Erläuternder Bericht

Erläuternder Bericht zur Verordnung über die Arzneimittel (VAM)

Gestützt auf Artikel 62a Absatz 3 revHMG wurden die zum Vollzug des Datenschutzes erforderlichen Ausführungsbestimmungen konkretisiert. Sie betreffen folgende Teilbereiche:

- die Verantwortlichkeit bei der Datenbearbeitung (Bst. a)

- den Umfang der Zugriffsberechtigungen durch Abrufverfahren (Bst. b)

- die Aufbewahrungsdauer der Daten (Bst. c)

- die Archivierung und Vernichtung der Daten (Bst. d)

- die Datensicherheit (Bst. e)

Mit der vorliegenden Revision der VAM sollen ebendiese Vorgaben auf Verordnungsebene umgesetzt werden.

Betroffen sind gemäss Artikel 62a Absatz 1 revHMG nebst der vorliegenden Verordnung auch die AMBV, die Medizinprodukteverordnung (MepV; SR 812.213) sowie die Verordnung über klinische Versuche (KlinV; SR 810.305). Diese sollen jedoch nicht im Rahmen des vorliegenden Heilmittelverordnungspakets, sondern im Zuge weiterer in naher Zukunft zu realisierender Regulierungsprojekte angepasst werden. Die vorliegende Revision soll diesen, vorbehältlich verordnungsspezifischer Anpassungen, als Modell dienen.

Artikel 73 Bearbeitung von Personendaten

In diesem Artikel wird klargestellt, dass sich die Befugnis zur Bearbeitung von Personendaten ausschliesslich auf die nach dieser Verordnung übertragenen Aufgaben bezieht. Nebst Swissmedic, als für den Vollzug auf Bundesebene zuständiges Organ, werden auch von ihr beauftragte Dritte von der Regelung erfasst.

Zudem wird festgelegt, in welchem Ausmass die Bearbeitung der Daten erfolgen darf, indem die entsprechenden Kategorien von Daten genannt werden. Hierbei handelt es sich zum einen um Daten über die Gesundheit von Patientinnen und Patienten, bspw. um solche, welche im Rahmen von eingehenden Meldungen unerwünschter Arzneimittelwirkungen übermittelt werden (Buchstabe a). Zum anderen aber auch um solche, deren Erhebung im Rahmen von Bewilligungserteilungen zur Beurteilung der Eignung bspw. einer Pharmacovigilance-verantwortlichen Person (Buchstabe b) oder einer fachtechnisch verantwortlichen Person (Buchstabe c) unentbehrlich sind.

Wie bereits erwähnt, handelt es sich bei den angesprochenen Personendaten, um solche über die Gesundheit, welche auch demographische Daten wie Initialen und Geburtsdaten enthalten können.

Artikel 74 Betrieb von Informationssystemen

Bei einem Informationssystem handelt sich es um ein System, das Daten produziert, beschafft und verarbeitet resp. um die Summe aller geregelten betriebsinternen und -externen Informationsverbindungen sowie deren technische und organisatorische Einrichtung zur Informationsgewinnung und -verarbeitung²⁴. Häufig wird der Begriff in Zusammenhang mit der elektronischen Datenverarbeitung verwendet. Vorliegend werden indessen nicht nur computergestützte Informationssysteme angesprochen. Vielmehr bezieht sich die Bestimmung auf alle von Swissmedic betriebenen Informationssysteme, welche im Zusammenhang mit der Pharmacovigilance von Bedeutung sind, d.h. auch auf physische Dokumente- oder Geschäftsverwaltungssysteme.

Absatz 1 stellt klar, dass die Verantwortlichkeit bezüglich des sicheren Betriebes seiner Informationssysteme und der Rechtmässigkeit der Datenbearbeitung bei Swissmedic liegt.

Bei den von der Bestimmung reglementarisch vorzusehenden Inhalten handelt es sich beispielsweise um Vorkehren gegen die unbefugte oder zufällige Vernichtung, den zufälligen Verlust, die Fälschung, den Diebstahl oder die widerrechtliche Verwendung von Daten; den unbefugten Zugriff (vgl. hierzu auch sogleich untenstehend die Ausführungen zu Artikel 79), das Ändern, Kopieren oder andere unbefugte Bearbeitungen. Vorsorgemassnahmen gegen und die Behebung von technischen Fehlern sind ebenfalls Gegenstand der Bestimmung. Diese – im Sinne des Artikels 20 der Verordnung vom 14. Juni 1993