataelementer. Mange datasæt er imidlertid ikke harmoniserede, hvilket skaber problemer med sammenligneligheden og vanskeliggør grænseoverskridende forskning. Der bør derfor fastsættes mere detaljerede regler i gennemførelsesretsakter for at sikre en harmoniseret kodning og registrering af elektroniske sundhedsdata, for at muliggøre levering af sådanne date til sekundær anvendelse på en ensartet måde. Sådanne datasæt kan omfatte data fra registre over sjældne sygdomme, databaser over lægemidler til sjældne sygdomme, kræftregistre og registre over meget relevante smitsomme sygdomme. Medlemsstaterne bør arbejde for at sikre, at europæiske elektroniske sundhedssystemer og -tjenester samt interoperable applikationer leverer holdbare økonomiske og sociale fordele, med henblik på at opnå en høj grad af tillid og sikkerhed, styrke kontinuiteten i behandlingen og sikre adgang til sikre sundhedsydelser af høj kvalitet. Eksisterende sundhedsdatainfrastrukturer og -registre kan tilvejebringe modeller, der er nyttige med henblik på at definere og gennemføre datastandarder og interoperabilitet, og som bør udnyttes for at sikre kontinuitet og bygge videre på eksisterende ekspertise.
(88)
Kommissionen bør støtte medlemsstaterne i at opbygge kapacitet og fremme effektivitet inden for digitale sundhedssystemer til primær anvendelse og sekundær anvendelse. Medlemsstaterne bør støttes for at styrke deres kapacitet. Aktiviteter på EU-plan såsom benchmarking og udveksling af bedste praksis er relevante foranstaltninger i denne henseende. Disse aktiviteter bør tage hensyn til de særlige omstændigheder, der gør sig gældende for forskellige kategorier af interessenter, såsom repræsentanter for civilsamfundet, forskere, lægesamfund og SMV'er.
(89)
Forbedring af viden om digital sundhed for både fysiske personer og sundhedsprofessionelle er af afgørende betydning for tillid og sikkerhed, og passende anvendelse af sundhedsdata er således af afgørende betydning for at opnå en vellykket gennemførelse af denne forordning. Sundhedsprofessionelle står overfor gennembrigende ændringer i forbindelse med digitalisering og vil blive tilbudt yderligere digitale værktøjer som en del af gennemførelsen af det europæiske sundhedsdataområde. Sundhedsprofessionelle skal derfor udvikle deres viden om digital sundhed og digitale færdigheder, og medlemsstaterne bør give sundhedsprofessionelle adgang til kurser i digitale færdigheder så de kan forberede sig på at arbejde med EPJ-systemer. Sådanne kurser bør gøre det muligt for sundhedsprofessionelle og IT-operatører at få tilstrækkelig uddannelse i arbejdet med nye digitale infrastrukturer for at sikre cybersikkerhed og etisk forvaltning af sundhedsdata. Uddannelseskurserne bør udvikles og revideres og ajourføres regelmæssigt i samråd og samarbejde med relevante eksperter. Forbedring af viden om digital sundhed er af afgørende betydning for at give fysiske personer mulighed for reel kontrol med deres sundhedsdata, aktivt at styre deres sundhed og pleje og forstå konsekvenserne af forvaltning af sådanne data til både primær anvendelse og sekundær anvendelse. Forskellige demografiske grupper har varierende grader af digitale færdigheder, hvilket kan påvirke fysiske personers evne til at udøve deres ret til at kontrollere deres elektroniske sundhedsdata. Medlemsstater, herunder regionale og lokale myndigheder, bør derfor støtte viden om digital sundhed og offentlighedens kendskab og samtidig sikre, at gennemførelsen af denne forordning bidrager til at reducere uligheder og ikke forskelsbehandler personer, der mangler digitale kompetencer. Der bør lægges særlig vægt på personer med handicap og sårbare grupper, herunder migranter og ældre. Medlemsstaterne bør oprette målrettede nationale programmer for digitale færdigheder, herunder programmer for at maksimere social inklusion, og sikre, at alle fysiske personer effektivt kan udøve deres rettigheder i henhold til denne forordning. Medlemsstaterne bør også yde patientcentreret vejledning til fysiske personer i forbindelse med anvendelsen af elektroniske patientjournaler og primær anvendelse af deres personlige elektroniske sundhedsdata. Vejledningen bør tilpasses patientens niveau af viden om digital sundhed, idet der lægges særlig vægt på sårbare gruppers behov.
(90)
Anvendelsen af midler bør også bidrage til at nå målene for det europæiske sundhedsdataområde. Offentlige indkøbere, nationale kompetente myndigheder i medlemsstaterne, herunder digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata, samt Kommissionen bør tage hensyn til gældende tekniske specifikationer, standarder og profiler vedrørende interoperabilitet, sikkerhed og datakvalitet samt andre krav, der er udviklet i henhold til denne forordning, når de fastlægger betingelserne for offentlige udbud, indkaldelser af forslag og tildeling af EU-midler, herunder struktur- og samhørighedsfondene. EU-midlerne skal fordeles på en gennemsigtig måde mellem medlemsstaterne under hensyntagen til de forskellige niveauer af digitalisering af sundhedssystemerne. Tilrådighedsstillelse af data til sekundær anvendelse kræver yderligere ressourcer til sundhedssystemerne, navnlig offentlige sundhedssystemer. Denne yderligere byrde bør imødegås og minimeres i forbindelse med gennemførelsen af det europæiske sundhedsdataområde.
(91)
Gennemførelsen af det europæiske sundhedsdataområde kræver passende investering i kapacitetsopbygning og undervisning samt en velfinansieret forpligtelse til offentlige høringer og inddragelse både på EU-plan og nationalt plan. De økonomiske omkostninger ved gennemførelsen af denne forordning skal bæres på både EU-plan og nationalt plan, og der skal findes en rimelig fordeling af denne byrde mellem EU-midler og nationale midler.
(92)
Visse kategorier af elektroniske sundhedsdata kan fortsat være særligt følsomme, selv når de er i anonymiseret format og dermed ikke personlige, som det allerede specifikt er fastsat i forordning (EU) 2022/868. Selv hvor der anvendes avancerede anonymiseringsteknikker, er der fortsat en tilbageværende risiko for, at kapaciteten til at reidentificere den pågældende kan være eller blive tilgængelig ud over de midler, der med rimelighed kan forventes anvendt. En sådan tilbageværende risiko er til stede i forbindelse med sjældne sygdomme, dvs. en livstruende eller kronisk invaliderende lidelse, der berører højst fem ud af 10 000 personer i Unionen, hvor det begrænsede antal tilfælde mindsker muligheden for fuldt ud at aggregere de offentliggjorte data for at beskytte fysiske personers privatliv, samtidig med at der sikres en passende detaljeringsgrad, så dataene forbliver meningsfulde. En sådan tilbageværende risiko kan påvirke forskellige kategorier af sundhedsdata og kan føre til reidentifikation af de registrerede ved hjælp af andre midler end dem, der med rimelighed kan forventes at blive anvendt. En sådan risiko afhænger af detaljeringsgraden, af beskrivelsen af de registreredes karakteristika, af antallet af berørte personer, f.eks. i tilfælde af data, der indgår i elektroniske patientjournaler, sygdomsregistre, biobanker, og persongenererede data, hvor viften af identifikationskarakteristika er bredere, og af en eventuel kombination med andre oplysninger, f.eks. i meget små geografiske områder eller gennem den teknologiske udvikling af metoder, der ikke var tilgængelige på tidspunktet for anonymiseringen. En sådan reidentifikation af fysiske personer vil give anledning til stor bekymring og vil muligvis betyde, at de regler for sekundær anvendelse, der er fastsat i nærværende forordning, ikke vil blive accepteret. Desuden er aggregeringsteknikker i mindre grad afprøvet for andre oplysninger end personoplysninger, der f.eks. indeholder forretningshemmeligheder, som det er tilfældet i forbindelse med indberetning af kliniske forsøg og kliniske afprøvninger, og håndhævelse af brud på forretningshemmeligheder uden for Unionen er vanskeligere i mangel af en tilstrækkelig international beskyttelsesstandard. For disse kategorier af sundhedsdata er der derfor fortsat en risiko for reidentifikation efter anonymiseringen eller aggregeringen, som ikke med rimelighed kunne afbødes i første omgang. Dette falder ind under kriterierne i artikel 5, stk. 13, i forordning (EU) 2022/868. Disse typer sundhedsdata vil således falde ind under den beføjelse til overførsel til tredjelande, der er fastsat i nævnte forordnings artikel 5, stk. 13. De særlige betingelser, der er fastsat i den beføjelse, der er fastsat i artikel 5, stk. 13, i forordning (EU) 2022/868, vil blive præciseret i forbindelse med den delegerede retsakt, der vedtages i henhold til denne beføjelse, og skal stå i et rimeligt forhold til risikoen for reidentifikation og tage hensyn til de særlige forhold, der gør sig gældende for forskellige datakategorier eller forskellige anonymiserings- eller aggregeringsteknikker.
(93)
Behandling af store mængder personlige elektroniske sundhedsdata til de formål, der er fastsat i det europæiske sundhedsdataområde, som led i databehandlingsaktiviteter i forbindelse med behandling af ansøgninger om adgang til sundhedsdata, datatilladelser og sundhedsdataanmodninger indebærer større risiko for uautoriseret adgang til sådanne personoplysninger samt mulighed for cybersikkerhedshændelser. Personlige elektroniske sundhedsdata er særligt følsomme, da de ofte indeholder oplysninger, der er omfattet af lægelig tavshedspligt, og hvis videregivelse til uautoriserede tredjeparter kan forårsage alvorlige problemer. Under fuld hensyntagen til de principper, der er skitseret i Den Europæiske Unions Domstols retspraksis, sikrer denne forordning fuld overholdelse af de grundlæggende rettigheder, retten til privatlivets fred og proportionalitetsprincippet. For at sikre den fulde integritet og fortrolighed af personlige elektroniske sundhedsdata i henhold til denne forordning, garantere et særligt højt beskyttelsesniveau og sikkerhed og mindske risikoen for ulovlig adgang til disse personlige elektroniske sundhedsdata giver denne forordning medlemsstaterne mulighed for at kræve, at personlige elektroniske sundhedsdata udelukkende lagres og behandles i Unionen med henblik på at udføre de opgaver, der er fastsat i denne forordning, medmindre en afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget i henhold til artikel 45 i forordning (EU) 2016/679 finder anvendelse.
(94)
Adgang til elektroniske sundhedsdata for sundhedsdatabrugere, der er etableret i tredjelande eller for internationale organisationer bør udelukkende finde sted på grundlag af gensidighedsprincippet. Det bør kun være muligt at stille elektroniske sundhedsdata til rådighed for et tredjeland, når Kommissionen ved hjælp af en gennemførelsesretsakt har fastslået, at det pågældende tredjeland giver EU-enheder adgang til elektroniske sundhedsdata, der stammer fra det pågældende tredjeland, på de samme betingelser og med de samme garantier som ville være tilfældet, hvis de havde adgang til elektroniske sundhedsdata i Unionen. Kommissionen bør overvåge og foretage regelmæssig revision af situationen i disse tredjelande og for internationale organisationer og føre en liste over disse gennemførelsesretsakter. Hvis Kommissionen finder, at et tredjeland ikke længere sikrer adgang på de samme vilkår, bør den tilbagekalde den tilsvarende gennemførelsesretsakt.
(95)
For at fremme en ensartet anvendelse af denne forordning, herunder vedrørende grænseoverskridende interoperabilitet af elektroniske sundhedsdata, bør der oprettes et udvalg for det europæiske sundhedsdataområde. Kommissionen bør deltage i dets aktiviteter og være medformand for det. Udvalget for det europæiske sundhedsdataområde bør være i stand til at udarbejde skriftlige bidrag vedrørende en ensartet anvendelse af denne forordning i hele Unionen, herunder ved at hjælpe medlemsstaterne med at koordinere anvendelsen af elektroniske sundhedsdata i forbindelse med sundhedsydelser og certificering, men også med hensyn til sekundær anvendelse, og finansieringen til disse aktiviteter. Dette kan også omfatte udveksling af oplysninger om risici og hændelser i de sikre databehandlingsmiljøer. Udvekslingen af denne form for oplysninger berører ikke forpligtelser i henhold til andre retsakter såsom anmeldelser af brud på datasikkerheden i henhold til forordning (EU) 2016/679. Mere generelt berører aktiviteterne i udvalget for det europæiske sundhedsdataområde ikke tilsynsmyndighedernes beføjelser i henhold til forordning (EU) 2016/679. Eftersom digitale sundhedsmyndigheder på nationalt plan, der beskæftiger sig med primær anvendelse, kan være forskellige fra de organer med ansvar for adgang til sundhedsdata, som beskæftiger sig med sekundær anvendelse, er funktionerne forskellige, og der er behov for forskellige former for samarbejde på hvert af disse områder, bør udvalget for det europæiske sundhedsdataområde kunne nedsætte undergrupper, der beskæftiger sig med disse to funktioner, samt andre undergrupper efter behov. For at sikre en effektiv arbejdsmetode bør de digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata oprette netværk og forbindelser på nationalt plan med andre organer og myndigheder, men også på EU-plan. Sådanne organer kan omfatte databeskyttelsesmyndigheder, cybersikkerheds-, eID- og standardiseringsorganer samt organer og ekspertgrupper i henhold til forordning (EU) 2022/868, (EU) 2023/2854 og (EU) 2024/1689 og Europa-Parlamentets og Rådets forordning (EU) 2019/881 
(
21
)
. Udvalget for det europæiske sundhedsdataområde bør fungere uafhængigt, i offentlighedens interesse og i overensstemmelse med sin adfærdskodeks.
(96)
Når der drøftes spørgsmål, som ifølge udvalget for det europæiske sundhedsdataområde er af specifik relevans, bør det kunne indbyde observatører, f.eks. Den Europæiske Tilsynsførende for Databeskyttelse, repræsentanter for EU-institutionerne, herunder for Europa-Parlamentet og andre interessenter.
(97)
Der bør oprettes et interessentforum, som skal rådgive udvalget for det europæiske sundhedsdataområde i forbindelse med varetagelsen af dets opgaver ved at bidrage med input fra interessenter i anliggender, der vedrører denne forordning. Interessentforummet bør bestå af bl.a. repræsentanter for patient- og forbrugerorganisationer, sundhedsprofessionelle, industri, videnskabelige forskere og akademikere. Det bør have en balanceret sammensætning og repræsentere forskellige relevante interessenters holdninger. Både kommercielle og ikkekommercielle interesser bør være repræsenteret.
(98)
For at sikre en korrekt daglig forvaltning af de grænseoverskridende infrastrukturer til primær anvendelse og sekundær anvendelse det nødvendigt at oprette styringsgrupper bestående af repræsentanter for medlemsstaterne. Disse styringsgrupper bør træffe operationelle beslutninger om den tekniske daglige forvaltning af de grænseoverskridende infrastrukturer og deres tekniske udvikling, herunder om tekniske ændringer af infrastrukturerne, forbedring af funktioner eller tjenester eller sikring af interoperabilitet med andre infrastrukturer, digitale systemer eller dataområder. Deres aktiviteter bør ikke omfatte bidrag til udviklingen af gennemførelsesretsakter, der påvirker disse infrastrukturer. Styringsgrupperne bør også have mulighed for at indbyde repræsentanter for andre autoriserede deltagere i HealthData@EU som observatører til deres møder og bør høre relevante eksperter, når de udfører deres opgaver.
(99)
Uden at det berører andre administrative, juridiske eller udenretslige klageadgange, bør enhver fysisk eller juridisk person have ret til at indgive klage til en digital sundhedsmyndighed eller til et organ med ansvar for adgang til sundhedsdata, hvis den fysiske eller juridiske person mener, at dennes rettigheder eller interesser i henhold til nærværende forordning er blevet berørt. Med forbehold af domstolsprøvelse bør undersøgelsen af en klage i det specifikke tilfælde foretages i det omfang, det er passende. Den digitale sundhedsmyndighed eller organet med ansvar for adgang til sundhedsdata bør underrette den fysiske eller juridiske person om forløbet og resultatet af klagen inden for en rimelig frist. Hvis sagen kræver yderligere undersøgelse eller koordinering med en anden digital sundhedsmyndighed eller et organ med ansvar for adgang til sundhedsdata, bør den fysiske eller juridiske person modtage oplysninger om, hvordan klagesagsbehandlingen skrider fremad. For at lette indgivelsen af klager bør hver digital sundhedsmyndighed og hvert organ med ansvar for adgang til sundhedsdata træffe foranstaltninger såsom at stille en klageformular til rådighed, som også kan udfyldes elektronisk, uden at den udelukker muligheden for at anvende andre kommunikationsmidler. Hvis klagen vedrører fysiske personers rettigheder i forbindelse med beskyttelsen af deres personoplysninger, videresender den digitale sundhedsmyndighed eller organet med ansvar for adgang til sundhedsdata klagen til tilsynsmyndighederne i henhold til forordning (EU) 2016/679. Digitale sundhedsmyndigheder eller organer med ansvar for adgang til sundhedsdata bør samarbejde om at behandle og løse klager, herunder ved at udveksle alle relevante oplysninger ad elektronisk vej, uden unødigt ophold.
(100)
Hvis en fysisk person finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, bør den pågældende have ret til at give et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, som er etableret i overensstemmelse med national ret, og som har vedtægtsmæssige mål af samfundsmæssig interesse, og beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage.
(101)
Den digitale sundhedsmyndighed, organet med ansvar for adgang til sundhedsdata, sundhedsdataindehaveren eller sundhedsdatabrugeren bør kompensere for enhver skade, som en fysisk eller juridisk person lider som følge af en overtrædelse af denne forordning. Begrebet »skade« bør fortolkes bredt i lyset af Den Europæiske Unions Domstolsretspraksis, således at det fuldt ud afspejler formålene for denne forordning. Dette berører ikke eventuelle erstatningskrav for skade som følge af overtrædelse af andre bestemmelser i EU-retten eller national ret. Fysiske personer bør modtage fuld og effektiv erstatning for den skade, de har lidt.
(102)
For at styrke håndhævelsen af reglerne i denne forordning bør der pålægges sanktioner, herunder administrative bøder, for overtrædelse af denne forordning i tillæg til eller i stedet for passende foranstaltninger, som organer med ansvar for adgang til sundhedsdata har pålagt i henhold til denne forordning. Pålæggelse af sanktioner, herunder administrative bøder, bør være omfattet af fornødne proceduremæssige garantier i overensstemmelse med de generelle principper i EU-retten og Den Europæiske Unions charter om grundlæggende rettigheder, herunder effektiv retsbeskyttelse og en retfærdig rettergang.
(103)
Der bør fastsættes bestemmelser, der gør det muligt for organer med ansvar for adgang til sundhedsdata at pålægge administrative bøder for visse overtrædelser af denne forordning, som i henhold til denne forordning bør betragtes som alvorlige overtrædelser, såsom reidentifikation af fysiske personer, download af personlige elektroniske sundhedsdata uden for det sikre databehandlingsmiljø eller behandling af data til forbudte anvendelser eller anvendelser, som ikke er omfattet af en datatilladelse. Denne forordning bør præcisere disse overtrædelser og maksimumsbeløb samt kriterier for fastsættelse af de tilknyttede administrative bøder, der bør bestemmes af det kompetente organ med ansvar for adgang til sundhedsdata i hvert enkelt tilfælde under hensyntagen til alle relevante omstændigheder i den specifikke situation navnlig under behørig hensyntagen til karakteren, alvoren og varigheden af overtrædelsen og dens konsekvenser og de foranstaltninger, der er truffet for at sikre overholdelse af forpligtelserne i henhold til denne forordning og for at forebygge eller begrænse følgerne af overtrædelsen. Med henblik på pålæggelsen af administrative bøder i henhold til denne forordning, bør begrebet virksomhed forstås i overensstemmelse med artikel 101 og 102 i TEUF. Det bør derfor være op til medlemsstaterne at bestemme, om og i hvilket omfang de offentlige myndigheder bør kunne pålægges administrative bøder. Pålæggelse af en administrativ bøde eller udstedelse af en advarsel bør ikke berørehåndhævelsen af øvrige beføjelser eller andre sanktioner hos organet med ansvar for adgang til sundhedsdata i henhold til denne forordning.
(104)
For at sikre at det europæiske sundhedsdataområde opfylder sine mål, bør beføjelsen til at vedtage retsakter delegeres til Kommissionen i overensstemmelse med artikel 290 i TEUF for så vidt angår ændringen, tilføjelsen eller fjernelsen i bilag I af de vigtigste karakteristika for de prioriterede kategorier af personlige elektroniske sundhedsdata, listen over de data, der kræves registreret af fabrikanterne af EPJ-systemer og wellnessapplikationer i EU-databasen for registrering af EPJ-systemer og wellnessapplikationer samt den ændring, tilføjelse eller fjernelse af elementer, som skal være omfattet af datakvalitets- og dataudnyttelsesmærket. Det er navnlig vigtigt, at Kommissionen gennemfører relevante høringer under sit forberedende arbejde, herunder på ekspertniveau, og at disse høringer gennemføres i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning 
(
22
)
. For at sikre lige deltagelse i forberedelsen af delegerede retsakter modtager Europa-Parlamentet og Rådet navnlig alle dokumenter på samme tid som medlemsstaternes eksperter, og deres eksperter har systematisk adgang til møder i Kommissionens ekspertgrupper, der beskæftiger sig med forberedelse af delegerede retsakter.
(105)
For at sikre ensartede betingelser for gennemførelsen af denne forordning bør Kommissionen tillægges gennemførelsesbeføjelser for så vidt angår:
—
tekniske specifikationer for interoperabiliteten mellem medlemsstaternes fuldmagtstjenester
—
krav til datakvaliteten for registreringen af personlige elektroniske sundhedsdata i et EPJ-system
—
grænseoverskridende specifikationer for prioriterede kategorier af personlige elektroniske sundhedsdata
—
tekniske specifikationer for de kategorier af personlige elektroniske sundhedsdata, der danner grundlag for det europæiske format for udveksling af elektroniske patientjournaler
—
ajourføringer af det europæiske format for udveksling af elektroniske patientjournaler med henblik på at integrere de relevante revisioner af kodningssystemer og nomenklaturer for sundhedsbehandling
—
tekniske specifikationer, der udvider det europæiske format for udveksling af elektroniske patientjournaler til yderligere kategorier af personlige elektroniske sundhedsdata
—
krav til den interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med forordning (EU) nr. 910/2014
—
krav til den tekniske gennemførelse af fysiske personers rettigheder i forbindelse med den primære anvendelse af deres personlige elektroniske sundhedsdata
—
nødvendige foranstaltninger til den tekniske udvikling af MyHealth@EU, detaljerede regler vedrørende sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata og de betingelser for overensstemmelseskontroller, der er nødvendige for at tilslutte sig og forblive forbundet med MyHealth@EU
—
regler vedrørende kravene til cybersikkerhed, teknisk interoperabilitet, semantisk interoperabilitet, drift og serviceforvaltning i forbindelse med Kommissionens behandling og dens ansvar over for de dataanvarlige
—
tekniske aspekter af supplerende tjenester, der leveres gennem MyHealth@EU
—
tekniske aspekter af udveksling af personlige elektroniske sundhedsdata mellem MyHealth@EU og andre tjenester eller infrastrukturer
—
tilslutning og afbrydelse af andre infrastrukturer, af nationale kontaktpunkter for digital sundhed i tredjelande eller af systemer, der er etableret på internationalt plan af internationale organisationer, til eller fra den centrale platform for interoperabilitet MyHealth@EU
—
fælles specifikationer for så vidt angår de væsentlige krav, der er fastlagt i bilag II
—
fælles specifikationer for europæiske testmiljøer
—
begrundelser for nationale foranstaltninger truffet af markedsovervågningsmyndighederne i tilfælde af EPJ-systemernes manglende overholdelse
—
format og indhold af wellnessapplikationernes mærke
—
principper for gebyrpolitikker og gebyrstrukturer vedrørende de gebyrer som organer med ansvar for adgang til sundhedsdata og betroede sundhedsdataindehavere kan opkræve for at stille elektroniske sundhedsdata til sekundær anvendelse til rådighed
—
arkitekturen for et IT-værktøj, der har til formål at støtte og gøre håndhævelsesforanstaltninger gennemsigtige for organer med ansvar for adgang til sundhedsdata
—
logoet til anerkendelse af det europæiske sundhedsdataområdes bidrag
—
modeller til ansøgningen om adgang til sundhedsdata, datatilladelsen og sundhedsdataanmodningen
—
tekniske og organisatoriske krav og krav til informationssikkerhed, fortrolighed, databeskyttelse og interoperabilitet for de sikre databehandlingsmiljøer
—
modeller for aftaler mellem dataansvarlige og databehandlere
—
afgørelser om hvorvidt et nationalt kontaktpunkt for sekundær anvendelse i et tredjeland eller et system, der er oprettet på internationalt plan af internationale organisationer, opfylder kravene i HealthData@EU med henblik på sekundær anvendelse af sundhedsdata, hvorvidt kapitel IV er overholdt og hvorvidt dette nationale kontaktpunkt for sekundær anvendelse eller dette system giver tilsvarende adgang til sundhedsdatabrugere, der befinder sig i Unionen, til de elektroniske sundhedsdata, som det har adgang til
—
krav for HealthData@EU, tekniske specifikationer og IT-arkitektur, betingelser og overensstemmelseskontrol for at tilslutte sig og forblive forbundet med HealthData@EU, minimumskriterier, som de nationale kontaktpunkter for sekundær anvendelse og de autoriserede deltagere i HealthData@EU skal opfylde, ansvarsområderne for de dataansvarlige og databehandlere, der deltager i HealthData@EU, dataansvarliges og databehandleres ansvar for det sikre behandlingsmiljø, der forvaltes af Kommissionen og fælles specifikationer for HealthData@EU arkitektur og for dets interoperabilitet med andre fælles europæiske dataområder
—
afgørelser om at lade individuelle autoriserede deltagere slutte sig til HealthData@EU
—
elementer, som sundhedsdataindehavere som minimum skal stille til rådighed for datasæt og disse elementers karakteristika
—
visuelle karakteristika og tekniske specifikationer for datakvalitets- og dataudnyttelsesmærket
—
minimumsspecifikationer for datasæt med stor indvirkning på den sekundære anvendelse
—
afgørelser om hvorvidt et tredjeland giver EU-sundhedsdataansøgere adgang til elektroniske sundhedsdata i det pågældende tredjeland på betingelser, der ikke er mere restriktive en dem, der er fastsat ved denne forordning
—
foranstaltninger, der er nødvendige for, at udvalget for det europæiske sundhedsdataområde kan oprettes og drives.
Disse beføjelser bør udøves i overensstemmelse med Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 
(
23
)
.
(106)
Medlemsstaterne bør træffe alle nødvendige foranstaltninger for at sikre, at bestemmelserne i denne forordning gennemføres, herunder ved at fastsætte sanktioner for overtrædelse heraf, som er effektive, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning. Medlemsstaterne bør i forbindelse med fastsættelsen af sanktionens beløb i den enkelte sag tage højde for de i denne forordning fastsatte grænser og kriterier. Reidentifikation af fysiske personer bør anses for at være en alvorlig overtrædelse af denne forordning.
(107)
Gennemførelsen af det europæiske sundhedsdataområde vil kræve et betydeligt udviklingsarbejde på tværs af medlemsstaterne og centrale tjenester. For at følge fremskridtene, der gøres i denne henseende, bør Kommissionen, indtil denne forordning anvendes fuldt ud, årligt aflægge rapport om disse fremskridt under hensyntagen til oplysninger fra medlemsstaterne. Disse rapporter kan indeholde anbefalinger om afhjælpende foranstaltninger samt en vurdering af de fremskridt, der er gjort.
(108)
Kommissionen bør foretage en evaluering af denne forordning med det formål at vurdere, om forordningens mål nås på effektiv vis, og om forordningen er sammenhængende, fortsat er relevant og skaber merværdi på EU-plan. Kommissionen bør foretage en målrettet evaluering af denne forordning senest otte år efter dens ikrafttræden og en samlet evaluering senest ti år efter dens ikrafttræden. Kommissionen bør forelægge en rapport om de vigtigste resultater efter hver evaluering for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget.
(109)
Med henblik på en vellykket gennemførelse af det europæiske sundhedsdataområde på tværs af grænserne bør den europæiske interoperabilitetsramme, hvis anvendelsesområde blev ajourført og udvidet ved Kommissionens meddelelse af 23. marts 2017 med titlen »Den europæiske interoperabilitetsramme — strategi for gennemførelse« for at medtage nye eller reviderede interoperabilitetskrav, betragtes som en fælles reference for at sikre juridisk, organisatorisk, semantisk og teknisk interoperabilitet.
(110)
Målene for denne forordning nemlig at styrke fysiske personer ved at give dem øget kontrol med deres personlige elektroniske sundhedsdata og støtte deres frie bevægelighed ved at sikre, at deres sundhedsdata følger dem, at fremme et ægte indre marked for digitale sundhedstjenester og -produkter og at sikre en konsekvent og effektiv ramme for videreanvendelse af fysiske personers sundhedsdata til forskning, innovation, politikudformning og reguleringsmæssige aktiviteter, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne alene gennem koordineringsforanstaltninger, som det fremgår af evalueringen af de digitale aspekter af direktiv 2011/24/EU, men kan på grund af harmonisering af foranstaltninger vedrørende fysiske personers rettigheder i forbindelse med deres elektroniske sundhedsdata, interoperabilitet mellem elektroniske sundhedsdata og en fælles ramme for og garantier for primær anvendelse og sekundær anvendelse bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 i traktaten om Den Europæiske Union. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.
(111)
Evalueringen af de digitale aspekter af direktiv 2011/24/EU viser at e-sundhedsnetværkets effektivitet er begrænset, men også at der er et stort potentiale for arbejde på EU-plan på området digital sundhed, som det arbejde, der blev gjort under Covid-19-pandemien, har vist. Direktiv 2011/24/EU bør derfor ændres i overensstemmelse hermed.
(112)
Denne forordning supplerer de væsentlige cybersikkerhedskrav, der er fastsat i forordning (EU) 2024/2847. EPJ-systemer, som er produkter med digitale elementer som omhandlet i forordning (EU) 2024/2847, bør derfor også opfylde de væsentlige cybersikkerhedskrav i nævnte forordning. Fabrikanterne af disse EPJ-systemer bør påvise overensstemmelse som krævet i nærværende forordning. For at lette denne overensstemmelse bør fabrikanterne have mulighed for at udarbejde et samlet sæt teknisk dokumentation, som indeholder de elementer, der kræves i begge retsakter. Det bør være muligt at påvise EPJ-systemers overensstemmelse med de væsentlige cybersikkerhedskrav, der er fastsat i forordning (EU) 2024/2847 gennem vurderingsrammen i henhold til nærværende forordning. De dele af overensstemmelsesvurderingsproceduren i henhold til nærværende forordning, der vedrører anvendelsen af testmiljøet, bør dog ikke anvendes, da disse testmiljøer ikke giver mulighed for en overensstemmelsesvurdering med de væsentlige cybersikkerhedskrav. Da forordning (EU) 2024/2847 ikke omfatter software-as-a-Service (SaaS) direkte som sådan, er EPJ-systemer, der tilbydes gennem SaaS-licens- og leveringsmodellen, ikke omfattet af nærværende forordnings anvendelsesområde. Tilsvarende er EPJ-systemer, der er udviklet og anvendes internt, ikke omfattet af nævnte forordnings anvendelsesområde, da de ikke bringes i omsætning.
(113)
EDPS og Databeskyttelsesrådet er blevet hørt i overensstemmelse med artikel 42, stk. 1 og 2 i forordning (EU) 2018/1725 og afgav deres fælles udtalelse den 12. juli 2022.
(114)
Denne forordning bør ikke berøre anvendelsen af konkurrencereglerne, særlig artikel 101 og 102 i TEUF. Foranstaltningerne i denne forordning bør ikke anvendes til at begrænse konkurrencen på en måde, der er i strid med TEUF.
(115)
Da der er behov for teknisk forberedelse, bør denne forordning anvendes fra den 26. marts 2027. For at støtte en vellykket gennemførelse af det europæiske sundhedsdataområde og skabelsen af effektive betingelser for det europæiske samarbejde om sundhedsdata bør gennemførelsen heraf finde sted trinvist —
VEDTAGET DENNE FORORDNING:
KAPITEL I
ALMINDELIGE BESTEMMELSER
Artikel 1
Genstand og anvendelsesområde
1.   Ved denne forordning oprettes det europæiske sundhedsdataområde med fælles regler, standarder og infrastrukturer og en forvaltningsramme med sigte på at lette adgangen til elektroniske sundhedsdata med henblik på primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af sådanne data.
2.   Denne forordning:
a)
præciserer og supplerer fysiske personers rettigheder, som fastsat i forordning (EU) 2016/679, med hensyn til primær anvendelse og sekundær anvendelse af deres personlige elektroniske sundhedsdata
b)
fastsætter fælles regler for elektroniske patientjournalsystemer (»EPJ-systemer«) i forbindelse med to obligatoriske harmoniserede softwarekomponenter, nemlig den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer som defineret i artikel 2, stk. 2, henholdsvis litra n) og o), og for wellnessapplikationer, der hævder at være interoperable med EPJ-systemer i forbindelse med disse to harmoniserede softwarekomponenter, med hensyn til primær anvendelse af elektroniske sundhedsdata
c)
fastsætter fælles regler og mekanismer for primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af elektroniske sundhedsdata
d)
etablerer en grænseoverskridende infrastruktur, der muliggør primær anvendelse af personlige elektroniske sundhedsdata i hele Unionen
e)
etablerer en grænseoverskridende infrastruktur for sekundær anvendelse af elektroniske sundhedsdata
f)
etablerer forvaltnings- og koordineringsmekanismer på EU-plan og nationalt plan for både primær anvendelse af elektroniske sundhedsdata og sekundær anvendelse af elektroniske sundhedsdata.
3.   Denne forordning berører ikke andre EU-retsakter vedrørende adgang til og deling eller sekundær anvendelse af elektroniske sundhedsdata eller EU-krav vedrørende behandling af data i forbindelse med elektroniske sundhedsdata, navnlig Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 
(
24
)
, (EU) nr. 536/2014 
(
25
)
, (EU) 2016/679, (EU) 2018/1725, (EU) 2022/868 og (EU) 2023/2854 og Europa-Parlamentets og Rådets direktiv 2002/58/EF 
(
26
)
 og (EU) 2016/943 
(
27
)
.
4.   Henvisninger i denne forordning til bestemmelserne i forordning (EU) 2016/679 skal også forstås som henvisninger til de tilsvarende bestemmelser i forordning (EU) 2018/1725, hvor det er relevant, for så vidt angår Unionens institutioner, organer, kontorer og agenturer.
5.   Denne forordning berører ikke forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, for så vidt angår sikkerheden af medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik og systemer for kunstig intelligens (AI), der interagerer med EPJ-systemer.
6.   Denne forordning berører ikke EU-ret eller national ret vedrørende behandling af elektroniske sundhedsdata med henblik på indberetning, efterkommelse af anmodninger om adgang til oplysninger eller påvisning eller verifikation af overholdelse af retlige forpligtelser og ej heller EU-retten eller national ret vedrørende indrømmelse af adgang til og videregivelse af officielle dokumenter.
7.   Denne forordning berører ikke specifikke bestemmelser i EU-retten eller national ret, der giver adgang til elektroniske sundhedsdata med henblik på viderebehandling af medlemsstaternes offentlige myndigheder, af Unionens institutioner, organer, kontorer og agenturer eller af private enheder, der i henhold til EU-retten eller national ret har fået overdraget en opgave af offentlig interesse med henblik på at udføre en sådan opgave.
8.   Denne forordning berører ikke adgang til elektroniske sundhedsdata til sekundær anvendelse, der er aftalt inden for rammerne af kontraktlige eller administrative ordninger mellem offentlige eller private enheder.
9.   Denne forordning gælder ikke for behandling af personoplysninger i følgende tilfælde:
a)
hvis behandlingen udføres som led i en aktivitet, der falder uden for EU-rettens anvendelsesområde
b)
hvis behandlingen udføres af kompetente myndigheder med henblik på forebyggelse, efterforskning, afsløring eller retsforfølgelse af strafbare handlinger eller fuldbyrdelse af strafferetlige sanktioner, herunder beskyttelse mod og forebyggelse af trusler mod den offentlige sikkerhed.
Artikel 2
Definitioner
1.   I denne forordning forstås ved:
a)
definitionerne af »personoplysninger«, »behandling«, »pseudonymisering«, »dataansvarlig«, »databehandler«, »tredjepart«, »samtykke«, »genetiske data«, »helbredsoplysninger« og »international organisation« som fastsat i artikel 4, henholdsvis nr. 1), 2), 5), 7), 8), 10), 11), 13), 15) og 26), i forordning (EU) 2016/679
b)
definitionerne af »sundhedsydelser«, »forsikringsmedlemsstat«, »behandlingsmedlemsstat«, »sundhedsprofessionel«, »sundhedstjenesteyder«, »lægemiddel« og »recept« som fastsat i artikel 3, henholdsvis litra a), c), d), f), g), i) og k), i direktiv 2011/24/EU
c)
definitionerne af »data«, »adgang«, »dataaltruisme«, »offentlig myndighed« og »sikkert databehandlingsmiljø« som fastsat i artikel 2, henholdsvis nr. 1), 13), 16), 17) og 20), i forordning (EU) 2022/868
d)
definitionerne af »gøre tilgængelig på markedet«, »bringe i omsætning«, »markedsovervågning«, »markedsovervågningsmyndighed«, »manglende overensstemmelse«, »fabrikant«, »importør«, »distributør«, »erhvervsdrivende«, »korrigerende tiltag«, »tilbagekaldelse« og »tilbagetrækning« som fastsat i artikel 3, henholdsvis nr. 1), 2), 3), 4), 7), 8), 9), 10), 13), 16), 22) og 23), i forordning (EU) 2019/1020
e)
definitionerne af »medicinsk udstyr«, »erklæret formål«, »brugsanvisning«, »ydeevne«, »sundhedsinstitution« og »fælles specifikationer« som fastsat i artikel 2, henholdsvis nr. 1), 12), 14), 22), 36) og 71), i forordning (EU) 2017/745
f)
definitionerne af »elektronisk identifikation« og »elektronisk identifikationsmiddel« som fastsat i artikel 3, henholdsvis nr. 1) og 2), i forordning (EU) nr. 910/2014
g)
definitionen af »ordregivende myndigheder« som fastsat i artikel 2, stk. 1, nr. 1), i Europa-Parlamentets og Rådets direktiv 2014/24/EU 
(
28
)
h)
definitionen af »folkesundhed« som fastsat i artikel 3, litra c), i Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 
(
29
)
.
2.   I denne forordning forstås desuden ved:
a)
»personlige elektroniske sundhedsdata«: helbredsoplysninger og genetiske data, som behandles i elektronisk form
b)
»andre elektroniske sundhedsdata end personoplysninger«: elektroniske sundhedsdata, som ikke er personlige elektroniske sundhedsdata, herunder både data, der er blevet anonymiseret, således at de ikke længere vedrører en identificeret eller identificerbar fysisk person (»den registrerede«), og data, der aldrig har haft forbindelse til en registreret
c)
»elektroniske sundhedsdata«: personlige elektroniske sundhedsdata eller andre elektroniske sundhedsdata end personoplysninger
d)
»primær anvendelse«: behandling af elektroniske sundhedsdata for at levere sundhedsydelser med henblik på at vurdere, vedligeholde eller genoprette sundhedstilstanden for den fysiske person, som disse data vedrører, herunder ordinering, udlevering og levering af lægemidler og medicinsk udstyr, samt for relevante sociale tjenester, administrative tjenester eller refusionstjenester
e)
»sekundær anvendelse«: behandling af elektroniske sundhedsdata til de formål, der er fastsat i kapitel IV i denne forordning, bortset fra de oprindelige formål, hvortil de blev indsamlet eller frembragt
f)
»interoperabilitet«: den evne, som organisationer samt softwareapplikationer eller -udstyr fra den samme fabrikant eller forskellige fabrikanter har til at interagere gennem de processer, de understøtter, herunder udveksling af oplysninger og viden uden at ændre indholdet af dataene mellem disse organisationer, softwareapplikationer eller -udstyr
g)
»registrering af elektroniske sundhedsdata«: registrering af sundhedsdata i elektronisk format, gennem manuel indlæsning af sådanne data, gennem indsamling af sådanne data ved hjælp af udstyr eller ved konvertering af ikkeelektroniske sundhedsdata til et elektronisk format, der skal behandles i et EPJ-system eller en wellnessapplikation
h)
»tjeneste for adgang til elektroniske sundhedsdata«: en onlinetjeneste såsom en portal eller en applikation til mobile enheder, der gør det muligt for fysiske personer, der ikke handler som led i deres erhverv, at få adgang til deres egne elektroniske sundhedsdata eller elektroniske sundhedsdata for de fysiske personer, hvis elektroniske sundhedsdata de er lovligt autoriseret til at få adgang til
i)
»adgangstjeneste for sundhedsprofessionelle«: en tjeneste, der understøttes af et EPJ-system, og som gør det muligt for sundhedsprofessionelle at få adgang til data om fysiske personer under deres behandling
j)
»elektronisk patientjournal« eller »EPJ«: en samling af elektroniske sundhedsdata vedrørende en fysisk person, der indsamles i sundhedssystemet, og som behandles med henblik på levering af sundhedsydelser
k)
»elektronisk patientjournalsystem« eller »EPJ-system«: ethvert system, hvorved softwaren eller en kombination af systemets hardware og software gør det muligt at lagre, formidle, eksportere, importere, konvertere, redigere eller se personlige elektroniske sundhedsdata, der tilhører de prioriterede kategorier af personlige elektroniske sundhedsdata som fastsat i denne forordning, og som af fabrikanten er beregnet til at blive anvendt af sundhedstjenesteydere i forbindelse med levering af patientpleje eller af patienter til at få adgang til deres elektroniske sundhedsdata
l)
»ibrugtagning«: første anvendelse i Unionen af et EPJ-system, der er omfattet af denne forordning, i overensstemmelse med dets erklærede formål
m)
»softwarekomponent«: en særskilt del af software, der har en specifik funktionalitet eller udfører specifikke funktioner eller procedurer, og som kan fungere selvstændigt eller sammen med andre komponenter
n)
»europæisk interoperabilitetssoftwarekomponent for EPJ-systemer«: en softwarekomponent i EPJ-systemet, som leverer og modtager personlige elektroniske sundhedsdata under en prioriteret kategori til primær anvendelse, der er fastsat i henhold til denne forordning i det europæiske format til udveksling af elektroniske patientjournaler, der er fastsat i denne forordning, og som er uafhængig af den europæiske logningssoftwarekomponent til EPJ-systemer
o)
»europæisk logningssoftwarekomponent for EPJ-systemer«: en softwarekomponent i EPJ-systemet, der giver logningsoplysninger vedrørende sundhedsprofessionelles eller andre personers adgang til prioriterede kategorier af personlige elektroniske sundhedsdata, der er fastsat i denne forordning, i det format, der er defineret i punkt 3.2 i bilag II hertil, og som er uafhængig af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer
p)
»CE-overensstemmelsesmærkning«: mærkning, hvormed fabrikanten angiver, at EPJ-systemet er i overensstemmelse med alle gældende krav i denne forordning og anden gældende EU-ret om anbringelse af denne mærkning i henhold til Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 
(
30
)
q)
»risiko«: kombinationen af sandsynligheden for, at der indtræffer en fare, der forårsager skade på sundhed, sikkerhed eller informationssikkerhed, og alvoren af en sådan skade
r)
»alvorlig hændelse«: enhver funktionsfejl eller forringelse af karakteristika eller ydeevne for et EPJ-system, der er gjort tilgængeligt på markedet, og som direkte eller indirekte fører til, kan have ført til eller kan føre til enten:
i)
en fysisk persons død eller alvorlig skade på en fysisk persons helbred
ii)
alvorlig skade på en fysisk persons rettigheder
iii)
alvorlige forstyrrelser i forvaltningen og driften af kritisk infrastruktur i sundhedssektoren
s)
»pleje«: en professionel tjenesteydelse, der har til formål at imødekomme de særlige behov hos en fysisk person, der på grund af funktionsnedsættelse eller andre fysiske eller mentale forhold har behov for hjælp, herunder forebyggende og understøttende foranstaltninger, til at udføre væsentlige daglige aktiviteter for at støtte vedkommendes personlige autonomi
t)
»sundhedsdataindehaver«: enhver fysisk eller juridisk person, enhver offentlig myndighed, ethvert agentur eller ethvert andet organ inden for sundheds- eller plejesektoren, herunder refusionstjenester, når det er nødvendigt, samt enhver fysisk eller juridisk person, der udvikler produkter eller tjenesteydelser til sundheds-, sundhedsydelses- eller plejesektoren, udvikler eller fremstiller wellnessapplikationer, udfører forskning i sundheds- eller plejesektoren, eller fungerer som dødelighedsregister, samt enhver EU-institution eller ethvert EU-organ, -kontor eller -agentur, som enten:
i)
i overensstemmelse med gældende EU-ret eller national ret har ret eller pligt til i sin egenskab af dataansvarlig eller fælles dataansvarlig at behandle personlige elektroniske sundhedsdata med henblik på levering af sundhedsydelser eller pleje eller med henblik på folkesundhed, refusion, forskning, innovation, politikudformning, officielle statistikker eller patientsikkerhed eller til reguleringsmæssige formål, eller
ii)
har evne til at stille andre elektroniske sundhedsdata end personoplysninger til rådighed gennem kontrol af den tekniske udformning af et produkt og relaterede tjenester, herunder ved at registrere, give, begrænse adgangen til eller udveksle sådanne data.
u)
»sundhedsdatabruger«: en fysisk eller juridisk person, herunder Unionens institutioner, organer, kontorer eller agenturer, som har fået lovlig adgang til elektroniske sundhedsdata til sekundær anvendelse i henhold til en datatilladelse, en godkendelse af en sundhedsdataanmodning, eller en adgangsgodkendelse fra en autoriseret deltager i MyHealth@EU
v)
»datatilladelse«: en administrativ afgørelse udstedt til en sundhedsdatabruger af et organ med ansvar for adgang til sundhedsdata med henblik på behandling af visse elektroniske sundhedsdata, der er angivet i datatilladelsen, til specifikke sekundære formål på grundlag af de betingelser, der er fastsat i denne forordnings kapitel IV
w)
»datasæt«: en struktureret samling af elektroniske sundhedsdata
x)
»datasæt med stor indvirkning på sekundær anvendelse«: et datasæt, hvis videreanvendelse er forbundet med betydelige fordele på grund af dets relevans for sundhedsforskning
y)
»datasætkatalog«: en samling beskrivelser af datasæt struktureret systematisk og omfattende en brugerorienteret offentlig del, i hvilken oplysninger om individuelle datasætparametre er tilgængelige ad elektronisk vej via en onlineportal
z)
»datakvalitet«: i hvor høj grad dele af elektroniske sundhedsdata egner sig til deres tilsigtede primære anvendelse og sekundære anvendelse
aa)
»datakvalitets- og dataudnyttelsesmærke«: et grafisk diagram, herunder en skala, der beskriver datakvaliteten og betingelserne for udnyttelse af et datasæt
ab)
»wellnessapplikation«: enhver software eller enhver kombination af hardware og software, som af fabrikanten er beregnet til at blive anvendt af en fysisk person til behandling af elektroniske sundhedsdata, specifikt til at give oplysninger om fysiske personers sundhed, eller med henblik på levering af pleje med andre formål end levering af sundhedsydelser.
KAPITEL II
PRIMÆR ANVENDELSE
AFDELING 1
Fysiske personers rettigheder i forbindelse med den primære anvendelse af deres personlige elektroniske sundhedsdata og beslægtede bestemmelser
Artikel 3
Fysiske personers ret til adgang til deres personlige elektroniske sundhedsdata
1.   Fysiske personer har som minimum ret til at få adgang til personlige elektroniske sundhedsdata, der vedrører dem, og som tilhører de i artikel 14 omhandlede prioriterede kategorier, og som behandles med henblik på levering af sundhedsydelser gennem de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata. Adgangen gives straks efter, at de personlige elektroniske sundhedsdata er blevet registreret i et EPJ-system, samtidig med at behovet for teknologisk gennemførlighed respekteres, og den gives gratis i et letlæseligt, konsolideret og tilgængeligt format.
2.   Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, har ret til gratis at downloade en elektronisk kopi af som minimum de elektroniske sundhedsdata i de i artikel 14 omhandlede prioriterede kategorier vedrørende disse fysiske personer gennem de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata, i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler.
3.   I overensstemmelse med artikel 23 i forordning (EU) 2016/679 kan medlemsstaterne begrænse rækkevidden af de i nærværende artikels stk. 1 og 2 fastsatte rettigheder, navnlig når disse begrænsninger er nødvendige for at beskytte fysiske personer på grundlag af patientsikkerhed og etiske overvejelser, ved at forsinke adgangen til deres personlige elektroniske sundhedsdata i en begrænset periode, indtil en sundhedsprofessionel er i stand til at videregive og forklare de berørte fysiske personer oplysninger, der kan have en betydelig indvirkning på deres helbred.
Artikel 4
Tjenester for adgang til elektroniske sundhedsdata for fysiske personer og deres repræsentanter
1.   Medlemsstaterne sikrer, at der oprettes en eller flere tjenester for adgang til elektroniske sundhedsdata på nationalt, regionalt eller lokalt plan, hvorved fysiske personer sættes i stand til at få adgang til deres personlige elektroniske sundhedsdata og udøve deres rettigheder, der er fastsat i artikel 3 og 5-10. Sådanne tjenester for adgang til elektroniske sundhedsdata skal være gratis for fysiske personer og deres repræsentanter, der er omhandlet i nærværende artikels stk. 2.
2.   Medlemsstaterne sikrer, at en eller flere fuldmagtstjenester etableres som en funktionalitet i forbindelse med tjenester for adgang til elektroniske sundhedsdata, der gør det muligt for:
a)
fysiske personer at bemyndige andre fysiske personer efter eget valg til at få adgang til deres personlige elektroniske sundhedsdata eller dele heraf på deres vegne i en begrænset eller ubegrænset periode og, hvis det er nødvendigt, udelukkende til et specifikt formål, og til at forvalte disse tilladelser, og
b)
fysiske personers retlige repræsentanter at få adgang til personlige elektroniske sundhedsdata for disse fysiske personer, hvis anliggender de administrerer, i overensstemmelse med national ret.
Medlemsstaterne fastsætter regler for de i første afsnit, litra a), omhandlede tilladelser og værgers og andre retlige repræsentanters handlinger.
3.   Den i stk. 2 omhandlede fuldmagtstjeneste udsteder gratis fuldmagter på gennemsigtig og let forståelig vis og elektronisk eller på papir. Fysiske personer og deres repræsentanter skal oplyses om deres fuldmagtsrettigheder, herunder om hvordan de udøver disse rettigheder, og om fuldmagtsprocessen.
Fuldmagtstjenesterne skal sikre en let klagemekanisme for fysiske personer.
4.   De i denne artikels stk. 2 omhandlede fuldmagtstjenester skal være interoperable mellem medlemsstaterne. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske specifikationer for interoperabiliteten mellem medlemsstaternes fuldmagtstjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
5.   Tjenesterne for adgang til elektroniske sundhedsdata og fuldmagtstjenesterne skal være let tilgængelige for personer med handicap, sårbare grupper og personer med lav digital færdighed.
Artikel 5
Fysiske personers ret til at indsætte oplysninger i deres egen EPJ
Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, har ret til at indsætte oplysninger i disse fysiske personers EPJ gennem tjenester for adgang til elektroniske sundhedsdata eller applikationer, der er knyttet til disse tjenester som omhandlet i nævnte artikel. Disse oplysninger markeres tydeligt som indsat af den fysiske person eller dennes repræsentant. Fysiske personer eller deres repræsentanter omhandlet i artikel 4, stk. 2, må ikke direkte kunne ændre de elektroniske sundhedsdata og tilhørende oplysninger, der er indsat af sundhedsprofessionelle.
Artikel 6
Fysiske personers ret til berigtigelse
De i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata gør det nemt for fysiske personer online at anmode om berigtigelse af deres personlige elektroniske sundhedsdata i overensstemmelse med artikel 16 i forordning (EU) 2016/679. Hvis det er relevant, verificerer den dataansvarlige nøjagtigheden af oplysningerne i anmodningen med en relevant sundhedsprofessionel.
Medlemsstaternes kan også gøre det muligt for fysiske personer at udøve andre rettigheder online i henhold til kapitel III i forordning (EU) 2016/679 gennem tjenester for adgang til elektroniske sundhedsdata.
Artikel 7
Fysiske personers ret til dataportabilitet
1.   Fysiske personer har ret til straks at give adgang til eller til at anmode en sundhedstjenesteyder om at overføre alle eller en del af deres personlige elektroniske sundhedsdata til en anden sundhedstjenesteyder efter eget valg, gratis og uden hindringer fra sundhedstjenesteyderen eller fra fabrikanterne af de systemer, der anvendes af den pågældende sundhedstjenesteyder.
2.   Fysiske personer har ret til, hvis sundhedstjenesteyderne befinder sig i forskellige medlemsstater, at anmode om overførsel af deres personlige elektroniske sundhedsdata i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler, gennem den i artikel 23 omhandlede grænseoverskridende infrastruktur. Den modtagende sundhedstjenesteyder skal acceptere sådanne data og skal kunne læse dem.
3.   Fysiske personer har ret til at anmode en sundhedstjenesteyder om at overføre en del af deres personlige elektroniske sundhedsdata til en klart identificeret modtager i sektoren for socialsikrings- eller refusionstjenester. En sådan overførsel udføres straks, gratis og uden hindringer fra sundhedstjenesteyderen eller fra fabrikanterne af de systemer, der anvendes af den pågældende sundhedstjenesteyder, og skal udelukkende være en envejsoverførsel.
4.   Hvis fysiske personer har downloadet en elektronisk kopi af deres prioriterede kategorier af personlige elektroniske sundhedsdata i overensstemmelse med artikel 3, stk. 2, skal de kunne overføre disse data til sundhedstjenesteydere efter eget valg i det i artikel 15 omhandlede europæiske format for udveksling af elektroniske patientjournaler. Den modtagende sundhedstjenesteyder skal acceptere sådanne data og være i stand til at læse dem, alt efter hvad der er relevant.
Artikel 8
Ret til at begrænse adgang
Fysiske personer har ret til at begrænse adgangen for sundhedsprofessionelle og sundhedstjenesteydere til alle eller dele af deres personlige elektroniske sundhedsdata, jf. artikel 3.
Ved udøvelsen af den i stk. 1 omhandlede ret, gøres fysiske personer opmærksomme på, at en begrænsning af adgangen eventuelt kan påvirke leveringen af sundhedsydelser til dem.
Det faktum, at en fysisk person har begrænset adgangen i henhold til stk. 1, må ikke være synligt for sundhedstjenesteyderne.
Medlemsstaterne fastsætter regler og specifikke garantier vedrørende sådanne begrænsningsmekanismer.
Artikel 9
Ret til at få oplysninger om adgang til data
1.   Fysiske personer har ret til at få oplysninger, herunder gennem automatiske meddelelser, om enhver adgang til deres personlige elektroniske sundhedsdata gennem adgangstjenesten for sundhedsprofessionelle i forbindelse med sundhedsydelser, herunder adgang i overensstemmelse med artikel 11, stk. 5.
2.   De i stk. 1 omhandlede oplysninger gives gratis og uden forsinkelse gennem tjenester for adgang til elektroniske sundhedsdata og skal være tilgængelige i mindst tre år fra hver dato for adgang til dataene. Disse oplysninger skal som minimum omfatte følgende:
a)
oplysninger om sundhedstjenesteyderen eller andre individer, der har fået adgang til de personlige elektroniske sundhedsdata
b)
datoen og tidspunktet for adgangen
c)
hvilke personlige elektroniske sundhedsdata, der blev tilgået.
3.   Medlemsstater kan fastsætte begrænsninger for den i stk. 1 omhandlede rettighed i særlige tilfælde, hvor der er faktuelle indikationer på, at en videregivelse vil udgøre en risiko for den sundhedsprofessionelles vitale interesser eller rettigheder eller for den fysiske persons behandling.
Artikel 10
Fysiske personers ret til fravalg af primær anvendelse
1.   Medlemsstaternes lovgivning kan fastsætte, at fysiske personer har ret til at fravælge adgangen til deres personlige elektroniske sundhedsdata, der er registreret i et EPJ-system, gennem de i artikel 4 og 12 omhandlede tjenester for adgang til elektroniske sundhedsdata. I sådanne tilfælde sikrer medlemsstaterne, at udøvelsen af denne ret er reversibel.
2.   Hvis en medlemsstat indfører en rettighed omhandlet i denne artikels stk. 1, fastsætter den regler og specifikke garantier vedrørende fravalgsmekanismen. Medlemsstaterne kan navnlig give en sundhedstjenesteyder eller sundhedsprofessionel mulighed for at få adgang til de personlige elektroniske sundhedsdata i tilfælde, hvor behandling er nødvendig for at beskytte den registreredes eller en anden fysisk persons vitale interesser, jf. artikel 9, stk. 2, litra c), i forordning (EU) 2016/679, selv om patienten har udøvet retten til at fravælge primær anvendelse.
Artikel 11
Sundhedsprofessionelles adgang til personlige elektroniske sundhedsdata
1.   Hvis sundhedsprofessionelle behandler data i et elektronisk format, skal de have adgang til de relevante og nødvendige personlige elektroniske sundhedsdata for fysiske personer, som de behandler, gennem de i artikel 12 omhandlede adgangstjenester for sundhedsprofessionelle, uanset forsikringsmedlemsstaten og behandlingsmedlemsstaten.
2.   Hvis forsikringsmedlemsstaten for den fysiske person, der behandles, og behandlingsmedlemsstaten for en sådan fysisk person er forskellige, gives der grænseoverskridende adgang til de personlige elektroniske sundhedsdata for den fysiske person, der behandles, gennem den i artikel 23 omhandlede grænseoverskridende infrastruktur.
3.   Den i denne artikels stk. 1 og 2 omhandlede adgang skal som minimum indeholde de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata.
I overensstemmelse med principperne i artikel 5 i forordning (EU) 2016/679 fastsætter medlemsstaterne regler for de kategorier af personlige elektroniske sundhedsdata, der er tilgængelige for forskellige kategorier af sundhedsprofessionelle eller for forskellige sundhedsydelsesopgaver. Sådanne regler skal tage hensyn til muligheden for begrænsninger, der pålægges i henhold til nærværende forordnings artikel 8.
4.   I tilfælde af behandling i en anden medlemsstat end forsikringsmedlemsstaten gælder behandlingsmedlemsstatens regler, jf. stk. 3.
5.   Hvis en fysisk person har begrænset adgangen til personlige elektroniske sundhedsdata i henhold til artikel 8, må sundhedstjenesteyderen eller den sundhedsprofessionelle ikke oplyses om det indhold af disse data, hvortil adgangen er blevet begrænset.
Uanset artikel 8, stk. 1, kan sundhedstjenesteyderen eller den sundhedsprofessionelle, hvis det er nødvendigt for at beskytte den registreredes vitale interesser, gives adgang til de begrænsede elektroniske sundhedsdata. Sådanne tilfælde skal logges i et klart og forståeligt format og være let tilgængelige for den registrerede.
Medlemsstaterne kan foreskrive yderligere garantier.
Artikel 12
Adgangstjenester for sundhedsprofessionelle
Med henblik på levering af sundhedsydelser sikrer medlemsstaterne, at sundhedsprofessionelle kan få gratis adgang til de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, herunder i forbindelse med grænseoverskridende sundhedsydelser, gennem adgangstjenester for sundhedsprofessionelle.
De tjenester, der er omhandlet i denne artikels stk. 1, må kun være tilgængelige for sundhedsprofessionelle, som er i besiddelse af elektroniske identifikationsmidler, der er anerkendt i henhold til artikel 6 i forordning (EU) nr. 910/2014, eller andre elektroniske identifikationsmidler, der er i overensstemmelse med de i nærværende forordnings artikel 36 omhandlede fælles specifikationer.
Personlige elektroniske sundhedsdata præsenteres på en brugervenlig måde i de elektroniske patientjournaler, så de er nemme at bruge for sundhedsprofessionelle.
Artikel 13
Registrering af personlige elektroniske sundhedsdata
1.   Medlemsstaterne sikrer, at sundhedstjenesteydere, når der behandles elektroniske sundhedsdata med henblik på levering af sundhedsydelser, registrerer de relevante personlige elektroniske sundhedsdata, der helt eller delvis falder ind under de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, i et elektronisk format i et EPJ-system.
2.   Ved behandling af data i elektronisk format, sikrer sundhedstjenesteyderne, at de personlige elektroniske sundhedsdata for de fysiske personer, som de behandler, ajourføres med oplysninger om sundhedsydelserne.
3.   Hvis personlige elektroniske sundhedsdata er registreret i en behandlingsmedlemsstat, som er forskellige fra den berørte fysiske persons forsikringsmedlemsstat, sikrer behandlingsmedlemsstaten, at registreringen foretages under identifikationsdataene for den fysiske person i forsikringsmedlemsstaten.
4.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter krav til datakvaliteten, herunder i forhold til semantik, ensartethed, konsistens, nøjagtighed og fuldstændighed, for registreringen af personlige elektroniske sundhedsdata i et EPJ-system, alt efter hvad der er relevant. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Når personlige elektroniske sundhedsdata registreres eller ajourføres, skal de elektroniske patientjournaler identificere den sundhedsprofessionelle og den sundhedstjenesteyder, der foretog en sådan registrering eller ajourføring, og det tidspunkt, hvor en sådan registrering eller ajourføring blev foretaget. Medlemsstaterne kan kræve, at andre aspekter af dataregistreringen skal registreres.
Artikel 14
Prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse
1.   Med henblik på dette kapitel er de prioriterede kategorier af personlige elektroniske sundhedsdata, når data behandles i elektronisk format, følgende:
a)
patientresuméer
b)
elektroniske recepter
c)
elektroniske lægemiddeludleveringer
d)
medicinsk billeddiagnostik og tilhørende billedrapporter
e)
resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter, og
f)
udskrivningsrapporter.
De vigtigste karakteristika for de prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse er fastsat i bilag I.
Medlemsstaterne kan i deres nationale ret fastsætte yderligere kategorier af personlige elektroniske sundhedsdata, der skal tilgås og udveksles til primær anvendelse i henhold til dette kapitel.
Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte grænseoverskridende specifikationer for de i dette stykkes tredje afsnit omhandlede kategorier af personlige elektroniske sundhedsdata i henhold til artikel 15, stk. 3, og artikel 23, stk. 8. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre denne forordning ved at ændre bilag I gennem tilføjelse, ændring eller fjernelse af de vigtigste karakteristika for de i stk. 1 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, forudsat at ændringerne har til formål at tilpasse de prioriterede kategorier af personlige elektroniske sundhedsdata til den tekniske udvikling og internationale standarder. Tilføjelser og ændringer af disse karakteristika skal desuden opfylde begge følgende kriterier:
a)
karakteristika er relevante for sundhedsydelser, der leveres til fysiske personer
b)
de ændrede karakteristika anvendes i de fleste medlemsstater i henhold til de seneste oplysninger.
Artikel 15
Europæisk format for udveksling af elektroniske patientjournaler
1.   Senest den 26. marts 2027 fastlægger Kommissionen ved hjælp af gennemførelsesretsakter de tekniske specifikationer for de i artikel 14, stk. 1, omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, der fastsætter det europæiske format for udveksling af elektroniske patientjournaler. Et sådant format skal være almindeligt anvendt, maskinlæsbart og gøre det muligt at overføre personlige elektroniske sundhedsdata mellem forskellige softwareapplikationer, -enheder og sundhedstjenesteydere. Et sådant format skal understøtte overførsel af strukturerede og ustrukturerede sundhedsdata og skal indeholde følgende elementer:
a)
harmoniserede datasæt, der indeholder elektroniske sundhedsdata og definerer strukturer såsom datafelter og datagrupper for beskrivelse af klinisk indhold og andre dele af de elektroniske sundhedsdata
b)
kodningssystemer og -værdier, der skal anvendes i datasæt, der indeholder elektroniske sundhedsdata
c)
tekniske specifikationer for interoperabilitet for udveksling af elektroniske sundhedsdata, herunder indholdsbeskrivelse, standarder og profiler.
De i dette stykkes første afsnit omhandlede gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen sørger ved hjælp af gennemførelsesretsakter for regelmæssige ajourføringer af det europæiske format for udveksling af elektroniske patientjournaler med henblik på at integrere de relevante revisioner af kodningssystemer og nomenklaturer for sundhedsbehandling. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte tekniske specifikationer for at udvide det europæiske format for udveksling af elektroniske patientjournaler til de i artikel 14, stk. 1, tredje afsnit, omhandlede yderligere kategorier af personlige elektroniske sundhedsdata. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
4.   Medlemsstaterne sikrer, at de i artikel 14 omhandlede prioriterede kategorier af personlige elektroniske sundhedsdata, er udstedt i det i nærværende artikels stk. 1 omhandlede europæiske format for udveksling af elektroniske patientjournaler. Hvis sådanne data overføres ad automatiseret vej til primær anvendelse, skal den modtagende udbyder acceptere dataenes format og være i stand til at læse dem.
Artikel 16
Identifikationsstyring
1.   Hvis fysiske personer anvender de i artikel 4 omhandlede tjenester for adgang til elektroniske sundhedsdata, har disse fysiske personer ret til selv at identificere sig elektronisk ved hjælp af ethvert elektronisk identifikationsmiddel, der er anerkendt i henhold til artikel 6 i forordning (EU) nr. 910/2014. Medlemsstaterne kan indføre supplerende mekanismer for at sikre passende identitetssammenkobling i grænseoverskridende situationer.
2.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter kravene til den interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med forordning (EU) nr. 910/2014. Denne mekanisme skal gøre det lettere at overføre personlige elektroniske sundhedsdata i en grænseoverskridende sammenhæng. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Kommissionen implementerer i samarbejde med medlemsstaterne de tjenester, der kræves til den i denne artikels stk. 2 omhandlede interoperable, grænseoverskridende identifikations- og autentifikationsmekanisme, på EU-plan som en del af den i artikel 23 omhandlede grænseoverskridende infrastruktur.
4.   Medlemsstaternes kompetente myndigheder og Kommissionen implementerer den interoperable grænseoverskridende identifikations- og autentifikationsmekanisme på henholdsvis medlemsstatsplan og EU-plan.
Artikel 17
Krav til teknisk gennemførelse
Kommissionen fastsætter ved hjælp af gennemførelsesretsakter kravene til den tekniske gennemførelse af de rettigheder, der er fastsat i denne afdeling.
Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 18
Kompensation for at stille personlige elektroniske sundhedsdata til rådighed
Udbydere, der modtager data i henhold til dette kapitel, er ikke forpligtede til at kompensere sundhedstjenesteyderen for at stille personlige elektroniske sundhedsdata til rådighed. En sundhedstjenesteyder eller en tredjepart kan ikke direkte eller indirekte opkræve et gebyr eller omkostninger eller kræve kompensation for deling af eller adgang til data hos de registrerede.
AFDELING 2
Forvaltning af primær anvendelse
Artikel 19
Digitale sundhedsmyndigheder
1.   Hver medlemsstat udpeger en eller flere digitale sundhedsmyndigheder, der er ansvarlige for gennemførelsen og håndhævelsen af dette kapitel på nationalt plan. Medlemsstaten underretter Kommissionen om identiteten på de nationale digitale sundhedsmyndigheder senest den 26. marts 2027. Hvis en medlemsstat udpeger mere end en digital sundhedsmyndighed, eller hvis denne digitale sundhedsmyndighed består af flere organisationer, sender den pågældende medlemsstat Kommissionen en beskrivelse af fordelingen af opgaver mellem disse forskellige myndigheder eller organisationer. Hvis en medlemsstat udpeger flere digitale sundhedsmyndigheder, udpeger den én digital sundhedsmyndighed til at fungere som koordinator. Kommissionen gør disse oplysninger offentligt tilgængelige.
2.   Hver digital sundhedsmyndighed har følgende opgaver og beføjelser:
a)
sikre gennemførelsen af de i dette kapitel og kapitel III omhandlede rettigheder og forpligtelser, ved at indføre de nødvendige nationale, regionale eller lokale tekniske løsninger og ved at fastsætte relevante regler og mekanismer
b)
sikre, at fuldstændige og ajourførte oplysninger om gennemførelsen af de rettigheder og forpligtelser, der er fastsat i dette kapitel og i kapitel III, stilles til rådighed for fysiske personer, sundhedsprofessionelle og sundhedstjenesteydere
c)
ved gennemførelsen af de i dette stykkes litra a) omhandlede tekniske løsninger sikre, at sådanne tekniske løsninger stemmer overens med dette kapitel, kapitel III og bilag II
d)
på EU-plan bidrage til udviklingen af tekniske løsninger, der sætter fysiske personer og sundhedsprofessionelle i stand til at udøve deres rettigheder og overholde deres forpligtelser fastsat i dette kapitel
e)
gøre det lettere for personer med handicap at udøve deres rettigheder i henhold til dette kapitel i overensstemmelse med Europa-Parlamentets og Rådets direktiv (EU) 2019/882 
(
31
)
f)
føre tilsyn med de nationale kontaktpunkter for digital sundhed og samarbejde med andre digitale sundhedsmyndigheder og Kommissionen om videreudvikling af MyHealth@EU
g)
sikre gennemførelsen på nationalt plan af det europæiske format for udveksling af elektroniske patientjournaler i samarbejde med nationale myndigheder og interessenter
h)
på EU-plan bidrage til udviklingen af det europæiske format for udveksling af elektroniske patientjournaler, til udarbejdelsen i overensstemmelse med artikel 36 af fælles specifikationer vedrørende kvalitet, interoperabilitet, sikkerhed, brugervenlighed, tilgængelighed, ikkeforskelsbehandling eller grundlæggende rettigheder og til udarbejdelsen af specifikationerne i den i artikel 49 omhandlede EU-database for registrering af EPJ-systemer og wellnessapplikationer
i)
hvor det er relevant, udføre markedsovervågningsaktiviteter i overensstemmelse med artikel 43, samtidig med at det sikres, at eventuelle interessekonflikter undgås
j)
opbygge national kapacitet til at gennemføre krav vedrørende interoperabilitet og sikkerhed i elektroniske sundhedsdata til primær anvendelse og deltage i informationsudveksling og kapacitetsopbygningsaktiviteter på EU-plan
k)
samarbejde med markedsovervågningsmyndighederne, deltage i aktiviteter vedrørende håndtering af risici i forbindelse med EPJ-systemer og af alvorlige hændelser og føre tilsyn med gennemførelsen af korrigerende tiltag i overensstemmelse med artikel 44
l)
samarbejde med andre relevante enheder og organer på lokalt, regionalt, nationalt plan eller EU-plan for at sikre interoperabilitet, portabilitet og sikkerhed i forbindelse med elektroniske sundhedsdata
m)
samarbejde med tilsynsmyndigheder i overensstemmelse med forordning (EU) nr. 910/2014 og (EU) 2016/679 og Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 
(
32
)
 og med andre relevante myndigheder, herunder dem, der er kompetente med hensyn til cybersikkerhed og elektronisk identifikation.
3.   Hver medlemsstat sikrer, at hver digital sundhedsmyndighed råder over de menneskelige, tekniske og økonomiske ressourcer, lokaler og infrastrukturer, der er nødvendige for, at de effektivt kan udføre deres opgaver og udøve deres beføjelser.
4.   Under udførelsen af sine opgaver undgår hver digital sundhedsmyndighed alle interessekonflikter. Hver af den digitale sundhedsmyndigheds ansatte handler i offentlighedens interesse og uafhængigt.
5.   Under udførelsen af deres opgaver samarbejder de relevante digitale sundhedsmyndigheder aktivt med og hører relevante repræsentanter for interessenter, herunder patientrepræsentanter, repræsentanter for sundhedstjenesteydere og sundhedsprofessionelle, herunder sammenslutninger af sundhedsprofessionelle, samt forbrugerorganisationer og brancheforeninger.
Artikel 20
De digitale sundhedsmyndigheders indberetning
Digitale sundhedsmyndigheder, der er udpeget i henhold til artikel 19, udarbejder hvert andet år en aktivitetsrapport, der skal indeholde en samlet oversigt over deres aktiviteter. Hvis en medlemsstat udpeger mere end én digital sundhedsmyndighed, er en af dem ansvarlig for udarbejdelsen af rapporten og anmoder i den forbindelse de andre digitale sundhedsmyndigheder om de nødvendige oplysninger. Denne aktivitetsrapport skal følge en struktur, der er aftalt på EU-plan i udvalget for det europæiske sundhedsdataområde omhandlet i artikel 92. Denne aktivitetsrapport skal som minimum indeholde oplysninger om:
a)
de foranstaltninger, den har truffet med henblik på gennemførelsen af denne forordning
b)
den procentdel af fysiske personer, der har adgang til de forskellige datakategorier i deres elektroniske patientjournaler
c)
behandlingen af anmodninger fra fysiske personer vedrørende udøvelsen af deres rettigheder i henhold til denne forordning
d)
det antal sundhedstjenesteydere af forskellige typer, herunder apoteker, hospitaler og andre behandlingssteder, der er forbundet med MyHealth@EU, beregnet:
i)
i absolutte tal
ii)
som en andel af alle sundhedstjenesteydere af samme type, og
iii)
som en andel af fysiske personer, der har mulighed for at benytte tjenesterne
e)
de mængder af elektroniske sundhedsdata for forskellige kategorier, der deles på tværs af grænserne via MyHealth@EU
f)
antallet af tilfælde af manglende overholdelse af obligatoriske krav.
Artikel 21
Ret til at indgive klage til en digital sundhedsmyndighed
1.   Uden at det berører andre administrative klageadgange eller adgang til retsmidler, har fysiske og juridiske personer ret til at indgive en klage vedrørende bestemmelserne i dette kapitel individuelt eller, hvor det er relevant, kollektivt til den kompetente digitale sundhedsmyndighed, forudsat at deres rettigheder eller interesser påvirkes negativt.
2.   Hvis klagen vedrører fysiske personers rettigheder i henhold til denne forordnings artikel 3 og 5-10, overfører den digitale sundhedsmyndighed klagen til de kompetente tilsynsmyndigheder i henhold til forordning (EU) 2016/679. Den digitale sundhedsmyndighed videregiver de nødvendige oplysninger, den har til rådighed, til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679 med henblik på at lette vurderingen og undersøgelsen af klagen.
3.   Den kompetente digitale sundhedsmyndighed, som klagen er indgivet til, underretter i overensstemmelse med national ret klageren om fremskridt i behandlingen klagen, om den trufne afgørelse vedrørende klagen, om en eventuel henvisning af klagen til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679 og, i tilfælde af en sådan henvisning, om, at denne tilsynsmyndighed fra dette tidspunkt er det eneste kontaktpunkt for klageren i den pågældende sag.
4.   Digitale sundhedsmyndigheder i de pågældende medlemsstater samarbejder om uden unødigt ophold at behandle og løse klager vedrørende grænseoverskridende udveksling af og adgang til personlige elektroniske sundhedsdata, herunder ved at udveksle alle relevante oplysninger ad elektronisk vej.
5.   Digitale sundhedsmyndigheder skal gøre det lettere at indgive klager og stille let tilgængelige værktøjer til indgivelse af klager til rådighed.
Artikel 22
Forholdet til tilsynsmyndighederne i henhold til forordning (EU) 2016/679
Den eller de tilsynsmyndigheder, der er ansvarlige for at overvåge og håndhæve anvendelsen af forordning (EU) 2016/679, er også ansvarlige for at overvåge og håndhæve anvendelsen af nærværende forordnings artikel 3 og 5-10. De relevante bestemmelser i forordning (EU) 2016/679 finder tilsvarende anvendelse. Tilsynsmyndigheder har beføjelse til at pålægge administrative bøder op til det beløb, der er omhandlet i artikel 83, stk. 5, i forordning (EU) 2016/679.
De i denne artikels stk. 1 omhandlede tilsynsmyndigheder og de i artikel 19 omhandlede digitale sundhedsmyndigheder samarbejder, hvor det er relevant, om håndhævelsen af denne forordning inden for rammerne af deres respektive beføjelser.
AFDELING 3
Grænseoverskridende infrastruktur til primær anvendelse af personlige elektroniske sundhedsdata
Artikel 23
MyHealth@EU
1.   Kommissionen opretter en central interoperabilitetsplatform for digital sundhed (»MyHealth@EU«) med henblik på at levere tjenester til at støtte og lette udvekslingen af personlige elektroniske sundhedsdata mellem medlemsstaternes nationale kontaktpunkter for digital sundhed.
2.   Hver medlemsstat udpeger et nationalt kontaktpunkt for digital sundhed som en organisatorisk og teknisk portal for levering af tjenester i forbindelse med grænseoverskridende udveksling af personlige elektroniske sundhedsdata i forbindelse med primær anvendelse. Hvert nationalt kontaktpunkt for digital sundhed skal være forbundet med alle andre nationale kontaktpunkter for digital sundhed i de øvrige medlemsstater og til den centrale interoperabilitetsplatform for digital sundhed i den grænseoverskridende infrastruktur MyHealth@EU. Hvis et nationalt kontaktpunkt for digital sundhed er en enhed bestående af flere organisationer med ansvar for gennemførelsen af forskellige tjenester, sender den pågældende medlemsstat Kommissionen en beskrivelse af fordelingen af opgaver mellem organisationerne. Hver medlemsstat underretter Kommissionen om benævnelsen på det nationale kontaktpunkt for digital sundhed senest den 26. marts 2027. Det nationale kontaktpunkt for digital sundhed kan udpeges inden for den i artikel 19 omhandlede digitale sundhedsmyndighed. Medlemsstaterne underretter Kommissionen om eventuel senere udskiftning af disse nationale kontaktpunkter for digital sundhed. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
3.   Hvert nationalt kontaktpunkt for digital sundhed skal muliggøre udveksling af de i artikel 14, stk. 1, omhandlede personlige elektroniske sundhedsdata med nationale kontaktpunkter for digital sundhed i andre medlemsstater gennem MyHealth@EU. Denne udveksling baseres på det europæiske format for udveksling af elektroniske patientjournaler.
Hvis medlemsstaterne fastsætter yderligere kategorier af personlige elektroniske sundhedsdata i henhold til artikel 14, stk. 1, tredje afsnit, skal det nationale kontaktpunkt for digital sundhed muliggøre udveksling af de i artikel 14, stk. 1, tredje afsnit, omhandlede yderligere kategorier af personlige elektroniske sundhedsdata, for så vidt som den pågældende medlemsstat har fastsat, at disse yderligere kategorier af personlige elektroniske sundhedsdata skal kunne tilgås og udveksles i overensstemmelse med artikel 14, stk. 1, tredje afsnit.
4.   Senest den 26. marts 2027 vedtager Kommissionen ved hjælp af gennemførelsesretsakter de nødvendige foranstaltninger til den tekniske udvikling af MyHealth@EU, detaljerede regler vedrørende sikkerhed, fortrolighed og beskyttelse af personlige elektroniske sundhedsdata og de betingelser for overensstemmelseskontroller, der er nødvendige for at tilslutte sig og forblive forbundet med MyHealth@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
5.   Medlemsstaterne sikrer, at alle sundhedstjenesteydere forbindes med deres nationale kontaktpunkter for digital sundhed. Medlemsstaterne sikrer, at forbundne sundhedstjenesteydere er i stand til at foretage tovejsudveksling af elektroniske sundhedsdata med det nationale kontaktpunkt for digital sundhed.
6.   Medlemsstaterne sikrer, at apoteker, der opererer på deres område, herunder onlineapoteker, er i stand til at udlevere elektroniske recepter udstedt i andre medlemsstater på de betingelser, der er fastsat i artikel 11 i direktiv 2011/24/EU.
Apoteker har adgang til og accepterer elektroniske recepter, som de modtager fra andre medlemsstater, gennem MyHealth@EU, forudsat at betingelserne fastlagt i artikel 11 i direktiv 2011/24/EU er opfyldt.
Efter udlevering af lægemidler på grundlag af en elektronisk recept fra en anden medlemsstat indberetter det pågældende apotek via MyHealth@EU en sådan udlevering til det nationale kontaktpunkt for digital sundhed i den medlemsstat, hvor recepten blev udstedt.
7.   De nationale kontaktpunkter for digital sundhed fungerer som fælles dataansvarlige for de personlige elektroniske sundhedsdata, der kommunikeres gennem MyHealth@EU for de behandlingsaktiviteter, som de er involveret i. Kommissionen fungerer som databehandler.
8.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter regler vedrørende kravene til cybersikkerhed, teknisk interoperabilitet, semantisk interoperabilitet, drift og serviceforvaltning i forbindelse med den i denne artikels stk. 7 omhandlede databehandlers behandling og dennes ansvar over for de dataansvarlige i overensstemmelse med kapitel IV i forordning (EU) 2016/679. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
9.   De nationale kontaktpunkter for digital sundhed skal opfylde betingelserne for at tilslutte sig og forblive forbundet til MyHealth@EU som fastsat i de i stk. 4 omhandlede gennemførelsesretsakter. Kommissionen kontrollerer ved hjælp af overensstemmelseskontroller, at de nationale kontaktpunkter for digital sundhed overholder disse betingelser.
Artikel 24
Supplerende grænseoverskridende digitale sundhedstjenester og -infrastrukturer
1.   Medlemsstaterne kan via MyHealth@EU tilbyde supplerende tjenester, der letter telemedicin, mobil sundhed, fysiske personers adgang til eksisterende oversættelser af deres sundhedsdata, udveksling eller kontrol af sundhedsrelaterede certifikater, herunder vaccinationskorttjenester, der understøtter folkesundheden og overvågning af folkesundheden eller digitale sundhedssystemer, tjenester og interoperable applikationer, med henblik på at opnå et højt niveau af tillid og sikkerhed, øge kontinuiteten i behandlingen og sikre adgang til sikre sundhedsydelser af høj kvalitet. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske aspekter af leveringen af sådanne supplerende tjenester. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   Kommissionen og medlemsstaterne kan lette udvekslingen af personlige elektroniske sundhedsdata med andre infrastrukturer såsom det kliniske patientstyringssystem eller andre tjenester eller infrastrukturer på sundheds-, pleje- eller socialsikringsområdet, som kan blive autoriserede deltagere i MyHealth@EU. Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de tekniske aspekter af sådanne udvekslinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren jf. artikel 98, stk. 2.
Tilslutningen og afbrydelsen af en anden infrastruktur til eller fra den centrale platform for digital sundhed underlægges en afgørelse vedtaget af Kommissionen ved hjælp af en gennemførelsesretsakt på grundlag af resultatet af overensstemmelseskontrollerne af de tekniske aspekter af de i dette stykkes første afsnit omhandlede udvekslinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
3.   Et nationalt kontaktpunkt for digital sundhed i et tredjeland eller et system, der er etableret på internationalt plan af en international organisation, kan blive autoriseret deltager i MyHealth@EU, forudsat at det opfylder de i artikel 23 omhandlede krav i MyHealth@EU med henblik på udveksling af personlige elektroniske sundhedsdata, at overførslen som følge tilslutningen til MyHealth@EU er i overensstemmelse med reglerne i kapitel V i forordning (EU) 2016/679, og at kravene vedrørende retlige, organisatoriske, operationelle, semantiske, tekniske og cybersikkerhedsrelaterede foranstaltninger svarer til dem, der gælder for medlemsstaterne i forbindelse med driften af MyHealth@EU. Disse krav kontrolleres af Kommissionen ved hjælp af overensstemmelseskontroller.
På grundlag af resultatet af overensstemmelseskontrollerne omhandlet i dette stykkes første afsnit kan Kommissionen ved hjælp af gennemførelsesretsakter beslutte at tilslutte eller at afbryde det nationale kontaktpunkt for digital sundhed i tredjelandet eller det system, der er etableret på internationalt plan af en international organisation, alt efter hvad der er relevant, til MyHealth@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Kommissionen udarbejder og ajourfører en liste over nationale kontaktpunkter for digital sundhed i tredjelande eller systemer, der er etableret på internationalt plan af internationale organisationer, og som er forbundet til MyHealth@EU i henhold til dette stykke, og gør denne liste offentligt tilgængelig.
KAPITEL III
EPJ-SYSTEMER OG WELLNESSAPPLIKATIONER
AFDELING 1
Anvendelsesområde og almindelige bestemmelser om EPJ-systemer
Artikel 25
Harmoniserede softwarekomponenter til EPJ-systemer
1.   EPJ-systemer skal omfatte en europæisk interoperabilitetssoftwarekomponent for EPJ-systemer og en europæisk logningssoftwarekomponent for EPJ-systemer (de »harmoniserede softwarekomponenter til EPJ-systemer«) i overensstemmelse med bestemmelserne fastlagt i dette kapitel.
2.   Dette kapitel finder ikke anvendelse på generel software, der anvendes i et sundhedsmiljø.
Artikel 26
Bringe i omsætning og ibrugtagning
1.   EPJ-systemer må kun bringes i omsætning eller ibrugtages, hvis de opfylder bestemmelserne fastlagt i dette kapitel.
2.   EPJ-systemer, der fremstilles og anvendes i sundhedsinstitutioner, der er etableret i Unionen, samt EPJ-systemer, der tilbydes som en tjeneste som defineret i artikel 1, stk. 1, litra b), i Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 
(
33
)
 til en fysisk eller juridisk person, der er etableret i Unionen, anses for at være taget i brug.
3.   Medlemsstaterne må ikke forbyde eller begrænse, at EPJ-systemer, som overholder denne forordning, bringes i omsætning, af hensyn til aspekter vedrørende harmoniserede softwarekomponenter i EPJ-systemer, der er omfattet af denne forordning.
Artikel 27
Forholdet til EU-retten, der regulerer medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik og AI-systemer
1.   Fabrikanter af medicinsk udstyr eller medicinsk udstyr til in vitro-diagnostik, som defineret i henholdsvis artikel 2, nr. 1), i forordning (EU) 2017/745 og artikel 2, nr. 2), i forordning (EU) 2017/746, der hævder, at det pågældende medicinske udstyr eller medicinske udstyr til in vitro-diagnostik er interoperabelt med de harmoniserede softwarekomponenter i EPJ-systemer, skal dokumentere overensstemmelse med de væsentlige krav til den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer, der er fastsat i afsnit 2 i bilag II til nærværende forordning. Nærværende forordnings artikel 36 finder anvendelse på dette medicinske udstyr og medicinske udstyr til in vitro-diagnostik.
2.   Udbydere af AI-systemer, der anses for at være højrisikosystemer i overensstemmelse med artikel 6 i forordning (EU) 2024/1689 (»højrisiko-AI-system«), og som ikke falder ind under anvendelsesområdet for forordning (EU) 2017/745 eller (EU) 2017/746, og som hævder, at disse højrisiko-AI-systemer er interoperable med de harmoniserede softwarekomponenter i EPJ-systemer, dokumentere overensstemmelse med de væsentlige krav til den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer og den europæiske logningssoftwarekomponent for EPJ-systemer, som fastsat i afsnit 2 i bilag II til nærværende forordning. Nærværende forordnings artikel 36 finder anvendelse på disse højrisiko-AI-systemer.
Artikel 28
Anprisninger
I forbindelse med oplysningsskemaet, brugsanvisningen eller andre oplysninger, der ledsager EPJ-systemer, og i reklamer for EPJ-systemer er det forbudt at anvende tekst, navne, varemærker, billeder og figurer eller andre tegn, der kan vildlede den professionelle bruger som defineret i artikel 3, nr. 8), i Europa-Parlamentets og Rådets forordning (EU) 2018/1807 
(
34
)
 med hensyn til deres erklærede formål, interoperabilitet og sikkerhed ved at:
a)
tilskrive EPJ-systemet funktioner og egenskaber, som det ikke har
b)
undlade at informere den professionelle bruger om sandsynlige begrænsninger i forbindelse med interoperabilitets- eller sikkerhedselementerne i EPJ-systemet i forhold til dets erklærede formål
c)
foreslå andre anvendelser af EPJ-systemet end dem, der i den tekniske dokumentation er anført som værende en del af det erklærede formål.
Artikel 29
Indkøb, refusion og finansiering
Medlemsstaterne kan opretholde eller fastsætte specifikke regler for indkøb eller finansiering af eller refusion vedrørende EPJ-systemer i forbindelse med organisering, levering eller finansiering af sundhedsydelser, forudsat at sådanne regler er i overensstemmelse med EU-retten og ikke påvirker EPJ-systemernes harmoniserede softwarekomponenters funktion eller overensstemmelse.
AFDELING 2
Erhvervsdrivendes forpligtelser med hensyn til EPJ-systemer
Artikel 30
Forpligtelser for fabrikanter af EPJ-systemer
1.   Fabrikanter af EPJ-systemer:
a)
sikrer, at de harmoniserede softwarekomponenter i deres EPJ-systemer og EPJ-systemerne selv, i det omfang dette kapitel fastsætter krav til dem, er i overensstemmelse med de væsentlige krav, der er fastlagt i bilag II, og med de fælles specifikationer i overensstemmelse med artikel 36
b)
sikrer, at de harmoniserede softwarekomponenter i deres EPJ-systemer ikke påvirkes negativt af andre softwarekomponenter i det samme EPJ-system
c)
udarbejder den tekniske dokumentation for deres EPJ-systemer i overensstemmelse med artikel 37, inden de bringer disse EPJ-systemer i omsætning, og holder den ajour efterfølgende
d)
sikrer, at deres EPJ-systemer ledsages af det i artikel 38 omhandlede oplysningsskema og en klar og fuldstændig brugsanvisning, som er gratis for brugeren
e)
udarbejder EU-overensstemmelseserklæringen i overensstemmelse med artikel 39
f)
anbringer CE-overensstemmelsesmærkningen som anført i artikel 41
g)
angiver et navn, registreret firmanavn eller registreret varemærke, den postadresse og det websted, den e-mailadresse eller andre digitale kontaktoplysninger, hvorigennem de kan kontaktes, i EPJ-systemet; angiver i kontaktoplysningerne ét enkelt sted, hvor fabrikanten kan kontaktes; kontaktoplysninger skal være på et sprog, der er let at forstå for brugere og markedsovervågningsmyndigheder
h)
opfylder registreringsforpligtelserne i artikel 49
i)
iværksætter uden unødigt ophold alle nødvendige korrigerende tiltag for deres EPJ-systemer, når de finder eller har grund til at tro, at sådanne systemer ikke eller ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II, eller tilbagekalder eller trækker sådanne systemer tilbage; fabrikanter af EPJ-systemer underretter efterfølgende de nationale myndigheder i de medlemsstater, hvor de har gjort deres EPJ-systemer tilgængelige på markedet eller taget dem i brug, om den manglende overensstemmelse, om eventuelle korrigerende tiltag, der er truffet, herunder tidsplanen for gennemførelsen, og om datoen, hvor de harmoniserede softwarekomponenter i deres EPJ-systemer er blevet bragt i overensstemmelse med kravene eller er blevet tilbagekaldt eller trukket tilbage
j)
underretter distributørerne af deres EPJ-systemer og, hvis det er relevant, den bemyndigede repræsentant, importørerne og brugerne om den manglende overensstemmelse og om eventuelle korrigerende tiltag, tilbagekaldelser eller tilbagetrækninger af de pågældende EPJ-systemer
k)
underretter distributørerne af deres EPJ-systemer og, hvis det er relevant, den bemyndigede repræsentant, importørerne og brugerne, om eventuel obligatorisk forebyggende vedligeholdelse af EPJ-systemerne og hyppigheden heraf
l)
giver efter anmodning, på et officielt sprog i den pågældende medlemsstat, markedsovervågningsmyndighederne i nævnte medlemsstat al den information og dokumentation, der er nødvendig for at påvise, at de EPJ-systemer, de har bragt i omsætning eller taget i brug, er i overensstemmelse med de væsentlige krav fastlagt i bilag II
m)
samarbejder med markedsovervågningsmyndighederne, hvis disse anmoder herom, om ethvert tiltag, der træffes for at bringe de EPJ-systemer, som de har bragt i omsætning eller taget i brug, i overensstemmelse med bilag II og med eventuelle krav vedtaget i henhold til artikel 42 på et officielt sprog i den pågældende medlemsstat
n)
etablerer klagekanaler og holder distributørerne underrettet herom
o)
fører et register over klager og et register over EPJ-systemer, der ikke opfylder kravene, og holder distributørerne underrettet herom.
2.   Fabrikanter af EPJ-systemer sikrer, at der findes procedurer til sikring af, at designet, udviklingen og ibrugtagningen af de harmoniserede softwarekomponenter af et EPJ-system fortsat er i overensstemmelse med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer. Ændringer i EPJ-systemets design eller egenskaber med hensyn til de harmoniserede softwarekomponenter af et EPJ-system skal tages behørigt i betragtning og afspejles i den tekniske dokumentation.
3.   Fabrikanter af EPJ-systemer opbevarer den i artikel 37 omhandlede tekniske dokumentation og den i artikel 39 omhandlede EU-overensstemmelseserklæring i 10 år efter, at det EPJ-system, der er omfattet af EU-overensstemmelseserklæringen, er blevet bragt i omsætning.
Efter en begrundet anmodning stiller fabrikanter af EPJ-systemer kildekoden eller den programmerede logik, som indgår i den tekniske dokumentation, til rådighed for de relevante myndigheder, hvis denne kildekode eller programmerede logik er nødvendig for, at disse myndigheder kan kontrollere overholdelsen af de væsentlige krav fastlagt i bilag II.
4.   En fabrikant af EPJ-systemer, der er etableret uden for Unionen, sikrer, at dennes bemyndigede repræsentant har den nødvendige dokumentation let tilgængelig med henblik på at kunne udføre de i artikel 31, stk. 2, omhandlede opgaver.
5.   Efter en begrundet anmodning fra en markedsovervågningsmyndighed giver fabrikanter af EPJ-systemer denne myndighed al den information og dokumentation i papirform eller elektronisk form, som er nødvendig for at dokumentere, at EPJ-systemet er i overensstemmelse med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer, på et for denne markedsovervågningsmyndighed letforståeligt sprog. Fabrikanterne af EPJ-systemer skal, hvis markedsovervågningsmyndigheden anmoder herom, samarbejde med den om eventuelle foranstaltninger, der er truffet for at fjerne de risici, der stammer fra et EPJ-system, som de har bragt i omsætning eller taget i brug.
Artikel 31
Bemyndigede repræsentanter
1.   Før et EPJ-system gøres tilgængeligt på EU-markedet, udpeger en fabrikant af et EPJ-system, der er etableret uden for Unionen, ved skriftlig fuldmagt en bemyndiget repræsentant, der er etableret i Unionen.
2.   En bemyndiget repræsentant udfører de opgaver, der er fastsat i den fuldmagt, denne har aftalt med fabrikanten. Fuldmagten skal som minimum sætte den bemyndigede repræsentant i stand til:
a)
at sørge for, at EU-overensstemmelseserklæringen og den i artikel 37 omhandlede tekniske dokumentation står til rådighed for markedsovervågningsmyndighederne i den i artikel 30, stk. 3, omhandlede periode
b)
på grundlag af en begrundet anmodning fra en markedsovervågningsmyndighed at give myndighederne i den berørte medlemsstat en kopi af fuldmagten og al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse med de væsentlige krav fastlagt i bilag II samt de i artikel 36 omhandlede fælles specifikationer
c)
uden unødigt ophold at underrette fabrikanten, hvis den bemyndigede repræsentant har grund til at tro, at et EPJ-system ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II
d)
uden unødigt ophold at underrette fabrikanten om enhver klage modtaget fra forbrugere eller professionelle brugere
e)
at samarbejde med markedsovervågningsmyndighederne, hvis disse anmoder herom, om eventuelle korrigerende tiltag, der iværksættes i forbindelse med de EPJ-systemer, der er omfattet af deres fuldmagt
f)
at bringe fuldmagten til ophør, hvis fabrikanten ikke overholder sine forpligtelser i henhold til denne forordning
g)
sikre, at den i artikel 37 omhandlede tekniske dokumentation efter anmodning kan stilles til rådighed for de relevante myndigheder.
3.   I tilfælde af udskiftning af den bemyndigede repræsentant skal den nærmere ordning for en sådan udskiftning mindst omfatte følgende:
a)
datoen for ophøret af den afgående bemyndigede repræsentants fuldmagt og datoen for ikrafttrædelsen af den tiltrædende bemyndigede repræsentants fuldmagt
b)
overførsel af dokumenter, herunder fortrolighedsaspekter og ejendomsret.
4.   Når fabrikanten er etableret uden for Unionen og ikke har overholdt de i artikel 30 fastsatte forpligtelser, er den bemyndigede repræsentant solidarisk ansvarlig for manglende overholdelse af denne forordning på samme grundlag som fabrikanten.
Artikel 32
Importørernes forpligtelser
1.   Importører må kun bringe EPJ-systemer i omsætning på EU-markedet, hvis de er i overensstemmelse med de væsentlige krav fastlagt i bilag II samt de i artikel 36 omhandlede fælles specifikationer.
2.   Inden et EPJ-system gøres tilgængelig på markedet, kontrollerer importørerne, at:
a)
fabrikanten har udarbejdet den i artikel 37 omhandlede tekniske dokumentation og EU-overensstemmelseserklæringen
b)
fabrikanten er identificeret, og der er udpeget en bemyndiget repræsentant i overensstemmelse med artikel 31
c)
EPJ-systemet er forsynet med den i artikel 41 omhandlede CE-overensstemmelsesmærkning efter fuldførelsen af overensstemmelsesvurderingsproceduren
d)
EPJ-systemet ledsages af det i artikel 38 omhandlede oplysningsskema, med klare og fuldstændige brugsanvisninger, herunder til dets vedligeholdelse, i tilgængelige formater.
3.   Importørerne angiver deres navn, registrerede firmanavn eller registrerede varemærke, postadresse, websted, e-mailadresse eller andre digitale kontaktoplysninger, hvorigennem de kan kontaktes, i et dokument, der ledsager EPJ-systemet. Kontaktoplysningerne skal angive ét enkelt sted, hvor fabrikanten kan kontaktes, og være på et sprog, der let kan forstås af brugere og markedsovervågningsmyndigheder. Importørerne sikrer, at et eventuelt yderligere mærke ikke skjuler eller tilslører nogen af de oplysninger, som fabrikanten har angivet, og som er anført på et eventuelt oprindeligt mærke, som leveres til EPJ-systemet.
4.   Importørerne sikrer, at EPJ-systemet ikke ændres på en sådan måde, at dets overensstemmelse med bilag II og med eventuelle krav vedtaget i henhold til artikel 42 bringes i fare, mens et EPJ-system er under deres ansvar.
5.   Hvis en importør finder eller har grund til at tro, at et EPJ-system ikke eller ikke længere er i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42, må vedkommende først gøre det pågældende EPJ-system tilgængeligt på markedet, efter at det er blevet bragt i overensstemmelse, eller, hvis det pågældende EPJ-system allerede var bragt i omsætning, tilbagekalde eller tilbagetrække det. I tilfælde af en sådan tilbagekaldelse eller tilbagetrækning underretter importøren uden unødigt ophold fabrikanten af et sådant EPJ-system, brugerne og markedsovervågningsmyndighederne i den medlemsstat, hvor EPJ-systemet er gjort tilgængeligt på markedet, om en sådan tilbagekaldelse eller tilbagetrækning og giver nærmere oplysninger om navnlig den manglende overensstemmelse og om eventuelle trufne korrigerende foranstaltninger.
Hvis en importør mener eller har grund til at tro, at et EPJ-system udgør en risiko for fysiske personers sundhed eller sikkerhed, underretter den pågældende uden unødigt ophold markedsovervågningsmyndighederne i den medlemsstat, hvor vedkommende er etableret, samt fabrikanten og, hvor det er relevant, den bemyndigede repræsentant.
6.   Importørerne opbevarer en kopi af EU-overensstemmelseserklæringen, så den står til rådighed for markedsovervågningsmyndighederne i den i artikel 30, stk. 3, omhandlede periode, og sikrer, at den i artikel 37 omhandlede tekniske dokumentation kan forelægges disse myndigheder, hvis de anmoder herom.
7.   Importørerne giver på grundlag af en begrundet anmodning fra markedsovervågningsmyndighederne i de berørte medlemsstater al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse. Importørerne samarbejder med disse myndigheder, hvis de anmoder herom, og med fabrikanten og, hvor det er relevant, med den bemyndigede repræsentant på et officielt sprog i den medlemsstat, hvor markedsovervågningsmyndigheden er beliggende. Importørerne samarbejder med disse myndigheder, hvis de anmoder herom, om ethvert tiltag, der træffes for at bringe deres EPJ-systemer i overensstemmelse med de væsentlige krav i forbindelse med de harmoniserede softwarekomponenter som fastlagt i bilag II, eller for at sikre, at de EPJ-systemer, som ikke er i overensstemmelse med disse væsentlige krav, tilbagekaldes eller tilbagetrækkes.
8.   Importørerne etablerer indberetningskanaler og sikrer, at de er tilgængelige, så de giver brugerne mulighed for at indgive klager, og fører et register over klager, EPJ-systemer, der ikke opfylder kravene, og tilbagekaldelser og tilbagetrækninger af EPJ-systemer. Importørerne kontrollerer, om de klagekanaler, der er etableret i henhold til artikel 30, stk. 1, litra n), er offentligt tilgængelige, så brugerne kan indgive klager og modtage enhver meddelelse vedrørende enhver risiko i forbindelse med deres sundhed og sikkerhed eller om andre aspekter af beskyttelsen af offentlige interesser og giver brugerne mulighed for at blive underrettet om enhver alvorlig hændelse, der involverer et EPJ-system. Hvis sådanne klagekanaler ikke er etableret, skal importørerne etablere dem under hensyntagen til udsatte gruppers og personer med handicaps behov for tilgængelighed.
9.   Importørerne undersøger klager og følger op på modtagne oplysninger om hændelser, der involverer et EPJ-system, som de har gjort tilgængeligt på markedet. Importørerne registrerer disse klager, eventuelle tilbagekaldelser eller tilbagetrækninger af EPJ-systemer og eventuelle korrigerende foranstaltninger, der er truffet for at bringe EPJ-systemet i overensstemmelse, i det i artikel 30, stk. 1, litra o), omhandlede register eller i deres eget interne register. Importørerne holder fabrikanten, distributørerne og, hvor det er relevant, de bemyndigede repræsentanter rettidigt underrettet om den gennemførte undersøgelse og opfølgning og om resultaterne af undersøgelsen og opfølgningen.
Artikel 33
Distributørens forpligtelser
1.   Inden et EPJ-system gøres tilgængelig på markedet, kontrollerer distributørerne, at:
a)
fabrikanten har udarbejdet EU-overensstemmelseserklæringen
b)
EPJ-systemet er forsynet med CE-overensstemmelsesmærkning
c)
EPJ-systemet ledsages af det i artikel 38 omhandlede oplysningsskema med klare og fuldstændige brugsanvisninger i tilgængelige formater
d)
importøren har opfyldt kravene fastsat i artikel 32, stk. 3, hvis det er relevant.
2.   Distributørerne sikrer, at EPJ-systemet ikke ændres på en sådan måde, at dets overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42 bringes i fare, når et EPJ-system er under deres ansvar.
3.   Hvis en distributør finder eller har grund til at tro, at et EPJ-system ikke er i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42, må vedkommende først gøre EPJ-systemet tilgængeligt på markedet, efter at det er blevet bragt i overensstemmelse. Distributøren underretter uden unødig ophold fabrikanten eller importøren samt markedsovervågningsmyndighederne i de medlemsstater, hvor EPJ-systemet er gjort eller skal gøres tilgængeligt på markedet, herom. Hvis en distributør mener eller har grund til at tro, at et EPJ-system udgør en risiko for fysiske personers sundhed eller sikkerhed, underretter vedkommende markedsovervågningsmyndighederne i den medlemsstat, hvor distributøren er etableret, samt fabrikanten og importøren.
4.   Distributørerne giver på grundlag af en markedsovervågningsmyndigheds begrundede anmodning den al den information og dokumentation, der er nødvendig for at konstatere, om et EPJ-system er i overensstemmelse. De samarbejder med denne myndighed, hvis den anmoder herom, og med fabrikanten, importøren og, hvor det er relevant, med fabrikantens bemyndigede repræsentant om ethvert tiltag, der træffes for at bringe et EPJ-system i overensstemmelse med de væsentlige krav fastlagt i bilag II og med eventuelle krav vedtaget i henhold til artikel 42 eller for at tilbagekalde eller tilbagetrække det.
Artikel 34
Tilfælde, hvor forpligtelser for fabrikanter af et EPJ-system gælder for andre enheder eller enkeltpersoner
En importør, distributør eller bruger anses med henblik på denne forordning for at være en fabrikant og er underlagt de i artikel 30 fastsatte forpligtelser, hvis de:
a)
gør et EPJ-system tilgængeligt på markedet under eget navn eller varemærke
b)
ændrer et EPJ-system, der allerede er bragt i omsætning, på en sådan måde, at overensstemmelsen med de gældende krav muligvis kan blive påvirket, eller
c)
ændrer et EPJ-system, på en sådan måde at det fører til ændringer i det erklærede formål som angivet af fabrikanten.
Artikel 35
Identifikation af erhvervsdrivende
Efter anmodning skal erhvervsdrivende over for markedsovervågningsmyndighederne i 10 år fra den dato, hvor det seneste EPJ-system, der er omfattet af EU-overensstemmelseserklæringen, er blevet bragt i omsætning, identificere følgende:
a)
enhver erhvervsdrivende, som har leveret et EPJ-system til dem, og
b)
enhver erhvervsdrivende, som de har leveret et EPJ-system til.
AFDELING 3
Overensstemmelse af de harmoniserede softwarekomponenter i EPJ-systemer
Artikel 36
Fælles specifikationer
1.   Senest den 26. marts 2027 vedtager Kommissionen ved hjælp af gennemførelsesretsakter fælles specifikationer for så vidt angår de væsentlige krav, der er fastlagt i bilag II, herunder en fælles standardmodel og en frist for gennemførelsen af disse fælles specifikationer. Hvor det er relevant, tager disse fælles specifikationer hensyn til de særlige forhold, der gør sig gældende for medicinsk udstyr og højrisiko-AI-systemer, jf. artikel 27, stk. 1 og 2, herunder de nyeste standarder for sundhedsinformatik og det europæiske format for udveksling af elektroniske patientjournaler. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
2.   De i stk. 1 omhandlede fælles specifikationer, omfatter følgende oplysninger og elementer:
a)
deres anvendelsesområde
b)
deres anvendelse på forskellige kategorier af EPJ-systemer eller funktioner, der indgår i dem
c)
deres version
d)
deres gyldighedsperiode
e)
en normativ del
f)
en forklarende del, herunder eventuelle relevante retningslinjer for gennemførelsen.
3.   De i stk. 1 omhandlede fælles specifikationer kan omfatte oplysninger om følgende:
a)
datasæt, der indeholder elektroniske sundhedsdata og definerer strukturer såsom datafelter og datagrupper for beskrivelse af klinisk indhold og andre dele af de elektroniske sundhedsdata
b)
kodningssystemer og -værdier, der skal anvendes i datasæt, der indeholder elektroniske sundhedsdata, under behørig hensyntagen til både potentiel fremtidig harmonisering af terminologierne og deres forenelighed med eksisterende nationale terminologier
c)
andre krav vedrørende datakvalitet, såsom elektroniske sundhedsdatas fuldstændighed og nøjagtighed
d)
tekniske specifikationer, standarder og profiler for udveksling af elektroniske sundhedsdata
e)
krav og principper vedrørende patientsikkerhed og sikkerhed, fortrolighed, integritet og beskyttelse af elektroniske sundhedsdata
f)
specifikationer og krav vedrørende identifikationsstyring og anvendelse af elektronisk identifikation.
4.   De i artikel 25 og 27 omhandlede EPJ-systemer, medicinske udstyr, medicinske udstyr til in vitro-diagnostik og højrisiko-AI-systemer, som er i overensstemmelse med de i nærværende artikels stk. 1 omhandlede fælles specifikationer, anses for at være i overensstemmelse med de væsentlige krav, der er omfattet af disse fælles specifikationer eller dele deraf, der er fastlagt i bilag II, og som er omfattet af disse fælles specifikationer eller de relevante dele deraf.
5.   Hvis fælles specifikationer, der dækker interoperabilitets- og sikkerhedskrav for EPJ-systemer, påvirker medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer, der er omfattet af andre retsakter, såsom forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, kan der forud for vedtagelsen af disse fælles specifikationer foretages en høring af Koordinationsgruppen for Medicinsk Udstyr (MDCG), der er nedsat ved artikel 103 i forordning (EU) 2017/745, eller Det Europæiske Udvalg for Kunstig Intelligens, der er nedsat ved artikel 65 i forordning (EU) 2024/1689, og Det Europæiske Databeskyttelsesråd, alt efter hvad der er relevant.
6.   Hvis fælles specifikationer, der dækker interoperabilitets- og sikkerhedskrav for medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer, der er omfattet af andre retsakter, såsom forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, påvirker EPJ-systemer, sikrer Kommissionen, at der forud for vedtagelsen af disse fælles specifikationer er foretaget en høring af udvalget for det europæiske sundhedsdataområde og Det Europæiske Databeskyttelsesråd, alt efter hvad der er relevant.
Artikel 37
Teknisk dokumentation
1.   Fabrikanterne udarbejder den tekniske dokumentation, inden EPJ-systemet bringes i omsætning eller tages i brug, og holder denne dokumentation ajour.
2.   Den i denne artikels stk. 1 omhandlede tekniske dokumentation skal godtgøre, at EPJ-systemet overholder de væsentlige krav fastlagt i bilag II og give markedsovervågningsmyndighederne alle de oplysninger, der er nødvendige for at vurdere EPJ-systemets overensstemmelse med disse krav. Denne tekniske dokumentation skal som minimum indeholde de i bilag III fastsatte elementer og en henvisning til de resultater, der er opnået fra et europæisk digitalt testmiljø, jf. artikel 40.
3.   Den i stk. 1 omhandlede tekniske dokumentation skal udfærdiges på et officielt sprog i den pågældende medlemsstat eller på et sprog, der er letforståeligt i denne medlemsstat. Efter begrundet anmodning fra markedsovervågningsmyndigheden i en medlemsstat fremskaffer fabrikanten en oversættelse af de relevante dele af den tekniske dokumentation til et officielt sprog i den pågældende medlemsstat.
4.   Hvis en markedsovervågningsmyndighed anmoder fabrikanten om den tekniske dokumentation eller en oversættelse af dele heraf, forelægger fabrikanten en sådan teknisk dokumentation eller oversættelse senest 30 dage efter datoen for anmodningen, medmindre en kortere frist er berettiget på grund af en alvorlig eller umiddelbar risiko. Hvis fabrikanten ikke opfylder kravene i denne artikels stk. 1, 2 og 3, kan markedsovervågningsmyndigheden kræve, at fabrikanten får foretaget en test for egen regning af et uafhængigt organ inden for en nærmere fastsat frist for at verificere overensstemmelsen med de væsentlige krav fastlagt i bilag II og de i artikel 36 omhandlede fælles specifikationer.
Artikel 38
Oplysningsskema, der ledsager EPJ-systemet
1.   EPJ-systemer ledsages af et oplysningsskema, som indeholder kortfattede, fuldstændige, korrekte og klare oplysninger, som er relevante, tilgængelige og forståelige for professionelle brugere.
2.   Det i stk. 1 omhandlede oplysningsskema angiver:
a)
benævnelse, registreret firmanavn eller registreret varemærke og kontaktoplysninger for fabrikanten og, hvis det er relevant, for dennes bemyndigede repræsentant
b)
navnet på og versionen af EPJ-systemet og datoen for dets frigivelse
c)
EPJ-systemets erklærede formål
d)
de kategorier af elektroniske sundhedsdata, som EPJ-systemet er designet til at behandle
e)
standarder, formater og specifikationer, der understøttes af EPJ-systemet, samt versioner af disse standarder, formater og specifikationer.
3.   Som et alternativ til at levere det i denne artikels stk. 1 omhandlede oplysningsskema med EPJ-systemet kan fabrikanterne indføre de i denne artikels stk. 2 omhandlede oplysninger i EU-databasen for registrering af EPJ-systemer og wellnessapplikationer, jf. artikel 49.
Artikel 39
EU-overensstemmelseserklæring
1.   Det skal af den i artikel 30, stk. 1, litra e), omhandlede EU-overensstemmelseserklæring fremgå, at fabrikanten af et EPJ-system har godtgjort, at de væsentlige krav fastlagt i bilag II er opfyldt.
2.   Hvis et EPJ-system for så vidt angår aspekter, der ikke er omfattet af denne forordning, er undergivet andre EU-retsakter, som også kræver, at fabrikanten afgiver en EU-overensstemmelseserklæring, hvori det er godtgjort, at kravene i disse retsakter er opfyldt, udarbejdes der én enkelt EU-overensstemmelseserklæring for alle EU-retsakter, der finder anvendelse på EPJ-systemet. Denne EU-overensstemmelseserklæring skal indeholde alle de oplysninger, der er påkrævet for at identificere, hvilke EU-retsakter den vedrører.
3.   EU-overensstemmelseserklæringen skal indeholde de oplysninger, der er anført i bilag IV, og skal oversættes til et eller flere af de officielle EU-sprog, der kræves af de medlemsstater, hvori EPJ-systemet gøres tilgængeligt.
4.   Hvis en EU-overensstemmelseserklæring udarbejdes i et digitalt format, gøres den tilgængelig online i EPJ-systemets forventede levetid og under alle omstændigheder i mindst 10 år efter, at EPJ-systemet er bragt i omsætning eller taget i brug.
5.   Ved at udarbejde EU-overensstemmelseserklæringen står fabrikanten inde for, at de harmoniserede softwarekomponenter i EPJ-systemet overholder de krav, der er fastsat i denne forordning, når det bringes i omsætning eller tages i brug.
6.   Kommissionen offentliggør en ensartet standardmodel til EU-overensstemmelseserklæringen og gør den tilgængelig i digitalt format på alle Unionens officielle sprog.
Artikel 40
Europæisk digitalt testmiljø
1.   Kommissionen udvikler et europæisk digitalt testmiljø til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Kommissionen stiller den software, der understøtter det europæiske digitale testmiljø, til rådighed som open source.
2.   Medlemsstaterne driver digitale testmiljøer til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Sådanne digitale testmiljøer skal være i overensstemmelse med de fælles specifikationer for det europæiske digitale testmiljø, der er fastsat i henhold til stk. 4. Medlemsstaterne underretter Kommissionen om deres digitale testmiljøer.
3.   Inden fabrikanter bringer EPJ-systemer i omsætning, anvender de de i denne artikels stk. 1 og 2 omhandlede digitale testmiljøer til vurdering af harmoniserede softwarekomponenter i EPJ-systemer. Resultaterne af denne vurdering skal indgå i den i artikel 37 omhandlede tekniske dokumentation. De elementer, for hvilke resultaterne af vurderingen er positive, formodes at være i overensstemmelse med denne forordning.
4.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter de fælles specifikationer for europæiske digitale testmiljøer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 41
CE-overensstemmelsesmærkning
1.   CE-overensstemmelsesmærkningen anbringes på de dokumenter, der ledsager EPJ-systemet, og, hvor det er relevant, på EPJ-systemets emballage, så den er synlig, let læselig og ikke kan slettes.
2.   CE-overensstemmelsesmærkningen påsættes, inden EPJ-systemet gøres tilgængeligt på markedet.
3.   CE-overensstemmelsesmærkningen er underkastet de generelle principper i artikel 30 i forordning (EF) nr. 765/2008.
Artikel 42
Nationale krav og rapportering til Kommissionen
1.   Medlemsstaterne kan vedtage nationale krav til EPJ-systemer og bestemmelser om deres overensstemmelsesvurdering i forbindelse med andre aspekter end de harmoniserede softwarekomponenter i EPJ-systemer.
2.   De i stk. 1 omhandlede nationale krav eller bestemmelser må ikke påvirke de harmoniserede softwarekomponenter i EPJ-systemer negativt.
3.   Når medlemsstaterne vedtager krav eller bestemmelser i overensstemmelse med stk. 1, underretter de Kommissionen derom.
AFDELING 4
Markedsovervågning af EPJ-systemer
Artikel 43
Markedsovervågningsmyndigheder
1.   Forordning (EU) 2019/1020 finder anvendelse på EPJ-systemer i forbindelse med de krav, der finder anvendelse på, og de risici som er forbundet med, EPJ-systemer omfattet af dette kapitel.
2.   Medlemsstaterne udpeger den eller de markedsovervågningsmyndigheder, der er ansvarlige for gennemførelsen af dette kapitel. Medlemsstaterne giver deres markedsovervågningsmyndigheder de nødvendige beføjelser og forsyner dem med de menneskelige, finansielle og tekniske ressourcer, det udstyr og den viden, der er nødvendig, for at de kan udføre deres opgaver korrekt i henhold til denne forordning. Markedsovervågningsmyndighederne tillægges beføjelser til at træffe de markedsovervågningsforanstaltninger, der er omhandlet i artikel 16 i forordning (EU) 2019/1020, for at håndhæve de forpligtelser, der er fastsat i dette kapitel. Medlemsstaterne meddeler benævnelsen af de markedsovervågningsmyndigheder, de udpeger, til Kommissionen. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
3.   Markedsovervågningsmyndigheder, der er udpeget i henhold til denne artikels stk. 2, kan være de samme myndigheder som de digitale sundhedsmyndigheder, der er udpeget i henhold til artikel 19. Hvis en digital sundhedsmyndighed udfører opgaver som en markedsovervågningsmyndighed, skal medlemsstaterne sikre, at eventuelle interessekonflikter undgås.
4.   Markedsovervågningsmyndighederne aflægger årligt rapport til Kommissionen om resultaterne af relevante markedsovervågningsaktiviteter.
5.   Hvis en fabrikant eller en anden erhvervsdrivende ikke samarbejder med en markedsovervågningsmyndighed, eller hvis den information og dokumentation de har leveret er ufuldstændig eller forkert, kan markedsovervågningsmyndigheden træffe alle passende foranstaltninger for at forbyde eller begrænse, at det relevante EPJ-system bringes i omsætning, indtil fabrikanten eller den pågældende erhvervsdrivende samarbejder eller fremlægger fuldstændig og korrekt information, eller for at tilbagekalde eller tilbagetrække et sådant EPJ-system fra markedet.
6.   Medlemsstaternes markedsovervågningsmyndigheder samarbejder med hinanden og med Kommissionen. Kommissionen muliggør tilrettelæggelse af den udveksling af oplysninger, der er nødvendig for sådant samarbejde.
7.   For det i artikel 27, stk. 1 og 2, omhandlede medicinske udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer er de ansvarlige myndigheder for markedsovervågning dem, der er omhandlet i artikel 93 i forordning (EU) 2017/745, artikel 88 i forordning (EU) 2017/746 eller artikel 70 i forordning (EU) 2024/1689, alt efter hvad der er relevant.
Artikel 44
Håndtering af risici i forbindelse med EPJ-systemer og alvorlige hændelser
1.   Hvis en markedsovervågningsmyndighed i en medlemsstat har grund til at antage, at et EPJ-system udgør en risiko for fysiske personers sundhed, sikkerhed eller rettigheder eller for beskyttelsen af personoplysninger, foretager markedsovervågningsmyndigheden en evaluering vedrørende det pågældende EPJ-system, som omfatter alle de relevante krav, der er fastlagt i denne forordning. Fabrikanten, fabrikantens bemyndigede repræsentant og alle andre relevante erhvervsdrivende samarbejder i nødvendigt omfang med markedsovervågningsmyndighederne med henblik herpå og træffer alle nødvendige foranstaltninger for at sikre, at det pågældende EPJ-system ikke længere udgør denne risiko, når det bringes i omsætning, eller for at tilbagekalde eller tilbagetrække EPJ-systemet fra markedet inden for en rimelig frist.
2.   Hvis en medlemsstats markedsovervågningsmyndigheder konstaterer, at den manglende overensstemmelse af EPJ-systemet ikke er begrænset til deres nationale område, underretter de Kommissionen og de øvrige medlemsstaters markedsovervågningsmyndigheder om resultaterne af den i denne artikels stk. 1 omhandlede evaluering og om de korrigerende tiltag, de har pålagt den erhvervsdrivende at træffe i henhold til artikel 16, stk. 2, i forordning (EU) 2019/1020.
3.   Hvis en markedsovervågningsmyndighed finder, at et EPJ-system har forårsaget skade på fysiske personers sundhed eller sikkerhed eller på visse aspekter af beskyttelsen af samfundsinteresser, stiller fabrikanten straks information og dokumentation, alt efter hvad der er relevant, til rådighed for den berørte fysiske person eller bruger og, hvis det er relevant, for andre tredjeparter, der er berørt af den pågældende skade, uden at dette berører databeskyttelsesreglerne.
4.   Den pågældende erhvervsdrivende, der er omhandlet i stk. 1, sikrer, at der iværksættes alle fornødne korrigerende tiltag over for alle de pågældende EPJ-systemer, som denne har gjort tilgængelige på markedet i hele Unionen.
5.   Markedsovervågningsmyndigheden underretter uden unødigt ophold Kommissionen og andre medlemsstaters markedsovervågningsmyndigheder eller, hvis det er relevant, tilsynsmyndigheder i henhold til forordning (EU) 2016/679 om de i stk. 2 omhandlede korrigerende tiltag. Denne underretning skal indeholde alle tilgængelige oplysninger, navnlig de nødvendige data til identifikation af det pågældende EPJ-system, EPJ-systemets oprindelse og forsyningskæde, arten af den pågældende risiko og arten og varigheden af de trufne nationale foranstaltninger.
6.   Hvis et forhold konstateret af en markedsovervågningsmyndighed eller en alvorlig hændelse, som denne informeres om, vedrører beskyttelsen af personoplysninger underretter den pågældende markedsovervågningsmyndighed uden unødigt ophold de relevante tilsynsmyndigheder i henhold til forordning (EU) 2016/679 og samarbejder med disse.
7.   Fabrikanter af EPJ-systemer, der bringes i omsætning eller tages i brug, indberetter alle alvorlige hændelser, der involverer et EPJ-system, til markedsovervågningsmyndighederne i de medlemsstater, hvor en sådan alvorlig hændelse fandt sted, og til markedsovervågningsmyndighederne i den medlemsstat, hvor sådanne EPJ-systemer bringes i omsætning eller tages i brug. Indberetningen skal også omfatte en beskrivelse af de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte. Medlemsstaterne kan fastsætte bestemmelser om, at brugere af EPJ-systemer, der bringes i omsætning eller tages i brug, skal kunne indberette sådanne hændelser.
Den indberetning, der kræves i henhold til dette stykkes første afsnit, foretages, uden at det berører kravene til underretning om hændelsen i henhold til direktiv (EU) 2022/2555, umiddelbart efter, at fabrikanten har fastslået en årsagssammenhæng mellem EPJ-systemet og den alvorlige hændelse eller rimelig sandsynlighed for en sådan sammenhæng, og under alle omstændigheder senest tre dage efter, at fabrikanten har fået kendskab til den alvorlige hændelse, der involverer EPJ-systemet.
8.   De i stk. 7 omhandlede markedsovervågningsmyndigheder underretter straks de øvrige markedsovervågningsmyndigheder om den alvorlige hændelse og de korrigerende tiltag, som fabrikanten har iværksat eller påtænker at iværksætte eller er forpligtet til at iværksætte for at minimere risikoen for gentagelse af den alvorlige hændelse.
9.   Hvis dens opgaver ikke udføres af den digitale sundhedsmyndighed, samarbejder markedsovervågningsmyndigheden med den digitale sundhedsmyndighed. Markedsovervågningsmyndigheden underretter den digitale sundhedsmyndighed om alle alvorlige hændelser, om EPJ-systemer, der udgør en risiko, herunder risici vedrørende interoperabilitet, sikkerhed og patientsikkerhed, om eventuelle korrigerende tiltag og om eventuel tilbagekaldelse eller tilbagetrækning af sådanne EPJ-systemer.
10.   I tilfælde af hændelser, der bringer patientsikkerheden eller informationssikkerheden i fare, kan markedsovervågningsmyndighederne iværksætte øjeblikkelige tiltag og kræve, at fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og andre erhvervsdrivende iværksætter øjeblikkelige korrigerende tiltag.
Artikel 45
Håndtering af manglende overholdelse
1.   Hvis en markedsovervågningsmyndighed konstaterer manglende overholdelse, pålægger den fabrikanten af det pågældende EPJ-system, dennes bemyndigede repræsentant og alle andre relevante erhvervsdrivende, inden for en bestemt frist at iværksætte passende korrigerende tiltag til at bringe EPJ-systemet i overensstemmelse med kravene. Sådanne konstateringer af manglende overholdelse omfatter, men er ikke begrænset til, følgende:
a)
EPJ-systemet er ikke i overensstemmelse med de væsentlige krav fastlagt i bilag II eller med de i artikel 36 omhandlede fælles specifikationer
b)
den tekniske dokumentation er ikke til rådighed, ikke fuldstændig eller er ikke i overensstemmelse med artikel 37
c)
der er ikke udarbejdet en EU-overensstemmelseserklæring, eller den er ikke udarbejdet korrekt i overensstemmelse med artikel 39
d)
CE-overensstemmelsesmærkningen er anbragt i strid med artikel 41 eller er ikke anbragt
e)
de i artikel 49 omhandlede registreringsforpligtelser er ikke blevet opfyldt.
2.   Hvis den pågældende fabrikant af EPJ-systemet, dens bemyndigede repræsentant eller eventuelle andre relevante erhvervsdrivende ikke iværksætter de fornødne korrigerende tiltag inden for et rimeligt tidsrum, træffer markedsovervågningsmyndighederne de nødvendige foreløbige foranstaltninger for at forbyde eller begrænse, at EPJ-systemet bringes i omsætning på deres medlemsstaters marked, eller for at tilbagekalde eller trække EPJ-systemet tilbage fra dette marked.
Markedsovervågningsmyndighederne underretter uden ophold Kommissionen og de øvrige medlemsstaters markedsovervågningsmyndigheder om disse midlertidige foranstaltninger. Disse oplysninger skal indeholde alle tilgængelige oplysninger, navnlig de nødvendige data til identifikation af det EPJ-system, der ikke opfylder kravene, det pågældende EPJ-systems oprindelse, karakteren af den påståede manglende overensstemmelse og af den involverede risiko, karakteren og varigheden af de foranstaltninger, som markedsovervågningsmyndighederne har truffet, samt de synspunkter, som den relevante erhvervsdrivende har fremsat. Markedsovervågningsmyndighederne angiver navnlig, om den manglende opfyldelse af kravene skyldes:
a)
EPJ-systemets manglende opfyldelse af de væsentlige krav fastlagt i bilag II
b)
mangler vedrørende de i artikel 36 omhandlede fælles specifikationer.
3.   De andre markedsovervågningsmyndigheder end de markedsovervågningsmyndigheder, der har indledt proceduren i henhold til denne artikel, underretter straks Kommissionen og de andre medlemsstaters markedsovervågningsmyndigheder om eventuelle trufne foranstaltninger, om yderligere oplysninger, som de måtte råde over, om det pågældende EPJ-systems manglende overensstemmelse og om deres indvendinger, hvis de ikke er indforstået med den trufne nationale foranstaltning.
4.   Hvis der ikke inden for tre måneder efter modtagelsen af de i stk. 2, andet afsnit, omhandlede oplysninger er blevet gjort indsigelse af en markedsovervågningsmyndighed fra en anden medlemsstat eller Kommissionen mod en foreløbig foranstaltning truffet af en markedsovervågningsmyndighed, anses foranstaltningen for at være berettiget.
5.   Hvis den i stk. 1 omhandlede manglende overensstemmelse varer ved, træffer den pågældende markedsovervågningsmyndighed alle nødvendige foranstaltninger til at forbyde eller begrænse, at det pågældende EPJ-system bringes i omsætning, eller sikre, at det tilbagekaldes eller trækkes tilbage fra markedet.
Artikel 46
Beskyttelsesprocedure
på
EU-plan
1.   Hvis der i henhold til artikel 44, stk. 2, og artikel 45, stk. 3, gøres indsigelse mod en national foranstaltning truffet af en markedsovervågningsmyndighed, eller hvis Kommissionen finder, at en national foranstaltning er i strid med EU-retten, drøfter Kommissionen straks spørgsmålet med denne markedsovervågningsmyndighed og de relevante erhvervsdrivende og evaluerer den pågældende nationale foranstaltning. På grundlag af resultaterne af denne evaluering vedtager Kommissionen en gennemførelses afgørelse, der fastslår, hvorvidt den nationale foranstaltning er berettiget. Denne gennemførelsesafgørelse vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen retter sin gennemførelsesafgørelse til alle medlemsstaterne og meddeler den straks til medlemsstaterne og til de relevante erhvervsdrivende.
2.   Hvis den i stk. 1 omhandlede nationale foranstaltning anses for at være berettiget af Kommissionen, træffer de berørte medlemsstater de nødvendige foranstaltninger for at sikre, at det EPJ-system, der ikke er i overensstemmelse, trækkes tilbage fra deres marked, og underretter Kommissionen herom.
Hvis den i stk. 1 omhandlede nationale foranstaltning anses for at være uberettiget af Kommissionen, ophæver den pågældende medlemsstat denne foranstaltning.
AFDELING 5
Andre bestemmelser om interoperabilitet
Artikel 47
Mærkning af wellnessapplikationer
1.   Hvis en fabrikant af en wellnessapplikation hævder, at den er interoperabel med et EPJ-system i forbindelse med de harmoniserede softwarekomponenter i EPJ-systemer, og at de i artikel 36 omhandlede fælles specifikationer og de væsentlige krav fastlagt i bilag II er opfyldt, skal en sådan wellnessapplikation ledsages af et mærke, der tydeligt viser, at den opfylder disse specifikationer og krav. Dette mærke udstedes af fabrikanten af wellnessapplikationen.
2.   Følgende oplysninger skal fremgå af det i stk. 1 omhandlede mærke:
a)
kategorierne af elektroniske sundhedsdata, for hvilke det er bekræftet, at de væsentlige krav fastlagt i bilag II er opfyldt
b)
en henvisning til fælles specifikationer for at påvise overensstemmelse
c)
mærkningens gyldighedsperiode.
3.   Kommissionen fastlægger ved hjælp af gennemførelsesretsakter det i stk. 1 omhandlede mærkes format og indhold. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
4.   Mærket udfærdiges på et eller flere af Unionens officielle sprog eller på et letforståeligt sprog, som den medlemsstat, hvor wellnessapplikationen bringes i omsætning eller tages i brug, fastsætter.
5.   Mærkets gyldighed må ikke overstige tre år.
6.   Hvis wellnessapplikationen er en integrerende del af et udstyr eller indgår i et udstyr efter dets ibrugtagning, skal det ledsagende mærke vises i selve applikationen eller anbringes på dette udstyr. Hvis wellnessapplikationen kun består af software, skal mærket have et digitalt format og vises i selve applikationen. Todimensionelle stregkoder (2D) kan også anvendes til at vise mærket.
7.   Markedsovervågningsmyndighederne kontrollerer, at wellnessapplikationerne opfylder de væsentlige krav fastlagt i bilag II.
8.   Hver leverandør af en wellnessapplikation, for hvilken der er udstedt et mærke, skal sikre, at den wellnessapplikation, der bringes i omsætning eller tages i brug, gratis ledsages af mærket for hver enkelt enhed.
9.   Hver distributør af en wellnessapplikation, for hvilken der er udstedt et mærke, skal stille mærket til rådighed for kunderne på salgsstedet i elektronisk form.
Artikel 48
Wellnessapplikationers interoperabilitet med EPJ-systemer
1.   Fabrikanter af wellnessapplikationer kan hævde, at de er interoperable med et EPJ-system, forudsat at de relevante fælles specifikationer og væsentlige krav omhandlet i henholdsvis artikel 36 og bilag II er opfyldt. I tilfælde af en sådan påstand informerer disse fabrikanter på behørig vis brugerne om interoperabiliteten af sådanne wellnessapplikationer og virkningerne af en sådan interoperabilitet.
2.   Wellnessapplikationers interoperabilitet med EPJ-systemer betyder ikke, at alle eller en del af sundhedsdataene fra wellnessapplikationen automatisk deles med eller automatisk overføres til EPJ-systemet. Deling eller overførsel af sådanne data er kun mulig, hvis det er i overensstemmelse med artikel 5, og efter at den berørte fysiske person har givet samtykke, og interoperabiliteten skal strengt begrænses til disse formål. Fabrikanter af wellnessapplikationer, der hævder, at deres applikationer er interoperable med et EPJ-system, sikrer, at den berørte fysiske person er i stand til at vælge, hvilke kategorier af sundhedsdataene fra wellnessapplikationen, der skal indsættes i EPJ-systemet, og omstændighederne omkring delingen eller overførslen af disse datakategorier.
AFDELING 6
Registrering af EPJ-systemer og wellnessapplikationer
Artikel 49
EU-database for registrering af EPJ-systemer og wellnessapplikationer
1.   Kommissionen opretter og fører en offentligt tilgængelig EU-database med data om EPJ-systemer, for hvilke der er udstedt en EU-overensstemmelseserklæring i henhold til artikel 39, og wellnessapplikationer, for hvilke der er udstedt et mærke i henhold til artikel 47 (»EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer«).
2.   Inden et EPJ-system, jf. artikel 26, eller en wellnessapplikation, jf. artikel 47, bringes i omsætning eller tages i brug, indfører fabrikanten af et sådant EPJ-system eller en sådan wellnessapplikation eller i givet fald dennes bemyndigede repræsentant de krævede data som omhandlet i nærværende artikels stk. 4 i EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer, herunder, når der er tale om EPJ-systemer, resultaterne af vurderingen omhandlet i artikel 40.
3.   Medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik eller højrisiko-AI-systemer som omhandlet i denne forordnings artikel 27, stk. 1 og 2, registreres også i de databaser, der er oprettet i henhold til forordning (EU) 2017/745, (EU) 2017/746 eller (EU) 2024/1689, alt efter hvad der er relevant. I sådanne tilfælde fremsendes de data, der skal indføres, også til EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer.
4.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 med henblik på at supplere denne forordning ved at fastlægge listen over de data, der skal indføres i EU-databasen for Registrering af EPJ-systemer og wellnessapplikationer af fabrikanterne af EPJ-systemer og wellnessapplikationer i henhold til nærværendes artikels stk. 2.
KAPITEL IV
SEKUNDÆR ANVENDELSE
AFDELING 1
Almindelige betingelser for sekundær anvendelse
Artikel 50
Anvendelse på
sundhedsdataindehaver
e
1.   Følgende kategorier af sundhedsdataindehavere er fritaget for de forpligtelser for sundhedsdataindehavere, der er fastlagt i dette kapitel:
a)
fysiske personer, herunder individuelle forskere
b)
juridiske personer, der er mikrovirksomheder som defineret i artikel 2, stk. 3, i bilaget til henstilling 2003/361/EF.
2.   Medlemsstaterne kan fastsætte i deres nationale ret, at de forpligtelser for sundhedsdataindehavere, der er fastsat i dette kapitel, finder anvendelse på de i stk. 1 omhandlede sundhedsdataindehavere, der henhører under deres jurisdiktion.
3.   Medlemsstaterne kan fastsætte i deres nationale ret, at visse kategorier af sundhedsdataindehaveres opgaver skal varetages af sundhedsdataformidlingsenheder. I så fald anses dataene ikke desto mindre for at være til rådighed fra flere sundhedsdataindehavere.
4.   Medlemsstaterne meddeler Kommissionen den i stk. 2 og 3 omhandlede nationale ret senest den 26. marts 2029. Eventuelle senere bestemmelser eller ændringer, der berører en sådan ret, meddeles straks til Kommissionen.
Artikel 51
Kategorier af elektroniske sundhedsdata til sekundær anvendelse, der som minimum skal indgå
1.   Sundhedsdataindehavere stiller følgende kategorier af elektroniske sundhedsdata til rådighed til sekundær anvendelse i overensstemmelse med dette kapitel:
a)
elektroniske sundhedsdata fra EPJ'er
b)
data om faktorer, der påvirker sundheden, herunder socioøkonomiske, miljømæssige og adfærdsmæssige sundhedsdeterminanter
c)
aggregerede data om behov for sundhedsydelser, ressourcer afsat til sundhedsydelser, levering af og adgang til sundhedsydelser, sundhedsudgifter og finansiering
d)
data om patogener, der påvirker menneskers sundhed
e)
sundhedsydelsesrelaterede administrative data, herunder oplysninger om dispensationer, refusionskrav og refusion
f)
genetiske, epigenomiske og genomiske data om mennesker
g)
andre menneskelige molekylære data såsom proteomiske transkriptomiske, metabolomiske, lipidomiske og andre omiske data
h)
personlige elektroniske sundhedsdata, der er automatisk genererede gennem medicinsk udstyr
i)
data fra wellnessapplikationer
j)
data vedrørende professionel status og vedrørende specialisering og institution for sundhedsprofessionelle, der er involveret i behandlingen af en fysisk person
k)
data fra sundhedsdataregistre over befolkningen såsom offentlige sundhedsregistre
l)
data fra medicinske registre og registre over dødelighed
m)
data fra kliniske forsøg, kliniske undersøgelser, kliniske afprøvninger og undersøgelser vedrørende ydeevne, der er omfattet af forordning (EU) nr. 536/2014, Europa-Parlamentets og Rådets forordning (EU) 2024/1938 
(
35
)
, (EU) 2017/745 og (EU) 2017/746
n)
andre sundhedsdata fra medicinsk udstyr
o)
data fra registre for lægemidler og medicinsk udstyr
p)
data fra forskningskohorter, spørgeskemaer og undersøgelser vedrørende sundhed efter den første offentliggørelse af de relaterede resultater
q)
sundhedsdata fra biobanker og tilhørende databaser.
2.   Medlemsstaterne kan fastsætte i deres nationale ret, at yderligere kategorier af elektroniske sundhedsdata skal stilles til rådighed til sekundær anvendelse i henhold til denne forordning.
3.   Medlemsstaterne kan fastsætte regler for behandling og anvendelse af elektroniske sundhedsdata, der indeholder forbedringer i forbindelse med behandling af disse data, såsom korrektion, anmærkning eller berigelse, på grundlag af en datatilladelse i henhold til artikel 68.
4.   Medlemsstaterne kan indføre strengere foranstaltninger og yderligere garantier på nationalt plan med henblik på at beskytte følsomheden og værdien af de data, der er omfattet af stk. 1, litra f), g), i) og q). Medlemsstaterne giver straks Kommissionen meddelelse om disse foranstaltninger og garantier og om alle senere ændringer, der berører dem.
Artikel 52
Intellektuelle ejendomsrettigheder og forretningshemmeligheder
1.   Elektroniske sundhedsdata, der er beskyttet af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller omfattet af den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i Europa-Parlamentets og Rådets direktiv 2001/83/EF 
(
36
)
 eller artikel 14, stk. 11, i Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 
(
37
)
, stilles til rådighed til sekundær anvendelse i overensstemmelse med reglerne fastlagt i nærværende forordning.
2.   Sundhedsdataindehavere underretter organet med ansvar for adgang til sundhedsdata om eventuelle elektroniske sundhedsdata med indhold eller oplysninger, der er beskyttet af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller er omfattet af den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004. Sundhedsdataindehavere angiver, hvilke dele af datasættene der er berørt, og begrunder behovet for den specifikke beskyttelse af dataene. Sundhedsdataindehavere giver disse oplysninger, når beskrivelserne af de datasæt, de er i besiddelse af i henhold til nærværende forordnings artikel 60, stk. 3, meddeles til organet med ansvar for adgang til sundhedsdata, eller senest efter en anmodning fra organet med ansvar for adgang til sundhedsdata.
3.   Organer med ansvar for adgang til sundhedsdata træffer alle specifikke passende og forholdsmæssige foranstaltninger, herunder af retlig, organisatorisk og teknisk karakter, som de anser for nødvendige for beskyttelsen af intellektuelle ejendomsrettigheder, forretningshemmeligheder eller den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004. Organer med ansvar for adgang til sundhedsdata forbliver ansvarlige for at vurdere, om sådanne foranstaltninger er nødvendige og passende.
4.   Når organer med ansvar for adgang til sundhedsdata udsteder datatilladelser i overensstemmelse med artikel 68, kan de gøre adgangen til visse elektroniske sundhedsdata betinget af retlige, organisatoriske og tekniske foranstaltninger, som kan omfatte kontraktlige ordninger mellem sundhedsdataindehavere og sundhedsdatabrugere med henblik på at dele data med oplysninger eller indhold, der er beskyttet af intellektuelle ejendomsrettigheder eller forretningshemmeligheder. Kommissionen udarbejder og anbefaler ikkebindende modeller for aftalevilkår for sådanne ordninger.
5.   Hvis tildelingen af adgang til elektroniske sundhedsdata til sekundær anvendelse indebærer en alvorlig risiko for at krænke de intellektuelle ejendomsrettigheder, forretningshemmeligheder eller den reguleringsmæssige ret til databeskyttelse, der er fastsat i artikel 10, stk. 1, i direktiv 2001/83/EF eller artikel 14, stk. 11, i forordning (EF) nr. 726/2004, der ikke kan imødegås på en tilfredsstillende måde, nægter organet med ansvar for adgang til sundhedsdata adgang til sundhedsdataansøgeren til sådanne data. Organet med ansvar for adgang til sundhedsdata underretter sundhedsdataansøgeren og giver sundhedsdataansøgeren en begrundelse for afslaget. Sundhedsdataindehavere og sundhedsdatabrugere har ret til at indgive en klage i overensstemmelse med nærværende forordnings artikel 81.
Artikel 53
Formål, hvortil elektroniske sundhedsdata kan behandles til sekundær anvendelse
1.   Organer med ansvar for adgang til sundhedsdata giver kun sundhedsdatabrugere adgang til elektroniske sundhedsdata som omhandlet i artikel 51 til sekundær anvendelse, hvis denne sundhedsdatabrugers behandling af dataene er nødvendig for et af følgende formål:
a)
offentlighedens interesse for så vidt angår folkesundheden eller sundhed på arbejdspladsen, såsom aktiviteter til beskyttelse mod alvorlige grænseoverskridende sundhedstrusler, overvågning af folkesundheden eller aktiviteter til sikring af et højt kvalitets- og sikkerhedsniveau for sundhedsydelser, herunder patientsikkerhed, og lægemidler eller medicinsk udstyr
b)
politikudformning og reguleringsmæssige tiltag til støtte for offentlige myndigheder eller EU-institutioner, -organer, -kontorer eller -agenturer, herunder regulerende myndigheder, i sundheds- eller plejesektoren med udførelsen af deres opgaver som beskrevet i deres mandater
c)
statistikker som defineret i artikel 3, nr. 1), i forordning (EF) nr. 223/2009, såsom officielle statistikker på nationalt og tværnationalt plan og EU-plan, vedrørende sundheds- eller plejesektoren
d)
uddannelses- eller undervisningsaktiviteter inden for sundheds- eller plejesektoren på erhvervsuddannelsesniveau eller videregående uddannelsesniveau
e)
videnskabelig forskning inden for sundheds- eller plejesektoren, der bidrager til vurderinger af folkesundhed eller medicinske teknologivurderinger eller sikrer et højt kvalitets- og sikkerhedsniveau i forbindelse med sundhedsydelser, lægemidler eller medicinsk udstyr, således at slutbrugere, såsom patienter, sundhedsprofessionelle og sundhedsadministratorer, kan få gavn heraf, herunder:
i)
udviklings- og innovationsaktiviteter i forhold til produkter eller tjenester
ii)
træning, test og evaluering af algoritmer, herunder i medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik, AI-systemer og digitale sundhedsapplikationer
f)
forbedring af leveringen af pleje, af optimeringen af behandling og af leveringen af sundhedsydelser på grundlag af andre fysiske personers elektroniske sundhedsdata.
2.   Adgang til elektroniske sundhedsdata til de i stk. 1, litra a), b) og c), omhandlede formål er forbeholdt offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer, der varetager de opgaver, der er pålagt dem i henhold til EU-retten eller national ret, herunder når behandlingen af data med henblik på udførelsen af disse opgaver foretages af en tredjepart på vegne af de pågældende offentlige organer eller af EU-institutioner, -organer, -kontorer og -agenturer.
Artikel 54
Forbudt sekundær anvendelse
Sundhedsdatabrugere må kun behandle elektroniske sundhedsdata til sekundær anvendelse på grundlag af og i overensstemmelse med de formål, der er indeholdt i en datatilladelse udstedt i henhold til artikel 68, sundhedsdataanmodninger godkendt i henhold til artikel 69 eller, i de i artikel 67, stk. 3, omhandlede situationer, en dataadgangsgodkendelse fra den relevante autoriserede deltager i HealthData@EU, jf. artikel 75.
Det er navnlig forbudt at søge adgang til og behandle elektroniske sundhedsdata, der er opnået via en datatilladelse udstedt i henhold til artikel 68 eller en sundhedsdataanmodning, der er godkendt i henhold til artikel 69, til følgende anvendelse:
a)
træffe afgørelser, der er til skade for en fysisk person eller en gruppe af personer, på grundlag af vedkommendes elektroniske sundhedsdata; for at kunne betegnes som »afgørelser« med henblik på dette litra skal de have retlige, sociale eller økonomiske virkninger eller på tilsvarende måde i væsentlig grad berøre disse fysiske personer
b)
træffe afgørelser vedrørende en fysisk person eller en gruppe af fysiske personer i forbindelse med jobtilbud, tilbud om mindre gunstige vilkår i forbindelse med levering af varer eller tjenester, herunder udelukkelse af sådanne personer eller grupper fra at være omfattet af en forsikrings- eller kreditaftale, ændring af deres bidrag og forsikringspræmier eller lånevilkår, eller enhver anden afgørelse vedrørende en fysisk person eller en gruppe af fysiske personer, som medfører forskelsbehandling mod dem på grundlag af de opnåede sundhedsdata
c)
udførelse af reklame- eller markedsføringsaktiviteter
d)
udvikling af produkter eller tjenester, der kan skade enkeltpersoner, folkesundheden eller samfund som helhed, såsom ulovlige stoffer, alkoholholdige drikkevarer, tobaksvarer og nikotinprodukter, våben eller produkter eller tjenesteydelser, der er designet eller ændret på en sådan måde, at de skaber afhængighed, strider mod den offentlige orden eller medfører en risiko for menneskers sundhed
e)
udførelse af aktiviteter, der er i strid med etiske bestemmelser fastlagt i national ret.
AFDELING 2
Forvaltning af og mekanismer til sekundær anvendelse
Artikel 55
Organer med ansvar for adgang til sundhedsdata
1.   Medlemsstaterne udpeger et eller flere organer med ansvar for adgang til sundhedsdata, som er ansvarlige for at udføre de opgaver og forpligtelser, der er fastlagt i artikel 57, 58 og 59. Medlemsstaterne kan enten oprette et eller flere nye offentlige myndigheder eller bruge eksisterende offentlige myndigheder eller interne tjenester i offentlige myndigheder, der opfylder betingelserne i nærværende artikel. De opgaver, der er fastsat i artikel 57, kan fordeles mellem forskellige organer med ansvar for adgang til sundhedsdata. Hvis en medlemsstat udpeger flere organer med ansvar for adgang til sundhedsdata, udpeger den ét organ med ansvar for adgang til sundhedsdata, der skal fungere som koordinator, med ansvar for at koordinere opgaver med de andre organer, både i denne medlemsstats og i andre medlemsstaters område.
Hvert organ med ansvar for adgang til sundhedsdata bidrager til ensartet anvendelse af denne forordning i hele Unionen. Med henblik herpå samarbejder organerne med ansvar for adgang til sundhedsdata med hinanden, med Kommissionen og, for så vidt angår betænkeligheder vedrørende databeskyttelse, med de relevante tilsynsmyndigheder.
2.   Med henblik på at støtte den effektive udførelse af opgaverne og udøvelsen af beføjelserne for organerne med ansvar for adgang til sundhedsdata sikrer medlemsstaterne, at hvert organ med ansvar for adgang til sundhedsdata råder over følgende elementer:
a)
de nødvendige menneskelige, økonomiske og tekniske ressourcer
b)
den nødvendige ekspertise, og
c)
de nødvendige lokaler og infrastrukturer.
Hvis en vurdering foretaget af etiske organer er påkrævet i henhold til national ret, stiller disse organer ekspertise til rådighed for organet med ansvar for adgang til sundhedsdata. Alternativt kan medlemsstaterne fastsætte, at etiske organer er en del af organet med ansvar for adgang til sundhedsdata.
3.   Medlemsstaterne sikrer, at alle interessekonflikter mellem de organisatoriske dele af organer med ansvar for adgang til sundhedsdata, der udfører de forskellige opgaver for sådanne organer, undgås ved f.eks. at fastsætte organisatoriske garantier såsom adskillelse mellem forskellige funktioner for organer med ansvar for adgang til sundhedsdata, herunder vurdering af ansøgninger, modtagelse og forberedelse af datasæt, f.eks. pseudonymisering og anonymisering af datasæt, samt tilvejebringelse af data i sikre databehandlingsmiljøer.
4.   Under udførelsen af deres opgaver samarbejder organer med ansvar for adgang til sundhedsdata aktivt med relevante repræsentanter for interessenter, navnlig med repræsentanter for patienter, sundhedsdataindehavere og sundhedsdatabrugere og skal undgå alle interessekonflikter.
5.   Organer med ansvar for adgang til sundhedsdata skal under udførelsen af deres opgaver og udøvelsen af deres beføjelser undgå interessekonflikter. Personalet i organer med ansvar for adgang til sundhedsdata handler i offentlighedens interesse og uafhængigt.
6.   Senest den 26. marts 2027 underretter medlemsstaterne Kommissionen om benævnelsen på de organer med ansvar for adgang til sundhedsdata, der er udpeget i henhold til stk. 1. De underretter ligeledes Kommissionen om eventuelle senere udskiftninger af disse organer. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
Artikel 56
Unionens tjeneste for adgang til sundhedsdata
1.   Kommissionen udfører de opgaver, der er fastsat i artikel 57 og 59, hvis sundhedsdataindehaverne er EU-institutioner, -organer, -kontorer eller -agenturer.
2.   Kommissionen sikrer, at de nødvendige menneskelige, tekniske og økonomiske ressourcer, lokaler og infrastrukturer tildeles til effektiv udførelse af de i artikel 57 og 59 fastsatte opgaver og udøvelse af beføjelserne.
3.   Medmindre andet udtrykkeligt er udelukket skal henvisninger til organer med ansvar for adgang til sundhedsdata i denne forordning i relation til udførelsen af opgaver og varetagelsen af pligter forstås således, at de også finder anvendelse på Kommissionen, hvis sundhedsdataindehaverne er EU-institutioner, -organer, -kontorer eller -agenturer.
Artikel 57
Opgaver for organer med ansvar for adgang til sundhedsdata
1.   Organer med ansvar for adgang til sundhedsdata skal udføre følgende opgaver:
a)
træffe afgørelse om ansøgninger om adgang til sundhedsdata i henhold til denne forordnings artikel 67, godkende og udstede datatilladelser i henhold til denne forordnings artikel 68 til at tilgå elektroniske sundhedsdata, der henhører under deres ansvarsområde, til sekundær anvendelse og træffe afgørelse om sundhedsdataanmodninger indgivet i henhold til denne forordnings artikel 69 i overensstemmelse med dette kapitel og kapitel II i forordning (EU) 2022/868, herunder med hensyn til at:
i)
tildele sundhedsdatabrugere adgang til elektroniske sundhedsdata i henhold til en datatilladelse i et sikkert databehandlingsmiljø i overensstemmelse med artikel 73
ii)
overvåge og føre tilsyn med, at sundhedsdatabrugere og sundhedsdataindehavere overholder de krav, der er fastlagt i denne forordning
iii)
anmode relevante sundhedsdataindehavere om elektroniske sundhedsdata som omhandlet i artikel 51 i henhold til en udstedt datatilladelse eller en godkendt sundhedsdataanmodning
b)
behandle de i artikel 51 omhandlede elektroniske sundhedsdata, såsom ved at modtage, samkøre, forberede og indsamle sådanne data, når der anmodes om dem fra sundhedsdataindehavere, og pseudonymisering eller anonymisering af disse data
c)
træffe alle nødvendige foranstaltninger til at bevare fortroligheden af intellektuelle ejendomsrettigheder og reguleringsmæssig databeskyttelse og til at bevare fortroligheden af forretningshemmeligheder som fastsat i artikel 52 og tage hensyn til de relevante rettigheder for både sundhedsdataindehavere og sundhedsdatabrugere
d)
samarbejde med og føre tilsyn med sundhedsdataindehavere for at sikre en konsekvent og nøjagtig gennemførelse af bestemmelserne om datakvalitets- og dataudnyttelsesmærket i artikel 78
e)
drive et forvaltningssystem til registrering og behandling af ansøgninger om adgang til sundhedsdata, sundhedsdataanmodninger, afgørelserne om disse ansøgninger og anmodninger og de udstedte datatilladelser og behandlede sundhedsdataanmodninger, der som minimum indeholder oplysninger om navnet på sundhedsdataansøgeren, formålet med adgangen, datoen for udstedelsen, varigheden af datatilladelsen og en beskrivelse af ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen
f)
drive et offentligt informationssystem for at opfylde forpligtelserne i artikel 58
g)
samarbejde på EU-plan og nationalt plan for at fastlægge fælles standarder, tekniske krav og passende foranstaltninger vedrørende adgang til elektroniske sundhedsdata i et sikkert databehandlingsmiljø
h)
samarbejde på EU-plan og nationalt plan og rådgive Kommissionen om teknikker og bedste praksis for sekundær anvendelse og forvaltningen af elektroniske sundhedsdata
i)
lette grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse i andre medlemsstater gennem HealthData@EU, jf. artikel 75, og samarbejde tæt med hinanden og med Kommissionen
j)
offentliggøre følgende ved hjælp af elektroniske midler:
i)
et nationalt datasætkatalog, der indeholder nærmere oplysninger om kilden til og arten af elektroniske sundhedsdata, jf. artikel 77, 78 og 80, og betingelserne for at gøre elektroniske sundhedsdata tilgængelige
ii)
alle ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger uden unødigt ophold efter den indledende modtagelse
iii)
alle udstedte datatilladelser eller godkendte sundhedsdataanmodninger samt afgørelser om afslag, herunder deres begrundelse, senest 30 arbejdsdage efter udstedelsen, godkendelsen eller afslaget
iv)
foranstaltninger vedrørende manglende overholdelse i henhold til artikel 63
v)
resultater meddelt af sundhedsdatabrugere i henhold til artikel 61, stk. 4
vi)
et informationssystem for at opfylde forpligtelserne fastlagt i artikel 58
vii)
oplysninger, som minimum på et lettilgængeligt websted eller en webportal, om nationale kontaktpunkters tilslutning til HealthData@EU for sekundær anvendelse i et tredjeland eller om et system etableret på internationalt plan af internationale organisationer, så snart tredjelandet eller den internationale organisation bliver en autoriseret deltager i HealthData@EU
k)
opfylde forpligtelser over for fysiske personer i henhold til artikel 58
l)
udføre alle andre opgaver i forbindelse med muliggørelsen af den sekundære anvendelse af elektroniske sundhedsdata i forbindelse med denne forordning.
Det i dette stykkes litra j), nr. i), omhandlede nationale datasætkatalog stilles også til rådighed for centrale informationssteder i henhold til artikel 8 i forordning (EU) 2022/868.
2.   Organer med ansvar for adgang til sundhedsdata skal under udførelsen af deres opgaver:
a)
samarbejde med tilsynsmyndigheder i henhold til forordning (EU) 2016/679 i forbindelse med personlige elektroniske sundhedsdata og udvalget for det europæiske sundhedsdataområde
b)
samarbejde med alle relevante interessenter, herunder patientorganisationer, repræsentanter for fysiske personer, sundhedsprofessionelle, forskere og etiske udvalg, hvor det er relevant i overensstemmelse med EU-retten eller national ret
c)
samarbejde med andre nationale kompetente organer, herunder de nationale kompetente myndigheder, der fører tilsyn med dataaltruistiske organisationer i henhold til forordning (EU) 2022/868, de kompetente myndigheder i henhold til forordning (EU) 2023/2854 og de nationale kompetente myndigheder i henhold til forordning (EU) 2017/745, (EU) 2017/746 og (EU) 2024/1689, hvor det er relevant.
3.   Organer med ansvar for adgang til sundhedsdata kan yde bistand til offentlige myndigheder, hvis disse offentlige myndigheder har adgang til elektroniske sundhedsdata i overensstemmelse med artikel 14 i forordning (EU) 2023/2854.
4.   Organer med ansvar for adgang til sundhedsdata kan yde støtte til en offentlig myndighed, hvis de opnår data under de omstændigheder, der er omhandlet i artikel 15, litra a) eller b), i forordning (EU) 2023/2854 i overensstemmelse med reglerne fastlagt i nævnte forordning, ved at yde teknisk støtte til at behandle disse data eller samkøre dem med andre data med henblik på fælles analyse.
Artikel 58
Forpligtelser for organer med ansvar for adgang til sundhedsdata over for fysiske personer
1.   Organer med ansvar for adgang til sundhedsdata gør oplysninger om de betingelser, hvorunder elektroniske sundhedsdata stilles til rådighed til sekundær anvendelse, offentligt tilgængelige, lette at søge i via elektroniske midler og tilgængelige for fysiske personer. Disse oplysninger skal omfatte følgende:
a)
det retsgrundlag, i henhold til hvilket sundhedsdatabrugeren gives adgang til elektroniske sundhedsdata
b)
de tekniske og organisatoriske foranstaltninger, der er truffet for at beskytte fysiske personers rettigheder
c)
fysiske personers gældende rettigheder i forbindelse med sekundær anvendelse
d)
de nærmere vilkår for, at fysiske personer kan udøve deres rettigheder i overensstemmelse med kapitel III i forordning (EU) 2016/679
e)
identiteten på og kontaktoplysningerne for organet med ansvar for adgang til sundhedsdata
f)
hvem der har fået adgang til datasæt af elektroniske sundhedsdata, og hvilke datasæt de har fået adgang til, samt nærmere oplysninger om datatilladelsen vedrørende formålene med at behandle sådanne data i henhold til artikel 53, stk. 1
g)
resultaterne af de projekter, som de elektroniske sundhedsdata blev anvendt til.
2.   Hvis en medlemsstat har fastsat, at retten til fravalg i henhold til artikel 71 skal udøves gennem organerne med ansvar for adgang til sundhedsdata, skal de relevante organer med ansvar for adgang til sundhedsdata give offentlige oplysninger om proceduren for fravalg og lette udøvelsen af denne ret.
3.   Hvis et organ med ansvar for adgang til sundhedsdata underrettes af en sundhedsdatabruger om et væsentligt fund, der vedrører en fysisk persons helbred, som omhandlet i artikel 61, stk. 5, skal organet med ansvar for adgang til sundhedsdata underrette sundhedsdataindehaveren herom. Sundhedsdataindehaveren underretter på de betingelser, der er fastsat i national ret, den fysiske person eller den sundhedsperson, der behandler den pågældende fysiske person. Fysiske personer har ret til at anmode om ikke at blive underrettet om sådanne fund.
4.   Medlemsstaterne informerer offentligheden om, hvilken rolle organerne med ansvar for adgang til sundhedsdata spiller, og hvilke fordele der er forbundet med dem.
Artikel 59
Organerne med ansvar for adgang til sundhedsdatas rapportering
1.   Hvert organ med ansvar for adgang til sundhedsdata offentliggør hvert andet år en aktivitetsrapport og gør den offentligt tilgængelig på sit websted. Hvis en medlemsstat udpeger mere end ét organ med ansvar for adgang til sundhedsdata, er det i artikel 55, stk. 1, omhandlede koordineringsorgan, ansvarligt for aktivitetsrapporten og anmoder de andre organer med ansvar for adgang til sundhedsdata om de nødvendige oplysninger. Denne aktivitetsrapport skal følge en struktur, der er aftalt af udvalget for det europæiske sundhedsdataområde i henhold til artikel 94, stk. 2, litra d), og som minimum indeholde følgende kategorier af oplysninger:
a)
oplysninger vedrørende ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger, der er indgivet, såsom typer af sundhedsdataansøgere, antal datatilladelser, der er udstedt eller afvist, kategorier af formål med adgang og kategorier af elektroniske sundhedsdata, hvortil der er givet adgang, og et resumé af resultaterne af anvendelsen af elektroniske sundhedsdata, hvor det er relevant
b)
oplysninger om sundhedsdatabrugeres og sundhedsdataindehaveres opfyldelse af reguleringsmæssige og kontraktlige forpligtelser samt antallet og størrelsen af administrative bøder, der er pålagt af organer med ansvar for adgang til sundhedsdata
c)
oplysninger om kontroller udført hos sundhedsdatabrugere for at sikre, at den behandling, de foretager i det sikre databehandlingsmiljø, overholder kravene i henhold til i artikel 73, stk. 1, litra e)
d)
oplysninger om interne og tredjeparters kontroller af sikre databehandlingsmiljøers overholdelse af de i artikel 73, stk. 3, omhandlede fastsatte standarder, specifikationer og krav
e)
oplysninger om behandlingen af anmodninger fra fysiske personer vedrørende udøvelsen af deres databeskyttelsesrettigheder
f)
en beskrivelse af organet med ansvar for adgang til sundhedsdatas aktiviteter i forbindelse med inddragelse og høring af relevante interessenter
g)
indtægter fra datatilladelser og sundhedsdataanmodninger
h)
det gennemsnitlige antal dage mellem ansøgninger om adgang til sundhedsdata eller sundhedsdataanmodninger og adgang til data
i)
antallet af datakvalitetsmærker, der er udstedt af sundhedsdataindehavere, og som er opdelt efter kvalitetskategori
j)
antallet af fagfællebedømte forskningspublikationer, politikdokumenter og reguleringsmæssige procedurer, der er baseret på data, der er tilgået via det europæiske sundhedsdataområde
k)
antallet af digitale sundhedsprodukter og -tjenester, herunder AI-applikationer, udviklet ved hjælp af data, der er tilgået via det europæiske sundhedsdataområde.
2.   Den i stk. 1 omhandlede aktivitetsrapport forelægges Kommissionen og udvalget for det europæiske sundhedsdataområde senest seks måneder efter udgangen af det andet år i den relevante rapporteringsperiode. Aktivitetsrapporten skal være tilgængelig via Kommissionens websted.
Artikel 60
Sundhedsdataindehavernes opgaver
1.   Sundhedsdataindehavere stiller efter anmodning relevante elektroniske sundhedsdata omhandlet i artikel 51 til rådighed for organet med ansvar for adgang til sundhedsdata i overensstemmelse med en datatilladelse udstedt i henhold til artikel 68 eller efter en sundhedsdataanmodning godkendt i henhold til artikel 69.
2.   Sundhedsdataindehavere stiller de i stk. 1 omhandlede elektroniske sundhedsdata, der anmodes om, til rådighed for organet med ansvar for adgang til sundhedsdata inden for en rimelig frist og senest tre måneder efter modtagelse af anmodningen af organet med ansvar for adgang til sundhedsdata. I begrundede tilfælde kan organet med ansvar for adgang til sundhedsdata forlænge denne periode med højest tre måneder.
3.   Sundhedsdataindehaveren fremsender en beskrivelse af det datasæt, den er i besiddelse af, til organet med ansvar for adgang til sundhedsdata i overensstemmelse med artikel 77. Sundhedsdataindehaveren kontrollerer som minimum en gang om året, at beskrivelsen af datasættet i kataloget over nationale datasæt er nøjagtig og ajourført.
4.   Hvis et datakvalitets- og dataudnyttelsesmærke ledsager datasættet i henhold til artikel 78, skal sundhedsdataindehaveren forelægge organet med ansvar for adgang til sundhedsdata tilstrækkelig dokumentation til, at det kan kontrollere, at mærkningen er korrekt.
5.   Sundhedsdataindehavere af andre elektroniske sundhedsdata end personoplysninger giver adgang til data gennem pålidelige åbne databaser for at sikre ubegrænset adgang for alle brugere samt lagring og opbevaring af data. Pålidelige åbne offentlige databaser skal have en robust, gennemsigtig og bæredygtig forvaltningsmodel og en gennemsigtig model for brugeradgang.
Artikel 61
Sundhedsdatabrugeres opgaver
1.   Sundhedsdatabrugere må kun tilgå og behandle de i artikel 51 omhandlede elektroniske sundhedsdata til sekundær anvendelse i overensstemmelse med en datatilladelse udstedt i henhold til artikel 68, en sundhedsdataanmodning godkendt i henhold til artikel 69 eller, i de i artikel 67, stk. 3, omhandlede situationer, en adgangsgodkendelse fra den relevante autoriserede deltager i HealthData@EU, jf. artikel 75.
2.   Ved behandling af elektroniske sundhedsdata inden for de i artikel 73 omhandlede sikre databehandlingsmiljøer, må sundhedsdatabrugerne ikke give adgang til de elektroniske sundhedsdata eller stille disse data til rådighed for tredjeparter, der ikke er nævnt i datatilladelsen.
3.   Sundhedsdatabrugere må ikke reidentificere eller forsøge at reidentificere de fysiske personer, som de elektroniske sundhedsdata, der er opnået af sundhedsdatabrugere på grundlag af en datatilladelse, en sundhedsdataanmodning eller en dataadgangsgodkendelse fra en autoriseret deltager i HealthData@EU, tilhører.
4.   Sundhedsdatabrugere offentliggør resultaterne eller outputtet af sekundær anvendelse, herunder oplysninger, der er relevante for levering af sundhedsydelser, senest 18 måneder efter afslutningen af behandlingen af de elektroniske sundhedsdata i det sikre databehandlingsmiljø eller efter at have modtaget svaret på den i artikel 69 omhandlede sundhedsdataanmodning.
I begrundede tilfælde vedrørende de tilladte formål med behandlingen af elektroniske sundhedsdata kan den i første afsnit omhandlede periode forlænges af organet med ansvar for adgang til sundhedsdata, navnlig i tilfælde, hvor resultatet offentliggøres i et videnskabeligt tidsskrift eller anden videnskabelig publikation.
Resultaterne eller outputtet af sekundær anvendelse må kun indeholde anonymiserede data.
Sundhedsdatabrugere underretter de organer med ansvar for adgang til sundhedsdata, hvorfra der var opnået en datatilladelse, om resultaterne og outputtet af sekundær anvendelse og bistår dem med at gøre disse oplysninger offentligt tilgængelige på organerne med ansvar for adgang til sundhedsdatas websteder. En sådan offentliggørelse berører ikke retten til offentliggørelse i videnskabelige tidsskrifter eller andre videnskabelige publikationer.
Når sundhedsdatabrugerne anvender elektroniske sundhedsdata i overensstemmelse med dette kapitel, anerkender de kilderne til de elektroniske sundhedsdata og det forhold, at de er opnået inden for rammerne af det europæiske sundhedsdataområde.
5.   Uden at dette berører stk. 2, underretter sundhedsdatabrugere organet med ansvar for adgang til sundhedsdata om ethvert væsentligt fund, der kan påvirke helbredet for den fysiske person, hvis data indgår i datasættet.
6.   Sundhedsdatabrugerne samarbejder med organer med ansvar for adgang til sundhedsdata om disse organers udførelse af deres opgaver.
Artikel 62
Gebyrer
1.   Organer med ansvar for adgang til sundhedsdata, herunder Unionens tjeneste for adgang til sundhedsdata eller betroede sundhedsdataindehavere, jf. artikel 72, kan opkræve gebyrer for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse.
Gebyrerne skal stå i forhold til omkostningerne ved at stille dataene til rådighed og de må ikke begrænse konkurrencen.
Gebyrerne skal dække alle eller en del af omkostningerne til proceduren til vurdering af en ansøgning om adgang til sundhedsdata eller en sundhedsdataanmodning, til udstedelse af, afslag på eller ændring af en datatilladelse i henhold til artikel 67 og 68 eller til svar på en sundhedsdataanmodning indgivet i henhold til artikel 69, herunder omkostninger i forbindelse med konsolidering, forberedelse, pseudonymisering, anonymisering og levering af elektroniske sundhedsdata.
Medlemsstaterne kan fastsætte nedsatte gebyrer for visse typer sundhedsdatabrugere, der befinder sig i Unionen, såsom offentlige myndigheder eller Unionens institutioner, organer, kontorer eller agenturer med et retligt mandat på folkesundhedsområdet, universitetsforskere eller mikrovirksomheder.
2.   Gebyrerne omhandlet i denne artikels stk. 1 kan omfatte kompensation for de omkostninger, som sundhedsdataindehaveren har afholdt i forbindelse med indsamling og forberedelse af de elektroniske sundhedsdata, der skal stilles til rådighed til sekundær anvendelse. I sådanne tilfælde forelægger sundhedsdataindehaveren et skøn over sådanne omkostninger for organet med ansvar for adgang til sundhedsdata. Når sundhedsdataindehaveren er en offentlig myndighed, finder artikel 6 i forordning (EU) 2022/868 ikke anvendelse. Den del af gebyrerne, der er knyttet til sundhedsdataindehaverens omkostninger, betales til sundhedsdataindehaveren.
3.   Eventuelle gebyrer, som organer med ansvar for adgang til sundhedsdata eller sundhedsdataindehavere måtte opkræve af sundhedsdatabrugere i henhold til denne artikel, skal være gennemsigtige og ikkediskriminerende.
4.   Hvis sundhedsdataindehavere og sundhedsdatabrugere ikke er blevet enige om gebyrernes størrelse senest én måned efter udstedelsen af datatilladelsen, kan organet med ansvar for adgang til sundhedsdata fastsætte gebyrerne i forhold til omkostningerne ved at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse. Hvis sundhedsdataindehaverne eller databrugerne er uenige i det gebyr, der er fastsat af organet med ansvar for adgang til sundhedsdata, skal de have adgang til tvistbilæggelsesorganer i overensstemmelse med artikel 10 i forordning (EU) 2023/2854.
5.   Inden organet med ansvar for adgang til sundhedsdata udsteder en datatilladelse i henhold til artikel 68 eller besvarer en sundhedsdataanmodning indgivet i henhold til artikel 69, underretter organet sundhedsdataansøgeren om de anslåede gebyrer. Sundhedsdataansøgeren underrettes om muligheden for at trække ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen tilbage. Hvis sundhedsdataansøgeren trækker sin ansøgning eller anmodning tilbage, opkræves sundhedsdataansøgeren kun de omkostninger, der allerede er afholdt.
6.   Kommissionen fastsætter ved hjælp af gennemførelsesretsakter principper og regler for gebyrpolitikker og gebyrstrukturer, herunder fradrag til de i denne artikels stk. 1, fjerde afsnits omhandlede enheder, med henblik på at støtte sammenhæng og gennemsigtighed mellem medlemsstater vedrørende sådanne gebyrpolitikker og gebyrstrukturer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 63
Håndhævelse ved organerne med ansvar for adgang til sundhedsdata
1.   Når organerne med ansvar for adgang til sundhedsdata udfører deres i artikel 57, stk. 1, litra a), nr. ii), omhandlede overvågnings- og tilsynsopgaver, har de ret til at anmode om og modtage alle nødvendige oplysninger fra sundhedsdatabrugere og sundhedsdataindehavere for at kontrollere overholdelsen af dette kapitel.
2.   Hvis organer med ansvar for adgang til sundhedsdata konstaterer, at en sundhedsdatabruger eller sundhedsdataindehaver ikke opfylder kravene i dette kapitel, underretter de straks sundhedsdatabrugeren eller sundhedsdataindehaveren om disse konstateringer og træffer passende foranstaltninger. Det pågældende organ med ansvar for adgang til sundhedsdata giver den pågældende sundhedsdatabruger eller sundhedsdataindehaver mulighed for at tilkendegive deres synspunkter inden for en rimelig frist på højst fire uger.
Hvis konstateringen af manglende opfyldelse af kravene vedrører en mulig overtrædelse af forordning (EU) 2016/679, underretter det pågældende organ med ansvar for adgang til sundhedsdata straks tilsynsmyndighederne i henhold til nævnte forordning og giver dem alle relevante oplysninger om denne konstatering.
3.   Med hensyn til sundhedsdatabrugeres manglende overholdelse har organer med ansvar for adgang til sundhedsdata beføjelse til at tilbagekalde den datatilladelse, der er udstedt i henhold til artikel 68, og uden unødigt ophold at standse den pågældende behandling af elektroniske sundhedsdata, der udføres af sundhedsdatabrugeren, og træffer passende og forholdsmæssige foranstaltninger til at sikre, at sundhedsdatabrugernes behandling opfylder kravene.
Som en del af sådanne håndhævelsesforanstaltninger kan organerne med ansvar for adgang til sundhedsdata også, hvor det er relevant, udelukke eller indlede procedurer for i overensstemmelse med national ret at udelukke den pågældende databruger fra enhver adgang til elektroniske sundhedsdata inden for det europæiske sundhedsdataområde i forbindelse med sekundær anvendelse i en periode på op til fem år.
4.   Med hensyn til sundhedsdataindehaveres manglende overholdelse, hvis en sundhedsdataindehaver tilbageholder de elektroniske sundhedsdata fra organer med ansvar for adgang til sundhedsdata med åbenlys hensigt om at hindre anvendelsen af elektroniske sundhedsdata eller ikke overholder de i artikel 60, stk. 2, fastsatte frister, har organet med ansvar for adgang til sundhedsdata beføjelse til at pålægge sundhedsdataindehaveren tvangsbøder for hver dags forsinkelse, hvilket skal ske gennemsigtigt og forholdsmæssigt. Bødernes størrelse fastsættes af organet med ansvar for adgang til sundhedsdata i overensstemmelse med national ret. I tilfælde af gentagne overtrædelser fra sundhedsdataindehaverens side af forpligtelsen til samarbejde med organet med ansvar for adgang til sundhedsdata kan dette organ udelukke eller indlede procedurer i overensstemmelse med national ret for at udelukke sundhedsdataindehaveren fra at indgive ansøgninger om adgang til sundhedsdata i henhold til dette kapitel i en periode på op til fem år. I udelukkelsesperioden er sundhedsdataindehaveren fortsat forpligtet til at gøre data tilgængelige i henhold til dette kapitel, hvor det er relevant.
5.   Organet med ansvar for adgang til sundhedsdata meddeler uden ophold den pågældende sundhedsdatabruger eller -indehaver de håndhævelsesforanstaltninger, der er truffet i henhold til stk. 3 og 4, og begrundelserne herfor og fastsætter en rimelig frist, inden for hvilken sundhedsdataindehaveren eller -brugeren skal overholde foranstaltningerne.
6.   Alle håndhævelsesforanstaltninger, der er truffet af organet med ansvar for adgang til sundhedsdata i henhold til stk. 3, skal meddeles andre organer med ansvar for adgang til sundhedsdata gennem det i stk. 7 omhandlede IT-værktøj. Organer med ansvar for adgang til sundhedsdata kan gøre disse oplysninger offentligt tilgængelige på deres websteder.
7.   Kommissionen fastlægger ved hjælp af gennemførelsesretsakter arkitekturen for et IT-værktøj, som en del af infrastrukturen for HealthData@EU, jf. artikel 75, der har til formål at støtte og gøre de i nærværende artikels omhandlede håndhævelsesforanstaltninger, navnlig tvangsbøder, tilbagekaldelse af datatilladelser og udelukkelser, gennemsigtige for andre organer med ansvar for adgang til sundhedsdata. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
8.   Kommissionen udsteder senest den 26. marts 2032 i tæt samarbejde med udvalget for det europæiske sundhedsdataområde retningslinjer for håndhævelsesforanstaltninger, herunder tvangsbøder og andre foranstaltninger, der skal træffes af organer med ansvar for adgang til sundhedsdata.
Artikel 64
Generelle betingelser for, at organer med ansvar for adgang til sundhedsdata kan pålægge administrative bøder
1.   Hvert organ med ansvar for adgang til sundhedsdata sikrer, at pålæggelsen af administrative bøder i henhold til denne artikel for overtrædelser som omhandlet i stk. 4 og 5 er effektiv, står i rimeligt forhold til overtrædelsen og har afskrækkende virkning i hver enkelt sag.
2.   Afhængigt af omstændighederne i hver enkelt sag pålægges administrative bøder i tillæg til eller i stedet for håndhævelsesforanstaltninger som omhandlet i artikel 63, stk. 3 og 4. Organer med ansvar for adgang til sundhedsdata træffer afgørelse om, hvorvidt der skal pålægges en administrativ bøde, og om den administrative bødes størrelse i hver enkelt tilfælde, under behørig hensyntagen til følgende omstændigheder:
a)
overtrædelsens karakter, alvor og varighed
b)
hvorvidt andre kompetente myndigheder allerede har pålagt sanktioner eller administrative bøder for samme overtrædelse
c)
hvorvidt overtrædelsen blev begået forsætligt eller uagtsomt
d)
ethvert tiltag, som sundhedsdataindehaveren eller sundhedsdatabrugeren har truffet for at afbøde den skade, der er sket
e)
graden af ansvar hos sundhedsdatabrugeren under hensyntagen til de tekniske og organisatoriske foranstaltninger, som den pågældende sundhedsdatabruger har gennemført i henhold til artikel 67, stk. 2, litra g, og artikel 67, stk. 4
f)
alle relevante tidligere overtrædelser begået af sundhedsdataindehaveren eller sundhedsdatabrugeren
g)
sundhedsdataindehaverens eller sundhedsdataholderens grad af samarbejde med organet med ansvar for adgang til sundhedsdata med hensyn til afhjælpning af overtrædelsen og begrænsning af dens mulige negative konsekvenser
h)
den måde, hvorpå organet med ansvar for adgang til sundhedsdata fik kendskab til overtrædelsen, navnlig om sundhedsdatabrugeren har underrettet det om overtrædelsen og i hvilket omfang
i)
overholdelse af eventuelle håndhævelsesforanstaltninger, der er omhandlet i artikel 63, stk. 3 og 4, der tidligere er blevet pålagt den pågældende dataansvarlige eller databehandler, med hensyn til samme genstand
j)
eventuelle andre skærpende eller formildende faktorer ved sagens omstændigheder såsom opnåede økonomiske fordele eller undgåede tab som direkte eller indirekte følge af overtrædelsen.
3.   Hvis en sundhedsdataindehaver eller en sundhedsdatabruger forsætligt eller uagtsomt overtræder flere bestemmelser i denne forordning for den samme eller en forbundet datatilladelse eller sundhedsdataanmodning, må den administrative bødes samlede størrelse ikke overstige beløbet for den alvorligste overtrædelse.
4.   I overensstemmelse med denne artikels stk. 2 straffes overtrædelser af sundhedsdataindehaverens eller sundhedsdatabrugerens forpligtelser i henhold til artikel 60 og artikel 61, stk. 1, 5 og 6, med administrative bøder på højest 10 000 000 EUR, eller hvis det drejer sig om en virksomhed, på højest 2 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere.
5.   I overensstemmelse med stk. 2, straffes følgende overtrædelser med administrative bøder på højest 20 000 000 EUR, eller, hvis det drejer sig om en virksomhed, på højest 4 % af dens samlede globale årlige omsætning i det foregående regnskabsår, såfremt dette beløb er højere:
a)
sundhedsdatabrugere der behandler elektroniske sundhedsdata, som er opnået via en datatilladelse udstedt i henhold til artikel 68 til de i artikel 54 omhandlede anvendelser
b)
sundhedsdatabrugere, der udtrækker personlige elektroniske sundhedsdata fra sikre databehandlingsmiljøer
c)
reidentifikation eller forsøg på reidentifikation af de fysiske personer, som de elektroniske sundhedsdata, som er opnået af sundhedsdatabrugerne på grundlag af en datatilladelse eller en sundhedsdataanmodning i henhold til artikel 61, stk. 3, vedrører
d)
manglende overholdelse af håndhævelsesforanstaltninger truffet af organet med ansvar for adgang til sundhedsdata i henhold til artikel 63, stk. 3 og 4.
6.   Uden at det berører de beføjelser, som organer med ansvar for adgang til sundhedsdata har i henhold til artikel 63, kan hver medlemsstat fastsætte regler om, hvorvidt og i hvilket omfang administrative bøder må pålægges offentlige myndigheder, der er etableret i den pågældende medlemsstat.
7.   Udøvelsen af de beføjelser, som et organ med ansvar for adgang til sundhedsdata har i henhold til denne artikel, er underlagt fornødne proceduremæssige garantier i overensstemmelse med EU-retten og national ret, herunder effektive retsmidler og retfærdig procedure.
8.   Hvis en medlemsstats retssystem ikke giver mulighed for at pålægge administrative bøder, kan denne artikel anvendes på en sådan måde, at det i overensstemmelse med dens nationale retlige rammer sikres, at disse retsmidler er effektive, og har en tilsvarende virkning som de administrative bøder, som pålægges af organer med ansvar for adgang til sundhedsdata. De bøder, der pålægges, skal under alle omstændigheder være effektive, stå i rimeligt forhold til overtrædelsen og have afskrækkende virkning. Den pågældende medlemsstat meddeler Kommissionen de bestemmelser i dens lovgivning, som den vedtager i medfør af dette stykke, senest den 26. marts 2029 og straks enhver senere lovgivning, der ændrer sådanne bestemmelser eller ændringer, der berører sådanne bestemmelser.
Artikel 65
Forholdet til tilsynsmyndighederne i henhold til forordning (EU) 2016/679
Den eller de tilsynsmyndigheder, der er ansvarlige for at overvåge og håndhæve anvendelsen af forordning (EU) 2016/679, er også kompetente med hensyn til at overvåge og håndhæve anvendelsen af retten til at fravælge behandlingen af personlige elektroniske sundhedsdata til sekundær anvendelse, jf. artikel 71. Disse tilsynsmyndigheder har beføjelse til at pålægge administrative bøder op til det beløb, der er omhandlet i artikel 83 i forordning (EU) 2016/679.
De tilsynsmyndigheder, der er omhandlet i nærværende artikels stk. 1, og de organer med ansvar for adgang til sundhedsdata, der er omhandlet i nærværende forordnings artikel 55, samarbejder, hvor det er relevant, om håndhævelsen af nærværende forordning inden for rammerne af deres respektive beføjelser. De relevante bestemmelser i forordning (EU) 2016/679 finder tilsvarende anvendelse.
AFDELING 3
Adgang til elektroniske sundhedsdata til sekundær anvendelse
Artikel 66
Dataminimering og formålsbegrænsning
1.   Hvis organer med ansvar for adgang til sundhedsdata modtager en ansøgning om adgang til sundhedsdata, sikrer de, at der kun gives adgang til de elektroniske sundhedsdata, der er tilstrækkelige, relevante og begrænset til hvad der er nødvendigt i forhold det formål med sundhedsdatabrugerens behandling, der er angivet i ansøgningen om adgang til sundhedsdata, og i overensstemmelse med datatilladelsen udstedt i henhold til artikel 68.
2.   Organer med ansvar for adgang til sundhedsdata leverer elektroniske sundhedsdata i et anonymiseret format, hvor formålet med sundhedsdatabrugerens behandling kan opfyldes med sådanne data, idet der tages hensyn til oplysningerne fra sundhedsdatabrugeren.
3.   Hvis sundhedsdatabrugeren i tilstrækkelig grad har påvist, at formålet med behandlingen ikke kan opfyldes med anonymiserede data i overensstemmelse med artikel 68, stk. 1, litra c), giver organerne med ansvar for adgang til sundhedsdata adgang til elektroniske sundhedsdata i pseudonymiseret format. De oplysninger, der er nødvendige for at ophæve pseudonymiseringen, må kun være tilgængelige for organet med ansvar for adgang til sundhedsdata eller en enhed, der fungerer som en pålidelig tredjepart i overensstemmelse med national ret.
Artikel 67
Ansøgninger om adgang til sundhedsdata
1.   En fysisk eller juridisk person kan indgive en ansøgning om adgang til sundhedsdata til de i artikel 53, stk. 1, omhandlede formål, til et organ med ansvar for adgang til sundhedsdata.
2.   Ansøgningen om adgang til sundhedsdata skal indeholde:
a)
sundhedsdataansøgerens identitet, en beskrivelse af den pågældende sundhedsdataansøgers faglige funktioner og aktiviteter, herunder identiteten af de fysiske personer, som ville få adgang til de elektroniske sundhedsdata, hvis der udstedtes en datatilladelse; sundhedsansøgeren underretter organet med ansvar for adgang til sundhedsdata om enhver ajourføring af listen over fysiske personer
b)
de i artikel 53, stk. 1, omhandlede formål, hvortil der søges om adgang til data
c)
en detaljeret redegørelse for den påtænkte anvendelse af de elektroniske sundhedsdata og den forventede fordel ved denne anvendelse, og hvordan denne fordel vil bidrage til de i artikel 53, stk. 1, omhandlede formål
d)
en beskrivelse af de elektroniske sundhedsdata, der anmodes om, herunder deres anvendelsesområde, tidsramme, format, kilder og, hvor det er muligt, den geografiske dækning, hvis der anmodes om sådanne data fra sundhedsdataindehavere i flere medlemsstater eller fra autoriserede deltagere i HealthData@EU, jf. artikel 75
e)
en beskrivelse, der forklarer, om de elektroniske sundhedsdata skal stilles til rådighed i et pseudonymiseret eller anonymiseret format; i tilfælde af et pseudonymiseret format, en begrundelse for hvorfor behandlingen ikke kan foretages med anonymiserede data
f)
hvis sundhedsdataansøgeren har til hensigt at indføre datasæt, som allerede er i denne sundhedsdataansøgers besiddelse, i det sikre databehandlingsmiljø, en beskrivelse af disse datasæt
g)
en beskrivelse af garantierne, som skal stå i et rimeligt forhold til risiciene, og som er planlagt for at forhindre misbrug af de elektroniske sundhedsdata samt for at beskytte sundhedsdataindehaverens og de berørte fysiske personers rettigheder og interesser, herunder for at forhindre enhver reidentifikation af fysiske personer i datasættet
h)
en begrundet angivelse over den periode, hvor der er behov for de elektroniske sundhedsdata til behandlingen i et sikkert databehandlingsmiljø
i)
en beskrivelse af de værktøjer og databehandlingsressourcer, der er nødvendige for et sikkert databehandlingsmiljø
j)
hvis det er relevant, oplysninger om enhver vurdering af de etiske aspekter af behandlingen, der kræves i henhold til national ret, og som kan erstatte sundhedsdataansøgerens egen etiske vurdering
k)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er givet i national ret i henhold til nævnte artikel.
3.   Hvor der søges adgang til elektroniske sundhedsdata der holdes af sundhedsdataindehavere, der er etableret i mere end én medlemsstat, eller fra de relevante autoriserede deltagere i HealthData@EU, der er omhandlet i artikel 75, indgiver sundhedsdataansøgeren en enkelt ansøgning om adgang til sundhedsdata via organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor sundhedsdataansøgerens hovedforretningssted befinder sig, gennem de organer med ansvar for adgang til sundhedsdata i den medlemsstat hvor disse sundhedsdataindehavere er etableret eller gennem de tjenester, der leveres af Kommissionen i HealthData@EU, jf. artikel 75. Ansøgningen om adgang til sundhedsdata sendes automatisk til de relevante autoriserede deltagere i HealthData@EU og til organerne med ansvar for adgang til sundhedsdata i de medlemsstater, hvor sundhedsdataindehaverne, der er identificeret i ansøgningen om adgang til sundhedsdata, er etableret.
4.   Hvis sundhedsdataansøgeren søger adgang til de personlige elektroniske sundhedsdata i pseudonymiseret format, forelægger sundhedsdataansøgeren sammen med ansøgningen om adgang til sundhedsdata en beskrivelse af, hvordan behandlingen vil være i overensstemmelse med gældende EU-ret eller national ret om databeskyttelse og privatlivets fred, navnlig med forordning (EU) 2016/679 og mere specifikt med artikel 6, stk. 1, deri.
5.   Offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer giver de samme oplysninger som dem, der kræves i henhold til stk. 2 og 4, med undtagelse af stk. 2, litra h), i hvilke tilfælde de i stedet indsender elektroniske sundhedsdata om den periode, i hvilken dataene kan tilgås, hyppigheden af denne adgang eller hyppigheden af dataajourføringer.
Artikel 68
Datatilladelse
1.   Med henblik på at give adgang til elektroniske sundhedsdata, vurderer organerne med ansvar for adgang til sundhedsdata om alle følgende kriterier er opfyldt:
a)
de formål, der er beskrevet i ansøgningen om adgang til sundhedsdata, svarer til et eller flere af de formål, der er anført i artikel 53, stk. 1
b)
de ønskede data er nødvendige, tilstrækkelige og forholdsmæssige til de formål, der er beskrevet i ansøgningen om adgang til sundhedsdata, under hensyntagen til krav om dataminimering og formålsbegrænsning, jf. artikel 66
c)
behandlingen er i overensstemmelse med artikel 6, stk. 1, i forordning (EU) 2016/679, og i tilfælde af pseudonymiserede data er der tilstrækkelig begrundelse for, at formålet ikke kan opfyldes med anonymiserede oplysninger
d)
sundhedsdataansøgeren er kvalificeret i forhold til de erklærede formål med dataanvendelse og har passende ekspertise, herunder faglige kvalifikationer inden for sundhedsydelser, pleje, folkesundhed eller forskning, i overensstemmelse med etisk praksis og gældende love og bestemmelser
e)
sundhedsdataansøgeren dokumenterer tilstrækkelige tekniske og organisatoriske foranstaltninger til at forhindre misbrug af de elektroniske sundhedsdata og til at beskytte sundhedsdataindehaverens og de berørte fysiske personers rettigheder og interesser
f)
oplysningerne om den i artikel 67, stk. 2, litra j), omhandlede vurdering af de etiske aspekter af behandlingen er i givet fald i overensstemmelse med national ret
g)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er påkrævet i national ret i henhold til nævnte artikel, er blevet givet
h)
sundhedsdataansøgeren opfylder alle andre krav i dette kapitel.
2.   Organet med ansvar for adgang til sundhedsdata tager også følgende i betragtning:
a)
risici for det nationale forsvar, sikkerheden, den offentlige sikkerhed og den offentlige orden
b)
risikoen for underminering af fortroligheden af data i de regulerende myndigheders statslige databaser.
3.   Hvis organet med ansvar for adgang til sundhedsdata konkluderer, at kravene i stk. 1 er opfyldt, og at de risici, der er omhandlet i stk. 2, er tilstrækkeligt afbødet, giver organet med ansvar for adgang til sundhedsdata adgang til elektroniske sundhedsdata ved at udstede en datatilladelse. Organer med ansvar for adgang til sundhedsdata afslår alle ansøgninger om adgang til sundhedsdata, for hvilke kravene i dette kapitel ikke er opfyldt.
Hvis kravene til udstedelse af en datatilladelse ikke er opfyldt, men kravene om at give et svar i et anonymiseret statistisk format i henhold til artikel 69 er opfyldt, kan organet med ansvar for adgang til sundhedsdata beslutte at give et sådant svar på betingelse af, at afgivelsen af svaret vil mindske risiciene, og, hvis formålet med ansøgningen om adgang til sundhedsdata kan opfyldes på denne måde, at sundhedsdataansøgeren indvilliger i at modtage et svar i et anonymiseret statistisk format i henhold til artikel 69.
4.   Uanset forordning (EU) 2022/868 skal et organ med ansvar for adgang til sundhedsdata udstede eller afslå en datatilladelse senest tre måneder efter modtagelsen af en fuldstændig ansøgning om adgang til sundhedsdata. Hvis organet med ansvar for adgang til sundhedsdata konstaterer, at ansøgningen om adgang til sundhedsdata er ufuldstændig, underretter det sundhedsdataansøgeren herom og giver denne mulighed for at fuldstændiggøre den pågældende ansøgning. Hvis sundhedsdataansøgeren ikke fuldstændiggøre ansøgningen om adgang til sundhedsdata inden for fire uger, udstedes der ikke en datatilladelse.
Organet med ansvar for adgang til sundhedsdata kan forlænge fristen for besvarelse af en ansøgning om adgang til sundhedsdata med yderligere tre måneder, hvis det er nødvendigt, under hensyntagen til ansøgningen om adgang til sundhedsdatas hastende karakter og kompleksitet og omfanget af ansøgninger om adgang til sundhedsdata, der er indgivet til afgørelse. I sådanne tilfælde underretter organet med ansvar for adgang til sundhedsdata hurtigst muligt sundhedsdataansøgeren om, at der er behov for mere tid til at behandle ansøgningen om adgang til sundhedsdata, sammen med årsagerne til forsinkelsen.
5.   Ved behandling af en ansøgning om adgang til sundhedsdata med henblik på grænseoverskridende adgang til elektroniske sundhedsdata, der er omhandlet i artikel 67, stk. 3, er organer med ansvar for adgang til sundhedsdata og relevante autoriserede deltagere i HealthData@EU, jf. artikel 75, fortsat ansvarlige for at vedtage afgørelser om at give eller nægte adgang til elektroniske sundhedsdata inden for deres ansvarsområde i overensstemmelse dette kapitel.
De pågældende organer med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU underretter hinanden om deres afgørelser. De kan tage hensyn til disse oplysninger, når de træffer afgørelse om at give eller nægte adgang til elektroniske sundhedsdata.
En datatilladelse udstedt af et organ med ansvar for adgang til sundhedsdata kan opnå gensidig anerkendelse fra de andre organer med ansvar for adgang til sundhedsdata.
6.   Medlemsstaterne fastsætter bestemmelser om en fremskyndet procedure for ansøgning om adgang til sundhedsdata for offentlige myndigheder og EU-institutioner, -organer, -kontorer og -agenturer med et retligt mandat på folkesundhedsområdet, hvis behandlingen af elektroniske sundhedsdata skal foretages med henblik på de formål, der er fastsat i artikel 53, stk. 1, litra a), b) og c).
Hvis en sådan fremskyndet procedure finder anvendelse, skal organet med ansvar for adgang til sundhedsdata udstede eller afslå en datatilladelse senest to måneder efter modtagelsen af en fuldstændig ansøgning om adgang til sundhedsdata. Organet med ansvar for adgang til sundhedsdata kan om nødvendigt forlænge fristen for besvarelse af en ansøgning om adgang til sundhedsdata med yderligere en måned.
7.   Efter udstedelsen af datatilladelsen anmoder organet med ansvar for adgang til sundhedsdata straks om de elektroniske sundhedsdata fra dataindehaveren. Organet med ansvar for adgang til sundhedsdata stiller de elektroniske sundhedsdata til rådighed for sundhedsdatabrugeren senest to måneder efter at have modtaget dem fra sundhedsdataindehaverne, medmindre organet angiver, at dataene skal leveres inden for en længere nærmere fastsat frist.
8.   I de tilfælde, der er omhandlet i denne artikels stk. 5, første afsnit, kan organerne med ansvar for adgang til sundhedsdata og autoriserede deltagere i HealthData@EU, der har udstedt henholdsvis en datatilladelse eller en adgangsgodkendelse, beslutte at give adgang til de elektroniske sundhedsdata i det sikre databehandlingsmiljø, som Kommissionen stiller til rådighed, jf. artikel 75, stk. 9.
9.   Hvis organet med ansvar for adgang til sundhedsdata afslår at udstede en datatilladelse, skal det give sundhedsdataansøgeren en begrundelse for dette afslag.
10.   Hvis organet med ansvar for adgang til sundhedsdata udsteder en datatilladelse, fastsætter det i denne datatilladelse de generelle betingelser, der gælder for sundhedsdatabrugeren. Datatilladelsen skal indeholde følgende:
a)
kategorierne, specifikationen og formatet af de elektroniske sundhedsdata, hvortil der skal opnås adgang, og som er omfattet af datatilladelsen, herunder deres kilder og en angivelse af, hvorvidt de elektroniske sundhedsdata skal tilgås i et pseudonymiseret format i det sikre databehandlingsmiljø
b)
en detaljeret beskrivelse af de formål, hvortil de elektroniske sundhedsdata stilles til rådighed
c)
hvis en mekanisme til gennemførelse af en undtagelse er fastsat og finder anvendelse i henhold til artikel 71, stk. 4, oplysninger om, hvorvidt den er blevet anvendt, og begrundelsen for de dertil knyttede afgørelser
d)
identiteten på de autoriserede personer, navnlig identiteten på hovedinvestigatoren, med adgangsrettigheder til de elektroniske sundhedsdata i det sikre databehandlingsmiljø
e)
datatilladelsens varighed
f)
oplysninger om de tekniske karakteristika og værktøjer, der er til rådighed for sundhedsdatabrugeren i det sikre databehandlingsmiljø
g)
de gebyrer, der skal betales af sundhedsdatabrugeren
h)
eventuelle specifikke betingelser.
11.   Sundhedsdatabrugere har ret til at få adgang til og behandle de elektroniske sundhedsdata i et sikkert databehandlingsmiljø i overensstemmelse med den datatilladelse, der er udstedt på grundlag af denne forordning.
12.   Der udstedes en datatilladelse for den periode, der er nødvendig for at opfylde de ønskede formål, og denne periode må ikke overstige ti år. Denne periode kan forlænges én gang med en periode, som ikke overstiger ti år, efter anmodning fra sundhedsdatabrugeren, der skal omfatte en begrundelse og dokumentation til støtte for forlængelsen, hvilket skal indgives én måned før datatilladelsens udløb. Organet med ansvar for adgang til sundhedsdata kan opkræve gebyrer, som stiger for at afspejle omkostningerne og risiciene ved lagring af elektroniske sundhedsdata i en periode, der overstiger den første periode. For at reducere sådanne omkostninger og gebyrer kan organet med ansvar for adgang til sundhedsdata også foreslå sundhedsdatabrugeren at lagre datasættet i et lagringssystem med reduceret kapacitet. En sådan reduceret kapacitet må ikke påvirke sikkerheden af det behandlede datasæt. De elektroniske sundhedsdata i det sikre databehandlingsmiljø slettes senest seks måneder efter datatilladelsens udløb. Efter anmodning fra sundhedsdatabrugeren kan formlen for oprettelse af det ønskede datasæt lagres af organet med ansvar for adgang til sundhedsdata.
13.   Hvis datatilladelsen skal ajourføres, skal sundhedsdatabrugeren indgive en anmodning om ændring af datatilladelsen.
14.   Kommissionen kan ved hjælp af en gennemførelsesretsakt udvikle et logo til anerkendelse af det europæiske sundhedsdataområdes bidrag. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 69
Sundhedsdataanmodning
1.   Sundhedsdataansøgeren kan indgive en sundhedsdataanmodning til de i artikel 53 omhandlede formål, med det formål at opnå et svar udelukkende i et anonymiseret statistisk format. Et organ med ansvar for adgang til sundhedsdata må ikke besvare en sundhedsdataanmodning i et andet format, og sundhedsdatabrugeren må ikke få adgang til de elektroniske sundhedsdata, der anvendes til at give dette svar.
2.   En sundhedsdataanmodning, der er omhandlet i stk. 1, skal indeholde følgende oplysninger:
a)
sundhedsdataansøgerens identitet og en beskrivelse af den pågældende sundhedsdataansøgers erhvervsmæssige funktioner og aktiviteter
b)
en detaljeret redegørelse for den påtænkte anvendelse af de elektroniske sundhedsdata, herunder de i artikel 53, stk. 1, omhandlede formål til hvilke sundhedsdataanmodningen er indgivet
c)
en beskrivelse af de elektroniske sundhedsdata, der anmodes om, deres format og kilderne til disse data, hvis det er muligt
d)
en beskrivelse af det statistiske indhold
e)
en beskrivelse af de garantier, der er planlagt for at forhindre ethvert misbrug af de elektroniske sundhedsdata, der anmodes om
f)
en beskrivelse af, hvordan behandlingen vil være i overensstemmelse med artikel 6, stk. 1, i forordning (EU) 2016/679 eller artikel 5, stk. 1, og artikel 10, stk. 2, i forordning (EU) 2018/1725
g)
hvis sundhedsdataansøgeren har til hensigt at gøre brug af en undtagelse i henhold til artikel 71, stk. 4, den begrundelse, der er krævet i den forbindelse i national ret i henhold til nævnte artikel.
3.   Organet med ansvar for adgang til sundhedsdata vurderer, om sundhedsdataanmodningen er fuldstændig, og tager hensyn til de risici, der er omhandlet i artikel 68, stk. 2.
4.   Organet med ansvar for adgang til sundhedsdata foretager en vurdering af sundhedsdataanmodningen inden for tre måneder fra modtagelsen af anmodningen og forelægger om muligt efterfølgende svaret for sundhedsdatabrugeren inden for yderligere tre måneder.
Artikel 70
Modeller for støtte til adgang til elektroniske sundhedsdata til sekundær anvendelse
Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter modellerne for ansøgningen om adgang til sundhedsdata, datatilladelsen og sundhedsdataanmodningen, der er omhandlet i henholdsvis artikel 67, 68 og 69. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 71
Ret til at fravælge behandlingen af personlige elektroniske sundhedsdata til sekundær anvendelse (opt-out)
1.   Fysiske personer har til enhver tid og uden at skulle give nogen grund hertil ret til at fravælge behandlingen af personlige elektroniske sundhedsdata vedrørende dem, til sekundær anvendelse i henhold til denne forordning. Udøvelsen af denne ret er reversibel.
2.   Medlemsstater sikrer, at der indføres en tilgængelig og letforståelig fravalgsmekanisme til udøvelsen af den i stk. 1 fastsatte ret, hvor fysiske personer udtrykkeligt kan tilkendegive, at de ikke ønsker deres personlige elektroniske sundhedsdata behandlet til sekundær anvendelse.
3.   Når fysiske personer har udøvet deres ret til fravalg, og hvor personlige elektroniske sundhedsdata vedrørende dem kan identificeres i et datasæt, må personlige elektroniske sundhedsdata vedrørende disse fysiske personer ikke stilles til rådighed eller på anden måde behandles i henhold til datatilladelser udstedt i henhold til artikel 68 eller i henhold til sundhedsdataanmodninger godkendt i henhold til artikel 69, efter at den fysiske person har udøvet retten til fravalg.
Dette stykkes første afsnit berører ikke behandlingen til sekundær anvendelse af personlige elektroniske sundhedsdata, som vedrører disse fysiske personer, i henhold til datatilladelser eller sundhedsdataanmodninger, der blev udstedt eller godkendt, inden de fysiske personer udøvede deres ret til fravalg.
4.   Uanset den i stk. 1 fastsatte ret til fravalg kan en medlemsstat i sin nationale ret fastsætte en mekanisme til at stille data, for hvilke der er gjort brug af retten til fravalg til rådighed, forudsat at alle følgende betingelser er opfyldt:
a)
ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen indgives af en offentlig myndighed eller en EU-institution, et EU-organ, -kontor eller -agentur med mandat til at udføre opgaver på folkesundhedsområdet eller af en anden enhed, der har fået overdraget at udføre offentlige opgaver på folkesundhedsområdet, eller som handler på vegne af eller er bestilt af en offentlig myndighed, og behandlingen af disse data er nødvendig til et af følgende formål:
i)
de i artikel 53, stk. 1, litra a), b) og c), omhandlede formål
ii)
videnskabelig forskning af hensyn til vigtige samfundsinteresser
b)
disse data kan ikke opnås ved hjælp af alternative midler på en rettidig og effektiv måde under ensartede betingelser
c)
sundhedsdataansøgeren har fremlagt den begrundelse, der er omhandlet i artikel 68, stk. 1, litra g), eller artikel i 69, stk. 2, litra g).
Den nationale ret vedrørende en sådan mekanisme skal fastsætte specifikke og passende foranstaltninger for at beskytte de fysiske personers grundlæggende rettigheder og personoplysninger.
Hvis en medlemsstat i sin nationale ret har givet mulighed for at anmode om adgang til data, for hvilke retten til fravalg er blevet udøvet, og betingelserne i dette stykkes første afsnit er opfyldt, kan disse data, medtages i forbindelse med udførelsen af opgaverne i henhold til artikel 57, stk. 1, litra a), nr. i) og iii), og litra b).
5.   De regler om en mekanisme til gennemførelse af undtagelser, der som en undtagelse til stk. 1 er fastsat i stk. 4, skal respektere det væsentligste indhold af de grundlæggende rettigheder og frihedsrettigheder og skal være en nødvendig og forholdsmæssig foranstaltning i et demokratisk samfund for at opfylde formål af offentlighedens interesse inden for legitime videnskabelige og samfundsmæssige mål.
6.   Enhver behandling, der udføres i overensstemmelse med mekanismen til gennemførelse af undtagelser, jf. nærværende artikels stk. 4, skal opfylde kravene i dette kapitel, navnlig forbuddet mod at reidentificere eller forsøg på at reidentificere fysiske personer i overensstemmelse med artikel 61, stk. 3. Enhver lovgivningsmæssig foranstaltning, som i national ret fastsætter en mekanisme som omhandlet i nærværende artikels stk. 4, skal omfatte specifikke bestemmelser om sikkerheden og beskyttelsen af fysiske personers rettigheder.
7.   Medlemsstaterne giver straks Kommissionen meddelelse om de bestemmelser i deres nationale ret, som de vedtager i henhold til stk. 4, og om alle senere ændringer, der berører dem.
8.   Hvis formålene med en sundhedsdataindehavers behandling af personlige elektroniske sundhedsdata, ikke eller ikke længere kræver, at den dataansvarlige identificerer en registreret, er den pågældende sundhedsdataindehaver ikke forpligtet til at beholde, indhente eller behandle yderligere oplysninger med henblik på at identificere den registrerede alene med det formål at overholde retten til fravalg i henhold til denne artikel.
Artikel 72
Forenklet procedure for adgang til elektroniske sundhedsdata fra en betroet sundhedsdataindehaver
1.   Hvis et organ med ansvar for adgang til sundhedsdata modtager en ansøgning om adgang til sundhedsdata i henhold til artikel 67 eller en sundhedsdataanmodning i henhold til artikel 69, som kun omfatter elektroniske sundhedsdata, som en betroet sundhedsdataindehaver, der er udpeget i overensstemmelse med nærværende artikels stk. 2, er i besiddelse af, finder proceduren i nærværende artikels stk. 4-6 anvendelse.
2.   Medlemsstaterne kan indføre en procedure, hvorefter sundhedsdataindehavere kan ansøge om at blive udpeget som betroede sundhedsdataindehavere, forudsat at sundhedsdataindehaverne opfylder følgende betingelser:
a)
de kan give adgang til sundhedsdata gennem et sikkert databehandlingsmiljø, der er i overensstemmelse med artikel 73
b)
de har den nødvendige ekspertise til at vurdere ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger
c)
de giver de nødvendige garantier for at sikre, at denne forordning overholdes.
Medlemsstaterne udpeger betroede sundhedsdataindehavere efter en vurdering af opfyldelsen af disse betingelser foretaget af det relevante organ med ansvar for adgang til sundhedsdata.
Medlemsstaterne indfører en procedure for regelmæssigt at undersøge, om den betroede sundhedsdataindehaver fortsat opfylder disse betingelser.
Organer med ansvar for adgang til sundhedsdata angiver de betroede sundhedsdataindehavere i det artikel 77 omhandlede datasætkatalog.
3.   Ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger som omhandlet i stk. 1 indgives til organet med ansvar for adgang til sundhedsdata, som kan videresende dem til den relevante betroede sundhedsdataindehaver.
4.   Efter modtagelse af en ansøgning om adgang til sundhedsdata eller en sundhedsdataanmodning i henhold til denne artikels stk. 3 vurderer den betroede sundhedsdataindehaver ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen i forhold til kriterierne i artikel 68, stk. 1 og 2, eller artikel 69, stk. 2 og 3, alt efter hvad der er relevant.
5.   Den betroede sundhedsdataindehaver indgiver vurderingen, som den foretager i henhold til stk. 4, ledsaget af et forslag til afgørelse til organet med ansvar for adgang til sundhedsdata senest to måneder efter modtagelsen af ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen fra organet med ansvar for adgang til sundhedsdata. Senest to måneder efter modtagelsen af vurderingen træffer organet med ansvar for adgang til sundhedsdata en afgørelse om ansøgningen om adgang til sundhedsdata eller sundhedsdataanmodningen. Organet med ansvar for adgang til sundhedsdata er ikke bundet af det forslag, der indgives af den betroede sundhedsdataindehaver.
6.   Når organet med ansvar for adgang til sundhedsdata har besluttet at udstede datatilladelsen eller godkende sundhedsdataanmodningen, udfører den betroede sundhedsdataindehaver de opgaver, der er omhandlet i artikel 57, stk. 1, litra a), nr. i), og litra b).
7.   Unionens tjeneste for adgang til sundhedsdata, som omhandlet i artikel 56, kan udpege sundhedsdataindehavere, der er EU-institutioner, -organer, -kontorer eller -agenturer, og som opfylder betingelserne, der er fastsat i nærværende artikels stk. 2, første afsnit, litra a), b) og c), som betroede sundhedsdataindehavere. I så fald finder nærværende artikels stk. 2, tredje og fjerde afsnit, samt stk. 3-6, tilsvarende anvendelse.
Artikel 73
Sikkert databehandlingsmiljø
1.   Organer med ansvar for adgang til sundhedsdata må kun give adgang til elektroniske sundhedsdata i henhold til en datatilladelse gennem et sikkert databehandlingsmiljø, som er underlagt tekniske og organisatoriske foranstaltninger og sikkerheds- og interoperabilitetskrav. Navnlig skal man i forbindelse med det sikre databehandlingsmiljø overholde følgende sikkerhedsforanstaltninger:
a)
begrænsningen af adgangen til det sikre databehandlingsmiljø til autoriserede fysiske personer, der er opført på listen i de datatilladelser, der er udstedt i henhold til artikel 68
b)
minimeringen af risikoen for uautoriseret læsning, kopiering, ændring eller fjernelse af elektroniske sundhedsdata, der lagres i det sikre databehandlingsmiljø, ved hjælp af de nyeste tekniske og organisatoriske foranstaltninger
c)
begrænsningen af adgangen til at indlæse elektroniske sundhedsdata samt kontrollere, ændre eller slette elektroniske sundhedsdata, der lagres i det sikre databehandlingsmiljø, til et begrænset antal autoriserede identificerbare personer
d)
der sikrer, at sundhedsdatabrugere kun har adgang til de elektroniske sundhedsdata, der er omfattet af deres datatilladelse, udelukkende ved hjælp af individuelle og unikke brugeridentiteter og fortrolige adgangsmetoder
e)
opbevaring af identificerbare logfiler for adgang til og aktiviteter i det sikre databehandlingsmiljø i den periode, der er nødvendig for at verificere og kontrollere alle behandlingsaktiviteter i det pågældende miljø; logfiler for adgang opbevares i mindst ét år
f)
der sikrer overholdelse og overvågning af de sikkerhedsforanstaltninger, der er omhandlet i dette stykke, for at afbøde potentielle sikkerhedstrusler.
2.   Organer med ansvar for adgang til sundhedsdata sikrer, at sundhedsdataindehaverne kan uploade elektroniske sundhedsdata i det format, der er specificeret i datatilladelsen, og at de kan tilgås af sundhedsdatabrugeren i et sikkert databehandlingsmiljø.
Organer med ansvar for adgang til sundhedsdata gennemgår de elektroniske sundhedsdata i en anmodning om download for at sikre, at sundhedsdatabrugere kun må kunne downloade andre elektroniske sundhedsdata end personoplysninger, herunder elektroniske sundhedsdata i et anonymiseret statistisk format, fra det sikre databehandlingsmiljø.
3.   Organer med ansvar for adgang til sundhedsdata sikrer, at kontroller af de sikre databehandlingsmiljøer foretages regelmæssigt, herunder af tredjeparter, og træffer øjeblikkelige korrigerende tiltag ved enhver mangel, risiko eller sårbarhed, der identificeres ved disse kontroller i de sikre databehandlingsmiljøer.
4.   Hvis anerkendte dataaltruistiske organisationer i henhold til kapitel IV i forordning (EU) 2022/868 behandler personlige elektroniske sundhedsdata ved hjælp af et sikkert databehandlingsmiljø, skal disse miljøer også overholde de sikkerhedsforanstaltninger, der er fastsat i nærværende artikels stk. 1, litra a)-f).
5.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de tekniske og organisatoriske krav og kravene til informationssikkerhed, fortrolighed, databeskyttelse og interoperabilitet for de sikre databehandlingsmiljøer, herunder for så vidt angår de tekniske karakteristika og værktøjer, der er til rådighed for sundhedsdatabrugeren i det sikre databehandlingsmiljø. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 74
Dataansvar
1.   Sundhedsdataindehaveren betragtes som dataansvarlig med hensyn til at stille de personlige elektroniske sundhedsdata, der ønskes i henhold til artikel 60, stk. 1, til rådighed for organet med ansvar for adgang til sundhedsdata.
Organet med ansvar for adgang til sundhedsdata betragtes som dataansvarlig med hensyn til behandling af de personlige elektroniske sundhedsdata, når det udfører sine opgaver i henhold til denne forordning.
Uanset dette stykkes andet afsnit anses organet med ansvar for adgang til sundhedsdata for at handle på vegne af sundhedsdatabrugeren, der handler som dataansvarlig for behandlingen af de personlige elektroniske sundhedsdata i henhold til en datatilladelse udstedt i henhold til artikel 68 i det sikre databehandlingsmiljø, når det leverer data gennem et sådant miljø, eller i forhold til behandlingen af sådanne data i henhold til en sundhedsdataanmodning godkendt i henhold til artikel 69 med henblik på at generere et svar.
2.   I de situationer, der er omhandlet i artikel 72, stk. 6, betragtes den betroede sundhedsdataindehaver som dataansvarlig for behandlingen af personlige elektroniske sundhedsdata i forbindelse med levering af elektroniske sundhedsdata til sundhedsdatabrugeren i henhold til en datatilladelse eller en sundhedsdataanmodning. Den betroede sundhedsdataindehaver anses for at fungere som databehandler på vegne af sundhedsdatabrugeren, når vedkommende leverer data gennem et sikkert databehandlingsmiljø.
3.   Kommissionen kan ved hjælp af gennemførelsesretsakter fastlægge en model for aftaler mellem dataansvarlige og databehandlere i henhold til denne artikels stk. 1 og 2. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
AFDELING 4
Grænseoverskridende infrastruktur til sekundær anvendelse
Artikel 75
HealthData@EU
1.   Hver medlemsstat udpeger ét nationalt kontaktpunkt for sekundær anvendelse. Dette nationale kontaktpunkt for sekundær anvendelse fungerer som en organisatorisk og teknisk portal, der giver mulighed for og er ansvarligt for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse i en grænseoverskridende sammenhæng. Det nationale kontaktpunkt for sekundær anvendelse kan være det i artikel 55, stk. 1, omhandlede koordinerende organ med ansvar for adgang til sundhedsdata. Hver medlemsstat underretter senest den 26. marts 2027 Kommissionen om navnet på og kontaktoplysninger for det nationale kontaktpunkt for sekundær anvendelse. Kommissionen og medlemsstaterne gør disse oplysninger offentligt tilgængelige.
2.   Unionens tjeneste for adgang til sundhedsdata fungerer som EU-institutionernes, -organernes, -kontorernes og -agenturernes kontaktpunkt for sekundær anvendelse og er ansvarlig for at stille elektroniske sundhedsdata til rådighed til sekundær anvendelse.
3.   De i stk. 1 omhandlede nationale kontaktpunkter for sekundær anvendelse, og Unionens tjeneste for adgang til sundhedsdata, der er omhandlet i stk. 2, tilsluttes den grænseoverskridende infrastruktur til sekundær anvendelse, dvs. HealthData@EU. De nationale kontaktpunkter for sekundær anvendelse og Unionens tjeneste for adgang til sundhedsdata letter grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse for forskellige autoriserede deltagere i HealthData@EU. De nationale kontaktpunkter for sekundær anvendelse arbejder tæt sammen med hinanden og med Kommissionen.
4.   Sundhedsrelaterede forskningsinfrastrukturer eller lignende infrastrukturer, hvis funktion er baseret på EU-retten, og som yder støtte til anvendelsen af elektroniske sundhedsdata til forskning, politikudformning, statistik, patientsikkerhed eller reguleringsmæssige formål, kan blive autoriserede deltagere i HealthData@EU og tilslutte sig det.
5.   Tredjelande eller internationale organisationer kan blive autoriserede deltagere HealthData@EU, hvis de overholder bestemmelserne i dette kapitel og giver adgang for sundhedsdatabrugere, der befinder sig i Unionen, på tilsvarende vilkår og betingelser til de elektroniske sundhedsdata, der er tilgængelige for deres organer med ansvar for adgang til sundhedsdata, forudsat at kapitel V i forordning (EU) 2016/679 overholdes.
Kommissionen kan ved hjælp af gennemførelsesretsakter fastslå, at et nationalt kontaktpunkt for sekundær anvendelse i et tredjeland eller et system, der er oprettet på internationalt plan af en international organisation, opfylder kravene i HealthData@EU med henblik på sekundær anvendelse af sundhedsdata, er i overensstemmelse med dette kapitel og giver sundhedsdatabrugere, der befinder sig i Unionen, adgang til de elektroniske sundhedsdata, som det har adgang til, på vilkår og betingelser svarende til dem, der gælder for HealthData@EU. Overholdelsen af disse retlige, organisatoriske, tekniske og sikkerhedsmæssige krav, herunder kravene til sikre databehandlingsmiljøer i artikel 73, kontrolleres under Kommissionens kontrol. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen gør listen over gennemførelsesretsakter vedtaget i henhold til dette stykke offentligt tilgængelig.
6.   Hvert nationalt kontaktpunkt for sekundær anvendelse og hver autoriseret deltager HealthData@EU skal have den nødvendige tekniske kapacitet til at tilslutte sig og deltage i HealthData@EU. De skal opfylde de krav og tekniske specifikationer, der er nødvendige for at drive HealthData@EU og give dem mulighed for at forbinde sig med den.
7.   Medlemsstaterne og Kommissionen opretter HealthData@EU for at støtte og lette grænseoverskridende adgang til elektroniske sundhedsdata til sekundær anvendelse, der forbinder de nationale kontaktpunkter for sekundær anvendelse og autoriserede deltagere i HealthData@EU og den i stk. 8 omhandlede centrale platform.
8.   Kommissionen udvikler, udruller og driver en central platform for HealthData@EU ved at levere de informationsteknologitjenester, der er nødvendige for at støtte og lette informationsudvekslingen mellem organer med ansvar for adgang til sundhedsdata som en del af HealthData@EU. Kommissionen behandler kun elektroniske sundhedsdata på vegne af de dataansvarlige som databehandler.
9.   Hvis to eller flere nationale kontaktpunkter for sekundær anvendelse anmoder herom, kan Kommissionen tilvejebringe et sikkert databehandlingsmiljø, som opfylder kravene i artikel 73, for data fra mere end én medlemsstat. Hvis to eller flere nationale kontaktpunkter for sekundær anvendelse eller autoriserede deltagere i HealthData@EU indlæser elektroniske sundhedsdata i et sikkert databehandlingsmiljø, der forvaltes af Kommissionen, er de fælles dataansvarlige, og Kommissionen er databehandler med henblik på behandlingen af data i dette miljø.
10.   De nationale kontaktpunkter for sekundær anvendelse fungerer som fælles dataansvarlige for de behandlingsaktiviteter, der udføres i HealthData@EU, som de er involveret i, og Kommissionen fungerer som databehandler på vegne af disse nationale kontaktpunkter for sekundær anvendelse, uden at det berører opgaverne for organerne med ansvar for adgang til sundhedsdata forud for og efter disse behandlingsaktiviteter.
11.   Medlemsstaterne og Kommissionen bestræber sig på at, HealthData@EU er interoperabelt med andre relevante fælles europæiske dataområder som omhandlet i forordning (EU) 2022/868 og (EU) 2023/2854.
12.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter regler om:
a)
krav, tekniske specifikationer og IT-arkitektur på HealthData@EU, som skal sikre det mest avancerede niveau af datasikkerhed, fortrolighed og beskyttelse af elektroniske sundhedsdata i HealthData@EU
b)
betingelser og overensstemmelseskontrol, der kræves for at kunne tilslutte sig og forblive forbundet med HealthData@EU, og betingelser for midlertidig afbrydelse eller endelig udelukkelse fra HealthData@EU, herunder specifikke bestemmelser for så vidt angår tilfælde af alvorlige forseelser eller gentagne overtrædelser
c)
de minimumskriterier, som de nationale kontaktpunkter for sekundær anvendelse og de autoriserede deltagere i HealthData@EU skal opfylde
d)
ansvarsområderne for de dataansvarlige og databehandlere, der deltager i HealthData@EU
e)
de dataansvarliges og databehandleres ansvar for det sikre behandlingsmiljø, der forvaltes af Kommissionen
f)
fælles specifikationer for HealthData@EU-arkitektur for dets interoperabilitet med andre fælles europæiske dataområder.
Gennemførelsesretsakterne omhandlet i dette stykkes første afsnit vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
13.   Hvis resultatet af den i denne artikels stk. 5, omhandlede overensstemmelseskontrol er positivt, kan Kommissionen ved hjælp af gennemførelsesretsakter træffe afgørelser om at lade individuelle autoriserede deltagere tilslutte sig HealthData@EU. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 76
Adgang til grænseoverskridende registre eller databaser over elektroniske sundhedsdata til sekundær anvendelse
1.   I tilfælde af grænseoverskridende registre og databaser har det organ med ansvar for adgang til sundhedsdata, hvor sundhedsdataindehaveren for det specifikke register eller den specifikke database er registreret, kompetence til at træffe afgørelse om ansøgninger om adgang til sundhedsdata med henblik på at give adgang til elektroniske sundhedsdata i henhold til en datatilladelse. Hvis sådanne registre eller databaser har fælles dataansvarlige, er det organ med ansvar for adgang til sundhedsdata, der træffer afgørelse om ansøgningerne om adgang til sundhedsdata, der skal anvendes til at give adgang til elektroniske sundhedsdata, organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor en af de fælles dataansvarlige er etableret.
2.   Hvis registre eller databaser fra en række medlemsstater organiserer sig i et enkelt netværk af registre eller databaser på EU-plan, kan de tilknyttede registre eller databaser udpege en koordinator for at sikre levering af data fra registrenes eller databasernes netværk til sekundær anvendelse. Organet med ansvar for adgang til sundhedsdata i den medlemsstat, hvor nettets koordinator er etableret, har kompetence til at træffe afgørelse om ansøgninger om adgang til sundhedsdata, der skal anvendes med henblik på at give adgang til elektroniske sundhedsdata for netværket af registre eller databaser.
AFDELING 5
Kvalitet og udnyttelse af sundhedsdata til sekundær anvendelse
Artikel 77
Beskrivelse af datasæt og datasætkatalog
1.   Organer med ansvar for adgang til sundhedsdata giver via et offentligt tilgængeligt og standardiseret maskinlæsbart datasætkatalog en beskrivelse i form af metadata af de tilgængelige datasæt og deres karakteristika. Beskrivelsen af hvert datasæt skal indeholde oplysninger om kilden, omfanget, de vigtigste karakteristika og arten af de elektroniske sundhedsdata i datasættet og betingelserne for at stille disse data til rådighed.
2.   Beskrivelserne af datasættene i det nationale datasætkatalog skal være tilgængelige på mindst ét af Unionens officielle sprog. Det datasætkatalog for EU-institutioner, -organer, -kontorer og -agenturer, der leveres af Unionens tjeneste for adgang til sundhedsdata, skal være tilgængeligt på alle Unionens officielle sprog.
3.   Datasætkataloget stilles til rådighed for centrale informationssteder, der er oprettet eller udpeget i henhold til artikel 8 i forordning (EU) 2022/868.
4.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de elementer, som sundhedsdataindehavere som minimum skal stille til rådighed for datasæt, og disse elementers karakteristika. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 78
Datakvalitets- og dataudnyttelsesmærke
1.   Datasæt, der stilles til rådighed via organer med ansvar for adgang til sundhedsdata, kan være forsynet med et EU-datakvalitets- og dataudnyttelsesmærke fra sundhedsdataindehaverne.
2.   Datasæt med elektroniske sundhedsdata, der indsamles og behandles med støtte fra EU-midler eller national offentlig finansiering, skal være forsynet med et datakvalitets- og dataudnyttelsesmærke, der omfatter de elementer, der er fastsat i stk. 3.
3.   Datakvalitets- og dataudnyttelsesmærket skal omfatte følgende krav, hvor det er relevant:
a)
for datadokumentation: metadata, støttedokumentation, dataordbogen, det anvendte format og anvendte standarder, datakilden og, hvis det er relevant, datamodellen
b)
for vurdering af teknisk kvalitet: dataenes fuldstændighed, unikke karakter, nøjagtighed, gyldighed, aktualitet og konsekvens
c)
for datakvalitetsstyringsprocesser: modenhedsgraden af datakvalitetsstyringsprocesserne, herunder kontrol- og revisionsprocesser, og undersøgelse af skævheder
d)
for vurdering af dækningen: perioden, populationsdækning og, hvis det er relevant, repræsentativitet af populationen i stikprøven og den gennemsnitlige tidsramme, inden for hvilken en fysisk person optræder i et datasæt
e)
for oplysninger om adgang og tilrådighedsstillelse: tiden mellem indsamlingen af de elektroniske sundhedsdata og deres tilføjelse til datasættet og den tid, der er nødvendig til levering af elektroniske sundhedsdata efter udstedelsen af en datatilladelse eller godkendelse af en sundhedsdataanmodning
f)
for oplysninger om dataændringer: sammenlægning og tilføjelse af data til et eksisterende datasæt, herunder links til andre datasæt.
4.   Hvis et organ med ansvar for adgang til sundhedsdata har grund til at tro, at et datakvalitets- og dataudnyttelsesmærke kan være unøjagtigt, vurderer det, om det datasæt, der er omfattet af mærket, opfylder de i stk. 3, omhandlede kvalitetskrav, og tilbagekalder mærket, hvis datasættet ikke opfylder kvalitetskravene.
5.   Kommissionen tillægges beføjelser til at vedtage delegerede retsakter i overensstemmelse med artikel 97 for at ændre denne forordning ved at ændre, tilføje eller fjerne elementer, der skal være omfattet af det i nærværende artikels stk. 3 omhandlede datakvalitets- og dataudnyttelsesmærke.
6.   Senest den 26. marts 2027 fastsætter Kommissionen ved hjælp af gennemførelsesretsakter de visuelle karakteristika og tekniske specifikationer for datakvalitets- og dataudnyttelsesmærket på grundlag af de i denne artikels stk. 3 omhandlede elementer. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. denne forordnings artikel 98, stk. 2. Disse gennemførelsesretsakter skal tage hensyn til kravene i artikel 10 i forordning (EU) 2024/1689 og eventuelle vedtagne fælles specifikationer eller harmoniserede standarder til støtte for disse krav, hvor det er relevant.
Artikel 79
EU-datasætkatalog
1.   Kommissionen udarbejder et EU-datasætkatalog, der forbinder de nationale datasætkataloger, der er oprettet af organerne med ansvar for adgang til sundhedsdata i hver medlemsstat samt datasætkatalogerne over autoriserede deltagere i HealthData@EU.
2.   EU-datasætkataloget, de nationale datasætkataloger samt datasætkatalogerne over autoriserede deltagere i HealthData@EU gøres offentligt tilgængelige.
Artikel 80
Minimumsspecifikationer for datasæt med stor indvirkning
Kommissionen kan ved hjælp af gennemførelsesretsakter fastsætte minimumsspecifikationer for datasæt med stor indvirkning på sekundær anvendelse under hensyntagen til eksisterende EU-infrastrukturer, -standarder, -retningslinjer og -anbefalinger. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
AFDELING 6
Klager
Artikel 81
Retten til at indgive en klage til et organ med ansvar for adgang til sundhedsdata
1.   Uden at det berører andre administrative klageadgange eller retsmidler, har fysiske og juridiske personer ret til at indgive en klage vedrørende de i dette kapitel fastlagte bestemmelser, individuelt eller, hvor det er relevant, kollektivt til et organ med ansvar for adgang til sundhedsdata forudsat at deres rettigheder eller interesser påvirkes negativt.
2.   Det organ med ansvar for adgang til sundhedsdata, som klagen er indgivet til, underretter klageren om de fremskridt, der er gjort med behandlingen af klagen, og om den trufne afgørelse vedrørende klagen.
3.   Organer med ansvar for adgang til sundhedsdata stiller let tilgængelige værktøjer til indgivelse af klager til rådighed.
4.   Hvis klagen vedrører fysiske personers rettigheder i henhold til denne forordnings artikel 71, fremsendes klagen til den kompetente tilsynsmyndighed i henhold til forordning (EU) 2016/679. Det relevante organ med ansvar for adgang til sundhedsdata stiller de nødvendige oplysninger til rådighed for den pågældende tilsynsmyndighed i henhold til forordning (EU) 2016/679 med henblik på at lette vurderingen og undersøgelsen af klagen.
KAPITEL V
YDERLIGERE FORANSTALTNINGER
Artikel 82
Kapacitetsopbygning
Kommissionen støtter udveksling af bedste praksis og ekspertise med henblik på at opbygge kapacitet i medlemsstaterne til at styrke de digitale sundhedssystemer til primær anvendelse og sekundær anvendelse under hensyntagen til de specifikke omstændigheder for de forskellige kategorier af involverede interessenter. For at støtte denne kapacitetsopbygning udarbejder Kommissionen i tæt samarbejde og samråd med medlemsstaterne indikatorer for selvevaluering for primær anvendelse og sekundær anvendelse.
Artikel 83
Uddannelse og oplysning af sundhedsprofessionelle
1.   Medlemsstaterne udvikler og gennemfører eller giver adgang til uddannelsesprogrammer og giver sundhedsprofessionelle adgang til oplysninger, så de kan forstå og effektivt udføre deres rolle i forbindelse med den primære anvendelse af og i forbindelse med adgang til elektroniske sundhedsdata, herunder i forbindelse med artikel 11, 13 og 16. Kommissionen støtter medlemsstaterne i den henseende.
2.   Uddannelsesprogrammerne og oplysningerne skal være tilgængelige og økonomisk overkommelige for alle sundhedsprofessionelle, uden at dette berører tilrettelæggelsen af sundhedssystemerne på nationalt plan.
Artikel 84
Digital sundhedskompetence og digital sundhedsadgang
1.   Medlemsstaterne fremmer og støtter digitale sundhedskompetencer og udviklingen af relevante kompetencer og færdigheder for patienter. Kommissionen støtter medlemsstaterne i den henseende. Bevidstgørelseskampagner eller -programmer har navnlig til formål at oplyse patienter og offentligheden generelt om primær anvendelse og sekundær anvendelse inden for rammerne af det europæiske sundhedsdataområde, herunder om de rettigheder, der følger heraf, samt om de fordele, risici og potentielle gevinster for videnskaben og samfundet forbundet med primær anvendelse og sekundær anvendelse.
2.   De i stk. 1 omhandlede bevidstgørelseskampagner og -programmer skal skræddersys til specifikke gruppers behov og udvikles, revideres og om nødvendigt ajourføres.
3.   Medlemsstaterne fremmer adgangen til den infrastruktur, som er nødvendig til effektiv administration af fysiske personers elektroniske sundhedsdata i forbindelse med både primær anvendelse og sekundær anvendelse.
Artikel 85
Yderligere krav til offentlige udbud og EU-finansiering
1.   Ordregivende myndigheder, herunder digitale sundhedsmyndigheder og organer med ansvar for adgang til sundhedsdata og EU-institutioner, -organer, -kontorer eller -agenturer, henviser til de gældende tekniske specifikationer, standarder og profiler som omhandlet i artikel 15, 23, 36, 73, 75 og 78 i forbindelse med procedurer for offentlige indkøb og ved udarbejdelsen af deres udbudsdokumenter eller indkaldelser af forslag samt ved fastlæggelsen af betingelserne for EU-finansiering i forbindelse med denne forordning, herunder grundforudsætninger for struktur- og samhørighedsfondene.
2.   Kriterierne for at opnå finansiering fra Unionen skal tage hensyn til de krav, der er udviklet inden for rammerne af kapitel II, III og IV.
Artikel 86
Lagring af personlige elektroniske sundhedsdata til primær anvendelse
I overensstemmelse med de generelle principper i EU-retten, herunder de grundlæggende rettigheder, der er nedfældet i artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder, sikrer medlemsstaterne, at et særligt højt beskyttelses- og sikkerhedsniveau er på plads ved behandlingen af personlige elektroniske sundhedsdata til primær anvendelse, idet de træffer passende tekniske og organisatoriske foranstaltninger. I den sammenhæng og i overensstemmelse med EU-retten og Unionens internationale forpligtelser er denne forordning ikke til hinder for, at man i henhold til national ret, og under hensyntagen til den nationale kontekst, kan kræve, at lagringen af personlige elektroniske sundhedsdata, jf. denne forordnings artikel 14, med henblik på primær anvendelse finder sted i Unionen i tilfælde, hvor personlige elektroniske sundhedsdata behandles af sundhedstjenesteydere i forbindelse med levering af sundhedsydelser eller af de nationale kontaktpunkter for digital sundhed, der er forbundet med MyHealth@EU.
Artikel 87
Lagring af personlige elektroniske sundhedsdata af organer med ansvar for adgang til sundhedsdata og sikre databehandlingsmiljøer
1.   Organer med ansvar for adgang til sundhedsdata, betroede sundhedsdataindehavere og Unionens tjeneste for adgang til sundhedsdata lagrer og behandler personlige elektroniske sundhedsdata i Unionen, når de udfører pseudonymisering, anonymisering og enhver anden behandling af personoplysninger, som omhandlet i artikel 67-72, gennem sikre databehandlingsmiljøer som omhandlet i artikel 73 og artikel 75, stk. 9, eller via HealthData@EU. Dette krav finder anvendelse på enhver enhed, der udfører disse opgaver på vegne af sådanne organer eller indehavere eller af en sådan tjeneste.
2.   Uanset denne artikels stk. 1 kan de oplysninger, der er omhandlet i nævnte stykke, lagres og behandles i et tredjeland eller et område eller én eller flere specificerede sektorer i det pågældende tredjeland, hvis et sådant land eller område eller en sådan sektor er omfattet af en afgørelse om tilstrækkeligheden af beskyttelsesniveauet vedtaget i henhold til artikel 45 i forordning (EU) 2016/679.
Artikel 88
Overførsel fra tredjelande af andre elektroniske data end personoplysninger
1.   Andre elektroniske sundhedsdata end personoplysninger, der af organer med ansvar for adgang til sundhedsdata stilles til rådighed for en sundhedsdatabruger i et tredjeland i medfør af en datatilladelse udstedt i henhold til denne forordnings artikel 68 eller en sundhedsdataanmodning godkendt i henhold til denne forordnings artikel 69 til autoriserede deltagere i et tredjeland eller til en international organisation, og som er baseret på en fysisk persons elektroniske sundhedsdata, der falder ind under en af kategorierne omhandlet i denne forordnings artikel 51, anses for at være meget følsomme, jf. artikel 5, stk. 13, i forordning (EU) 2022/868, hvis overførslen af sådanne andre elektroniske oplysninger end personoplysninger til tredjelande udgør en risiko for reidentifikation ved hjælp af midler, der er mere vidtgående end dem, der med rimelighed kan forventes at blive anvendt, navnlig i betragtning af det begrænsede antal fysiske personer, som disse data vedrører, det forhold, at de er geografisk spredte, eller den forventede teknologiske udvikling i den nærmeste fremtid.
2.   Beskyttelsesforanstaltningerne for de kategorier af data, der er nævnt i denne artikels stk. 1, beskrives nærmere i en delegeret retsakt som omhandlet i artikel 5, stk. 13, i forordning (EU) 2022/868.
Artikel 89
International statslig adgang til andre elektroniske sundhedsdata end personoplysninger
1.   Digitale sundhedsmyndigheder, organer med ansvar for adgang til sundhedsdata, autoriserede deltagere i de grænseoverskridende infrastrukturer, der er omhandlet i artikel 23 og 75, og sundhedsdatabrugere træffer alle rimelige tekniske, retlige og organisatoriske foranstaltninger, herunder kontraktlige ordninger, for at forhindre overførslen af andre elektroniske sundhedsdata end personoplysninger, der er lagret i Unionen, til et tredjeland eller til en international organisation, herunder statslig adgang i et tredjeland, hvis en sådan overførsel ville være i strid med EU-retten eller den relevante medlemsstats nationale ret.
2.   Enhver dom afsagt af et tredjelands domstol og enhver afgørelse truffet af et tredjelands administrative myndighed, der kræver, at en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller sundhedsdatabrugere overfører eller giver adgang til andre elektroniske sundhedsdata end personoplysninger inden for denne forordnings anvendelsesområde, der er lagret i Unionen, kan kun anerkendes eller håndhæves på nogen måde, hvis den bygger på en international aftale såsom en traktat om gensidig retshjælp mellem det anmodende tredjeland og Unionen eller en sådan aftale mellem det anmodende tredjeland og en medlemsstat.
3.   Hvis der ikke findes en international aftale som omhandlet i stk. 2, og hvis en domstol eller en administrativ myndighed i et tredjeland har afsagt en afgørelse eller en dom mod en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller en sundhedsdatabruger, der pålægger dem at overføre eller at give adgang til andre data end personoplysninger inden for denne forordnings anvendelsesområde, der er lagret i Unionen, og efterkommelse af en sådan afgørelse eller dom ville indebære en risiko for, at adressaten ville handle i strid med EU-retten eller den nationale ret i den relevante medlemsstat, må sådanne data kun overføres til eller tilgås af den pågældende domstol eller administrative myndighed i det pågældende tredjeland eller sådanne data kun videregives, hvis:
a)
tredjelandets retssystem kræver, at afgørelsen eller dommen begrundes, og at det godtgøres, at den står i et rimeligt forhold til formålet, og at det kræves, at afgørelsen eller kendelsen, alt efter omstændighederne, skal være af specifik karakter, f.eks. ved at fastslå en tilstrækkelig forbindelse til visse mistænkte personer eller overtrædelser
b)
adressatens begrundede indsigelse kan prøves ved en kompetent domstol i tredjelandet, og
c)
den kompetente domstol eller ret i tredjelandet, der udsteder afgørelsen eller kendelsen eller prøver en administrativ myndigheds afgørelse, i henhold til tredjelandets nationale ret har beføjelse til at tage behørigt hensyn til de relevante retlige interesser hos udbyderen, der stiller de data til rådighed, der er beskyttet af EU-retten eller national ret i den relevante medlemsstat.
4.   Hvis betingelserne i stk. 2 eller 3 er opfyldt, skal en digital sundhedsmyndighed, et organ med ansvar for adgang til sundhedsdata eller en dataaltruistisk organisation stille de data, der som minimum er tilladt, til rådighed som svar på en anmodning, på grundlag af en rimelig fortolkning af anmodningen.
5.   De digitale sundhedsmyndigheder, organerne med ansvar for adgang til sundhedsdata og sundhedsdatabrugerne underretter sundhedsdataindehaveren om, at der foreligger en anmodning fra en administrativ myndighed i et tredjeland om at få adgang til vedkommendes data, inden anmodningen imødekommes, undtagen i tilfælde, hvor anmodningen tjener retshåndhævelsesformål, og så længe overholdelse er nødvendig for at bevare retshåndhævelsesaktivitetens effektivitet.
Artikel 90
Yderligere betingelser for overførsel af personlige elektroniske sundhedsdata til et tredjeland eller til en international organisation
Overførsel af personlige elektroniske sundhedsdata til et tredjeland eller til en international organisation bevilges i overensstemmelse med kapitel V i forordning (EU) 2016/679. Medlemsstaterne kan opretholde eller indføre yderligere betingelser for international adgang til og overførsel af personlige elektroniske sundhedsdata, herunder begrænsninger, i overensstemmelse med artikel 9, stk. 4, i forordning (EU) 2016/679, ud over kravene fastlagt i nærværende forordnings artikel 24, stk. 3, og artikel 75, stk. 5, og i kapitel V i forordning (EU) 2016/679.
Artikel 91
Ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger fra tredjelande
1.   Uden at det berører artikel 67, 68 og 69, anses ansøgninger om adgang til sundhedsdata og sundhedsdataanmodninger indgivet af en sundhedsdatabruger, der er etableret i et tredjeland, som berettigede til vurdering af organer med ansvar for adgang til sundhedsdata og Unionens tjeneste for adgang til sundhedsdata, såfremt det pågældende tredjeland:
a)
er en autoriseret deltager på grundlag af at have et nationalt kontaktpunkt for sekundær anvendelse omfattet af en gennemførelsesretsakt som omhandlet i artikel 75, stk. 5, eller
b)
giver EU-sundhedsdataansøgere adgang til elektroniske sundhedsdata i det pågældende tredjeland på betingelser, der ikke er mere restriktive end dem, der er fastsat i denne forordning, og sådan adgang derfor er omfattet af en gennemførelsesretsakt, der er omhandlet i denne artikels stk. 2.
2.   Ved hjælp af gennemførelsesretsakter kan Kommissionen fastslå, at et tredjeland opfylder kravene i denne artikels stk. 1, litra b). Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2. Kommissionen gør listen over gennemførelsesretsakter vedtaget i henhold til nærværende stykke offentligt tilgængelig.
3.   Kommissionen overvåger udviklingstendenser i tredjelande og internationale organisationer, der kan påvirke anvendelsen af gennemførelsesretsakterne vedtaget i henhold til stk. 2, og sørger for, at der foretages en regelmæssig gennemgang af, hvordan denne artikel anvendes.
Hvis Kommissionen finder, at et tredjeland ikke længere opfylder kravet i denne artikels stk. 1, litra b), vedtager den en gennemførelsesretsakt om ophævelse af den gennemførelsesretsakt, der er omhandlet i denne artikels stk. 2, vedrørende det pågældende tredjeland, som nyder godt af adgang. Denne gennemførelsesretsakt vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
KAPITEL VI
EUROPÆISK STYRING OG KOORDINERING
Artikel 92
Udvalget for det europæiske sundhedsdataområde
1.   Der oprettes herved et udvalg for det europæiske sundhedsdataområde for at lette samarbejdet og udvekslingen af oplysninger mellem medlemsstaterne og Kommissionen. Udvalget for det europæiske sundhedsdataområde sammensættes af to repræsentanter pr. medlemsstat, dvs. én repræsentant til formål forbundet med primær anvendelse og én repræsentant til formål forbundet med sekundær anvendelse, der udpeges af hver medlemsstat. Hver medlemsstat har én stemme. Medlemmerne af udvalget for det europæiske sundhedsdataområde forpligter sig til at handle uafhængigt og i offentlighedens interesse.
2.   En repræsentant for Kommissionen og én af de i stk. 1 omhandlede repræsentanter for medlemsstaterne, leder i fællesskab møderne i udvalget for det europæiske sundhedsdataområde.
3.   Markedsovervågningsmyndigheder, der er omhandlet i artikel 43, Databeskyttelsesrådet og Den Europæiske Tilsynsførende for Databeskyttelse, Det Europæiske Lægemiddelagentur, Det Europæiske Center for Forebyggelse af og Kontrol med Sygdomme og Den Europæiske Unions Agentur for Cybersikkerhed (ENISA) indbydes til at deltage i møderne, hvis det er relevant ifølge Udvalget for det europæiske sundhedsdataområde.
4.   Udvalget for det europæiske sundhedsdataområde kan indbyde nationale myndigheder, eksperter og observatører samt EU-institutioner, -organer, -kontorer og -agenturer ud over dem, der er omhandlet i stk. 3, og forskningsinfrastrukturer og andre lignende infrastrukturer til at deltage i møderne.
5.   Udvalget for det europæiske sundhedsdataområde kan samarbejde med eksterne eksperter, hvis det er relevant.
6.   Afhængigt af de funktioner, der er forbundet med anvendelsen af elektroniske sundhedsdata, kan udvalget for det europæiske sundhedsdataområde arbejde i undergrupper vedrørende bestemte emner, hvor digitale sundhedsmyndigheder eller organer med ansvar for adgang til sundhedsdata skal være repræsenteret. Disse undergrupper støtter udvalget for det europæiske sundhedsdataområde med særlig ekspertise og kan afholde fælles møder efter behov.
7.   Udvalget for det europæiske sundhedsdataområde vedtager efter forslag fra Kommissionen sin forretningsorden og en adfærdskodeks. Denne forretningsorden skal indeholde bestemmelser om de i denne artikels stk. 6 omhandlede underudvalgs sammensætning, organisation, funktionsmåde og samarbejde såvel som om samarbejdet mellem udvalget for det europæiske sundhedsdataområdes og det i artikel 93 omhandlede interessentforum.
Udvalget for det europæiske sundhedsdataområde vedtager så vidt muligt afgørelser ved konsensus. Hvis der ikke kan opnås konsensus, vedtager udvalget for det europæiske sundhedsdataområde afgørelse med et flertal på to tredjedele af medlemsstaterne.
8.   Udvalget for det europæiske sundhedsdataområde samarbejder med andre relevante organer, enheder og eksperter såsom Det Europæiske Datainnovationsråd, der er oprettet ved artikel 29 i forordning (EU) 2022/868, kompetente myndigheder, der er udpeget i overensstemmelse med artikel 37 i forordning (EU) 2023/2854, tilsynsorganer, der er udpeget i overensstemmelse med artikel 46b i forordning (EU) nr. 910/2014, Det Europæiske Databeskyttelsesråd, der er oprettet ved artikel 68 i forordning (EU) 2016/679, cybersikkerhedsorganer, herunder ENISA og den europæiske åbne videnskabscloud, med henblik på at finde avancerede løsninger hen imod søgbar, tilgængelig, interoperabel og genanvendelig (FAIR) anvendelse af data inden for forskning og innovation.
9.   Udvalget for det europæiske sundhedsdataområde bistås af et sekretariat, som varetages af Kommissionen.
10.   Udvalget for det europæiske sundhedsdataområde offentliggør sine mødedatoer og referaterne af sine drøftelser og udgiver hvert andet år en aktivitetsrapport.
11.   Kommissionen vedtager ved hjælp af gennemførelsesretsakter de foranstaltninger, der er nødvendige for, at udvalget for det europæiske sundhedsdataområde kan oprettes og drives. Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren, jf. artikel 98, stk. 2.
Artikel 93
Interessentforum
1.   Der oprettes hermed et interessentforum med henblik på at lette udvekslingen af oplysninger og fremme samarbejdet blandt interessenter i forbindelse med gennemførelsen af denne forordning.
2.   Interessentforummet skal have en afbalanceret sammensætning og bestå af relevante interessenter, herunder repræsentanter for patientsammenslutninger, sundhedsprofessionelle, industrien, forbrugerorganisationer, videnskabelige forskere og akademiske kredse, og repræsentere deres holdninger. Hvis kommercielle interesser er repræsenteret i interessentforummet, skal repræsentationen af sådanne interesser være på grundlag af en afbalanceret kombination af store virksomheder, små og mellemstore virksomheder og nystartede virksomheder. Interessentforummets opgaver omfatter både primær anvendelse og sekundær anvendelse.
3.   Medlemmerne af interessentforummet udpeges af Kommissionen på grundlag af en offentlig indkaldelse af interessetilkendegivelser og en gennemsigtig udvælgelsesprocedure. Medlemmerne af interessentforummet afgiver en årlig interesseerklæring, som gøres offentligt tilgængelig og ajourføres, når det er relevant.
4.   Interessentforummet kan nedsætte stående eller midlertidige underudvalg, hvis det er relevant, med henblik på at undersøge specifikke spørgsmål vedrørende denne forordnings formål. Interessentforummet vedtager sin forretningsorden.
5.   Interessentforummet afholder regelmæssige møder, som ledes af en repræsentant for Kommissionen.
6.   Interessentforummet udarbejder en årlig rapport om sine aktiviteter. Denne rapport gøres offentligt tilgængelig.
Artikel 94
Opgaver for udvalget for det europæiske sundhedsdataområde
1.   Udvalget for det europæiske sundhedsdataområde har følgende opgaver i forbindelse med primære anvendelse i overensstemmelse med kapitel II og III:
a)
bistå medlemsstaterne med at koordinere digitale sundhedsmyndigheders praksis
b)
udarbejde skriftlige bidrag og udveksle bedste praksis om spørgsmål vedrørende koordineringen af gennemførelsen på medlemsstatsniveau af denne forordning og af de delegerede retsakter og gennemførelsesretsakter, der er vedtaget i henhold hertil, idet der tages højde for det regionale og lokale niveau, og navnlig for så vidt angår:
i)
bestemmelserne i kapitel II og III
ii)
udviklingen af onlinetjenester, der letter sikker adgang, herunder sikker elektronisk identifikation, til elektroniske sundhedsdata for sundhedsprofessionelle og fysiske personer
iii)
andre aspekter vedrørende primær anvendelse
c)
lette samarbejdet mellem digitale sundhedsmyndigheder gennem kapacitetsopbygning, etablering af rammen for aktivitetsrapportering omhandlet i artikel 20 og udvekslingen af oplysninger
d)
udveksle oplysninger blandt sine medlemmer om risici i forbindelse med EPJ-systemer og alvorlige hændelser samt håndteringen af sådanne risici og hændelser
e)
lette udvekslingen af synspunkter om primær anvendelse med det i artikel 93 omhandlede interessentforum, samt med lovgivere og politiske beslutningstagere i sundhedssektoren.
2.   Udvalget for det europæiske sundhedsdataområde har følgende opgaver i forbindelse med sekundær anvendelse i overensstemmelse med kapitel IV:
a)
bistå medlemsstaterne med at koordinere praksis hos organer med ansvar for adgang til sundhedsdata i forbindelse med gennemførelsen af bestemmelserne i kapitel IV for at sikre en ensartet anvendelse af denne forordning
b)
udarbejde skriftlige bidrag og udveksle bedste praksis om spørgsmål vedrørende koordineringen af gennemførelsen på medlemsstatsniveau af denne forordning og af de delegerede retsakter og gennemførelsesretsakter, der er vedtaget i henhold hertil, navnlig for så vidt angår:
i)
gennemførelse af regler for adgang til elektroniske sundhedsdata
ii)
tekniske specifikationer eller eksisterende standarder vedrørende kravene i kapitel IV
iii)
incitamenter til fremme af datakvalitet og forbedring af interoperabiliteten
iv)
politikker vedrørende gebyrer, der opkræves af organerne med ansvar for adgang til sundhedsdata og sundhedsdataindehavere
v)
foranstaltninger til beskyttelse af personoplysninger for sundhedsprofessionelle, der er involveret i behandlingen af fysiske personer
vi)
andre aspekter af sekundær anvendelse
c)
oprette i samråd med relevante interessenter, herunder repræsentanter for patienter, sundhedsprofessionelle og forskere, retningslinjer, der skal hjælpe sundhedsdatabrugere med at opfylde deres forpligtelser i henhold til artikel 61, stk. 5, og navnlig at fastslå, hvorvidt deres fund er klinisk væsentlige
d)
lette samarbejdet mellem organer med ansvar for adgang til sundhedsdata gennem kapacitetsopbygning, etablering af rammen for aktivitetsrapportering omhandlet i artikel 59, stk. 1, og udvekslingen af oplysninger
e)
udveksle oplysninger om risici og hændelser i forbindelse med sekundær anvendelse samt håndteringen af sådanne risici og hændelser
f)
lette udvekslingen af synspunkter om sekundær anvendelse med det i artikel 93 omhandlede interessentforum, samt med sundhedsdataindehavere, sundhedsdatabrugere, lovgivere og politiske beslutningstagere i sundhedssektoren.
Artikel 95
Styringsgrupper for MyHealth@EU og HealthData@EU
1.   Styringsgruppen for MyHealth@EU og styringsgruppen HealthData@EU (»styringsgrupperne«) nedsættes hermed for de i artikel 23 og 75 fastsatte grænseoverskridende infrastrukturer. Hver styringsgruppe består af én repræsentant for hver medlemsstat, der udpeges fra de relevante nationale kontaktpunkter.
2.   Styringsgrupperne træffer operationelle beslutninger om udvikling og drift af MyHealth@EU og HealthData@EU.
3.   Styringsgrupperne træffer afgørelser ved konsensus. Hvis der ikke kan opnås konsensus, vedtages en afgørelse med to tredjedele af medlemmerne. Ved vedtagelsen af afgørelser har hver medlemsstat én stemme.
4.   Styringsgrupperne vedtager forretningsordener, der fastsætter deres sammensætning, organisation, funktionsmåde og samarbejde.
5.   Andre autoriserede deltagere kan indbydes til at udveksle oplysninger og synspunkter om relevante spørgsmål vedrørende MyHealth@EU og HealthData@EU. Hvor sådanne autoriserede deltagere indbydes, har de observatørstatus.
6.   Interessenter og relevante tredjeparter, herunder repræsentanter for patienter, sundhedsprofessionelle, forbrugere og industrien, kan indbydes til at deltage i styringsgruppernes møder som observatører.
7.   Styringsgrupperne vælger formænd til deres møder.
8.   Styringsgrupperne bistås af et sekretariat, som varetages af Kommissionen.
Artikel 96
Kommissionens rolle og ansvarsopgaver i forbindelse med det europæiske sundhedsdataområdes funktion
1.   Ud over sin rolle med hensyn til at stille elektroniske sundhedsdata, som Unionens institutioner, organer, kontorer eller agenturer er i besiddelse af, til rådighed i overensstemmelse med artikel 55, artikel 56 og artikel 75, stk. 2, og sine opgaver i henhold til kapitel III, navnlig artikel 40, udvikler, vedligeholder, hoster og driver Kommissionen de infrastrukturer og centrale tjenester, der er nødvendige for at støtte det europæiske sundhedsdataområdes funktion, for alle relevante forbundne enheder ved hjælp af:
a)
en interoperabel, grænseoverskridende identifikations- og autentifikationsmekanisme for fysiske personer og sundhedsprofessionelle i overensstemmelse med artikel 16, stk. 3 og 4
b)
de centrale tjenester og infrastrukturer for digital sundhed på MyHealth@EU i overensstemmelse med artikel 23, stk. 1
c)
overensstemmelseskontroller i forbindelse med tilslutningen af autoriserede deltagere til MyHealth@EU i overensstemmelse med artikel 23, stk. 9
d)
de supplerende grænseoverskridende digitale sundhedstjenester og -infrastrukturer omhandlet i artikel 24, stk. 1
e)
som en del af HealthData@EU, en tjeneste til at indgive ansøgninger om adgang til sundhedsdata, hvorved der søges adgang til elektroniske sundhedsdata, som sundhedsdataindehavere i mere end én medlemsstat er i besiddelse af, eller fra andre autoriserede deltagere i HealthData@EU, og til automatisk at videresende ansøgningerne om adgang til sundhedsdata til de relevante kontaktpunkter i overensstemmelse med artikel 67, stk. 3
f)
de centrale tjenester og infrastrukturer i HealthData@EU i overensstemmelse med artikel 75, stk. 7 og 8
g)
et sikkert databehandlingsmiljø i overensstemmelse med artikel 75, stk. 9, hvor organer med ansvar for adgang til sundhedsdata kan beslutte at stille data til rådighed i overensstemmelse med artikel 68, stk. 8
h)
overensstemmelseskontroller i forbindelse med tilslutningen af autoriserede deltagere til HealthData@EU i overensstemmelse med artikel 75, stk. 5
i)
et samlet EU-datasætkatalog, der forbinder de nationale datasætkataloger, i overensstemmelse med artikel 79
j)
et sekretariat for udvalget for det europæiske sundhedsdataområde i overensstemmelse med artikel 92, stk. 9
k)
et sekretariat for styringsgrupperne i overensstemmelse med artikel 95, stk. 8.
2.   De tjenester, der er omhandlet i denne artikels stk. 1, skal opfylde tilstrækkelige kvalitetsstandarder med hensyn til tilgængelighed, sikkerhed, kapacitet, interoperabilitet, vedligeholdelse, overvågning og udvikling, så det sikres, at det europæiske sundhedsdataområde fungerer effektivt. Kommissionen stiller disse tjenester til rådighed i overensstemmelse med de operationelle afgørelser fra de relevante styringsgrupper, der er nedsat i artikel 95.
3.   Kommissionen udarbejder hvert andet år en rapport om de infrastrukturer og tjenester, der understøtter det europæiske sundhedsdataområde, og som den tilvejebringer i overensstemmelse med stk. 1, og gør rapporten offentlig tilgængelig.
KAPITEL VII
DELEGATION AF BEFØJELSER OG UDVALGSPROCEDURE
Artikel 97
Udøvelse af de delegerede beføjelser
1.   Beføjelsen til at vedtage delegerede retsakter tillægges Kommissionen på de i denne artikel fastlagte betingelser.
2.   Beføjelsen til at vedtage delegerede retsakter, jf. artikel 14, stk. 2, artikel 49, stk. 4, og artikel 78, stk. 5, tillægges Kommissionen for en ubegrænset periode fra 25. marts 2025.
3.   Den i artikel 14, stk. 2, artikel 49, stk. 4, og artikel 78, stk. 5, omhandlede delegation af beføjelser kan til enhver tid tilbagekaldes af Europa-Parlamentet eller Rådet. En afgørelse om tilbagekaldelse bringer delegationen af de beføjelser, der er angivet i den pågældende afgørelse, til ophør. Den får virkning dagen efter offentliggørelsen af afgørelsen i 
Den Europæiske Unions Tidende
 eller på et senere tidspunkt, der angives i afgørelsen. Den berører ikke gyldigheden af delegerede retsakter, der allerede er i kraft.
4.   Inden vedtagelsen af en delegeret retsakt hører Kommissionen eksperter, som er udpeget af hver enkelt medlemsstat, i overensstemmelse med principperne i den interinstitutionelle aftale af 13. april 2016 om bedre lovgivning.
5.   Så snart Kommissionen vedtager en delegeret retsakt, giver den samtidigt Europa-Parlamentet og Rådet meddelelse herom.
6.   En delegeret retsakt vedtaget i henhold til artikel 14, stk. 2, artikel 49, stk. 4, eller artikel 78, stk. 5, træder kun i kraft, hvis hverken Europa-Parlamentet eller Rådet har gjort indsigelse inden for en frist på tre måneder fra meddelelsen af den pågældende retsakt til Europa-Parlamentet og Rådet, eller hvis Europa-Parlamentet og Rådet inden udløbet af denne frist begge har underrettet Kommissionen om, at de ikke agter at gøre indsigelse. Fristen forlænges med tre måneder på Europa-Parlamentets eller Rådets initiativ.
Artikel 98
Udvalgsprocedure
1.   Kommissionen bistås af et udvalg. Dette udvalg er et udvalg som omhandlet i forordning (EU) nr. 182/2011.
2.   Når der henvises til dette stykke, anvendes artikel 5 i forordning (EU) nr. 182/2011.
KAPITEL VIII
DIVERSE
Artikel 99
Sanktioner
Medlemsstaterne fastsætter regler om sanktioner, der skal anvendes i tilfælde af overtrædelser af bestemmelserne i denne forordning, navnlig overtrædelser, som ikke er underlagt administrative bøder i henhold til artikel 63 og 64, og træffer alle nødvendige foranstaltninger for at sikre, at de anvendes. Sanktionerne skal være effektive, stå i et rimeligt forhold til overtrædelsen og have afskrækkende virkning. Medlemsstaterne giver senest den 26. marts 2027 Kommissionen meddelelse om disse regler og foranstaltninger og underretter den straks om senere ændringer, der berører dem.
Medlemsstaterne tager hensyn til følgende ikkeudtømmende og vejledende kriterier for pålæggelse af sanktioner i forbindelse med overtrædelse af denne forordning, hvor det er relevant:
a)
overtrædelsens art, grovhed, omfang og varighed
b)
eventuelle tiltag, som den overtrædende part har truffet for at afbøde eller afhjælpe den skade, der er forårsaget af overtrædelsen
c)
eventuelle tidligere overtrædelser fra den overtrædende parts side
d)
de økonomiske fordele eller tab, som den overtrædende part har opnået eller undgået som følge af overtrædelsen, for så vidt som disse fordele eller tab kan fastslås på en pålidelig måde
e)
eventuelle andre skærpende eller formildende faktorer i sagen
f)
den overtrædende parts årlige omsætning i Unionen i det foregående regnskabsår.
Artikel 100
Ret til erstatning
Enhver fysisk eller juridisk person, som har lidt materiel eller immateriel skade som følge af en overtrædelse af denne forordning, har ret til erstatning i overensstemmelse med EU-ret eller national ret.
Artikel 101
Repræsentation af fysiske personer
Hvis en fysisk person finder, at vedkommendes rettigheder i henhold til denne forordning er blevet krænket, har den pågældende ret til at give et organ, en organisation eller en sammenslutning, der ikke arbejder med gevinst for øje, og som er etableret i overensstemmelse med national ret, og som har vedtægtsmæssige mål af samfundsmæssig interesse og beskæftiger sig med beskyttelse af personoplysninger, bemyndigelse til på vedkommendes vegne at indgive en klage eller til at udøve de i artikel 21 og 81 omhandlede rettigheder.
Artikel 102
Evaluering, revision og statusrapport
1.   Senest den 26. marts 2033 foretager Kommissionen en målrettet evaluering af denne forordning og forelægger en rapport om de vigtigste resultater heraf for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, eventuelt ledsaget af et forslag til ændring heraf. Denne evaluering skal omfatte følgende:
a)
mulighederne for yderligere at udvide interoperabiliteten mellem EPJ-systemer og andre tjenester for adgang til elektroniske sundhedsdata end dem, der er oprettet af medlemsstaterne
b)
behovet for at ajourføre de i artikel 51 omhandlede datakategorier og de i artikel 53, stk. 1, anførte formål
c)
fysiske personers gennemførelse og anvendelse af fravalgsmekanismerne i forbindelse med sekundær anvendelse, jf. artikel 71, navnlig om indvirkningen at disse mekanismer på folkesundheden, videnskabelig forskning og grundlæggende rettigheder
d)
anvendelsen og gennemførelsen af eventuelle strengere foranstaltninger, der er indført i henhold til artikel 51, stk. 4
e)
udøvelsen og gennemførelsen af den ret, der er omhandlet i artikel 8
f)
en vurdering af certificeringsrammen for EPJ-systemer fastsat i kapitel III og behovet for at indføre yderligere værktøjer til overensstemmelsesvurdering
g)
en vurdering af, hvordan det indre marked fungerer for EPJ-systemer
h)
en vurdering af omkostninger og fordele ved gennemførelsen af bestemmelserne om sekundær anvendelse fastlagt i kapitel IV
i)
anvendelse af gebyrer som omhandlet i artikel 62.
2.   Senest den 26. marts 2035 foretager Kommissionen en overordnet evaluering af denne forordning og forelægger en rapport om de vigtigste resultater heraf for Europa-Parlamentet, Rådet, Det Europæiske Økonomiske og Sociale Udvalg og Regionsudvalget, eventuelt ledsaget af et forslag til ændring heraf eller andre nødvendige foranstaltninger. Denne evaluering skal omfatte en vurdering af effektiviteten og funktionen af de systemer, der giver adgang til elektroniske sundhedsdata med henblik på videre behandling, foretaget på grundlag af EU-retten eller national ret, jf. artikel 1, stk. 7, med hensyn til deres indvirkning på gennemførelsen af denne forordning.
3.   Medlemsstaterne forelægger Kommissionen alle de oplysninger, der er nødvendige for udarbejdelsen af de i stk. 1 og 2 omhandlede rapporter, og Kommissionen tager behørigt hensyn til disse oplysninger i disse rapporter.
4.   Hvert år efter den 25. marts 2025 og indtil slutningen af det år, hvor alle denne forordnings bestemmelser finder anvendelse som fastsat i artikel 105, forelægger Kommissionen Rådet en statusrapport om status for forberedelserne til den fulde gennemførelse af denne forordning. Denne statusrapport skal indeholde oplysninger om graden af fremskridt og medlemsstaternes beredskab i relation til gennemførelsen af denne forordning, herunder en vurdering af, om det er muligt at nå de frister, der er fastsat i artikel 105, og rapporten kan også indeholde henstillinger til medlemsstaterne om at forbedre beredskabet, når det kommer til anvendelsen af denne forordning.
Artikel 103
Ændring af direktiv 2011/24/EU
Artikel 14 i direktiv 2011/24/EU udgår med virkning fra den 26. marts 2031.
Artikel 104
Ændringer til forordning (EU) 2024/2847
I forordning (EU) 2024/2847 foretages følgende ændringer:
1)
I artikel 13 affattes stk. 4 som følger:
»4.   Når et produkt med digitale elementer bringes i omsætning, medtager fabrikanten den cybersikkerhedsrisikovurdering, der er omhandlet i denne artikels stk. 3, i den tekniske dokumentation, der kræves i henhold til artikel 31 og bilag VII. For produkter med digitale elementer som omhandlet i artikel 12 og artikel 32, stk. 5a, der også er omfattet af andre EU-retsakter, kan cybersikkerhedsrisikovurderingen indgå i den risikovurdering, der kræves i henhold til disse EU-retsakter. Hvis visse væsentlige cybersikkerhedskrav ikke er relevante for produktet med digitale elementer, medtager fabrikanten en klar begrundelse herfor i den tekniske dokumentation.«
2)
I artikel 31 affattes stk. 3 som følger:
»3.   For produkter med digitale elementer som omhandlet i artikel 12 og artikel 32, stk. 5a, der også er omfattet af andre EU-retsakter, som indeholder bestemmelser om teknisk dokumentation, udarbejdes der en samlet teknisk dokumentation, som indeholder de oplysninger, der er omhandlet i bilag VII, og de oplysninger, der kræves i henhold til disse EU-retsakter.«
3)
I artikel 32 indsættes følgende stykke:
»5a.   Fabrikanter af produkter med digitale elementer, der er klassificeret som EPJ-systemer omfattet af Europa-Parlamentets og Rådets forordning (EU) 2024/327
 (
*1
)
 påviser overensstemmelse med de væsentlige krav fastsat i nærværende forordnings bilag I ved brug af den relevante overensstemmelsesvurderingsprocedure, der er fastsat i kapitel III i forordning (EU) 2024/327.
(
*1
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/327 af 11. februar 2025 om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 2024/2847 (
EUT L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj
).«
                                       "
KAPITEL IX
UDSKUDT ANVENDELSE, OVERGANGSBESTEMMELSER OG AFSLUTTENDE BESTEMMELSER
Artikel 105
Ikrafttræden og anvendelse
Denne forordning træder i kraft på tyvendedagen efter offentliggørelsen i 
Den Europæiske Unions Tidende
.
Denne forordning finder anvendelse fra den 26. marts 2027.
Artikel 3-15, artikel 23, stk. 2-6, og artikel 25, 26, 27, 47, 48 og 49 finder dog anvendelse som følger:
a)
fra den 26. marts 2029 for de prioriterede kategorier af personlige elektroniske sundhedsdata, der er omhandlet i artikel 14, stk. 1, litra a), b) og c), og for EPJ-systemer, som producenten har til hensigt at bruge til at behandle sådanne kategorier af data
b)
fra den 26. marts 2031 for de prioriterede kategorier af personlige elektroniske sundhedsdata, der er omhandlet i artikel 14, stk. 1, litra d), e) og f), og for EPJ-systemer, som producenten har til hensigt at bruge til at behandle sådanne kategorier af data
c)
fra ét år fra den dato, der fastsættes i en delegeret retsakt vedtaget i henhold til artikel 14, stk. 2, for så vidt angår hver ændring af de vigtigste karakteristika for personlige elektroniske sundhedsdata fastsat i bilag I, forudsat at denne dato ligger efter anvendelsesdatoen, jf. dette afsnits litra a) og b), for de pågældende kategorier af personlige elektroniske sundhedsdata.
Kapitel III finder anvendelse på EPJ-systemer, der tages i brug i Unionen, jf. artikel 26, stk. 2, fra den 26. marts 2031.
Kapitel IV finder anvendelse fra den 26. marts 2029. Dog finder artikel 55, stk. 6, artikel 70, artikel 73, stk. 5, artikel 75, stk. 1 og 12, artikel 77, stk. 4, og artikel 78, stk. 6, anvendelse fra den 26. marts 2027, artikel 51, stk. 1, litra b), f), g), m) og p), finder anvendelse fra den 26. marts 2031, og artikel 75, stk. 5, finder anvendelse fra den 26. marts 2035.
De gennemførelsesretsakter, der er omhandlet i artikel 13, stk. 4, artikel 15, stk. 1, artikel 23, stk. 4, og artikel 36, stk. 1, finder anvendelse fra de i nærværende artikels stk. 3 omhandlede datoer afhængig af de i henholdsvis artikel 14, stk. 1, litra a), b) og c), eller artikel 14, stk. 1, litra d), e) og f), omhandlede kategorier af personlige elektroniske sundhedsdata.
De gennemførelsesretsakter, der er omhandlet i artikel 70, artikel 73, stk. 5, artikel 75, stk. 12, artikel 77, stk. 4, og artikel 78, stk. 6, finder anvendelse fra den 26. marts 2029.
Denne forordning er bindende i alle enkeltheder og gælder umiddelbart i hver medlemsstat.
Udfærdiget i Strasbourg, den 11. februar 2025.
På Europa-Parlamentets vegne
R. METSOLA
Formand
På Rådets vegne
A. SZŁAPKA
Formand
(
1
)
  
            
EUT C 486 af 21.12.2022, s. 123
.
(
2
)
  
            
EUT C 157 af 3.5.2023, s. 64
.
(
3
)
  Europa-Parlamentets holdning af 24.4.2024 (endnu ikke offentliggjort i EUT) og Rådets afgørelse af 21.1.2025.
(
4
)
  Kommissionens gennemførelsesafgørelse (EU) 2019/1269 af 26. juli 2019 om ændring af gennemførelsesafgørelse 2014/287/EU om fastsættelse af kriterier for etablering og evaluering af europæiske netværk af referencecentre og deres medlemmer og for lettelse af udvekslingen af oplysninger og ekspertise om etablering og evaluering af sådanne netværk (
EUT L 200 af 29.7.2019, s. 35
).
(
5
)
  Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (
EUT L 119 af 4.5.2016, s. 1
).
(
6
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1725 af 23. oktober 2018 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger i Unionens institutioner, organer, kontorer og agenturer og om fri udveksling af sådanne oplysninger og om ophævelse af forordning (EF) nr. 45/2001 og afgørelse nr. 1247/2002/EF (
EUT L 295 af 21.11.2018, s. 39
).
(
7
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 910/2014 af 23. juli 2014 om elektronisk identifikation og tillidstjenester til brug for elektroniske transaktioner på det indre marked og om ophævelse af direktiv 1999/93/EF (
EUT L 257 af 28.8.2014, s. 73
).
(
8
)
  Europa-Parlamentets og Rådets afgørelse (EU) 2022/2481 af 14. december 2022 om etablering af politikprogrammet for det digitale årti 2030 (
EUT L 323 af 19.12.2022, s. 4
).
(
9
)
  Kommissionens henstilling (EU) 2019/243 af 6. februar 2019 om et europæisk format for udveksling af elektroniske patientjournaler (
EUT L 39 af 11.2.2019, s. 18
).
(
10
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1689 af 13. juni 2024 om harmoniserede regler for kunstig intelligens og om ændring af forordning (EF) nr. 300/2008, (EU) nr. 167/2013, (EU) nr. 168/2013, (EU) 2018/858, (EU) 2018/1139 og (EU) 2019/2144 samt direktiv 2014/90/EU, (EU) 2016/797 og (EU) 2020/1828 (forordningen om kunstig intelligens) (
EUT L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj
).
(
11
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/745 af 5. april 2017 om medicinsk udstyr, om ændring af direktiv 2001/83/EF, forordning (EF) nr. 178/2002 og forordning (EF) nr. 1223/2009 og om ophævelse af Rådets direktiv 90/385/EØF og 93/42/EØF (
EUT L 117 af 5.5.2017, s. 1
).
(
12
)
  Europa-Parlamentets og Rådets forordning (EU) 2022/868 af 30. maj 2022 om europæisk datastyring og om ændring af forordning (EU) 2018/1724 (forordning om datastyring) (
EUT L 152 af 3.6.2022, s. 1
).
(
13
)
  Europa-Parlamentets og Rådets forordning (EU) 2023/2854 af 13. december 2023 om harmoniserede regler om fair adgang til og anvendelse af data og om ændring af forordning (EU) 2017/2394 og direktiv (EU) 2020/1828 (dataforordningen) (
EUT L, 2023/2854, 22.12.2023, ELI: http://data.europa.eu/eli/reg/2023/2854/oj
).
(
14
)
  Europa-Parlamentets og Rådets direktiv 2011/24/EU af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (
EUT L 88 af 4.4.2011, s. 45
).
(
15
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/2847 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (
EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj
).
(
16
)
  Europa-Parlamentets og Rådets forordning (EU) 2017/746 af 5. april 2017 om medicinsk udstyr til in vitro-diagnostik og om ophævelse af direktiv 98/79/EF og Kommissionens afgørelse 2010/227/EU (
EUT L 117 af 5.5.2017, s. 176
).
(
17
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/1020 af 20. juni 2019 om markedsovervågning og produktoverensstemmelse og om ændring af direktiv 2004/42/EF og forordning (EF) nr. 765/2008 og (EU) nr. 305/2011 (
EUT L 169 af 25.6.2019, s. 1
).
(
18
)
  Kommissionens henstilling 2003/361/EF af 6. maj 2003 om definitionen af mikrovirksomheder, små og mellemstore virksomheder (
EUT L 124 af 20.5.2003, s. 36
).
(
19
)
  Rådets forordning (EF) nr. 723/2009 af 25. juni 2009 om fællesskabsrammebestemmelser for et konsortium for en europæisk forskningsinfrastruktur (ERIC) (
EUT L 206 af 8.8.2009, s. 1
).
(
20
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1724 af 2. oktober 2018 om oprettelse af en fælles digital portal, der giver adgang til oplysninger, procedurer og bistands- og problemløsningstjenester, og om ændring af forordning (EU) nr. 1024/2012 (
EUT L 295 af 21.11.2018, s. 1
).
(
21
)
  Europa-Parlamentets og Rådets forordning (EU) 2019/881 af 17. april 2019 om ENISA (Den Europæiske Unions Agentur for Cybersikkerhed), om cybersikkerhedscertificering af informations- og kommunikationsteknologi og om ophævelse af forordning (EU) nr. 526/2013 (forordningen om cybersikkerhed) (
EUT L 151 af 7.6.2019, s. 15
).
(
22
)
  
            
EUT L 123 af 12.5.2016, s. 1
.
(
23
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 182/2011 af 16. februar 2011 om de generelle regler og principper for, hvordan medlemsstaterne skal kontrollere Kommissionens udøvelse af gennemførelsesbeføjelser (
EUT L 55 af 28.2.2011, s. 13
).
(
24
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 223/2009 af 11. marts 2009 om europæiske statistikker og om ophævelse af Europa-Parlamentets og Rådets forordning (EF, Euratom) nr. 1101/2008 om fremsendelse af fortrolige statistiske oplysninger til De Europæiske Fællesskabers Statistiske Kontor, Rådets forordning (EF) nr. 322/97 om EF-statistikker og Rådets afgørelse 89/382/EØF, Euratom om nedsættelse af et udvalg for De Europæiske Fællesskabers statistiske program (
EUT L 87 af 31.3.2009, s. 164
).
(
25
)
  Europa-Parlamentets og Rådets forordning (EU) nr. 536/2014 af 16. april 2014 om kliniske forsøg med humanmedicinske lægemidler og om ophævelse af direktiv 2001/20/EF (
EUT L 158 af 27.5.2014, s. 1
).
(
26
)
  Europa-Parlamentets og Rådets direktiv 2002/58/EF af 12. juli 2002 om behandling af personoplysninger og beskyttelse af privatlivets fred i den elektroniske kommunikationssektor (direktivet om databeskyttelse inden for elektronisk kommunikation) (
EFT L 201 af 31.7.2002, s. 37
).
(
27
)
  Europa-Parlamentets og Rådets direktiv (EU) 2016/943 af 8. juni 2016 om beskyttelse af fortrolig knowhow og fortrolige forretningsoplysninger (forretningshemmeligheder) mod ulovlig erhvervelse, brug og videregivelse (
EUT L 157 af 15.6.2016, s. 1
).
(
28
)
  Europa-Parlamentets og Rådets direktiv 2014/24/EU af 26. februar 2014 om offentlige udbud og om ophævelse af direktiv 2004/18/EF (
EUT L 94 af 28.3.2014, s. 65
).
(
29
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 1338/2008 af 16. december 2008 om fællesskabsstatistikker over folkesundhed og arbejdsmiljø (
EUT L 354 af 31.12.2008, s. 70
).
(
30
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 765/2008 af 9. juli 2008 om kravene til akkreditering og markedsovervågning i forbindelse med markedsføring af produkter og om ophævelse af Rådets forordning (EØF) nr. 339/93 (
EUT L 218 af 13.8.2008, s. 30
).
(
31
)
  Europa-Parlamentets og Rådets direktiv (EU) 2019/882 af 17. april 2019 om tilgængelighedskrav for produkter og tjenester (
EUT L 151 af 7.6.2019, s. 70
).
(
32
)
  Europa-Parlamentets og Rådets direktiv (EU) 2022/2555 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af forordning (EU) nr. 910/2014 og direktiv (EU) 2018/1972 og om ophævelse af direktiv (EU) 2016/1148 (NIS 2-direktivet) (
EUT L 333 af 27.12.2022, s. 80
).
(
33
)
  Europa-Parlamentets og Rådets direktiv (EU) 2015/1535 af 9. september 2015 om en informationsprocedure med hensyn til tekniske forskrifter samt forskrifter for informationssamfundets tjenester (
EUT L 241 af 17.9.2015, s. 1
).
(
34
)
  Europa-Parlamentets og Rådets forordning (EU) 2018/1807 af 14. november 2018 om en ramme for fri udveksling af andre data end personoplysninger i Den Europæiske Union (
EUT L 303 af 28.11.2018, s. 59
).
(
35
)
  Europa-Parlamentets og Rådets forordning (EU) 2024/1938 af 13. juni 2024 om kvalitets- og sikkerhedsstandarder for substanser af menneskelig oprindelse bestemt til anvendelse i mennesker og om ophævelse af direktiv 2002/98/EF og 2004/23/EF (
EUT L, 2024/1938, 17.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1938/oj
).
(
36
)
  Europa-Parlamentets og Rådets direktiv 2001/83/EF af 6. november 2001 om oprettelse af en fællesskabskodeks for humanmedicinske lægemidler (
EFT L 311 af 28.11.2001, s. 67
).
(
37
)
  Europa-Parlamentets og Rådets forordning (EF) nr. 726/2004 af 31. marts 2004 om fastlæggelse af EU-procedurer for godkendelse og overvågning af humanmedicinske lægemidler og om oprettelse af et europæisk lægemiddelagentur (
EUT L 136 af 30.4.2004, s. 1
).
BILAG I
Vigtigste karakteristika for prioriterede kategorier af personlige elektroniske sundhedsdata til primær anvendelse
Kategori af elektroniske sundhedsdata
Vigtigste karakteristika for elektroniske sundhedsdata, der er omfattet af kategorien
1.
Patientresuméer
Elektroniske sundhedsdata, der omfatter væsentlige kliniske kendsgerninger vedrørende en identificeret fysisk person, og som er afgørende for leveringen af sikre og effektive sundhedsydelser til den pågældende person. Følgende oplysninger indgår i et patientresumé:
1.
Oplysninger om personen
2.
Kontaktoplysninger
3.
Oplysninger om forsikring
4.
Allergi
5.
Medicinske indberetninger
6.
Oplysninger om vaccination/profylakse, eventuelt i form af et vaccinationskort
7.
Aktuelle, løste, lukkede eller inaktive problemer, herunder i en international klassifikationskode
8.
Tekstoplysninger om sygehistorik
9.
Medicinsk udstyr og implantater
10.
Læge- eller plejeprocedurer
11.
Funktionstilstand
12.
Nuværende og relevante tidligere lægemidler
13.
Observationer af den sociale historik i forbindelse med sundhed
14.
Graviditetshistorik
15.
Data afgivet af patienten
16.
Observationsresultater vedrørende sundhedstilstanden
17.
Plejeplan
18.
Oplysninger om sjælden sygdom, såsom oplysninger om sygdommens indvirkning eller karakteristika
2.
Elektronisk recept
Elektroniske sundhedsdata, der udgør en recept på et lægemiddel som defineret i artikel 3, litra k), i direktiv 2011/24/EU.
3.
Elektronisk udleveringer
Oplysninger om udlevering af et lægemiddel til en fysisk person fra et apotek på grundlag af en elektronisk recept.
4.
Medicinsk billeddiagnostik og tilhørende billedrapporter
Elektroniske sundhedsdata vedrørende brugen af, eller som er frembragt ved, teknologier, der anvendes til at se det menneskelige legeme med henblik på at forebygge, diagnosticere, overvåge eller behandle medicinske tilstande.
5.
Resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter
Elektroniske sundhedsdata, der repræsenterer resultater af undersøgelser, der navnlig er gennemført gennem in vitro-diagnostik såsom klinisk biokemi, hæmatologi, transfusionsmedicin, mikrobiologi, immunologi m.m., og herunder, hvor det er relevant, rapporter til støtte for fortolkningen af resultaterne.
6.
Udskrivningsrapport
Elektroniske sundhedsdata i forbindelse med kontakt med sundhedsvæsenet eller et plejeforløb, herunder væsentlige oplysninger om en fysisk persons indlæggelse, behandling og udskrivelse.
BILAG II
Væsentlige krav til de harmoniserede softwarekomponenter i EPJ-systemer og til produkter, for hvilke der er angivet interoperabilitet med EPJ-systemer
De væsentlige krav fastlagt i dette bilag finder tilsvarende anvendelse på medicinsk udstyr, medicinsk udstyr til in vitro-diagnostik, AI-systemer og wellnessapplikationer, der angiver at være interoperable med EPJ-systemer.
1.   Generelle krav
1.1.
De harmoniserede softwarekomponenter i et EPJ-system skal have den af fabrikanten tilsigtede ydeevne og skal designes og fremstilles på en sådan måde, at de under normale anvendelsesbetingelser er egnede til deres erklærede formål, og at deres anvendelse ikke udgør en risiko for patientsikkerheden.
1.2.
De harmoniserede softwarekomponenter i EPJ-systemet skal designes og udvikles på en sådan måde, at EPJ-systemet kan leveres og installeres efter fabrikantens anvisninger og oplysninger, uden at det forringer dets egenskaber og ydeevne under den tilsigtede anvendelse.
1.3.
Et EPJ-system skal designes og udvikles på en sådan måde, at dets interoperabilitets- og sikkerhedselementer beskytter fysiske personers rettigheder i overensstemmelse med det erklærede formål med EPJ-systemet, jf. kapitel II.
1.4.
De harmoniserede softwarekomponenter i et EPJ-system, der er beregnet til at blive anvendt sammen med andre produkter, herunder medicinsk udstyr, skal designes og fremstilles på en sådan måde, at interoperabilitet og kompatibilitet er pålidelig og sikker, og at personlige elektroniske sundhedsdata kan deles mellem udstyret og EPJ-systemet i forbindelse med disse harmoniserede softwarekomponenter i EPJ-systemet.
2.   Krav til interoperabilitet
2.1.
Hvis et EPJ-system er designet til at lagre eller formidle personlige elektroniske sundhedsdata, skal det tilvejebringe en grænseflade, der giver adgang til de personlige elektroniske sundhedsdata, som det behandler, i det europæiske format for udveksling af elektroniske patientjournaler, ved hjælp af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer.
2.2.
Hvis et EPJ-system er designet til at lagre eller formidle personlige elektroniske sundhedsdata, skal det kunne modtage personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler ved hjælp af den europæiske interoperabilitetssoftwarekomponent for EPJ-systemer.
2.3.
Hvis et EPJ-system er designet med henblik på at give adgang til personlige elektroniske sundhedsdata, skal det kunne modtage personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler ved hjælp af den europæiske interoperabilitetskomponent for EPJ-systemer.
2.4.
Et EPJ-system, der omfatter en funktion til indlæsning af strukturerede personlige elektroniske sundhedsdata, skal gøre det muligt at indlæse oplysninger med en tilstrækkelig detaljeringsgrad til at muliggøre levering af de indlæste personlige elektroniske sundhedsdata i det europæiske format for udveksling af elektroniske patientjournaler.
2.5.
De harmoniserede softwarekomponenter i et EPJ-system må ikke indeholde elementer, der forbyder, begrænser eller pålægger en urimelig byrde for autoriseret adgang, elektronisk udveksling af sundhedsdata eller brug af personlige elektroniske sundhedsdata til tilladte formål.
2.6.
De harmoniserede softwarekomponenter i et EPJ-system må ikke indeholde elementer, der forbyder, begrænser eller pålægger en urimelig byrde for autoriseret eksport af personlige elektroniske sundhedsdata med henblik på at erstatte EPJ-systemet med et andet produkt.
3.   Krav til sikkerhed og logning.
3.1.
Et EPJ-system, der skal anvendes af sundhedsprofessionelle, skal tilvejebringe pålidelige mekanismer til identifikation og autentificering af sundhedsprofessionelle
3.2.
Den europæiske logningssoftwarekomponent i et EPJ-system, der er udformet med henblik på at give sundhedstjenesteydere eller andre personer adgang til personlige elektroniske sundhedsdata, skal omfatte tilstrækkelige logningsmekanismer, der som minimum registrerer følgende oplysninger om hver adgangshændelse eller gruppe af hændelser:
a)
identifikation af sundhedstjenesteyderen eller andre personer, der har fået adgang til de personlige elektroniske sundhedsdata
b)
identifikation af den eller de specifikke fysiske personer, der har fået adgang til de personlige elektroniske sundhedsdata
c)
kategorierne af data, der er tilgået
d)
tidspunktet og datoen for adgang
e)
dataenes oprindelse eller oprindelser.
3.3.
De harmoniserede softwarekomponenter i et EPJ-system skal omfatte værktøjer eller mekanismer til gennemgang og analyse af logdata, eller det skal understøtte tilslutning og brug af ekstern software til samme formål.
3.4.
De harmoniserede softwarekomponenter i et EPJ-system, der lagrer personlige elektroniske sundhedsdata, skal understøtte forskellige lagringsperioder og adgangsrettigheder, der tager hensyn til oprindelsen og kategorierne af elektroniske sundhedsdata.
BILAG III
Teknisk dokumentation
Den tekniske dokumentation, der er omhandlet i artikel 37, skal som minimum indeholde følgende oplysninger, alt efter hvad der er relevant for et EPJ-systems harmoniserede softwarekomponenter i det pågældende EPJ-system:
1.
En detaljeret beskrivelse af EPJ-systemet, herunder:
a)
det tilsigtede formål samt datoen og versionen af EPJ-systemet
b)
de kategorier af personlige elektroniske sundhedsdata, som EPJ-systemet er designet til at behandle
c)
hvordan EPJ-systemet interagerer eller kan bruges til at interagere med hardware eller software, der ikke er en del af selve EPJ-systemet
d)
versionerne af relevant software eller firmware og eventuelle krav vedrørende opdatering
e)
en beskrivelse af alle måder, hvorpå EPJ-systemet bringes i omsætning eller tages i brug
f)
en beskrivelse af den hardware, som EPJ-systemet er beregnet til at køre på
g)
en beskrivelse af systemarkitekturen, der forklarer, hvordan softwarekomponenter bygger på eller indgår i hinanden og integreres i den samlede behandling, herunder, hvor det er relevant, mærkede billedgengivelser (f.eks. diagrammer og illustrationer), der tydeligt angiver centrale dele eller softwarekomponenter og indeholder tilstrækkelig forklaring til at forstå diagrammerne og illustrationerne
h)
de tekniske specifikationer, f.eks. karakteristika, dimensioner og ydeevne, for EPJ-systemet og eventuelle varianter eller konfigurationer og tilbehør, der typisk optræder i den produktspecifikation, der gøres tilgængelig for brugeren, f.eks. i brochurer, kataloger og lignende, herunder en detaljeret beskrivelse af datastrukturer, lagring og input/output af data
i)
en beskrivelse af eventuelle ændringer af systemet i løbet af dets livscyklus
j)
brugsanvisning til brugeren og, hvis det er relevant, installationsvejledning.
2.
En detaljeret beskrivelse af det system, der er indført for at evaluere EPJ-systemet, hvis det er relevant.
3.
Henvisninger til eventuelle fælles specifikationer, der anvendes i overensstemmelse med artikel 36, og som der erklæres overensstemmelse med.
4.
Resultaterne og de kritiske analyser af alle verifikations- og valideringstest, der er foretaget for at påvise, at EPJ-systemet er i overensstemmelse med kravene i kapitel III, navnlig de gældende væsentlige krav.
5.
En kopi af det i artikel 38 nævnte produktdatablad.
6.
En kopi af EU-overensstemmelseserklæringen.
BILAG IV
EU-overensstemmelseserklæring
EU-overensstemmelseserklæringen for de harmoniserede softwarekomponenter i et EPJ-system skal indeholde alle følgende oplysninger:
1.
Navnet på EPJ-systemet, versionen og enhver yderligere entydig reference, der gør det muligt at identificere EPJ-systemet.
2.
Fabrikantens navn og adresse eller, hvis det er relevant, dens bemyndigede repræsentants navn og adresse.
3.
En erklæring om, at EU-overensstemmelseserklæringen udstedes på fabrikantens ansvar.
4.
En erklæring om, at det pågældende EPJ-system er i overensstemmelse med bestemmelserne i kapitel III og eventuelt med al anden relevant EU-ret, der fastsætter bestemmelser om udstedelse af en EU-overensstemmelseserklæring, suppleret med resultatet af det testmiljø, der er nævnt i artikel 40.
5.
Referencer til eventuelle fælles harmoniserede specifikationer, der er anvendt, og som der erklæres overensstemmelse med.
6.
Referencer til eventuelle fælles specifikationer, der er anvendt, og som der erklæres overensstemmelse med.
7.
Sted og dato for erklæringens udstedelse, underskrift plus navn og stilling på den person, der har underskrevet erklæringen, og i givet fald angivelse af den person, på hvis vegne den er underskrevet.
8.
I givet fald yderligere oplysninger.
ELI: http://data.europa.eu/eli/reg/2025/327/oj
ISSN 1977-0634 (electronic edition)

Summary:
Det europæiske sundhedsdataområde
RESUMÉ AF:
Forordning (EU) 
2025/327
 om det europæiske sundhedsdataområde
HVAD ER FORMÅLET MED DENNE FORORDNING?
Forordning (EU) 
2025/327
 etablerer 
det europæiske sundhedsdataområde
 for at styrke borgernes adgang til og kontrol med deres personlige elektroniske sundhedsdata og dermed forbedre leveringen af sundhedsydelser samt støtte 
forskning og innovation
. Det europæiske sundhedsdataområde er en hjørnesten i den europæiske sundhedsunion og det første fælles dataområde i EU, der er dedikeret til en specifik sektor som led i den europæiske strategi for data.
HOVEDPUNKTER
Formål og anvendelsesområde
Forordningen
 om det europæiske sundhedsdataområde fastsætter regler, der skal:
sætte enkeltpersoner i stand til at få adgang til, kontrollere og dele deres elektroniske sundhedsdata på tværs af grænser med henblik på sundhedspleje (
primær anvendelse af data
)
muliggøre sikker videreanvendelse af elektroniske sundhedsdata til forsknings-, innovations-, politikudformnings- og lovgivningsaktiviteter (
sekundær anvendelse af data
)
fremme et indre marked for elektroniske patientjournalsystemer, som understøtter både primær og sekundær anvendelse.
Primær anvendelse af elektroniske sundhedsdata
Enkeltpersoners rettigheder
I henhold til forordningen om det europæiske sundhedsdataområde vil enkeltpersoner eller deres repræsentanter have yderligere rettigheder i forbindelse med specifikke kategorier af deres personlige elektroniske sundhedsdata, herunder retten til at:
få adgang til deres elektroniske sundhedsdata 
med det samme
 og 
uden beregning
 via sundhedsadgangstjenester
downloade en kopi af deres sundhedsdata i det almindeligt anvendte og maskinlæsbare 
europæiske format for udveksling af elektroniske patientjournaler
 og dele den med sundhedstjenesteydere i hele EU
indsætte oplysninger i deres elektroniske patientjournalsystemer og anmode om rettelser
se registreringer over, hvem der har haft adgang til deres data, hvornår og til hvilket formål
administrere fuldmagter
begrænse adgangen til hele eller dele af deres sundhedsdata og
fravælge at give adgang til deres personlige elektroniske sundhedsdata under visse betingelser.
Disse yderligere rettigheder gælder for følgende kategorier af personlige elektroniske sundhedsdata, der tilsammen betegnes som »prioriterede kategorier«. Disse rettigheder begynder at finde anvendelse i to faser.
Første fase:
patientresuméer (et omfattende sæt af centrale kliniske data, herunder diagnoser og helbredstilstande, allergier, medicinering, vaccinationer, behandlingsplan osv.)
elektroniske recepter
elektroniske lægemiddeludleveringer (oplysninger om, at en recept er blevet anvendt).
Tilføjet i 
anden fase
:
medicinsk billeddiagnostik og tilhørende billedrapporter
resultater af medicinske undersøgelser, herunder laboratorieresultater og andre diagnostiske resultater og tilhørende rapporter
udskrivningsrapporter.
Enkeltpersoner vil kunne udøve disse yderligere rettigheder for de første tre kategorier senest den 26. marts 2029 (første fase) og for de sidste tre kategorier senest den 26. marts 2031 (anden fase).
Disse rettigheder gælder disse datakategorier, når sådanne data behandles elektronisk. Disse rettigheder omfatter også historiske data — de er ikke begrænset til dokumenter, der er oprettet, efter at disse rettigheder trådte i kraft.
Sundhedspersoners adgang
Sundhedspersoner kan få adgang til de prioriterede kategorier af personlige elektroniske sundhedsdata for patienter under deres behandling, herunder på tværs af grænser via 
MyHealth@EU
, for at understøtte 
sikker
 og 
kontinuerlig
 pleje af 
høj kvalitet
.
Hver EU-
medlemsstat
 skal definere adgangsrettigheder baseret på faglige roller samt de opgaver, der skal udføres. Kun fagfolk med 
anerkendt elektronisk identifikation
 kan få adgang til data, som skal præsenteres i et 
brugervenligt format
.
Enkeltpersoner kan begrænse adgangen til dele af deres data. I sådanne tilfælde vil fagfolk 
ikke være bekendt med
 eksistensen eller indholdet af de begrænsede oplysninger. I nødsituationer kan der gives adgang til disse oplysninger, hvis det er nødvendigt for at beskytte den enkeltes 
vitale interesser
, og al sådan adgang vil være 
registreret
 og 
synlig
 for den enkelte.
MyHealth@EU
, EU’s centrale platform for interoperabilitet, muliggør sikker grænseoverskridende udveksling af elektroniske sundhedsdata til 
sundhedsformål (primær anvendelse)
 og giver borgere og sundhedspersonale adgang til de nødvendige data, når en person modtager behandling i en anden medlemsstat.
Regler for markedsføring af elektroniske patientjournalsystemer og wellnessapplikationer
Elektroniske patientjournalsystemer
 må kun bringes i omsætning på EU-markedet, hvis de opfylder de 
væsentlige krav
, følger de 
fælles specifikationer
 og består en 
selvvurdering af overensstemmelse
.
Fabrikanter
 er ansvarlige for at sikre løbende overholdelse, at vedligeholde den tekniske dokumentation og, når det kræves i henhold til EU-retten, at anbringe 
CE-mærkningen
 før systemet bringes i omsætning.
Wellnessapplikationer
, der hævder interoperabilitet med elektroniske patientjournalsystemer og dermed overholder relevante krav, skal mærkes i overensstemmelse hermed og opfylde minimumsstandarder for interoperabilitet.
Nationale markedsovervågningsmyndigheder
 overvåger overholdelsen af disse krav.
Sekundær anvendelse af elektroniske sundhedsdata
Når en enhed kvalificereres som sundhedsdataindehaver, skal den stille de datakategorier, der er opført i artikel 51, til rådighed i overensstemmelse med betingelserne i kapitel IV i det europæiske sundhedsdataområde.
Sundhedsdata kan genbruges under 
strenge betingelser
.
En 
datatilladelse
 udstedt af et organ med ansvar for adgang til sundhedsdata
1
 kræves. Dette sker efter indgivelsen af en ansøgning og organet med ansvar for adgang til sundhedsdatsa vurdering heraf efter strenge kriterier, herunder om der anmodes om adgang til data, der hører under "minimumskategorierne", dvs. de kategorier af elektroniske sundhedsdata, som må anvendes til sekundær anvendelse og til specifikke formål.
Kun 
pseudonymiserede
 eller 
anonymiserede data
 kan tilgås i et sikkert behandlingsmiljø — personoplysninger kan ikke downloades fra disse miljøer.
Forskere, virksomheder eller offentlige institutioner må kun få adgang til pseudonymiserede data, hvis anonymiserede data ikke er tilstrækkelige til deres formål.
Resultaterne af anvendelsen af data skal gøres 
offentligt tilgængelige
, når det er hensigtsmæssigt, især hvis anvendelsen er offentligt finansieret eller af hensyn til gennemsigtighed.
Visse anvendelser, f.eks. 
annoncering
, genidentifikation eller 
forskelsbehandling
, er strengt 
forbudt
.
Medlemsstaternes ansvar og EU-koordinering
For at sikre en ensartet anvendelse af forordningen og et gnidningsløst grænseoverskridende samarbejde om primær anvendelse skal hver medlemsstat udpege en eller flere 
digitale sundhedsmyndigheder
. Disse myndigheder er ansvarlige for:
overvågning af gennemførelsen og 
håndhævelsen
 af forordningen
sikring af datasystemernes interoperabilitet og sikkerhed
tilsyn med elektroniske patientjournalsystemer og wellnessapplikationer, der stilles til rådighed på deres område
koordinering af digitale sundhedsspørgsmål på både nationalt og EU-plan.
Desuden skal medlemsstaterne udpege 
nationale kontaktpunkter
 for digital sundhed. Disse fungerer som 
gateways
 for grænseoverskridende dataudveksling. Alle nationale kontaktpunkter skal være forbundet til den centrale interoperabilitetsplatform for digital sundhed i den grænseoverskridende infrastruktur 
MyHealth@EU
.
Med hensyn til 
sekundær anvendelse
 skal hver medlemsstat udpege mindst ét 
organ med ansvar for adgang til sundhedsdata
, som er ansvarlig for at behandle ansøgninger og anmodninger om dataadgang, udstede datatilladelser, føre tilsyn med overholdelsen og sikre gennemsigtighed i videreanvendelsen af data.
HealthData@EU
 støtter 
sekundær anvendelse
 af sundhedsdata på tværs af medlemsstaterne ved at forbinde nationale kontaktpunkter og autoriserede brugere for at fremme forskning og innovation i hele EU.
Rådet for det europæiske sundhedsdataområde
 er oprettet for at lette samarbejdet mellem medlemsstaterne og 
Europa-Kommissionen
 og for at udføre opgaver vedrørende både primær og sekundær anvendelse.
Medlemsstaterne skal også 
sikre overholdelse
 gennem passende sanktioner og håndhævelsesforanstaltninger. Kommissionen 
aflægger årligt rapport
 om fremskridt med gennemførelsen, teknisk parathed og samarbejdsforanstaltninger.
HVORNÅR GÆLDER FORORDNINGEN FRA?
Forordningen finder anvendelse fra den 26. marts 2027, og de centrale regler indfases gradvist mellem 2029 og 2035.
Vigtige implementeringsmilepæle
26. marts 
2025
 — forordningen træder i kraft.
26. marts 
2027
 — frist for Kommissionens vedtagelse af 
gennemførelsesretsakter
 til anvendelse af forordningen.
Fra den 26. marts 
2029
 — grænseoverskridende udveksling af patientresuméer, elektroniske recepter og elektroniske lægemiddeludleveringer bliver obligatorisk i alle medlemsstater via 
MyHealth@EU (primær anvendelse)
. Reglerne om sekundær anvendelse vil også begynde at gælde for de fleste datakategorier (f.eks. data fra elektroniske patientjournaler).
Fra den 26. marts 
2031
 — grænseoverskridende udveksling udvides til at omfatte laboratorieresultater, rapporter i forbindelse med medicinsk billeddannelse og rapporter om udskrivning fra hospitalet (primær anvendelse). Reglerne om sekundær anvendelse vil også begynde at gælde for de resterende datakategorier (f.eks. genomdata).
Fra den 26. marts 
2035
 kan lande uden for EU og internationale organisationer ansøge om at tilslutte sig 
HealthData@EU
 på særlige betingelser (sekundær anvendelse).
Forordningen ændrer direktiv 
2011/24/EU
 (se 
sammendrag
) og forordning (EU) 
2024/2847
 (se 
sammendrag
).
BAGGRUND
Det europæiske sundhedsdataområde er en central hjørnesten i 
den europæiske sundhedsunion
. Det bygger videre på 
den generelle forordning om databeskyttelse
 (se 
resumé
) og er i overensstemmelse med 
forordningen om datastyring
 (se 
resumé
), 
dataforordningen
 (se 
resumé
) og 
NIS 2-direktivet
 (se 
resumé
).
For yderligere oplysninger henvises til:
Forordningen om det europæiske sundhedsdataområde
 (Europa-Kommissionen)
Certification of EHR systems
 (Europa-Kommissionen)
Mine rettigheder over mine sundhedsdata
 (Europa-Kommissionen)
Det europæiske sundhedsdataområde: Rådet og Parlamentet indgår aftale
 (Rådet for Den Europæiske Union).
VIGTIGE BEGREBER
Organ med ansvar for adgang til sundhedsdata.
 En national myndighed, der godkender og fører tilsyn med den sekundære anvendelse af elektroniske sundhedsdata i henhold til forordningen om det europæiske sundhedsdataområde.
HOVEDDOKUMENT
Europa-Parlamentets og Rådets forordning (EU) 
2025/327
 af 11. februar 2025 om det europæiske sundhedsdataområde og om ændring af direktiv 2011/24/EU og forordning (EU) 
2024/2847
 (EUT L, 2025/327,  
5.3.2025
).
TILHØRENDE DOKUMENTER
Europa-Parlamentets og Rådets forordning (EU) 
2024/2847
 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) 
nr. 168/2013
 og (EU) 
2019/1020
 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (EUT L, 2024/2847, 
20.11.2024
).
Efterfølgende ændringer til forordning (EU) have er blevet indarbejdet i grundteksten. Denne 
konsoliderede udgave
 har ingen retsvirkning.
Europa-Parlamentets og Rådets forordning (EU) 
2023/2854
 af 13. december 2023 om harmoniserede regler om fair adgang til og anvendelse af data og om ændring af forordning (EU) 
2017/2394
 og direktiv (EU) 2020/1828 (dataforordningen) (EUT L, 2023/2854, 
22.12.2023
).
Europa-Parlamentets og Rådets forordning (EU) 
2022/868
 af 30. maj 2022 om europæisk datastyring og om ændring af forordning (EU) 
2018/1724
 (forordning om datastyring) (EUT L 152 af 
3.6.2022
, 
s. 1-44
).
Europa-Parlamentets og Rådets Direktiv (EU) 
2022/2555
 af 14. december 2022 om foranstaltninger til sikring af et højt fælles cybersikkerhedsniveau i hele Unionen, om ændring af Forordning (EU) 
Nr. 910/2014
 og Direktiv (EU) 2018/1972 og om ophævelse af Direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333 af 
27.12.2022
, 
s. 80–152
).
Kommissionens henstilling (EU) 
2019/243
 af 6. februar 2019 om et europæisk format for udveksling af elektroniske patientjournaler (EUT L 39 af 
11.2.2019
, 
s. 18-27
).
Europa-Parlamentets og Rådets forordning (EU) 
2016/679
 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT L 119 af 
4.5.2016
, 
s. 1-88
)
Se den 
konsoliderede udgave
.
Europa-Parlamentets og Rådets Direktiv 
2011/24/EU
 af 9. marts 2011 om patientrettigheder i forbindelse med grænseoverskridende sundhedsydelser (EUT L 88 af 
4.4.2011
, 
s. 45-65
).
Se den 
konsoliderede udgave
.
seneste ajourføring 
16.1.2026