Regolamento (UE) 2026/2083

Funzionamento della piattaforma LaMiaSalute@UE (MyHealth@EU)

Il regolamento di esecuzione attua l’articolo 23 del regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari e disciplina la piattaforma centrale per lo scambio transfrontaliero di dati sanitari elettronici personali. La disciplina si fonda sull’esperienza dell’infrastruttura eHealth istituita dalla decisione di esecuzione (UE) 2019/1765 e mira a garantire interoperabilità, continuità dell’assistenza sanitaria, sicurezza e controllo sui dati.

Ambito soggettivo e oggettivo

Il regolamento riguarda la Commissione, i punti di contatto nazionali per la sanità digitale degli Stati membri e i partecipanti autorizzati previsti dall’articolo 24, paragrafi 2 e 3, del regolamento (UE) 2025/327. Per i partecipanti autorizzati si applicano mutatis mutandis l’articolo 7, ad eccezione del paragrafo 1, lettera a), e gli articoli da 8 a 13; i controlli possono comprendere requisiti aggiuntivi pertinenti.

La piattaforma tratta esclusivamente:

• le categorie prioritarie di dati sanitari elettronici personali per uso primario previste dall’articolo 14, paragrafo 1, primo comma, del regolamento (UE) 2025/327;
• le categorie aggiuntive di dati sanitari elettronici personali per uso primario previste dall’articolo 14, paragrafo 1, terzo comma, del medesimo regolamento;
• i dati personali necessari alla gestione della piattaforma, compreso l’helpdesk.

Servizi tecnici e interoperabilità

La Commissione fornisce quattro componenti della piattaforma centrale:

• un software di implementazione di riferimento, utilizzabile facoltativamente dai punti di contatto nazionali;
• un servizio terminologico centrale per traduzioni e mappature dei sistemi e dei valori di codifica;
• una rete di comunicazione sicura;
• un servizio di configurazione centrale per rendere disponibili le caratteristiche di configurazione.

Gli Stati membri restano responsabili della traduzione e della mappatura dei sistemi e delle serie di valori di codifica utilizzati nello scambio secondo il formato europeo di scambio delle cartelle cliniche elettroniche previsto dall’articolo 15 del regolamento (UE) 2025/327. Le traduzioni e le mappature devono essere mantenute aggiornate. Il funzionamento delle infrastrutture e dei servizi nazionali a sostegno della rete sicura resta di competenza dei punti di contatto nazionali.

Catalogo dei requisiti e specifiche tecniche

La Commissione, in collaborazione con il gruppo direttivo LaMiaSalute@UE istituito dall’articolo 95, paragrafo 1, del regolamento (UE) 2025/327, elabora e mantiene il catalogo dei requisiti. Esso deve comprendere almeno i casi d’uso implementati, i requisiti per l’implementazione dello scambio e i quadri procedurali per prove, controlli di conformità, funzionamento e monitoraggio degli incidenti.

Sulla base del catalogo, la Commissione propone le specifiche tecniche, che devono essere approvate dal gruppo direttivo. I punti di contatto nazionali devono utilizzare la versione applicabile del catalogo e delle specifiche per ogni scambio transfrontaliero di dati sanitari elettronici personali.

Gestione operativa e piano di lavoro

La Commissione, in cooperazione con il gruppo direttivo, gestisce i requisiti e le specifiche tecniche, coordina sviluppo, prove e diffusione, cura le modifiche del catalogo, gestisce gli incidenti e assicura la continuità operativa della piattaforma. La Commissione conduce inoltre le prove tecniche e fornisce assistenza agli sportelli di servizio dei punti di contatto nazionali e dei partecipanti autorizzati.

Ogni anno la Commissione propone un piano di lavoro per il funzionamento e la gestione della piattaforma, da sottoporre all’approvazione del gruppo direttivo. Il piano deve essere coerente con il piano di lavoro biennale del comitato EHDS.

Modifiche e versioni del catalogo

Una versione principale è una versione non retrocompatibile con quella precedente oppure avente un impatto sostanziale sullo scambio di dati. Una versione minore comprende le altre modifiche, quali correzioni di difetti e bug, chiarimenti redazionali o interventi che non introducono nuove funzionalità e non incidono sulla capacità delle implementazioni esistenti di scambiare dati senza modifiche.

Una modifica sostanziale può essere proposta dalla Commissione su richiesta di almeno cinque membri del gruppo direttivo oppure di propria iniziativa. La proposta deve contenere almeno:

• descrizione delle modifiche;
• giustificazione;
• calendario di implementazione;
• versione principale destinata a integrare le modifiche.

Il gruppo direttivo approva la modifica, il calendario e la versione principale. Dopo l’approvazione, Commissione, punti di contatto nazionali e partecipanti autorizzati devono implementare le modifiche secondo il calendario. Le versioni minori non richiedono una proposta formale di modifica e sono approvate dal gruppo direttivo secondo la procedura prevista dall’articolo 6, paragrafo 4.

Autorizzazioni per lo scambio

La Commissione gestisce, per conto del gruppo direttivo, le procedure di autorizzazione relative a:

• avvio dello scambio da parte di un punto di contatto nazionale;
• prosecuzione dello scambio dopo l’aggiornamento all’ultima versione principale;
• prosecuzione dello scambio dopo un controllo della conformità operativa;
• risoluzione degli incidenti significativi.

La Commissione, con il gruppo direttivo, propone la metodologia delle procedure, mentre il gruppo direttivo decide il rilascio delle autorizzazioni. In caso di diniego, il punto di contatto nazionale può chiedere il riesame della decisione.

Controlli di conformità e prove tecniche

La Commissione conduce i controlli di conformità e facilita le prove tecniche. I controlli verificano sicurezza, riservatezza e protezione dello scambio; le prove tecniche valutano il funzionamento transfrontaliero e la conformità alle specifiche tecniche. Le carenze sono classificate come lievi, medie o critiche secondo i quadri approvati nel catalogo.

La Commissione comunica gli esiti ai punti di contatto nazionali, indicando almeno carenze, osservazioni e raccomandazioni. Quando emergono carenze, il punto di contatto interessato deve presentare alla Commissione un piano d’azione entro 15 giorni lavorativi dal ricevimento delle informazioni. Dopo l’attuazione del piano, la Commissione valuta le prove e stabilisce se le carenze siano state risolte.

I controlli di conformità sono effettuati:

• prima dell’avvio dello scambio;
• ogni cinque anni dall’ultimo controllo;
• ogniqualvolta la Commissione ritenga esistente un rischio critico per sicurezza, riservatezza o protezione dei dati.

Requisiti per l’avvio e la prosecuzione

Prima di avviare lo scambio, il punto di contatto nazionale deve ottenere l’autorizzazione prevista dall’articolo 7, paragrafo 1, lettera a). L’autorizzazione si fonda su una prova tecnica e un controllo di conformità privi di carenze critiche, nonché sui piani d’azione relativi alle eventuali carenze rilevate.

Per aggiornarsi a una nuova versione principale, il punto di contatto nazionale deve ottenere l’autorizzazione entro un mese prima della scadenza del termine di implementazione. L’autorizzazione richiede una prova tecnica senza carenze critiche. Se l’autorizzazione è negata, il gruppo direttivo può adottare misure di attenuazione, inclusa la sospensione temporanea dello scambio. In tal caso il punto di contatto deve correggere le carenze, ottenere l’autorizzazione e implementare l’aggiornamento.

Dopo un controllo della conformità operativa, l’autorizzazione a proseguire deve essere ottenuta entro due mesi dal ricevimento dell’esito e si basa su un controllo senza carenze critiche. In caso di sospensione, il punto di contatto deve correggere le carenze, ottenere l’autorizzazione e ripristinare lo scambio.

Incidenti significativi

Un punto di contatto nazionale o la Commissione, a seconda dei casi, deve notificare un incidente significativo al presidente del gruppo direttivo, alla Commissione e ai punti di contatto interessati quanto prima e comunque entro 24 ore dal momento in cui ne viene a conoscenza.

La Commissione, d’intesa con il presidente del gruppo direttivo, gestisce l’incidente. Il punto di contatto interessato e, ove necessario, il gruppo direttivo adottano misure di attenuazione, compresa la sospensione temporanea dello scambio. Il ripristino richiede l’approvazione del gruppo direttivo e deve avvenire quanto prima dopo la risoluzione dell’incidente.

Entro un mese dalla notifica, deve essere trasmessa una relazione al gruppo direttivo contenente almeno:

• descrizione dettagliata, gravità e impatto dell’incidente;
• tipo di minaccia o probabile causa di fondo;
• misure di attenuazione adottate o in corso di adozione.

Protezione dei dati personali e contitolarità

Il trattamento è soggetto al regolamento (UE) 2016/679 e, per le operazioni della Commissione, al regolamento (UE) 2018/1725. I punti di contatto nazionali sono contitolari del trattamento, mentre la Commissione opera quale responsabile del trattamento.

I punti di contatto nazionali devono:

• istituire un punto di contatto funzionale per le comunicazioni tra contitolari e con la Commissione;
• coordinare le istruzioni alla Commissione tramite il gruppo direttivo;
• fornire agli interessati le informazioni previste dagli articoli 13 e 14 del regolamento (UE) 2016/679;
• gestire le richieste di esercizio dei diritti degli interessati;
• adottare e documentare misure organizzative, fisiche e logiche di sicurezza;
• registrare sistematicamente gli scambi, indicando soggetti coinvolti, categorie di dati e finalità;
• cooperare nella gestione di incidenti, violazioni e rischi per i diritti e le libertà;
• effettuare le notifiche previste dagli articoli 33 e 34 del regolamento (UE) 2016/679;
• collaborare alle valutazioni d’impatto ai sensi dell’articolo 35 del medesimo regolamento, ove necessarie.

Obblighi della Commissione quale responsabile del trattamento

La Commissione deve istituire e mantenere un servizio centrale di comunicazione sicura, configurarlo per consentire scambi affidabili ed efficienti e adottare misure di interoperabilità con le infrastrutture nazionali. Può ricorrere a sub-responsabili del trattamento.

La Commissione tratta i dati soltanto su istruzione dei contitolari, salvo obblighi derivanti dalla legislazione applicabile. Deve informare i contitolari quando ritenga che un’istruzione violi le norme sulla protezione dei dati.

Il piano di sicurezza deve comprendere una procedura di valutazione del rischio e misure relative a riservatezza, controllo degli accessi, integrità, cifratura, sicurezza fisica, monitoraggio, audit e gestione degli incidenti. La Commissione deve inoltre informare i contitolari delle modifiche rilevanti, monitorare in tempo reale il servizio, conservare statistiche e sottoporsi a revisioni indipendenti e ispezioni, nel rispetto del protocollo n. 7 sui privilegi e sulle immunità dell’Unione.

Al termine dello scambio, la Commissione deve cancellare i dati personali trattati per conto dei contitolari e certificare l’avvenuta cancellazione, salvo obblighi legali di conservazione.

Cibersicurezza

La sicurezza della piattaforma deve essere garantita conformemente alla decisione (UE, Euratom) 2017/46 della Commissione sulla sicurezza dei sistemi di comunicazione e informazione della Commissione europea. Le definizioni di incidente e incidente significativo rinviano alla direttiva (UE) 2022/2555, cosiddetta direttiva NIS 2.

Transizione dall’infrastruttura eHealth

I punti di contatto nazionali per l’eHealth che, prima del 26 marzo 2029, abbiano scambiato dati tramite l’infrastruttura istituita dalla decisione di esecuzione (UE) 2019/1765 e siano stati designati come punti di contatto nazionali per la sanità digitale possono continuare lo scambio nell’ambito di LaMiaSalute@UE. Tali soggetti sono considerati conformi ai requisiti per l’autorizzazione iniziale all’avvio dello scambio.

Date di applicazione e coordinamento con il regolamento (UE) 2025/327

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale e si applica dal 26 marzo 2027. L’obbligo sostanziale di scambio tramite LaMiaSalute@UE previsto dal regolamento (UE) 2025/327 diventa applicabile gradualmente:

• dal 26 marzo 2029 per profili sanitari sintetici dei pazienti, prescrizioni elettroniche e dispensazioni elettroniche;
• dal 26 marzo 2031 per esami diagnostici per immagini e relativi referti, risultati di esami medici, compresi quelli di laboratorio e altri risultati diagnostici, e lettere di dimissione.