Na podstawie art. 13 ustawy z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. Nr 113, poz. 657 i Nr 174, poz. 1039) zarządza się, co następuje:

§ 1.[Zakres regulacji] Rozporządzenie określa:

1) format elektronicznej dokumentacji medycznej udostępnianej przez usługodawców w Systemie Informacji Medycznej, zwanym dalej „SIM”, warunki organizacyjno-techniczne jej przetwarzania, udostępniania, autoryzacji oraz zabezpieczenia przed utratą;

2) warunki organizacyjno-techniczne zamieszczania w SIM dokumentów elektronicznych niezbędnych do prowadzenia diagnostyki, ciągłości leczenia oraz zaopatrzenia usługobiorców w produkty lecznicze i wyroby medyczne i ich pobierania z SIM, zgodnie z zakresem zadań wykonywanych przez usługodawców;

3) warunki organizacyjno-techniczne realizacji dostępu i pobierania danych przetwarzanych w SIM.

§ 2.[Definicje] Użyte w rozporządzeniu określenia oznaczają:

1) elektroniczny dokument SIM – elektroniczny dokument zawierający dane identyfikacyjne usługobiorcy, informacje dotyczące usług medycznych oraz informacje o elektronicznej dokumentacji medycznej związanej z usługami medycznymi, przetwarzany w systemie informatycznym usługodawcy i przekazywany do SIM;

2) ustawa – ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia;

3) zdarzenie medyczne – czynność inicjującą obsługę procesu biznesowego w ochronie zdrowia, etapy albo wynik tej czynności, podlegające rejestrowaniu, przesyłaniu, analizowaniu oraz gromadzeniu w systemie informacyjnym ochrony zdrowia, w szczególności obejmuje to świadczenie zdrowotne w rozumieniu art. 5 pkt 40 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych (Dz. U. z 2008 r. Nr 164, poz. 1027, z późn. zm.³⁾) oraz zdarzenia medyczne określone w art. 67a ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2012 r. poz. 159 i 742).

§ 3.[Elektroniczna dokumentacja medyczna] 1. Elektroniczna dokumentacja medyczna udostępniana przez usługodawców w SIM zawiera:

1) dokumenty elektroniczne w formacie XML, których zakres odpowiada danym gromadzonym w dokumentacji medycznej określonym przepisami ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta;

2) pliki multimedialne, będące w szczególności wynikiem diagnostyki obrazowej.

2. Elektroniczna dokumentacja medyczna jest udostępniana w SIM w formacie XML oraz, w zakresie wymiany i interpretacji danych medycznych związanych z diagnostyką obrazową, w standardzie DICOM.

3. Administrator systemu SIM określa strukturę logiczną elektronicznej dokumentacji medycznej udostępnianej przez usługodawców w SIM.

4. Struktura logiczna elektronicznej dokumentacji medycznej, o której mowa w ust. 3, umieszczana jest w repozytorium interoperacyjności, o którym mowa w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2013 r. poz. 235), w portalu edukacyjno-informacyjnym, o którym mowa w art. 36 ustawy, oraz w Biuletynie Informacji Publicznej ministra właściwego do spraw zdrowia.

5. Elektroniczna dokumentacja medyczna udostępniana przez usługodawców w SIM jest zbudowana w formie hierarchicznych struktur danych w odniesieniu do wszystkich rodzajów zdarzeń medycznych i plików multimedialnych, będących w szczególności wynikiem diagnostyki obrazowej.

§ 4.[Udostępnianie elektronicznej dokumentacji medycznej] 1. Udostępnianie elektronicznej dokumentacji medycznej odbywa się w sposób umożliwiający identyfikację uprawnionych osób, o której mowa w art. 20a ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.

2. Udostępnianie uprawnionym podmiotom elektronicznej dokumentacji medycznej następuje przez elektroniczną transmisję danych w formie komunikatów.

3. Komunikaty, o których mowa w ust. 2, są zgodne ze wzorcami struktury logicznej elektronicznych komunikatów opisanych za pomocą formatu XML/XSD i standardu wymiany i interpretacji danych medycznych związanych z diagnostyką obrazową DICOM.

§ 5.[Proces przygotowania i przesyłania komunikatów] Proces przygotowania i przesyłania komunikatów, o których mowa w § 4 ust. 2, obejmuje:

1) przesłanie przez zamawiającego do SIM zapotrzebowania na elektroniczną dokumentację medyczną;

2) przyjęcie przez SIM elektronicznego zapotrzebowania na elektroniczną dokumentację medyczną;

3) weryfikację uprawnień zamawiającego;

4) w przypadku pozytywnej weryfikacji uprawnień zamawiającego, przesłanie przez SIM zapotrzebowania na elektroniczną dokumentację medyczną do usługodawcy, do którego skierowano zapotrzebowanie;

5) przygotowanie treści komunikatu przez pracownika medycznego usługodawcy udostępniającego elektroniczną dokumentację medyczną;

6) podpisanie przez pracownika medycznego usługodawcy udostępniającego elektroniczną dokumentację medyczną komunikatu przy użyciu bezpiecznego podpisu elektronicznego w rozumieniu art. 3 pkt 2 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym (Dz. U. z 2013 r. poz. 262) albo podpisu potwierdzonego profilem zaufanym ePUAP w rozumieniu art. 3 pkt 15 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;

7) wysłanie do zamawiającego komunikatu przez usługodawcę udostępniającego elektroniczną dokumentację medyczną;

8) odebranie przez zamawiającego komunikatu;

9) potwierdzenie odebrania komunikatu przez zamawiającego w SIM i w systemie teleinformatycznym usługodawcy udostępniającego elektroniczną dokumentację medyczną.

§ 6.[Zakończenie działalności leczniczej] 1. W przypadku zakończenia działalności leczniczej przez podmiot wykonujący działalność leczniczą, w rozumieniu ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej (Dz. U. z 2013 r. poz. 217), elektroniczna dokumentacja medyczna jest przekazywana do SIM.

2. Jeżeli zadania podmiotu, o którym mowa w ust. 1, przejmuje inny podmiot, podmiot ten przejmuje elektroniczną dokumentację medyczną.

3. Elektroniczna dokumentacja medyczna, o której mowa w ust. 1, udostępniana jest przez SIM uprawnionym podmiotom w sposób określony w § 4.

§ 7.[Warunki organizacyjno-techniczne przetwarzania, udostępniania, autoryzacji oraz zabezpieczenia przed utratą elektronicznej dokumentacji medycznej] Warunki organizacyjno-techniczne przetwarzania, udostępniania, autoryzacji oraz zabezpieczenia przed utratą elektronicznej dokumentacji medycznej udostępnianej przez usługodawców w SIM są zapewniane przez:

1) odmowę dostępu do danych w przypadku braku pełnej identyfikacji lub autoryzacji zamawiającego, o którym mowa w § 5;

2) odmowę dostępu do danych w sytuacji braku zgody usługobiorcy na ich udostępnienie, z zastrzeżeniem art. 35 ust. 4 ustawy;

3) zastosowanie środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych przed ich nieuprawnioną zmianą, utratą, uszkodzeniem lub zniszczeniem, odpowiednią do zagrożeń oraz kategorii danych objętych ochroną;

4) zachowanie integralności i wiarygodności danych.

§ 8.[Przesyłanie elektronicznych dokumentów SIM] 1. Usługodawcy przetwarzają elektroniczne dokumenty SIM w zakresie danych, o których mowa w art. 10 ust. 2 ustawy.

2. Przesyłanie elektronicznych dokumentów SIM polega na:

1) opracowaniu treści komunikatu zawierającego elektroniczne dokumenty SIM przez podmiot zobowiązany do przekazywania informacji do SIM;

2) podpisaniu komunikatu, o którym mowa w pkt 1, przy użyciu bezpiecznego podpisu elektronicznego w rozumieniu art. 3 pkt 2 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym albo podpisu potwierdzonego profilem zaufanym ePUAP w rozumieniu art. 3 pkt 15 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne;

3) wysłaniu komunikatu, o którym mowa w pkt 1, przez podmiot zobowiązany do przekazywania informacji do SIM;

4) odebraniu komunikatu, o którym mowa w pkt 1, weryfikacji prawidłowości i wysłaniu potwierdzenia jego otrzymania lub wykazu stwierdzonych w nim błędów lub braków do podmiotów zobowiązanych do przekazywania informacji do SIM.

3. Struktury logiczne komunikatu, o którym mowa w ust. 2, zawierającego elektroniczne dokumenty SIM w formacie XML/XSD oraz zasady weryfikacji komunikatów, umieszczane są w repozytorium interoperacyjności, o którym mowa w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, w portalu edukacyjno-informacyjnym, o którym mowa w art. 36 ustawy, oraz w Biuletynie Informacji Publicznej ministra właściwego do spraw zdrowia.

4. Przekazanie do SIM przez usługodawców komunikatu, o którym mowa w ust. 2, w zakresie danych, o których mowa w art. 14 ust. 4 ustawy, dokonywane jest na bieżąco, co najmniej raz dziennie.

§ 9.[Zgodność SIM z normami] SIM w zakresie warunków organizacyjno-technicznych zamieszczania w nim dokumentów elektronicznych niezbędnych do prowadzenia diagnostyki, ciągłości leczenia oraz zaopatrzenia usługobiorców w produkty lecznicze i wyroby medyczne i ich pobierania z SIM, zgodnie z zakresem zadań wykonywanych przez usługodawców oraz warunków organizacyjno-technicznych realizacji dostępu i pobierania danych przetwarzanych w SIM, jest zgodny z warunkami określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, a w zakresie nieuregulowanym w tych przepisach, z następującymi normami, których przedmiotem są zasady gromadzenia i wymiany informacji w ochronie zdrowia:

1) PN-EN 13606-1:2009 Informatyka w ochronie zdrowia – Przesyłanie elektronicznej dokumentacji zdrowotnej – Część 1: Model referencyjny,

2) PN-EN 13606-4:2009 Informatyka w ochronie zdrowia – Przesyłanie elektronicznej dokumentacji zdrowotnej – Część 4: Bezpieczeństwo,

3) PN-EN ISO 13606-5:2010 Informatyka w ochronie zdrowia – Przesyłanie elektronicznej dokumentacji zdrowotnej – Część 5: Specyfikacja interfejsu,

4) PN-ENV 13608-1:2003 (U) Informatyka w ochronie zdrowia – Bezpieczeństwo przesyłanych danych w opiece zdrowotnej – Część 1: Pojęcia i terminologia,

5) PN-ENV 13608-2:2003 (U) Informatyka w ochronie zdrowia – Bezpieczeństwo przesyłanych danych w opiece zdrowotnej – Część 2: Bezpieczne obiekty danych,

6) PN-ENV 13608-3:2003 (U) Informatyka w ochronie zdrowia – Bezpieczeństwo przesyłania danych w opiece zdrowotnej – Część 3: Bezpieczne kanały przesyłania danych

– albo normami lub wersjami norm je zastępującymi.

§ 10.[Minimalne wymagania dla SIM] 1. Minimalne wymagania dla SIM związane z bezpieczeństwem przetwarzania i udostępniania danych w postaci elektronicznej uwzględniają:

1) dostęp usługobiorcy do informacji podlegających ochronie prawnej, przechowywanych w SIM;

2) wdrożenie mechanizmów umożliwiających audyt wymiany danych związanych z elektronicznym dokumentem SIM;

3) uwierzytelnianie i identyfikację podmiotów podejmujących próby dostępu do elektronicznego dokumentu SIM do danych przetwarzanych i udostępnianych w SIM;

4) wdrożenie mechanizmów pozyskiwania, rejestracji i śledzenia stanu zgody wyrażonej przez usługobiorcę na dostęp do całości lub części danych przetwarzanych w SIM, z uwzględnieniem celu pozyskania dostępu do tych danych;

5) określanie, modyfikację i odwoływanie praw dostępu do całości lub części danych przetwarzanych w SIM.

2. W przypadku danych dotyczących:

1) usługobiorców będących:

a) funkcjonariuszami Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Służby Kontrwywiadu Wojskowego, Służby Wywiadu Wojskowego lub Centralnego Biura Antykorupcyjnego, zwanych dalej „służbami specjalnymi”,

b) członkami rodzin, w rozumieniu art. 5 pkt 3 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, funkcjonariuszy służb specjalnych,

2) podmiotów leczniczych, o których mowa w art. 4 ust. 1 pkt 3 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej

– minimalne wymagania dla SIM, o których mowa w ust. 1, uwzględniają ponadto ochronę tych danych w zakresie wykonywania obowiązków, o których mowa w art. 35 ust. 1 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2010 r. Nr 29, poz. 154, z późn. zm.⁴⁾), art. 24 ust. 1 ustawy z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym (Dz. U. z 2012 r. poz. 621, 627 i 664) oraz w art. 39 ust. 1 ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego (Dz. U. Nr 104, poz. 709, z późn. zm.⁵⁾), a także możliwość uzyskania przez służby specjalne informacji o osobach przetwarzających w SIM dane dotyczące tych usługobiorców i podmiotów.

3. Informacja, o której mowa w ust. 2, obejmuje imię i nazwisko osoby przetwarzającej dane w SIM oraz dzień, godzinę i cel przetwarzania danych w SIM.

§ 11.[Ochrona na poziomie wysokim danych przetwarzanych w SIM i danych zawartych w elektronicznej dokumentacji medycznej] Dane przetwarzane w SIM i dane zawarte w elektronicznej dokumentacji medycznej podlegają ochronie na poziomie wysokim, o którym mowa w przepisach wydanych na podstawie art. 39a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.⁶⁾).

§ 12.[System zarządzania bezpieczeństwem informacji - normy] 1. Administrator systemu SIM w zakresie niezbędnym dla właściwego działania przypisanego mu systemu opracowuje i ustanawia, wdraża i eksploatuje, monitoruje i przegląda oraz utrzymuje i doskonali system zarządzania bezpieczeństwem informacji zapewniający poufność, dostępność i integralność informacji.

2. System zarządzania bezpieczeństwem informacji spełnia wymagania określone w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne dla systemu zarządzania bezpieczeństwem informacji oraz uwzględnia w zakresie zarządzania bezpieczeństwem informacji w ochronie zdrowia następujące normy:

1) PN-EN 14484:2005 Informatyka medyczna – Międzynarodowy przekaz medycznych danych osobowych objętych dyrektywą UE dotyczącą ochrony danych – Wysoki poziom polityki bezpieczeństwa,

2) PN-EN 14485:2005 Informatyka medyczna – Wskazania dla operowania medycznymi danymi osobowymi w międzynarodowych aplikacjach z uwzględnieniem dyrektywy UE dotyczącej ochrony danych,

3) PN-EN ISO 27799:2010 Informatyka w ochronie zdrowia – Zarządzanie bezpieczeństwem informacji w ochronie zdrowia z wykorzystaniem ISO/IEC 27002

– albo normy lub wersje norm je zastępujące.

§ 13.[Wejście w życie] Rozporządzenie wchodzi w życie po upływie 14 dni od dnia ogłoszenia.