VYKONÁVACIE ROZHODNUTIE KOMISIE (EÚ) 2019/1269

z 26. júla 2019,

ktorým sa mení vykonávacie rozhodnutie 2014/287/EÚ, ktorým sa stanovujú kritériá vytvárania a hodnotenia európskych referenčných sietí, schvaľovania a hodnotenia ich členov, ako aj kritériá na uľahčenie výmeny informácií a odborných poznatkov v súvislosti s vytváraním a hodnotením takýchto sietí

(Text s významom pre EHP)

EURÓPSKA KOMISIA,

so zreteľom na Zmluvu o fungovaní Európskej únie,

so zreteľom na smernicu Európskeho parlamentu a Rady 2011/24/EÚ z 9. marca 2011 o uplatňovaní práv pacientov pri cezhraničnej zdravotnej starostlivosti (1), a najmä na jej článok 12 ods. 4 písm. b) a c),

keďže:

(1)

Vykonávacím rozhodnutím Komisie 2014/287/EÚ (2) sa stanovujú kritériá vytvárania a hodnotenia európskych referenčných sietí a ich členov, ako aj kritériá na uľahčenie výmeny informácií a odborných poznatkov v súvislosti s vytváraním a hodnotením takýchto sietí Podľa článku 6 uvedeného rozhodnutia sa členské štáty vyzývajú, aby zriadili radu členských štátov, ktorá by rozhodovala o schválení alebo neschválení návrhov sietí, ich zložení a ukončení činnosti. Členské štáty zriadili radu členských štátov, ktorá následne v decembri 2016 schválila 23 európskych referenčných sietí (European Reference Network – ERN) a ďalšiu referenčnú sieť vo februári 2017. Všetky siete začali svoju činnosť v roku 2017.

(2)

S cieľom zvýšiť efektivitu európskych referenčných sietí by sa rada členských štátov mala stať fórom na výmenu informácií a odborných poznatkov, aby urýchlila rozvoj ERN, poskytovala im i členským štátom usmernenia a radila Komisii v otázkach súvisiacich so zriaďovaním sietí. Na podporu výmeny skúseností, ako aj uľahčovania procesu zodpovedajúceho iným cezhraničným formám výmeny zdravotných informácií, by rada mala počítať s úzkou spoluprácou so sieťou eHealth (elektronického zdravotníctva), aby sa podľa možnosti dospelo k dosiahnutiu spoločných postupov, dátových štruktúr a usmernení na uľahčenie transparentného prístupu k rôznym službám a zjednodušenie pravidiel pre poskytovateľov zdravotnej starostlivosti. Rada by mala podporovať aj diskusiu s inými relevantnými fórami EÚ (ako je riadiaca skupina pre podporu zdravia, prevenciu chorôb a manažment neprenosných chorôb) v oblastiach spoločného záujmu.

(3)

Zo súčasných skúseností z fungovania 24 existujúcich ERN vyplýva, že na zaručenie účinného fungovania každej z nich by mali jej členovia úzko spolupracovať na efektívnom a bezpečnom vykonávaní svojich úloh, ako je napríklad výmena zdravotných údajov o diagnózach a liečbe pacientov, a tým prispievať k vedecko-výskumným činnostiam a k tvorbe usmernení v oblasti zdravotníctva. Úzka spolupráca si vyžaduje vzájomnú dôveru medzi členmi každej zo sietí a vzájomné uznanie, najmä pokiaľ ide o vedecké poznatky a kompetentnosť, kvalitu klinickej starostlivosti, ako aj špecifické ľudské, štrukturálne zdroje a prístrojové vybavenie v zmysle bodu 2 prílohy II k delegovanému rozhodnutiu Komisie 2014/286/EÚ (3).

(4)

Vzájomná dôvera a uznanie zo strany partnerov sú rovnako dôležité v prípade, že sa poskytovatelia zdravotnej starostlivosti chcú stať členmi siete, keďže títo partneri musia garantovať potrebné predpoklady na budúcu spoluprácu v rámci siete. Súhlasné stanovisko rady siete k žiadosti o členstvo daného poskytovateľa zdravotnej starostlivosti na základe partnerského hodnotenia vykonaného príslušnou sieťou podľa kritérií a za podmienok stanovených v bode 2 prílohy II k delegovanému rozhodnutiu Komisie 2014/286/EÚ by preto malo byť súčasťou žiadosti pri jej posudzovaní nezávislým hodnotiacim orgánom vymenovaným Komisiou. Aby poskytovateľ zdravotnej starostlivosti mohol vyjadriť svoje názory k stanovisku rady siete, mal by mať možnosť predkladať svoje pripomienky k návrhu stanoviska jeden mesiac po jeho obdržaní.

(5)

Rada siete by mala mať na vypracovanie návrhu a konečného znenia stanoviska dostatok času. Termín vypracovania konečného znenia stanoviska by sa preto mal stanoviť na štyri mesiace. Ak však poskytovateľ zdravotnej starostlivosti predloží svoje pripomienky k návrhu stanoviska rady siete, termín štyri mesiace na predloženie konečného znenia stanoviska by sa mal predĺžiť o jeden mesiac, aby rada siete mohla tieto pripomienky zohľadniť. Na účely zaručenia právnej istoty sa v prípade, že rada siete nedoručí návrh stanoviska, prípadne jeho konečné znenie v stanovených termínoch, konečné znenie stanoviska sa považuje za súhlasné.

(6)

Ak rada siete zamietne žiadosť o členstvo poskytovateľa zdravotnej starostlivosti, pričom dostala písomný súhlas od členského štátu, v ktorom je daný poskytovateľ zdravotnej starostlivosti usadený, mal by mať tento členský štát možnosť požiadať radu členských štátov, aby na základe kritérií a podmienok stanovených v bode 2 prílohy II k delegovanému rozhodnutiu Komisie 2014/286/EÚ rozhodla o tom, či táto žiadosť napriek tomu nemohla byť doručená Komisii.

(7)

V snahe pomáhať zdravotníckym pracovníkom v rámci ERN v cezhraničnej spolupráci pri diagnostikovaní a liečbe pacientov so zriedkavými alebo komplexnými chorobami či stavmi s nízkou prevalenciou, ako aj s úmyslom uľahčiť vedecký výskum, prípadne podmienky výskumu týchto chorôb alebo stavov, Komisia vytvorila pre ERN systém manažmentu klinických údajov o pacientoch (Clinical Patient Management System – CPMS), aby zjednodušila zriaďovanie a fungovanie ERN v súlade s článkom 12 ods. 4 písm. c) smernice 2011/24/EÚ.

(8)

CPMS by mal zdravotníckym pracovníkom zabezpečiť spoločnú infraštruktúru na spoluprácu v rámci ERN pri diagnostike a liečbe pacientov so zriedkavými alebo komplexnými chorobami či stavmi s nízkou prevalenciou. Jeho úlohou by mala byť podpora čo najefektívnejšej výmeny informácií a odborných poznatkov o týchto chorobách v rámci ERN.

(9)

CPMS by preto mal byť vybavený takou IT infraštruktúrou, ktorá by bezpečne poskytovala spoločné rozhranie, kde by si poskytovatelia zdravotnej starostlivosti, ktorí sú členmi ERN, ako aj pridružení partneri (4) alebo hosťujúci používatelia (t. j. poskytovatelia zdravotnej starostlivosti s prístupom do CPMS) mohli v rámci sietí vymieňať informácie o príslušných pacientoch, ktorí by tak mohli ľahšie získať prístup k bezpečnej a špičkovej zdravotnej starostlivosti, čím by sa zároveň podporila efektívna spolupráca členských štátov v oblasti zdravotnej starostlivosti vďaka zjednodušeniu výmeny potrebných informácií.

(10)

S cieľom zaručiť súlad s pravidlami ochrany údajov a zabezpečiť efektívne a bezpečné využívanie elektronickej výmeny osobných údajov o pacientoch medzi poskytovateľmi zdravotnej starostlivosti v rámci ERN na účely uvedené v článku 12 ods. 2 smernice 2011/24/EÚ by k takejto výmene informácií malo dochádzať len s výslovným súhlasom pacienta a iba prostredníctvom CPMS. Poskytovatelia zdravotnej starostlivosti sú zodpovední za bezpečnosť údajov, ktoré spracujú mimo CPMS a chcú ich do CPMS vložiť, ako aj za bezpečnosť údajov, ktoré do CPMS nevložia, ale spracujú ich s ohľadom na CPMS (napr. tlačivá o vydaní súhlasu), prípadne údajov, ktoré si stiahli z CPMS a spracovali bez použitia CPMS.

(11)

CPMS spracúva citlivé údaje týkajúce sa pacientov s ojedinelými alebo zriedkavými ťažkými ochoreniami. Tieto údaje sú spracovávané výlučne na účely uľahčenia diagnostiky a liečby pacientov tým, že sa ukladajú do príslušných registrov, prípadne iných databáz ojedinelých alebo zriedkavých ťažkých ochorení, ktoré potom slúžia na vedecký výskum, vypracovanie klinických či zdravotných predpisov, ako aj na nadväzovanie kontaktov s možnými záujemcami o zapojenie sa do iniciatív vedeckého výskumu. Poskytovatelia zdravotnej starostlivosti v rámci ERN by mali byť schopní spracovať údaje o pacientoch v CPMS hneď po tom, ako získajú konkrétny, informovaný a dobrovoľný súhlas pacienta s tromi možnými spôsobmi použitia jeho údajov (vyjadrenie lekára k jeho zdravotnej karte z hľadiska diagnózy a liečby, uloženie jeho údajov do registrov ojedinelých chorôb, prípadne do iných databáz zriedkavých alebo komplexných chorôb s nízkou prevalenciou, a možnosť osloviť pacienta, či by sa nechcel zapojiť do vedeckého výskumu). Súhlas by mal byť vydaný samostatne pre všetky tri prípady. V tomto rozhodnutí by sa mal stanoviť účel a záruky spracovávania takýchto údajov v CPMS. Komisia by mala predovšetkým vysvetliť všeobecné charakteristiky CPMS v prípade každej zo sietí, vytvoriť a spravovať potrebnú IT infraštruktúru a zároveň zabezpečiť jej technickú funkčnosť a bezpečnosť. V súlade so zásadami minimalizácie údajov by Komisia mala spracúvať iba tie osobné údaje, ktoré sú absolútne nevyhnutné na zabezpečenie fungovania CPMS v prípade každej zo sietí, a preto by nemala mať prístup k údajom o pacientoch, ktoré si jednotlivé európske referenčné siete vymieňajú, pokiaľ to nepotrebuje na výkon svojich povinností ako spoločného prevádzkovateľa.

(12)	Toto vykonávacie rozhodnutie by sa malo uplatňovať iba v prípade spracovávania osobných údajov, ktoré prebieha v CPMS v rámci ERN, a to najmä kontaktných údajov a údajov o zdravotnom stave.

(13)

V článku 26 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 (5) a v článku 28 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 (6) sa spoločným prevádzkovateľom spracúvajúcim osobné údaje ukladá povinnosť transparentne určiť svoju príslušnú zodpovednosť za splnenie požiadaviek uvedených v daných nariadeniach. Zároveň sa v nich uvádza, že ich zodpovednosť môže byť daná právom Únie alebo členského štátu, ktorému spoloční prevádzkovatelia podliehajú.

(14)	Vykonávacie rozhodnutie 2014/287/EÚ by sa preto malo zodpovedajúcim spôsobom zmeniť.

(15)	S európskym dozorným úradníkom pre ochranu údajov sa v tejto veci konzultovalo v súlade s článkom 42 ods. 1 nariadenia (EÚ) 2018/1725, pričom stanovisko vydal 13. septembra 2018.

(16)	Opatrenia stanovené v tomto rozhodnutí sú v súlade so stanoviskom výboru zriadeného v zmysle článku 16 smernice 2011/24/EÚ,

PRIJALA TOTO ROZHODNUTIE:

Článok 1

Vykonávacie rozhodnutie 2014/287/EÚ sa mení takto:

Vkladá sa tento článok 1a:

„Článok 1a

Vymedzenie pojmov

Na účely tohto vykonávacieho rozhodnutia sa uplatňuje toto vymedzenie pojmov:

a)	„koordinátor európskych referenčných sietí“ je osoba, ktorú za koordinátora siete určil člen európskej referenčnej siete zvolený za koordinujúceho člena v zmysle odôvodnenia 3 a článku 4 delegovaného rozhodnutia 2014/286/EÚ;

b)	„rada siete“ je orgán zodpovedný za riadenie siete, ktorý je zložený zo zástupcov všetkých členov siete v zmysle odôvodnenia 3 a bodu 1 písm. b) bodu ii) prílohy I k delegovanému rozhodnutiu 2014/286/EÚ;

c)	„pridružený partner“ je (pridružené národné centrum, kooperatívne národné centrum a národný koordinačný uzol) v zmysle odôvodnenia 14 a bodu 7 písm. c) prílohy I k delegovanému rozhodnutiu 2014/286/EÚ a vyhlásenia rady členských štátov z 10. októbra 2017;

„hosťujúci používateľ“ je poskytovateľ zdravotnej starostlivosti, ktorý nie je pridruženým partnerom a ktorý má, po schválení koordinátorom príslušnej európskej referenčnej siete na určitý čas právo zapisovať pacientov do CPMS a zúčastňovať sa na zasadnutiach vedeckej skupiny týkajúcich sa pacientov alebo na zasadnutiach osobitných vedeckých skupín ako expert.“

V článku 8 sa vkladajú tieto odseky 4, 5 a 6:

„4. Ak Komisia dospeje k záveru, že požiadavky stanovené v článku 8 ods. 2 a 3 sú splnené, rada siete vydá stanovisko k žiadosti o členstvo daného poskytovateľa zdravotnej starostlivosti na základe partnerského hodnotenia vykonaného príslušnou sieťou podľa kritérií a za podmienok stanovených v bode 2 prílohy II k delegovanému rozhodnutiu Komisie 2014/286/EÚ.

5. Pred doručením stanoviska uvedeného v odseku 4 a do troch mesiacov od chvíle, keď Komisia potvrdila, že požiadavky stanovené v článku 8 ods. 2 a 3 sú splnené, rada siete zašle poskytovateľovi zdravotnej starostlivosti žiadajúcemu o členstvo návrh stanoviska, ku ktorému žiadateľ môže do jedného mesiaca od jeho doručenia zaslať svoje pripomienky adresované sieti. V prípade, že rade siete nebudú doručené žiadne pripomienky k návrhu, rada svoje konečné stanovisko k žiadosti o členstvo oznámi do štyroch mesiacov od chvíle, keď Komisia potvrdila, že požiadavky stanovené v článku 8 ods. 2 a 3 sú splnené.

V prípade, že rade siete budú pripomienky doručené, rada má na oznámenie svojho konečného stanoviska ďalších päť mesiacov od chvíle, keď Komisia potvrdila, že požiadavky stanovené v článku 8 ods. 2 a 3 sú splnené. Po doručení pripomienok rada siete zmení svoje stanovisko s vysvetlením, či sú dané pripomienky dostatočné na to, aby ho zmenila. Ak rada siete nedoručí návrh stanoviska, prípadne jeho konečné znenie v stanovených termínoch, konečné znenie stanoviska sa považuje za súhlasné.

6. V prípade nesúhlasného stanoviska rady siete môže rada členských štátov na žiadosť členského štátu, v ktorom je daný poskytovateľ usadený, vydať súhlasné stanovisko po opätovnom preskúmaní žiadosti podľa kritérií a podmienok stanovených v bode 2 prílohy II k delegovanému nariadeniu 2014/286/EÚ. Toto súhlasné stanovisko musí byť súčasťou žiadosti.“

3.	V článku 9 sa odsek 1 nahrádza takto: „1. Ak sa v súlade s článkom 8 ods. 5 alebo 6 vydá súhlasné stanovisko, Komisia vymenuje orgán, ktorý žiadosť o členstvo, ktorá je jeho súčasťou, posúdi.“

V kapitole IV sa vkladá tento článok 15a:

„Článok 15a

Výmena informácií a odborných poznatkov medzi členskými štátmi

Členské štáty sa vyzývajú k výmene informácií a odborných poznatkov v rámci rady členských štátov s cieľom urýchliť rozvoj ERN, poskytovať jednotlivým sieťam i členským štátom usmernenia a Komisii poradenstvo v otázkach súvisiacich so zriaďovaním sietí.“

Vkladá sa tento článok 16 a:

„Článok 16a

Systém manažmentu klinických údajov o pacientoch

1. Týmto sa v rámci ERN zriaďuje systém manažmentu klinických údajov o pacientoch (Clinical Patient Management System – CPMS) na elektronickú výmenu osobných údajov pacientov medzi poskytovateľmi zdravotnej starostlivosti, ktorí majú do systému prístup.

2. CPMS je bezpečným IT nástrojom vytvoreným Komisiou v rámci ERN na výmenu a ukladanie údajov o pacientoch a na včasnú komunikáciu v reálnom čase o stave jednotlivých pacientov.

3. Jeho súčasťou sú okrem iného zobrazovacie metódy, možnosti prihlasovania údajov, špeciálne databázy. Zároveň ide o systém, ktorý musí poskytovať dostatočné záruky ochrany údajov v súlade prílohou I.“

Vkladá sa tento článok 16b:

„Článok 16b

Spracovanie osobných údajov v CPMS

1. Osobné údaje o pacientoch, t. j. meno, pohlavie, miesto a dátum narodenia či iné osobné údaje potrebné na diagnózu a liečbu sa v rámci ERN vymieňajú a spracúvajú výhradne prostredníctvom CPMS. Ich spracovanie je obmedzené výlučne na účely uľahčenia spolupráce pri lekárskom posudzovaní pacientovej zdravotnej karty na účely diagnostiky a liečby tým, že sa ukladajú do príslušných registrov a iných databáz zriedkavých alebo komplexných chorôb s nízkou prevalenciou, ktoré potom slúžia na vedecký výskum, vypracovanie klinických či zdravotných predpisov, ako aj na nadväzovanie kontaktov s možnými záujemcami o zapojenie sa do iniciatív vedeckého výskumu. Zakladá sa na súhlase, ktorý sa dosiahol v súlade s prílohou IV.

2. Komisia sa považuje za prevádzkovateľa spracovania osobných údajov, pokiaľ ide o správu prístupových práv, pričom tieto údaje spracúva na základe výslovného súhlasu jednotlivých osôb, ktorých poskytovatelia zdravotnej starostlivosti identifikovali ako používateľov, a po súhlase príslušnej ERN, do takej miery, aby zabezpečila, že:

a)	týmto osobám budú udelené prístupové práva;

b)	tieto osoby majú svoje práva a možnosť plniť si svoje povinnosti a

c)	si Komisia bude plniť svoje povinnosti ako prevádzkovateľ.

3. Komisia nemá prístup k osobným údajom o pacientoch, pokiaľ to nepotrebuje na výkon svojich povinností ako spoločného prevádzkovateľa.

4. K osobným údajom o pacientoch v CPMS majú prístup iba osoby, ktoré dostali povolenie od ERN, a sú zamestnancami alebo v inom vzťahu s poskytovateľmi zdravotnej starostlivosti s prístupom do CPMS.

5. Meno pacienta, ako aj miesto a presný dátum jeho narodenia sú v CPMS šifrované a pseudonymizované. Iné osobné údaje potrebné na diagnózu a liečbu sú pseudonymizované. Používateľom CPMS z iných poskytovateľov zdravotnej starostlivosti sú k dispozícii iba pseudonymizované údaje na účely panelovej diskusie a posudzovania zdravotných kariet pacientov.

6. Komisia zaručuje bezpečnosť prenosu a ukladania osobných údajov.

7. Poskytovatelia zdravotnej starostlivosti s prístupom do CPMS vymažú údaje, ktoré už nepovažujú za potrebné. Osobné údaje o pacientoch zostávajú uložené len, ak sú nevyhnutné na stanovenie diagnózy, zabezpečenie starostlivosti o pacienta alebo o rodinných príslušníkov pacientov v rámci európskych referenčných sietí. Najmenej každých pätnásť rokov zabezpečí každý poskytovateľ zdravotnej starostlivosti s prístupom do CPMS revíziu potreby uchovávania údajov o pacientoch ako ich prevádzkovateľa.

8. Komisia a poskytovatelia zdravotnej starostlivosti s prístupom do CPMS pravidelne preverujú, posudzujú a hodnotia efektivitu technických a organizačných opatrení na zaistenie bezpečnosti spracovania osobných údajov v CPMS.“

Vkladá sa tento článok 16c:

„Článok 16c

Spoločné prevádzkovanie osobných údajov o pacientoch spracovávaných v CPMS

1. Každý prevádzkovateľ zdravotnej starostlivosti, ktorý spracúva údaje o pacientovi v CPMS, ako aj Komisia sú zároveň spoločným prevádzkovateľom spracovania týchto údajov v CPMS.

2. Na účely odseku 1 sa úlohy rozdelia medzi spoločných prevádzkovateľov v súlade s prílohou III.

3. Každý spoločný prevádzkovateľ musí spĺňať príslušné vnútroštátne právne predpisy a právne predpisy Únie, ktorým daný prevádzkovateľ podlieha.“

8.	Dopĺňa sa príloha III, ktorej text je uvedený v prílohe I k tomuto rozhodnutiu.

9.	Dopĺňa sa príloha IV, ktorej text je uvedený v prílohe II k tomuto rozhodnutiu.

Článok 2

Toto rozhodnutie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.

V Bruseli 26. júla 2019

Za Komisiu

predseda

Jean-Claude JUNCKER

(1) Ú. v. EÚ L 88, 4.4.2011, s. 45.

(2) Vykonávacie rozhodnutie Komisie 2014/287/EÚ z 10. marca 2014, ktorým sa stanovujú kritériá vytvárania a hodnotenia európskych referenčných sietí, schvaľovania a hodnotenia ich členov, ako aj kritériá na uľahčenie výmeny informácií a odborných znalostí v súvislosti s vytváraním a hodnotením takýchto sietí (Ú. v. EÚ L 147, 17.5.2014, s. 79).

(3) Delegované rozhodnutie Komisie 2014/286/EÚ z 10. marca 2014, ktorým sa stanovujú kritériá a podmienky, ktoré musia spĺňať európske referenčné siete a poskytovatelia zdravotnej starostlivosti, ktorí sa chcú zapojiť do európskej referenčnej siete (Ú. v. EÚ L 147, 17.5.2014, s. 71).

(4) V zmysle odôvodnenia 14 a odseku 7 písm. c) prílohy I v delegovanom rozhodnutí 2014/286/EÚ a vyhlásenia rady členských štátov z 10. októbra 2017, ktoré je dostupné na webovej stránke: https://ec.europa.eu/health/sites/health/files/ern/docs/boms_affiliated_partners_en.pdf.

(5) Nariadenie Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 4.5.2016, s. 1).

(6) Nariadenie Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES (Ú. v. EÚ L 295, 21.11.2018, s. 39).

PRÍLOHA I

„PRÍLOHA III

ROZDELENIE POVINNOSTÍ MEDZI SPOLOČNÝCH PREVÁDZKOVATEĽOV

Komisia zodpovedá za:

i)	vytvorenie, prevádzku a správu CPMS;

ii)	podľa potreby poskytovanie technických prostriedkov poskytovateľom zdravotnej starostlivosti, ktoré umožnia pacientom výkon ich práv pomocou CPMS v súlade s nariadením (EÚ) 2018/1725, ako aj riešenie a sledovanie požiadaviek dotknutých osôb, ak si to vyžadujú platné právne predpisy;

iii)	zabezpečenie súladu CPMS s požiadavkami platnými pre komunikačné a informačné systémy Komisie (1);

iv)	výber a realizáciu technických prostriedkov, ktoré umožnia pacientom výkon ich práv v súlade s nariadením (EÚ) 2018/1725;

v)	oznamovanie každého porušenia ochrany osobných údajov v rámci CPMS poskytovateľom zdravotnej starostlivosti;

vi)	odosielanie dátových súborov s osobnými údajmi z CPMS v prípade výmeny procesoru s osobnými údajmi;

vii)	identifikáciu kategórií zamestnancov a iných osôb, ktoré môžu získať prístup do CPMS, a sú pridruženými partnermi poskytovateľov zdravotnej starostlivosti s prístupom do CPMS;

viii)

zaručenie toho, že mená pacientov a ich miesto narodenia (s výnimkou prípadov, keď je to potrebné na stanovenie diagnózy a liečby), ako aj presný dátum narodenia budú šifrované a pseudonymizované a že iné osobné údaje potrebné na stanovenie diagnózy a liečby budú pseudonymizované v CPMS;

ix)	zavedenie primeraných záruk na zaistenie bezpečnosti a dôvernosti osobných údajov pacientov spracúvaných v CPMS.

Každý poskytovateľ zdravotnej starostlivosti s prístupom do CPMS zodpovedá za:

i)	výber pacientov, ktorých osobné údaje budú spracované v CPMS;

ii)	zber a uchovávanie výslovného, informovaného, dobrovoľného a konkrétneho súhlasu pacientov, ktorých údaje sú spracúvané v CPMS v súlade s povinnými minimálnymi požiadavkami týkajúcimi sa formuláru na vydanie súhlasu podľa prílohy IV;

iii)

vykonávanie služby ako kontaktného miesta pre svojich pacientov vrátane prípadov výkonu ich práv, riešenie žiadostí pacientov alebo ich zástupcov a zaručenie toho, že pacienti, ktorých údaje sú spracúvané v CPMS, budú môcť vykonávať svoje práva v súlade s právnymi predpismi o ochrane osobných údajov využitím, v prípade potreby, technických prostriedkov Komisie v súlade s odsekom 1 bodom ii);

iv)	preskúmanie potreby spracúvania špecifických osobných údajov pacientov v CPMS najmenej každých pätnásť rokov;

v)	zaručenie bezpečnosti a dôvernosti všetkých osobných údajov o pacientoch spracúvaných daným poskytovateľom zdravotnej starostlivosti mimo CPMS, ak sú tieto údaje spracúvané na účely spracovania osobných údajov pacientov CPMS alebo s ním súvisia;

vi)	oznamovanie všetkých porušení ochrany osobných údajov v súvislosti s ich spracúvaním v CPMS Komisii, príslušným orgánom dozoru a v predpísaných prípadoch aj pacientom v súlade s článkami 33 a 34 nariadenia (EÚ) 2016/679, prípadne na žiadosť Komisie;

vii)	identifikáciu zamestnancov a iných osôb ako pridružených partnerov, ktorým má byť udelený prístup k osobným údajom o pacientoch v CPMS v súlade s kritériami prístupu uvedenými v odseku 1 písm. vii) tejto prílohy a ich oznámenie Komisii;

viii)

zaručenie, že ich zamestnanci a iné osoby ako pridružení partneri, ktoré majú prístup k osobným údajom o pacientoch v CPMS, boli patrične vyškolené tak, aby svoje úlohy mohli vykonávať v súlade s pravidlami ochrany osobných údajov a aby sa riadili povinnosťami dodržiavania služobného tajomstva v súlade s článkom 9 ods. 3 nariadenia (EÚ) 2016/679.

“

(1) Rozhodnutie Komisie (EÚ, Euratom) 2017/46 z 10. januára 2017 o bezpečnosti komunikačných a informačných systémov v Európskej komisii (Ú. v. EÚ L 6, 11.1.2017, s. 40) a rozhodnutie Komisie z 13. decembra 2017, ktorým sa stanovujú vykonávacie pravidlá pre články 3, 5, 7, 8, 9, 10, 11, 12, 14, 15 rozhodnutia (EÚ, Euratom) 2017/46 o bezpečnosti komunikačných a informačných systémov v Európskej komisii [C(2017) 8841 final].

PRÍLOHA II

„PRÍLOHA IV

Povinné minimálne požiadavky týkajúce sa formuláru na vyslovenie súhlasu používaného poskytovateľmi zdravotnej starostlivosti s prístupom do CPMS

Vo formulári na vydanie súhlasu je opísaný právny základ a zákonnosť spracovania, ako aj charakter a účel európskych referenčných sietí (European Reference Networks – ERN) v zmysle smernice 2011/24/EÚ o uplatňovaní práv pacientov pri cezhraničnej zdravotnej starostlivosti. Obsahuje informácie o konkrétnych operáciách spracúvania údajov a súvisiacich právach dotknutej osoby v súlade s uplatniteľnými právnymi predpismi o ochrane údajov. Vysvetľuje sa v ňom, že siete tvoria členovia, ktorí sú špičkovými špecializovanými poskytovateľmi zdravotnej starostlivosti, a že účelom sietí je umožniť zdravotníckym pracovníkom spolupracovať v prospech pacientov so zriedkavými alebo komplexnými chorobami či stavmi s nízkou prevalenciou, ktoré si vyžadujú vysoko špecializovanú liečbu.

Vo formulári na vydanie súhlasu sa pacienti vyzývajú, aby vydali výslovný súhlas s narábaním s ich osobnými údajmi v rámci jednej či viacerých ERN, ktorého jediným účelom je zlepšiť ich prístup k diagnostike a liečbe a poskytnúť im špičkovú zdravotnú starostlivosť. Preto sa v ňom vysvetľuje, že:

po vydaní súhlasu budú osobné údaje pacientov spracované poskytovateľmi zdravotnej starostlivosti s prístupom do CPMS za týchto podmienok:

i)	Meno pacienta, ako aj miesto a presný dátum jeho narodenia nebudú súčasťou výmeny údajov; identifikačné údaje pacientov sa nahradia jedinečným identifikátorom, ktorý nebude umožňovať identifikáciu pacienta inej osobe, iba poskytovateľovi zdravotnej starostlivosti (pseudonymizácia).

ii)

Vymieňajú sa iba údaje, ktoré sú potrebné na účely stanovenia diagnózy a liečby; patrí medzi ne miesto narodenia, miesto bydliska, pohlavie, rok a mesiac narodenia, zdravotné snímky, laboratórne výsledky, ako aj údaje o vzorkách biologického materiálu. Môžu zahŕňať aj listy a správy od iných zdravotníckych pracovníkov, ktorý v minulosti daného pacienta liečili.

iii)	Údaje o pacientovi sa vymieňajú v systéme manažmentu klinických údajov o pacientoch (Clinical Patient Management System – CPMS), ktorý je zabezpečeným elektronickým informačným systémom.

iv)	K údajom o pacientoch majú prístup iba zdravotnícki pracovníci a iné osoby, ktoré sú pridruženými partnermi daných poskytovateľov zdravotnej starostlivosti s právom na prístup k údajom o pacientoch v sieťach za predpokladu, že budú dodržiavať služobné tajomstvo.

v)	Zdravotnícki pracovníci a iné osoby, ktoré sú pridruženými partnermi daných poskytovateľov zdravotnej starostlivosti s právom na prístup k údajom o pacientoch, môžu v CPMS vyhľadávať a vytvárať správy, aby mohli identifikovať podobných pacientov.

b)	Ak súhlas nie je vydaný, nesmie to nijakým spôsobom ovplyvniť starostlivosť o pacienta zabezpečovanú príslušným poskytovateľom zdravotnej starostlivosti.

Vo formulári na vydanie súhlasu sa od pacientov môže vyžadovať aj ich súhlas s uložením údajov do registrov alebo iných databáz so zriedkavými alebo komplexnými chorobami s nízkou prevalenciou, ktoré slúžia na vedecké a klinické účely alebo na tvorbu politík. Ak je potrebné vydať súhlas na tento účel, vo formulári na vydanie súhlasu sa opíše charakter a účel registrov alebo databáz so zriedkavými chorobami a vysvetlí sa, že:

po vydaní súhlasu budú osobné údaje pacienta spracované poskytovateľmi zdravotnej starostlivosti s prístupom do CPMS za týchto podmienok:

i)	Vymieňať sa budú iba tie údaje, ktoré súvisia so zdravotným stavom pacienta.

ii)	Zdravotnícki pracovníci a iné osoby, ktoré sú pridruženými partnermi daných poskytovateľov zdravotnej starostlivosti s právom na prístup k údajom o pacientoch, môžu v CPMS vyhľadávať a vytvárať správy, aby mohli identifikovať podobných pacientov.

b)	Ak súhlas nie je vydaný, nesmie to nijakým spôsobom ovplyvniť starostlivosť o pacienta zabezpečovanú príslušným poskytovateľom zdravotnej starostlivosti ani to, že sieť poskytne pacientovi na jeho žiadosť poradenstvo o diagnóze a liečbe.

Vo formulári na vydanie súhlasu sa od pacientov môže vyžadovať aj súhlas s tým, že ho člen siete smie kontaktovať, ak si myslí, že daný pacient by mohol byť vhodný na účely vedecko-výskumnej iniciatívy, konkrétneho vedecko-výskumného projektu alebo jeho časti. Ak je potrebné vydať súhlas na tento účel, vo formulári na vydanie súhlasu sa vysvetlí, že súhlas s nadviazaním kontaktu na vedecko-výskumné účely neznamená súhlas s použitím údajov pacienta na konkrétnu vedecko-výskumnú iniciatívu ani s tým, že pacient môže byť kedykoľvek kontaktovaný v súvislosti s niektorým z vedecko-výskumných projektov alebo sa do neho musí zapojiť a takisto, že:

po vydaní súhlasu budú osobné údaje pacienta spracované poskytovateľmi zdravotnej starostlivosti s prístupom do CPMS za týchto podmienok:

i)	Zdravotnícki pracovníci a iné osoby, ktoré sú pridruženými partnermi daných poskytovateľov zdravotnej starostlivosti s právom na prístup k údajom o pacientoch, môžu v CPMS vyhľadávať a vytvárať správy, aby mohli nájsť pacientov vhodných na účely vedeckého výskumu.

ii)	Ak sa zistí, že choroba alebo stav pacienta sú vhodné na účely vedecko-výskumného projektu, je možné kontaktovať pacienta v súvislosti s daným konkrétnym vedeckým projektom a vyžiadať si od neho súhlas na použitie jeho údajov na účely toho projektu.

b)	Ak súhlas nie je vydaný, nesmie to nijakým spôsobom ovplyvniť starostlivosť o pacienta zabezpečovanú príslušným poskytovateľom zdravotnej starostlivosti ani to, že sieť poskytne pacientovi na jeho žiadosť poradenstvo o diagnóze a liečbe.

Vo formulári na vydanie súhlasu sú vysvetlené práva pacientov na vydanie ich súhlasu s výmenou osobných údajov, ale hlavne sú v ňom uvedené informácie, že pacient:

a)	má právo s čímkoľvek súhlasiť alebo nesúhlasiť bez toho, aby to ovplyvnilo starostlivosť, ktorá mu je poskytovaná;

b)	môže svoj daný súhlas kedykoľvek zrušiť;

c)	má právo vedieť, ktoré údaje sa v rámci siete vymieňajú, mať prístup k nim a požiadať o ich opravu, ak objaví nejaké chyby;

d)	môže požiadať o zablokovanie alebo vymazanie svojich osobných údajov a má právo na ich prenesenie.

Formulár na vydanie súhlasu pacienta informuje, že poskytovateľ zdravotnej starostlivosti bude jeho osobné údaje uchovávať iba dovtedy, kým budú slúžiť na tie účely, s ktorými pacient súhlasil, pričom potrebu uchovávať osobné údaje v CPMS preskúma najmenej každých pätnásť rokov.

Formulár na vydanie súhlasu pacienta informuje o pôvode a kontaktných údajoch prevádzkovateľov, pričom jasne uvádza, že kontaktným miestom na výkon práv pacientov je príslušný poskytovateľ zdravotnej starostlivosti s prístupom do CPMS, o kontaktných údajoch týkajúcich sa úradníkov pre ochranu údajov a vnútroštátneho orgánu pre ochranu údajov a v prípade potreby aj o nápravných prostriedkoch, ktoré možno využiť v súvislosti s ochranou údajov.

Do formulára na vydanie súhlasu sa osobitne zaznamená individuálny súhlas s každým z troch spôsobov výmeny informácií, a to konkrétnym, výslovným a jasným spôsobom:

a)	súhlas musí byť vyjadrený jednoznačným spôsobom napr. použitím zaškrtávacieho políčka a podpisom na formulári;

b)	uvedené musia byť obe možnosti (na vydanie súhlasu i nesúhlasu).

“