32026R2099•Regolamento di esecuzione (UE) 2026/2099 della Commissione, del 21 settembre 2026, relativo a un meccanismo interoperabile e transfrontaliero di identificazione e autenticazione delle persone fisiche, dei professionisti sanitari e dei prestatori di assistenza sanitaria ai fini dello scambio transfrontaliero di dati sanitari elettronici personali
Regolamento di esecuzione (UE) 2026/2099 della Commissione, del 21 settembre 2026, relativo a un meccanismo interoperabile e transfrontaliero di identificazione e autenticazione delle persone fisiche, dei professionisti sanitari e dei prestatori di assistenza sanitaria ai fini dello scambio transfrontaliero di dati sanitari elettronici personali
32026R2099Regulation26 mar 2029
del 21 settembre 2026
relativo a un meccanismo interoperabile e transfrontaliero di identificazione e autenticazione delle persone fisiche, dei professionisti sanitari e dei prestatori di assistenza sanitaria ai fini dello scambio transfrontaliero di dati sanitari elettronici personali
(Testo rilevante ai fini del SEE)
Preamble
LA COMMISSIONE EUROPEA,
visto il trattato sul funzionamento dell’Unione europea,
visto il regolamento (UE) 2025/327 del Parlamento europeo e del Consiglio, dell’11 febbraio 2025, sullo spazio europeo dei dati sanitari e che modifica la direttiva 2011/24/UE e il regolamento (UE) 2024/2847 1 , in particolare l’articolo 16, paragrafo 2,
considerando quanto segue:
(1) Il regolamento (UE) 2025/327 mira a migliorare lo scambio transfrontaliero di dati sanitari elettronici personali per garantire la continuità dell’assistenza sanitaria. Un numero sempre maggiore di persone fisiche che risiedono in uno Stato membro dell’Unione riceve assistenza sanitaria in un altro Stato membro e le cartelle cliniche elettroniche di tali pazienti sono sempre più sparse tra i sistemi sanitari di diversi Stati membri, che utilizzano identificatori diversi per identificare le persone fisiche e le loro cartelle cliniche. Analogamente, i mezzi per identificare i professionisti sanitari e i prestatori di assistenza sanitaria variano da uno Stato membro all’altro. Per agevolare lo scambio di dati sanitari elettronici personali in un contesto transfrontaliero attraverso la piattaforma LaMiaSalute@UE (MyHealth@EU) di cui all’articolo 23, paragrafo 1, del regolamento (UE) 2025/327, occorre identificare i soggetti coinvolti nello scambio e abbinare le identità delle persone fisiche alle relative cartelle cliniche elettroniche. È pertanto necessario stabilire le prescrizioni relative a un meccanismo interoperabile e transfrontaliero di identificazione e autenticazione delle persone fisiche, dei professionisti sanitari e dei prestatori di assistenza sanitaria.
(2) Un modo efficiente e non intrusivo per localizzare i dati sanitari elettronici personali consiste nell’utilizzare i dati di identificazione assegnati alle persone fisiche nel sistema sanitario nazionale del loro Stato membro di affiliazione. Poiché i dati di identificazione impiegati nei vari Stati membri differiscono, è opportuno imporre agli Stati membri di determinare i dati di identificazione da utilizzare per identificare le persone fisiche ai fini dello scambio transfrontaliero di dati sanitari elettronici personali e di notificare tali dati alla Commissione in vista della loro pubblicazione. Le prescrizioni per il meccanismo transfrontaliero di identificazione e autenticazione devono essere conformi al regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio 2 . Inoltre, a norma dell’articolo 5 septies , paragrafi 1 e 2, del regolamento (UE) n. 910/2014, i sistemi forniti da organismi del settore pubblico e i servizi online forniti da parti private facenti affidamento sulla certificazione che richiedono l’identificazione o l’autenticazione elettronica per l’accesso ai servizi online devono accettare i portafogli europei di identità digitale di cui all’articolo 5 bis del regolamento (UE) n. 910/2014, qualora le persone fisiche scelgano di utilizzarli. Al fine di agevolare lo scambio transfrontaliero di dati sanitari elettronici personali, le persone fisiche dovrebbero poter chiedere al loro Stato membro di affiliazione il rilascio dei loro dati di identificazione per l’assistenza sanitaria transfrontaliera sotto forma di un attestato elettronico di attributi sanitari da conservare nel loro portafoglio europeo di identità digitale. Inoltre, le persone fisiche dovrebbero poter condividere i loro attributi sanitari con i professionisti sanitari e i prestatori di assistenza sanitaria stabiliti in un altro Stato membro per consentire al professionista sanitario o al prestatore di assistenza sanitaria di localizzare i dati sanitari elettronici personali alla fonte.
(3) Quando una persona fisica, agendo in qualità di rappresentante autorizzato o di rappresentante legale, intende accedere ai dati sanitari elettronici personali di un’altra persona fisica tramite LaMiaSalute@UE (MyHealth@EU), il professionista sanitario o il prestatore di assistenza sanitaria dovrebbe verificare l’identità della prima persona. Per verificare la validità del mandato di quest’ultima ad agire in tale veste, il professionista sanitario o il prestatore di assistenza sanitaria può fare affidamento sulle informazioni fornite dallo Stato membro di affiliazione pertinente, in quanto è tale Stato membro ad avere la fonte delle informazioni sui mandati di rappresentanza.
(4) Prima di avviare o richiedere lo scambio transfrontaliero di dati sanitari elettronici personali di una persona fisica tramite LaMiaSalute@UE (MyHealth@EU), i professionisti sanitari e i prestatori di assistenza sanitaria dovrebbero essere identificati e autenticati e la persona fisica interessata dovrebbe essere identificata. Tale identificazione e tale autenticazione sono necessarie per garantire il trattamento sicuro dei dati sanitari elettronici personali, impedire l’accesso non autorizzato e consentire la fornitura delle informazioni sull’accesso ai dati come previsto dall’articolo 9 del regolamento (UE) 2025/327. Qualora, per tali scopi, siano utilizzati mezzi di identificazione elettronica, essi dovrebbero fornire almeno il livello di garanzia «significativo» di cui all’articolo 8, paragrafo 2, lettera b), del regolamento (UE) n. 910/2014. Il portafoglio europeo di identità digitale fornisce il livello di garanzia «elevato» di cui all’articolo 8, paragrafo 2, lettera c), di tale regolamento. A decorrere dal 26 marzo 2030 tutti i mezzi di identificazione elettronica utilizzati per l’identificazione delle persone fisiche i cui dati sanitari elettronici personali sono scambiati tramite LaMiaSalute@UE (MyHealth@EU) dovrebbero fornire il livello di garanzia «elevato». A decorrere dal 26 marzo 2032 tutti i mezzi di identificazione elettronica utilizzati per l’identificazione e l’autenticazione dei professionisti sanitari ai fini di tali scambi dovrebbero fornire il livello di garanzia «elevato». Tale approccio graduale serve a concedere tempo sufficiente per ultimare la diffusione dei mezzi di identificazione elettronica negli Stati membri.
(5) Qualora gli Stati membri utilizzino un mezzo di identificazione elettronica che non è stato notificato alla Commissione a norma del regolamento (UE) n. 910/2014, il livello di garanzia «elevato» di tale mezzo dovrebbe essere confermato da un organismo di valutazione della conformità di cui all’articolo 2, punto 13), del regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio 3 o da un organismo equivalente. Tale prescrizione dovrebbe applicarsi indipendentemente dal fatto che lo scambio transfrontaliero riguardi la trasmissione di dati a un altro Stato membro o la ricezione di dati da un altro Stato membro.
(6) Il punto di contatto nazionale per la sanità digitale che richiede lo scambio transfrontaliero di dati sanitari elettronici personali di una persona fisica dovrebbe comunicare i dati di identificazione del professionista sanitario o del prestatore di assistenza sanitaria al punto di contatto nazionale per la sanità digitale dello Stato membro al quale è inviata la richiesta.
(7) Il trattamento di dati personali a norma del presente regolamento è soggetto ai regolamenti (UE) 2016/679 4 e (UE) 2018/1725 5 del Parlamento europeo e del Consiglio, a seconda dei casi. Il rilascio degli attributi sanitari è un compito di interesse pubblico affidato alle autorità competenti designate dagli Stati membri.
(8) Conformemente all’articolo 42, paragrafo 1, del regolamento (UE) 2018/1725, il Garante europeo della protezione dei dati è stato consultato e ha formulato il suo parere il 5 maggio 2026.
(9) Le misure di cui al presente regolamento sono conformi al parere del comitato istituito dall’articolo 98, paragrafo 1, del regolamento (UE) 2025/327,
HA ADOTTATO IL PRESENTE REGOLAMENTO:
Articolo 1
Oggetto
Il presente regolamento stabilisce le prescrizioni per il meccanismo interoperabile e transfrontaliero di identificazione e autenticazione delle persone fisiche, dei professionisti sanitari e dei prestatori di assistenza sanitaria ai fini dello scambio transfrontaliero di dati sanitari elettronici.
Articolo 2
Definizioni
Ai fini del presente regolamento si applicano le definizioni seguenti:
-
«attributo sanitario»: un attributo utilizzato per l’identificazione di una persona fisica ai fini dello scambio transfrontaliero di dati sanitari elettronici;
-
la definizione di «attributo» di cui all’articolo 3, punto 43), del regolamento (UE) n. 910/2014;
-
la definizione di «attestato elettronico di attributi» di cui all’articolo 3, punto 44), del regolamento (UE) n. 910/2014;
-
la definizione di «portafoglio europeo di identità digitale» di cui all’articolo 3, punto 42), del regolamento (UE) n. 910/2014;
-
la definizione di «autenticazione» di cui all’articolo 3, punto 5), del regolamento (UE) n. 910/2014.
Articolo 3
Serie nazionali di attributi sanitari delle persone fisiche
1. Ciascuno Stato membro stabilisce una serie di attributi sanitari da utilizzare per verificare l’identità delle persone fisiche in relazione alle loro cartelle cliniche elettroniche ai fini dello scambio transfrontaliero dei loro dati sanitari elettronici personali.
2. Ciascuno Stato membro notifica la propria serie di attributi sanitari alla Commissione entro il 26 marzo 2028. Gli Stati membri notificano quanto prima alla Commissione eventuali aggiornamenti successivi delle serie di attributi sanitari. La Commissione pubblica le serie di attributi sanitari degli Stati membri.
3. Su richiesta di una persona fisica, l’autorità competente dello Stato membro di affiliazione di tale persona rilascia gli attributi sanitari di tale persona fisica sotto forma di un attestato elettronico di attributi basato sulla serie di attributi sanitari definita a norma del paragrafo 1 al portafoglio europeo di identità digitale di tale persona.
Articolo 4
Identificazione e autenticazione delle persone fisiche per lo scambio transfrontaliero di dati sanitari elettronici personali
1. Prima di richiedere lo scambio di dati sanitari elettronici personali di una persona fisica tramite LaMiaSalute@UE (MyHealth@EU), il professionista sanitario o il prestatore di assistenza sanitaria identifica tale persona fisica. A tal fine, il professionista sanitario o il prestatore di assistenza sanitaria può raccogliere gli attributi sanitari della persona fisica.
2. Qualora un professionista sanitario o un prestatore di assistenza sanitaria richieda lo scambio di dati sanitari elettronici personali di una persona fisica tramite LaMiaSalute@UE (MyHealth@EU) a seguito di una richiesta presentata da una persona fisica online, tale professionista sanitario o prestatore di assistenza sanitaria identifica e autentica tale persona fisica utilizzando mezzi di identificazione elettronica rilasciati a norma del regolamento (UE) n. 910/2014. I mezzi di identificazione elettronica sono conformi alle prescrizioni del regolamento (UE) n. 910/2014 e forniscono un livello di garanzia almeno significativo quale definito all’articolo 8, paragrafo 2, lettera b), del regolamento (UE) n. 910/2014. A decorrere dal 26 marzo 2030 i mezzi di identificazione elettronica forniscono il livello di garanzia elevato di cui all’articolo 8, paragrafo 2, lettera c), dello stesso regolamento. I mezzi di identificazione elettronica sono notificati alla Commissione al livello di garanzia richiesto conformemente al regolamento (UE) n. 910/2014 oppure il loro livello di garanzia è confermato da un organismo di valutazione della conformità di cui all’articolo 2, punto 13), del regolamento (CE) n. 765/2008 o da un organismo equivalente.
3. Qualora una persona fisica sia stata autorizzata da un’altra persona fisica ad accedere ai dati sanitari elettronici personali di quest’ultima, o a parte di essi, per suo conto o agisca in qualità di rappresentante legale di un’altra persona fisica conformemente all’articolo 4, paragrafo 2, del regolamento (UE) 2025/327, il professionista sanitario o il prestatore di assistenza sanitaria identifica tale persona fisica e verifica che la persona fisica autorizzata o il rappresentante legale soddisfi i requisiti necessari per agire in tale veste.
Articolo 5
Prescrizioni per lo scambio transfrontaliero di attributi sanitari di persone fisiche
1. Qualora un punto di contatto nazionale per la sanità digitale richieda lo scambio di dati sanitari elettronici personali di una persona fisica da o verso un altro punto di contatto nazionale per la sanità digitale, il primo punto di contatto nazionale trasmette gli attributi sanitari dello Stato membro di affiliazione della persona fisica al secondo punto di contatto nazionale.
2. Il professionista sanitario o il prestatore di assistenza sanitaria che richiede lo scambio di dati sanitari elettronici personali a norma dell’articolo 4, paragrafo 1, indipendentemente dal fatto che la richiesta della persona fisica sia presentata di persona o online, accetta gli attributi sanitari forniti sotto forma di attestato elettronico di attributi utilizzando un portafoglio europeo di identità digitale.
3. Se i mezzi di identificazione utilizzati non forniscono tutti gli attributi sanitari, il professionista sanitario o il prestatore di assistenza sanitaria che richiede lo scambio di dati sanitari elettronici personali chiede informazioni supplementari alla persona fisica per completare la serie di attributi sanitari dello Stato membro di affiliazione della persona fisica.
Articolo 6
Identificazione, autenticazione e autorizzazione dei professionisti sanitari e dei prestatori di assistenza sanitaria per lo scambio transfrontaliero di dati sanitari elettronici personali
1. Ciascuno Stato membro elenca il soggetto o i soggetti responsabili dell’identificazione, dell’autenticazione e dell’autorizzazione del professionista sanitario o del prestatore di assistenza sanitaria che richiede lo scambio transfrontaliero di dati sanitari elettronici personali.
2. Prima che sia richiesto lo scambio transfrontaliero di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU), il soggetto o i soggetti di cui al paragrafo 1 identificano, autenticano e autorizzano il professionista sanitario o il prestatore di assistenza sanitaria che richiede tale scambio.
3. Il soggetto o i soggetti di cui al paragrafo 1 identificano e autenticano il professionista sanitario utilizzando mezzi di autenticazione elettronica che forniscono almeno il livello di garanzia significativo di cui all’articolo 8, paragrafo 2, lettera b), del regolamento (UE) n. 910/2014. A decorrere dal 26 marzo 2032 i mezzi di autenticazione elettronica dei professionisti sanitari forniscono il livello di garanzia elevato di cui all’articolo 8, paragrafo 2, lettera c), di tale regolamento. I mezzi di identificazione elettronica sono notificati alla Commissione al livello di garanzia richiesto conformemente al regolamento (UE) n. 910/2014 oppure il loro livello di garanzia è confermato da un organismo di valutazione della conformità di cui all’articolo 2, punto 13), del regolamento (CE) n. 765/2008 o da un organismo equivalente.
Articolo 7
Prescrizioni per lo scambio dei dati di identificazione del professionista sanitario e del prestatore di assistenza sanitaria
Quando il professionista sanitario o il prestatore di assistenza sanitaria richiede lo scambio transfrontaliero di dati sanitari elettronici personali tramite LaMiaSalute@UE (MyHealth@EU), il punto di contatto nazionale per la sanità digitale competente per tale professionista sanitario o prestatore di assistenza sanitaria comunica al punto di contatto nazionale per la sanità digitale che riceve la richiesta i dati di identificazione del professionista sanitario o del prestatore di assistenza sanitaria. I dati di identificazione sono conformi alle specifiche tecniche di cui all’allegato.
Articolo 8
Meccanismo per lo scambio di dati di identificazione tramite LaMiaSalute@UE (MyHealth@EU)
Il meccanismo per lo scambio di dati di identificazione tramite LaMiaSalute@UE (MyHealth@EU) sostiene:
a) la notifica e la pubblicazione delle serie di attributi sanitari di cui all’articolo 3, paragrafo 2, del presente regolamento;
b) lo scambio degli attributi sanitari tra i punti di contatto nazionali per la sanità digitale di cui all’articolo 5, paragrafo 1;
c) lo scambio dei dati di identificazione del professionista sanitario o del prestatore di assistenza sanitaria tra i punti di contatto nazionali per la sanità digitale di cui all’articolo 7.
Articolo 9
Entrata in vigore e applicazione
Il presente regolamento entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea .
Esso si applica a decorrere dal 26 marzo 2027.
Tuttavia, l’articolo 3, paragrafo 3, e l’articolo 5, paragrafo 2, si applicano a decorrere dal 26 marzo 2029.
Final provisions
Il presente regolamento è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri. Fatto a Bruxelles, il 21 settembre 2026 Per la Commissione La presidente Ursula VON DER LEYEN
1 GU L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj .
2 Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE ( GU L 257 del 28.8.2014, pag. 73 , ELI: https://eur-lex.europa.eu/eli/reg/2014/910/oj ).
3 Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che fissa le norme in materia di accreditamento e abroga il regolamento (CEE) n. 339/93 ( GU L 218 del 13.8.2008, pag. 30 , ELI: http://data.europa.eu/eli/reg/2008/765/oj ).
4 Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) ( GU L 119 del 4.5.2016, pag. 1 , ELI: http://data.europa.eu/eli/reg/2016/679/oj ).
5 Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE ( GU L 295 del 21.11.2018, pag. 39 , ELI: http://data.europa.eu/eli/reg/2018/1725/oj ).
Tabella 1
Dati obbligatori per il professionista sanitario
| Identificatore dei dati | Definizione |
|---|---|
| family_name | Cognome/i del professionista sanitario. |
| given_name | Nome/i, compresi i secondi nomi se del caso, del professionista sanitario. |
| country_code | Codice paese alpha-2, come specificato nella norma ISO 3166-1, che rappresenta lo Stato membro che ha rilasciato i dati di identificazione del professionista sanitario. |
| hp_identifier | Identificatore del professionista sanitario assegnato al professionista sanitario che è unico tra tutti gli identificatori dei professionisti sanitari rilasciati nello Stato membro in cui il professionista sanitario è registrato. |
| issuing_authority_name | Nome dell’agenzia responsabile del rilascio dell’identificatore del professionista sanitario. |
| hp_professional_role | Ruolo professionale del professionista sanitario. |
| healthcare_provider_identifier | Identificatore dell’organizzazione di prestatori di assistenza sanitaria o della struttura sanitaria in cui il professionista sanitario fornisce le cure. Tale identificatore è unico nello Stato membro che lo ha rilasciato. |
Tabella 2
Dati obbligatori per il prestatore di assistenza sanitaria
| Identificatore dei dati | Definizione |
|---|---|
| healthcare_provider_identifier | Identificatore dell’organizzazione di prestatori di assistenza sanitaria o della struttura sanitaria in cui il professionista sanitario fornisce le cure. Tale identificatore è unico nello Stato membro che lo ha rilasciato. |
| issuing_authority_name | Nome dell’agenzia responsabile del rilascio dell’identificatore del prestatore di assistenza sanitaria. |
| healthcare_provider_name | Nome del prestatore di assistenza sanitaria. |
| healthcare_provider_address | Indirizzo ufficiale registrato completo del prestatore di assistenza sanitaria. |
Footnotes
-
Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014, in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva 1999/93/CE (, ELI: ). ↩ ↩2
-
Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio, del 9 luglio 2008, che fissa le norme in materia di accreditamento e abroga il regolamento (CEE) n. 339/93 (, ELI: ). ↩ ↩2
-
Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (, ELI: ). ↩ ↩2
-
Regolamento (UE) 2018/1725 del Parlamento europeo e del Consiglio, del 23 ottobre 2018, sulla tutela delle persone fisiche in relazione al trattamento dei dati personali da parte delle istituzioni, degli organi e degli organismi dell’Unione e sulla libera circolazione di tali dati, e che abroga il regolamento (CE) n. 45/2001 e la decisione n. 1247/2002/CE (, ELI: ). ↩ ↩2
Continua la tua ricerca in ChatGPT o Claude
Collega Omnilex per cercare nel corpus legale dal tuo assistente IA.