Rapporto sui risultati

dell’articolo 11, che devono essere soddisfatte in materia di protezione e sicurezza dei dati. Viene lasciato alle comunità, alle comunità di riferimento e ai fornitori di prestazioni decidere come rispettare queste disposizioni. Di conseguenza, l’articolo 11 deve essere completamente riveduto. Posta propone la pubblicazione di un elenco con i ruoli che deve possedere una comunità. A questo proposito sarebbe ipotizzabile anche un capitolo nel rapporto esplicativo. VAKA e il Cantone AG scrivono che un sistema di gestione della protezione e della sicurezza dei dati è auspicabile dal punto di vista della protezione dei dati, ma comporta un onere per le comunità. Chiedono di inserire nel rapporto esplicativo un riferimento su come evitare questo onere, p. es. permettendo a diverse comunità di assumere o conferire un mandato a una persona indipendente come responsabile della protezione dei dati. Il Cantone AG ritiene troppo vaga la formulazione sul tema del criptaggio. Le prescrizioni sul criptaggio non devono essere ancorate solo nelle CTO, ma già nell’OCIP. SMCF scrive, che in vista di queste esigenze appare legittimo limitare il numero delle comunità in Svizzera a una decina e non a 20-40 comunità. Secondo VGIch la competenza delle comunità in materia di protezione e sicurezza dei dati dovrebbe terminare nel punto di consegna della prestazione oppure nell’interfaccia per la ricerca di dati o la configurazione di documenti dell’istituzione affiliata. A questo scopo dovrebbe essere aggiunto un capoverso all’articolo

11. VGIch osserva inoltre che le prescrizioni e i contenuti delle CTO non devono interferire con i sistemi primari o, in caso contrario, dovrebbero definire al massimo dei principi generali sulla sicurezza dei dati.

Capoverso 1: FMH ricorda che devono essere rispettate le prescrizioni della legge sulla protezione dei dati e deve essere evitata una regolamentazione eccessiva. SQS propone la seguente formulazione per il capoverso 1: «Gemeinschaften müssen nach Art. 11 des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz zertifiziert sein. Sie müssen ein Datenschutz- und Datensicherheitsmanagementsystem betreiben. Dieses muss die Anforderungen des Art. 4 Abs. 2 Verordnung über die Datenschutzzertifizierung VDSZ vom 28. September 2007 und der Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem (Richtlinien über die Zertifizierung von Organisation und Verfahren) vom 19. März 2014 des EDÖB erfüllen. Dieses muss[…]». Nel suo commento avanza un’ulteriore proposta alternativa con riferimento alle norme ISO 9001 e ISO/IEC, che sono riconosciute a livello internazionale. OFAC fa notare che le comunità, quali organi cantonali, saranno soggette al diritto del loro Cantone in materia di protezione dei dati. Alcune nozioni importanti della protezione dei dati, come il sistema di gestione e sicurezza dei dati o il processo di certificazione, non esistono nella maggior parte delle legislazioni cantonali. Bisogna poi considerare le notevoli differenze fra le leggi cantonali. Le direttive dell’IFPDT sulle esigenze minime che un sistema di gestione della protezione dei dati deve adempiere devono valere per ogni tipo di organizzazione. Economiesuisse, SBC, HL7 e IHE chiedono che le comunità possano delegare il sistema di gestione della protezione e della sicurezza dei dati, perché altrimenti i costi saliranno inutilmente. Concretamente propongono la seguente aggiunta al capoverso 1: «[…] betreiben, oder durch Delegation betreiben lassen. Dieses muss […]».

Capoverso 1 lettera a: LUKS auspica lo stralcio della lettera a. I requisiti, i compiti e i vantaggi del responsabile della protezione dei dati non sono chiari. Il suo parere è condiviso da CDS e 6 Cantoni⁴⁷, che assieme ad altri 6 partecipanti⁴⁸ chiedono di rinunciare a responsabili speciali per la protezione e la sicurezza dei dati. Il Cantone AI raccomanda di non nominare un organismo indipendente se l’incaricato alla protezione dei dati ha abbastanza capacità per assolvere questo compito.

Capoverso 1 lettere b e c: ISSS propone di precisare la lettera b con la seguente formulazione: «b. Ein System zur proaktiven Erkennung von und zum Umgang mit Vorfällen im Bereich Angriffssicherheit und Betriebsausfallsicherheit» e di modificare la lettera c come segue: «c. ein Verzeichnis der Datenablagen, Berechtigungen und Prozesse zur Datensicherung und sicheren Aufbewahrung».

Capoverso 1 lettera d: KDSBSON e DSBAG ricordano che durante l’elaborazione della legislazione sulla cartella informatizzata del paziente non si era mai parlato di un collegamento diretto dei sistemi primari con la cartella informatizzata del paziente. Era previsto piuttosto un collegamento dei sistemi secondari, come nota anche il Cantone FR. Questi partecipanti chiedono di riconsiderare l’opportunità