816.11 — EPDV
vom 22. März 2017 (Stand am 1. Oktober 2024)
Der Schweizerische Bundesrat,
gestützt auf das Bundesgesetz vom 19. Juni 2015 1 über das elektronische Patientendossier (EPDG),
verordnet:
Die Patientin oder der Patient kann die medizinischen Daten des elektronischen Patientendossiers einer der folgenden drei Vertraulichkeitsstufen zuordnen:
Nimmt die Patientin oder der Patient keine Zuordnung vor, so werden neu eingestellte Daten der Vertraulichkeitsstufe «normal zugänglich» zugeordnet, es sei denn, die Gesundheitsfachperson ordnet sie der Vertraulichkeitsstufe «eingeschränkt zugänglich» zu.
Die Patientin oder der Patient kann Gesundheitsfachpersonen oder Gruppen von Gesundheitsfachpersonen entweder das Zugriffsrecht auf die Vertraulichkeitsstufe «normal zugänglich» oder das Zugriffsrecht auf die Vertraulichkeitsstufen «normal zugänglich» und «eingeschränkt zugänglich» erteilen.
In medizinischen Notfallsituationen können auch Gesundheitsfachpersonen, denen die Patientin oder der Patient kein Zugriffsrecht erteilt hat, auf die Daten der Vertraulichkeitsstufe «normal zugänglich» zugreifen. Die Patientin oder der Patient wird innert angemessener Frist über den Notfallzugriff informiert.
Tritt eine Gesundheitsfachperson einer Gruppe bei, so erhält sie das der Gruppe erteilte Zugriffsrecht. Verlässt eine Gesundheitsfachperson eine Gruppe, so wird ihr dieses Zugriffsrecht entzogen.
Die Zugriffsrechte für Gesundheitsfachpersonen gelten bis zum Entzug durch die Patientin oder den Patienten.
Die Zugriffsrechte für Gruppen von Gesundheitsfachpersonen müssen von der Patientin oder dem Patienten befristet werden.
Die Patientin oder der Patient kann:
Die Patientenidentifikationsnummer besteht aus einer Basisnummer, einer Identifikationsnummer und einer Prüfziffer. Sie darf keinerlei Rückschlüsse auf die Patientin oder den Patienten zulassen.
Das Eidgenössische Departement des Innern (EDI) legt die Vorgaben für den Aufbau der Patientenidentifikationsnummer und für die Berechnung der Prüfziffer fest.
Die Patientenidentifikationsnummer wird auf Antrag einer Stammgemeinschaft durch die Zentrale Ausgleichsstelle (ZAS) vergeben.
Die Stammgemeinschaft stellt der ZAS folgende Daten für die Vergabe der Patientenidentifikationsnummer zur Verfügung:
Reichen die zur Verfügung gestellten Daten für die Vergabe nicht aus, so kann die ZAS bei der Stammgemeinschaft zusätzliche Daten verlangen.
Gemeinschaften und Stammgemeinschaften können die Patientenidentifikationsnummer bei der ZAS über ein elektronisches Abrufverfahren abfragen.
Die Patientenidentifikationsnummer darf nur manuell erfasst werden, wenn eine Kontrolle der Prüfziffer durchgeführt wird.
Wird ein elektronisches Patientendossier aufgehoben, so wird die entsprechende Patientenidentifikationsnummer in der Identifikationsdatenbank der ZAS annulliert.
Die ZAS informiert die Gemeinschaften und Stammgemeinschaften über die Annullierung der Patientenidentifikationsnummer.
Eine annullierte Patientenidentifikationsnummer darf nicht erneut vergeben werden.
Gemeinschaften müssen beim Dienst zur Abfrage der Objektidentifikatoren (OID) nach Artikel 42 für sich sowie für die ihnen angehörenden Gesundheitseinrichtungen einen OID beantragen.
Sie müssen die ihnen angehörenden Gesundheitseinrichtungen, Gesundheitsfachpersonen und Gruppen von Gesundheitsfachpersonen verwalten. Dazu müssen sie insbesondere:
Gemeinschaften müssen sicherstellen, dass:
Auf Verlangen der Patientin oder des Patienten müssen sie zudem sicherstellen, dass:
Das EDI legt die technischen und organisatorischen Vorgaben für die Datenhaltung und die Datenübertragung fest. Es regelt insbesondere:
Es kann bestimmen, dass die Vorgaben nach Absatz 3 in der Originalsprache veröffentlicht werden und auf eine Übersetzung in die Amtssprachen verzichtet werden kann.
Es kann das Bundesamt für Gesundheit (BAG) ermächtigen, die Vorgaben nach Absatz 3 dem Stand der Technik anzupassen.
Das EDI legt die Anforderungen an das Zugangsportal für Gesundheitsfachpersonen fest, insbesondere in Bezug auf die Bereitstellung und den Abruf von Daten sowie auf die Barrierefreiheit.
Gemeinschaften müssen ein risikogerechtes Datenschutz- und Datensicherheitsmanagementsystem betreiben. Dieses muss insbesondere folgende Elemente umfassen:
Die Gemeinschaften bezeichnen eine Datenschutz- und Datensicherheitsverantwortliche oder einen Datenschutz- und Datensicherheitsverantwortlichen.
Sie müssen die im Datenschutz- und Datensicherheitsmanagementsystem als sicherheitsrelevant eingestuften Vorfälle dem BAG melden.
Das EDI legt die technischen und organisatorischen Anforderungen in Bezug auf Datenschutz und Datensicherheit fest.
Die Datenspeicher müssen sich in der Schweiz befinden und dem Schweizer Recht unterstehen.
Die Gemeinschaften müssen eine Kontaktstelle bezeichnen, die die Gesundheitsfachpersonen im Umgang mit dem elektronischen Patientendossier unterstützt.
Stammgemeinschaften müssen in Ergänzung zum 1. Abschnitt die Vorgaben dieses Abschnitts einhalten.
Vor der Eröffnung eines elektronischen Patientendossiers muss die Stammgemeinschaft die Patientin oder den Patienten insbesondere über folgende Punkte informieren:
Sie muss der Patientin oder dem Patienten Datenschutz- und Datensicherheitsmassnahmen empfehlen.
Die Stammgemeinschaft hat von der Patientin oder dem Patienten die Einwilligung zur Erstellung eines elektronischen Patientendossiers einzuholen. Diese muss von der Patientin oder vom Patienten:
Stammgemeinschaften müssen:
Sie müssen die Umsetzung von Artikel 2 Absätze 1 und 3 sowie Artikel 3 und 4 sicherstellen.
Das EDI legt die Anforderungen an das Zugangsportal für Patientinnen und Patienten fest, insbesondere in Bezug auf:
Das EDI legt die Anforderungen an den Umgang mit den von Patientinnen und Patienten erfassten medizinischen Daten fest.
Stammgemeinschaften müssen eine Kontaktstelle bezeichnen, die die Patientinnen und Patienten im Umgang mit ihrem elektronischen Patientendossier unterstützt.
Ein elektronisches Patientendossier wird von der Stammgemeinschaft aufgehoben, wenn die Patientin oder der Patient die Einwilligung widerruft. Die Widerrufserklärung ist während zehn Jahren aufzubewahren.
Die Stammgemeinschaft darf ein elektronisches Patientendossier frühestens zwei Jahre nach dem Tod eines Patienten oder einer Patientin aufheben.
Wird ein elektronisches Patientendossier aufgehoben, so muss die Stammgemeinschaft innert angemessener Frist sämtliche Zugriffsrechte auf das Patientendossier entziehen und die ZAS sowie alle Gemeinschaften informieren.
Gemeinschaften und Stammgemeinschaften müssen dem BAG regelmässig Daten für die Evaluation nach Artikel 18 EPDG in pseudonymisierter Form zur Verfügung stellen.
Das EDI legt die zu liefernden Daten und die Fristen fest.
Das BAG kann die Daten der Abfragedienste nach Artikel 39 zu Evaluations- und Forschungszwecken bearbeiten.
Es kann von den Zertifizierungsstellen und von den zertifizierten Stellen die für die Zertifizierung oder Rezertifizierung relevanten Unterlagen einfordern.
Das Identifikationsmittel muss:
Der Herausgeber des Identifikationsmittels muss die Identität der antragstellenden Person überprüfen. Diese muss sich mit einem Ausweis nach dem Ausweisgesetz vom 22. Juni 2001 7 oder einem Ausweis nach den Artikeln 41–41 b des Ausländer- und Integrationsgesetzes 8 vom 16. Dezember 2005 9 ausweisen oder einen mit einer qualifizierten elektronischen Signatur nach dem Bundesgesetz vom 18. März 2016 10 über die elektronische Signatur signierten Antrag auf elektronischem Weg einreichen.
Die Prüfung der Identität der antragstellenden Person kann an Dritte delegiert werden.
Der Herausgeber des Identifikationsmittels weist der antragstellenden Person einen eindeutigen Identifikator zu.
Er ordnet anhand des Identitätsnachweises nach Artikel 24 Absatz 1 der antragstellenden Person die folgenden Daten zu:
Soll das Identifikationsmittel auch als Nachweis der beruflichen Qualifikation einer Gesundheitsfachperson verwendet werden, so muss er diesem zusätzlich folgende Daten zuordnen:
Er kann die Angaben nach den Absätzen 1, 2 Buchstaben a–d und 3 zur Identifizierung an Gemeinschaften und Stammgemeinschaften übermitteln.
Er informiert die antragstellende Person über die Sicherheitsvorkehrungen, die sie im Umgang mit dem Identifikationsmittel treffen muss.
Er speichert die Daten auf Datenspeichern, die sich in der Schweiz befinden und dem Schweizer Recht unterstehen.
Das Identifikationsmittel kann vor Ablauf seiner Gültigkeitsdauer erneuert werden.
Der Herausgeber überprüft bei der Erneuerung des Identifikationsmittels die Identität der antragstellenden Person.
Die Inhaberin oder der Inhaber kann das Identifikationsmittel jederzeit vorübergehend oder unwiderruflich sperren lassen.
Stellen, die Gemeinschaften, Stammgemeinschaften und Zugangsportale zertifizieren, müssen für die Auditierung und Zertifizierung von Managementsystemen akkreditiert sein durch:
Stellen, die Herausgeber von Identifikationsmitteln zertifizieren, müssen für die Auditierung und Zertifizierung von Produkten, Prozessen und Dienstleistungen akkreditiert sein durch eine Stelle nach Absatz 1 Buchstabe a, b oder c. 14
Die Zertifizierungsstellen müssen über eine festgelegte Organisation und ein festgelegtes Kontrollverfahren verfügen. Darin müssen insbesondere geregelt sein:
Die Zertifizierungsstellen müssen für die Prüfung der Datenübertragung zwischen Gemeinschaften und Stammgemeinschaften das vom BAG zur Verfügung gestellte Zertifizierungstestsystem verwenden.
Das EDI legt die Mindestanforderungen an die Qualifikation des Personals, das Zertifizierungen durchführt, fest.
Die Schweizerische Akkreditierungsstelle zieht für das Akkreditierungsverfahren und die Nachkontrolle sowie für die Sistierung oder den Entzug einer Akkreditierung das BAG bei.
Gemeinschaften werden zertifiziert, wenn sie die Vorgaben der Artikel 9–13 erfüllen, Stammgemeinschaften, wenn sie die Vorgaben der Artikel 9–21 erfüllen.
Das EDI konkretisiert die Zertifizierungsvoraussetzungen nach den Artikeln 9–21.
Es kann das BAG ermächtigen, die Vorgaben nach Absatz 2 dem Stand der Technik anzupassen.
Herausgeber von Identifikationsmitteln werden zertifiziert, wenn sie:
Das EDI konkretisiert die Zertifizierungsvoraussetzungen nach den Artikel 23–27.
Es kann das BAG ermächtigen, die Vorgaben nach Absatz 2 dem Stand der Technik anzupassen.
Die Zertifizierungsstelle prüft die Unterlagen darauf hin, ob die antragstellende Person auf das Zertifizierungsaudit vorbereitet ist.
Im Zertifizierungsaudit überprüft sie, ob die Zertifizierungsvoraussetzungen erfüllt sind.
Sie erteilt das Zertifikat, wenn die Gemeinschaft, die Stammgemeinschaft oder der Herausgeber von Identifikationsmitteln die jeweiligen Anforderungen erfüllt.
Vor Ablauf der Geltungsdauer des Zertifikats ist wiederum ein Zertifizierungsaudit nach Vorgabe von Absatz 2 durchzuführen (Rezertifizierung).
Die Zertifizierungsstelle teilt dem BAG jedes erteilte und erneuerte Zertifikat sowie Sistierungen oder Entzüge von Zertifikaten mit und stellt die für den Eintrag in den Dienst zur Abfrage der Gemeinschaften und Stammgemeinschaften nach Artikel 40 notwendigen Daten zur Verfügung.
Das BAG veröffentlicht ein Verzeichnis der erteilten Zertifikate.
Die Zertifizierungsstelle hat jährlich zu überprüfen, ob die Zertifizierungsvoraussetzungen weiterhin erfüllt sind.
Stellt sie dabei wesentliche Abweichungen von den Zertifizierungsvoraussetzungen fest, insbesondere betreffend die Erfüllung von Bedingungen oder Auflagen, so informiert sie das BAG.
Das Zertifikat wird für jeweils drei Jahre ausgestellt.
Gemeinschaften, Stammgemeinschaften und Herausgeber von Identifikationsmitteln müssen der Zertifizierungsstelle wesentliche technische oder organisatorische Anpassungen melden.
Die Zertifizierungsstelle entscheidet, ob diese Anpassung durch eine Überprüfung, eine Rezertifizierung oder eine ausserordentliche Rezertifizierung geprüft wird.
Liegt eine schwerwiegende Gefährdung des Schutzes oder der Sicherheit der Daten des elektronischen Patientendossiers vor, so kann das BAG:
Das BAG kann von der Zertifizierungsstelle und von der zertifizierten Stelle die für die Zertifizierung oder Rezertifizierung notwendigen Unterlagen einfordern.
Die Zertifizierungsstelle kann die Gültigkeit eines Zertifikats aussetzen oder ein Zertifikat entziehen, wenn sie im Rahmen der Überprüfung nach Artikel 34 schwere Mängel feststellt. Ein schwerer Mangel liegt insbesondere vor, wenn:
Bei Streitigkeiten über die Sistierung oder den Entzug richten sich die Beurteilung und das Verfahren nach den zivilrechtlichen Bestimmungen, die anwendbar sind auf das Vertragsverhältnis zwischen Zertifizierungsstelle und zertifizierter Gemeinschaft oder Stammgemeinschaft oder zertifiziertem Herausgeber von Identifikationsmitteln.
Besteht der begründete Verdacht, dass eine zertifizierte Gemeinschaft oder Stammgemeinschaft oder ein zertifizierter Herausgeber von Identifikationsmitteln die Zertifizierungsvoraussetzungen nicht einhält, so kann das BAG eine Überprüfung durch die Zertifizierungsstelle anordnen.
Das BAG betreibt Dienste zur Abfrage:
Der Dienst zur Abfrage der Gemeinschaften und Stammgemeinschaften enthält für jede Gemeinschaft und Stammgemeinschaft die folgenden Daten:
Das BAG trägt die nach Artikel 33 Absatz 1 gelieferten Daten im Dienst zur Abfrage der Gemeinschaften und Stammgemeinschaften ein.
Gemeinschaften und Stammgemeinschaften tragen im Dienst zur Abfrage der Gesundheitseinrichtungen und Gesundheitsfachpersonen folgende Daten ein:
Das EDI kann weitere Daten bestimmen, die Gemeinschaften und Stammgemeinschaften im Dienst zur Abfrage der Gesundheitseinrichtungen und Gesundheitsfachpersonen eintragen müssen.
Der Dienst zur Abfrage der OID verwaltet die OID der Gemeinschaften und Stammgemeinschaften und der ihnen angehörenden Gesundheitseinrichtungen.
Das BAG erhebt von den Gemeinschaften und Stammgemeinschaften pauschal eine jährliche Gebühr von 40 000 Franken für die Bereitstellung der Abfragedienste.
Im Übrigen gelten die Bestimmungen der Allgemeinen Gebührenverordnung vom 8. September 2004 17 .
Diese Verordnung tritt am 15. April 2017 in Kraft.