Erläuternder Bericht

Erläuternder Bericht MepV und KlinV-Mep

Art. 75 Befugnisse

Redaktionell angepasst, ansonsten unverändert zu Artikel 26 aMepV.

Art. 76 Mitwirkungs- und Auskunftspflicht

Redaktionell angepasst, ansonsten unverändert zu Artikel 26b aMepV.

10. Kapitel: Datenbearbeitung

Im ersten Abschnitt befinden sich die allgemeinen Datenschutzbestimmungen. Für das zur Marktüberwachung zentrale System, das Informationssystem Medizinprodukte nach Artikel 62c revHMG (Informationssystem Medizinprodukte), sind die spezifischen Anforderungen des zweiten Abschnittes zu beachten.

1. Abschnitt: Datenbearbeitung im Allgemeinen (Art. 77 - 80)

Die Swissmedic kann gestützt auf Artikel 62a revHMG Personendaten - auch besonders schützenswerte - bearbeiten. Artikel 77 konkretisiert diese allgemeine Befugnis. Die Swissmedic bearbeitet namentlich Daten im Rahmen der Marktüberwachung bzw. Vigilance sowie Daten zur Vigilance-Kontaktperson. Nebst der Swissmedic, als für den Vollzug auf Bundesebene zuständiges Organ, werden auch von ihr beauftragte Dritte von der Regelung erfasst.

Unter den Begriff der Informationssysteme nach Artikel 78 fallen nicht nur computergestützte Informationssysteme. Vielmehr bezieht sich die Bestimmung auf alle von der Swissmedic betriebenen Informationssysteme, welche im Zusammenhang mit der Marktüberwachung und Vigilance von Bedeutung sind, d.h. auch auf physische Dokumente- oder Geschäftsverwaltungssysteme. Das zentrale System im Bereich der Medizinprodukte bildet das Informationssystem Medizinprodukte. Für das Informationssystem Medizinprodukte gelten jedoch die speziellen Bestimmungen des zweiten Abschnittes.

Absatz 1 von Artikel 78 stellt klar, dass die Verantwortlichkeit bezüglich des sicheren Betriebes ihrer Informationssysteme und der Rechtmässigkeit der Datenbearbeitung bei der Swissmedic liegt. Bei den gemäss der Bestimmung reglementarisch vorzusehenden Inhalten handelt es sich beispielsweise um Vorkehren gegen die unbefugte oder zufällige Vernichtung, den zufälligen Verlust, die Fälschung, den Diebstahl oder die widerrechtliche Verwendung von Daten; den unbefugten Zugriff, das Ändern, Kopieren oder andere unbefugte Bearbeitungen. Vorsorgemassnahmen, wie z.B. die Validierung computergestützter Systeme, gegen und die Behebung von technischen Fehlern sind ebenfalls Gegenstand der Bestimmung.

Diese – im Sinne des Artikels 20 der Verordnung vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz (VDSG; SR 235.11) getroffenen – Massnahmen können technischer, aber auch rein organisatorischer Natur sein oder einander ergänzen. Als Beispiele zu nennen sind etwa Zugangskontrollen, Personendatenkontrollen, Transportkontrollen, Bekanntgabekontrollen, Speicherkontrolle, Benutzerkontrolle, Zugriffskontrolle oder die Eingabekontrolle.

Der Zugriff auf die Informationssysteme von der Swissmedic ist grundsätzlich beschränkt auf den institutsinternen Gebrauch (Art. 79). Für das Informationssystem Medizinprodukte bestehen auch hier besondere Bestimmungen (siehe unten). Ein Zugriff auf die Informationssysteme darf grundsätzlich nur erfolgen, soweit dies für die Erfüllung der jeweiligen Aufgaben auch tatsächlich notwendig ist. Damit wird die Möglichkeit des Zugriffs entsprechend dem datenschutzrechtlichen Verhältnismässigkeitsprinzip auf das zur Verrichtung der jeweiligen Tätigkeit notwendige Mass beschränkt.

Personendaten werden während zehn Jahren nach dem letzten Eintrag aufbewahrt (Art. 80). Hinsichtlich der Aufbewahrung von Personendaten im Informationssystem Medizinprodukte bestehen andere Fristen (siehe unten).