KOMMISSIONENS GENOMFÖRANDEBESLUT (EU) 2019/1269

av den 26 juli 2019

om ändring av genomförandebeslut 2014/287/EU om fastställande av kriterier för etablering och utvärdering av europeiska referensnätverk och deras medlemmar samt för att underlätta utbyte av information och sakkunskap om etablering och utvärdering av sådana nätverk

(Text av betydelse för EES)

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DETTA BESLUT

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets direktiv 2011/24/EU av den 9 mars 2011 om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård (1), särskilt artikel 12.4 b och c, och

av följande skäl:

(1)

I kommissionens genomförandebeslut 2014/287/EU (2) fastställs kriterier för etablering och utvärdering av europeiska referensnätverk och deras medlemmar samt för att underlätta utbyte av information och sakkunskap om etablering och utvärdering av sådana nätverk. I artikel 6 i det beslutet uppmanas medlemsstaterna att inrätta en styrelse av medlemsstater som ska besluta att godkänna eller avslå förslag till nätverk, medlemskap i dessa och upphörande av ett nätverk. Medlemsstaterna inrättade styrelsen av medlemsstater, som därefter godkände 23 europeiska referensnätverk i december 2016 och ett i februari 2017. Alla nätverk började sin verksamhet 2017.

(2)

För att öka effektiviteten hos de europeiska referensnätverken bör styrelsen av medlemsstater bli ett forum för utbyte av information och sakkunskap som styr utvecklingen av de europeiska referensnätverken, ger vägledning till nätverken och medlemsstaterna och ger kommissionen råd i frågor som rör inrättande av nätverken. För att främja utbyte av erfarenheter och underlätta en process som är förenlig med andra gränsöverskridande utbyten av hälsouppgifter bör styrelsen planera ett nära samarbete med nätverket för e-hälsa för att, där så är möjligt, utveckla gemensamma strategier, datastrukturer och riktlinjer som underlättar öppen tillgång till olika tjänster och effektiviserar reglerna för vårdgivare. Styrelsen bör också främja diskussioner med andra relevanta EU-forum (t.ex. styrgruppen för främjande av hälsa, förebyggande av sjukdomar och hantering av icke-överförbara sjukdomar) på områden av gemensamt intresse.

(3)

Aktuella erfarenheter från de 24 befintliga europeiska referensnätverken har visat att för att säkerställa att varje nätverk fungerar effektivt bör dess medlemmar ha ett nära samarbete när de utför sina uppgifter, t.ex. utbyta hälsouppgifter om diagnos och behandling av patienter på ett effektivt och säkert sätt, vilket bidrar till vetenskaplig forskning och utveckling av medicinska riktlinjer. Ett nära samarbete kräver ömsesidigt förtroende mellan medlemmarna i varje nätverk och ömsesidigt erkännande, särskilt av deras sakkunskap och kompetens, av kvaliteten på deras kliniska vård och på deras särskilda personalresurser, strukturella resurser och utrustningsresurser i enlighet med punkt 2 i bilaga II till kommissionens delegerade beslut 2014/286/EU (3).

(4)

Jämbördiga parters ömsesidiga förtroende och erkännande är också viktigt när vårdgivare vill gå med i ett befintligt nätverk, eftersom detta garanterar de rätta förutsättningarna för framtida samarbete inom nätverket. Vid ansökan om medlemskap bör därför ett positivt yttrande från styrelsen från det nätverk som vårdgivaren önskar bli medlem i, efter en expertgranskning utförd av nätverket på grundval av de kriterier och villkor som anges i punkt 2 i bilaga II till det delegerade beslutet 2014/286/EU, bifogas ansökan, när den bedöms av ett oberoende bedömningsorgan som utses av kommissionen. För att vårdgivarna ska kunna yttra sig om nätverkets styrelses yttrande bör vårdgivaren få möjlighet att lämna synpunkter på utkastet till yttrande inom en månad från dagen för mottagandet av yttrandet.

(5)

Rimliga tidsfrister bör fastställas för nätverkets styrelse när det gäller utkastet till yttrande och det slutliga yttrandet. Tidsfristen för det slutliga yttrandet bör därför i princip vara fyra månader. Om vårdgivaren inkommer med synpunkter på nätverkets styrelses utkast till yttrande bör dock tidsfristen på fyra månader för att avge det slutliga yttrandet förlängas med en månad så att nätverkets styrelse kan beakta de inkomna synpunkterna. Om nätverkets styrelse inte skickar utkastet till yttrande eller inte lämnar det slutliga yttrandet inom de fastställda tidsfristerna, bör det slutliga yttrandet av rättssäkerhetsskäl betraktas som positivt.

(6)

Om styrelsen för det nätverk som vårdgivaren önskar bli medlem i avger ett negativt yttrande om ansökan om medlemskap, samtidigt som den har mottagit stöd i form av en skriftlig förklaring från den medlemsstat där vårdgivaren är etablerad, bör etableringsmedlemsstaten ha möjlighet att begära att styrelsen av medlemsstater, på grundval av de kriterier och villkor som anges i punkt 2 i bilaga II till det delegerade beslutet 2014/286/EU, beslutar om huruvida ansökan ändå kan lämnas till kommissionen.

(7)

För att stödja hälso- och sjukvårdspersonal i de europeiska referensnätverken att samarbeta på distans när det gäller diagnos och behandling av patienter med sällsynta eller sällan förekommande komplicerade sjukdomar eller tillstånd över nationella gränser och för att underlätta vetenskaplig forskning om sådana sjukdomar eller tillstånd har kommissionen utvecklat ett kliniskt patienthanteringssystem för europeiska referensnätverk (nedan kallat CPMS), i syfte att underlätta inrättandet och driften av de europeiska referensnätverken i enlighet med artikel 12.4 c i direktiv 2011/24/EU.

(8)

CPMS bör tillhandahålla en gemensam infrastruktur för vårdpersonal som samarbetar inom de europeiska referensnätverken när det gäller diagnos och behandling av patienter med sällsynta eller sällan förekommande komplicerade sjukdomar eller tillstånd. Det bör tillhandahålla hjälpmedel genom vilket utbyte av information och sakkunskap om sådana sjukdomar kan ske inom de europeiska referensnätverken på ett så effektivt sätt som möjligt.

(9)

CPMS bör därför bestå av en säker it-infrastruktur som tillhandahåller ett gemensamt gränssnitt där vårdgivare som är medlemmar i de europeiska referensnätverken, anslutande partner (4) eller gästanvändare (nedan kallade vårdgivare som är behöriga att få åtkomst till CPMS) kan utbyta information inom nätverken om de berörda patienterna i syfte att underlätta deras tillgång till säker hälso- och sjukvård av hög kvalitet och främja ett effektivt hälso- och sjukvårdssamarbete mellan medlemsstaterna genom att underlätta utbytet av relevant information.

(10)

För att garantera att bestämmelserna om uppgiftsskydd följs och se till att man använder en effektiv och säker miljö för elektroniskt utbyte av patientuppgifter mellan vårdgivare inom de europeiska referensnätverken för de ändamål som anges i artikel 12.2 i direktiv 2011/24/EU, bör detta utbyte endast ske på grundval av patienternas uttryckliga samtycke och endast genom CPMS. Vårdgivarna är ansvariga för att säkerställa säkerheten för de uppgifter som de behandlar utanför CPMS i syfte att föra in dem i CPMS samt för de uppgifter som inte matas in i CPMS, men som behandlas av dem när det gäller CPMS (såsom formulär för samtycke) eller för uppgifter som överförs av dem från CPMS och behandlas utanför CPMS.

(11)

CPMS behandlar känsliga uppgifter om patienter som lider av sällsynta eller sällan förekommande komplicerade sjukdomar. Dessa uppgifter behandlas enbart i syfte att underlätta diagnos och behandling av patienter, för att de ska kunna föras in i relevanta register eller andra databaser för sällsynta och sällan förekommande sjukdomar som används för forskningsändamål, för kliniska eller hälsorelaterade ändamål och i syfte att kontakta potentiella deltagare i vetenskapliga forskningsinitiativ. Vårdgivare inom de europeiska referensnätverken bör kunna behandla patientuppgifterna i CPMS när de väl har fått patienternas specifika, informerade och fria samtycke om tre möjliga användningsområden av deras uppgifter (medicinsk bedömning av dossiern för att få råd om diagnos och behandling, införande av uppgifter i register över sällsynta sjukdomar eller andra databaser för sällsynta och sällan förekommande komplicerade sjukdomar samt möjlighet för patienterna att bli kontaktade för att delta i ett vetenskapligt forskningsinitiativ). Samtycke bör erhållas separat för vart och ett av dessa tre syften. I detta beslut bör de syften och skyddsåtgärder som ska gälla för behandlingen av sådana uppgifter i CPMS fastställas. Kommissionen bör särskilt tillhandahålla CPMS:s allmänna funktioner för varje nätverk, tillhandahålla och underhålla den säkra it-infrastruktur som krävs för detta ändamål och säkerställa dess tekniska funktion och säkerhet. I linje med principen om uppgiftsminimering bör kommissionen endast behandla personuppgifter som är absolut nödvändiga för att säkerställa CPMS:s administration för varje nätverk och bör därför inte få tillgång till de hälsouppgifter om patienter som utbyts inom de europeiska referensnätverken, såvida det inte är absolut nödvändigt för att den ska kunna fullgöra sina skyldigheter som gemensamt personuppgiftsansvarig.

(12)	Detta genomförandebeslut bör endast gälla behandling av personuppgifter som äger rum i CPMS, särskilt kontaktuppgifter och hälsouppgifter inom de europeiska referensnätverken.

(13)

Enligt artikel 26 i Europaparlamentets och rådets förordning (EU) 2016/679 (5) och artikel 28 i Europaparlamentets och rådets förordning (EU) 2018/1725 (6) är gemensamma personuppgiftsansvariga skyldiga att på ett öppet sätt fastställa sitt respektive ansvar för att fullgöra sina skyldigheter enligt dessa förordningar. Dessa ger också möjlighet att få detta ansvar fastställt i unionsrätten eller i medlemsstaternas nationella rätt som de personuppgiftsansvariga omfattas av.

(14)	Genomförandebeslut 2014/287/EU bör därför ändras i enlighet med detta.

(15)	Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 13 september 2018.

(16)	De åtgärder som föreskrivs i detta beslut är förenliga med yttrandet från den kommitté som inrättats genom artikel 16 i direktiv 2011/24/EU.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel 1

Genomförandebeslut 2014/287/EU ska ändras på följande sätt:

Följande artikel ska införas som artikel 1a:

”Artikel 1a

Definitioner

I detta beslut gäller följande definitioner:

a) samordnare för europeiska referensnätverk : person som utsetts till nätverkets samordnare av en medlem i ett europeiskt referensnätverk som utsetts till samordnande medlem enligt skäl 3 och artikel 4 i delegerat beslut 2014/286/EU.

b) nätverkets styrelse : organ som ansvarar för styrningen av nätverket och som består av företrädare för varje medlem i nätverket i enlighet med vad som anges i skäl 3 och punkt 1 b ii i bilaga I till delegerat beslut 2014/286/EU.

c) anknuten partner : associerade nationella centrum, samarbetande nationella centrum och nationella samordningscentrum enligt vad som avses i skäl 14 och punkt 7 c i bilaga I till delegerat beslut 2014/286/EU och i styrelsen av medlemsstaters uttalande av den 10 oktober 2017.

d) gästanvändare : vårdgivare som inte är medlem i eller anknuten partner och som, efter godkännande av det europeiska referensnätverkets behöriga samordnare, under en begränsad tid får registrera patienter i CPMS och delta i panelen som har anknytning till den patienten eller delta i en särskild panel som sakkunnig.”

I artikel 8 ska följande punkter läggas till som punkterna 4, 5 och 6:

”4. Om kommissionen kommer fram till att kraven i artikel 8.2 och 8.3 är uppfyllda, ska styrelsen för det nätverk som vårdgivaren önskar bli medlem i avge ett yttrande om ansökan om medlemskap efter en inbördes granskning som nätverket utför på grundval av de kriterier och villkor som anges i punkt 2 i bilaga II till delegerat beslut 2014/286/EU.

5. Innan den avger det yttrande som avses i punkt 4 och inom tre månader från det att kommissionen har bekräftat att kraven i artikel 8.2 och 8.3 är uppfyllda ska nätverkets styrelse sända ett utkast till yttrande till den sökande vårdgivaren som får lämna in synpunkter till nätverket inom en månad från mottagandet av utkastet till yttrande. Om nätverkets styrelse inte får några synpunkter på utkastet, ska den inom fyra månader från det att kommissionen bekräftat att kraven i artikel 8.2 och 8.3 är uppfyllda avge ett slutligt yttrande om ansökan om medlemskap.

Om nätverkets styrelse får synpunkter förlängs tidsfristen för att avge det slutliga yttrandet till fem månader från det att kommissionen bekräftat att kraven i artikel 8.2 och 8.3 är uppfyllda. Om nätverkets styrelse har mottagit synpunkter ska den ändra sitt yttrande och förklara om synpunkterna motiverar en ändring av dess bedömning. Om nätverkets styrelse inte skickar utkastet till yttrande eller inte avger sitt slutliga yttrande inom de ovan fastställda tidsfristerna, betraktas det slutliga yttrandet som positivt.

6. Om nätverkets styrelse avger ett negativt yttrande, får styrelsen av medlemsstater, på begäran av etableringsmedlemsstaten, avge ett positivt yttrande efter en förnyad bedömning av ansökan på grundval av de kriterier och villkor som anges i punkt 2 i bilaga II till delegerat beslut 2014/286/EU. Detta positiva yttrande ska bifogas ansökan.”

3.	Artikel 9.1 ska ersättas med följande: ”1. Om ett positivt yttrande avges i enlighet med artikel 8.5 eller 8.6 ska kommissionen utse ett organ som ska bedöma den ansökan om medlemskap som det åtföljer.”

I kapitel IV ska följande artikel införas som artikel 15a:

”Artikel 15a

Utbyte av information och sakkunskap bland medlemsstaterna

Medlemsstaterna uppmanas att utbyta information och sakkunskap inom styrelsen av medlemsstater för att styra utvecklingen av de europeiska referensnätverken, ge vägledning till nätverken och medlemsstaterna och ge kommissionen råd i frågor som rör inrättandet av nätverken.”

Följande artikel ska införas som artikel 16a:

”Artikel 16a

Kliniskt patienthanteringssystem

1. Härmed inrättas ett kliniskt patienthanteringssystem (nedan kallat CPMS) för elektroniskt utbyte av patienters personuppgifter mellan vårdgivare som är behöriga att få åtkomst till CPMS inom de europeiska referensnätverken.

2. CPMS ska bestå av ett säkert it-verktyg som kommissionen tillhandahåller för utbyte och lagring av patientuppgifter och för punktlig kommunikation i realtid om patientfall inom de europeiska referensnätverken.

3. Det ska bland annat omfatta en funktion för medicinska bilder, datarapporteringskapacitet, utvalda datamängder och det ska inbegripa skyddsåtgärder för adekvat uppgiftsskydd i enlighet med bilaga I.”

Följande artikel ska införas som artikel 16b:

”Artikel 16b

Personuppgifter som behandlas i CPMS

1. Patienternas personuppgifter, som består av namn, kön, födelsedatum och födelseort samt andra personuppgifter som krävs för diagnos och behandling, ska utbytas och behandlas inom de europeiska referensnätverken uteslutande via CPMS. Denna behandling ska begränsas till att användas i syfte att underlätta samarbete om den medicinska bedömningen av en patientjournal när det gäller diagnos och behandling, att föra in uppgifter i register eller andra databaser för sällsynta och sällan förekommande komplicerade sjukdomar, som används för vetenskapliga, kliniska eller hälsorelaterade ändamål och att kontakta potentiella deltagare i vetenskapliga forskningsinitiativ. Behandlingen ska grundas på ett samtycke som erhållits i enlighet med bilaga IV.

2. Kommissionen ska betraktas som personuppgiftsansvarig för behandlingen av personuppgifter i samband med förvaltningen av åtkomsträttigheter och ska behandla dessa uppgifter på grundval av ett uttryckligt samtycke från de personer som identifierats av vårdgivarna som användare och som godkänts av det relevanta europeiska referensnätverket i den utsträckning det är nödvändigt för att säkerställa att

a)	dessa personer får åtkomsträttigheter,

b)	dessa personer kan utöva sina rättigheter och fullgöra sina skyldigheter och

c)	den kan fullgöra sina skyldigheter som personuppgiftsansvarig.

3. Kommissionen ska inte få tillgång till patienternas personuppgifter, såvida det inte är absolut nödvändigt för att den ska kunna fullgöra sina skyldigheter som gemensam personuppgiftsansvarig.

4. Endast personer som är godkända av europeiska referensnätverk och tillhör de kategorier av personal och andra personer som är knutna till de vårdgivare som är behöriga att få åtkomst till CPMS kan få tillgång till patienternas personuppgifter i CPMS.

5. Patientens namn samt födelseort och exakt födelsedatum ska krypteras och pseudonymiseras i CPMS. Andra personuppgifter som är nödvändiga för diagnos och behandling ska pseudonymiseras. Användare av CPMS från andra vårdgivare ska endast få tillgång till pseudonymiserade uppgifter när det gäller paneldiskussioner och bedömning av patientjournaler.

6. Kommissionen ska säkerställa säkerheten vid överföring och lagring av personuppgifter.

7. De vårdgivare som är behöriga att få åtkomst till CPMS ska radera uppgifter som inte längre behövs. Patienternas personuppgifter får endast bevaras så länge som det är nödvändigt med hänsyn till patientens vård, sjukdomsdiagnos eller i syfte att säkerställa vård inom ett europeiskt referensnätverk för patientens familjmedlemmar. Minst vart femtonde år ska varje vårdgivare som är behörig att få åtkomst till CPMS se över behovet av att behålla de patientuppgifter som vårdgivaren är personuppgiftsansvarig för.

8. Kommissionen och vårdgivare som är behöriga att få åtkomst till CPMS ska regelbundet pröva, bedöma och utvärdera effektiviteten när det gäller de tekniska och organisatoriska åtgärder som ska säkerställa säkerheten vid behandling av personuppgifter i CPMS.”

Följande artikel ska införas som artikel 16c:

”Artikel 16c

Gemensamt personuppgiftsansvar för patienters personuppgifter som behandlas via CPMS

1. Alla vårdgivare som behandlar patientuppgifter i CPMS och kommissionen ska vara gemensamma personuppgiftsansvariga för behandlingen av dessa uppgifter i CPMS.

2. Vid tillämpningen av punkt 1 ska ansvaret fördelas mellan de gemensamt personuppgiftsansvariga i enlighet med bilaga III.

3. Varje gemensamt personuppgiftsansvarig ska följa relevant unionslagstiftning och nationell lagstiftning som respektive personuppgiftsansvarig omfattas av.”

8.	En ny bilaga, vars text återfinns i bilaga I till det här beslutet, ska läggas till som bilaga III.

9.	En ny bilaga, vars text återfinns i bilaga II till det här beslutet, ska läggas till som bilaga IV.

Artikel 2

Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning.

Utfärdat i Bryssel den 26 juli 2019.

På kommissionens vägnar

Jean-Claude JUNCKER

Ordförande

(1) EUT L 88, 4.4.2011, s. 45.

(2) Kommissionens genomförandebeslut 2014/287/EU av den 10 mars 2014 om fastställande av kriterier för etablering och utvärdering av europeiska referensnätverk och deras medlemmar samt för att underlätta utbyte av information och sakkunskap om etablering och utvärdering av sådana nätverk (EUT L 147, 17.5.2014, s. 79).

(3) Kommissionens delegerade beslut 2014/286/EU av den 10 mars 2014 om fastställande av kriterier och villkor som europeiska referensnätverk och vårdgivare som vill gå med i ett europeiskt referensnätverk måste uppfylla (EUT L 147, 17.5.2014, s. 71)

(4) Såsom avses i skäl 14 och punkt 7 led c i bilaga I till delegerat beslut 2014/286/EU och i uttalandet från styrelsen av medlemmar av den 10 oktober 2017, som finns tillgängligt på https://ec.europa.eu/health/sites/health/files/ern/docs/boms_affiliated_partners_en.pdf

(5) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(6) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).

BILAGA I

”BILAGA III

FÖRDELNING AV ANSVAR MELLAN DE GEMENSAMT PERSONUPPGIFTSANSVARIGA

Kommissionen ska ansvara för att

i)	inrätta, driva och förvalta CPMS,

ii)	vid behov tillhandahålla tekniska hjälpmedel till vårdgivare för att ge möjlighet till patienter att utöva sina rättigheter via CPMS i enlighet med förordning (EU) 2018/1725 och besvara och behandla förfrågningar från de registrerade när så krävs enligt gällande lagstiftning,

iii)	säkerställa att CPMS uppfyller de krav som gäller för kommissionens kommunikations- och informationssystem (1),

iv)	fastställa och genomföra de tekniska hjälpmedel som ska göra det möjligt för patienter att utöva sina rättigheter i enlighet med förordning (EU) 2018/1725,

v)	informera vårdgivarna om eventuella personuppgiftsincidenter inom CPMS,

vi)	exportera personuppgifter från CPMS om behandlaren av personuppgifter ändras,

vii)	fastställa de kategorier av personal och andra personer som får beviljas åtkomst till CPMS och som är knutna till vårdgivare som är behöriga att få åtkomst till CPMS,

viii)

säkerställa att patientens namn och födelseort (om det inte är nödvändigt för diagnos och behandling) och exakt födelsedatum är krypterade och pseudonymiserade och att andra personuppgifter som krävs för diagnos och behandling är pseudonymiserade i CPMS,

ix)	införa tillräckliga skyddsåtgärder för att säkerställa säkerheten och sekretessen för patienters personuppgifter som behandlas via CPMS.

Varje vårdgivare som är behörig att få åtkomst till CPMS ska ansvara för att

i)	välja ut de patienter vars personuppgifter ska behandlas via CPMS,

ii)	samla in och bevara uttryckliga, informerade, frivilliga och specifika samtycken från de patienter vars uppgifter behandlas via CPMS i enlighet med de obligatoriska minimikrav för samtyckesformuläret som anges i bilaga IV,

iii)

fungera som kontaktpunkt för sina patienter, även när de utövar sina rättigheter, svara på förfrågningar från patienter eller deras företrädare och säkerställa att patienter vars uppgifter behandlas via CPMS kan utöva sina rättigheter i enlighet med dataskyddslagstiftningen, vid behov med hjälp av de tekniska hjälpmedel som kommissionen tillhandahåller i enlighet med punkt 1 ii,

iv)	minst vart femtonde år se över behovet av att behandla specifika patienters personuppgifter via CPMS,

v)	säkerställa säkerhet och sekretess vid all behandling av patienters personuppgifter utanför CPMS som utförs av den vårdgivaren, om sådana uppgifter behandlas med avseende på eller i samband med behandling av patienters personuppgifter via CPMS,

vi)	informera kommissionen, de behöriga tillsynsmyndigheterna och, om så krävs, patienterna om eventuella personuppgiftsincidenter med avseende på patientuppgifter som behandlas via CPMS, i enlighet med artiklarna 33 och 34 i förordning (EU) 2016/679 eller på begäran av kommissionen,

vii)	i enlighet med de kriterier för åtkomst som avses i punkt 1 vii i denna bilaga, identifiera personal och andra personer som är knutna till dem, som ska beviljas åtkomst till patienternas personuppgifter i CPMS och meddela kommissionen detta,

viii)

säkerställa att deras personal och andra personer som är knutna till dem och som har åtkomst till patienters personuppgifter i CPMS får lämplig utbildning för att säkerställa att de utför sina uppgifter i enlighet med de regler som gäller för skydd av personuppgifter och omfattas av tystnadsplikt i enlighet med artikel 9.3 i förordning (EU) 2016/679.

”

(1) Kommissionens beslut (EU, Euratom) 2017/46 av den 10 januari 2017 om säkerheten i Europeiska kommissionens kommunikations- och informationssystem (EUT L 6, 11.1.2017, s. 40) och kommissionens beslut av den 13 december 2017 om tillämpningsföreskrifter för artiklarna 3, 5, 7, 8, 9, 10, 11, 12, 14 och 15 i beslut (EU, Euratom) 2017/46 om säkerheten i kommissionens kommunikations- och informationssystem (C(2017) 8841 final).

BILAGA II

”BILAGA IV

Obligatoriska minimikrav för samtyckesformulär som ska tillhandahållas av vårdgivare som är behöriga att få åtkomst till CPMS

Samtyckesformuläret ska innehålla en beskrivning av den rättsliga grunden för och lagenligheten i behandling, koncept och ändamål för de europeiska referensnätverk som inrättats genom direktiv 2011/24/EU om tillämpningen av patienträttigheter vid gränsöverskridande hälso- och sjukvård. Formuläret ska innehålla information om den specifika behandlingen och den registrerades respektive rättigheter i enlighet med tillämplig dataskyddslagstiftning. Formuläret ska innehålla en förklaring om att nätverk består av medlemmar som är högt specialiserade vårdgivare, i syfte att göra det möjligt för hälso- och sjukvårdspersonal att samarbeta för att stödja patienter med sällsynta eller sällan förekommande komplicerade sjukdomar eller tillstånd som kräver mycket specialiserad hälso- och sjukvård.

I samtyckesformuläret ska man begära patientens uttryckliga samtycke till att dennes personuppgifter utbyts med ett eller flera europeiska referensnätverk, med det enda syftet att förbättra vederbörandes åtkomst till diagnos och behandling och tillhandahållande av hälso- och sjukvård av hög kvalitet. I detta syfte ska formuläret innehålla en förklaring om följande:

Om samtycket ges kommer patienternas personuppgifter att behandlas av vårdgivare som är behöriga att få åtkomst till CPMS under förutsättning att följande villkor uppfylls:

i)	Patientens namn samt födelseort och exakt födelsedatum kommer inte att ingå i de uppgifter som utbyts. Patientens identifieringsuppgifter kommer att ersättas av en unik identifikationskod som hindrar att patienten kan identifieras av någon annan än vårdgivaren (pseudonymisering).

ii)

Endast uppgifter som är relevanta för diagnos och behandling kommer att utbytas. Detta kan omfatta födelseregion och hemort, kön, födelseår, födelsemånad, medicinska bilder, laboratorierapporter samt uppgifter om biologiska prover. Det får också innehålla brev och rapporter från annan hälso- och sjukvårdspersonal som tidigare gett patienten vård.

iii)	Patientuppgifter kommer att utbyts genom det kliniska patienthanteringssystemet (nedan kallat CPMS), som är ett säkert elektroniskt informationssystem.

iv)	Endast hälso- och sjukvårdspersonal och andra personer som är knutna till sådana vårdgivare som omfattas av tystnadsplikt och som har rätt att få åtkomst till patientuppgifter i nätverken kommer att få åtkomst till patientuppgifter.

v)	Hälso- och sjukvårdspersonal och andra personer som är knutna till sådana vårdgivare som har rätt att få åtkomst till patientuppgifter får ställa frågor i CPMS och ta fram rapporter i syfte att identifiera liknande patientfall.

b)	Om samtycke inte ges kommer det inte på något sätt att påverka patientens vård av den berörda vårdgivaren.

I samtyckesformuläret får man också begära ytterligare samtycke från patienten till att dennes uppgifter förs in i register eller andra databaser för sällsynta och sällan förekommande komplicerade sjukdomar, vilka används för vetenskapliga, kliniska eller hälsorelaterade ändamål. Om samtycke begärs för detta ändamål ska samtyckesformuläret innehålla en beskrivning av konceptet och syftet med register eller databaser över sällsynta sjukdomar och en förklaring av följande:

om samtycke ges kommer patientens personuppgifter att behandlas av vårdgivare som är behöriga att få åtkomst till CPMS under förutsättning att följande villkor uppfylls:

i)	Endast relevanta data om patientens medicinska tillstånd kommer att utbytas.

ii)	Hälso- och sjukvårdspersonal och andra personer som är knutna till sådana vårdgivare som har rätt att få åtkomst till patientuppgifter får ställa frågor i CPMS och ta fram rapporter i syfte att identifiera liknande patientfall.

b)	Om samtycke inte ges kommer det inte på något sätt att påverka vare sig den vård som den berörda vårdgivaren ger patienten eller det faktum att nätverket ger råd om diagnoser och behandling på begäran av patienten.

I samtyckesformuläret får man också begära att patienten ger sitt ytterligare samtycke till att bli kontaktad av en nätverksmedlem som anser att patienten skulle kunna vara lämplig för ett vetenskapligt forskningsinitiativ, ett specifikt vetenskapligt forskningsprojekt eller delar av ett vetenskapligt forskningsprojekt. Om samtycke begärs för detta ändamål ska det i samtyckesformuläret ges en förklaring om att i detta skede samtycka till att bli kontaktad för vetenskapliga forskningsändamål inte innebär att patientens samtycke ges för användning av patientens uppgifter för ett specifikt vetenskapligt forskningsinitiativ, och det innebär inte heller att patienten under alla omständigheter kommer att kontaktas i samband med eller att patienten kommer att ingå i ett specifikt vetenskapligt forskningsprojekt och att

om samtycke ges kommer patientens personuppgifter att behandlas av vårdgivare som är behöriga att få åtkomst till CPMS under förutsättning att följande villkor uppfylls:

i)	Hälso- och sjukvårdspersonal och andra personer som är knutna till sådana vårdgivare som har rätt att få åtkomst till patientuppgifter får ställa frågor i CPMS och ta fram rapporter i syfte att hitta patienter som är lämpliga för vetenskaplig forskning.

ii)	Om patienten lider av en sjukdom eller ett tillstånd som är relevant för ett specifikt vetenskapligt forskningsprojekt, får patienten kontaktas för detta specifika forskningsprojekt för att erhålla patientens samtycke till att dennes uppgifter används för det vetenskapliga forskningsprojektet.

b)	Om samtycke inte ges kommer det inte på något sätt att påverka vare sig den vård som den berörda vårdgivaren ger patienten eller det faktum att nätverket ger råd om diagnoser och behandling på begäran av patienten.

Samtyckesformuläret ska innehålla en förklaring av patientens rättigheter i fråga om dennes respektive samtycke till utbyte av personuppgifter och särskilt tillhandahålla information om att patienten

a)	har rätt att ge eller dra tillbaka ett samtycke och detta kommer inte att påverka den vård denne får,

b)	kan dra tillbaka sitt tidigare samtycke när som helst,

c)	har rätt att få veta vilka uppgifter som utbyts i ett nätverk och att få åtkomst till uppgifter om sig och att begära rättelse av eventuella fel,

d)	kan begära att dennes personuppgifter spärras eller raderas och har rätt till dataportabilitet.

Samtyckesformuläret ska innehålla information till patienten om att vårdgivaren kommer att bevara personuppgifterna endast så länge som krävs för de syften som patienten har gett sitt samtycke till, med en översyn av nödvändigheten av att lagra en specifik patients personuppgifter i CPMS minst vart femtonde år.

Samtyckesformuläret ska innehålla information till patienten om de personuppgiftsansvarigas identitet och kontaktuppgifter, med en tydlig angivelse av att kontaktpunkten för utövande av patientens rättigheter är den specifika vårdgivare som är behörig att få åtkomst till CPMS, uppgifter om dataskyddsombudens kontaktuppgifter och, i förekommande fall, om tillgängliga rättsmedel som rör uppgiftsskydd, och lämna kontaktuppgifter för den nationella dataskyddsmyndigheten.

I samtyckesformuläret ska varje enskilt samtycke registreras separat för var och en av de tre olika formerna av utbyte av uppgifter på ett specifikt, uttryckligt och otvetydigt sätt enligt följande:

a)	Samtycket måste framgå genom en entydig affirmativ handling, t.ex. genom att en ruta ska kryssas i och formuläret undertecknas.

b)	Båda alternativen (att ge eller vägra samtycke) ska ingå.

”