Artykuł 73

1. Organy ds. dostępu do danych dotyczących zdrowia udzielają dostępu do elektronicznych danych dotyczących zdrowia na podstawie zezwolenia na dostęp do danych, które podlega środkom technicznym i organizacyjnym oraz wymogom z zakresu bezpieczeństwa i interoperacyjności. W szczególności bezpieczne środowisko przetwarzania musi być zgodne z następującymi środkami z zakresu bezpieczeństwa:

a) ograniczenie dostępu do bezpiecznego środowiska przetwarzania do upoważnionych osób fizycznych wymienionych w wydanym na podstawie art. 68 zezwoleniu na dostęp do danych;

b) ograniczenie do minimum ryzyka nieupoważnionego odczytu, powielenia, nieupoważnionej modyfikacji lub nieupoważnionego usunięcia elektronicznych danych dotyczących zdrowia przechowywanych w bezpiecznym środowisku przetwarzania za pośrednictwem najnowocześniejszych środków technicznych i organizacyjnych;

c) ograniczenie wprowadzania elektronicznych danych dotyczących zdrowia oraz kontroli, modyfikacji lub usuwania elektronicznych danych dotyczących zdrowia przechowywanych w bezpiecznym środowisku przetwarzania do ograniczonej liczby upoważnionych, możliwych do zidentyfikowania osób fizycznych;

d) zapewnienie, aby użytkownicy danych dotyczących zdrowia mieli dostęp wyłącznie do elektronicznych danych dotyczących zdrowia, których dotyczy ich zezwolenie na dostęp do danych, i wyłącznie za pomocą indywidualnych i niepowtarzalnych tożsamości użytkownika oraz poufnych trybów dostępu;

e) przechowywanie możliwych do zidentyfikowania logów dostępu i prowadzenie działań w bezpiecznym środowisku przetwarzania przez okres niezbędny do zweryfikowania i skontrolowania wszystkich operacji przetwarzania w tym środowisku; logi dostępu należy przechowywać przez co najmniej rok;

f) zapewnienie zgodności i monitorowanie środków z zakresu bezpieczeństwa, o których mowa w niniejszym ustępie, w celu ograniczenia potencjalnych zagrożeń bezpieczeństwa.

2. Organy ds. dostępu do danych dotyczących zdrowia zapewniają posiadaczom danych dotyczących zdrowia możliwość wgrania elektronicznych danych dotyczących zdrowia pochodzących od posiadaczy danych dotyczących zdrowia, w formacie określonym w zezwoleniu na dostęp do danych, oraz uzyskania do nich dostępu przez użytkownika danych dotyczących zdrowia w bezpiecznym środowisku przetwarzania.

Organy ds. dostępu do danych dotyczących zdrowia sprawdzają elektroniczne dane dotyczące zdrowia zawarte we wniosku o pobranie aby zapewnić, by użytkownicy danych dotyczących zdrowia mogli pobierać wyłącznie elektroniczne nieosobowe dane dotyczące zdrowia, w tym elektroniczne dane dotyczące zdrowia w zanonimizowanym formacie statystycznym, z bezpiecznego środowiska przetwarzania.

3. Organy ds. dostępu do danych dotyczących zdrowia zapewniają regularne kontrole bezpiecznych środowisk przetwarzania– w tym przeprowadzane przez strony trzecie – i podejmują działania naprawcze w odniesieniu do wszelkich niedociągnięć, zagrożeń lub słabych punktów wykrytych przez te kontrole w tych bezpiecznych środowiskach przetwarzania.

4. W przypadku gdy organizacje altruizmu danych, uznane na podstawie rozdziału IV rozporządzenia (UE) 2022/868, przetwarzają elektroniczne dane osobowe dotyczące zdrowia z wykorzystaniem bezpiecznego środowiska przetwarzania, takie środowisko musi być również zgodne ze środkami bezpieczeństwa przewidzianymi w ust. 1 lit. a)–f) niniejszego artykułu.

5. Do dnia 26 marca 2027 r. Komisja ustanowi, w drodze aktów wykonawczych, wymogi techniczne, organizacyjne, wymogi z zakresu bezpieczeństwa informacji, poufności, ochrony danych i interoperacyjności dotyczące bezpiecznych środowisk przetwarzania, w tym dotyczące charakterystyki technicznej i narzędzi dostępnych dla użytkownika danych dotyczących zdrowia w bezpiecznych środowiskach przetwarzania. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 98 ust. 2.