In brief

  • It enters into force on 12 October 2026 and applies from 26 March 2027. The two dates do not mean the same thing. From 12 October 2026 the regulation exists as Union law and the preparation clock starts running; the obligations for doctors, hospitals and authorities arise 165 days later. In a doctor’s surgery, nothing changes in October 2026.
  • It lays down how the patient is identified and how the doctor is authenticated when an electronic health record crosses a border through MyHealth@EU, the central platform through which Member States exchange medical data. Until now each State used its own identifiers, and the records of the same person stayed scattered across systems that did not recognise one another.
  • The patient takes on no new obligation. Article 3(3) gives them an option: upon their request, the authority in the Member State of affiliation issues their healthcare identification data as an electronic attestation, in the European Digital Identity Wallet. Anyone who asks for nothing is identified on the spot, as before.
  • Five successive deadlines, running to 2032. 26 March 2027 for application, 26 March 2028 for notifying the national sets of attributes, 26 March 2029 for the wallet, 26 March 2030 for the „high” assurance level when identifying patients and 26 March 2032 for the same level for doctors.
Act: Commission Implementing Regulation (EU) 2026/2099 of 21 September 2026 on an interoperable, cross-border identification and authentication mechanism for natural persons, health professionals and healthcare providers for the purposes of the cross-border exchange of personal electronic health data
Published: Official Journal of the European Union, L series, 2026/2099 of 22 September 2026
In force from: 12 October 2026, the twentieth day following publication, under the first paragraph of Article 9; it applies from 26 March 2027, and Article 3(3) and Article 5(2) from 26 March 2029

A Romanian patient who walks into a doctor’s office in Spain, in Germany or in France has, from 26 March 2027, an official route by which that doctor can find their medical record at source, in Romania. Commission Implementing Regulation (EU) 2026/2099, published in the Official Journal of the European Union, L series, 2026/2099 of 22 September 2026, describes the piece that was missing from the European Health Data Space: how it is established that the patient in front of the doctor really is the person whose record is being requested, and how the doctor proves, to a system in another country, that they are a doctor.

The regulation enters into force on 12 October 2026, because the first paragraph of Article 9 ties it to the twentieth day following publication. Entry into force, however, produces no obligation at the surgery, at the hospital or at the health insurance house. The second paragraph of the same article postpones application to 26 March 2027, and the third paragraph carries two provisions, Article 3(3) and Article 5(2), all the way to 26 March 2029. The difference between the two moments is the one piece of information worth retaining for anyone who reads only the opening lines: 12 October 2026 starts the preparation period, not the new regime.

The author of the act is the European Commission, which worked from a precise empowerment. Article 16(2) of Regulation (EU) 2025/327, the European law on the health data space, requires the Commission to lay down the requirements for the identification and authentication mechanism by implementing acts. Regulation 2026/2099 is exactly that act, and the committee of Member States established by Article 98(1) of the same law gave a favourable opinion. The European Data Protection Supervisor, the body that oversees data processing by Union institutions, was consulted and delivered an opinion on 5 May 2026.

What it changes in practice

The mechanism rests on three notions that the act uses without explaining, because it borrows them from two other regulations. The first is MyHealth@EU: under Article 23(1) of Regulation (EU) 2025/327, a central digital health interoperability platform set up by the Commission, through which medical data are exchanged between the national contact points for digital health. Each Member State designates such a contact point, an organisational and technical counter connected to all the others, and Article 23(2) of the same regulation requires States to communicate the identity of their own contact point to the Commission by 26 March 2027. The patient never comes into direct contact with the platform: the foreign doctor’s request reaches the contact point in their own country, which forwards it to the one in Romania.

The second notion is the European Digital Identity Wallet, an application on a phone or another device in which a person keeps their electronic identity documents and decides, each time, which attribute to show and to whom. It is governed by Article 5a of Regulation (EU) No 910/2014, as worded by Regulation (EU) 2024/1183: each Member State provides at least one wallet, within 24 months of the entry into force of the technical implementing acts. Article 5f of the same regulation obliges public bodies to accept the wallet, and private relying parties in sectors including health within 36 months of those same technical acts, but only at the voluntary request of the user. The phrase „at the voluntary request” explains why the present regulation asks nothing of the patient: the wallet is a right of theirs, not a condition for seeing a doctor.

The third notion is the assurance level, that is, the degree to which an electronic identification means guarantees that a person is who they say they are. Article 8(2) of Regulation (EU) No 910/2014 describes three steps, and the present act uses two of them. The „substantial” level, at point (b), requires specifications, standards and technical controls whose purpose is to decrease substantially the risk of misuse or alteration of identity. The „high” level, at point (c), requires a higher degree of confidence than the substantial one, and the technical controls must prevent fraud rather than merely reduce its likelihood. In practice the difference shows in how hard the means is to obtain: at the high level, identity verification and the link between the person and the device are secured by stronger guarantees than a password and a code received on a phone. The European Digital Identity Wallet is, by design, at the high level.

On top of these three pieces, the act builds four obligations that start working on different dates. The State defines and notifies its set of healthcare attributes, that is, the list of data by which its patient can be recognised abroad and matched to their own record. The doctor or healthcare provider identifies the patient before requesting the record and, if the patient’s request came in online, also authenticates them electronically. The entity designated by each State identifies, authenticates and authorises the doctor. And the national contact point transmits to the other contact point both the patient’s attributes and the doctor’s identification data, in the form fixed by the Annex.

The timetable of deadlines

  1. 21 September 2026: the Commission adopts the regulation in Brussels.
  2. 22 September 2026: publication in the Official Journal of the European Union, L series, 2026/2099.
  3. 12 October 2026: entry into force, the twentieth day following publication. No obligation arises on this date.
  4. 26 March 2027: the regulation applies. From this day on, Articles 1, 2, 3(1) and (2), 4, 5(1) and (3), 6, 7 and 8 operate. It is also the date from which Regulation (EU) 2025/327 applies in general, under the second paragraph of Article 105 of that regulation.
  5. 26 March 2028: the deadline by which each Member State notifies the Commission of its own set of healthcare attributes, under Article 3(2). The Commission publishes them.
  6. 26 March 2029: Article 3(3), the patient’s right to receive the attributes in the wallet, and Article 5(2), the doctor’s obligation to accept attributes presented through the wallet, come into play.
  7. 26 March 2030: the electronic identification means used for identifying patients must provide the „high” level, under the third sentence of Article 4(2).
  8. 26 March 2032: the authentication means of doctors must provide the „high” level, under the second sentence of Article 6(3). The last deadline in the act, 1,992 days after entry into force.

For Romania, the Member State obligations are four in number and all of them carry a deadline. By 26 March 2027 the national set of healthcare attributes has to exist, because Article 3(1) applies from that date, and by 26 March 2028 the set has to be notified to the Commission. Article 3(3) requires the designation of a competent authority which, upon a person’s request, issues the attributes into the wallet; recital (7) says explicitly that issuing the attributes is a task in the public interest assigned to the authorities to be designated by the Member States. Article 6(1) calls for a second designation, the list of entities responsible for identifying, authenticating and authorising doctors and healthcare providers. The national contact point for digital health has three concrete tasks of its own: it transmits the patient’s attributes to the other contact point, in both directions of the exchange, under Article 5(1); it communicates the doctor’s identification data to the contact point receiving the request, in the technical form set out in the Annex, under Article 7; and it connects to the mechanism described in Article 8, which supports the notification and publication of the sets, the exchange of attributes and the exchange of data on doctors.

There are no obligations for the patient. Looking for them in the text turns up nothing, and that is a choice by the legislator rather than an omission: Article 3(3) is triggered „upon request by a natural person”, Article 4(1) places identification on the doctor rather than on the person, and Article 5(3) says what happens when the identification means does not supply all the attributes, namely that the doctor requests additional information from the patient directly. Nobody loses a right for not having installed an app.

What has changed compared with the previous situation

Until this regulation, Union law said what a person could do, not what the system had to do. Article 16(1) of Regulation (EU) 2025/327 gives individuals the right to identify themselves electronically by any means recognised under Article 6 of Regulation (EU) No 910/2014, and leaves Member States free to offer „complementary mechanisms” for identity matching in cross-border situations. A right framed in that way stops at the practical border described in recital (1) of the new act: States use different identifiers for the same people and for their records, and the means for identifying doctors differ from one State to another.

The novelty lies in four points. The set of attributes is no longer optional, nor bilateral: each State defines it, notifies it and sees it published by the Commission, so a hospital writing its software no longer needs a separate conversation with each State to learn which data identify a Portuguese patient. The minimum assurance level becomes mandatory, „substantial” from 26 March 2027, moving to „high” in 2030 for patients and in 2032 for doctors, so identification by name and date of birth is no longer enough where it is done electronically. Accepting the wallet is no longer a courtesy left to the provider: from 26 March 2029, Article 5(2) obliges the doctor or the provider to accept attributes presented through the wallet, whether the patient is standing in front of them or has requested the record online. And, finally, the identification of the doctor is given a mandatory tabular form: the Annex fixes seven fields for the professional and four for the healthcare provider, from the family name and the ISO 3166-1 alpha-2 country code to the unique identifier of the facility where treatment is provided.

A less visible change concerns representatives. Article 4(3) extends the mechanism to the case where the person requesting the record is not its holder but someone authorised by the holder or their legal representative, within the meaning of Article 4(2) of Regulation (EU) 2025/327, which requires States to establish mandating services. The doctor identifies the representative and checks whether that person meets the conditions for acting in that capacity, and recital (3) shows them where to look: at the Member State of affiliation, which holds the source of the information on mandates. For a parent arriving with a child at a hospital in another country, the difference between having and not having this provision is the difference between a check and an argument.

Advantages and disadvantages

What it improves

  • The patient no longer has to carry their record around. The doctor in the other country looks it up at source, in the Romanian system, using the attributes collected on the spot or received from the wallet.
  • The deadlines are fixed calendar dates, not intervals tied to each State’s own pace. A hospital has 165 days from entry into force to application and 1,992 days to the final obligation, so it can plan the investment without waiting for a national act.
  • From 26 March 2029, the attestation held in the wallet cannot be refused. Article 5(2) imposes it both on the spot and online, which cuts off precisely the excuse that the local system does not know how to read it.
  • The „substantial” minimum level from the first day of application lifts electronic identification out of the territory of names and dates of birth, where mixing up two people with identical names has medical consequences.
  • The national sets of attributes are published by the Commission, so they become a public reference for any developer rather than a piece of information obtained by correspondence.
  • Article 5(3) solves the case where the identification means does not supply all the attributes: the doctor asks the patient for the rest and the exchange goes ahead instead of stalling.

What remains a problem

  • A year in which the obligation runs without the reference it presupposes. The regulation applies from 26 March 2027, but the deadline for notifying the national sets is 26 March 2028, and publication comes after that. In the 366 days between the two dates, the contact point receiving a request may have no published list against which to check the attributes it receives.
  • Updates to the sets have no deadline. Article 3(2) requires States to notify them „as soon as possible”, a formula that cannot be enforced, so the published list may lag behind the reality in a State that has changed its identifiers.
  • The patient moves to the „high” level 731 days before the doctor. Between 26 March 2030 and 26 March 2032, the person requesting the record online is identified by the stronger means, while the professional who reads it may remain at the „substantial” level.
  • Confirmation of the assurance level for non-notified means may also be given by „an equivalent body”, both under Article 4(2) and under Article 6(3), with no definition of equivalence anywhere. A conformity assessment body has a benchmark, Article 2, point (13), of Regulation (EC) No 765/2008; its equivalent has none.
  • The doctor’s professional role is transmitted as free text. The Annex requires the field but attaches no code list to it, so a qualification written in the language of one State may arrive in the system of another in a form that system does not recognise.
  • The Romanian version of the Annex spells the name of a mandatory field differently from the English version of the same act, which is treated below as an inconsistency in the published text.
  • The patient’s right to object to transmission does not appear in this act. It stays in Regulation (EU) 2025/327, and anyone who reads only the present regulation is left with the impression of an automatic exchange.

Practical advice

  1. If you are a patient and you travel, there is nothing for you to do until 26 March 2027. After that date, the useful question to put to your health insurance house or to the digital health authority is which set of attributes Romania has defined, because those are the data a doctor in another country will ask you for.
  2. You do not need a European Digital Identity Wallet in order to be treated. The right to receive the attributes in the wallet starts on 26 March 2029 and is exercised at your request. Until then, and afterwards, identification on the spot remains valid, and Article 5(3) obliges the doctor to ask you for the data that are missing.
  3. If you are a doctor or you run a hospital, the date that concerns you is 26 March 2027, not 2032. From that first date there has to be an entity that identifies, authenticates and authorises you, under Article 6(1) and (2), and the authentication means has to be at the „substantial” level and either notified to the Commission or confirmed by a conformity assessment body.
  4. If you are procuring identification solutions now, write the „high” level into the tender specifications. The price difference against „substantial” is paid once, and the mandatory move comes anyway, in 2030 for patients and in 2032 for professionals. A solution bought at today’s minimum gets replaced a second time within five years.
  5. If you write software for the national contact point, accept both spellings of the professional role field on reception and send the form used in the English version of the Annex. Otherwise a mandatory field arrives unread at the other end.
  6. If you accompany a child or an elderly parent to a doctor in another country, have proof of the capacity in which you are acting ready. Article 4(3) requires the doctor to check the mandate, and the check is made against information held in the Member State of affiliation, so a document issued in Romania counts for more than a statement made on the spot.

Frequently asked questions

Does anything change at my doctor’s from 12 October 2026?
No. On 12 October 2026 the regulation merely enters into force, that is, it becomes part of Union law and the preparation period starts for States, hospitals and developers. The obligations apply from 26 March 2027, and two of them, the right to receive the attributes in the wallet and the obligation to accept the wallet, from 26 March 2029.
What is MyHealth@EU?
The central digital health interoperability platform set up by the Commission under Article 23(1) of Regulation (EU) 2025/327. It is how the national contact points for digital health communicate, one in each Member State. The patient does not use it directly: a request from a doctor abroad starts at the contact point of that doctor’s country and arrives at the one in Romania, which looks the record up at source.
Do I have to get a European Digital Identity Wallet?
No. The regulation imposes no obligation on the patient. Article 3(3) gives them the right to ask the authority in their own State to issue their healthcare attributes into the wallet, from 26 March 2029, and Article 5(2) obliges the doctor to accept them in that form. Anyone without a wallet is identified on the spot and, if data are missing, the doctor asks them for the data directly.
What do the „substantial” and „high” assurance levels mean?
They are two of the three levels of confidence defined in Article 8(2) of Regulation (EU) No 910/2014. At the „substantial” level, the technical controls are meant to decrease substantially the risk of identity being misused or altered. At the „high” level, the degree of confidence is higher, and the purpose of the controls is to prevent fraud rather than merely to reduce its likelihood. The European Digital Identity Wallet provides the „high” level.
What obligations does Romania have under this regulation?
Four. To define the national set of healthcare attributes, applicable from 26 March 2027, and to notify it to the Commission by 26 March 2028. To designate the competent authority that issues the attributes into the wallet. To list the entities that identify, authenticate and authorise doctors and healthcare providers. And to keep the national contact point for digital health working, since it transmits the patient’s attributes and the doctor’s identification data to the contact point in the other State.
Can I request the record on behalf of my child or of a sick parent?
Yes, and the regulation covers the situation expressly. Article 4(3) refers to a person authorised by the data subject and to the legal representative, within the meaning of Article 4(2) of Regulation (EU) 2025/327. The doctor identifies the person who presents themselves and checks whether they meet the conditions for acting in that capacity, and the information on the mandate comes from the patient’s Member State of affiliation.
Will my data reach any doctor in the Union automatically?
No. The exchange presupposes a request from a doctor or a healthcare provider who has been identified, authenticated and authorised by an entity designated by their own State, and the patient has to be identified before the request. The rights of control over access, among them the right to be informed of each access, sit in Regulation (EU) 2025/327, whose Article 9 provides for information free of charge and without delay, available for at least three years after each access.

Errors and inconsistencies in the published text

  • Annex, Table 1, sixth row: in the Romanian version of the regulation the data identifier is spelled „hp_profissional_role”. The field carries that spelling both in the PDF and in the structured version of the Romanian-language Official Journal, while the English version of the same act writes „hp_professional_role”. The difference is not one of style: the second sentence of Article 7 requires the identification data transmitted between national contact points to comply with the technical specifications set out in the Annex, and the data identifier is precisely the technical name of the field, not its description. A developer who implements the Romanian version, which is official to exactly the same degree as the others, writes a field name that no other Member State recognises, and the doctor’s professional role arrives unread at the far end of the exchange. Two good-faith readings of the same binding act lead to two implementations that do not talk to each other, which strikes at the very object of the regulation. It is closed by a corrigendum in the Official Journal to the Romanian version.

Editorial analysis

The regulation is carefully drafted, and its chief merit is that it does not mix up the roles: the patient gets options, the State gets deadlines, the doctor gets a procedure. It is rare to see a European infrastructure act in which the obligations of the ordinary citizen are zero and are zero deliberately, through three provisions that say so separately, in Article 3(3), in Article 4(1) and in Article 5(3). What creaks is the setting of the clocks.

The first misaligned clock only shows up if you put two articles side by side. Article 5(1) requires the national contact point to transmit the healthcare attributes of the Member State of affiliation from 26 March 2027, and Article 5(3) assumes the doctor knows what that State’s set contains, since it obliges them to ask the patient for the data missing from it. But the reference that would let anyone know this, the list published by the Commission, has a notification deadline of 26 March 2028 under Article 3(2), and publication comes after notification. The result is 366 days in which the exchange obligation operates while the public benchmark for checking that the attributes are complete may be absent. It is not a legal impossibility, because a State may notify earlier, but it is a window in which practice will settle bilaterally, through technical arrangements between contact points, which is exactly what the act set out to replace.

The second misaligned clock is an asymmetry of 731 days. Article 4(2) raises patient identification to the „high” level from 26 March 2030, while Article 6(3) raises doctor authentication to the same level only from 26 March 2032. For two years, the person requesting access to their own record is checked more strictly than the professional who reads it. Recital (4) explains the phasing by the need to allow sufficient time for implementation in the Member States, an explanation that fits doctors rather than patients: the European wallet, which by design provides the high level, is addressed first of all to natural persons, and for them the higher step was within reach sooner. The logical order would have been the reverse, because the greater risk lies in professional access, not in a request by the data subject. On top of that, recital (4) says that „all electronic identification means used for the identification of natural persons” must provide the high level from 2030, whereas Article 4(2) imposes the requirement only where the request is submitted online; a hospital that plans its investment on the recital buys more than the rule asks of it.

The third observation concerns who controls quality. For non-notified means, the level is confirmed by a conformity assessment body referred to in Article 2, point (13), of Regulation (EC) No 765/2008 „or an equivalent body”. The formula appears identically in Article 4(2) and in Article 6(3), and in neither of them is equivalence defined or assigned to anyone’s competence. In a mechanism where each State relies on identifications carried out by the others, an undefined gateway is the cheapest route to as many confirmation standards as there are States.

What should be changed

  1. Moving the deadline for notifying the national sets of attributes in Article 3(2) ahead of the date of application, or postponing the application of Article 5(1) and (3) until the Commission has published the sets. In practice, the mechanism would start with the reference on the table, not with 366 days of bilateral arrangements.
  2. A firm deadline for updates, instead of the „as soon as possible” formula, plus a version date displayed next to each set published by the Commission. A hospital could then prove which version it worked from when an identification fails.
  3. Aligning the two moves to the „high” level, so that doctor authentication does not stay two years behind patient identification. That would remove the interval in which the party with access to many people’s records is checked less strictly than the holder of a single record.
  4. Defining the „equivalent body” or replacing the formula with a reference to a list published by the Commission. The effect: the same proof of conformity would be worth the same in every Member State.
  5. A mandatory code list for the professional role field in the Annex, referring to an existing nomenclature, instead of free text. In practice, the doctor’s role would become machine-readable rather than translated by a human at every request.
  6. Aligning the terminology of Article 6(3), which governs „electronic authentication means” but ends its last sentence with the notification of „electronic identification means”. The result: no more doubt about what exactly is notified to the Commission for professionals.
  7. A corrigendum to the Romanian version of the Annex for the name of the professional role field. The effect: national implementations would start from the same field name, which is all that interoperability means at this level.

Original text of the legal act

The text below is reproduced in Romanian, the official form of publication.

Show the full legal textHide the full legal text

Regulamentul de punere în aplicare (UE) 2026/2099 al Comisiei din 21 septembrie 2026 privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea

EMITENT: Comisia Europeană

Publicat în: Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099 din 22 septembrie 2026

REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2026/2099 AL COMISIEI

din 21 septembrie 2026

privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea

(Text cu relevanță pentru SEE)

COMISIA EUROPEANĂ,

având în vedere Tratatul privind funcționarea Uniunii Europene,

având în vedere Regulamentul (UE) 2025/327 al Parlamentului European și al Consiliului din 11 februarie 2025 referitor la spațiul european al datelor privind sănătatea și de modificare a Directivei 2011/24/UE și a Regulamentului (UE) 2024/2847 (1) și, în special, articolul 16 alineatul (2),

întrucât:

(1) Regulamentul (UE) 2025/327 urmărește să îmbunătățească schimbul transfrontalier de date electronice cu caracter personal privind sănătatea pentru a asigura continuitatea asistenței medicale. Un număr tot mai mare de persoane fizice care locuiesc într-un stat membru al Uniunii primesc asistență medicală într-un alt stat membru, iar dosarele lor electronice de sănătate sunt tot mai dispersate între sistemele de sănătate din diferite state membre, care utilizează identificatori diferiți pentru a identifica persoanele fizice și dosarele acestora. În mod similar, mijloacele de identificare a profesioniștilor din domeniul sănătății și a furnizorilor de servicii medicale diferă de la un stat membru la altul. Pentru a facilita schimbul de date electronice cu caracter personal privind sănătatea în context transfrontalier prin intermediul platformei MyHealth@EU menționate la articolul 23 alineatul (1) din Regulamentul (UE) 2025/327, este necesar să se identifice actorii implicați în schimbul de date și să se coreleze identitatea persoanelor fizice cu dosarele lor electronice de sănătate. Prin urmare, este necesar să se stabilească cerințele privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice și profesioniștii din domeniul sănătății, precum și pentru furnizorii de servicii medicale.

(2) O modalitate eficientă și neintruzivă de localizare a datelor electronice cu caracter personal privind sănătatea constă în utilizarea datelor de identificare atribuite persoanelor fizice în sistemul național de sănătate al statului lor membru de afiliere. Întrucât datele de identificare utilizate în diferitele state membre variază, este oportun să se solicite statelor membre să stabilească datele de identificare care urmează să fie utilizate pentru identificarea persoanelor fizice în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea și să le notifice Comisiei în vederea publicării lor. Cerințele privind mecanismul transfrontalier de identificare și autentificare trebuie să fie conforme cu Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului (2). În plus, în conformitate cu articolul 5f alineatul (1) și alineatul (2) din Regulamentul (UE) nr. 910/2014, sistemele furnizate de organismele din sectorul public și serviciile online furnizate de beneficiari privați care necesită identificarea sau autentificarea electronică pentru accesul la serviciile online trebuie să accepte portofele europene pentru identitatea digitală, astfel cum se menționează la articolul 5a din Regulamentul (UE) nr. 910/2014, în cazul în care persoanele fizice aleg să le utilizeze. Pentru a facilita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea, persoanele fizice ar trebui să poată solicita statului lor membru de afiliere emiterea datelor lor de identificare pentru asistența medicală transfrontalieră sub forma unei atestări electronice a atributelor privind asistența medicală care să fie stocată în portofelul lor european pentru identitatea digitală. În plus, persoanele fizice ar trebui să poată partaja atributele lor privind asistența medicală cu profesioniștii din domeniul sănătății și cu furnizorii de servicii medicale stabiliți într-un alt stat membru pentru a permite profesionistului din domeniul sănătății sau furnizorului de servicii medicale să localizeze datele electronice cu caracter personal privind sănătatea la sursă.

(3) În cazul în care o persoană fizică, acționând fie în calitate de reprezentant autorizat, fie în calitate de reprezentant legal, dorește să acceseze datele electronice cu caracter personal privind sănătatea ale unei alte persoane fizice prin intermediul MyHealth@EU, profesionistul din domeniul sănătății sau furnizorul de servicii medicale ar trebui să verifice identitatea primei persoane. Pentru a verifica valabilitatea mandatului primei persoane de a acționa în această calitate, profesionistul din domeniul sănătății sau furnizorul de servicii medicale se poate baza pe informațiile transmise de statul membru de afiliere relevant, întrucât statul membru respectiv este cel care deține sursa de informații privind mandatele de reprezentare.

(4) Înainte de a iniția sau de a solicita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU, se impune identificarea și autentificarea profesioniștilor din domeniul sănătății și furnizorilor de servicii medicale, precum și identificarea persoanei fizice în cauză. Identificarea și autentificarea sunt necesare pentru a asigura prelucrarea securizată a datelor electronice cu caracter personal privind sănătatea, pentru a preveni accesul neautorizat și pentru a permite furnizarea de informații privind accesarea datelor, astfel cum se prevede la articolul 9 din Regulamentul (UE) 2025/327. În cazul în care se utilizează mijloace de identificare electronică în aceste scopuri, acestea ar trebui să ofere cel puțin nivelul de asigurare „substanțial” menționat la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Portofelul european pentru identitatea digitală oferă nivelul de asigurare „ridicat” menționat la articolul 8 alineatul (2) litera (c) din regulamentul respectiv. Începând cu 26 martie 2030, toate mijloacele de identificare electronică utilizate pentru identificarea persoanelor fizice ale căror date electronice cu caracter personal privind sănătatea fac obiectul unui schimb prin intermediul MyHealth@EU ar trebui să ofere nivelul de asigurare „ridicat”. Începând cu 26 martie 2032, toate mijloacele de identificare electronică utilizate pentru identificarea și autentificarea profesioniștilor din domeniul sănătății în scopul unor astfel de schimburi ar trebui să ofere nivelul de asigurare „ridicat”. Această abordare etapizată are rolul de a acorda suficient timp pentru implementarea integrală a mijloacelor de identificare electronică în statele membre.

(5) În cazul în care statele membre utilizează un mijloc de identificare electronică care nu a fost notificat Comisiei în temeiul Regulamentului (UE) nr. 910/2014, nivelul de asigurare „ridicat” al mijlocului respectiv ar trebui să fie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (3) sau de un organism echivalent. Această cerință ar trebui să se aplice indiferent dacă schimbul transfrontalier se referă la transmiterea de date către un alt stat membru sau la primirea de date de la un alt stat membru.

(6) Punctul național de contact pentru sănătatea digitală care solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea ale unei persoane fizice ar trebui să comunice datele de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale punctului național de contact pentru sănătatea digitală din statul membru căruia îi este transmisă cererea.

(7) Prelucrarea datelor cu caracter personal în temeiul prezentului regulament face obiectul Regulamentelor (UE) 2016/679 (4) și (UE) 2018/1725 (5) ale Parlamentului European și ale Consiliului, după caz. Emiterea atributelor privind asistența medicală este o sarcină atribuită în interes public autorităților competente care urmează să fie desemnate de statele membre.

(8) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 și a emis un aviz la 5 mai 2026.

(9) Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului instituit în temeiul articolului 98 alineatul (1) din Regulamentul (UE) 2025/327,

ADOPTĂ PREZENTUL REGULAMENT:

Articolul 1

Obiect

Prezentul regulament stabilește cerințele privind mecanismul interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice privind sănătatea.

Articolul 2

Definiții

În sensul prezentului regulament, se aplică următoarele definiții:

1. „atribut privind asistența medicală” înseamnă un atribut care este utilizat pentru identificarea unei persoane fizice în scopul schimbului transfrontalier de date electronice privind sănătatea;

2. definiția termenului „atribut” prevăzută la articolul 3 punctul 43 din Regulamentul (UE) nr. 910/2014;

3. definiția „atestatului electronic al atributelor” prevăzută la articolul 3 punctul 44 din Regulamentul (UE) nr. 910/2014;

4. definiția „portofelului european pentru identitatea digitală” prevăzută la articolul 3 punctul 42 din Regulamentul (UE) nr. 910/2014;

5. definiția „autentificării” prevăzută la articolul 3 punctul 5 din Regulamentul (UE) nr. 910/2014.

Articolul 3

Seturi naționale de atribute privind asistența medicală ale persoanelor fizice

(1) Fiecare stat membru stabilește un set de atribute privind asistența medicală care urmează să fie utilizate pentru a verifica identitatea persoanelor fizice în legătură cu dosarele lor electronice de sănătate în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea.

(2) Fiecare stat membru notifică Comisiei setul său de atribute privind asistența medicală până la 26 martie 2028. Statele membre notifică Comisiei, cât mai curând posibil, orice actualizare ulterioară a seturilor de atribute privind asistența medicală. Comisia publică seturile de atribute privind asistența medicală ale statelor membre.

(3) La cererea unei persoane fizice, autoritatea competentă din statul membru de afiliere al persoanei respective emite atributele privind asistența medicală ale persoanei fizice respective sub forma unui atestat electronic al atributelor, în conformitate cu setul de atribute privind asistența medicală definit în temeiul alineatului (1), către portofelul european pentru identitatea digitală al persoanei respective.

Articolul 4

Identificarea și autentificarea persoanelor fizice pentru schimbul transfrontalier de date electronice cu caracter personal privind sănătatea

(1) Înainte de a solicita schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU, profesionistul din domeniul sănătății sau furnizorul de servicii medicale identifică persoana fizică respectivă. În acest scop, profesionistul din domeniul sănătății sau furnizorul de servicii medicale poate colecta atributele privind asistența medicală ale persoanei fizice.

(2) În cazul în care un profesionist din domeniul sănătății sau un furnizor de servicii medicale solicită schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU în urma unei cereri depuse online de o persoană fizică, profesionistul din domeniul sănătății sau furnizorul de servicii medicale respectiv identifică și autentifică persoana fizică în cauză utilizând mijloace de identificare electronică emise în conformitate cu Regulamentul (UE) nr. 910/2014. Mijloacele de identificare electronică respectă cerințele Regulamentului (UE) nr. 910/2014 și oferă un nivel de asigurare cel puțin substanțial, astfel cum se menționează la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Începând cu 26 martie 2030, mijloacele de identificare electronică oferă nivelul de asigurare ridicat menționat la articolul 8 alineatul (2) litera (c) din același regulament. Mijloacele de identificare electronică sunt notificate Comisiei la nivelul de asigurare necesar în temeiul Regulamentului (UE) nr. 910/2014 sau nivelul lor de asigurare este confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.

(3) În cazul în care o persoană fizică a fost autorizată de o altă persoană fizică să îi acceseze datele electronice cu caracter personal privind sănătatea sau o parte a acestora în numele său sau acționează în calitate de reprezentant legal al unei alte persoane fizice în conformitate cu articolul 4 alineatul (2) din Regulamentul (UE) 2025/327, profesionistul din domeniul sănătății sau furnizorul de servicii medicale identifică persoana fizică respectivă și verifică dacă persoana fizică autorizată sau reprezentantul legal îndeplinește cerințele necesare pentru a acționa în această calitate.

Articolul 5

Cerințe privind schimbul transfrontalier de atribute privind asistența medicală ale persoanelor fizice

(1) În cazul în care un punct național de contact pentru sănătatea digitală solicită schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice de la un alt punct național de contact pentru sănătatea digitală sau către acesta, primul punct național de contact transmite atributele privind asistența medicală ale statului membru de afiliere al persoanei fizice celui de al doilea punct național de contact.

(2) Profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul de date electronice cu caracter personal privind sănătatea în temeiul articolului 4 alineatul (1), indiferent dacă cererea persoanei fizice este prezentată la fața locului sau online, acceptă atributele privind asistența medicală furnizate sub forma unui atestat electronic al atributelor utilizând un portofel european pentru identitatea digitală.

(3) În cazul în care mijloacele de identificare utilizate nu furnizează integral atributele privind asistența medicală, profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul de date electronice cu caracter personal privind sănătatea solicită informații suplimentare de la persoana fizică pentru a completa setul de atribute privind asistența medicală ale statului membru de afiliere al persoanei fizice.

Articolul 6

Identificarea, autentificarea și autorizarea profesioniștilor din domeniul sănătății și furnizorilor de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea

(1) Fiecare stat membru enumeră entitatea sau entitățile responsabile cu identificarea, autentificarea și autorizarea profesionistului din domeniul sănătății sau furnizorului de servicii medicale care solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea.

(2) Înainte de a solicita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea prin intermediul MyHealth@EU, entitatea sau entitățile menționate la alineatul (1) identifică, autentifică și autorizează profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul respectiv.

(3) Entitatea sau entitățile menționate la alineatul (1) identifică și autentifică profesionistul din domeniul sănătății utilizând mijloace de autentificare electronică care oferă cel puțin nivelul de asigurare substanțial menționat la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Începând cu 26 martie 2032, mijloacele de autentificare electronică ale profesioniștilor din domeniul sănătății oferă nivelul de asigurare ridicat menționat la articolul 8 alineatul (2) litera (c) din regulamentul respectiv. Mijloacele de identificare electronică sunt notificate Comisiei la nivelul de asigurare necesar în temeiul Regulamentului (UE) nr. 910/2014 sau nivelul lor de asigurare este confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.

Articolul 7

Cerințe privind schimbul de date de identificare a profesionistului din domeniul sănătății și a furnizorului de servicii medicale

În cazul în care profesionistul din domeniul sănătății sau furnizorul de servicii medicale solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea prin intermediul MyHealth@EU, punctul național de contact pentru sănătatea digitală competent pentru profesionistul din domeniul sănătății sau furnizorul de servicii medicale respectiv comunică punctului național de contact pentru sănătatea digitală care primește cererea datele de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale. Datele de identificare trebuie să fie conforme cu specificațiile tehnice prevăzute în anexă.

Articolul 8

Mecanismul pentru schimbul de date de identificare prin intermediul MyHealth@EU

Mecanismul pentru schimbul de date de identificare prin intermediul MyHealth@EU sprijină:

(a) notificarea și publicarea seturilor de atribute privind asistența medicală menționate la articolul 3 alineatul (2) din prezentul regulament;

(b) schimbul de atribute privind asistența medicală între punctele naționale de contact pentru sănătatea digitală descrise la articolul 5 alineatul (1);

(c) schimbul de date de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale între punctele naționale de contact pentru sănătatea digitală descrise la articolul 7.

Articolul 9

Intrare în vigoare și aplicare

Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.

Prezentul regulament se aplică de la 26 martie 2027.

Cu toate acestea, articolul 3 alineatul (3) și articolul 5 alineatul (2) se aplică de la 26 martie 2029.

Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.

Adoptat la Bruxelles, 21 septembrie 2026.

Pentru Comisie

Președinta

Ursula VON DER LEYEN

(1) JO L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj.

(2) Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE (JO L 257, 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).

(3) Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului din 9 iulie 2008 de stabilire a cerințelor de acreditare și de abrogare a Regulamentului (CEE) nr. 339/93 (JO L 218, 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).

(4) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).

(5) Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).

ANEXĂ

Specificații tehnice pentru datele de identificare ale profesioniștilor din domeniul sănătății și ale furnizorilor de servicii medicale menționate la articolul 7

Tabelul 1 – Date obligatorii pentru profesionistul din domeniul sănătății

Identificator al datelor Definiție
family_name Numele de familie al profesionistului din domeniul sănătății.
given_name Prenumele, inclusiv al doilea prenume, dacă este cazul, al profesionistului din domeniul sănătății.
country_code Codul de țară alfa-2, astfel cum este specificat în standardul ISO 3166-1, reprezentând statul membru care a emis datele de identificare ale profesionistului din domeniul sănătății.
hp_identifier Un identificator al profesionistului din domeniul sănătății atribuit profesionistului din domeniul sănătății, care este unic în rândul tuturor identificatorilor profesioniștilor din domeniul sănătății emiși în statul membru în care este înregistrat profesionistul din domeniul sănătății.
issuing_authority_name Denumirea agenției responsabile cu emiterea identificatorului profesionistului din domeniul sănătății.
hp_profissional_role Rolul profesional al profesionistului din domeniul sănătății.
healthcare_provider_identifier Un identificator al organizației furnizorului de servicii medicale sau al unității medicale în care profesionistul din domeniul sănătății furnizează tratamentul. Acest identificator este unic în statul membru care l-a emis.

Tabelul 2 – Date obligatorii pentru furnizorul de servicii medicale

Identificator al datelor Definiție
healthcare_provider_identifier Un identificator al organizației furnizoare de servicii medicale sau al unității medicale în care profesionistul din domeniul sănătății furnizează tratamentul. Acest identificator este unic în statul membru care l-a emis.
issuing_authority_name Denumirea agenției responsabile cu emiterea identificatorului furnizorului de servicii medicale.
healthcare_provider_name Numele furnizorului de servicii medicale.
healthcare_provider_address Adresa completă oficială înregistrată a furnizorului de servicii medicale.
Sursă: Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099 din 22 septembrie 2026

This article is for informational purposes only and does not constitute legal advice. For specific situations, consult a licensed attorney or tax advisor.