En interoperabel mekanism för gränsöverskridande identifiering och autentisering av fysiska personer, hälso- och sjukvårdspersonal och vårdgivare för gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter

EUROPEISKA KOMMISSIONEN HAR ANTAGIT DENNA FÖRORDNING

med beaktande av fördraget om Europeiska unionens funktionssätt,

med beaktande av Europaparlamentets och rådets förordning (EU) 2025/327 av den 11 februari 2025 om det europeiska hälsodataområdet och om ändring av direktiv 2011/24/EU och förordning (EU) 2024/2847, särskilt artikel 16.2, och

(1) Förordning (EU) 2025/327 syftar till att förbättra det gränsöverskridande utbytet av elektroniska hälsodata med personuppgifter för att säkerställa kontinuitet i hälso- och sjukvården. Allt fler fysiska personer som bor i en medlemsstat i unionen får hälso- och sjukvård i en annan medlemsstat och deras elektroniska hälsodokumentation sprids i allt högre grad mellan olika medlemsstaters hälso- och sjukvårdssystem, som använder olika identifierare för att identifiera fysiska personer och deras dokumentation. På samma sätt skiljer sig metoderna för att identifiera hälso- och sjukvårdspersonal och vårdgivare åt mellan medlemsstaterna. För att underlätta utbytet av elektroniska hälsodata med personuppgifter i ett gränsöverskridande sammanhang via plattformen MinHälsa@EU, som avses i artikel 23.1 i förordning (EU) 2025/327, är det nödvändigt att identifiera de aktörer som deltar i utbytet och matcha de fysiska personernas identiteter med deras elektroniska hälsodokumentation. Det är därför nödvändigt att fastställa kraven för en interoperabel mekanism för gränsöverskridande identifiering och autentisering av fysiska personer, hälso- och sjukvårdspersonal och vårdgivare.

(2) Ett effektivt och icke-inkräktande sätt att lokalisera elektroniska hälsodata med personuppgifter är att använda de identifieringsuppgifter som tilldelats fysiska personer i det nationella hälso- och sjukvårdssystemet i deras försäkringsmedlemsstat. Eftersom de identifieringsuppgifter som används i de olika medlemsstaterna skiljer sig åt är det lämpligt att kräva att medlemsstaterna fastställer vilka identifieringsuppgifter som ska användas för att identifiera fysiska personer vid gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter och att de anmäler dem till kommissionen så att de kan offentliggöras. Kraven för mekanismen för gränsöverskridande identifiering och autentisering ska vara förenliga med Europaparlamentets och rådets förordning (EU) nr 910/2014. I enlighet med artikel 5f.1 och 5f.2 i förordning (EU) nr 910/2014 ska sådana system som tillhandahålls av offentliga myndigheter och sådana onlinetjänster som tillhandahålls av privata förlitande parter som kräver elektronisk identifiering eller autentisering för åtkomst till nättjänster dessutom godta de europeiska digitala identitetsplånböcker som avses i artikel 5a i förordning (EU) nr 910/2014, om fysiska personer väljer att använda dem. För att underlätta gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter bör fysiska personer kunna begära att deras försäkringsmedlemsstat utfärdar deras identifieringsuppgifter för gränsöverskridande hälso- och sjukvård i form av ett elektroniskt hälso- och sjukvårdsattributintyg som ska lagras i deras europeiska digitala identitetsplånbok. Dessutom bör fysiska personer kunna dela sina hälso- och sjukvårdsattribut med hälso- och sjukvårdspersonal och vårdgivare som är etablerade i en annan medlemsstat så att hälso- och sjukvårdspersonalen eller vårdgivaren kan lokalisera elektroniska hälsodata med personuppgifter vid källan.

(3) Om en fysisk person, som agerar antingen som auktoriserad representant eller som rättslig företrädare, försöker få tillgång till en annan fysisk persons elektroniska hälsodata med personuppgifter via MinHälsa@EU bör hälso- och sjukvårdspersonalen eller vårdgivaren kontrollera den förstnämnda personens identitet. För att kontrollera om den förstnämnda personens fullmakt att agera i denna egenskap är giltig kan hälso- och sjukvårdspersonalen eller vårdgivaren förlita sig på information från den berörda försäkringsmedlemsstaten, eftersom informationen om fullmakt härrör från den medlemsstaten.

(4) Innan ett gränsöverskridande utbyte av en fysisk persons elektroniska hälsodata med personuppgifter inleds eller begärs via MinHälsa@EU bör hälso- och sjukvårdspersonal och vårdgivare identifieras och autentiseras, och den berörda fysiska personen bör identifieras. Det är nödvändigt med en sådan identifiering och autentisering för att säkerställa en säker behandling av elektroniska hälsodata med personuppgifter, för att förhindra obehörig åtkomst och för att möjliggöra tillhandahållande av information om tillgång till data i enlighet med artikel 9 i förordning (EU) 2025/327. Om medel för elektronisk identifiering används för dessa ändamål bör de åtminstone ha tillitsnivån väsentlig enligt artikel 8.2 b i förordning (EU) nr 910/2014. Den europeiska digitala identitetsplånboken har tillitsnivån hög enligt artikel 8.2 c i den förordningen. Från och med den 26 mars 2030 bör alla medel för elektronisk identifiering som används för identifiering av fysiska personer vars elektroniska hälsodata med personuppgifter utbyts via MinHälsa@EU ha tillitsnivån hög. Från och med den 26 mars 2032 bör alla medel för elektronisk identifiering som används för identifiering och autentisering av hälso- och sjukvårdspersonal i samband med sådana utbyten ha tillitsnivån hög. Denna stegvisa strategi syftar till att ge tillräckligt med tid för ett fullständigt införande av medel för elektronisk identifiering i medlemsstaterna.

(5) Om medlemsstaterna använder ett medel för elektronisk identifiering som inte har anmälts till kommissionen i enlighet med förordning (EU) nr 910/2014 bör tillitsnivån hög för detta medel bekräftas av ett sådant organ för bedömning av överensstämmelse som avses i artikel 2.13 i Europaparlamentets och rådets förordning (EG) nr 765/2008 eller av ett likvärdigt organ. Detta krav bör gälla oavsett om det gränsöverskridande utbytet avser överföring av data till eller mottagande av data från en annan medlemsstat.

(6) Den nationella kontaktpunkt för digital hälsa som begär det gränsöverskridande utbytet av en fysisk persons elektroniska hälsodata med personuppgifter bör vidarebefordra hälso- och sjukvårdspersonalens eller vårdgivarens identifieringsuppgifter till den nationella kontaktpunkten för digital hälsa i den medlemsstat till vilken begäran skickas.

(7) Behandlingen av personuppgifter enligt denna förordning omfattas av Europaparlamentets och rådets förordningar (EU) 2016/679 och (EU) 2018/1725, beroende på vad som är tillämpligt. Att utfärda hälso- och sjukvårdsattribut är en uppgift av allmänt intresse som tilldelas de behöriga myndigheter som utses medlemsstaterna.

(8) Europeiska datatillsynsmannen har hörts i enlighet med artikel 42.1 i förordning (EU) 2018/1725 och avgav ett yttrande den 5 maj 2026.

(9) De åtgärder som föreskrivs i denna förordning är förenliga med yttrandet från den kommitté som inrättats genom artikel 98.1 i förordning (EU) 2025/327.

HÄRIGENOM FÖRESKRIVS FÖLJANDE.

Artikel1¶Innehåll

I denna förordning fastställs kraven för en interoperabel mekanism för gränsöverskridande identifiering och autentisering av fysiska personer, hälso- och sjukvårdspersonal och vårdgivare för gränsöverskridande utbyte av elektroniska hälsodata.

Artikel2¶Definitioner

I denna förordning gäller följande definitioner:

1. hälso- och sjukvårdsattribut: attribut som används för att identifiera en fysisk person vid gränsöverskridande utbyte av elektroniska hälsodata.

2. attribut: attribut enligt definitionen i artikel 3.43 i förordning (EU) nr 910/2014.

3. elektroniskt attributsintyg: elektroniskt attributsintyg enligt definitionen i artikel 3.44 i förordning (EU) nr 910/2014.

4. europeisk digital identitetsplånbok: europeisk digital identitetsplånbok enligt definitionen i artikel 3.42 i förordning (EU) nr 910/2014.

5. autentisering: autentisering enligt definitionen i artikel 3.5 i förordning (EU) nr 910/2014.

Artikel3¶Nationella uppsättningar hälso- och sjukvårdsattribut för fysiska personer

1. Varje medlemsstat ska fastställa en uppsättning hälso- och sjukvårdsattribut som ska användas för att kontrollera fysiska personers identitet i samband med deras elektroniska hälsodokumentation för gränsöverskridande utbyte av deras elektroniska hälsodata med personuppgifter.

2. Varje medlemsstat ska anmäla sin uppsättning hälso- och sjukvårdsattribut till kommissionen senast den 26 mars 2028. Medlemsstaterna ska så snart som möjligt anmäla alla senare uppdateringar av uppsättningarna av hälso- och sjukvårdsattribut till kommissionen. Kommissionen ska offentliggöra medlemsstaternas uppsättningar av hälso- och sjukvårdsattribut.

3. På begäran av en fysisk person ska den behöriga myndigheten i den personens försäkringsmedlemsstat utfärda den fysiska personens hälso- och sjukvårdsattribut i form av ett elektroniskt attributsintyg, i enlighet med den uppsättning hälso- och sjukvårdsattribut som avses i punkt 1, till den personens europeiska digitala identitetsplånbok.

Artikel4¶Identifiering och autentisering av fysiska personer för gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter

1. Innan hälso- och sjukvårdspersonal eller vårdgivare begär ett utbyte av en fysisk persons elektroniska hälsodata med personuppgifter via MinHälsa@EU ska de identifiera den fysiska personen. För detta ändamål får hälso- och sjukvårdspersonalen eller vårdgivaren samla in den fysiska personens hälso- och sjukvårdsattribut.

2. Om hälso- och sjukvårdspersonal eller vårdgivare, på en fysisk persons begäran som lämnats in online, begär ett utbyte av den fysiska personens elektroniska hälsodata med personuppgifter via MinHälsa@EU, ska hälso- och sjukvårdspersonalen eller vårdgivaren identifiera och autentisera den fysiska personen med hjälp av ett medel för elektronisk identifiering som utfärdats i enlighet med förordning (EU) nr 910/2014. Medlet för elektronisk identifiering ska uppfylla kraven i förordning (EU) nr 910/2014 och åtminstone ha tillitsnivån väsentlig enligt artikel 8.2 b i förordning (EU) nr 910/2014. Från och med den 26 mars 2030 ska medlet för elektronisk identifiering ha tillitsnivån hög enligt artikel 8.2 c i den förordningen. Medlet för elektronisk identifiering med den erforderliga tillitsnivån ska anmälas till kommissionen i enlighet med förordning (EU) nr 910/2014 eller så ska dess tillitsnivå bekräftas av ett sådant organ för bedömning av överensstämmelse som avses i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ.

3. Om en fysisk person har auktoriserats av en annan fysisk person att få tillgång till deras elektroniska hälsodata med personuppgifter, eller delar av dem, för deras räkning eller som rättslig företrädare för en annan fysisk person i enlighet med artikel 4.2 i förordning (EU) 2025/327, ska hälso- och sjukvårdspersonalen eller vårdgivaren identifiera den fysiska personen och kontrollera att den auktoriserade fysiska personen eller den rättsliga företrädaren uppfyller de nödvändiga kraven för att agera i denna egenskap.

Artikel5¶Krav för gränsöverskridande utbyte av fysiska personers hälso- och sjukvårdsattribut

1. Om en nationell kontaktpunkt för digital hälsa begär ett utbyte av en fysisk persons elektroniska hälsodata med personuppgifter från eller till en annan nationell kontaktpunkt för digital hälsa ska den första nationella kontaktpunkten överlämna den fysiska personens hälso- och sjukvårdsattributen från försäkringsmedlemsstaten till den andra nationella kontaktpunkten.

2. Hälso- och sjukvårdspersonal eller vårdgivare som begär ett utbyte av elektroniska hälsodata med personuppgifter i enlighet med artikel 4.1 ska godta de hälso- och sjukvårdsattribut som tillhandahålls i form av ett elektroniskt attributsintyg med hjälp av en europeisk digital identitetsplånbok, oavsett om den fysiska personens begäran görs personligen på plats eller online.

3. Om det medel för identifiering som används inte ger fullständiga hälso- och sjukvårdsattribut ska den hälso- och sjukvårdspersonal eller vårdgivare som begär utbytet av elektroniska hälsodata med personuppgifter begära ytterligare information från den fysiska personen för att komplettera den fysiska personens uppsättning av hälso- och sjukvårdsattribut från försäkringsmedlemsstaten.

Artikel6¶Identifiering, autentisering och auktorisering av hälso- och sjukvårdspersonal och vårdgivare för gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter

1. Varje medlemsstat ska förteckna den eller de enheter som ansvarar för att identifiera, autentisera och auktorisera den hälso- och sjukvårdspersonal eller vårdgivare som begär gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter.

2. Innan den eller de enheter som avses i punkt 1 begär gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter via MinHälsa@EU ska de identifiera, autentisera och auktorisera den hälso- och sjukvårdspersonal eller vårdgivare som begär utbytet.

3. Den eller de enheter som avses i punkt 1 ska identifiera och autentisera hälso- och sjukvårdspersonal med hjälp av medel för elektronisk autentisering som åtminstone har tillitsnivån väsentlig enligt artikel 8.2 b i förordning (EU) nr 910/2014. Från och med den 26 mars 2032 ska medlet för elektronisk autentisering av hälso- och sjukvårdspersonal ha tillitsnivån hög enligt artikel 8.2 c i den förordningen. Medlet för elektronisk identifiering med den erforderliga tillitsnivån ska anmälas till kommissionen i enlighet med förordning (EU) nr 910/2014 eller så ska dess tillitsnivå bekräftas av ett sådant organ för bedömning av överensstämmelse som avses i artikel 2.13 i förordning (EG) nr 765/2008 eller av ett likvärdigt organ.

Artikel7¶Krav för utbyte av hälso- och sjukvårdspersonalens och vårdgivarens identifieringsuppgifter

När hälso- och sjukvårdspersonal eller vårdgivare begär gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter via MinHälsa@EU ska den nationella kontaktpunkt för digital hälsa som är behörig för den hälso- och sjukvårdspersonalen eller vårdgivaren meddela den nationella kontaktpunkt för digital hälsa som tar emot begäran hälso- och sjukvårdspersonalens eller vårdgivarens identifieringsuppgifter. Identifieringsuppgifterna ska överensstämma med de tekniska specifikationer som anges i bilagan.

Artikel8¶Mekanism för utbyte av identifieringsuppgifter via MinHälsa@EU

Mekanismen för utbyte av identifieringsuppgifter via MinHälsa@EU ska stödja

a) anmälan och offentliggörande av de uppsättningar hälso- och sjukvårdsattribut som avses i artikel 3.2 i denna förordning,

b) det utbyte av hälso- och sjukvårdsattribut mellan nationella kontaktpunkter för digital hälsa som beskrivs i artikel 5.1,

c) det utbyte av hälso- och sjukvårdspersonalens eller vårdgivarens identifieringsuppgifter mellan nationella kontaktpunkter för digital hälsa som beskrivs i artikel 7.

Artikel9¶Ikraftträdande och tillämpning

Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

Den ska tillämpas från och med den 26 mars 2027.

Artiklarna 3.3 och 5.2 ska dock tillämpas från och med den 26 mars 2029.

1 EUT L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj.

2 Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

3 Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och marknadskontroll i samband med saluföring av produkter och upphävande av förordning (EEG) nr 339/93 (EUT L 218, 13.8.2008, s. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

4 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

5 Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

BILAGA

Kommissionens genomförandeförordning (EU) 2026/2099 av den 21 september 2026 om en interoperabel mekanism för gränsöverskridande identifiering och autentisering av fysiska personer, hälso- och sjukvårdspersonal och vårdgivare för gränsöverskridande utbyte av elektroniska hälsodata med personuppgifter

1 Text av betydelse för EES.