Rapporto esplicativo

Rapporto esplicativo ODmed e OSRUm-Dmed

Sezione 1: Trattamento dei dati in generale (art. 77–80)

In virtù dell’articolo 62a revLATer Swissmedic può trattare i dati personali, anche quelli degni di particolare protezione. L’articolo 77 concretizza questa facoltà generale. Swissmedic tratta principalmente i dati rilevati nell’ambito della sorveglianza del mercato e della vigilanza nonché i dati riguardanti la persona di contatto per la materiovigilanza. Oltre a Swissmedic,

come organo competente per l’esecuzione a livello federale, il disciplinamento include anche i terzi da esso incaricati.

Nel concetto di sistemi d’informazione di cui all’articolo 78 rientrano non solo i sistemi di informazione computerizzati, ma anche tutti i sistemi di informazione gestiti da Swissmedic pertinenti per la sorveglianza del mercato e la vigilanza, e cioè anche i sistemi fisici di gestione degli affari o dei documenti. Il sistema centrale nel settore dei dispositivi medici è il sistema di informazione per i dispositivi medici. Per questo sistema valgono tuttavia le disposizioni particolari della sezione 2.

Il capoverso 1 dell’articolo 78 chiarisce che la responsabilità della gestione sicura dei propri sistemi d’informazione e della legittimità del trattamento dei dati compete a Swissmedic. I contenuti che devono essere previsti a livello regolamentare conformemente alla presente disposizione sono per esempio i provvedimenti contro la distruzione accidentale o non autorizzata, la perdita accidentale, la falsificazione, il furto o l’uso illecito di dati, l’accesso non autorizzato, la modifica, la copia o altri trattamenti non autorizzati. Anche le misure preventive, come per esempio la convalida di sistemi computerizzati, contro gli errori tecnici e la loro eliminazione sono oggetto della disposizione. Tali misure, adottate ai sensi dell’articolo 20 dell’ordinanza del 14 giugno 1993 relativa alla legge federale sulla protezione dei dati

(OLPD; RS 235.11), possono essere di natura tecnica ma anche puramente organizzativa o completarsi a vicenda. Come esempi si possono menzionare il controllo degli ingressi, dei dati personali, del trasporto, delle comunicazioni, della memoria, degli utenti, degli accessi o dell’immissione di dati.

L’accesso ai sistemi d’informazione da parte di Swissmedic è in generale limitato all’uso interno all’Istituto (art. 79). Per il sistema di informazione per i dispositivi medici sono previste anche in questo caso disposizioni particolari (v. più avanti). L’accesso ai sistemi d’informazione può avvenire in linea di principio soltanto se è effettivamente necessario allo svolgimento dei rispettivi compiti. In questo modo la possibilità di accesso secondo il principio di proporzionalità del diritto in materia di protezione dei dati è limitata alla misura necessaria all’esercizio della relativa attività.

I dati personali vengono conservati per dieci anni dall’ultimo inserimento (art. 80). Per la conservazione di dati personali nel sistema di informazione per i dispositivi medici vengono fissati altri termini (v. più avanti).

Sezione 2: Sistema di informazione per i dispositivi medici (art. 81–90)

Swissmedic tratta i dati presenti nel sistema di informazione per i dispositivi medici in adempimento dei propri compiti di autorità di sorveglianza del mercato nel settore dei dispositivi medici. Pertanto è responsabile del trattamento dei dati secondo l’articolo 16 capoverso 1 della legge federale sulla protezione dei dati (LPD; RS 235.1) (art. 81; cfr. art. 33 par. 9 MDR). Il finanziamento di tutte le spese legate al sistema di informazione per i dispositivi medici avviene mediante il contributo federale corrisposto a Swissmedic, il cui montante aumenterà di 5,7 milioni di franchi all'anno.

Laddove l’ODmed non contiene disposizioni al riguardo, si applica la LPD. Questo viene sancito espressamente per la garanzia della protezione e della sicurezza dei dati (art. 82), i diritti delle persone interessate e la rettifica dei dati (art. 86 cpv. 1) nonché come principio generale (art. 90). La tracciabilità delle modifiche nel sistema serve a garantire la sicurezza dei dati, motivo per cui i dati devono essere verbalizzati automaticamente (art. 82 cpv. 3). Come per Eudamed, anche per il sistema di informazione per i dispositivi medici occorre assicurare