Rozporządzenie wykonawcze Komisji (UE) 2026/2099 z dnia 21 września 2026 r. w sprawie interoperacyjnego, transgranicznego mechanizmu identyfikacji i uwierzytelniania osób fizycznych, pracowników służby zdrowia i świadczeniodawców do celów transgranicznej wymiany elektronicznych danych osobowych dotyczących zdrowia

Artykuł 1

Przedmiot

W niniejszym rozporządzeniu ustanawia się wymogi dotyczące interoperacyjnego, transgranicznego mechanizmu identyfikacji i uwierzytelniania osób fizycznych, pracowników służby zdrowia i świadczeniodawców do celów transgranicznej wymiany elektronicznych danych dotyczących zdrowia.

Artykuł 2

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

1) „atrybut opieki zdrowotnej” oznacza atrybut stosowany do identyfikacji osoby fizycznej do celów transgranicznej wymiany elektronicznych danych dotyczących zdrowia;

2) definicja „atrybutu” ustanowiona w art. 3 pkt 43 rozporządzenia (UE) nr 910/2014;

3) definicja „elektronicznego poświadczenia atrybutów” ustanowiona w art. 3 pkt 44 rozporządzenia (UE) nr 910/2014;

4) definicja „europejskiego portfela tożsamości cyfrowej” ustanowiona w art. 3 pkt 42 rozporządzenia (UE) nr 910/2014;

5) definicja „uwierzytelniania” ustanowiona w art. 3 pkt 5 rozporządzenia (UE) nr 910/2014.

Artykuł 3

Krajowe zbiory atrybutów opieki zdrowotnej osób fizycznych

1. Każde państwo członkowskie określa zbiór atrybutów opieki zdrowotnej, które mają być wykorzystywane do weryfikacji tożsamości osób fizycznych w związku z ich elektroniczną dokumentacją medyczną do celów transgranicznej wymiany ich elektronicznych danych osobowych dotyczących zdrowia.

2. Każde państwo członkowskie przekazuje Komisji informacje o swoim zbiorze atrybutów opieki zdrowotnej do dnia 26 marca 2028 r. Państwa członkowskie jak najszybciej przekazują Komisji informacje o wszelkich późniejszych aktualizacjach zbiorów atrybutów opieki zdrowotnej. Komisja publikuje zbiory atrybutów opieki zdrowotnej państw członkowskich.

3. Na wniosek osoby fizycznej właściwy organ w państwie członkowskim ubezpieczenia tej osoby wydaje atrybuty opieki zdrowotnej tej osoby fizycznej w formie elektronicznego poświadczenia atrybutów zgodnie ze zbiorem atrybutów opieki zdrowotnej określonym na podstawie ust. 1 do europejskiego portfela tożsamości cyfrowej tej osoby.

Artykuł 4

Identyfikacja i uwierzytelnianie osób fizycznych do celów transgranicznej wymiany elektronicznych danych osobowych dotyczących zdrowia

1. Przed wystąpieniem z wnioskiem o wymianę elektronicznych danych osobowych dotyczących zdrowia osoby fizycznej za pośrednictwem infrastruktury MojeZdrowie@UE pracownik służby zdrowia lub świadczeniodawca identyfikuje tę osobę fizyczną. W tym celu pracownik służby zdrowia lub świadczeniodawca może zgromadzić atrybuty opieki zdrowotnej osoby fizycznej.

2. W przypadku gdy pracownik służby zdrowia lub świadczeniodawca występuje z wnioskiem o wymianę elektronicznych danych osobowych dotyczących zdrowia osoby fizycznej za pośrednictwem infrastruktury MojeZdrowie@UE na wniosek osoby fizycznej złożony elektronicznie, ten pracownik służby zdrowia lub świadczeniodawca identyfikuje i uwierzytelnia tę osobę fizyczną za pomocą środków identyfikacji elektronicznej wydanych zgodnie z rozporządzeniem (UE) nr 910/2014. Środki identyfikacji elektronicznej muszą spełniać wymogi rozporządzenia (UE) nr 910/2014 i zapewniać co najmniej średni poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 lit. b) rozporządzenia (UE) nr 910/2014. Od dnia 26 marca 2030 r. środki identyfikacji elektronicznej zapewniają wysoki poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 lit. c) tego rozporządzenia. Środki identyfikacji elektronicznej są notyfikowane Komisji na wymaganym poziomie bezpieczeństwa na podstawie rozporządzenia (UE) nr 910/2014 lub poziom bezpieczeństwa tych środków jest potwierdzony przez jednostkę oceniającą zgodność, o której mowa w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008, lub równoważny organ.

3. W przypadku gdy osoba fizyczna została upoważniona przez inną osobę fizyczną do dostępu w jej imieniu do jej elektronicznych danych osobowych dotyczących zdrowia lub ich części lub działa jako przedstawiciel prawny innej osoby fizycznej zgodnie z art. 4 ust. 2 rozporządzenia (UE) 2025/327, pracownik służby zdrowia lub świadczeniodawca identyfikuje tę osobę fizyczną i sprawdza, czy upoważniona osoba fizyczna lub przedstawiciel prawny spełniają wymogi niezbędne do działania w tym charakterze.

Artykuł 5

Wymogi dotyczące transgranicznej wymiany atrybutów opieki zdrowotnej osób fizycznych

1. W przypadku gdy krajowy punkt kontaktowy ds. e-zdrowia występuje z wnioskiem o wymianę elektronicznych danych osobowych dotyczących zdrowia osoby fizycznej z innego krajowego punktu kontaktowego ds. e-zdrowia lub do innego krajowego punktu kontaktowego ds. e-zdrowia, pierwszy krajowy punkt kontaktowy przekazuje atrybuty opieki zdrowotnej państwa członkowskiego ubezpieczenia osoby fizycznej drugiemu krajowemu punktowi kontaktowemu.

2. Pracownik służby zdrowia lub świadczeniodawca występujący z wnioskiem o wymianę elektronicznych danych osobowych dotyczących zdrowia na podstawie art. 4 ust. 1, niezależnie od tego, czy wniosek osoby fizycznej jest składany osobiście czy online, akceptuje atrybuty opieki zdrowotnej przekazane w formie elektronicznego poświadczenia atrybutów za pomocą europejskiego portfela tożsamości cyfrowej.

3. W przypadku gdy zastosowane środki identyfikacji nie pozwalają uzyskać kompletnych atrybutów opieki zdrowotnej, pracownik służby zdrowia lub świadczeniodawca występujący z wnioskiem o wymianę elektronicznych danych osobowych dotyczących zdrowia zwraca się do osoby fizycznej o dodatkowe informacje w celu uzupełnienia zbioru atrybutów opieki zdrowotnej państwa członkowskiego ubezpieczenia osoby fizycznej.

Artykuł 6

Identyfikacja, uwierzytelnianie i upoważnianie pracowników służby zdrowia i świadczeniodawców do celów transgranicznej wymiany elektronicznych danych osobowych dotyczących zdrowia

1. Każde państwo członkowskie wskazuje podmiot lub podmioty odpowiedzialne za identyfikację, uwierzytelnianie i upoważnianie pracowników służby zdrowia lub świadczeniodawców wnioskujących o transgraniczną wymianę elektronicznych danych osobowych dotyczących zdrowia.

2. Przed wystąpieniem z wnioskiem o transgraniczną wymianę elektronicznych danych osobowych dotyczących zdrowia za pośrednictwem infrastruktury MojeZdrowie@UE podmiot lub podmioty, o których mowa w ust. 1, identyfikują, uwierzytelniają i upoważniają pracownika służby zdrowia lub świadczeniodawcę wnioskującego o taką wymianę.

3. Podmiot lub podmioty, o których mowa w ust. 1, identyfikują i uwierzytelniają pracownika służby zdrowia za pomocą środków uwierzytelniania elektronicznego, które zapewniają co najmniej średni poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 lit. b) rozporządzenia (UE) nr 910/2014. Od dnia 26 marca 2032 r. środki uwierzytelniania elektronicznego pracowników służby zdrowia zapewniają wysoki poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 lit. c) tego rozporządzenia. Środki identyfikacji elektronicznej są notyfikowane Komisji na wymaganym poziomie bezpieczeństwa na podstawie rozporządzenia (UE) nr 910/2014 lub poziom bezpieczeństwa tych środków jest potwierdzony przez jednostkę oceniającą zgodność, o której mowa w art. 2 pkt 13 rozporządzenia (WE) nr 765/2008, lub równoważny organ.

Artykuł 7

Wymogi dotyczące wymiany danych identyfikacyjnych pracowników służby zdrowia i świadczeniodawców

W przypadku gdy pracownik służby zdrowia lub świadczeniodawca występuje z wnioskiem o transgraniczną wymianę elektronicznych danych osobowych dotyczących zdrowia za pośrednictwem infrastruktury MojeZdrowie@UE, krajowy punkt kontaktowy ds. e-zdrowia właściwy dla tego pracownika służby zdrowia lub świadczeniodawcy przekazuje krajowemu punktowi kontaktowemu ds. e-zdrowia otrzymującemu wniosek dane identyfikacyjne pracownika służby zdrowia lub świadczeniodawcy. Dane identyfikacyjne muszą być zgodne ze specyfikacjami technicznymi określonymi w załączniku.

Artykuł 8

Mechanizm wymiany danych identyfikacyjnych za pośrednictwem infrastruktury MojeZdrowie@UE

Mechanizm wymiany danych identyfikacyjnych za pośrednictwem infrastruktury MojeZdrowie@UE wspiera:

a) przekazywanie informacji o zbiorach atrybutów opieki zdrowotnej, o których mowa w art. 3 ust. 2 niniejszego rozporządzenia, oraz ich publikację;

b) wymianę atrybutów opieki zdrowotnej między krajowymi punktami kontaktowymi ds. e-zdrowia, o której mowa w art. 5 ust. 1;

c) wymianę danych identyfikacyjnych pracownika służby zdrowia opieki zdrowotnej lub świadczeniodawcy między krajowymi punktami kontaktowymi ds. e-zdrowia, o której mowa w art. 7.

Artykuł 9

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 26 marca 2027 r.

Art. 3 ust. 3 i art. 5 ust. 2 stosuje się jednak od dnia 26 marca 2029 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Załącznik

Specyfikacje techniczne dotyczące danych identyfikacyjnych pracowników służby zdrowia i świadczeniodawców, o których mowa w art. 7

Tabela 1

Obowiązkowe dane dla pracownika służby zdrowia

Identyfikator danych

Definicja

family_name

Nazwisko (nazwiska) pracownika służby zdrowia

given_name

Imię (imiona), w tym, w stosownych przypadkach, drugie imię (imiona) pracownika służby zdrowia

country_code

Kod alpha-2 państwa, jak określono w normie ISO 3166-1, określający państwo członkowskie, które wydało dane identyfikacyjne pracownika służby zdrowia

hp_identifier

Identyfikator pracownika służby zdrowia przypisany pracownikowi służby zdrowia, który jest niepowtarzalny wśród wszystkich identyfikatorów pracowników służby zdrowia wydanych w państwie członkowskim, w którym dany pracownik służby zdrowia jest zarejestrowany

issuing_authority_name

Nazwa agencji odpowiedzialnej za wydanie identyfikatora pracownika służby zdrowia

hp_professional_role

Zawód wykonywany przez pracownika służby zdrowia

healthcare_provider_identifier

Identyfikator organizacji świadczeniodawcy lub placówki opieki zdrowotnej, w której pracownik służby zdrowia zapewnia opiekę medyczną Identyfikator ten jest niepowtarzalny w państwie członkowskim, które go wydało

Tabela 2

Obowiązkowe dane dla świadczeniodawcy

Identyfikator danych

Definicja

healthcare_provider_identifier

Identyfikator organizacji świadczeniodawcy lub placówki opieki zdrowotnej, w której pracownik służby zdrowia zapewnia opiekę medyczną Identyfikator ten jest niepowtarzalny w państwie członkowskim, które go wydało

issuing_authority_name

Nazwa agencji odpowiedzialnej za wydanie identyfikatora świadczeniodawcy

healthcare_provider_name

Nazwa świadczeniodawcy

healthcare_provider_address

Oficjalny, zarejestrowany pełny adres świadczeniodawcy