Rapporto sui risultati

di un collegamento dei sistemi primari, che a loro parere è problematico e sconsigliabile dal punto di vista del diritto sulla protezione dei dati. Se è veramente auspicato un collegamento dei sistemi primari, questi devono rispettare le prescrizioni della legislazione sulla cartella informatizzata del paziente per quanto riguarda la protezione dei dati e la sicurezza delle informazioni. Privatim rimanda al parere espresso a tale proposito nelle osservazioni generali. SQS segnala che sia il sistema di gestione della protezione dei dati secondo l’OCPD sia il sistema di gestione secondo l’ISO 9001 e il sistema di gestione della sicurezza delle informazioni secondo l’ISO/IEC 27001 comprendono tutti i sistemi e non solo i sistemi primari collegati. Se uno di questi standard viene scelto come norma di certificazione per le comunità e le comunità di riferimento, la menzione esplicita di tale requisito diventa inutile. Di conseguenza propone di stralciare la lettera d. Per il Cantone BE l’attuale formulazione suggerisce che i sistemi primari siano collegati «direttamente» alla cartella informatizzata del paziente. In realtà sono invece collegati solo indirettamente con la cartella informatizzata del paziente attraverso l’archivio di documenti (copia sincronizzata). Sarebbe quindi opportuno riformulare la lettera d come segue: «d. ein Verzeichnis der abgebildeten Primärsysteme». FMH chiede cosa significa la lettera d e se sia veramente realistica oppure non sia una pretesa eccessiva. La lettera d dovrebbe essere stralciata o sostituita con un registro di archivi secondari. Anche 6 Cantoni⁴⁹ considerano poco chiara la lettera d. Chiedono di precisare, per esempio nel rapporto esplicativo, quali dati devono essere contenuti nel registro. Non è possibile fornire un elenco dei computer e software utilizzati da migliaia di professionisti della salute. La lettera d deve essere quindi soppressa. Il Cantone NE aggiunge che il testo dell’ordinanza o il rapporto esplicativo deve precisare quali dati devono essere contenuti nel registro dei sistemi primari. ISSS propone di precisare la lettera d con la seguente formulazione: «[…] Primärsysteme, welche direkten oder indirekten Zugang zu den Daten / Kommunikation haben oder erlangen können». Lovis chiede se il registro di sistemi primari collegati si riferisce a organizzazioni o sistemi.

Capoverso 1 lettere e e f: Per CURAVIVA, Insos e il Cantone TG la formulazione di questa (sotto) delega è troppo vaga. Essa dovrebbe indicare il contenuto o, almeno, gli elementi basilari delle prescrizioni in materia di protezione e sicurezza dei dati per le strutture sanitarie affiliate, i loro professionisti della salute, il loro personale e terzi. Ne va della leggibilità della legge, della corretta applicazione da parte degli attori coinvolti e, in definitiva, della certezza del diritto. Senesuisse considera insoddisfacenti le disposizioni delle lettere e ed f. Le comunità devono sapere con maggiore chiarezza quali requisiti devono esigere dall e strutture sanitarie e dai professionisti della salute nonché dal personale e da terzi. Occorre completare il testo dell’ordinanza oppure stilare un aiuto all’esecuzione con un contenuto adeguato.

Capoverso 2: HL7 e IHE sono favorevoli alla determinazione di un termine fra l’insorgere e la notifica di tali incidenti. Analogamente medshare chiede a questo proposito l’introduzione di una periodicità. Posta chiede quali requisiti deve soddisfare la segnalazione e raccomanda di adeguare questa disposizione alla nuova direttiva dell’UE sulla protezione dei dati. Per SPO non è chiaro se questo obbligo di segnalazione è inteso come vincolante e se sono stati definiti gli eventi considerati rilevanti per la sicurezza. Chiede quindi una formulazione più chiara e comprensibile. Anche FRC desidera un chiarimento sulle modalità e soprattutto sui termini per le notifiche di incidenti nel sistema. La reazione dovrebbe essere infatti possibilmente immediata.

SQS fa notare che gli organismi di certificazione sono responsabili solo della certificazione secondo le norme di certificazione e svolgerebbero un controllo annuale dei processi di certificazione presso le comunità di riferimento e le comunità. Negli intervalli fra gli audit non avrebbero alcuna funzione a livello di attività operativa. Per questo motivo gli incidenti di cui al capoverso 2 dovrebbero essere segnalati solo all’UFSP e non agli organismi di certificazione. Attraverso l’articolo 36 capoverso 1 lettera c e l’articolo 37 capoverso 3 lettera a di questa ordinanza, l’UFSP potrebbe coinvolgere gli organismi di certificazione qualora, sulla base della segnalazione di gravi incidenti rilevanti per la sicurezza, una verifica da parte dell’organismo di certificazione potrebbe impedire la minaccia di una violazione della protezione e della sicurezza dei dati. OFAC scrive che i servizi dell’IFPDT fanno capo alla Cancelleria federale al fine di garantire la loro indipendenza. Di norma spetta a loro valutare la gravità di un incidente e decidere