(1)

Целта на настоящия регламент е да установи европейско пространство на здравни данни (ЕПЗД), за да се подобрят достъпът на физическите лица до техните лични електронни здравни данни и контролът им върху тях в контекста на здравното обслужване, както и за да се постигнат по-добре други цели, свързани с използването на електронни здравни данни в секторите на здравното обслужване и грижите в полза на обществото, например научни изследвания, иновации, изготвяне на политики, готовност и способност за реакция при заплахи за здравето, включително предотвратяване на и справяне с бъдещи пандемии, безопасност на пациентите, персонализирана медицина, официална статистика или регулаторни дейности. Освен това целта на настоящия регламент е да се подобри функционирането на вътрешния пазар чрез установяване на единна правна и техническа рамка, по-специално за разработването, предлагането на пазара и използването на системи за електронни здравни досиета (наричани по-нататък „системи за ЕЗД“) в съответствие с ценностите на Съюза. ЕПЗД ще бъде ключов елемент за изграждането на силен и устойчив Европейски здравен съюз.

(2)

Вследствие на пандемията от COVID-19 пролича неотложната необходимост от осигуряване на своевременен достъп до качествени електронни здравни данни с цел готовност и реакция при заплахи за здравето, както и с цел профилактика, диагностика и лечение и вторично използване на такива електронни здравни данни. Подобен своевременен достъп би могъл потенциално да допринесе чрез ефикасно наблюдение и мониторинг на общественото здраве за по-ефективно управление на бъдещи пандемии, за намаляване на разходите и подобрена реакция при заплахи за здравето, и в крайна сметка би могъл да помогне за спасяването на живота на по-голям брой хора в бъдеще. През 2020 г. Комисията спешно адаптира системата си за управление на клинични данни на пациентите, създадена с Решение за изпълнение (ЕС) 2019/1269 на Комисията (4), за да даде възможност на държавите членки да споделят електронните здравни данни на пациентите с COVID-19, местещи се при различни доставчици на здравно обслужване и между държавите членки по време на пика на пандемията. Тази адаптация обаче беше само извънредно решение, показващо необходимостта от структурен и съгласуван подход на равнище държави членки и на равнището на Съюза, както за да се подобри наличността на електронни здравни данни за целите на здравеопазването, така и за да се улесни достъпът до електронни здравни данни с цел да се дадат насоки за ефективни отговори на политиката и да се допринесе за високи стандарти относно здравето на човека.

(3)

Кризата, свързана с COVID-19, решително утвърди работата на мрежата за електронно здравеопазване, доброволна мрежа от органи, отговарящи за цифровото здравеопазване, като основния стълб за разработването на приложения за мобилни устройства за проследяване на контактни лица и за предупреждение за контакт с такива лица, както и на техническите аспекти на цифровите COVID сертификати на ЕС. Тя също така показа необходимостта от споделяне на електронни здравни данни, които да са откриваеми, достъпни, оперативно съвместими и пригодни за многократно използване (наричани по-нататък принципите „FAIR“), и от гарантиране, че електронните здравни данни са възможно най-отворени, като същевременно се спазва принципът на свеждане на данните до минимум, както е определен в Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (5). Следва да се осигурят полезните взаимодействия между ЕПЗД, Европейския облак за отворена наука и Европейските научноизследователски инфраструктури, както и да се извлекат поуки от решенията за споделяне на данни, разработвани в рамките на Европейската платформа за данни за COVID-19.

(4)

Като се има предвид чувствителността на личните електронни здравни данни, с настоящия регламент се цели да се предоставят достатъчни гаранции както на равнището на Съюза, така и на национално равнище, за да се осигури висока степен на защита на данните, сигурност, поверителност и етично използване. Подобни гаранции са необходими за насърчаване на доверието в безопасното обработване на електронните здравни данни на физическите лица за първично използване и вторично използване съгласно определенията в настоящия регламент.

(5)

Обработването на лични електронни здравни данни е предмет на разпоредбите на Регламент (ЕС) 2016/679, а за целите на институциите, органите, службите и агенциите на Съюза — на Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (6). Позоваванията на разпоредбите на Регламент (ЕС) 2016/679 следва да се разбират и като позовавания на съответните разпоредби на Регламент (ЕС) 2018/1725 по отношение на институциите, органите, службите и агенциите на Съюза, когато е приложимо.

(6)

Все повече лица, живеещи в Съюза, пресичат националните граници, за да работят, учат, посещават роднини или по други причини. За да се улесни обменът на здравни данни и в съответствие с необходимостта от оправомощаване на гражданите, те следва да могат да имат достъп до своите здравни данни в електронен формат, който да може да бъде признат и приет в целия Съюз. Подобни лични електронни здравни данни биха могли да съдържат лични данни, които са свързани с физическото или психичното здраве на физическото лице, включително с предоставянето на здравни услуги, и които разкриват информация за здравословното състояние на това физическо лице, лични данни, свързани с наследствените или придобитите генетични характеристики на физическото лице, които дават уникална информация за физиологията или здравето на това физическо лице и които са резултат по-конкретно от анализа на биологична проба от въпросното физическо лице, както и данни, отнасящи се до определящи здравето фактори, като поведение, околна среда и физически влияния, медицински грижи и социални фактори или образование. Електронните здравни данни включват също така данни, които първоначално са били събрани за научноизследователски, статистически, политически или регулаторни цели, или за целите на оценка на заплахите за здравето, и следва да могат да бъдат предоставени в съответствие с правилата, установени в настоящия регламент. Електронните здравни данни се състоят от всички категории такива данни, независимо дали тези данни се предоставят от субекта на данните или от други физически или юридически лица, например от здравни специалисти, или се обработват във връзка със здравето или благосъстоянието на дадено физическо лице, и следва също така да включват логически изведени и косвени данни, като например поставени диагнози, изследвания и медицински прегледи, както и данни, наблюдавани и записвани с автоматични средства.

(7)

В системите за здравеопазване личните електронни здравни данни обикновено се събират в електронни здравни досиета, които по принцип съдържат в себе си медицинската история на физическото лице, диагнози и лечения, лекарствени лечения, алергии и ваксинации, както и рентгенови изображения, лабораторни резултати, а също и други медицински данни, разпръснати между различните участници в системата за здравеопазване, като например общопрактикуващи лекари, болници, аптеки или служби за полагане на грижи. За да се позволи на физическите лица или медицинските специалисти да имат достъп, да споделят и променят тези електронни здравни данни, някои държави членки са взели необходимите правни и технически мерки и са създали централизирани инфраструктури, свързващи системите за ЕЗД, използвани от доставчиците на здравно обслужване и физическите лица. Освен това някои държави членки предоставят подкрепа на доставчиците на здравно обслужване от публичния и частния сектор при създаването на пространства на лични електронни здравни данни, за да се осигури оперативна съвместимост между различните доставчици на здравно обслужване. Няколко държави членки също така осигуряват подкрепа или предоставят услуги за достъп до електронни здравни данни за пациенти и медицински специалисти, като например чрез портали на пациента или портали за медицински специалисти. Тези държави членки също така са взели мерки да гарантират, че системите за ЕЗД или приложенията за поддържане на добро здравословно състояние могат да предават електронни здравни данни към централизираната система за ЕЗД, като например осигуряват система за сертифициране. Не всички държави членки обаче са въвели такива системи, а онези, които са ги въвели, са го направили фрагментирано. За да може да се улесни свободното движение на лични електронни здравни данни на територията на Съюза и да се избегнат отрицателните последици за пациентите при получаването на здравно обслужване в трансграничен контекст, са необходими действия от страна на Съюза, за да се подобри достъпа на физическите лица до собствените им лични електронни здравни данни и те да бъдат оправомощени да споделят тези данни. В това отношение следва да бъдат предприети подходящи действия на равнището на Съюза и на национално равнище като средство за намаляване на разпокъсаността, разнородността и разделението и за създаване във всички държави на система, която да е лесна за ползване и интуитивна. Всяка цифрова трансформация в сектора на здравеопазването следва да има за цел да бъде приобщаваща и от нея да се възползват и физически лица с ограничени способности за достъп до цифрови услуги и тяхното използване, включително хора с увреждания.

(8)

Регламент (ЕС) 2016/679 съдържа специални разпоредби, отнасящи се до правата на физическите лица във връзка с обработването на техните лични данни. ЕПЗД надгражда тези права и допълва някои от тях, доколкото те се прилагат по отношение на личните електронни здравни данни. Тези права се прилагат независимо от държавата членка, в която се обработват личните електронни здравни данни, вида на доставчика на здравно обслужване, източниците на данните или държавата членка по осигуряване на физическото лице. Правата и правилата, свързани с първичното използване на лични електронни здравни данни съгласно настоящия регламент, се отнасят за всички категории такива данни, независимо от начина, по който са събрани или от предоставящия ги субект, от правното основание за обработване съгласно Регламент (ЕС) 2016/679 или от статута на администратора на лични данни като публичноправна или частноправна организация. Предвидените в настоящия регламент допълнителни права на достъп и преносимост на лични електронни здравни данни следва да не засягат правата на достъп и преносимост, установени съгласно Регламент (ЕС) 2016/679. Физическите лица продължават да се ползват от тези права при условията, определени в посочения регламент.

(9)

Докато правата, предоставени от Регламент (ЕС) 2016/679, следва да продължат да се прилагат, правото на достъп на физическо лице до данни, установено в Регламент (ЕС) 2016/679, следва да бъде допълнено в сектора на здравеопазването. Съгласно посочения регламент не се изисква администраторите на лични данни да предоставят достъп незабавно. Правото на достъп до здравни данни все още като цяло се прилага на много места чрез предоставяне на поисканите здравни данни на хартиен носител или като сканирани документи, което отнема много време за администратора, например болница или друг доставчик на здравно обслужване, предоставящ достъп. Тази ситуация забавя достъпа до здравни данни на физическите лица и може да има отрицателно въздействие върху тях, ако те се нуждаят от незабавен достъп поради спешни обстоятелства, свързани със здравословното им състояние. Поради това е необходимо да се осигури по-ефикасен начин за достъп от страна на физическите лица до техните лични електронни здравни данни. Те следва да имат право на безплатен и незабавен достъп, като същевременно се зачита необходимостта това да е технологично осъществимо, до специфичните приоритетни категории лични електронни здравни данни, като обобщените данни за пациента, чрез услуга за достъп до електронни здравни данни. Това право следва да се прилага независимо от държавата членка, в която се обработват личните електронни здравни данни, вида на доставчика на здравно обслужване, източниците на тези данни или държавата членка по осигуряване на физическото лице. Обхватът на това допълнително право, установено съгласно настоящия регламент, и условията за упражняването му се различават в някои отношения от правото на достъп до лични данни съгласно Регламент (ЕС) 2016/679, който обхваща всички лични данни, съхранявани от администратора, и се упражнява спрямо конкретен администратор, който разполага със срок до един месец, за да отговори на искането. Правото на достъп до лични електронни здравни данни съгласно настоящия регламент следва да бъде ограничено до категориите данни, попадащи в неговия обхват, да се упражнява посредством услуга за достъп до електронни здравни данни и да води до незабавен отговор. Правата съгласно Регламент (ЕС) 2016/679 следва да продължават да се прилагат, така че физическите лица да могат да се ползват от правата по двете правни уредби, по-специално правото на копие на хартиен носител на електронните здравни данни.

(10)

Следва да се има предвид, че незабавният достъп на физическите лица до някои категории техни лични електронни здравни данни може да бъде вреден за безопасността на тези физически лица или неетичен. Така например би било неетично пациент да бъде информиран по електронен път за диагноза на нелечимо заболяване, което вероятно е в терминален стадий, вместо тази информация да се предостави за първи път при консултация с пациента. Поради това следва да бъде възможно да се отложи предоставянето на достъп до лични електронни здравни данни при подобни ситуации за ограничен срок от време, например до момента, когато медицинският специалист може да обясни ситуацията на пациента. Държавите членки следва да могат да въвеждат подобно изключение, когато то представлява необходима и пропорционална мярка в едно демократично общество, в съответствие с ограниченията, предвидени в член 23 от Регламент (ЕС) 2016/679.

(11)

Настоящият регламент не засяга правомощията на държавите членки относно първоначалната регистрация на лични електронни здравни данни, например като изискват получаването на съгласие от физическото лице или прилагат други гаранции при регистрацията на генетични данни. Държавите членки може да изискват тези данни да се предоставят в електронен формат преди прилагането на настоящия регламент. Това не следва да засяга задължението личните електронни здравни данни, регистрирани след датата на прилагането на настоящия регламент, да се предоставят в електронен формат.

(12)

За да допълват информацията, която е на тяхно разположение, физическите лица следва да могат да добавят електронни здравни данни към своите ЕЗД или да съхраняват допълнителна информация в отделно лично здравно досие, до което могат да имат достъп медицински специалисти. Информацията, въведена от физически лица, може обаче да не е толкова надеждна, колкото електронните здравни данни, въведени и проверени от медицински специалисти, и тя може да няма същата клинична или правна стойност като информацията, предоставена от медицински специалист. Поради това информацията, която физическите лица въвеждат в своите ЕЗД, следва да бъде ясно разграничима от данните, предоставени от медицински специалисти. Тази възможност за физическите лица да добавят и допълват личните електронни здравни данни не следва да им дава право да променят личните електронни здравни данни, които са били предоставени от медицински специалисти.

(13)

Предоставянето на физическите лица на по-лесен и по-бърз достъп до техните лични електронни здравни данни ще им предостави допълнителна възможност да забележат евентуални грешки, като невярна информация или неправилно прикачени медицински досиета. В такива случаи физическите лица следва да могат да поискат коригиране на неправилните електронни здравни данни онлайн, незабавно и без заплащане, чрез услуга за достъп до електронни здравни данни. Подобни искания за коригиране на данни следва да се разглеждат от съответните администратори на лични данни в съответствие с Регламент (ЕС) 2016/679, ако е необходимо, с участието на медицински специалисти с подходяща специализация и отговарящи за лечението на физическото лице.

(14)

Съгласно Регламент (ЕС) 2016/679 правото на преносимост на данните е ограничено до данните, обработвани въз основа на съгласие или договор и които са предоставени от субекта на данните на администратора на лични данни. Освен това съгласно посочения регламент физическите лица имат право да поискат личните данни да бъдат предадени директно от един администратор на друг само когато това е технически осъществимо. Регламент (ЕС) 2016/679 обаче не налага задължение за осигуряване на техническа осъществимост на този пряк пренос. Правото на преносимост на данните следва да бъде допълнено с настоящия регламент, като на физическите лица се даде възможност да предоставят на избрани от тях медицински специалисти достъп най-малкото до приоритетните категории свои лични електронни здравни данни, да обменят такива здравни данни с такива медицински специалисти и да изтеглят такива здравни данни. Освен това физическите лица следва да имат правото да поискат от доставчик на здравно обслужване да предаде част от техните електронни здравни данни на ясно посочен получател от сектора на социалната сигурност или на услугите за възстановяване на разходи. Такова предаване следва да бъде само еднопосочно.

(15)

Рамката, установена с настоящия регламент, следва да надгражда правото на преносимост на данните, установено в Регламент (ЕС) 2016/679, като гарантира, че физическите лица в качеството си на субекти на данни могат да предават своите лични електронни здравни данни, включително логически изведени данни в европейския формат за обмен на електронни здравни досиета, независимо от правното основание за обработване на електронните здравни данни. Медицинските специалисти следва да не възпрепятстват упражняването на правата на физическите лица, например като отказват да вземат предвид лични електронни здравни данни, произхождащи от друга държава членка и предоставени чрез оперативно съвместимия и надежден европейски формат за обмен на електронни здравни досиета.

(16)

Достъпът на доставчиците на здравно обслужване или други лица до електронните здравни досиета следва да бъде прозрачен за съответните физически лица. Услугите за достъп до електронни здравни данни следва да предоставят подробна информация относно достъпа до данни, например кога и кой субект или физическо лице е осъществил достъп и до какви данни. Физическите лица следва да могат да задействат или изключват автоматични уведомления относно достъпа до свързаните с тях лични електронни здравни данни чрез услугите за достъп за медицински специалисти.

(17)

Физическите лица може да не желаят да разрешават достъп до някои части от личните си електронни здравни данни, като същевременно разрешават достъп до други части. Това може да се отнася по-специално за случаи, в които става дума за здравни проблеми от деликатен характер, като свързаните с психичното или сексуалното здраве, за чувствителни процедури, като прекъсване на бременност, или за данни за определени лекарства, които биха могли да разкриват други деликатни проблеми. По тази причина подобно избирателно споделяне на лични електронни здравни данни следва да бъде подкрепено и прилагано чрез ограничения, определяни от съответното физическо лице по еднакъв начин както при споделяне в рамките на територията на дадена държава членка, така и при трансгранично споделяне на данни. Ограниченията следва да допускат достатъчно ниво на подробност, така че да могат да се ограничават части от наборите от данни, например елементи от обобщените данни за пациента. Преди да определят ограниченията, физическите лица следва да бъдат информирани за рисковете за безопасността на пациента, свързани с ограничаването на достъпа до здравни данни. Тъй като недостъпността на ограничените лични електронни здравни данни може да повлияе на предоставянето или качеството на здравните услуги, предоставяни на физическото лице, физическото лице, което се възползва от тези ограничения на достъпа, следва да поеме отговорност за факта, че доставчикът на здравно обслужване не може да вземе предвид данните при предоставянето на здравни услуги. Ограниченията на достъпа до личните електронни здравни данни биха могли да имат животозастрашаващи последици и поради това достъпът до тези данни следва въпреки всичко да бъде възможен, когато е необходимо с цел защита на жизненоважни интереси при извънредни ситуации. По-конкретни правни разпоредби относно механизмите на ограниченията, налагани от физическите лица върху части от техните лични електронни здравни данни, могат да бъдат предвидени от държавите членки в националното им право, по-специално що се отнася до лекарската отговорност, в случаите, когато са наложени ограничения от съответното физическо лице.

(18)

Освен това поради различията в чувствителността в държавите членки относно степента на контрол на пациентите върху техните здравни данни държавите членки следва да могат да предвидят абсолютно право на отказ на достъп до техните лични електронни здравни данни от всеки друг, освен от първоначалния администратор на лични данни, без да се дава възможност за преодоляване на този отказ при извънредни обстоятелства. В такъв случай държавите членки следва да определят правилата и специфичните гаранции относно подобни механизми за отказ. Тези правила и специфични гаранции могат също да се отнасят за конкретни категории лични електронни здравни данни, например генетични данни. Правото на отказ означава, че личните електронни здравни данни, свързани с физическото лице, което упражнява това право, няма да бъдат предоставени чрез услугите, създадени във връзка с ЕПЗД, за лица, различни от доставчика на здравно обслужване, предоставил лечението. Държавите членки следва да могат да изискват регистрирането и съхранението на лични електронни здравни данни в система за ЕЗД, която се използва от доставчика на здравно обслужване, предоставил здравните услуги, и която е достъпна само за този доставчик на здравно обслужване. Когато физическо лице е упражнило правото на отказ, доставчиците на здравно обслужване все пак документират предоставеното лечение в съответствие с приложимите правила и имат възможност за достъп до регистрираните от тях данни. Физическите лица, които упражняват правото на отказ, следва да могат да променят решението си. В тези случаи, личните електронни здравни данни, генерирани през периода на отказ, може да не бъдат достъпни чрез услугите за достъп и платформата „Моето здраве в ЕС“ (MyHealth@EU).

(19)

Навременният и пълен достъп на медицински специалисти до медицинските досиета на пациентите е от основно значение за осигуряване на непрекъснатост на здравното обслужване, избягване на дублиране и грешки и намаляване на разходите. Поради липсата на оперативна съвместимост обаче в много случаи медицински специалисти нямат достъп до пълните медицински досиета на своите пациенти и не могат да вземат оптимални медицински решения за тяхното диагностициране и лечение, което води до значителни допълнителни разходи както за здравните системи, така и за физическите лица и може да доведе до по-лоши здравни резултати за физическите лица. Електронните здравни данни, предоставени в оперативно съвместим формат, и които могат да се предават между доставчиците на здравно обслужване, могат също така да намалят административната тежест за медицинските специалисти, свързана с ръчното въвеждане или копиране на здравни данни между електронните системи. Поради това на медицинските специалисти следва да се предоставят подходящи електронни средства, например електронни устройства и портали за медицински специалисти или други услуги за достъп за медицински специалисти, за да използват личните електронни здравни данни за изпълнение на задълженията си. Тъй като е трудно да се определи предварително и изчерпателно кои от съществуващите данни в приоритетните категории са с медицинско значение в конкретен етап от лечението, медицинските специалисти следва да имат широк достъп до данни. При достъпа до данни на свои пациенти медицинските специалисти следва да спазват приложимите закони, кодекси за поведение, деонтологични насоки или други разпоредби, уреждащи етичното поведение по отношение на споделянето или достъпа до информация, по-специално при животозастрашаващи или екстремни ситуации. В съответствие с Регламент (ЕС) 2016/679, за да ограничат достъпа си до необходимото за конкретния епизод от лечението, доставчиците на здравно обслужване следва да спазват принципа на свеждане на данните до минимум при достъпа до лични електронни здравни данни, като ограничават данните, до които се получава достъп, така че това да са само данни, които са строго необходими и обосновани за дадена услуга. Предоставянето на услуги за достъп за медицински специалисти е задача, която се възлага с настоящия регламент в името на обществения интерес, като изпълнението на тази задача изисква обработване на лични данни, както е посочено в член 6, параграф 1, буква д) от Регламент (ЕС) 2016/679. С настоящия регламент се предвиждат условия и гаранции за обработването на електронни здравни данни в услугите за достъп за медицински специалисти в съответствие с член 9, параграф 2, буква з) от Регламент (ЕС) 2016/679, например подробни разпоредби относно контрола на достъпа до лични електронни здравни данни, които имат за цел да осигурят прозрачност спрямо субектите на данни. Настоящият регламент обаче не следва да засяга националното право относно обработването на здравни данни с цел предоставяне на здравно обслужване, включително националното право за определяне на категориите медицински специалисти, които могат да обработват различни категории електронни здравни данни.

(20)

За да се улесни упражняването на допълнителните права на достъп и преносимост, установени съгласно настоящия регламент, държавите членки следва да създадат една или повече услуги за достъп до електронни здравни данни. Тези услуги могат да се предоставят на национално, регионално или местно равнище, или от доставчици на здравно обслужване, под формата на онлайн портал на пациента, приложение за мобилни устройства или чрез други средства. Те следва да бъдат проектирани така, че да са достъпни, по-специално за хората с увреждания. Предоставянето на такава услуга, за да се осигури на физическите лица възможност за лесен достъп до техните лични електронни здравни данни, е от важен обществен интерес. Обработването на лични електронни здравни данни чрез тези услуги е необходимо за изпълнението на задачата, възложена с настоящия регламент по смисъла на член 6, параграф 1, буква д) и член 9, параграф 2, буква ж) от Регламент (ЕС) 2016/679. В настоящия регламент се установяват необходимите условия и гаранции за обработването на електронни здравни данни в рамките на услугите за достъп до електронни здравни данни, например електронна идентификация на физическите лица, които осъществяват достъп до такива услуги.

(21)

Физическите лица следва да могат да предоставят разрешение на други избрани от тях физически лица, например на свои роднини или на други близки физически лица, с което да позволят на тези избрани лица да имат достъп или да упражняват контрол върху достъпа до личните електронни здравни данни на физическите лица, предоставили разрешението, или да използват цифрови здравни услуги от тяхно име. Такива разрешения могат да бъдат полезни и за друга употреба от физическите лица, на които са предоставени. Държавите членки следва да създадат прокси услуги, които да осигурят условия за привеждане на тези разрешения в действие и за тяхното прилагане, и да ги свържат с услуги за достъп до лични електронни здравни данни като портали на пациента или приложения за мобилни устройства, насочени към пациентите. Тези прокси услуги следва също така да дават възможност на настойниците или попечителите да действат от името на лицата, поставени под настойничество или попечителство, включително ненавършилите пълнолетие лица; в такива ситуации разрешенията могат да бъдат автоматични. Освен тези прокси услуги, държавите членки следва да въвеждат и леснодостъпни помощни услуги, които да се предоставят от подходящо обучен персонал, който да помага на физическите лица при упражняването на правата си. За да се вземат предвид случаите, в които показването на някои лични електронни здравни данни на лица, поставени под настойничество или попечителство на техните настойници или попечители може да противоречи на интересите или волята на въпросните лица, включително ненавършилите пълнолетие лица, държавите членки следва да могат да предвидят в националното си право ограничения и гаранции, както и механизми за тяхното техническо изпълнение. Услугите за достъп до лични електронни здравни данни, например портали на пациента или приложения за мобилни устройства, насочени към пациентите, следва да използват подобни разрешения и по този начин да дават възможност на упълномощени физически лица да имат достъп до лични електронни здравни данни, попадащи в обхвата на разрешението. За да се осигури хоризонтално решение, което е по-удобно за ползване, цифровите прокси решения следва да бъдат в съответствие с Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета (7) и с техническите спецификации на европейския портфейл за цифрова самоличност. Това съответствие допринася за намаляване както на административната, така и на финансовата тежест за държавите членки чрез намаляване на риска от разработване на паралелни системи, които не са оперативно съвместими в целия Съюз.

(22)

В някои държави членки здравните грижи се предоставят от екипи за управление на първичните здравни грижи, които са групи от медицински специалисти, съсредоточени върху първичните здравни грижи, например общопрактикуващи лекари, които извършват дейностите си по първични здравни грижи въз основа на изготвен от тях план за здравно обслужване. В няколко държави членки съществуват и други видове екипи за здравно обслужване за други цели на здравното обслужване. В контекста на първичното използване в ЕПЗД следва да се предостави достъп на здравните специалисти от тези екипи.

(23)

Надзорните органи, създадени съгласно Регламент (ЕС) 2016/679, са компетентни да наблюдават и да осигуряват прилагането на посочения регламент, и по-специално да наблюдават обработването на лични електронни здравни данни и да разглеждат всички жалби, подадени от засегнатите физически лица. С настоящия регламент се установяват допълнителни права за физическите лица по отношение на първичното използване, които надхвърлят и допълват правата на достъп и преносимост, залегнали в Регламент (ЕС) 2016/679. Тъй като тези допълнителни права следва да се прилагат и от надзорните органи, създадени съгласно Регламент (ЕС) 2016/679. Държавите членки следва да гарантират, че на тези надзорни органи са предоставени финансовите и човешките ресурси, помещенията и инфраструктурата, които са необходими за ефективното изпълнение на тези допълнителни задачи. Надзорният орган или надзорните органи, отговорни за наблюдението и прилагането на обработването на лични електронни здравни данни за първично използване в съответствие с регламента, следва да имат правомощието да налагат административни глоби. Правната система на Дания не позволява налагането на административните наказания „глоба“ или „имуществена санкция“, посочени в настоящия регламент. Правилата относно административните глоби могат да се прилагат по такъв начин, че в Дания глобите или имуществените санкции да се налагат от компетентните национални съдилища като наказателна санкция, при условие че такова прилагане на правилата има ефект, равностоен на административните глоби, налагани от надзорните органи. Във всички случаи наложените глоби или имуществени санкции следва да са ефективни, пропорционални и възпиращи.

(24)

Държавите членки се стремят да се придържат към етични принципи, като европейските принципи за етика в цифровото здравеопазване, приети от мрежата за електронно здравеопазване на 26 януари 2022 г., и към принципа на поверителност между здравните специалисти и пациентите при прилагането на настоящия регламент. Признавайки значението на етичните принципи, европейските принципи за етика в цифровото здравеопазване предоставят насоки на практикуващите специалисти, изследователите, новаторите, създателите на политики и регулаторните органи.

(25)

Значението на различните категории електронни здравни данни за различните сценарии в здравеопазването е различно. Различните категории са достигнали и различна степен на зрялост по отношение на стандартизацията, поради което прилагането на механизми за техния обмен може да бъде повече или по-малко сложно в зависимост от категорията. Ето защо подобряването на оперативната съвместимост и споделянето на данни следва да се извършва постепенно, като е необходимо някои категории електронни здравни данни да се степенуват по приоритет. Категории електронни здравни данни, като например обобщени данни за пациента, електронни медицински предписания и данни за отпуснати лекарства, анализи на медицински изображения и свързани с тях доклади, резултати от медицински изследвания, като лабораторни резултати и свързани с тях доклади, както и епикризи са избрани като най-подходящи в рамките на мрежата за електронно здравеопазване за повечето здравни ситуации и следва да се считат за приоритетни категории за държавите членки за целите на въвеждането на достъп до тях и тяхното предаване. Когато тези приоритетни категории данни представляват групи електронни здравни данни, настоящият регламент следва да се прилага както за групите като цяло, така и за отделните вписвания на данни, попадащи в тези групи. Например, тъй като ваксинационният статус е част от обобщените данни за пациента, правата и изискванията, свързани с обобщените данни за пациента, следва да се прилагат и за такъв ваксинационен статус, дори ако той се обработва отделно от обобщените данни за пациента като цяло. Когато се установят допълнителни потребности от обмен на други категории електронни здравни данни за целите на здравеопазването, достъпът и обменът на тези допълнителни категории следва да бъде възможен съгласно настоящия регламент. Допълнителните категории следва първо да бъдат приложени на равнището на държавите членки, а доброволният обмен на тези категории данни в трансгранични ситуации между сътрудничещите държави членки следва да се предвиди в настоящия регламент. Особено внимание следва да се обърне на обмена на данни в граничните региони на съседни държави членки, където предоставянето на трансгранични здравни услуги е по-често и се нуждае от още по-бързи процедури, отколкото в целия Съюз като цяло.

(26)

Степента на наличност на лични здравни и генетични данни в електронен формат е различна в отделните държави членки. Чрез ЕПЗД на физическите лица следва да се осигури лесен достъп до тези данни в електронен формат и да им се предостави по-добър контрол върху достъпа и споделянето на техните лични електронни здравни данни. По този начин ще се допринесе и за постигането на целта до 2030 г. 100 % от гражданите на Съюза да имат достъп до своите електронни здравни досиета, както е посочено в Решение (ЕС) 2022/2481 на Европейския парламент и на Съвета (8). За да се осигурят достъп до електронни здравни данни и възможност за тяхното предаване, тези данни следва да бъдат достъпни и предавани в оперативно съвместим общ европейски формат за обмен на електронни здравни досиета, поне за някои категории електронни здравни данни, като например обобщени данни за пациента, електронни медицински предписания и данни за отпуснати лекарства, анализи на медицински изображения и свързани с тях доклади, резултати от медицински изследвания и епикризи, като се предвидят преходни периоди. Когато личните електронни здравни данни се предоставят на доставчик на здравно обслужване или на аптека от физическо лице или се предават от друг администратор на лични данни в европейския формат за обмен на електронни здравни досиета, форматът следва да бъде приет, а получателят следва да може да прочете данните и да ги използва за целите на предоставянето на здравно обслужване или за целите на отпускането на лекарствен продукт, като по този начин се подпомага предоставянето на здравните услуги или отпускането на електронното медицинско предписание. Европейският формат за обмен на електронни здравни досиета трябва да бъде проектиран по начин, който улеснява, доколкото е възможно, превода на комуникираните чрез използването на този формат електронни здравни данни на официалните езици на Съюза. С Препоръка (ЕС) 2019/243 на Комисията (9) се създава основа за такъв общ европейски формат за обмен на електронни здравни досиета. Оперативната съвместимост на ЕПЗД следва да допринесе за европейски масиви от здравни данни с високо качество. Използването на европейски формат за обмен на електронни здравни досиета следва да се превърне в по-широко разпространена практика на равнището на Съюза и на национално равнище. Европейският формат за обмен на електронни здравни досиета може да има различни профили за използване на равнището на системите за ЕЗД и на равнището на националните органи за контакт във връзка с цифровото здравеопазване в платформата MyHealth@EU за трансграничен обмен на данни.

(27)

Въпреки че системите за ЕЗД са широко разпространени, степента на цифровизиране на здравните данни варира в държавите членки в зависимост от категориите данни и от обсега на доставчиците на здравно обслужване, които регистрират здравни данни в електронен формат. За да се подпомогне прилагането на правата на субектите на данни за достъп до електронни здравни данни и за техния обмен, са необходими действия на Съюза, с цел да се избегне по-нататъшното фрагментиране. За постигане на високо качество и непрекъснатост на здравното обслужване някои категории здравни данни следва систематично и в съответствие със специфични изисквания за качество на данните да бъдат регистрирани в електронен формат. Европейският формат за обмен на електронни здравни досиета следва да представлява основата за спецификациите, свързани с регистрацията и обмена на електронни здравни данни.

(28)

Телемедицината се превръща във все по-важен инструмент, който може да предостави на пациентите достъп до грижи и да противодейства на неравенствата. Тя има потенциала да намали неравнопоставеността в здравеопазването и да укрепи свободното движение на гражданите на Съюза през границите. Цифровите и другите технологични инструменти могат да улеснят предоставянето на грижи в отдалечените региони. Когато цифровите услуги съпътстват физическото предоставяне на здравна услуга, цифровата услуга следва да бъде включена в цялостното предоставяне на здравно обслужване. Съгласно член 168 от Договора за функционирането на Европейския съюз (ДФЕС) държавите членки отговарят за своята здравна политика, по-специално за организирането и предоставянето на здравни услуги и медицински грижи, включително регламентирането на дейности като онлайн аптеките, телемедицината и други услуги, които предоставят и за които предвиждат възстановяване на разходите, в съответствие с националното си законодателство. Различните политики в областта на здравеопазването обаче не следва да представляват пречки за свободното движение на електронни здравни данни в контекста на трансгранично здравно обслужване, като например телемедицината и услугите за онлайн аптека.

(29)

С Регламент (ЕС) № 910/2014 се определят условията, при които държавите членки извършват идентификация на физически лица в трансгранични ситуации, като използват средства за идентификация, издадени от друга държава членка, и се установяват правила за взаимното признаване на такива средства за електронна идентификация. ЕПЗД изисква сигурен достъп до електронни здравни данни, включително при трансгранични ситуации. Услугите за достъп до електронни здравни данни и услугите за телемедицина следва да дават възможност на физическите лица да упражняват своите права независимо от тяхната държава членка по осигуряване и следва съответно да подкрепят идентификацията на физическите лица, като използват всички средства за електронна идентификация, признати съгласно Регламент (ЕС) № 910/2014. Като се има предвид опасността от предизвикателства при сверяването на самоличността в трансгранични ситуации, може да е необходимо държавите членки по местолечение да предоставят допълнителни механизми за достъп, като токени или кодове за достъп на физически лица, които пристигат от други държави членки и ползват здравно обслужване. На Комисията следва да бъде предоставено правомощието да приема актове за изпълнение, за да определя изискванията за оперативно съвместимата и трансгранична идентификация и удостоверяване на автентичността на физическите лица и медицинските специалисти, включително всякакви допълнителни механизми, които са необходими, за да се осигури на физическите лица възможността да упражняват своите права, свързани с лични електронни здравни данни в трансгранични ситуации.

(30)

Държавите членки следва да определят съответни органи в областта на цифровото здравеопазване за планиране и прилагане на стандартите за достъп до и предаване на електронни здравни данни, както и за упражняването на правата на физическите лица и медицинските специалисти, като отделни организации или като част от вече съществуващите органи. Служителите на органите в областта на цифровото здравеопазване не следва да имат каквито и да било финансови или други интереси в сектори или икономически дейности, които биха могли да повлияят на тяхната безпристрастност. В повечето държави членки вече съществуват органи в областта на цифровото здравеопазване, които отговарят за ЕЗД, оперативната съвместимост, сигурността или стандартизацията. При изпълнението на своите задачи органите в областта на цифровото здравеопазване следва да си сътрудничат по-специално с надзорните органи, създадени съгласно Регламент (ЕС) 2016/679, и надзорните органи, създадени съгласно Регламент (ЕС) № 910/2014. Органите в областта на цифровото здравеопазване могат също така да си сътрудничат с Европейския съвет по изкуствен интелект, създаден с Регламент (ЕС) 2024/1689 на Европейския парламент и на Съвета (10), Координационната група по медицинските изделия, създадена с Регламент (ЕС) 2017/745 на Европейския парламент и на Съвета (11), Европейския комитет за иновации в областта на данните, създаден съгласно Регламент (ЕС) 2022/868 на Европейския парламент и на Съвета (12) и компетентните органи съгласно Регламент (ЕС) 2023/2854 на Европейския парламент и на Съвета (13). Държавите членки следва да улесняват участието на националните участници в сътрудничеството на равнището на Съюза, предаването на експертни знания и предоставянето на консултации относно разработването на решения, необходими за постигане на целите на ЕПЗД.

(31)

Без да се засягат другите административни или извънсъдебни средства за правна защита, всяко физическо или юридическо лице има право на ефективна съдебна защита срещу отнасящо се до него решение със задължителен характер на орган в областта на цифровото здравеопазване или когато орган в областта на цифровото здравеопазване не разгледа жалба или не информира физическото или юридическо лице в срок до три месеца относно напредъка или резултата от жалбата. Дела срещу орган в областта на цифровото здравеопазване следва да се завеждат в съдилищата на държавите членки, в които е установен органът в областта на цифровото здравеопазване.

(32)

Органите в областта на цифровото здравеопазване следва да разполагат с достатъчно технически умения, евентуално чрез обединяване на експерти от различни организации. Дейностите на органите в областта на цифровото здравеопазване следва да бъдат добре планирани и наблюдавани, за да се гарантира тяхната ефективност. Органите в областта на цифровото здравеопазване следва да предприемат необходимите мерки за защита на правата на физическите лица, като създадат национални, регионални и местни технически решения, например национални ЕЗД, решения с посредничество и портали на пациента. Когато приемат тези необходими мерки за защита, органите в областта на цифровото здравеопазване следва да прилагат общи стандарти и спецификации в такива решения, да насърчават прилагането на стандартите и спецификациите при процедури за възлагане на обществени поръчки и да използват други иновативни средства, включително възстановяване на разходите за решения, които са в съответствие с изискванията за оперативна съвместимост и сигурност на ЕПЗД. Държавите членки следва да изискат предприемането на подходящи инициативи за обучение. По-специално медицинските специалисти следва да бъдат информирани и обучени по отношение на своите права и задължения съгласно настоящия регламент. За да изпълняват задачите си, органите в областта на цифровото здравеопазване следва да си сътрудничат на равнището на Съюза и на национално равнище с други субекти, включително със застрахователни органи, доставчици на здравно обслужване, медицински специалисти, производители на системи за ЕЗД и на приложения за поддържане на добро здравословно състояние, както и други заинтересовани страни от сектора на здравеопазването или информационните технологии, субекти, които управляват схеми за възстановяване на разходите, органи за оценка на здравните технологии, регулаторни органи и агенции за лекарствени продукти, органи за медицински изделия, възложители на обществени поръчки и органи за киберсигурност или органи за електронна идентификация.

(33)

Достъпът до и предаването на електронни здравни данни е от значение в случаи на трансгранично здравно обслужване, тъй като може да подпомогне непрекъснатостта на здравното обслужване, когато физически лица пътуват до други държави членки или променят мястото си на пребиваване. Непрекъснатостта на здравното обслужване и бързият достъп до лични електронни здравни данни са още по-важни за жителите на граничните региони, които преминават през граница често, за да получат здравно обслужване. В много гранични региони някои специализирани здравни услуги могат да се предоставят по-наблизо през границата, а не в същата държава членка. Необходима е инфраструктура за трансгранично предаване на лични електронни здравни данни в случаите, когато физическо лице ползва услугите на доставчик на здравно обслужване, установен в друга държава членка. Следва да се обмисли постепенното разширяване на такава инфраструктура и нейното финансиране. За тази цел, като част от действията за постигане на целите, определени в Директива 2011/24/ЕС на Европейския парламент и на Съвета (14), беше създадена незадължителна инфраструктура — MyHealth@EU. Чрез MyHealth@EU държавите членки започнаха да предоставят на физическите лица възможността да споделят личните си електронни здравни данни с доставчици на здравно обслужване, когато пътуват в чужбина. Въз основа на този опит участието на държавите членки в MyHealth@EU, създадена с настоящия регламент, следва да бъде задължително. Техническите спецификации за MyHealth@EU следва да дават възможност за обмен на приоритетни категории електронни здравни данни, както и на други категории, поддържани от европейския формат за обмен на електронни здравни досиета. Тези спецификации следва да бъдат определени чрез актове за изпълнение и следва да се основават на трансграничните спецификации на европейския формат за обмен на електронни здравни досиета, допълнени от допълнителни спецификации относно киберсигурността, техническата и семантичната оперативна съвместимост, управлението на операциите и управлението на услугите. От държавите членки следва да са изисква да се присъединят към MyHealth@EU, да спазват техническите ѝ спецификации и да свържат доставчиците на здравно обслужване, включително аптеките, тъй като това е необходимо, за да се даде възможност на физическите лица да упражняват техните права по настоящия регламент за достъп и използване на техните лични електронни здравни данни, независимо от държавата членка, в която се намира физическото лице.

(34)

MyHealth@EU осигурява обща инфраструктура за държавите членки, за да се гарантират свързаност и оперативна съвместимост по ефективен и сигурен начин в подкрепа на трансграничното здравно обслужване, без да се засягат отговорностите на държавите членки преди и след предаването на лични електронни здравни данни чрез нея. Държавите членки отговарят за организацията на своите национални органи за контакт във връзка с цифровото здравеопазване и за обработването на лични данни за целите на предоставянето на здравно обслужване, което обработване се осъществява преди и след предаването на тези данни чрез MyHealth@EU. Комисията следва да наблюдава чрез проверки за съответствие спазването от националните органи за контакт във връзка с цифровото здравеопазване на необходимите изисквания относно техническите разработки на MyHealth@EU, както и на подробните правила относно сигурността, поверителността и защитата на личните електронни здравни данни. В случай на значително несъответствие на национален орган за контакт във връзка с цифровото здравеопазване с приложимите изисквания Комисията следва да може да спре засегнатите от несъответствието услуги, предоставяни от този национален орган за контакт във връзка с цифровото здравеопазване. Комисията следва да действа като обработващ лични данни от името на държавите членки в рамките на MyHealth@EU и следва да предоставя централизирани услуги за нея. За да се обезпечи спазването на правилата за защита на данните и да се осигури рамка за управление на риска при предаването на лични електронни здравни данни, следва да бъдат определени, чрез актове за изпълнение, конкретните отговорности на държавите членки, като съвместни администратори, и задълженията на Комисията, като обработващ лични данни от тяхно име. Всяка държава членка носи цялата отговорност за данните и услугите в съответната държава членка. Настоящият регламент предоставя правното основание за обработването на лични електронни здравни данни в MyHealth@EU като задача от обществен интерес, възложена от правото на Съюза, посочена в член 6, параграф 1, буква д) от Регламент (ЕС) 2016/679. Това обработване е необходимо за предоставянето на здравно обслужване в трансгранични ситуации, както е посочено в член 9, параграф 2, буква з) от въпросния регламент.

(35)

В допълнение към услугите в MyHealth@EU за обмен на лични електронни здравни данни въз основа на европейския формат за обмен на електронни здравни досиета може да са необходими други услуги или допълнителни инфраструктури, например в случаи на извънредни ситуации, свързани с общественото здраве, или когато архитектурата на MyHealth@EU не е подходяща за изпълнението на някои случаи на употреба. Примери за такива случаи на употреба включват поддръжка на функционалните възможности на ваксинационните карти, включително обмен на информация за плановете за ваксинация, или проверка на сертификати за ваксинация или други сертификати, свързани със здравето. Тези допълнителни случаи на употреба биха били важни и за въвеждането на допълнителна функционална възможност за справяне с кризи в областта на общественото здраве, като например поддръжка на проследяването на контактни лица с цел ограничаване на инфекциозните болести. MyHealth@EU следва да подпомага обмена на лични електронни здравни данни с националните органи за контакт във връзка с цифровото здравеопазване на съответните трети държави и със системите, създадени на международно равнище от международни организации, за да допринася за непрекъснатостта на здравното обслужване. Това е от особено значение за физически лица, които пътуват към или от съседни трети държави, държави кандидатки и асоциирани отвъдморски страни и територии. Свързването на тези национални органи за контакт във връзка с цифровото здравеопазване на трети държави към MyHealth@EU и оперативната съвместимост с цифровите системи, създадени на международно равнище от международни организации, следва да подлежат на проверка, която да гарантира съответствието на органите за контакт и на цифровите системи с техническите спецификации, правилата за защита на данните и други изисквания на MyHealth@EU. Освен това, като се има предвид, че свързването с MyHealth@EU ще доведе до предаване на лични електронни здравни данни на трети държави, като споделяне на обобщените данни за пациента, когато пациентът търси грижи в тази трета държава, следва да бъдат въведени съответните инструменти за предаване на данни съгласно глава V от Регламент (ЕС) 2016/679. На Комисията следва да бъде предоставено правомощието да приема актове за изпълнение за улесняване на свързването с MyHealth@EU на такива национални органи за контакт във връзка с цифровото здравеопазване на трети държави и на системи, създадени на международно равнище от международни организации. При изготвянето на тези актове за изпълнение Комисията следва да взема предвид интересите на държавите членки в областта на националната сигурност.

(36)

За да се създадат условия за безпроблемен обмен на електронни здравни досиета и да се гарантира зачитането на правата на физическите лица и медицинските специалисти, системите за ЕЗД, предлагани на вътрешния пазар, следва да могат да съхраняват и предават по сигурен начин висококачествени електронни здравни данни. Основна цел на ЕПЗД е да гарантира сигурно и свободно движение на електронни здравни данни в Съюза. За тази цел следва да се създаде схема за самооценяване на съответствието на системите за ЕЗД, обработващи една или повече приоритетни категории електронни здравни данни, за да се преодолее разпокъсаността на пазара, като същевременно се осигури пропорционален подход. Чрез самооценяването системите за ЕЗД ще докажат съответствие с изискванията за оперативна съвместимост, сигурност и контрол на достъпа за съобщаване на лични електронни здравни данни, установени от двата задължителни софтуерни компонента на ЕЗД, хармонизирани с настоящия регламент, а именно „европейски софтуерен компонент за оперативна съвместимост на системите за ЕЗД“ и „европейски софтуерен компонент за контрол на достъпа за системите за ЕЗД“ („хармонизирани софтуерни компоненти на системите за ЕЗД“). Хармонизираните софтуерни компоненти на системите за ЕЗД засягат най-вече трансформирането на данни, въпреки че могат да предполагат необходимост от непреки изисквания за регистриране и представяне на данни в системите за ЕЗД. Техническите спецификации за хармонизираните софтуерни компоненти на системите за ЕЗД следва да бъдат определени чрез актове за изпълнение и следва да се основават на използването на европейския формат за обмен на електронни здравни досиета. Хармонизираните софтуерни компоненти на системите за ЕЗД следва да бъдат проектирани така, че да могат да се използват повторно и да се интегрират безпроблемно с други компоненти в рамките на по-голяма софтуерна система. Изискванията за сигурност на хармонизираните софтуерни компоненти на системите за ЕЗД следва да обхващат елементи, специфични за системите за ЕЗД, тъй като по-общите свойства, свързани със сигурността, следва да бъдат подкрепени от други механизми, като тези, предвидени в Регламент (ЕС) 2024/2847 на Европейския парламент и на Съвета (15). В подкрепа на този процес следва да се създадат европейски цифрови среди за изпитване, които да предоставят автоматизирани средства за изпитване на това дали функционирането на хармонизираните софтуерни компоненти на дадена система за ЕЗД са в съответствие с изискванията, определени в настоящия регламент. За тази цел на Комисията следва да бъдат предоставени изпълнителни правомощия за определяне на общите спецификации за тези среди. Комисията следва да разработи необходимия софтуер за средите за изпитване и да го предостави като отворен код. Държавите членки следва да отговарят за функционирането на цифровите среди за изпитване, тъй като те са по-близо до производителите и са в по-добра позиция да ги подкрепят. Производителите следва да използват тези цифрови среди за изпитване на своите продукти, преди да ги пуснат на пазара, като същевременно продължават да носят пълна отговорност за съответствието на своите продукти. Резултатите от изпитването следва да станат част от техническата документация на продуктите. В случай че системата за ЕЗД или част от нея спазва европейски стандарти или общи спецификации, списъкът със съответните европейски стандарти и общи спецификации също се посочва в техническата документация. За да се подпомогне съпоставимостта на системите за ЕЗД, Комисията следва да изготви единен образец за техническата документация, която придружава тези системи.

(37)

Системите за ЕЗД следва да бъдат придружени от информационен лист, който включва информация за професионалните ползватели и от ясни и пълни инструкции за употреба, включително в достъпни за лицата с увреждания формати. Ако система за ЕЗД не е придружена от подобен информационен лист, производителят на съответната система за ЕЗД, неговият упълномощен представител и всички други съответни икономически оператори следва да бъдат задължени да добавят към системата за ЕЗД въпросния информационен лист и инструкциите за употреба.

(38)

Въпреки че системите за ЕЗД, специално предвидени от производителя да бъдат използвани за обработването на една или повече специфични категории електронни здравни данни, следва да подлежат на задължително самостоятелно сертифициране, софтуерът за общи цели не следва да се счита за система за ЕЗД дори когато се използва в условията на здравно обслужване и поради това за него не следва да бъде предвидено изискване за спазване на настоящия регламент. Това обхваща случаи като софтуер за обработка на текст, използван за изготвяне на доклади, които след това ще станат част от писмени електронни здравни досиета, мидълуер с общо предназначение или софтуер за управление на бази данни, който се използва като част от решения за съхранение на данни.

(39)

С настоящия регламент се налага задължителна схема за самооценяване на съответствието за хармонизираните софтуерни компоненти на системите за ЕЗД, за да се гарантира, че такива системи, пуснати на пазара на Съюза, могат да обменят данни в европейския формат за обмен на електронни здравни досиета и че те разполагат с необходимите способности за контрол на достъпа. Това задължително самооценяване на съответствието, което ще се извършва под формата на ЕС декларация на съответствието, изготвяна от производителя, следва да гарантира, че тези изисквания са изпълнени по пропорционален начин, като същевременно се избягва ненужна тежест за държавите членки и производителите.

(40)

Производителите следва да нанасят в придружаващите документи на системата за ЕЗД, и когато е приложимо, върху нейната опаковка, маркировка за съответствие „СЕ“, указваща, че системата за ЕЗД е в съответствие с настоящия регламент, а по отношение на аспектите, които не са обхванати от настоящия регламент, с друго приложимо право на Съюза, което също изисква нанасянето на такава маркировка. Държавите членки следва да доразвиват съществуващите механизми, за да гарантират правилното прилагане на разпоредбите, уреждащи маркировката за съответствие „СЕ“ съгласно съответното право на Съюза, и следва да предприемат подходящи действия в случай на неправилна употреба на тази маркировка.

(41)

Държавите членки следва да запазят правомощията си да определят изисквания, свързани с всички други софтуерни компоненти на системите за ЕЗД, и реда и условията за свързване на доставчиците на здравно обслужване със съответните им национални инфраструктури, които могат да подлежат на оценка от трето лице на национално равнище. За да се улесни гладкото функциониране на вътрешния пазар на системи за ЕЗД, продукти в областта на цифровото здравеопазване и свързаните с тях услуги, е необходимо да се осигури във възможно най-голяма степен прозрачност по отношение на националното право за установяване на изисквания за системите за ЕЗД и разпоредбите за оценяване на тяхното съответствие по отношение на аспекти, различни от хармонизираните софтуерни компоненти на системите за ЕЗД. Следователно държавите членки следва да уведомяват Комисията за тези национални изисквания, така че тя да разполага с необходимата информация, за да се гарантира, че те не оказват неблагоприятно въздействие върху хармонизираните софтуерни компоненти на системите за ЕЗД.

(42)

Някои софтуерни компоненти на системите за ЕЗД биха могли да се считат за медицински изделия съгласно Регламент (ЕС) 2017/745 или за медицински изделия за инвитро диагностика съгласно Регламент (ЕС) 2017/746 на Европейския парламент и на Съвета (16). Софтуер или модул(и) на софтуер, които попадат в обхвата на определението за медицинско изделие, медицински изделия за инвитро диагностика или система с изкуствен интелект (ИИ), която се смята за високорискова (наричана по-нататък „високорискова система с ИИ“), следва да бъдат сертифицирани в съответствие с регламенти (ЕС) 2017/745, (ЕС) 2017/746 и (ЕС) 2024/1689 в зависимост от случая. Въпреки че тези продукти трябва да отговарят на изискванията съгласно съответния регламент, уреждащ тези продукти, държавите членки следва да предприемат подходящи мерки, за да гарантират, че съответното оценяване на съответствието се извършва като съвместна или координирана процедура, за да се ограничи административната тежест върху производителите и другите икономически оператори. Съществените изисквания за оперативна съвместимост, предвидени в настоящия регламент, следва да се прилагат само доколкото производителят на медицинско изделие, медицинско изделие за инвитро диагностика или високорискова система с ИИ, предоставящи електронни здравни данни, които трябва да бъдат обработвани като част от системата за ЕЗД, твърди, че те са оперативно съвместими с такава система за ЕЗД. В такъв случай разпоредбите относно общите спецификации за системите за ЕЗД следва да се прилагат за тези медицински изделия, медицински изделия за инвитро диагностика и високорискови системи с ИИ.

(43)

За да подкрепят допълнително оперативната съвместимост и сигурността, държавите членки следва да могат да запазят или да определят специфични правила за възлагането на поръчки, възстановяването на разходите или финансирането на системи за ЕЗД на национално равнище в контекста на организацията, предоставянето или финансирането на здравните услуги. Такива специфични правила не следва да възпрепятстват свободното движение на системи за ЕЗД в Съюза. Някои държави членки въведоха задължително сертифициране на системите за ЕЗД или задължително изпитване за оперативна съвместимост за свързването им с националните услуги в областта на цифровото здравеопазване. Такива изисквания обикновено се отразяват в процедурите за възлагане на поръчки, организирани от доставчиците на здравно обслужване и от националните или регионалните органи. Със задължителното сертифициране на системите за ЕЗД на равнището на Съюза следва да се установи базово равнище, което да може да се използва при процедури за възлагане на поръчки на национално равнище.

(44)

С цел да се гарантира ефективното упражняване от страна на пациентите на техните права съгласно настоящия регламент, доставчиците на здравно обслужване, които разработват и използват вътрешно дадена система за ЕЗД за извършване на вътрешни дейности, без да я пускат на пазара срещу заплащане или възнаграждение, също следва да спазват настоящия регламент. В този контекст такива доставчици на здравно обслужване следва да спазват всички изисквания, приложими към производителите във връзка с такива вътрешно разработени системи за ЕЗД, които такива доставчици на здравно обслужване въвеждат в експлоатация. Въпреки това, като се има предвид, че доставчиците на здравно обслужване може да се нуждаят от допълнително време, за да се подготвят за спазването на настоящия регламент, посочените изисквания следва да се прилагат за подобни системи само след удължен преходен период.

(45)

Необходимо е да се предвиди ясно и пропорционално разпределение на задълженията в зависимост от функциите на всеки икономически оператор в процеса на доставка и разпространение на системи за ЕЗД. Икономическите оператори следва да отговарят за спазването на изискванията по отношение на съответната си функция в този процес и следва да гарантират, че предоставят на пазара само системи за ЕЗД, които отговарят на съответните изисквания.

(46)

Производителите на системи за ЕЗД следва да докажат съответствието със съществените изисквания за оперативна съвместимост и сигурност чрез прилагане на общи спецификации. За тази цел на Комисията следва да бъдат предоставени изпълнителни правомощия за определяне на такива общи спецификации по отношение на наборите от данни, системите за кодиране, техническите спецификации, стандартите, спецификациите и профилите за обмен на данни, както и изискванията и принципите, свързани със сигурността на пациента и безопасността, поверителността, целостта и защитата на личните данни и спецификациите и изискванията, свързани с управлението на идентификацията и използването на електронна идентификация. Органите в областта на цифровото здравеопазване следва да допринасят за разработването на такива общи спецификации. Когато е приложимо, тези общи спецификации следва да се основават на съществуващите хармонизирани стандарти за хармонизираните софтуерни компоненти на системите за ЕЗД и да бъдат съвместими със секторното право. Когато общите спецификации са от особено значение във връзка с изискванията за защита на личните данни по отношение на системите за ЕЗД, те следва да бъдат обект на консултация с Европейския комитет по защита на данните и Европейския надзорен орган по защита на данните (ЕНОЗД), преди да бъдат приети, по силата на член 42, параграф 2 от Регламент (ЕС) 2018/1725.

(47)

С цел да се гарантира подходящо и ефективно прилагане на изискванията и задълженията, установени в настоящия регламент, следва да се прилага системата за надзор на пазара и за съответствие на продуктите, установена с Регламент (ЕС) 2019/1020 на Европейския парламент и на Съвета (17). В зависимост от организацията, определена на национално равнище, тези дейности по надзор на пазара биха могли да се извършват от органите в областта на цифровото здравеопазване, които осигуряват правилното прилагане на глава II от настоящия регламент, или от отделен орган за надзор на пазара, отговарящ за системите за ЕЗД. Въпреки че определянето на органи в областта на цифровото здравеопазване като органи за надзор на пазара би могло да има значителни практически предимства за предлагането на здравеопазване и грижи, следва да се избягват всякакви конфликти на интереси, например чрез разделяне на различните задачи.

(48)

Служителите на органите за надзор на пазара не следва да имат преки или косвени икономически, финансови или лични конфликти на интереси, за които би могло да се счита, че накърняват тяхната независимост, и по-специално, те не следва да се намират в положение, което може пряко или косвено да засегне безпристрастното им професионално поведение. Държавите членки следва да определят и публикуват процедурата за избор на органи за надзор на пазара. Те следва да гарантират, че процедурата е прозрачна и не допуска конфликти на интереси.

(49)

Ползвателите на приложения за поддържане на добро здравословно състояние, включително приложения за мобилни устройства, следва да бъдат информирани за капацитета на такива приложения да бъдат свързани и да предоставят данни на системите за ЕЗД или на националните решения за електронно здравеопазване, в случаите, когато данните, получени от приложения за поддържане на добро здравословно състояние, са полезни за целите на здравеопазването. Възможността от тези приложения да се експортират данни в оперативно съвместим формат също е от значение за целите на преносимостта на данните. Когато е приложимо, ползвателите следва също така да бъдат информирани за съответствието на тези приложения за поддържане на добро здравословно състояние с изискванията за оперативна съвместимост и сигурност. Въпреки това, предвид големия брой приложения за поддържане на добро здравословно състояние и ограниченото значение за целите на здравеопазването на данните, получени от много от тях, схема за сертифициране на тези приложения не би била пропорционална. Поради това следва да бъде създадена схема за задължително етикетиране за приложенията за поддържане на добро здравословно състояние, за които се твърди, че са оперативно съвместими със системите за ЕЗД, като подходящ механизъм, който да осигури прозрачност за ползвателите на приложения за поддържане на добро здравословно състояние по отношение на изискванията, предвидени в настоящия регламент, като по този начин се помогне на ползвателите при избора им на подходящи приложения за поддържане на добро здравословно състояние с високи стандарти за оперативна съвместимост и сигурност. Комисията следва да определи чрез актове за изпълнение подробностите относно формàта и съдържанието на този етикет.

(50)

Държавите членки следва да запазят свободата си да регулират други аспекти на използването на приложения за поддържане на добро здравословно състояние, при условие че съответните правила са в съответствие с правото на Съюза.

(51)

Разпространението на информация за сертифицираните системи за ЕЗД и етикетираните приложения за поддържане на добро здравословно състояние е необходимо, за да се даде възможност на възложителите на обществени поръчки и ползвателите на такива продукти да намерят оперативно съвместими решения за своите специфични нужди. Поради това на равнището на Съюза следва да бъде създадена база данни за оперативно съвместими системи за ЕЗД и приложения за поддържане на добро здравословно състояние, които не попадат в обхвата на Регламент (ЕС) 2017/745 и Регламент (ЕС) 2024/1689, подобно на Европейската база данни за медицинските изделия (Eudamed), създадена с Регламент (ЕС) 2017/745. Целите на базата данни на ЕС за регистрация на системи за ЕЗД и приложения за поддържане на добро здравословно състояние следва да бъдат повишаване на цялостната прозрачност, избягване на многобройни изисквания за докладване и рационализиране и улесняване на потока от информация. По отношение на медицинските изделия и системите с ИИ регистрацията следва да се поддържа в рамките на съществуващите бази данни, създадени съответно по силата на Регламент (ЕС) 2017/745 и Регламент (ЕС) 2024/1689, но когато производителите, твърдят, че те съответстват на изискванията за оперативна съвместимост, това следва да се посочва, за да се предостави информация на възложителите на обществени поръчки.

(52)

Без да се възпрепятстват или заменят действащите договорни споразумения или други механизми, настоящият регламент има за цел да се създаде общ механизъм за достъп до електронни здравни данни за вторично използване в целия Съюз. Съгласно този механизъм държателите на здравни данни следва да предоставят съхраняваните от тях данни въз основа на разрешение за достъп до данни или искане за здравни данни. За обработване на електронни здравни данни за целите на вторичното използване се изисква едно от правните основания, посочени в член 6, параграф 1, букви а), в), д) или е) от Регламент (ЕС) 2016/679 във връзка с член 9, параграф 2 от него. Съответно с настоящия регламент се предвижда правно основание за вторичното използване на лични електронни здравни данни, включително гаранциите, изисквани съгласно член 9, параграф 2, букви ж)—й) от Регламент (ЕС) 2016/679, за да се позволи обработването на специални категории данни, що се отнася до законосъобразните цели, надеждното управление за предоставяне на достъп до здравни данни чрез участието на органи за предоставяне на достъп до здравни данни и обработването в защитена среда, както и условията за обработване на данните, определени в разрешението за достъп до данни. Следователно държавите членки не следва да могат повече да запазват или въвеждат, съгласно член 9, параграф 4 от Регламент (ЕС) 2016/679, допълнителни условия, включително ограничения и специални разпоредби, с които се иска съгласието на физически лица, що се отнася до обработването за вторично използване на лични електронни здравни данни съгласно настоящия регламент, с изключение на въвеждането на по-строги мерки и допълнителни гаранции на национално равнище, целящи да запазят чувствителността и стойността на определени данни, както е установено в настоящия регламент. Заявителите на здравни данни следва също да доказват наличието на правно основание, посочено в член 6 от Регламент (ЕС) 2016/679, което им позволява да поискат достъп до електронни здравни данни съгласно настоящия регламент, и следва да изпълняват условията, посочени в глава IV от него. Освен това органът за предоставяне на достъп до здравни данни следва да оценява информацията, предоставена от заявителя на здравни данни, въз основа на което той следва да може да издаде разрешение за достъп до лични електронни здравни данни съгласно настоящия регламент, което следва да изпълнява изискванията и условията, посочени в глава IV от настоящия регламент. За обработване на електронни здравни данни, съхранявани от държателите на здравни данни, с настоящия регламент се създава правното задължение по смисъла на член 6, параграф 1, буква в) от Регламент (ЕС) 2016/679, в съответствие с член 9, параграф 2, буква и) и буква й) от посочения регламент, за държателя на здравни данни да предоставя личните електронни здравни данни на органите за предоставяне на достъп до здравни данни, а правното основание за целта на първоначалното обработване, например предоставяне на здравно обслужване, остава незасегнато. С настоящия регламент на органите за предоставяне на достъп до здравни данни се възлагат също така задачи от обществен интерес по смисъла на член 6, параграф 1, буква д) от Регламент (ЕС) 2016/679 и се изпълняват изискванията на член 9, параграф 2, букви ж)—й), както е приложимо, от посочения регламент. Ако ползвателят на здравни данни се опира на правно основание, предвидено в член 6, параграф 1, буква д) или е) от Регламент (ЕС) 2016/679, настоящият регламент следва да урежда гаранциите, изисквани съгласно член 9, параграф 2 от Регламент (ЕС) 2016/679.

(53)

Електронните здравни данни, които са предмет на вторично използване могат да донесат големи ползи за обществото. Следва да се насърчава използването на данни и доказателства от практиката, включително докладвани от пациентите резултати, за основани на доказателства регулаторни цели и цели на политиката, както и за научни изследвания, оценка на здравни технологии и клинични цели. Данните и доказателствата от практиката имат потенциала да допълват предоставяните понастоящем здравни данни. За постигането на тази цел е важно наборите от данни, предоставени за вторично използване съгласно настоящия регламент, да бъдат възможно най-пълни. Настоящият регламент предвижда необходимите гаранции за смекчаване на някои рискове, свързани с постигането на тези ползи. Вторичното използване на електронни здравни данни се основава на псевдонимизирани или анонимизирани данни, за да се предотврати идентифицирането на субектите на данни.

(54)

За да се постигне баланс между необходимостта ползвателите на здравни данни да разполагат с изчерпателни и представителни набори от данни и необходимостта от автономност на физическите лица по отношение на собствените им лични електронни здравни данни, които се считат за особено чувствителни, физическите лица следва да могат да решат дали техните лични електронни здравни данни могат да бъдат обработени за вторично използване съгласно настоящия регламент — под формата на право на отказ да предоставят тези данни за вторично използване. Следва да бъде осигурен лесно разбираем и достъпен механизъм за упражняване на правото на отказ в удобен за ползвателите формат. Освен това е наложително на физическите лица да се предостави достатъчна и пълна информация относно правото им на отказ, включително относно ползите и недостатъците при упражняването на това право. От физическите лица не следва да се изисква да посочват никакви основания за отказ и те следва да имат възможност да преразгледат избора си по всяко време. Въпреки това за определени цели, тясно свързани с обществения интерес, например дейности за защита срещу сериозни трансгранични здравни заплахи или научни изследвания по важни причини от обществен интерес, е целесъобразно да се предвиди възможност за държавите членки да създадат, като вземат предвид своя национален контекст, механизми за предоставяне на достъп до лични електронни здравни данни на физически лица, които са упражнили правото на отказ, за да се гарантира, че в тези ситуации могат да се предоставят пълни набори от данни. Такива механизми следва да отговарят на определените изисквания за вторично използване съгласно настоящия регламент. Научните изследвания по важни причини от обществен интерес биха могли да включват например научни изследвания, насочени към неудовлетворени медицински потребности, включително във връзка с редки заболявания, или нововъзникващи заплахи за здравето. Правилата относно такива възможности за преодоляване на отказа следва да зачитат същността на основните права и свободи и да бъдат необходима и пропорционална мярка в едно демократично общество, за да се отговори на обществения интерес във връзка с легитимните научни и обществени цели. Такива възможности за преодоляване на отказ следва да бъдат достъпни само за ползвателите на здравни данни, които са организации от обществения сектор, за съответните институции, органи, служби или агенции на Съюза, на които е възложено изпълнението на задачи в областта на общественото здраве, или за други субекти, на които е възложено изпълнението на обществени задачи в областта на общественото здраве или които действат за сметка на или по поръчка на публичен орган, и само ако данните не могат да бъдат получени своевременно и ефективно чрез алтернативни средства. Тези ползватели на здравни данни следва да докажат, че използването на възможността за преодоляване на отказа е необходимо за индивидуално заявление за достъп до здравни данни или искане за здравни данни. Когато се прилага такава възможност за преодоляване на отказ, гаранциите по глава IV следва да продължат да се прилагат от ползвателите на здравни данни, по-специално забраната за повторно идентифициране или опит за повторно идентифициране на съответното физическо лице.

(55)

В контекста на ЕПЗД електронните здравни данни вече съществуват и се събират, наред с други, от доставчици на здравно обслужване, професионални организации, публични институции, регулаторни органи, изследователи и застрахователи в хода на тяхната дейност. Тези данни следва да бъдат предоставяни и за вторично използване, тоест за обработване на данни за цели, различни от тези, за които са били събрани или изготвени, като обаче много от тези данни не се предоставят за обработване за такива цели. Това ограничава възможностите на изследователите, новаторите, създателите на политики, регулаторните органи и лекарите да използват тези данни за различни цели, включително за научни изследвания, иновации, изготвяне на политики, регулаторна дейност, безопасност на пациентите или персонализирана медицина. За да се оползотворят напълно ползите от вторичното използване, всички държатели на здравни данни следва да допринесат за тези усилия, като предоставят различни категории електронни здравни данни, които притежават, за вторично използване, при условие че тези усилия винаги се полагат чрез ефективни и защитени процеси и при надлежно зачитане на професионалните задължения, например задълженията за поверителност.

(56)

Категориите електронни здравни данни, които могат да бъдат обработвани за целите на вторичното използване, следва да бъдат достатъчно широки и гъвкави, за да могат да отговорят на променящите се потребности на ползвателите на здравни данни, като същевременно останат ограничени до данни за здравословното състояние или за които е известно, че влияят на здравето. Те могат да включват и съответни данни от здравната система, например електронни здравни досиета, административни данни, данни за отпуснати лекарства, данни от регистри на заболявания или геномни данни, както и данни, които оказват влияние върху здравето, например данни за консумацията на различни вещества, социално-икономически статус или поведение, както и фактори на околната среда, като замърсяване, радиация или употреба на определени химични вещества. Категориите електронни здравни данни за вторично ползване включват някои категории данни, първоначално събирани за други цели, например научни изследвания, статистика, безопасност на пациентите, регулаторни дейности или изготвяне на политики, например регистри за изготвяне на политики или регистри относно страничните ефекти на лекарствени продукти или медицински изделия. Европейски бази данни, които улесняват използването или повторното използване на данни, са налични в някои области като рака (Европейска информационна система за рака) или редките заболявания (напр. Европейската платформа за регистрация на редки заболявания и регистрите на Европейската референтна мрежа (ЕРМ). Категориите електронни здравни данни, които могат да бъдат обработвани за целите на вторичното използване, следва да включват и данни от медицински изделия, генерирани автоматично, и данни, генерирани от лицата, като например данни от приложения за поддържане на добро здравословно състояние. Данните за клиничните изпитвания и клиничните проучвания следва също да се включват в категориите електронни здравни данни за вторично използване, когато клиничното изпитване или клиничното проучване е приключило, без да се засяга доброволното споделяне на данни от спонсорите на текущи изпитвания и проучвания. Електронните здравни данни за вторично използване следва да се предоставят за предпочитане в структуриран електронен формат, който улеснява обработката им от компютърни системи. Примери на структурирани електронни формати включват записи в релационна база данни, XML документи или CSV файлове, както и свободен текст, аудиоматериали, видеоматериали и изображения, предоставяни в електронен формат.

(57)

Ползвателите на здравни данни, които се възползват от достъпа до наборите от данни, предоставени съгласно настоящия регламент, може да обогатят данните в тези набори на данни с различни корекции, анотации и други подобрения, например чрез допълване на липсващи или непълни данни, като по този начин подобрят точността, пълнотата или качеството на данните в наборите от данни. Ползвателите на здравни данни следва да бъдат насърчавани да докладват критични грешки в наборите от данни на органите за предоставяне на достъп до здравни данни. За да се подпомогне подобряването на първоначалната база данни и по-нататъшното използване на обогатения набор от данни, държавите членки следва да могат да въвеждат правила за обработването и използването на електронни здравни данни, съдържащи подобрения, свързани с обработването на посочените данни. Подобреният набор от данни следва да се предоставя без заплащане на държателя на първоначалните здравни данни заедно с описание на промените. Държателят на здравни данни следва да предоставя новия набор от данни, освен ако не предостави обосновано уведомление защо това не направено, на органа за предоставяне на достъп до здравни данни, например в случаи когато обогатените данни от ползватели на здравни данни са с ниско качествено. Следва да се гарантира, че неличните електронни здравни данни са достъпни за вторично използване. По-специално, данните за генома на патогени имат значителна стойност за здравето на човека, както пролича по време на пандемията от COVID-19, когато своевременният достъп до такива данни и тяхното споделяне се оказаха от съществено значение за бързото разработване на инструменти за откриване, медицински мерки за противодействие и отговори на заплахи за общественото здраве. Най-голяма полза от усилията в областта на геномиката на патогените ще бъде постигната, когато при свързания с общественото здраве процес и научноизследователския процес се споделят набори от данни и се осъществява сътрудничество, за да може те да си предоставят информация и да се подобряват.

(58)

За да се повиши ефективността на вторичното използване на лични електронни здравни данни и да се използват пълноценно възможностите, предоставяни от настоящия регламент, наличието в ЕПЗД на електронните здравни данни, описани в глава IV, следва да бъде такова, че данните да бъдат възможно най-достъпни, висококачествени, подготвени и подходящи с цел да се създаде научна, иновативна и обществена стойност и качество. Следва да се работи по прилагането на ЕПЗД и допълнително да се подобрят наборите от данни, като се даде приоритет на наборите от данни, които са най-подходящи за създаването на такава стойност и качество.

(59)

Публичноправните или частноправните субекти често получават публично финансиране от национални фондове или от фондове на Съюза, за да събират и обработват електронни здравни данни за научни изследвания, официална или неофициална статистика или други подобни цели, включително в области, в които събирането на такива данни е разпокъсано или трудно, например във връзка с редки заболявания или рак. Такива данни, събрани и обработени от държателите на здравни данни с подкрепата на публично финансиране от Съюза или национално публично финансиране, следва да бъдат предоставяни на органите за предоставяне на достъп до здравни данни, за да се увеличи максимално въздействието на публичните инвестиции и да се подкрепят научните изследвания, иновациите, безопасността на пациентите или изготвянето на политики в полза на обществото. В някои държави членки частноправните субекти, включително частните доставчици на здравно обслужване и професионалните организации, играят ключова роля в сектора на здравеопазването. Здравните данни, съхранявани от такива доставчици, следва също да бъдат предоставяни за целите на вторичното използване. Поради това в контекста на вторичното използване държателите на здравни данни следва да бъдат субекти, които са доставчици на здравно обслужване или доставчици на услуги в сектора на полагането на грижи, или които извършват научни изследвания в секторите на здравеопазването или грижите или разработват продукти или услуги, предназначени за секторите на здравеопазването или грижите. Тези субекти могат да бъдат от публичния или частния сектор или с нестопанска цел. В съответствие с това определение домовете за възрастни хора, центровете за дневни грижи, субектите, предоставящи услуги за хора с увреждания, образуванията, занимаващи се със стопански и технологични дейности, свързани с полагането на грижи, например ортопедията, и дружествата, предоставящи услуги за полагане на грижи, следва да се считат за държатели на здравни данни. Юридическите лица, разработващи приложения за поддържане на добро здравословно състояние, също следва да се считат за държатели на здравни данни. Институциите, органите, службите или агенциите на Съюза, които обработват тези категории здравни данни и свързани със здравеопазването данни, както и регистрите на смъртността, също следва да се считат за държатели на здравни данни. За да се избегне непропорционална тежест за физическите лица и микропредприятията, те следва по правило да бъдат освободени от задълженията на държатели на здравни данни. Държавите членки обаче следва да могат да разширят обхвата на задълженията на държателите на здравни данни, за да включва физически лица и микропредприятия в националното им право. За да се намали административната тежест и с оглед на принципите на ефективност и ефикасност, държавите членки следва да могат да изискват чрез националното си право субекти, осъществяващи посредничество във връзка със здравни данни да изпълняват задълженията на определени категории държатели на данни. Тези субекти, осъществяващи посредничество във връзка със здравни данни следва да бъдат юридически лица, които могат да обработват, да предоставят на разположение, да регистрират, предоставят, ограничават достъпа до и да обменят електронни здравни данни за вторично използване, предоставени от държателите на данни. Тези субекти, осъществяващи посредничество във връзка със здравни данни изпълняват задачи, различни от посредническите услуги за данни, предвидени в Регламент (ЕС) 2022/868.

(60)

Електронните здравни данни, защитени с права върху интелектуална собственост или търговски тайни, включително данни за клинични изпитвания и проучвания, могат да бъдат много полезни за вторично използване и могат да насърчат иновациите в рамките на Съюза в полза на пациентите от Съюза. За да се стимулира непрекъснатото лидерство на Съюза в тази област, важно е да се насърчава споделянето на данни от клинични изпитвания и клинични проучвания чрез ЕПЗД за вторично използване. Данните от клинични изпитвания и клинични проучвания следва да се предоставят, доколкото е възможно, като същевременно се предприемат всички необходими мерки за защита на правата върху интелектуална собственост или търговски тайни. Настоящият регламент не следва да се използва за намаляване или заобикаляне на тази защита и следва да спазва съответните разпоредби за прозрачност, предвидени в правото на Съюза, включително за данните от клинични изпитвания и клинични проучвания. Органите за предоставяне на достъп до здравни данни следва да преценят как да запазят тази защита, като същевременно дават възможност за достъп до такива данни на ползвателите на здравни данни, доколкото е възможно. Ако даден орган за предоставяне на достъп до здравни данни не е в състояние да предостави достъп до такива данни, той следва да информира ползвателя на здравни данни и да обясни защо не е възможно да предостави такъв достъп. Правните, организационните и техническите мерки за защита на правата върху интелектуалната собственост или търговските тайни биха могли да включват общи договорни споразумения за достъп до електронни здравни данни, специфични задължения в рамките на разрешението за достъп до данни във връзка с тези права, предварително обработване на данните с цел генериране на косвени данни, които защитават търговска тайна, но все пак са от полза за ползвателя на здравни данни, или конфигуриране на защитената среда за обработване, така че тези данни да не са достъпни за ползвателя на здравни данни.

(61)

Вторичното използване на здравни данни в рамките на ЕПЗД следва да даде възможност на публични и частноправни субекти и субекти с нестопанска цел, както и на отделни изследователи, да имат достъп до здравни данни за научни изследвания, иновации, изготвяне на политики, образователни дейности, безопасност на пациентите, регулаторни дейности или персонализирана медицина в съответствие с целите, определени в настоящия регламент. Достъпът до данни за целите на вторичното използване следва да допринася за общия интерес на обществото. По-специално вторичното използване на здравни данни за целите на научни изследвания и развойни дейности следва да донесе полза за обществото под формата на нови лекарства, медицински изделия и продукти и услуги в областта на здравеопазването на достъпни и справедливи цени за граждани на Съюза, както и да допринесе за подобряване на достъпа и наличността на тези продукти и услуги във всички държави членки. Дейностите, за които достъпът в контекста на настоящия регламент е законосъобразен, могат да включват използване на електронните здравни данни за задачи, изпълнявани от организации от обществения сектор, като например упражняване на публични задължения, включително задължения за наблюдение на общественото здраве, планиране и докладване, изготвяне на здравна политика и осигуряване на безопасността на пациентите, качеството на обслужването и устойчивостта на системите за здравеопазване. Организациите от обществения сектор и институциите, органите, службите и агенциите на Съюза може да се нуждаят от редовен достъп до електронни здравни данни за продължителен период от време, включително за да изпълняват своите правомощия, предвидени в настоящия регламент. Организациите от обществения сектор могат да извършват такива изследователски дейности, като използват трети страни, включително подизпълнители, при условие че организацията от обществения сектор във всички случаи остава орган за надзор на тези дейности. Чрез предоставянето на разположение на данните следва също така да се подпомагат дейности, свързани с научни изследвания. Понятието „научноизследователски цели“ следва да се тълкува широко, като обхваща технологичното развитие и демонстрационните дейности, фундаменталните научни изследвания, приложните научни изследвания и частно финансираните научни изследвания. Дейности, свързани с научни изследвания включват иновационни дейности, като обучение на алгоритми за ИИ, които биха могли да се използват в секторите на здравеопазването или грижите за физически лица, както и оценяване и по-нататъшно развитие на съществуващите алгоритми и продукти за такива цели. Необходимо е ЕПЗД също така да допринася за фундаменталните научни изследвания и въпреки че ползите от него за крайните потребители и пациентите може да не са толкова преки при тях, тези научни изследвания са изключително важни за ползите за обществото в дългосрочен план. В някои случаи информацията за някои физически лица, например геномна информация за физически лица с определено заболяване, би могла да допринесе за диагностицирането или лечението на други физически лица. Необходимо е организациите от обществения сектор да излязат извън обхвата на понятието „извънредна необходимост“, използвано в глава V от Регламент (ЕС) 2023/2854. Въпреки това на органите за предоставяне на достъп до здравни данни следва да се позволи да оказват подкрепа на организациите от обществения сектор при обработването или свързването на данни. Настоящият регламент предоставя на организациите от обществения сектор канал за получаване на достъп до информация, която им е необходима за изпълнение на задачите, възложени им по закон, но не разширява правомощията на тези организации от обществения сектор.

(62)

Следва да се забрани всеки опит за използване на електронни здравни данни за каквито и да било мерки, които са в ущърб на физическите лица, например за увеличаване на застрахователните премии, за извършване на дейности, които могат да са в ущърб на физическите лица и са свързани със заетостта, пенсиите и банкирането, включително ипотекирането на имоти, за рекламиране на продукти или лечения, за автоматизиране на вземането на отделни решения, за повторно идентифициране на физически лица или за разработване на вредни продукти. Тази забрана следва също да се прилага за дейности, които противоречат на етичните разпоредби съгласно националното право, с изключение на етичните разпоредби, свързани със съгласието по отношение на обработването на лични данни и етичните разпоредби, свързани с правото на отказ, тъй като настоящият регламент има предимство пред националното право в съответствие с общия принцип на предимство на правото на Съюза. Следва да се забрани също така даването на достъп или предоставянето на електронните здравни данни по друг начин на трети страни, които не са посочени в разрешението за достъп до данни. Самоличността на упълномощените лица, по-специално самоличността на главния изследовател, които съгласно настоящия Регламент ще имат право на достъп до електронните здравни данни в защитената среда за обработване, следва да бъде посочена в разрешението за обработване на данни. Главните изследователи са основните лица, които отговарят за искането на достъп до електронните здравни данни и за обработването на исканите данни в защитената среда за обработване от името на ползвателя на здравни данни.

(63)

Настоящият регламент не създава правомощия за вторичното използване на здравни данни за целите на правоприлагането. Целите на вторичното използване по настоящия регламент не следва да включват предотвратяване, разследване, разкриване или наказателно преследване на престъпления или изпълнение на наложени наказателноправни санкции от компетентните органи. Поради това съдилищата и другите субекти на правосъдната система не следва да се считат за ползватели на здравни данни при вторичното използване на здравни данни съгласно настоящия регламент. Освен това съдилищата и другите субекти на правосъдната система не следва да попадат в обхвата на определението за държатели на здравни данни и поради това не следва да бъдат адресати на задълженията на държателите на здравни данни съгласно настоящия регламент. Освен това, установените със закон правомощия на компетентните органи за получаване на електронни здравни данни с цел предотвратяване, разследване, разкриване и наказателно преследване на престъпления остават незасегнати от настоящия регламент. По същия начин електронните здравни данни, съхранявани от съдилищата за целите на съдебни производства, са извън обхвата на настоящия регламент.

(64)

Създаването на един или повече органи за предоставяне на достъп до здравни данни, които да подпомагат достъпа до електронни здравни данни в държавите членки, е от съществено значение за насърчаването на вторичното използване на данни, отнасящи се до здравословното състояние. Поради това държавите членки следва да създадат един или повече органи за предоставяне на достъп до здравни данни, които да отговарят, наред с другото, на тяхната конституционна, организационна и административна структура. Един от тези органи за предоставяне на достъп до здравни данни обаче следва да бъде определен за координатор, в случай че има повече от един орган за предоставяне на достъп до здравни данни. Когато дадена държава членка създаде няколко органа за предоставяне на достъп до здравни данни, тя следва да установи правила на национално равнище, за да осигури координираното участие на тези органи в Комитета по въпросите на европейското пространство на здравни данни (наричан по-нататък „Комитет по въпросите на ЕПЗД“). Тази държава членка следва по-специално да определи един орган за предоставяне на достъп до здравни данни, който да функционира като единно звено за контакт за ефективното участие на тези органи и да осигури бързо и безпрепятствено сътрудничество с другите органи за предоставяне на достъп до здравни данни, Комитета по въпросите на ЕПЗД и Комисията. Органите за предоставяне на достъп до здравни данни могат да варират по отношение на организацията и размера си — от специално посветена на това цялостна организация до звено или отдел в съществуваща организация. Върху органите за предоставяне на достъп до здравни данни следва да не се оказва влияние при вземането на решения относно достъпа до електронни данни за целите на вторичното използване и те следва да избягват конфликти на интереси. Следователно, членовете на управителните органи и на органите за вземане на решения на всеки орган за предоставяне на достъп до здравни данни, както и неговите служители, следва да се въздържат от действия, които са несъвместими със задълженията им, и следва да не упражняват несъвместима професия. Независимостта на органите за предоставяне на достъп до здравни данни обаче не следва да означава, че те не може да бъдат подлагани на механизми за контрол или наблюдение по отношение на финансовите им разходи, нито на съдебен контрол. Всеки орган за предоставяне на достъп до здравни данни следва да получи финансови, технически и човешки ресурси, помещения и инфраструктура, необходими за ефективното изпълнение на неговите задачи, включително задачите по линия на сътрудничеството с други органи за предоставяне на достъп до здравни данни навсякъде в Съюза. Членовете на управителните органи и на органите за вземане на решения на органите за предоставяне на достъп до здравни данни, както и техните служители, следва да разполагат с необходимите квалификации, опит и умения. Всеки орган за предоставяне на достъп до здравни данни следва да разполага с отделен публичен годишен бюджет, който може да е част от общия държавен или национален бюджет. За да се осигури по-добър достъп до здравни данни и в допълнение към член 7, параграф 2 от Регламент (ЕС) 2022/868, държавите членки следва да възложат на органите за предоставяне на достъп до здравни данни правомощия да вземат решения относно достъпа до здравни данни и тяхното вторично използване. Това би могло да се състои в разпределяне на нови задачи на компетентните органи, определени от държавите членки съгласно член 7, параграф 1 от Регламент (ЕС) 2022/868, или в определяне на съществуващи или нови секторни органи, които да отговарят за такива задачи във връзка с достъпа до здравни данни.

(65)

Органите за предоставяне на достъп до здравни данни следва да наблюдават прилагането на глава IV от настоящия регламент и да допринасят за последователното ѝ прилагане в целия Съюз. За тази цел органите за предоставяне на достъп до здравни данни следва да си сътрудничат помежду си и с Комисията. Органите за предоставяне на достъп до здравни данни следва да си сътрудничат и със заинтересованите страни, включително с пациентските организации. В съответствие с Препоръка 2003/361/ЕО на Комисията (18) органите за предоставяне на достъп до здравни данни следва да подкрепят държателите на здравни данни, които са малки предприятия, по-специално лекарите и аптеките. Тъй като вторичното използване на здравни данни включва обработване на лични данни за здравословното състояние, се прилагат съответните разпоредби на регламенти (ЕС) 2016/679 и (ЕС) 2018/1725, а надзорните органи съгласно посочените регламенти следва да останат единствените органи, компетентни да прилагат посочените разпоредби. Органите за предоставяне на достъп до здравни данни следва да информират органите за защита на данните за наложени санкции и потенциални проблеми, свързани с обработването на данни за вторично използване, и да обменят всяка относима информация, с която разполагат, за да гарантират прилагането на съответните правила. В допълнение към задачите, необходими за осигуряване на ефективно вторично използване на здравни данни, органът за предоставяне на достъп до здравни данни следва да се стреми да увеличава наличните допълнителни набори от здравни данни и да насърчава разработването на общи стандарти. Той следва да прилага изпитани най-съвременни техники, които гарантират, че електронните здравни данни се обработват по начин, който защитава правото на личен живот по отношение на информацията, съдържаща се в данните, за които е разрешено вторичното използване, включително техники за псевдонимизиране, анонимизиране, генерализиране, премахване и рандомизиране на личните данни. Органите за предоставяне на достъп до здравни данни могат да подготвят набори от данни за ползвателя на здравни данни в съответствие с изискванията, свързани с издаденото разрешение за достъп до данни. В това отношение органите за предоставяне на достъп до здравни данни следва да си сътрудничат през границите и да обменят най-добри практики и техники. Това включва правила за псевдонимизиране и анонимизиране на набори от микроданни. Когато е целесъобразно, Комисията следва да определя процедурите и изискванията и осигурява технически инструменти за единна процедура за псевдонимизиране и анонимизиране на електронните здравни данни.

(66)

Органите за предоставяне на достъп до здравни данни следва да гарантират прозрачност на вторичното използване, като предоставят публична информация относно предоставените разрешения за достъп до данни и тяхната обосновка, мерките, предприети за защита на правата на физическите лица, начина, по който физическите лица могат да упражняват правата си във връзка с вторичното използване, и резултатите от вторичното използване, включително чрез връзки към научни публикации. Когато е целесъобразно, тази информация относно резултатите от вторичното използване следва да включва също така обобщение за неспециалисти, което да бъде предоставено от ползвателя на здравни данни. Тези задължения за прозрачност допълват задълженията, предвидени в член 14 от Регламент (ЕС) 2016/679. Биха могли да се прилагат изключенията по член 14, параграф 5 от същия регламент. Когато се прилагат такива изключения, задълженията за прозрачност, установени в настоящия регламент, следва да допринасят за гарантиране на справедливо и прозрачно обработване, както е посочено в член 14, параграф 2 от Регламент (ЕС) 2016/679, като например се предоставя информация за целта на обработването и категориите данни, които се обработват, с което да се даде възможност на физическите лица да разберат дали техните данни се предоставят за вторично използване съгласно разрешения за достъп до данни.

(67)

Физическите лица следва да бъдат информирани от държателите на здравни данни за съществени констатации, свързани с тяхното здраве, направени от ползвателите на здравни данни. Физическите лица следва да имат право да поискат да не бъдат информирани за такива констатации. Държавите членки биха могли да определят условията за уредбата за предоставянето на тази информация от държателите на здравни данни на съответните физически лица и за упражняването на правото да не бъдеш информиран. В съответствие с член 23, параграф 1, буква и) от Регламент (ЕС) 2016/679 държавите членки следва да могат да ограничат обхвата на задължението за информиране на физически лица, когато това е необходимо за защитата на тези лица с оглед на безопасността на пациентите и етичните норми, посредством забавяне на предоставянето на информацията, докато медицински специалист може да съобщи и обясни на съответните физически лица информацията, която евентуално може да окаже въздействие върху тяхното здраве.

(68)

За да се насърчи прозрачността, органите за предоставяне на достъп до здравни данни следва също така да публикуват на всеки две години доклади за дейността, съдържащи общ преглед на техните дейности. Когато държава членка е определила повече от един орган за предоставяне на достъп до здравни данни, координиращият орган следва да изготвя и публикува веднъж на всеки две години общ доклад. Докладите за дейността трябва да следват структура, договорена от Комитета по въпросите на ЕПЗД, и да предоставят общ преглед на дейностите, включително информация относно решенията по заявленията, одитите и взаимодействието със съответните заинтересовани страни. Тези заинтересовани страни могат да включват представители на физически лица, пациентски организации, медицински специалисти, изследователи и комисии по етика.

(69)

За да се подкрепи вторичното използване, държателите на здравни данни следва да се въздържат от задържане на данните, изискване на необосновани такси, които не са прозрачни, нито пропорционални на разходите за предоставяне на наличните данни или, когато е приложимо, на пределните разходи за събиране на данни, изискване от ползвателите на здравни данни за съвместно публикуване на научните изследвания или други практики, които биха могли да разубедят ползвателите на здравните данни да поискат данните. Когато държател на здравни данни е организация от обществения сектор, частта от таксите, свързани с неговите разходи, не следва да покрива разходите за първоначалното събиране на данните. Когато за предоставянето на разрешение за достъп до данни е необходимо етично одобрение, оценката във връзка с етичното одобрение следва да се извършва въз основа на собствените му характеристики.

(70)

Органите за предоставяне на достъп до здравни данни следва да имат право да събират такси, като се вземат предвид хоризонталните правила, предвидени в Регламент (ЕС) 2022/868, във връзка със своите задачи. Такива такси могат да отчитат положението и интересите на малките и средни предприятия (МСП), отделни изследователи или организации от обществения сектор. По-специално държавите членки следва да могат да установят мерки за органите за предоставяне на достъп до здравни данни в своята юрисдикция, които дават възможност за определени категории ползватели на данни да се прилагат намалени такси. Органите за предоставяне на достъп до здравни данни следва да могат да покриват разходите за своята дейност с такси, определени по пропорционален, обоснован и прозрачен начин. Това може да доведе до по-високи такси за някои потребители на здравни данни, ако обработването на техните заявления за достъп до здравни данни и искания за здравни данни изисква повече работа. На държателите на здравни данни следва да бъде разрешено да събират също така такси за предоставянето на разположение на данни, които да отразяват техните разходи. Органите за предоставяне на достъп до здравни данни следва да вземат решение относно размера на тези такси, които може да включват и таксите, искани от държателя на здравни данни. Тези такси следва да се начисляват от органа за предоставяне на достъп до здравни данни на ползвателя на здравни данни в една фактура. След това органът за предоставяне на достъп до здравни данни следва да прехвърли съответната част на платените такси на държателя на здравни данни. За да се осигури хармонизиран подход по отношение на политиките и структурата на таксите, на Комисията следва да бъдат предоставени изпълнителни правомощия. Член 10 от Регламент (ЕС) 2023/2854 следва да се прилага за таксите, събирани съгласно настоящия регламент.

(71)

С цел да се укрепи прилагането на правилата за вторично използване, следва да бъдат предвидени подходящи мерки, които могат да доведат до административни глоби или мерки за правоприлагане от страна на органите за предоставяне на достъп до здравни данни или до временно или окончателно изключване от рамката на ЕПЗД на ползвателите или държателите на здравни данни, които не изпълняват своите задължения. Органите за предоставяне на достъп до здравни данни следва да бъдат оправомощени да проверяват спазването на правилата от ползвателите и държателите на здравни данни и да им дават възможност да отговорят на всички констатации, както и да отстранят всяко нарушение. Когато вземат решение относно размера на административната глоба или на дадена принудителна мярка за всеки отделен случай, органите за предоставяне на достъп до здравни данни следва да вземат предвид маржовете за разходите, както и критериите, определени в настоящия регламент, като гарантират, че глобите или мерките са пропорционални.

(72)

Предвид чувствителността на електронните здравни данни е необходимо да се намалят рисковете за неприкосновеността на личния живот на физическите лица, като се приложи принципът за свеждане на данните до минимум. Поради това нелични електронни здравни данни следва да могат да бъдат използвани във всички случаи, когато предоставянето на тези данни е достатъчно. Ако ползвателят на здравните данни трябва да използва лични електронни здравни данни, той следва ясно да посочи в искането си обосновката за използването на този вид данни, а органът за предоставяне на достъп до здравни данни следва да оцени дали тази обосновка е валидна. Личните електронни здравни данни следва да се предоставят само в псевдонимизиран формат. Като се вземат предвид конкретните цели на обработването, личните електронни здравни данни следва да бъдат псевдонимизирани или анонимизирани възможно най-рано в процеса на предоставяне на разположение на данни за вторично използване. Следва да е възможно псевдонимизирането и анонимизирането да се извършват от органите за предоставяне на достъп до здравни данни или от държателите на здравни данни. Като администратори на данни, на органите за предоставяне на достъп до здравни данни и държателите на здравни данни следва да се позволи да делегират тези задачи на обработващите лични данни. Когато предоставя достъп до псевдонимизиран или анонимизиран набор от данни, органът за предоставяне на достъп до здравни данни следва да използва най-съвременна технология и стандарти за псевдонимизиране или анонимизиране, като гарантира във възможно най-голяма степен, че физическите лица не могат да бъдат повторно идентифицирани от ползвателите на здравни данни. Тази технология и стандарти за анонимизиране на данните следва да бъдат доразвити. Ползвателите на здравни данни не следва да се опитват да идентифицират повторно физически лица от набора от данни, предоставен съгласно настоящия регламент, и ако те правят това, следва да им се налагат административни глоби и мерки за правоприлагане, както е предвидено в настоящия регламент, или евентуални наказателни санкции, когато това е предвидено в националното право. Освен това заявителят на здравни данни следва да може да поиска отговор на дадено искане за здравни данни в анонимизиран статистически формат. В този случай ползвателят на здравни данни ще обработва само нелични данни, а органът за предоставяне на достъп до здравни данни ще остане единственият администратор на личните данни, необходими за предоставяне на отговор на искането за здравни данни.

(73)

За да се гарантира, че всички органи за предоставяне на достъп до здравни данни издават разрешения за достъп до данни по сходен начин, е необходимо да се установи стандартен общ процес за издаване на разрешения за достъп до данни, като в различните държави членки се подават сходни искания. Заявителят на здравни данни следва да осигурява на органите за предоставяне на достъп до здравни данни няколко елемента от информацията, които да помогнат на органа да оцени заявлението за достъп до здравни данни и да реши дали заявителят на здравни данни може да получи разрешение за достъп до данни, като следва се осигурява съгласуваност между различните органи за предоставяне на достъп до здравни данни. Информацията, предоставена като част от заявлението за достъп до здравни данни, следва да отговаря на изискванията, установени съгласно настоящия регламент, за да се даде възможност тя да бъде оценена задълбочено, тъй като разрешението за достъп до данни следва да се издава само ако са изпълнени всички необходими условия, посочени в настоящия регламент. Освен това, когато е уместно, тази информация следва да включва декларация от заявителя на здравни данни, че предвиденото използване на поисканите здравни данни не поражда риск от стигматизация или накърняване на достойнството на физическите лица или на групите, за които се отнася поисканият набор от данни. Въз основа на националното законодателство може да бъде поискана етична оценка. В такъв случай следва да е възможно съществуващите органи по етика да извършват такива оценки за органа за предоставяне на достъп до здравни данни. За тази цел съществуващите органи по етика на държавите членки следва да предоставят своя експертен опит на органа за предоставяне на достъп до здравни данни. Като алтернатива държавите членки следва да могат да предвидят органите по етика да са неразделна част от органа за предоставяне на достъп до здравни данни. Органът за предоставяне на достъп до здравни данни и, когато е приложимо, държателите на здравни данни следва да подпомагат ползвателите на здравни данни при избора на подходящи набори от данни или източници на данни за предвидената цел на вторично използване. Когато заявителят на здравни данни се нуждае от данни в анонимизиран статистически формат, той следва да подаде искане за здравни данни, като поиска от органа за предоставяне на достъп до здравни данни да предостави директно резултата. Отказът за издаване на разрешение за достъп до данни от страна на органа за предоставяне на достъп до здравни данни не следва да възпрепятства заявителя на здравни данни да подаде ново заявление за достъп до здравни данни. За да се осигури хармонизиран подход между органите за предоставяне на достъп до здравни данни и да се ограничи административна тежест за заявителите на здравни данни, Комисията следва да подкрепи хармонизацията на заявленията за достъп до здравни данни, както и на исканията за здравни данни, включително като създаде съответните образци. В обосновани случаи, например при сложни и обременяващи искания, органът за предоставяне на достъп до здравни данни следва да може да удължи срока, в който държателите на здравни данни трябва да му предоставят исканите електронни здравни данни.

(74)

Тъй като ресурсите им са ограничени, органите за предоставяне на достъп до здравни данни следва да могат да прилагат правила за определяне на приоритети, например да отдават приоритет на публичните институции пред частните субекти, но не следва да правят дискриминация между националните организации или организациите от други държави членки в рамките на една и съща категория приоритети. Ползвател на здравни данни следва да може да удължи срока на разрешението за достъп до данни, за да позволи например достъп до наборите от данни на рецензенти на научна публикация или да даде възможност за допълнителен анализ на набора от данни въз основа на първоначалните констатации. За това следва да е необходимо изменение на разрешението за достъп до данни и може да подлежи на допълнителна такса. Във всички случаи обаче разрешението за достъп до данни трябва да отразява тези допълнителни видове използване на набора от данни. За предпочитане е ползвателят на здравни данни да ги посочи в първоначалното си заявление за достъп до здравни данни. За да се осигури хармонизиран подход между органите за предоставяне на достъп до здравни данни, Комисията следва да подкрепя хармонизацията на разрешенията за достъп до данни.

(75)

Както показа кризата, свързана с COVID-19, институциите, органите, службите и агенциите на Съюза със законови правомощия в областта на общественото здраве, особено Комисията, се нуждаят от достъп до здравни данни за по-дълъг период от време и на периодична основа. Такъв може да бъде случаят не само при специфични обстоятелства, предвидени в правото на Съюза или националното право по време на криза, но и за редовно предоставяне на научни доказателства и техническа подкрепа за политиките на Съюза. Достъп до такива данни може да е необходим в определени държави членки или на цялата територия на Съюза. Институциите, органите, службите и агенциите на Съюза следва да могат да се възползват от ускорена процедура за предоставяне на разположение на данни, обикновено за по-малко от два месеца, с възможност за удължаване на срока с един месец в по-сложни случаи.

(76)

Държавите членки следва да имат възможност да определят доверени държатели на здравни данни, за които процедурата за издаване на разрешение за достъп до данни може да се извършва по опростен начин, за да се облекчи административната тежест за органите за предоставяне на достъп до здравни данни при управлението на исканията за достъп до обработваните от тях данни. На доверените държатели на здравни данни следва да се позволи да оценяват заявленията за достъп до здравни данни, подадени по тази опростена процедура, въз основа на експертния си опит във връзка с вида на здравните данни, които обработват, и да издават препоръка относно разрешение за достъп до данни. Органът за предоставяне на достъп до здравни данни следва да продължи да носи отговорност за издаването на окончателното разрешение за достъп до данни и не следва да бъде обвързан от препоръката, предоставена от доверения държател на здравни данни. Субектите, осъществяващи посредничество във връзка със здравни данни не следва да бъдат определяни като доверени държатели на здравни данни.

(77)

Като се има предвид чувствителността на електронните здравни данни, ползвателите на здравни данни не следва да имат неограничен достъп до тези данни. Целият достъп за вторично използване на исканите електронни здравни данни следва да се осъществява чрез защитена среда за обработване. За да се осигурят стабилни технически гаранции и гаранции за сигурност на електронните здравни данни, органът за предоставяне на достъп до здравни данни или, когато е приложимо, довереният държател на здравни данни следва да предоставя достъп до такива данни в защитена среда за обработване, като спазва високите технически стандарти и стандарти за сигурност, определени съгласно настоящия регламент. Обработването на лични данни в такава защитена среда за обработване следва да отговаря на изискванията на Регламент (ЕС) 2016/679, включително, когато защитената среда за обработване се управлява от трета страна, на изискванията на член 28 от настоящия регламент и, когато е приложимо, на глава V от него. Такава защитена среда за обработване следва да намали рисковете за неприкосновеността на личния живот, свързани с такива дейности по обработване, и да предотврати предаването на електронни здравни данни директно на ползвателите на здравни данни. Органът за предоставяне на достъп до здравни данни или държателят на здравни данни, който предоставя тази услуга, следва да запази във всички случаи контрола върху достъпа до електронните здравни данни и достъпът, предоставен на ползвателите на здравни данни следва да се определя от условията на издаденото разрешение за достъп до данни. Ползвателите на здравни данни следва да изтеглят от такава защитена среда за обработване само нелични електронни здравни данни, които не съдържат никакви лични електронни здравни данни. Съответно такава защитена среда за обработване е съществена гаранция за запазване на правата и свободите на физическите лица във връзка с обработването на техните електронни здравни данни за целите на вторичното използване. Комисията следва да подпомага държавите членки при разработването на общи стандарти за сигурност, за да се насърчат сигурността и оперативната съвместимост на различните защитени среди за обработване.

(78)

В Регламент (ЕС) 2022/868 са определени общите правила за управление на алтруизма по отношение на данните. Като се има предвид, че в сектора на здравеопазването се управляват чувствителни данни, следва да бъдат установени допълнителни критерии чрез набора от правила, предвиден в посочения регламент. Когато такива правила предвиждат използването на защитена среда за обработване на данни за този сектор, тази защитена среда за обработване следва да отговаря на критериите, установени в настоящия регламент. Органите за предоставяне на достъп до здравни данни следва да си сътрудничат с компетентните органи, определени съгласно Регламент(ЕС) 2022/868 за надзор на дейността на организациите за алтруистично споделяне на данни в сектора на здравеопазването или полагането на грижи.

(79)

За обработването на електронни здравни данни в обхвата на разрешение за достъп до данни или на искане за здравни данни държателите на здравни данни, включително доверените държатели на здравни данни, органите за предоставяне на достъп до здравни данни и ползвателите на здравни данни следва на свой ред сами по себе си да се считат за администратори за конкретна част от процеса и съгласно съответните им роли в него. Държателите на здравни данни следва да се считат за администратори на разкриването на поисканите лични електронни здравни данни на органите за предоставяне на достъп до здравни данни, а органите за предоставяне на достъп до здравни данни следва на свой ред да се считат за администратори за обработването на личните електронни здравни данни, когато подготвят данните и ги предоставят на ползвателите на здравни данни. Ползвателите на здравни данни следва да се считат за администратори за обработването на лични електронни здравни данни в псевдонимизиран формат в защитена среда за обработване и в съответствие със своите разрешения за достъп до данни. Органите за предоставяне на достъп до здравни данни следва да се считат за обработващи лични данни за сметка на ползвателя на здравни данни, когато става въпрос за обработването, извършвано от ползвателя на здравни данни съгласно разрешение за достъп до данни в защитена среда за обработване, както и за обработването с цел да се предостави отговор на искане за здравни данни. По подобен начин доверените държатели на здравни данни следва да се считат за администратори за обработването от тяхна страна на лични електронни здравни данни, свързани с предоставянето на електронни здравни данни на ползвателя на здравни данни съгласно разрешение за достъп до данни или искане за здравни данни. Следва да се счита, че доверените държатели на здравни данни действат като обработващи лични данни за ползвателя на здравни данни, когато предоставя данни чрез защитена среда за обработване.

(80)

За да се постигне приобщаваща и устойчива рамка за вторично използване в много държави, следва да се създаде трансгранична инфраструктура (HealthData@EU). HealthData@EU следва да ускори вторичното използване, като същевременно повишава правната сигурност, зачита неприкосновеността на личния живот на физическите лица и е оперативно съвместима. Поради чувствителността на здравните данни следва да се спазват, когато е възможно, принципи като „защита на неприкосновеността на личния живот на етапа на проектирането“ и „защита на неприкосновеността на личния живот по подразбиране“ и концепцията за „задаване на въпроси относно данните, вместо преместване на тези данни“. Държавите членки следва да определят национални органи за контакт за вторично използване, например организационни и технически портали за органите за предоставяне на достъп до здравни данни, и да свържат тези органи за контакт с HealthData@EU. Услугата на Съюза за достъп до здравни данни следва също да бъде свързана с HealthData@EU. Освен това упълномощени участници в HealthData@EU биха могли да станат научноизследователски инфраструктури, създадени като консорциум за европейска научноизследователска инфраструктура (ERIC) съгласно Регламент (ЕО) № 723/2009 на Съвета (19), като консорциум за европейска цифрова инфраструктура (КЕЦИ) съгласно Решение (ЕС) 2022/2481, или подобни инфраструктури, създадени съгласно други правни актове на Съюза, както и други видове субекти, включително инфраструктури в рамките на Европейския стратегически форум за научноизследователски инфраструктури (ESFRI) или инфраструктури, обединени в рамките на Европейския облак за отворена наука (EOSC). Трети държави и международни организации също биха могли да станат упълномощени участници в HealthData@EU, при условие че отговарят на изискванията на настоящия регламент. Със съобщението на Комисията от 19 февруари 2020 г., озаглавено „Европейска стратегия за данните“ се насърчава свързването на различните общи европейски пространства на данни. Поради това HealthData@EU следва да даде възможност за вторично използване на различни категории електронни здравни данни, включително свързване на здравните данни с данни от други информационни пространства, като например тези, свързани с екологичния, селскостопанския и социалния сектор. Тази оперативна съвместимост между сектора на здравеопазването и други сектори като екологичния, селскостопанския и социалния сектор би могла да бъде от значение за получаването на допълнителна информация относно определящите здравето фактори. Комисията би могла да предоставя редица услуги в рамките на HealthData@EU, включително подпомагане на обмена на информация между органите за предоставяне на достъп до здравни данни и упълномощените участници в HealthData@EU за обработване на трансгранични искания за достъп, поддържане на каталози на електронните здравни данни, достъпни чрез инфраструктурата, търсене в мрежата и искания за достъп до метаданни, услуги за свързаност и осигуряване на съответствие. По искане на администраторите на лични данни Комисията може също така да създаде защитена среда за обработване, която да позволява предаването и анализирането на данни от различни национални инфраструктури. За целите на ИТ ефективността, рационализацията и оперативната съвместимост на обмена на данни съществуващите системи за обмен на данни следва да се използват повторно във възможно най-голяма степен, като например тези, които се изграждат за обмен на доказателства в рамките на техническата система, основавана на принципа на еднократност, предвидена в Регламент (ЕС) 2018/1724 на Европейския парламент и на Съвета (20).

(81)

Освен това, като се има предвид, че връзката с HealthData@EU може да доведе до предаване на лични данни, свързани със заявителя или ползвателя на здравни данни, към трети държави, за такова предаване трябва да бъдат въведени съответните инструменти за предаване на данни съгласно глава V от Регламент (ЕС) 2016/679.

(82)

В случай на трансгранични регистри или бази данни, като например регистрите на европейските референтни мрежи за редки заболявания, които получават данни от различни доставчици на здравно обслужване в няколко държави членки, органът за предоставяне на достъп до здравни данни на държавата членка, в която се намира координаторът на регистъра, следва да отговаря за предоставянето на достъп до данните.

(83)

Процесът на издаване на разрешение за получаване на достъп до лични електронни здравни данни в различни държави членки може да бъде повтарящ се и тромав за ползвателите на здравни данни. Когато е възможно, следва да се създават полезни взаимодействия за намаляване на тежестта и пречките за ползвателите на здравни данни. Един от начините за постигане на тази цел е да се спазва принципът на подаване на едно заявление, при който с едно заявление ползвателят на здравни данни може да получава разрешение от множество органи за предоставяне на достъп до здравни данни в различни държави членки или упълномощени участници в HealthData@EU.

(84)

Органите за предоставяне на достъп до здравни данни следва да осигуряват информация за наличните набори от данни и техните характеристики, така че ползвателите на здравни данни да могат да бъдат информирани за елементарни факти за набора от данни, и следва да оценяват евентуалното значение на тези факти за въпросните ползватели. Ето защо всеки набор от данни следва да включва най-малко информация относно източника и естеството на данните и условията за предоставяне на разположение на данните. Държателят на здравни данни следва най-малко веднъж годишно да проверява дали описанието на набора от данни в националния каталог на наборите от данни е точно и актуално. Поради това следва да се създаде каталог на ЕС на наборите от данни, за да се улесни откриваемостта на наборите от данни, налични в ЕПЗД; да се помогне на държателите на здравни данни да публикуват своите набори от данни; да се предостави на всички заинтересовани страни, включително на широката общественост, като се вземат предвид хората с увреждания, информация за наборите от данни, поместени в ЕПЗД, например етикети за качество и полезност на данните и информационни листове за наборите от данни; и на ползвателите на здравни данни да се предостави актуална информация за качеството на данните и ползата от данните за наборите от данни.

(85)

Информацията за качеството на наборите от данни и ползата от наборите от данни значително увеличава стойността на резултатите от научни изследвания и иновации с интензивно използване на данни, като същевременно насърчава вземането на основани на доказателства регулаторни решения и решения, свързани с политиката. Подобряването на качеството и полезността на наборите от данни чрез информиран избор на ползвателите и хармонизиране на свързаните с това изисквания на равнището на Съюза, като се вземат предвид съществуващите стандарти, насоки и препоръки на равнището на Съюза и на международно равнище за събиране и обмен на данни, например принципите „FAIR“, носи ползи и за държателите на здравни данни, медицинските специалисти, физическите лица и икономиката на Съюза като цяло. С етикета за качество и полезност на данните за наборите от данни ползвателите на здравни данни ще се информират за характеристиките на качеството на даден набор от данни и ползата от него и ще им се даде възможност да избират наборите от данни, които най-добре отговарят на техните потребности. Чрез етикета за качество и полезност на данните не следва да се възпрепятства предоставянето на набори от данни чрез ЕПЗД, а да се осигури механизъм за прозрачност между държателите и ползвателите на здравни данни. Например набор от данни, който не отговаря на нито едно изискване за качество и полезност на данните, следва да бъде обозначен с класа, представляващ най-лошото качество и полезност, но въпреки това следва да бъде предоставен на разположение. При разработването на рамката за качество и полезност на данните следва да се вземат предвид определените в рамките очаквания, породени съгласно член 10 от Регламент (ЕС) 2024/1689, и съответната техническа документация, посочена в приложение IV към същия регламент. Държавите членки следва да повишат осведомеността относно етикета за качество и полезност на данните чрез комуникационни дейности. Комисията би могла да подкрепи тези дейности. Ползвателите на набори от данни биха могли да ги използват приоритетно в зависимост от тяхната целесъобразност и качество.

(86)

Каталогът на ЕС на наборите от данни следва да сведе до минимум административната тежест за държателите на здравни данни и другите ползватели на бази данни, да бъде удобен за ползване, достъпен и рентабилен, да свързва националните каталози на набори от данни и следва да се избягва излишната регистрация на набори от данни. Без да се засягат изискванията, определени в Регламент (ЕС) 2022/868 каталогът на ЕС на наборите от данни може да бъде съгласуван с инициативата data.europa.eu. Следва да се осигури оперативна съвместимост между каталога на наборите от данни на ЕС, националните каталози на набори от данни и каталозите на набори от данни от европейските научноизследователски инфраструктури и други съответни инфраструктури за споделяне на данни.

(87)

Различните професионални организации, Комисията и други институции продължават да си сътрудничат и да работят за установяване на минимални полета на данни и други характеристики на различни набори от данни, като например регистри. Тази работа е по-напреднала в области като рака, редките заболявания, сърдечносъдовите и метаболитните заболявания, оценката на рисковите фактори и статистиката и следва да бъде взета предвид при определянето на нови стандарти и специфични за заболяването хармонизирани образци за структурирани елементи от данни. Въпреки това много набори от данни не са хармонизирани, а това поражда проблеми със съпоставимостта и затруднява трансграничните изследвания. Поради това в актовете за изпълнение следва да се определят по-подробни правила, за да се осигури хармонизирано кодиране и регистриране на електронни здравни данни, таке че да се позволи предоставянето на тези данни за вторично използване по последователен начин. Тези набори от данни могат да включват данни от регистри на редки заболявания, бази данни за лекарствата сираци, регистри на раковите заболявания и регистри на особено значими инфекциозни заболявания. Държавите членки следва да работят за гарантиране, че европейските системи и услуги за електронно здравеопазване и европейските оперативно съвместими приложения носят устойчиви икономически и социални ползи, с цел постигане на високо равнище на доверие и сигурност, подобряване на непрекъснатостта на здравното обслужване и гарантиране на достъп до безопасно и висококачествено здравно обслужване. Съществуващите инфраструктури и регистри за здравни данни могат да предоставят модели, които са полезни за определяне и прилагане на стандарти за данни и оперативна съвместимост, и които следва да бъдат използвани, за да се даде възможност за приемственост и да се надгражда върху съществуващия експертен опит.

(88)

Комисията следва да подкрепя държавите членки в изграждането на капацитет и повишаването на ефективност в областта на системите за цифрово здравеопазване за целите на първичното използване и вторичното използване. Държавите членки следва да бъдат подпомагани при укрепването на своя капацитет. Дейностите на равнището на Съюза, като например сравнителен анализ и обмен на най-добри практики, са подходящи мерки в това отношение. При тези дейности следва да се вземат предвид специфичните обстоятелства при различните категории заинтересовани страни, например представители на гражданското общество, изследователите, лекарските общества и МСП.

(89)

Повишаването на грамотността в областта на цифровото здравеопазване както на физическите лица, така и на медицинските специалисти, е от съществено значение за доверието и безопасността и за подходящото използване на здравни данни, като по този начин е от съществено значение и за успешното прилагане на настоящия регламент. Медицинските специалисти са изправени пред дълбока промяна в контекста на цифровизацията и ще им бъдат предоставени допълнителни цифрови инструменти като част от внедряването на ЕПЗД. Медицинските специалисти трябва впоследствие да повишат грамотността си в областта на цифровото здравеопазване и уменията си в областта на цифровите технологии и държавите членки следва да предоставят на медицинските специалисти достъп до курсове по цифрова грамотност с цел да могат да се подготвят за работа със системи за ЕЗД. Тези курсове следва да позволят на медицинските специалисти и ИТ операторите да получат достатъчно обучение за работа с нови цифрови инфраструктури, за да гарантират киберсигурността и етичното управление на здравните данни. Обученията следва да се разработват, преразглеждат и актуализират редовно — след консултация и в сътрудничество със съответните експерти. Повишаването на грамотността в областта на цифровото здравеопазване е от основно значение за овластяването на физическите лица да имат истински контрол върху своите здравни данни, активно да управляват своето здраве и грижи, а също и да разберат последиците от управлението на такива данни както за първичното използване, така и за вторичното използване. Различните демографски групи имат различна степен на цифрова грамотност, което може да повлияе на способността на физическите лица да упражняват правата си да контролират своите електронни здравни данни. Ето защо държавите членки, включително регионалните и местните органи, следва да подкрепят цифровата здравна грамотност и обществената осведоменост, като същевременно гарантират, че прилагането на настоящия регламент допринася за намаляване на неравенствата и не дискриминира хората, които нямат цифрови умения. Особено внимание следва да се обърне на хората с увреждания и уязвимите групи, включително мигрантите и възрастните хора. Държавите членки следва да създадат целенасочени национални програми за цифрова грамотност, включително програми за максимално социално приобщаване, и да гарантират, че всички физически лица могат ефективно да упражняват правата си съгласно настоящия регламент. Държавите членки следва също да предоставят ориентирани към пациентите насоки за физическите лица във връзка с използването на електронни здравни досиета и с първичното използване на техните лични електронни здравни данни. Насоките следва да бъдат съобразени с нивото на грамотност на пациента в областта на цифровото здравеопазване, като се обръща специално внимание на потребностите на уязвимите групи.

(90)

Използването на фондове следва също да допринася за постигането на целите на ЕПЗД. Възложителите на обществени поръчки, националните компетентни органи в държавите членки, включително органите в областта на цифровото здравеопазване и органите за предоставяне на достъп до здравни данни, и Комисията следва да се позовават на приложимите технически спецификации, стандарти и профили за оперативна съвместимост, сигурност и качество на данните, както и на други изисквания, разработени съгласно настоящия регламент, при определянето на условията за възлагане на обществени поръчки, поканите за представяне на предложения и разпределянето на средства от фондовете на Съюза, включително структурните фондове и Кохезионния фонд. Средствата на Съюза трябва да се разпределят по прозрачен начин между държавите членки, като се вземат предвид различните равнища на цифровизация на здравните системи. Предоставянето на разположение на данни за вторично използване изисква допълнителни ресурси за здравните системи, по-специално за публичните здравни системи. Тази допълнителна тежест следва да бъде разгледана и ограничена през етапа на прилагане на ЕПЗД.

(91)

Прилагането на ЕПЗД изисква подходящи инвестиции в изграждане на капацитет и обучение и добре финансиран ангажимент за обществени консултации и контакти както на равнището на Съюза, така и на национално равнище. Икономическите разходи за прилагането на настоящия регламент ще трябва да се поемат както на равнището на Съюза, така и на национално равнище, и ще трябва да се намери справедливо разпределение на тази тежест между фондовете на Съюза и националните фондове.

(92)

Някои категории електронни здравни данни могат да останат особено чувствителни, дори когато са в анонимизиран формат и следователно нелични, както вече изрично е предвидено в Регламент (ЕС) 2022/868. Дори когато се използват най-съвременни техники за анонимизиране остава остатъчен риск капацитетът за повторно идентифициране да е достъпен или да стане достъпен, като се използват средства, различни от тези, за които съществува разумна вероятност да бъдат използвани. Такъв остатъчен риск съществува във връзка с редки заболявания, тоест заболяване, което е животозастрашаващо или с риск от хронично инвалидизиране, засягащо не повече от 5 на всеки 10 хиляди души в Съюза, при които ограниченият брой случаи намалява възможността за пълно обобщаване на публикуваните данни, за да се запази неприкосновеността на личния живот на физическите лица, като същевременно се поддържа подходящо ниво на детайлност, за да бъдат данните от значение. Този остатъчен риск може да засегне различни категории здравни данни и може да доведе до повторно идентифициране на субектите на данни, като се използват средства, различни от тези, за които съществува разумна вероятност да бъдат използвани. Този риск зависи от степента на детайлност, от описанието на характеристиките на субектите на данни, от броя на засегнатите лица, например, в случаите на данни, включени в електронни здравни досиета, регистри на заболяванията, биобанки и данни, генерирани от лицата, когато наборът от идентификационните характеристики е по-широк, и от комбинацията с друга информация, например в много малки географски райони, или чрез технологичното развитие на методи, които не са били налични към момента на анонимизирането. Такова повторно идентифициране на физически лица би породило сериозни опасения и е вероятно да изложи на риск приемането на правилата относно вторичното използване, предвидени в настоящия регламент. Освен това техниките за обобщаване са използвани по-рядко по отношение на нелични данни, съдържащи например търговски тайни, както е при докладването на клинични изпитвания и клинични проучвания, а принудителното изпълнение при нарушения на търговските тайни извън Съюза е по-трудно при липсата на адекватен международен стандарт за закрила. Поради това за посочените категории здравни данни продължава да съществува риск от повторно идентифициране след анонимизирането или обобщаването на данните, като този риск не би могъл да бъде разумно смекчен априори. Това попада в обхвата на критериите, посочени в член 5, параграф 13 от Регламент (ЕС) 2022/868. По този начин тези видове здравни данни биха попаднали в обхвата на правомощията за предаване на трети държави, предвидени в член 5, параграф 13 от посочения регламент. Специалните условия, предвидени съгласно правомощията, определени в член 5, параграф 13 от Регламент (ЕС) 2022/868, ще бъдат подробно описани в контекста на делегирания акт, приет съгласно тези правомощия, и трябва да са пропорционални на риска от повторно идентифициране и да отчитат особеностите на различните категории данни или на различните техники за анонимизиране или обобщаване.

(93)

Обработването на големи количества електронни лични здравни данни за целите, предвидени в ЕПЗД, като част от дейностите по обработване на данни в контекста на обработването на заявленията за достъп до здравни данни, разрешения за достъп до данни и искания за здравни данни води до по-високи рискове от неразрешен достъп до такива лични данни, както и до възможността за киберинциденти. Личните електронни здравни данни са особено чувствителни, тъй като често съдържат информация, която е медицинска тайна и чието разкриване на неоправомощени трети лица може да причини значително страдание. Като взема изцяло предвид принципите, очертани в съдебната практика на Съда на Европейския съюз, настоящият регламент гарантира пълно зачитане на основните права, правото на неприкосновеност на личния живот и принципа на пропорционалност. За да се осигури докрай цялостността и поверителността на личните електронни здравни данни съгласно настоящия регламент, за да се гарантира особено високо равнище на защита и сигурност и за да се намали рискът от незаконен достъп до тези лични електронни здравни данни, настоящия регламент позволява на държавите членки да изискват личните електронни здравни данни да се съхраняват и обработват единствено в рамките на Съюза за целите на изпълнението на задачите, предвидени в настоящия регламент, освен ако се прилага решение относно адекватното ниво на защита, прието съгласно член 45 от Регламент (ЕС) 2016/679.

(94)

Достъпът на ползватели на здравни данни, установени в трети държави или на международни организации до електронни здравни данни следва да се осъществява единствено въз основа на принципа на взаимност. Предоставянето на достъп на трета държава до електронни здравни данни следва да се позволи единствено в случаи, когато чрез акт за изпълнение Комисията е установила, че въпросната трета държава позволява достъпа до електронни здравни данни, произхождащи от тази трета държава, на субекти на Съюза при същите условия и със същите гаранции, както ако те ползваха достъп до електронните здравни данни в рамките на Съюза. Комисията следва да наблюдава и извършва периодичен преглед на положението в тези трети държави, както и на международните организации, и да направи списък на тези актове за изпълнение. Ако Комисията установи, че трета държава вече не осигурява достъп при същите условия, тя следва да отмени съответния акт за изпълнение.

(95)

За да се насърчи последователното прилагане на настоящия регламент, включително по отношение на трансграничната оперативна съвместимост на електронните здравни данни, следва да бъде създаден Комитет по въпросите на европейското пространство на здравни данни. Комисията следва да участва в неговите дейности и да го съпредседателства. Комитетът по въпросите на ЕПЗД следва да може да издава писмени становища, свързани с последователното прилагане на настоящия регламент в целия Съюз, включително като подпомага държавите членки да координират използването на електронни здравни данни за целите на здравеопазването и сертифицирането, но също и по отношение на вторичното използване и финансирането за тези дейности. Това може да включва и обмен на информация относно рисковете и инцидентите в защитените среди за обработване. Този вид обмен на информация не засяга задълженията по други правни актове, като например уведомленията за нарушения на сигурността на данните съгласно Регламент (ЕС) 2016/679. В по-общ план дейностите на Комитета по въпросите на ЕПЗД не засягат правомощията на надзорните органи съгласно Регламент (ЕС) 2016/679. Като се има предвид, че на национално равнище органите в областта на цифровото здравеопазване, които се занимават с първично използване, може да са различни от органите за предоставяне на достъп до здравни данни, които се занимават с вторично използване, функциите са различни и е необходимо различно сътрудничество във всяка от тези области, Комитетът по въпросите на ЕПЗД следва да може да създава подгрупи, занимаващи се с тези две функции, както и други подгрупи, ако е необходимо. За да съществува ефективен метод на работа, органите в областта на цифровото здравеопазване и органите за предоставяне на достъп до здравни данни следва да създадат мрежи и връзки на национално равнище с други органи и институции, но също и на равнището на Съюза. Такива органи могат да бъдат органите за защита на данните, органите за киберсигурност, електронна идентификация и стандартизация, както и органите и експертните групи съгласно регламенти (ЕС) 2022/868, (ЕС) 2023/2854 и (ЕС) 2024/1689 и (ЕС) 2019/881 (21) на Европейския парламент и на Съвета. Комитетът по въпросите на ЕПЗД следва да осъществява дейността си независимо, в полза на обществения интерес и в съответствие със своя Кодекс за поведение.

(96)

Когато се обсъждат въпросите, които са от особено значение според Комитета по въпросите на ЕПЗД, комитетът следва да може да кани наблюдатели, например ЕНОЗД, представители на институциите на Съюза, включително Европейския парламент, и други заинтересовани страни.

(97)

Следва да се създаде форум на заинтересованите страни, който да съветва Комитета по въпросите на ЕПЗД при изпълнението на неговите задачи, като осигурява приноса на заинтересованите страни по въпроси, свързани с настоящия регламент. Форумът на заинтересованите страни следва да бъде съставен, наред с другото, от представители на организациите на пациентите и потребителите, медицинските специалисти, промишлеността, научните изследователи и академичните среди. Той следва да има балансиран състав и да представлява становищата на различни имащи отношение към въпроса заинтересовани страни. Както търговските, така и нетърговските интереси следва да бъдат представени.

(98)

За да се гарантира правилното ежедневно управление на трансграничните инфраструктури за първично използване и вторично използване, е необходимо да се създадат ръководни групи, състоящи се от представители на държавите членки. Тези ръководни групи следва да вземат оперативни решения относно ежедневното техническо управление на трансграничните инфраструктурите и тяхното техническо развитие, включително относно техническите промени в инфраструктурите, подобряването на функционалните възможности или услугите или осигуряването на оперативна съвместимост с други инфраструктури, цифрови системи или пространства на данни. Техните дейности не следва да включват принос за разработването на актове за изпълнение, засягащи тези инфраструктури. Ръководните групи следва да могат също така да канят представители на други упълномощени участници в HealthData@EU като наблюдатели на своите заседания и следва да се консултират със съответните експерти при изпълнението на своите задачи.

(99)

Без да се засягат други административни, съдебни или извънсъдебни средства за защита, всяко физическо или юридическо лице следва да има право да подаде жалба до орган в областта на цифровото здравеопазване или до орган за предоставяне на достъп до здравни данни, ако счита, че правата или интересите му съгласно настоящия регламент са засегнати. Разследването въз основа на жалба следва да се извършва в подходящата за конкретния случай степен и да подлежи на съдебен контрол. Органът в областта на цифровото здравеопазване или органът за предоставяне на достъп до здравни данни следва в разумен срок да информира физическото или юридическото лице за напредъка и резултата от жалбата. Ако случаят изисква допълнително разследване или координация с друг орган в областта на цифровото здравеопазване или орган за предоставяне на достъп до здравни данни, на физическото или юридическото лице следва да се предоставя информация за напредъка на работата по разглеждането на жалбата. За да се улесни внасянето на жалби, всеки орган в областта на цифровото здравеопазване и орган за предоставяне на достъп до здравни данни следва да вземе мерки, например да предостави формуляр за подаване на жалби, който може да бъде попълнен и по електронен път, без да се изключва възможността за използване на други средства за комуникация. Когато жалбата се отнася до правата на физическите лица във връзка със защитата на техните лични данни, органът в областта на цифровото здравеопазване или органът за предоставяне на достъп до здравни данни следва да предаде жалбата на надзорните органи съгласно Регламент (ЕС) 2016/679. Органите в областта на цифровото здравеопазване или органите за предоставяне на достъп до здравни данни следва да си сътрудничат при разглеждането и решаването на жалби, включително чрез обмен на цялата съответна информация по електронен път, без ненужно забавяне.

(100)

Когато дадено физическо лице смята, че правата му по настоящия регламент са нарушени, то следва да има право да възложи на структура, организация или сдружение с нестопанска цел, което е учредено съгласно националното право, има уставни цели от обществен интерес, и работи в областта на защитата на личните данни, да подаде жалба от негово име.

(101)

Органът в областта на цифровото здравеопазване, органът за предоставяне на достъп до здравни данни, държателят на здравни данни или ползвателят на здравни данни следва да обезщетяват всички вреди, които дадено физическо или юридическо лице e претърпяло в резултат на нарушение на настоящия регламент. Понятието „вреда“ следва да се тълкува в по-широк смисъл в контекста на съдебната практика на Съда на Европейския съюз по начин, който отразява напълно целите на настоящия регламент. Това не засяга евентуални искове за вреди, произтичащи от нарушаване на други разпоредби от правото на Съюза или националното право. Физическите лица следва да получат пълно и действително обезщетение за претърпените от тях вреди.

(102)

За да се укрепи прилагането на правилата на настоящия регламент, освен или вместо подходящи мерки, наложени от органите за предоставяне на достъп до здравни данни съгласно настоящия регламент, при нарушение на регламента следва да се налагат санкции, включително административни наказания „глоба“ или „имуществена санкция“. При налагането на санкции, включително административни наказания „глоба“ или „имуществена санкция“, следва да съществуват подходящи процедурни гаранции в съответствие с общите принципи на правото на Съюза и Хартата на основните права на Европейския съюз, включително ефективна съдебна защита и справедлив съдебен процес.

(103)

Целесъобразно е да се определят разпоредби, позволяващи на органите за предоставяне на достъп до здравни данни да налагат административни наказания „глоба“ или „имуществена санкция“ за определени нарушения на настоящия регламент, които следва да се считат съгласно настоящия регламент за тежки нарушения, като например повторно идентифициране на физически лица, изтегляне на електронни лични здравни данни извън защитената среда за обработване и обработване на данни за забранено използване или използване, което не е обхванато от разрешение за достъп до данни. В настоящия регламент следва да се посочат нарушенията и максималният размер и критериите за определяне на съответните административни наказания „глоба“ или „имуществена санкция“, които следва да се определят от компетентния орган за предоставяне на достъп до здравни данни във всеки отделен случай, като се вземат предвид всички обстоятелства, свързани с конкретната ситуация, по-специално при надлежно отчитане на естеството, тежестта и продължителността на нарушението и на последиците от него, както и на мерките, предприети, за да се гарантира спазване на задълженията по настоящия регламент и за да се предотвратят или смекчат последиците от нарушението. За целите на налагането на административни наказания „глоба“ или „имуществена санкция“ съгласно настоящия регламент, понятието „предприятие“ следва да се разбира в съответствие с членове 101 и 102 от ДФЕС. Държавите членки следва да определят дали и до каква степен публичните органи следва да подлежат на административни наказания „глоба“ или „имуществена санкция“. Налагането на административно наказание „глоба“ или „имуществена санкция“ или отправянето на предупреждение не следва да засяга упражняването на други правомощия на органите за предоставяне на достъп до здравни данни или налагането на други санкции по настоящия регламент.

(104)

С цел да се гарантира, че ЕПЗД изпълнява своите цели, на Комисията следва да бъде делегирано правомощието да приема актове в съответствие с член 290 от ДФЕС във връзка с промени, добавяне или премахване в приложение I на основните характеристики на приоритетните категории лични електронни здравни данни, списъка на изискваните данни, които се въвеждат от производителите на системи за ЕЗД и на приложения за поддържане на добро здравословно състояние в базата данни на ЕС за регистрация на системи за ЕЗД и на приложения за поддържане на добро здравословно състояние, както и изменянето, добавянето или премахването на елементи, които трябва да бъдат обхванати от етикета за качество и полезност на данните. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище, и тези консултации да се проведат в съответствие с принципите, залегнали в Междуинституционалното споразумение от 13 април 2016 г. за по-добро законотворчество (22). По-специално с цел осигуряване на равно участие при подготовката на делегираните актове Европейският парламент и Съветът получават всички документи едновременно с експертите от държавите членки, като техните експерти получават систематично достъп до заседанията на експертните групи на Комисията, занимаващи се с подготовката на делегираните актове.

(105)

За да се гарантират еднакви условия за изпълнение на настоящия регламент, на Комисията следва да бъдат предоставени изпълнителни правомощия по отношение на:

Тези правомощия следва да бъдат упражнявани в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (23).

(106)

Държавите членки следва да предприемат всички необходими мерки, за да гарантират прилагането на разпоредбите на настоящия регламент, включително чрез установяването на ефективни, пропорционални и възпиращи санкции за тяхното нарушаване. При определянето на размера на санкцията за всеки отделен случай държавите членки следва да вземат предвид допустимите ограничения и критериите, определени в настоящия регламент. Повторното идентифициране на физически лица следва да се счита за сериозно нарушение на настоящия регламент.

(107)

Прилагането на ЕПЗД ще изисква значителна подготвителна работа във всички държави членки и централните служби. За да проследи напредъка в тази връзка, до пълното прилагане на настоящия регламент Комисията следва да докладва ежегодно за постигнатия напредък, като взема предвид предоставената от държавите членки информация. Тези доклади могат да включват препоръки за коригиращи мерки, както и оценка на постигнатия напредък.

(108)

За да се прецени дали настоящият регламент постига ефективно и ефикасно своите цели, дали е съгласуван, дали е все още актуален и дали осигурява добавена стойност на равнището на Съюза, Комисията следва да извърши оценка на настоящия регламент. Комисията следва да извърши целенасочена оценка на настоящия регламент в рамките на осем години от влизането му в сила и цялостна оценка в рамките на 10 години от влизането му в сила. След всяка оценка Комисията следва да представя доклади за основните си констатации на Европейския парламент и на Съвета, на Европейския икономически и социален комитет и на Комитета на регионите.

(109)

За успешното трансгранично прилагане на ЕПЗД Европейската рамка за оперативна съвместимост, чиито обхват беше актуализиран и разширен със съобщението на Комисията от 23 март 2017 г., озаглавено „Европейска рамка за оперативна съвместимост — стратегия за прилагане“ за да се въведат новите или преработените изисквания за оперативна съвместимост, следва да се счита за обща отправна точка за осигуряване на правна, организационна, семантична и техническа оперативна съвместимост.

(110)

Доколкото целите на настоящия регламент, а именно да се овластят физическите лица като им се предостави засилен контрол върху техните лични електронни здравни данни и като се подкрепи свободата им на движение, като се гарантира, че здравните им данни ги следват, да се насърчи създаването на истински вътрешен пазар за услуги и продукти в областта на цифровото здравеопазване и да се осигури последователна и ефективна рамка за повторно използване на здравните данни на физическите лица за научни изследвания, иновации, изготвяне на политики и регулаторни дейности, не могат да бъдат постигнати в достатъчна степен от държавите членки само чрез мерки за координация, както показва оценката на цифровите аспекти на Директива 2011/24/ЕС, а по-скоро, поради хармонизирането на мерките за правата на физическите лица по отношение на техните електронни здравни данни, оперативната съвместимост на електронните здравни данни и общата рамка и гаранции за първичното използване и вторичното използване, могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели.

(111)

Оценката на цифровите аспекти на Директива 2011/24/ЕС показва, че ефективността на мрежата за електронно здравеопазване е ограничена, но също така, че е налице силен потенциал за работа на равнището на Съюза в областта на цифровото здравеопазване, както бе видно от работата, извършена по време на пандемията, причинена от COVID-19. Поради това Директива 2011/24/ЕС следва да бъде съответно изменена.

(112)

Настоящият регламент допълва съществените изисквания, определени в Регламент (ЕС) 2024/2847. Поради това системите за ЕЗД, които са продукти с цифрови елементи по смисъла на Регламент (ЕС) 2024/2847, следва да отговарят и на съществените изисквания за киберсигурност, определени в посочения регламент. Производителите на тези системи за ЕЗД следва да доказват съответствието, както се изисква от настоящия регламент. За да се улесни това съответствие, производителите следва да могат да изготвят единен набор технически документи, съдържащ изискваните от двата правни акта елементи. Съответствието на системите за ЕЗД със съществените изисквания за киберсигурност, определени в Регламент (ЕС) 2024/2847, следва да може да се доказва чрез рамката за оценка, предвидена в настоящия регламент. Частта от процедурата по оценка на съответствието, съгласно настоящия регламент, която се отнася до използването на среди за изпитване, обаче не следва да се прилага, тъй като тези среди за изпитване не позволяват оценката на съответствието със съществените изисквания за киберсигурност. Тъй като Регламент (ЕС) 2024/2847 не обхваща пряко софтуер като услуга (SaaS), системите за ЕЗД, предлагани чрез модела за лицензиране и доставяне на SaaS, не попадат в обхвата на посочения регламент. По същия начин, системите за ЕЗД, които се разработват и използват вътрешно, не попадат в обхвата на посочения регламент, тъй като не се предлагат на пазара.

(113)

Съгласно член 42, параграфи 1 и 2 от Регламент (ЕС) 2018/1725 ЕНОЗД и Европейския комитет по защита на данните бяха консултирани и представиха тяхното съвместно становище на 12 юли 2022 г.

(114)

Настоящият регламент не следва да засяга прилагането на правилата за конкуренцията, и по-специално членове 101 и 102 от ДФЕС. Мерките, предвидени в настоящия регламент, не следва да се използват за ограничаване на конкуренцията по начин, който противоречи на ДФЕС.

(115)

Предвид необходимостта от техническа подготовка, настоящият регламент следва да се прилага от 26 март 2027 г. За да се подпомогне успешното внедряване на ЕПЗД и създаването на ефективни условия за сътрудничество в областта на европейските здравни данни, неговото прилагане следва да стане поетапно,