816.11 — OCIP

Ordinanza sulla cartella informatizzata del paziente (OCIP)

del 22 marzo 2017 (Stato 1° ottobre 2024)

Il Consiglio federale svizzero,

vista la legge federale del 19 giugno 2015 ¹ sulla cartella informatizzata
del paziente (LCIP),

ordina:

Capitolo 1 Gradi di riservatezza e diritti d’accesso

Art. 1 Gradi di riservatezza

Il paziente può attribuire ai dati medici della sua cartella informatizzata del paziente (cartella informatizzata) uno dei tre gradi di riservatezza seguenti:

1. normalmente accessibile;
2. limitatamente accessibile;
3. segreto.

In mancanza di attribuzione da parte del paziente, i nuovi dati registrati sono attribuiti al grado di riservatezza «normalmente accessibile», salvo se il professionista della salute li attribuisce al grado di riservatezza «limitatamente accessibile».

Art. 2 Diritti d’accesso

Il paziente può accordare a professionisti della salute o a gruppi di professionisti della salute il diritto d’accesso al grado di riservatezza «normalmente accessibile» oppure il diritto d’accesso ai gradi di riservatezza «normalmente accessibile» e «limitatamente accessibile».

In situazioni di emergenza medica, anche i professionisti della salute ai quali il paziente non ha accordato un diritto d’accesso possono accedere ai dati del grado di riservatezza «normalmente accessibile». Il paziente viene informato dell’accesso di emergenza entro un termine adeguato.

Il professionista della salute che aderisce a un gruppo ottiene il diritto d’accesso attribuito a tale gruppo. Quando lascia un gruppo, tale diritto d’accesso gli viene revocato.

Art. 3 Durata dei diritti d’accesso

I diritti d’accesso accordati ai professionisti della salute valgono fino alla loro revoca da parte del paziente.

Per i diritti d’accesso accordati ai gruppi di professionisti della salute il paziente deve stabilire una scadenza.

Art. 4 Opzioni del paziente

Il paziente può:

1. stabilire il grado di riservatezza da attribuire ai nuovi dati medici registrati;
2. negare a singoli professionisti della salute l’accesso alla sua cartella informatizzata;
3. scegliere di essere informato sull’adesione di professionisti della salute ai gruppi ai quali ha accordato un diritto d’accesso;
4. fissare a sua discrezione una scadenza per i diritti d’accesso dei professionisti della salute;
5. per situazioni di emergenza medica, estendere il diritto d’accesso al grado di riservatezza «limitatamente accessibile» o negare l’accesso;
6. nominare un rappresentante;
7. autorizzare i professionisti della salute della sua comunità di riferimento a trasferire i diritti d’accesso loro accordati, al massimo in uguale misura, ad altri professionisti della salute o a gruppi di professionisti della salute.

Capitolo 2 Numero d’identificazione del paziente

Art. 5 Formato

Il numero d’identificazione del paziente si compone di un numero di base, un numero d’identificazione e una cifra di controllo. Non deve permettere di risalire in alcun modo all’identità paziente.

Il Dipartimento federale dell’interno (DFI) stabilisce le prescrizioni per la strutturazione del numero d’identificazione del paziente e per il calcolo della cifra di controllo.

Art. 6 Domanda di attribuzione

Il numero d’identificazione del paziente viene attribuito dall’Ufficio centrale di compensazione (UCC) su richiesta di una comunità di riferimento.

La comunità di riferimento comunica all’UCC i seguenti dati per l’attribuzione del numero d’identificazione del paziente:

1. cognome;
2. nomi;
3. sesso;
4. data di nascita;
5. ² numero AVS.

Se i dati comunicati non sono sufficienti per l’attribuzione, l’UCC può richiedere dati aggiuntivi alla comunità di riferimento.

Art. 7 Consultazione e registrazione

Le comunità e le comunità di riferimento possono consultare il numero d’identificazione del paziente presso l’UCC mediante procedura elettronica di richiamo.

Il numero d’identificazione del paziente può essere registrato manualmente solo se viene effettuata una verifica della cifra di controllo.

Art. 8 Annullamento

Se una cartella informatizzata viene soppressa, il relativo numero d’identificazione del paziente viene annullato nella banca dati d’identificazione dell’UCC.

L’UCC informa le comunità e le comunità di riferimento dell’annullamento del numero d’identificazione del paziente.

Un numero d’identificazione del paziente annullato non può essere riattribuito.

Capitolo 3 Comunità e comunità di riferimento

Sezione 1 Comunità

Art. 9 Identificatore di oggetto e gestione

Le comunità devono richiedere un identificatore di oggetto (OID) al servizio di ricerca di dati degli identificatori di oggetto di cui all’articolo 42, per sé stesse e per le strutture sanitarie ad esse affiliate.

Esse sono tenute a gestire le strutture sanitarie, i professionisti della salute e i gruppi di professionisti della salute che vi sono affiliati. A questo scopo devono in particolare:

1. disciplinare le loro modalità di ingresso e uscita;
2. identificare i professionisti della salute e verificarne la qualifica professionale;
3. assegnare ai gruppi di professionisti della salute un OID basato sull’OID della struttura sanitaria;
4. garantire l’aggiornamento dei dati nel servizio di ricerca di dati delle strutture sanitarie e dei professionisti della salute secondo l’articolo 41;
5. garantire che i professionisti della salute accedano alla cartella informatizzata utilizzando uno strumento d’identificazione rilasciato da un emittente certificato secondo l’articolo 31;
6. informare i pazienti che lo richiedono sull’ingresso di professionisti della salute in gruppi di professionisti della salute.

Art. 10 Conservazione e trasmissione di dati

Le comunità devono garantire che:

1. siano applicati gli articoli 1 e 2 capoverso 2;
2. i dati medici della cartella informatizzata siano memorizzati separatamente da altre raccolte di dati;
3. per la memorizzazione e il trasferimento dei dati vengano utilizzati metodi di criptaggio secondo l’attuale stato della tecnica;
4. i dati registrati dai professionisti della salute nella cartella informatizzata siano distrutti dopo 20 anni;
5. tutti i dati siano distrutti in caso di soppressione della cartella informatizzata secondo l’articolo 21.

Su richiesta del paziente, le comunità devono garantire altresì che:

1. determinati dati medici che lo riguardano non siano registrati nella sua cartella informatizzata;
2. determinati dati siano esclusi dalla distruzione di cui al capoverso 1 lettera d;
3. determinati dati medici che lo riguardano siano distrutti nella sua cartella informatizzata.

Il DFI stabilisce le prescrizioni tecniche e organizzative per la conservazione e la trasmissione dei dati. In particolare disciplina:

1. i metadati da utilizzare;
2. i formati di scambio da utilizzare;
3. i profili d’integrazione da utilizzare;
4. le prescrizioni relative ai verbali.

Può decidere che le prescrizioni di cui al capoverso 3 siano pubblicate in lingua originale e rinunciare a una traduzione nelle lingue ufficiali.

Il DFI può autorizzare l’Ufficio federale della sanità pubblica (UFSP) ad adeguare le prescrizioni di cui al capoverso 3 allo stato della tecnica.

Art. 11 Portale d’accesso per i professionisti della salute

Il DFI stabilisce i requisiti che deve soddisfare il portale d’accesso per i professionisti della salute, in particolare riguardo alla disponibilità e alla consultazione dei dati mediante procedura di richiamo nonché all’assenza di ostacoli all’utenza.

Art. 12 Protezione e sicurezza dei dati

Le comunità devono dotarsi di un sistema di gestione della protezione e della sicurezza dei dati adeguato ai rischi. Tale sistema deve in particolare comprendere i seguenti elementi:

1. un sistema di monitoraggio e gestione degli incidenti relativi alla sicurezza;
2. ³ un registro dei mezzi informatici e delle attività di trattamento;
3. i requisiti in materia di protezione e sicurezza dei dati che le strutture sanitarie affiliate e i terzi devono soddisfare.

Le comunità designano un responsabile della protezione e della sicurezza dei dati.

Le comunità sono tenute a segnalare all’UFSP gli incidenti sopravvenuti nel sistema di gestione della protezione e della sicurezza dei dati ritenuti rilevanti per la sicurezza.

Il DFI stabilisce i requisiti tecnici e organizzativi in materia di protezione e sicurezza dei dati.

I supporti di memoria dei dati devono trovarsi in Svizzera e sottostare al diritto svizzero.

Art. 13 Servizio di assistenza per i professionisti della salute

Le comunità devono designare un servizio di assistenza incaricato di sostenere i professionisti della salute nell’impiego della cartella informatizzata.

Sezione 2 Comunità di riferimento

Art. 14 Requisiti supplementari per le comunità di riferimento

Oltre le prescrizioni di cui alla sezione 1, le comunità di riferimento devono rispettare anche le prescrizioni stabilite nella presente sezione.

Art. 15 Informazione del paziente

Prima di aprire una cartella informatizzata, la comunità di riferimento deve informare il paziente in particolare sui seguenti punti:

1. lo scopo della cartella informatizzata;
2. il trattamento dei dati;
3. le conseguenze del consenso, la possibilità di revocarlo nonché le relative conseguenze della revoca;
4. l’attribuzione dei diritti d’accesso.

La comunità di riferimento deve raccomandare al paziente misure di protezione e sicurezza dei dati.

Art. 16⁴ Consenso

La comunità di riferimento deve ottenere il consenso del paziente per la costituzione di una cartella informatizzata. Il consenso deve essere:

1. firmato dal paziente di propria mano oppure mediante firma elettronica qualificata corredata di una marca temporale qualificata ai sensi della legge del 18 marzo 2016⁵ sulla firma elettronica; oppure
2. confermato dal paziente mediante uno strumento d’identificazione rilasciato da un emittente certificato secondo l’articolo 31.

Art. 17 Gestione

Le comunità di riferimento devono:

1. disciplinare l’apertura, la gestione e la soppressione della cartella informatizzata;
2. identificare i pazienti;
3. garantire che i pazienti o i loro rappresentanti accedano alla cartella informatizzata utilizzando uno strumento d’identificazione rilasciato da un emittente certificato secondo l’articolo 31;
4. richiedere un numero d’identificazione del paziente;
5. prevedere procedure per il cambiamento di comunità di riferimento.

Le comunità di riferimento devono garantire l’applicazione dell’articolo 2 capoversi 1 e 3 nonché degli articoli 3 e 4.

Art. 18 Portale d’accesso per i pazienti

Il DFI stabilisce i requisiti che deve soddisfare il portale d’accesso per i pazienti, in particolare per quanto riguarda:

1. l’applicazione degli articoli 1–4, segnatamente la presentazione della composizione dei gruppi di professionisti della salute;
2. la presentazione dei verbali;
3. la registrazione e la consultazione dei dati mediante procedura di richiamo;
4. l’assenza di ostacoli all’utenza.

Art. 19 Dati registrati dai pazienti

Il DFI stabilisce i requisiti per l’impiego dei dati medici registrati dai pazienti.

Art. 20 Servizio di assistenza per i pazienti

Le comunità di riferimento devono designare un Servizio di assistenza incaricato di sostenere i pazienti nell’impiego della cartella informatizzata.

Art. 21 Soppressione della cartella informatizzata

La comunità di riferimento sopprime la cartella informatizzata se il paziente revoca il suo consenso. La dichiarazione di revoca deve essere conservata per dieci anni.

La comunità di riferimento può sopprimere la cartella informatizzata al più presto due anni dopo il decesso del paziente.

Quando una cartella informatizzata viene soppressa, la comunità di riferimento deve revocare entro un termine adeguato tutti i diritti d’accesso a tale cartella nonché informare l’UCC e tutte le comunità.

Sezione 3 Valutazione e ricerca

Art. 22

Le comunità e le comunità di riferimento devono mettere regolarmente a disposizione dell’UFSP, in forma pseudonimizzata, i dati necessari alla valutazione secondo l’articolo 18 LCIP.

Il DFI stabilisce i dati da fornire e i relativi termini.

L’UFSP può elaborare dati dei servizi di ricerca di dati di cui all’articolo 39 a scopo di valutazione e ricerca.

L’UFSP può richiedere dagli organismi di certificazione e dagli organismi certificati i documenti rilevanti per la certificazione o per il rinnovo della stessa.

Capitolo 4 Strumenti d’identificazione

Art. 23 Requisiti

Lo strumento d’identificazione deve:

1. soddisfare il grado di riservatezza 3 della norma ISO/IEC 29115:2013(E)⁶;
2. essere concepito in modo che possa essere utilizzato unicamente dalla persona autorizzata;
3. impiegare una procedura di autenticazione conforme all’attuale stato della tecnica con un minimo di due fattori di autenticazione; e
4. avere una durata di validità massima di cinque anni.

Art. 24 Verifica dell’identità

L’emittente dello strumento d’identificazione è tenuto a verificare l’identità della persona che ne richiede uno. A questo scopo il richiedente deve esibire un documento d’identità secondo la legge del 22 giugno 2001 ⁷ sui documenti d’identità o una carta di soggiorno secondo gli articoli 41–41 b della legge federale del 16 dicembre 2005 ⁸ sugli stranieri e la loro integrazione ⁹ oppure inviare per via elettronica una domanda corredata di firma elettronica qualificata secondo la legge federale del 18 marzo 2016 ¹⁰ sulla firma elettronica.

La verifica dell’identità del richiedente può essere delegata a terzi.

Art. 25 Dati

L’emittente dello strumento d’identificazione assegna al richiedente un identificatore univoco.

In base al documento d’identità presentato secondo l’articolo 24 capoverso 1 attribuisce i seguenti dati al richiedente:

1. cognome;
2. nomi;
3. sesso;
4. data di nascita;
5. numero del documento d’identità.

Se lo strumento d’identificazione deve servire anche come prova della qualifica professionale di un professionista della salute, l’emittente deve attribuire a quest’ultimo anche i seguenti dati:

1. il numero univoco d’identificazione (GLN¹¹);
2. la qualifica professionale verificata mediante un registro federale o cantonale.

L’emittente può trasmettere i dati di cui ai capoversi 1, 2 lettere a–d e 3 alle comunità e alle comunità di riferimento ai fini dell’identificazione.

Esso informa il richiedente sulle misure di sicurezza da adottare nell’impiego degli strumenti d’identificazione.

Memorizza i dati su supporti di memoria che si trovano in Svizzera e sottostanno al diritto svizzero.

Art. 26 Rinnovo

Lo strumento d’identificazione può essere rinnovato prima della sua scadenza.

Al momento del rinnovo dello strumento d’identificazione l’emittente verifica l’identità del richiedente.

Art. 27 Blocco

Il titolare può in ogni tempo disporre il blocco temporaneo o definitivo dello strumento d’identificazione.

Capitolo 5 Accreditamento

Art. 28 Requisiti

Gli organismi che certificano le comunità, le comunità di riferimento e i portali di accesso devono essere riconosciuti per quanto concerne l’audit e la certificazione di sistemi di gestione:

1. dal Servizio di accreditamento svizzero (SAS) secondo l’ordinanza del 17 giugno 1996¹² sull’accreditamento e sulla designazione;
2. da un organismo d’accreditamento estero membro dell’European Cooperation for Accreditation;
3. da un organismo d’accreditamento riconosciuto dalla Svizzera nel quadro di un accordo internazionale.¹³

Gli organismi che certificano gli emittenti di strumenti d’identificazione devono essere riconosciuti per l’audit e la certificazione di prodotti, processi e servizi da un organismo di cui al capoverso 1 lettere a, b o c. ¹⁴

Gli organismi di certificazione devono disporre di un’organizzazione e di una procedura di controllo ben definite. Vi sono disciplinati in particolare:

1. i criteri per verificare il rispetto delle condizioni di certificazione;
2. le modalità di svolgimento della procedura, in particolare le misure applicabili in caso di irregolarità.

Per la verifica del trasferimento di dati tra le comunità e le comunità di riferimento gli organismi di certificazione devono utilizzare il sistema di test di certificazione messo a disposizione dall’UFSP.

Il DFI stabilisce i requisiti minimi concernenti la qualifica del personale addetto alle certificazioni.

Art. 29 Procedura

Il Servizio di accreditamento svizzero consulta l’UFSP in merito alla procedura di accreditamento e ai controlli nonché alla sospensione e alla revoca dell’accreditamento.

Capitolo 6 Certificazione

Sezione 1 Condizioni

Art. 30 Comunità e comunità di riferimento

Le comunità vengono certificate se soddisfano le prescrizioni di cui agli articoli 9–13,le comunità di riferimento se soddisfano le prescrizioni di cui agli articoli 9–21.

Il DFI precisa le condizioni di certificazione di cui agli articoli 9–21.

Può autorizzare l’UFSP ad adeguare le prescrizioni di cui al capoverso 2 allo stato della tecnica.

Art. 31 Emittenti di strumenti d’identificazione

Gli emittenti di strumenti d’identificazione vengono certificati se:

1. sono in grado di emettere e gestire gli strumenti d’identificazione secondo i requisiti di cui agli articoli 23–27;
2. garantiscono che il personale disponga delle conoscenze specialistiche, dell’esperienza e delle qualifiche necessarie;
3. utilizzano sistemi e prodotti informatici affidabili e che consentano un esercizio sicuro;
4. garantiscono la protezione e la sicurezza dei dati con adeguate misure organizzative e tecniche e assicurano i relativi controlli.

Il DFI precisa le condizioni di certificazione secondo gli articoli 23–27.

Può autorizzare l’UFSP ad adeguare le prescrizioni di cui al capoverso 2 allo stato della tecnica.

Sezione 2 Procedura di certificazione

Art. 32 Svolgimento

L’organismo di certificazione esamina i documenti per accertare se il richiedente è preparato all’audit di certificazione.

Nell’audit di certificazione, verifica il rispetto delle condizioni di certificazione.

Rilascia il certificato se la comunità, la comunità di riferimento o l’emittente di strumenti d’identificazione soddisfa i rispettivi requisiti.

Prima della scadenza del certificato dev’essere svolto un nuovo audit di certificazione secondo il capoverso 2 (rinnovo della certificazione).

Art. 33 Comunicazione e pubblicazione dei certificati

L’organismo di certificazione comunica all’UFSP tutti i casi di emissione, rinnovo, sospensione e revoca di certificati e mette a disposizione i dati necessari per l’iscrizione nel servizio di ricerca di dati delle comunità e comunità di riferimento di cui all’articolo 40.

L’UFSP pubblica un registro dei certificati rilasciati.

Art. 34 Verifica

L’organismo di certificazione verifica ogni anno se sono ancora soddisfatte le condizioni di certificazione.

Se in occasione di tale verifica riscontra mutamenti sostanziali rispetto alle condizioni di certificazione, in particolare per quanto riguarda l’adempimento di condizioni od oneri, l’organismo di certificazione ne informa l’UFSP.

Art. 35 Durata di validità

Il certificato emesso ha una durata di tre anni.

Art. 36 Comunicazione di sostanziali adeguamenti tecnici od organizzativi

Le comunità, le comunità di riferimento e gli emittenti di strumenti d’identificazione comunicano all’organismo di certificazione ogni sostanziale adeguamento tecnico od organizzativo.

L’organismo di certificazione decide se tale adeguamento debba essere esaminato nell’ambito di una verifica, di un rinnovo della certificazione o di un rinnovo straordinario della certificazione.

Art. 37 Clausola di salvaguardia

In caso di grave pericolo per la protezione o la sicurezza dei dati contenuti nella cartella informatizzata, l’UFSP può:

1. negare provvisoriamente l’accesso alla cartella informatizzata alle comunità e alle comunità di riferimento;
2. vietare l’uso di determinati strumenti d’identificazione elettronica per l’accesso alla cartella informatizzata;
3. disporre il rinnovo straordinario della certificazione.

L’UFSP può esigere dall’organismo di certificazione e dall’organismo certificato i documenti necessari per la certificazione o il rinnovo della certificazione.

Sezione 3 Sanzioni

Art. 38

L’organismo di certificazione può sospendere la validità di un certificato o revocarlo se constata gravi lacune nell’ambito della verifica secondo l’articolo 34. Si è in presenza di una grave lacuna in particolare se:

1. non sono più soddisfatte condizioni essenziali della certificazione; oppure
2. un certificato è utilizzato in modo ingannevole o abusivo.

In caso di controversia sulla sospensione o la revoca, il giudizio e la procedura sono retti dalle disposizioni di diritto civile applicabili al rapporto contrattuale tra l’organismo di certificazione e la comunità o la comunità di riferimento certificata oppure l’emittente di strumenti d’identificazione certificato.

Se sussiste il sospetto fondato che una comunità o una comunità di riferimento certificata oppure un emittente di strumenti d’identificazione certificato non soddisfa le condizioni di certificazione, l’UFSP può disporre una verifica da parte dell’organismo di certificazione.

Capitolo 7 Servizi di ricerca di dati

Sezione 1 Aspetti generali

Art. 39

L’UFSP gestisce i servizi di ricerca di dati:

1. delle comunità e comunità di riferimento;
2. delle strutture sanitarie e dei professionisti della salute autorizzati a trattare i dati della cartella informatizzata;
3. dei metadati (art. 10 cpv. 3 lett. a);
4. degli OID registrati per la cartella informatizzata.

Sezione 2 Contenuto

Art. 40 Servizio di ricerca di dati delle comunità e comunità di riferimento

Il servizio di ricerca di dati delle comunità e comunità di riferimento contiene i seguenti dati su ogni comunità e comunità di riferimento:

1. la designazione;
2. l’OID;
3. i certificati per un’autenticazione sicura rispetto ad altre comunità e comunità di riferimento;
4. l’indirizzo Internet del punto d’accesso.

L’UFSP inserisce i dati forniti secondo l’articolo 33 capoverso 1 nel servizio di ricerca di dati delle comunità e comunità di riferimento.

Art. 41 Servizio di ricerca di dati delle strutture sanitarie e dei professionisti della salute

Le comunità e le comunità di riferimento inseriscono i seguenti dati nel servizio di ricerca di dati delle strutture sanitarie e dei professionisti della salute:

1. per le strutture sanitarie e i gruppi di professionisti della salute:1.la designazione e l’indirizzo,2.l’OID,3.¹⁵...
2. per i professionisti della salute:1.le generalità,2.¹⁶il GLN,3.la designazione e l’indirizzo delle strutture sanitarie o dei gruppi di professionisti della salute a cui sono affiliati.

Il DFI può stabilire altri dati che le comunità e le comunità di riferimento devono inserire nel servizio di ricerca di dati delle strutture sanitarie e dei professionisti della salute.

Art. 42 Servizio di ricerca di dati degli OID

Il servizio di ricerca di dati degli OID gestisce gli OID delle comunità, delle comunità di riferimento e delle strutture sanitarie che vi sono affiliate.

Art. 43 Emolumenti

L’UFSP riscuote dalle comunità e dalle comunità di riferimento un emolumento annuo forfettario di 40 000 franchi per la messa a disposizione dei servizi di ricerca di dati.

Per il resto si applicano le disposizioni dell’ordinanza generale dell’8 settembre 2004 ¹⁷ sugli emolumenti.

Capitolo 8 Entrata in vigore

Art. 44

La presente ordinanza entra in vigore il 15 aprile 2017.