Erläuternder Bericht

aufgeführten Anforderungen, weitere Vorgaben sicherstellen. Dazu gehören insbesondere die Information der Gesundheitsfachpersonen über deren Aufgaben, Rechte und Pflichten bei der Bearbeitung von Daten des elektronischen Patientendossiers (vgl. auch Ziffer 4.9.1 der TOZ). Ebenso deren Information über Risiken und Massnahmen in den Bereichen Datenschutz und Datensicherheit. Gemeinschaften müssen zudem Verfahren für die Einwilligung von Gesundheitsfachpersonen zu den spezifischen Richtlinien der Gemeinschaft oder zu spezifischen darauf aufbauenden Richtlinien der jeweiligen Gesundheitseinrichtungen umsetzen (vgl. Ziff. 1.2.2.1 der TOZ). Zudem ist das konkrete Vorgehen bei einem Austritt einer Gesundheitsfachperson aus einer Gemeinschaft (z.B. infolge Wechsel der Anstellung, Beendigung der Berufstätigkeit oder Tod) festzulegen. Die Aufnahme, die Mutation oder der Austritt einer Gesundheitsfachperson setzt zwingend voraus, dass ihre Gesundheitseinrichtung bereits in die Gemeinschaft eingetreten ist. Sie können diese Aufgaben den ihr angeschlossenen Gesundheitseinrichtungen übertragen.

Die Identifikation einer Gesundheitsfachperson nach Buchstabe b muss, sofern sie nicht mit einem Identifikationsmittel eines nach Artikel 30 zertifizierten Herausgebers durchgeführt werden kann, den Anforderungen nach Artikel 23 entsprechen. Zusätzlich muss die Gemeinschaft sicherstellen, dass es sich um eine Gesundheitsfachperson nach Artikel 2 Buchstabe b EPDG handelt (vgl. Ziff. 1.2.2.3 der TOZ). Dazu kann entweder ein Identifikationsmittel verwendet werden, dessen Herausgeber die berufliche Qualifikation im Rahmen der Herausgabe nach Artikel 23 Absatz 2 überprüft hat, oder auf den Eintrag in einem kantonalen oder eidgenössischen Berufsregister (z. B. des Registers über die universitären Medizinalberufe «MedReg», des Registers der Psychologieberufe «PsyReg» oder des Gesundheitsberuferegisters «NAREG») abgestützt werden.

Die Daten der Gesundheitsfachpersonen müssen nach Buchstabe c im Abfragedienst für Gesundheitseinrichtungen und Gesundheitsfachpersonen nach Artikel 40 eingetragen, aktualisiert oder gegebenenfalls gelöscht werden. Sofern die Gesundheitsfachperson in einem eidgenössischen oder kantonalen Berufsregister (z. B. MedReg, NAREG, etc.) geführt wird, sind diese Angaben in den Abfragedienst zu übernehmen (vgl. Ziff. 1.2.2.5 der TOZ). Dabei ist insbesondere sicherzustellen, dass nur Gesundheitsfachpersonen im Abfragedienst geführt werden, die der Definition nach Artikel 2 Buchstabe b EPDG entsprechen, für die jeweilige Gesundheitseinrichtung tätig sind und die einen Zugang zum elektronischen Patientendossier benötigen.

Nach Buchstabe d darf der Zugriff von Gesundheitsfachpersonen auf das elektronische Patientendossier nur mit einem gültigen Identifikationsmittel erfolgen, welches von einem nach Artikel 30 zertifizierten Herausgeber herausgegeben wurde. Dabei ist es unerheblich, ob der Zugriff über das Zugangsportal für Gesundheitsfachpersonen (Art. 10) oder andere Systeme (z. B. integrierter Zugang im Primärsystem) erfolgt. Das bedeutet, dass Systeme, die von Gesundheitsfachpersonen oder Hilfspersonen für den Zugriff auf das elektronische Patientendossier genutzt werden, ein starkes Authentifizierungsverfahren mit mindestens zwei Authentifizierungsfaktoren als Voraussetzung für die Bearbeitung von Daten des elektronischen Patientendossiers unterstützen müssen (vgl. Ziff. 1.4.3 der TOZ). Eine so erfolgte Authentifizierung anderer zertifizierter Gemeinschaften, ist als vertrauenswürdig anzuerkennen.

Gemeinschaften müssen die eindeutigen Identifikatoren der Identifikationsmittel von Gesundheitsfachpersonen und Hilfspersonen zuverlässig mit der registrierten Identität der jeweiligen Person in der Gemeinschaft verbinden (vgl. Ziff. 1.4.2 der TOZ). Der Identifikator wird in der Regel durch den Identitätsdienstleister (Herausgeber des Identifikationsmittels) im Kontext der Authentifizierung, an den Zugangspunkt des internen Zugangsportals übermittelt.

Gesundheitsfachpersonen können Hilfspersonen für die Bearbeitung von Daten des elektronischen Patientendossiers einsetzen, sofern deren Zugehörigkeit zu einer für sie verantwortlichen Gesundheitsfachperson gemeinschaftsintern verwaltet wird. Da sie nicht im Abfragedienst der Gesundheitseinrichtungen und Gesundheitsfachpersonen nach Artikel 40 geführt werden, können sie von Patientinnen und Patienten nicht als eigenständige Personen in der Berechtigungssteuerung verwaltet werden. Für die Identifikation und den Zugriff von Hilfspersonen sind die Bestimmungen von Artikel 8 Buchstaben b und