Projekt Ministerstwa ma stanowić wykonanie upoważnienia zawartego w art. 96b ust. 2e ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne (Dz. U. z 2020 r. poz. 944, z późn. zm.). Rozporządzenie określa szczegółowe warunki organizacyjne oraz techniczne, jakie powinny zostać spełnione przez aplikacje mobilne, które służą do przesyłania danych dotyczących informacji o wystawionej recepcie. Jednocześnie, przedstawia sposób wymiany informacji w postaci elektronicznej między Internetowym Kontem Pacjenta, o którym mowa w art. 7a ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2020 r. poz. 702, z późn. zm.), zwanym dalej „IKP”, i aplikacjami mobilnymi – a wszystko to, mając na uwadze takie dwa czynniki jak konieczność zapewnienia szybkiego i bezpiecznego dostępu użytkowników do informacji o wystawionej recepcie, a także bezpieczeństwo danych przetwarzanych w aplikacjach mobilnych użytkowanych przez pacjenta (czytaj więcej: Ministerstwo zezwoli na przekazywanie informacji o e-receptach do komercyjnych aplikacji mobilnych).
Nowy kanał komunikacji
Rolą rozporządzenia jest więc przedstawienie szczegółów korzystania z nowego kanału komunikacji, w ramach którego pacjent może otrzymać uproszczoną informację o recepcie wystawionej w postaci elektronicznej, polegającego na przekazywaniu informacji o wystawionej recepcie do aplikacji mobilnych.
Rozwój nowych technologii daje bowiem dzisiaj możliwość poszerzenia kanałów komunikacji z pacjentem. Powyższe sposób komunikacji, mógłby być stosowany na żądania pacjenta, jakie wyraziłby on w IKP – oznaczałoby to jednocześnie, że nie otrzymywałby on już analogicznych wiadomości SMS.
Zaznacza się również, że sposób, w jaki pacjentowi będą dostarczane informacje o wystawionej recepcie, będzie stanowił wynik jego autonomicznej decyzji w tym zakresie. IKP może przekazać informację o wystawionej recepcie przede wszystkim jedynie do aplikacji mobilnej obsługującej profil zaufany bądź też obsługiwanej przez systemy, które korzystają z usług sieciowych wykorzystujących profil zaufany, o których mowa w art. 19c ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2020 r. poz. 346, z późn. zm.).
O wymaganiach po stronie aplikacji
Należy podkreślić, że aby pacjent mógł korzystać z aplikacji mobilnej, która poinformuje go o wystawieniu recepty, musi ona spełniać szereg warunków organizacyjnych i technicznych. Są one określone m.in. w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne oraz w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanym dalej „RODO”.
A więc, w pierwszej kolejności, musi ona zagwarantować odpowiednio wysoki poziom zabezpieczenia danych osobowych przetwarzanych w aplikacji mobilnej przed dostępem osób nieupoważnionych. Podstawowy sposób, by zapewnić zabezpieczenie danych w świetle RODO, są pseudonimizacja danych i ich szyfrowanie, które domyślnie powinny stosować podmioty, które przetwarzają dane dotyczące zdrowia.
Co więcej, aplikacja mobilna powinna też zagwarantować:
- zdolność do ciągłego zapewnienia poufności, integralności, dostępności i odporności systemów i usług przetwarzania;
- zdolność do szybkiego przywrócenia dostępności danych osobowych i dostępu do nich w razie incydentu fizycznego lub technicznego;
- regularne testowanie, mierzenie i ocenianie skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania.
Dane pacjenta, które ulegają przetwarzaniu w aplikacji mobilnej, mogą być wykorzystywane jedynie do zrealizowania przez pacjenta recepty. Cel przetwarzania danych osobowych w aplikacji nie może więc zostać zmieniony (przykładowo na cele związane marketingiem usług zdrowotnych), nawet za zgodą osoby, której dane będą przetwarzane w tej aplikacji.
Jednocześnie, inne wymogi, jakie musi spełnić aplikacja, to:
- rozliczalność, rozumianą jako przypisanie określonego działania w systemie teleinformatycznym obsługującym aplikację do osoby fizycznej lub procesu oraz umiejscowienie ich w czasie;
- integralność, autentyczność i poufność danych identyfikacyjnych i uwierzytelniających użytkownika;
- codzienną synchronizację czasu systemowego z czasem uniwersalnym koordynowanym UTC(PL);
- spełnienie wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej;
- przejście testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność systemów identyfikacji elektronicznej.
W kwestiach organizacyjno-prawnych
Podłączenie aplikacji do IKP ma mieć miejsce po tym, jak Centrum e-Zdrowia potwierdzi spełnienie przez system teleinformatyczny, który obsługuje tę aplikację, wskazanych w rozporządzeniu wymagań.
Rozporządzenie ma wejść w życie 1 stycznia 2021r., wraz z dniem wejścia w życie przepisu zawierającego delegację ustawową do wydania rozporządzenia. Termin ten nie narusza zasady demokratycznego państwa prawnego – w zgodzie z art. 4 ust. 2 ustawy z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych (Dz. U. z 2019 r. poz. 1461) w uzasadnionych przypadkach akty normatywne mogą wchodzić w życie w terminie krótszym niż czternaście dni, a jeżeli ważny interes państwa wymaga natychmiastowego wejścia w życie aktu normatywnego i zasady demokratycznego państwa prawa nie stoją temu na przeszkodzie, dniem wejścia w życie może być dzień ogłoszenia tego aktu w dzienniku urzędowym.
Taki termin uzasadnia się koniecznością jak najszybszego zabezpieczenia sprawnej realizacji zaspokajania potrzeb zdrowotnych w społeczeństwie.
Co więcej, projekt rozporządzenia nie będzie miał wpływu na działalność mikroprzedsiębiorców oraz małych i średnich przedsiębiorców.
Nie podlega on także procedurze notyfikacji w rozumieniu przepisów rozporządzenia Rady Ministrów z dnia 23 grudnia 2002 r. w sprawie sposobu funkcjonowania krajowego systemu notyfikacji norm i aktów prawnych (Dz. U. poz. 2039 oraz z 2004 r. poz. 597).
Projekt ten ma także nie wymagać przedstawienia właściwym organom i instytucjom Unii Europejskiej, w tym Europejskiemu Bankowi Centralnemu, w celu uzyskania opinii, dokonania powiadomienia, konsultacji albo uzgodnienia.
Nie jest on sprzeczny z prawem Unii Europejskiej.
Równocześnie, trzeba podkreślić, że nie istnieje możliwość podjęcia alternatywnych w stosunku do projektowanego rozporządzenia środków umożliwiających osiągnięcie zamierzonego celu.
AM/www.gov.pl
