Rapporto sui risultati

Sezione 2: Zertifizierungsverfahren

Art. 31 Ablauf

¹In einem Voraudit prüft die Zertifizierungsstelle, ob der Gesuchsteller oder die Gesuchstellerin auf das Kontrollverfahren vorbereitet ist, und beurteilt und dokumentiert dessen oder deren Unterlagen.

²Im anschliessenden Zertifizierungsaudit überprüft sie anhand ihrer Begutachtungs- oder Prüfkriterien die Wirksamkeit der durch die Gesuchstellerin oder den Gesuchsteller getroffenen Massnahmen.

³Sie erteilt das Zertifikat, wenn Voraudit und Zertifizierungsaudit zum Ergebnis führen, dass die Gemeinschaft, die Stammgemeinschaft oder der Herausgeber von Identifikationsmitteln die jeweiligen Anforderungen nach den Artikeln 8–12, 8–20 oder 22–26 erfüllen.

Posta è del parere che la OAccD citata nell’articolo 27 capoverso 1 sia sufficiente per la certificazione e che l’articolo 31 debba essere pertanto stralciato. Mentre il Cantone AG approva le tappe di certificazione descritte, FMH critica i requisiti troppo elevati e ammonisce da un’eccessiva regolamentazione della procedura di certificazione. Concretamente chiede lo stralcio dell’articolo 31. SQS segnala che nella sezione 2 dell’OCIP, relativa alla procedura di certificazione, manca l’indicazione dei termini per la sospensione o la revoca definitiva. Se le comunità di riferimento e le comunità venissero certificate in base a una norma esistente, i termini sarebbero disciplinati nell’ambito di tale norma. Sono possibili due varianti, che dipendono dalla norma di certificazione scelta o dalla possibilità che l’OCIP stabilisca una propria procedura di certificazione per le certificazioni nell’ambito della cartella informatizzata del paziente. Una sospensione o una revoca della certificazione da parte dell’organismo di certificazione a causa di irregolarità o gravi divergenze constatate avrebbe un impatto diretto sull’autorizzazione degli ospedali o di altri istituti e quindi sulla loro possibilità di operare a carico dell’assicurazione malattie. Per questo motivo, la fissazione dei termini procedurali in caso di revoca o sospensione della certificazione deve rispettare le condizioni del diritto procedurale pubblico. Ciò parla a favore di una fissazione specifica dei termini nell’OCIP. Le due procedure relative alla sospensione e alla revoca delle certificazioni – da un lato secondo il diritto pubblico riguardante le condizioni di autorizzazione secondo la LAMal e dall’altro secondo le disposizioni sulla certificazione stabilite nelle norme ISO – non coincidono affatto nei termini e nelle vie legali. Per questo motivo è importante disciplinare i termini nell’ambito delle condizioni di certificazione nella sezione 2 OCIP e stabilire dei termini adeguati.

La variante a richiede l’aggiunta del seguente capoverso all’articolo 31: «Das Zertifizierungsverfahren von Stammgemeinschaften und Gemeinschaften richtet sich nach der Verordnung über die Datenschutzzertifizierungen (VDSZ) vom 28. September 2007, soweit die vorliegende Verordnung keine abweichenden Vorschriften enthält». Nella variante b si tratta invece di completare la sezione 2 «Procedura di certificazione» del capitolo 6 OCIP aggiungendo delle disposizioni sui termini per l’eliminazione di gravi divergenze nonché la sospensione e la revoca. OFAC ricorda la sua esperienza con i processi simultanei di certificazione ISO 27001 e OCPD sin dal 2009. La sovrapposizione delle norme ISO 29115 e dei requisiti specifici per le eID dei fornitori di prestazioni in campo sanitario nonché la conformità al profilo di protezione dell’eID rappresentano un volume normativo e di certificazione (nei giorni di audit), che deve essere ripartito su un arco di tempo da definire. Auspica quindi delle disposizioni transitorie in questo campo.

Art. 32 Meldung an das BAG

¹Die Zertifizierungsstelle teilt dem BAG jedes erteilte und erneuerte Zertifikat sowie Sistierungen oder Entzüge von Zertifikaten innert angemessener Frist mit und stellt die für den Eintrag in den Abfragedienst für die zertifizierten Gemeinschaften und Stammgemeinschaften nach Artikel 39 notwendigen Daten zur Verfügung.

²Das BAG veröffentlicht ein Verzeichnis der erteilten Zertifikate.

CURAVIVA, Insos e il Cantone TG ripetono i loro pareri sull’articolo 20 capoverso 2 lettera a. Posta approva espressamente l’articolo 32.