Regolamento (UE) 2026/2099

Meccanismo europeo di identificazione e autenticazione per lo scambio transfrontaliero di dati sanitari

Il regolamento di esecuzione (UE) 2026/2099 attua l’articolo 16, paragrafo 2, del regolamento (UE) 2025/327 sullo spazio europeo dei dati sanitari. La finalità è rendere sicuro e interoperabile lo scambio transfrontaliero di dati sanitari elettronici personali tramite la piattaforma LaMiaSalute@UE (MyHealth@EU), consentendo di collegare le persone fisiche alle rispettive cartelle cliniche e di identificare i professionisti e i prestatori coinvolti.

Ambito soggettivo e funzionale

Il regolamento riguarda gli Stati membri, le autorità competenti, i punti di contatto nazionali per la sanità digitale, le persone fisiche, i professionisti sanitari e i prestatori di assistenza sanitaria. Le procedure devono essere applicate prima di richiedere o avviare lo scambio transfrontaliero di dati sanitari elettronici personali tramite LaMiaSalute@UE.

L’identificazione e l’autenticazione perseguono in particolare i seguenti obiettivi:

• verificare l’identità della persona cui si riferiscono i dati sanitari;
• impedire accessi non autorizzati;
• identificare e autenticare il professionista o il prestatore che richiede lo scambio;
• consentire la tracciabilità e la comunicazione delle informazioni sull’accesso ai dati previste dall’articolo 9 del regolamento (UE) 2025/327.

Definizioni e coordinamento con il regolamento eIDAS

L’articolo 2 definisce l’“attributo sanitario” come l’attributo utilizzato per identificare una persona fisica ai fini dello scambio transfrontaliero di dati sanitari elettronici. Per “attributo”, “attestato elettronico di attributi”, “portafoglio europeo di identità digitale” e “autenticazione” si applicano le definizioni del regolamento (UE) n. 910/2014.

I mezzi di identificazione elettronica utilizzati nell’ambito del regolamento devono essere conformi al regolamento (UE) n. 910/2014. Il considerando 2 richiama inoltre l’obbligo, previsto dall’articolo 5 septies, paragrafi 1 e 2, del regolamento (UE) n. 910/2014, di accettare i portafogli europei di identità digitale quando le persone fisiche scelgono di utilizzarli.

Serie nazionali di attributi sanitari

Ogni Stato membro deve stabilire una serie nazionale di attributi sanitari per verificare l’identità delle persone fisiche in relazione alle loro cartelle cliniche elettroniche.

Gli obblighi principali sono i seguenti:

• la serie deve essere notificata alla Commissione entro il 26 marzo 2028;
• gli aggiornamenti successivi devono essere notificati quanto prima;
• la Commissione pubblica le serie notificate dagli Stati membri;
• l’autorità competente dello Stato membro di affiliazione rilascia, su richiesta della persona fisica, gli attributi sanitari sotto forma di attestato elettronico di attributi;
• l’attestato è destinato a essere conservato nel portafoglio europeo di identità digitale della persona.

Il rilascio degli attributi sanitari è qualificato come compito di interesse pubblico affidato alle autorità competenti designate dagli Stati membri.

Identificazione delle persone fisiche

Prima di richiedere lo scambio di dati, il professionista sanitario o il prestatore di assistenza sanitaria deve identificare la persona fisica. A tal fine può raccogliere i relativi attributi sanitari.

Quando lo scambio è richiesto a seguito di una domanda presentata online dalla persona fisica, l’identificazione e l’autenticazione devono essere effettuate mediante mezzi di identificazione elettronica rilasciati ai sensi del regolamento (UE) n. 910/2014. Tali mezzi devono fornire:

• almeno il livello di garanzia “significativo” ai sensi dell’articolo 8, paragrafo 2, lettera b), del regolamento (UE) n. 910/2014;
• il livello di garanzia “elevato” a decorrere dal 26 marzo 2030.

Il mezzo deve essere notificato alla Commissione al livello di garanzia richiesto secondo il regolamento (UE) n. 910/2014. In alternativa, il livello di garanzia può essere confermato da un organismo di valutazione della conformità ai sensi dell’articolo 2, punto 13), del regolamento (CE) n. 765/2008 o da un organismo equivalente.

Rappresentanza autorizzata e legale

Quando una persona fisica accede ai dati sanitari di un’altra persona in qualità di rappresentante autorizzato o di rappresentante legale, il professionista sanitario o il prestatore deve:

• identificare la persona che agisce per conto dell’altra;
• verificare che essa soddisfi i requisiti necessari per agire come rappresentante autorizzato o legale.

La verifica può basarsi sulle informazioni fornite dallo Stato membro di affiliazione competente, che costituisce la fonte delle informazioni sui mandati di rappresentanza. La disposizione si coordina con l’articolo 4, paragrafo 2, del regolamento (UE) 2025/327.

Scambio degli attributi tra punti di contatto nazionali

Quando un punto di contatto nazionale per la sanità digitale richiede lo scambio di dati sanitari da o verso un altro punto di contatto nazionale, deve trasmettere al punto destinatario gli attributi sanitari dello Stato membro di affiliazione della persona fisica.

Il professionista sanitario o il prestatore che richiede lo scambio deve accettare gli attributi sanitari forniti sotto forma di attestato elettronico utilizzando un portafoglio europeo di identità digitale. Tale obbligo decorre dal 26 marzo 2029.

Se i mezzi di identificazione utilizzati non forniscono tutti gli attributi inclusi nella serie nazionale dello Stato membro di affiliazione, il professionista o il prestatore deve chiedere alla persona fisica le informazioni supplementari necessarie a completare la serie.

Identificazione e autorizzazione dei professionisti sanitari e dei prestatori

Ogni Stato membro deve individuare il soggetto o i soggetti responsabili dell’identificazione, autenticazione e autorizzazione del professionista sanitario o del prestatore che richiede lo scambio.

Prima dello scambio tramite LaMiaSalute@UE, tali soggetti devono:

• identificare il professionista o il prestatore;
• autenticarne l’identità;
• autorizzarlo a richiedere lo scambio transfrontaliero.

Per i professionisti sanitari devono essere utilizzati mezzi di autenticazione elettronica con almeno il livello di garanzia “significativo” previsto dall’articolo 8, paragrafo 2, lettera b), del regolamento (UE) n. 910/2014. Dal 26 marzo 2032 sarà richiesto il livello “elevato” di cui all’articolo 8, paragrafo 2, lettera c), del medesimo regolamento.

Anche in questo caso il mezzo deve essere notificato alla Commissione al livello richiesto oppure il livello deve essere confermato da un organismo di valutazione della conformità ai sensi del regolamento (CE) n. 765/2008 o da un organismo equivalente.

Scambio dei dati identificativi dei professionisti e dei prestatori

Il punto di contatto nazionale competente per il professionista sanitario o il prestatore deve comunicare al punto di contatto nazionale che riceve la richiesta i dati identificativi del soggetto coinvolto.

Per il professionista sanitario, l’allegato richiede almeno:

• cognome o cognomi;
• nome o nomi, inclusi eventuali secondi nomi;
• codice paese alpha-2 secondo la norma ISO 3166-1;
• identificatore unico del professionista sanitario nello Stato membro di registrazione;
• nome dell’autorità che ha rilasciato l’identificatore;
• ruolo professionale;
• identificatore dell’organizzazione o della struttura sanitaria presso cui presta assistenza.

Per il prestatore di assistenza sanitaria, l’allegato richiede almeno:

• identificatore unico dell’organizzazione o della struttura nello Stato membro emittente;
• nome dell’autorità che ha rilasciato l’identificatore;
• denominazione del prestatore;
• indirizzo ufficiale registrato completo.

Funzioni del meccanismo LaMiaSalute@UE

L’articolo 8 stabilisce che il meccanismo per lo scambio dei dati identificativi tramite LaMiaSalute@UE deve sostenere:

• la notifica e la pubblicazione delle serie nazionali di attributi sanitari;
• lo scambio degli attributi sanitari tra i punti di contatto nazionali;
• lo scambio dei dati identificativi dei professionisti sanitari e dei prestatori di assistenza sanitaria tra i punti di contatto nazionali.

Protezione dei dati personali

Il trattamento dei dati personali effettuato ai sensi del regolamento è soggetto, secondo i casi, al regolamento (UE) 2016/679 e al regolamento (UE) 2018/1725. Il regolamento non sostituisce quindi il quadro generale applicabile alla protezione dei dati, ma disciplina gli specifici requisiti di identificazione, autenticazione e trasmissione degli attributi nell’ambito sanitario transfrontaliero.

Decorrenza e applicazione temporale

Il regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è direttamente applicabile in tutti gli Stati membri.

Le principali date di applicazione sono:

• 26 marzo 2027: applicazione generale del regolamento;
• 26 marzo 2028: termine per la notifica iniziale delle serie nazionali di attributi sanitari;
• 26 marzo 2029: applicazione dell’articolo 3, paragrafo 3, sul rilascio degli attestati elettronici di attributi, e dell’articolo 5, paragrafo 2, sull’accettazione degli attributi tramite portafoglio europeo di identità digitale;
• 26 marzo 2030: livello di garanzia “elevato” obbligatorio per i mezzi di identificazione elettronica delle persone fisiche;
• 26 marzo 2032: livello di garanzia “elevato” obbligatorio per i mezzi di autenticazione elettronica dei professionisti sanitari.