Rapporto esplicativo

Rapporto esplicativo concernente l’ordinanza sui medicamenti (OM)

dei documenti fisici.

Il capoverso 1 chiarisce che la responsabilità della gestione sicura dei suoi sistemi d’informazione e della legalità del trattamento dei dati spetta a Swissmedic.

I possibili contenuti previsti a livello regolamentare dalla disposizione sono per esempio i provvedimenti contro la distruzione accidentale o non autorizzata, la perdita accidentale, la falsificazione, il furto o l’uso illecito dei dati, l’accesso non autorizzato (cfr. anche quanto esposto in seguito all’articolo 79), la modifica, la copia o altri trattamenti non autorizzati. Anche le misure preventive contro gli errori tecnici e la loro eliminazione sono oggetto della disposizione. Tali misure, adottate ai sensi dell’articolo 20 dell’ordinanza del 14 giugno 1993 relativa alla legge federale sulla protezione dei dati (OLPD; RS 235.11), possono essere di natura tecnica ma anche puramente organizzativa o completarsi a vicenda. Come esempi si possono menzionare il controllo degli ingressi nelle installazioni, dei dati personali, del trasporto, delle comunicazioni, della memoria, degli utenti, degli accessi o dell’immissione ei dati.

Come sistema d’informazione computerizzato, in questo contesto è importante innanzitutto la Banca dati nazionale di vigilanza (ora «VigiFlow»), in cui sono raccolte e trattate le notificazioni sulla vigilanza in entrata. Oggi la banca dati è ospitata e gestita, su incarico di Swissmedic, dal Centro di monitoraggio di Uppsala (UMC) dell’OMS in Svezia. I dati confluiscono nella banca dati di vigilanza globale gestita dall’UMC e servono alla redazione di rapporti e alla consulenza, basate sull’analisi delle relazioni sulla sicurezza riguardanti casi specifici (ICSR), per l’OMS e i suoi Stati membri. VigiFlow tuttavia non soddisfa più i requisiti odierni di Swissmedic di uno strumento moderno di farmacovigilanza. Swissmedic intende pertanto sostituirlo, al più tardi entro la fine del 2017, con un sistema di segnalazione di eventi avversi (AERS) moderno e adeguato alle esigenze effettive. In questo modo si dimostra anche che i sistemi d’informazione computerizzati sono in costante trasformazione e solo raramente persistono nella stessa forma per un periodo prolungato – a meno che non siano ulteriormente sviluppati o sostituiti (sotto un altro nome). Per questo motivo, nella presente ordinanza non è opportuno fare riferimento a sistemi d’informazione specifici. La disposizione resta pertanto aperta ed è formulata senza menzionare un utilizzo o un nome di sistema specifico.

Con la delega di compiti nell’ambito della vigilanza definita al capoverso 3, ci si riferisce innanzitutto alla collaborazione con i sei centri regionali di farmacovigilanza. Esistono già oggi accordi contrattuali relativi al coinvolgimento di questi servizi nell’analisi delle notificazioni di vigilanza.

Articolo 75 Diritti d’accesso

La presente disposizione stabilisce la portata dei diritti d’accesso, chiarendo che soltanto i collaboratori di Swissmedic attivi nell’ambito della vigilanza e della sorveglianza del mercato otterranno l’accesso ai dati. Si tratta pertanto di una limitazione di accesso già interna all’Istituto, dato che non riguarderà affatto tutti i collaboratori interessati dal tema.

La norma si riferisce tuttavia anche a tutte le procedure di richiamo (attuali e future) rilevanti in questo contesto, ossia alle banche dati in cui Swissmedic mette o metterà a disposizione di terzi i dati secondo il principio della libera consultazione (tramite l’accesso online). Per terzi si intendono ora esclusivamente i centri di farmacovigilanza regionali già menzionati. Non vi sono al momento ulteriori o altre persone autorizzate all’accesso. Non è escluso però che ve ne saranno in futuro.

Inoltre la disposizione sancisce che un accesso ai sistemi d’informazione può avvenire soltanto se è effettivamente necessario all’adempimento dei rispettivi compiti. In questo modo la possibilità di accesso secondo il principio di proporzionalità del diritto in materia di protezione dei dati è limitata alla misura necessaria all’esercizio della relativa attività. Per gli amministratori (responsabili delle applicazioni) di Swissmedic nonché per i terzi incaricati questo significa che è permesso loro soltanto di accedere ai dati rilevanti per le attività di assistenza, manutenzione o programmazione del sistema (in particolare ai dati del sistema e ai dati degli utenti, ad esempio quelli riguardanti l’attribuzione dei diritti d’accesso). Infine gli accessi sono registrati e i relativi dati sono conservati per due anni. Obiettivo della verbalizzazione è consentire la trasparenza delle modifiche e garantire così il rispetto della protezione dei dati. Ciò consente la migliore sorveglianza possibile degli accessi effettuati e costituisce il presupposto per un eventuale intervento. Anche alla verbalizzazione si applica il principio della proporzionalità, in base