Rapporto sui risultati

trasferito nell’allegato 5. Tessaris fa notare che non è prevista la forma della revoca e che pertanto è sufficiente anche una telefonata, un SMS o un’e-mail. Poiché secondo questa disposizione, il blocco è «irrevocabile», non è chiaro come il titolare debba agire dopo un blocco per smarrimento o furto del SID. HIN chiede che a ogni accesso alla cartella informatizzata del paziente si controlli se il SID è stato revocato (dichiarazione di nullità). Non è sufficiente disciplinare il blocco solo presso l’IDP. L’articolo 26 deve essere completato come segue: «Der Herausgeber führt eine Liste der gesperrten oder für ungültig erklärten IDM (Revokationstabelle). Die Gemeinschaft prüft bei jedem Zugriff, ob die Person korrekt authentisiert wurde und deren ID-Mittel nicht revoziert ist». Posta critica l’incompletezza della descrizione. L’emittente può bloccare un SID se viene informato in modo attendibile che le indicazioni non sono più valide. Vi è il pericolo che vengano create false attese. L’emittente dovrebbe poter bloccare un SID anche quando lui stesso o il titolare sospetta un abuso, per cui dovrebbero essere elencati i motivi per il blocco. Per permettere all’emittente del SID di accertarsi che la persona richiedente il blocco sia autorizzata a farlo, questa possibilità deve essere contemplata esplicitamente. Inoltre sarebbe auspicabile che il titolare venisse informato del blocco del SID per avere l’opportunità di individuare eventuali blocchi indesiderati.

3.1.5 Capitolo 5: Akkreditierung

Art. 27 Anforderungen

¹Die Akkreditierung richtet sich nach der Akkreditierungs- und Bezeichnungsverordnung (AkkBV) vom 17. Juni 1996 sowie ISO/IEC 27006:201510, soweit die vorliegende Verordnung keine abweichenden Vorschriften enthält.

²Je eine separate Akkreditierung ist erforderlich für die Zertifizierung von:

a. Gemeinschaften und Stammgemeinschaften;

b. Herausgeber von Identifikationsmitteln.

³Die Zertifizierungsstellen müssen neben den Voraussetzungen nach der AkkBV über eine festgelegte Organisation sowie ein festgelegtes Kontrollverfahren verfügen. Darin müssen insbesondere geregelt sein:

a. die Begutachtungs- oder Prüfkriterien, mit denen die Einhaltung der Zertifizierungsvoraussetzungen überprüft werden;

b. der Ablauf des Verfahrens, insbesondere das Vorgehen bei festgestellten Unregelmässigkeiten;

c. die Verwendung des vom BAG zur Verfügung gestellten Zertifizierungssystems zur Prüfung der Datenübertragung von Gemeinschaften und Stammgemeinschaften.

⁴Das EDI legt die Mindestanforderungen an die Qualifikation des Personals, welches Zertifizierungen durchführt, fest.

Secondo LUKS i requisiti posti agli organismi di certificazione sono troppo elevati e devono essere ridotti al minimo praticabile. Lo stesso è richiesto da PKS, SSIM e FMH. Questi ultimi scrivono che gli elevati requisiti provocano costi di accreditamento eccessivi, senza migliorare sensibilmente la sicurezza dell’intero sistema. STSAG chiede che i requisiti delle comunità siano definiti e controllati attraverso le comunità di riferimento e non tramite un organismo di accreditamento. Per le comunità di riferimento dovrebbe essere previsto l’accreditamento e per le comunità solo una certificazione.

A proposito dell’articolo 27 capoverso 1, BRH, CURAVIVA, Insos e il Cantone TG ripetono il parere espresso sull’articolo 22 lettera a, mentre senesuisse ribadisce il suo parere sull’articolo 22 lettera b. SQS sottolinea l’importanza fondamentale della protezione e della sicurezza dei dati per la cartella informatizzata del paziente. Secondo il rapporto esplicativo sulla LCIP il rispetto deve essere assicurato attraverso la procedura di certificazione. In particolare si fa riferimento alla procedura di certificazione secondo l’articolo 11 LPD. In questo settore è particolarmente importante applicare i principi e le procedure riconosciuti a livello internazionale. La certificazione OCPD soddisfa questo criterio perché comprende ampie parti della norma internazionale ISO/IEC 27001 riguardo agli aspetti della sicurezza delle informazioni e dei dati, che sono contemplati nel numero 3 delle direttive per la certificazione dell’organizzazione e della procedura, e perché i requisiti del sistema di gestione della protezione e della sicurezza dei dati fanno parte di questa certificazione specifica. L’accreditamento degli organismi di certificazione e i requisiti posti al personale sono disciplinati nell’OCPD. Inoltre negli ultimi anni la certificazione OCPD ha dato buoni risultati nell’ambito delle certificazioni prescritte dalla legge per i servizi di ricezione dei dati degli assicuratori malattia. SQS chiede la seguente modifica dell’articolo 27 capoverso 1: «[…] sowie nach der Verordnung für Datenschutzzertifizierungen (VDSZ) vom 28. September 2007, soweit […]».