Pe scurt
- Intră în vigoare la 12 octombrie 2026, se aplică de la 26 martie 2027. Cele două date nu înseamnă același lucru. De la 12 octombrie 2026 regulamentul există ca drept al Uniunii și începe să curgă timpul de pregătire; obligațiile pentru medici, spitale și autorități se nasc 165 de zile mai târziu. În cabinetul unui medic, în octombrie 2026 nu se schimbă nimic.
- Stabilește cum se identifică pacientul și cum se autentifică medicul atunci când un dosar electronic de sănătate trece granița prin MyHealth@EU, platforma centrală prin care statele membre fac schimb de date medicale. Până acum fiecare stat folosea identificatori proprii, iar dosarele aceluiași om rămâneau risipite între sisteme care nu se recunoșteau între ele.
- Pacientul nu primește nicio obligație nouă. Articolul 3 alineatul (3) îi dă o posibilitate: la cererea lui, autoritatea din statul de afiliere îi emite datele de identificare medicală sub forma unei atestări electronice, în portofelul european pentru identitatea digitală. Cine nu cere nimic este identificat la fața locului, ca până acum.
- Cinci termene succesive, până în 2032. 26 martie 2027 pentru aplicare, 26 martie 2028 pentru notificarea seturilor naționale de atribute, 26 martie 2029 pentru portofel, 26 martie 2030 pentru nivelul de asigurare „ridicat” la identificarea pacienților și 26 martie 2032 pentru același nivel la medici.
Publicat: Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099 din 22 septembrie 2026
Intră în vigoare: 12 octombrie 2026, a douăzecea zi de la publicare, potrivit articolului 9 primul paragraf; se aplică de la 26 martie 2027, iar articolul 3 alineatul (3) și articolul 5 alineatul (2) de la 26 martie 2029
Un pacient român care ajunge la un medic în Spania, în Germania sau în Franța are, de la 26 martie 2027, o cale oficială prin care medicul acela îi poate găsi dosarul medical la sursă, în România. Regulamentul de punere în aplicare (UE) 2026/2099 al Comisiei, publicat în Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099 din 22 septembrie 2026, descrie piesa care lipsea din spațiul european al datelor privind sănătatea: cum se stabilește că pacientul din fața medicului e chiar omul al cărui dosar se cere și cum dovedește medicul, în fața sistemului din altă țară, că este medic.
Regulamentul intră în vigoare la 12 octombrie 2026, fiindcă articolul 9 primul paragraf îl leagă de a douăzecea zi de la publicare. Intrarea în vigoare nu produce însă nicio obligație la cabinet, la spital sau la casa de asigurări. Al doilea paragraf al aceluiași articol amână aplicarea la 26 martie 2027, iar al treilea paragraf duce două dispoziții, articolul 3 alineatul (3) și articolul 5 alineatul (2), până la 26 martie 2029. Diferența dintre cele două momente este singura informație pe care merită să o rețină cineva care citește doar primele rânduri: la 12 octombrie 2026 începe termenul de pregătire, nu regimul nou.
Autorul actului e Comisia Europeană, care a lucrat pe o împuternicire precisă. Articolul 16 alineatul (2) din Regulamentul (UE) 2025/327, legea europeană a spațiului datelor privind sănătatea, cere Comisiei să stabilească prin acte de punere în aplicare cerințele mecanismului de identificare și autentificare. Regulamentul 2026/2099 este exact acel act, iar comitetul statelor membre instituit prin articolul 98 alineatul (1) din aceeași lege a dat aviz favorabil. Autoritatea Europeană pentru Protecția Datelor, organismul care supraveghează prelucrările de date ale instituțiilor Uniunii, a fost consultată și a emis aviz la 5 mai 2026.
Efectele pe care le produce
Mecanismul se sprijină pe trei noțiuni pe care actul le folosește fără să le explice, fiindcă le ia din alte două regulamente. Prima este MyHealth@EU: potrivit articolului 23 alineatul (1) din Regulamentul (UE) 2025/327, o platformă centrală de interoperabilitate pentru sănătatea digitală, instituită de Comisie, prin care se face schimbul de date medicale între punctele naționale de contact pentru sănătatea digitală. Fiecare stat membru desemnează un asemenea punct, un ghișeu organizatoric și tehnic conectat la toate celelalte, iar articolul 23 alineatul (2) din același regulament cere statelor să comunice Comisiei identitatea punctului propriu până la 26 martie 2027. Pacientul nu intră niciodată în contact direct cu platforma: cererea medicului străin ajunge la punctul din țara lui, care o trimite punctului din România.
A doua noțiune este portofelul european pentru identitatea digitală, o aplicație pe telefon sau pe alt dispozitiv prin care omul își ține documentele de identitate electronice și decide, de fiecare dată, ce atribut arată și cui. Îl reglementează articolul 5a din Regulamentul (UE) nr. 910/2014, în forma dată de Regulamentul (UE) 2024/1183: fiecare stat membru furnizează cel puțin un portofel, în termen de 24 de luni de la intrarea în vigoare a actelor tehnice de punere în aplicare. Articolul 5f din același regulament obligă organismele publice să accepte portofelul, iar beneficiarii privați din domenii între care și sănătatea, în 36 de luni de la aceleași acte tehnice, numai la cererea voluntară a utilizatorului. Formula „la cererea voluntară” explică de ce regulamentul de față nu cere nimic pacientului: portofelul este un drept al lui, nu o condiție de acces la medic.
A treia noțiune este nivelul de asigurare, adică măsura în care un mijloc electronic de identificare garantează că omul este cine spune că este. Articolul 8 alineatul (2) din Regulamentul (UE) nr. 910/2014 descrie trei trepte, iar actul de față folosește două. Nivelul „substanțial”, de la litera (b), cere specificații, standarde și controale tehnice al căror scop este să reducă substanțial riscul folosirii sau al modificării fraudulose a identității. Nivelul „ridicat”, de la litera (c), cere un grad de încredere mai mare decât cel substanțial, iar controalele tehnice trebuie să împiedice frauda, în loc să îi reducă doar probabilitatea. Diferența se traduce în practică prin cât de greu e să obții mijlocul: la nivelul ridicat, verificarea identității și legătura dintre om și dispozitiv se fac cu garanții mai puternice decât o parolă și un cod primit pe telefon. Portofelul european este, prin construcție, la nivelul ridicat.
Peste aceste trei piese, actul montează patru obligații care încep să funcționeze la date diferite. Statul își stabilește și își notifică setul de atribute medicale, adică lista de date după care pacientul lui poate fi recunoscut în străinătate și corelat cu dosarul propriu. Medicul sau furnizorul de servicii medicale identifică pacientul înainte de a cere dosarul și, dacă cererea pacientului a venit online, îl și autentifică electronic. Entitatea desemnată de fiecare stat identifică, autentifică și autorizează medicul însuși. Iar punctul național de contact transmite celuilalt punct atât atributele pacientului, cât și datele de identificare ale medicului, în forma fixată de anexă.
Calendarul termenelor
- 21 septembrie 2026: Comisia adoptă regulamentul la Bruxelles.
- 22 septembrie 2026: publicarea în Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099.
- 12 octombrie 2026: intrarea în vigoare, a douăzecea zi de la publicare. Nicio obligație nu se naște la această dată.
- 26 martie 2027: regulamentul se aplică. De la această zi funcționează articolele 1, 2, 3 alineatele (1) și (2), 4, 5 alineatele (1) și (3), 6, 7 și 8. Este și data de la care se aplică, în general, Regulamentul (UE) 2025/327, potrivit articolului 105 al doilea paragraf din acesta.
- 26 martie 2028: termenul până la care fiecare stat membru îi transmite Comisiei setul propriu de atribute medicale, potrivit articolului 3 alineatul (2). Comisia le publică.
- 26 martie 2029: intră în joc articolul 3 alineatul (3), dreptul pacientului de a primi atributele în portofel, și articolul 5 alineatul (2), obligația medicului de a accepta atributele venite prin portofel.
- 26 martie 2030: mijloacele de identificare electronică folosite pentru identificarea pacienților trebuie să ofere nivelul „ridicat”, potrivit articolului 4 alineatul (2) teza a treia.
- 26 martie 2032: mijloacele de autentificare ale medicilor trebuie să ofere nivelul „ridicat”, potrivit articolului 6 alineatul (3) teza a doua. Ultimul termen al actului, la 1.992 de zile de la intrarea în vigoare.
Pentru România, obligațiile de stat membru sunt patru și toate au termen. Până la 26 martie 2027 trebuie să existe setul național de atribute medicale, fiindcă articolul 3 alineatul (1) se aplică de la acea dată, iar până la 26 martie 2028 setul trebuie notificat Comisiei. Articolul 3 alineatul (3) cere desemnarea unei autorități competente care, la cererea omului, emite atributele în portofel; considerentul (7) spune explicit că emiterea atributelor este o sarcină de interes public a autorităților desemnate de statele membre. Articolul 6 alineatul (1) cere o a doua desemnare, lista entităților care răspund de identificarea, autentificarea și autorizarea medicilor și a furnizorilor de servicii medicale. Punctul național de contact pentru sănătatea digitală are, la rândul lui, trei sarcini concrete: transmite atributele pacientului către punctul celălalt, în ambele sensuri ale schimbului, potrivit articolului 5 alineatul (1); comunică datele de identificare ale medicului către punctul care primește cererea, în forma tehnică din anexă, potrivit articolului 7; și se conectează la mecanismul descris la articolul 8, care sprijină notificarea și publicarea seturilor, schimbul de atribute și schimbul de date despre medici.
Obligații pentru pacient nu există. Căutarea lor în text nu dă nimic, și asta e o alegere a legiuitorului, nu o omisiune: articolul 3 alineatul (3) se declanșează „la cererea unei persoane fizice”, articolul 4 alineatul (1) pune identificarea în sarcina medicului, nu a omului, iar articolul 5 alineatul (3) spune ce se întâmplă când mijlocul de identificare nu aduce toate atributele, și anume că medicul cere informații suplimentare chiar de la pacient. Nimeni nu pierde un drept pentru că nu și-a instalat o aplicație.
Ce s-a schimbat față de situația anterioară
Până la acest regulament, dreptul Uniunii spunea ce poate omul, nu ce trebuie să facă sistemul. Articolul 16 alineatul (1) din Regulamentul (UE) 2025/327 dă persoanei dreptul de a se identifica electronic cu orice mijloc recunoscut în temeiul articolului 6 din Regulamentul (UE) nr. 910/2014 și lasă statelor membre libertatea de a oferi „mecanisme complementare” pentru corelarea identității în situații transfrontaliere. Un drept formulat astfel se oprește la granița practică descrisă în considerentul (1) al noului act: statele folosesc identificatori diferiți pentru aceiași oameni și pentru dosarele lor, iar mijloacele de identificare a medicilor diferă de la un stat la altul.
Noutatea stă în patru puncte. Setul de atribute nu mai e opțional și nici bilateral: fiecare stat îl stabilește, îl notifică și îl vede publicat de Comisie, deci un spital care își scrie software-ul nu mai are nevoie de o conversație separată cu fiecare stat ca să afle după ce date se identifică un pacient portughez. Nivelul minim de asigurare devine obligatoriu, „substanțial” de la 26 martie 2027, cu trecere la „ridicat” în 2030 pentru pacienți și în 2032 pentru medici, deci identificarea pe nume și dată de naștere nu mai e suficientă acolo unde se face electronic. Acceptarea portofelului nu mai e o facilitate lăsată la latitudinea furnizorului: de la 26 martie 2029, articolul 5 alineatul (2) obligă medicul sau furnizorul să accepte atributele prezentate prin portofel, indiferent dacă pacientul se află în fața lui sau a cerut dosarul online. Și, în fine, identificarea medicului primește o formă tabelară obligatorie: anexa fixează șapte câmpuri pentru profesionist și patru pentru furnizorul de servicii medicale, de la numele de familie și codul de țară alfa-2 din standardul ISO 3166-1 până la identificatorul unic al unității în care se acordă tratamentul.
O schimbare mai puțin vizibilă privește reprezentanții. Articolul 4 alineatul (3) extinde mecanismul la cazul în care cel care cere dosarul nu e titularul lui, ci o persoană autorizată de acesta sau reprezentantul lui legal, în sensul articolului 4 alineatul (2) din Regulamentul (UE) 2025/327, care cere statelor să instituie servicii de împuternicire. Medicul identifică reprezentantul și verifică dacă acesta îndeplinește condițiile pentru a acționa în această calitate, iar considerentul (3) îi arată unde să caute: la statul de afiliere, care deține sursa informațiilor despre mandate. Pentru un părinte care ajunge cu copilul la un spital din altă țară, diferența dintre a avea și a nu avea această dispoziție este diferența dintre o verificare și o discuție.
Avantaje și dezavantaje
Ce aduce bun
- Pacientul nu mai trebuie să își care dosarul cu el. Medicul din altă țară îl caută la sursă, în sistemul românesc, folosind atributele pe care le-a colectat la fața locului sau le-a primit din portofel.
- Termenele sunt date calendaristice fixe, nu intervale legate de ritmul fiecărui stat. Un spital are 165 de zile de la intrarea în vigoare până la aplicare și 1.992 de zile până la ultima obligație, deci poate planifica investiția fără să aștepte un act național.
- De la 26 martie 2029, atestarea din portofel nu poate fi refuzată. Articolul 5 alineatul (2) o impune și la fața locului, și online, ceea ce taie exact scuza că sistemul local nu știe să o citească.
- Nivelul minim „substanțial” de la prima zi de aplicare scoate identificarea electronică din zona numelui și a datei de naștere, acolo unde confuzia între doi oameni cu nume identice are consecințe medicale.
- Seturile naționale de atribute se publică de către Comisie, deci devin o referință publică pentru orice dezvoltator, nu o informație obținută prin corespondență.
- Articolul 5 alineatul (3) rezolvă cazul în care mijlocul de identificare nu aduce toate atributele: medicul cere restul de la pacient și schimbul merge înainte, în loc să se blocheze.
Ce rămâne o problemă
- Un an în care obligația funcționează fără referința pe care o presupune. Regulamentul se aplică de la 26 martie 2027, dar notificarea seturilor naționale are termen 26 martie 2028, iar publicarea vine după. În cele 366 de zile dintre cele două date, punctul care primește cererea poate să nu aibă o listă publicată față de care să verifice atributele primite.
- Actualizările seturilor nu au termen. Articolul 3 alineatul (2) cere statelor să le notifice „cât mai curând posibil”, formulă care nu se poate sancționa, deci lista publicată poate rămâne în urma realității dintr-un stat care și-a schimbat identificatorii.
- Pacientul trece la nivelul „ridicat” cu 731 de zile înaintea medicului. Între 26 martie 2030 și 26 martie 2032, omul care cere dosarul online e identificat cu mijlocul mai puternic, în timp ce profesionistul care îl citește poate rămâne pe nivelul „substanțial”.
- Confirmarea nivelului de asigurare pentru mijloacele nenotificate se poate face și de „un organism echivalent”, atât la articolul 4 alineatul (2), cât și la articolul 6 alineatul (3), fără nicio definiție a echivalenței. Un organism de evaluare a conformității are un reper, articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008; echivalentul lui nu are niciunul.
- Rolul profesional al medicului se transmite ca text liber. Anexa cere câmpul, dar nu îi atașează nicio listă de coduri, deci o calificare scrisă în limba unui stat poate ajunge în sistemul celuilalt într-o formă pe care acesta nu o recunoaște.
- Versiunea românească a anexei scrie numele unui câmp obligatoriu altfel decât versiunea engleză a aceluiași act, ceea ce e tratat mai jos ca neconcordanță a textului publicat.
- Dreptul pacientului de a se opune transmiterii nu apare în acest act. El rămâne în Regulamentul (UE) 2025/327, iar cine citește numai regulamentul de față rămâne cu impresia unui schimb automat.
Sfaturi utile
- Dacă ești pacient și călătorești, până la 26 martie 2027 nu ai nimic de făcut. După această dată, întrebarea utilă la casa de asigurări sau la autoritatea de sănătate digitală este care set de atribute a stabilit România, fiindcă acelea sunt datele pe care ți le va cere un medic din altă țară.
- Nu îți trebuie portofel european pentru identitatea digitală ca să fii tratat. Dreptul de a primi atributele în portofel începe la 26 martie 2029 și se exercită la cererea ta. Până atunci, și după, identificarea la fața locului rămâne valabilă, iar articolul 5 alineatul (3) obligă medicul să îți ceară datele care lipsesc.
- Dacă ești medic sau conduci un spital, data care te privește e 26 martie 2027, nu 2032. De la prima dată trebuie să existe entitatea care te identifică, te autentifică și te autorizează, potrivit articolului 6 alineatele (1) și (2), iar mijlocul de autentificare trebuie să fie la nivel „substanțial” și fie notificat Comisiei, fie confirmat de un organism de evaluare a conformității.
- Dacă achiziționezi acum soluții de identificare, cere în caietul de sarcini nivelul „ridicat”. Diferența de preț față de „substanțial” se plătește o dată, iar trecerea obligatorie vine oricum, în 2030 pentru pacienți și în 2032 pentru profesioniști. O soluție cumpărată la minimul de acum se înlocuiește a doua oară în cinci ani.
- Dacă scrii software pentru punctul național de contact, acceptă la recepție ambele ortografii ale câmpului de rol profesional și trimite forma folosită în versiunea engleză a anexei. Altfel, un câmp obligatoriu ajunge necitit la celălalt capăt.
- Dacă însoțești un copil sau un părinte în vârstă la un medic din altă țară, pregătește dovada calității în care acționezi. Articolul 4 alineatul (3) cere medicului să verifice mandatul, iar verificarea se face pe informațiile din statul de afiliere, deci un document emis în România contează mai mult decât o declarație la fața locului.
Întrebări frecvente
Se schimbă ceva la medicul meu de la 12 octombrie 2026?
Ce este MyHealth@EU?
Trebuie să îmi fac portofel european pentru identitatea digitală?
Ce înseamnă nivel de asigurare „substanțial” și „ridicat”?
Ce obligații are România din acest regulament?
Pot cere dosarul în numele copilului meu sau al unui părinte bolnav?
Datele mele ajung automat la orice medic din Uniune?
Erori și neconcordanțe în textul publicat
- Anexă, tabelul 1, poziția a șasea: identificatorul de date e scris „hp_profissional_role”. Câmpul apare cu această ortografie atât în versiunea PDF, cât și în versiunea structurată a Jurnalului Oficial în limba română, în timp ce versiunea engleză a aceluiași act scrie „hp_professional_role”. Diferența nu e de stil: articolul 7 teza a doua cere ca datele de identificare transmise între punctele naționale de contact să fie conforme cu specificațiile tehnice prevăzute în anexă, iar identificatorul de date este chiar numele tehnic al câmpului, nu descrierea lui. Un dezvoltator care implementează versiunea românească, oficială în egală măsură cu celelalte, scrie un nume de câmp pe care niciun alt stat membru nu îl recunoaște, iar rolul profesional al medicului ajunge necitit la capătul celălalt al schimbului. Două lecturi de bună-credință ale aceluiași act obligatoriu duc la două implementări care nu comunică, ceea ce lovește exact în obiectul regulamentului. Se închide cu o rectificare în Jurnalul Oficial pe versiunea românească.
Analiza redacției
Regulamentul e scris cu grijă, iar meritul lui principal e că nu amestecă rolurile: pacientul primește posibilități, statul primește termene, medicul primește o procedură. Rar se vede un act european de infrastructură în care obligațiile omului de rând să fie zero și să fie zero deliberat, prin trei dispoziții care spun asta separat, la articolul 3 alineatul (3), la articolul 4 alineatul (1) și la articolul 5 alineatul (3). Ce scârțâie la el e potrivirea ceasurilor.
Primul ceas nepotrivit se vede numai dacă aduni două articole. Articolul 5 alineatul (1) cere punctului național de contact să transmită atributele medicale ale statului de afiliere de la 26 martie 2027, iar articolul 5 alineatul (3) presupune că medicul știe ce conține setul acelui stat, fiindcă îl obligă să ceară pacientului datele care lipsesc din el. Referința după care se poate ști asta, lista publicată de Comisie, are însă termen de notificare 26 martie 2028, potrivit articolului 3 alineatul (2), iar publicarea vine după notificare. Rezultă 366 de zile în care obligația de schimb funcționează, iar reperul public față de care se verifică integralitatea atributelor poate lipsi. Nu e o imposibilitate juridică, fiindcă un stat poate notifica mai repede, dar e o fereastră în care practica se va așeza bilateral, prin acorduri tehnice între puncte de contact, exact ce actul voia să înlocuiască.
Al doilea ceas nepotrivit e o asimetrie de 731 de zile. Articolul 4 alineatul (2) urcă identificarea pacientului la nivelul „ridicat” de la 26 martie 2030, iar articolul 6 alineatul (3) urcă autentificarea medicului la același nivel abia de la 26 martie 2032. Timp de doi ani, cel care cere accesul la propriul dosar e verificat mai strict decât profesionistul care îl citește. Considerentul (4) explică etapizarea prin nevoia de timp pentru implementarea în statele membre, explicație care se potrivește medicilor, nu pacienților: portofelul european, care oferă din construcție nivelul ridicat, se adresează în primul rând persoanelor fizice, iar pentru ele treapta superioară era la îndemână mai repede. Ordinea logică ar fi fost inversă, fiindcă riscul mai mare stă în accesul profesional, nu în cererea titularului. Peste asta, considerentul (4) spune că „toate mijloacele de identificare electronică utilizate pentru identificarea persoanelor fizice” trebuie să ofere nivelul ridicat din 2030, în timp ce articolul 4 alineatul (2) impune cerința numai în ipoteza cererii depuse online; un spital care își planifică investiția după considerent cumpără mai mult decât îi cere norma.
A treia observație ține de cine controlează calitatea. Pentru mijloacele nenotificate, nivelul se confirmă de un organism de evaluare a conformității în sensul articolului 2 punctul 13 din Regulamentul (CE) nr. 765/2008 „sau de un organism echivalent”. Formula apare identic la articolul 4 alineatul (2) și la articolul 6 alineatul (3), iar în niciunul dintre ele echivalența nu e definită și nici dată în competența cuiva anume. Într-un mecanism în care fiecare stat se sprijină pe identificările făcute de celelalte, o poartă de intrare nedefinită e cea mai ieftină cale spre tot atâtea standarde de confirmare câte state sunt.
Ce ar trebui schimbat
- Mutarea termenului de notificare a seturilor naționale de atribute din articolul 3 alineatul (2) înaintea datei de aplicare, sau amânarea aplicării articolului 5 alineatele (1) și (3) până la publicarea seturilor de către Comisie. În practică, mecanismul pornește cu referința pe masă, nu cu 366 de zile de acorduri bilaterale.
- Un termen ferm pentru actualizări, în locul formulei „cât mai curând posibil”, plus o dată de versiune afișată lângă fiecare set publicat de Comisie. Un spital poate astfel dovedi pe ce versiune a lucrat atunci când o identificare eșuează.
- Alinierea celor două treceri la nivelul „ridicat”, astfel încât autentificarea medicului să nu rămână doi ani în urma identificării pacientului. Dispare, astfel, intervalul în care partea cu acces la dosarele multor oameni e verificată mai slab decât titularul unui singur dosar.
- Definirea „organismului echivalent” sau înlocuirea formulei cu o trimitere la o listă publicată de Comisie. Efectul: aceeași probă de conformitate valorează la fel în toate statele membre.
- O listă de coduri obligatorie pentru câmpul de rol profesional din anexă, cu trimitere la o nomenclatură existentă, în locul textului liber. În practică, rolul medicului ajunge interpretabil automat, nu tradus de om la fiecare cerere.
- Alinierea terminologică a articolului 6 alineatul (3), care reglementează „mijloace de autentificare electronică”, dar își încheie ultima teză cu notificarea „mijloacelor de identificare electronică”. Rezultatul: dispare îndoiala despre ce anume i se transmite Comisiei pentru profesioniști.
- O rectificare a versiunii românești a anexei pentru numele câmpului de rol profesional. Efectul: implementările naționale pornesc de la același nume de câmp, care e tot ce înseamnă interoperabilitate la acest nivel.
Textul original al actului normativ
Arată textul integral al actuluiAscunde textul integral al actului
Regulamentul de punere în aplicare (UE) 2026/2099 al Comisiei din 21 septembrie 2026 privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea
EMITENT: Comisia Europeană
Publicat în: Jurnalul Oficial al Uniunii Europene, seria L, 2026/2099 din 22 septembrie 2026
REGULAMENTUL DE PUNERE ÎN APLICARE (UE) 2026/2099 AL COMISIEI
din 21 septembrie 2026
privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea
(Text cu relevanță pentru SEE)
COMISIA EUROPEANĂ,
având în vedere Tratatul privind funcționarea Uniunii Europene,
având în vedere Regulamentul (UE) 2025/327 al Parlamentului European și al Consiliului din 11 februarie 2025 referitor la spațiul european al datelor privind sănătatea și de modificare a Directivei 2011/24/UE și a Regulamentului (UE) 2024/2847 (1) și, în special, articolul 16 alineatul (2),
întrucât:
(1) Regulamentul (UE) 2025/327 urmărește să îmbunătățească schimbul transfrontalier de date electronice cu caracter personal privind sănătatea pentru a asigura continuitatea asistenței medicale. Un număr tot mai mare de persoane fizice care locuiesc într-un stat membru al Uniunii primesc asistență medicală într-un alt stat membru, iar dosarele lor electronice de sănătate sunt tot mai dispersate între sistemele de sănătate din diferite state membre, care utilizează identificatori diferiți pentru a identifica persoanele fizice și dosarele acestora. În mod similar, mijloacele de identificare a profesioniștilor din domeniul sănătății și a furnizorilor de servicii medicale diferă de la un stat membru la altul. Pentru a facilita schimbul de date electronice cu caracter personal privind sănătatea în context transfrontalier prin intermediul platformei MyHealth@EU menționate la articolul 23 alineatul (1) din Regulamentul (UE) 2025/327, este necesar să se identifice actorii implicați în schimbul de date și să se coreleze identitatea persoanelor fizice cu dosarele lor electronice de sănătate. Prin urmare, este necesar să se stabilească cerințele privind un mecanism interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice și profesioniștii din domeniul sănătății, precum și pentru furnizorii de servicii medicale.
(2) O modalitate eficientă și neintruzivă de localizare a datelor electronice cu caracter personal privind sănătatea constă în utilizarea datelor de identificare atribuite persoanelor fizice în sistemul național de sănătate al statului lor membru de afiliere. Întrucât datele de identificare utilizate în diferitele state membre variază, este oportun să se solicite statelor membre să stabilească datele de identificare care urmează să fie utilizate pentru identificarea persoanelor fizice în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea și să le notifice Comisiei în vederea publicării lor. Cerințele privind mecanismul transfrontalier de identificare și autentificare trebuie să fie conforme cu Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului (2). În plus, în conformitate cu articolul 5f alineatul (1) și alineatul (2) din Regulamentul (UE) nr. 910/2014, sistemele furnizate de organismele din sectorul public și serviciile online furnizate de beneficiari privați care necesită identificarea sau autentificarea electronică pentru accesul la serviciile online trebuie să accepte portofele europene pentru identitatea digitală, astfel cum se menționează la articolul 5a din Regulamentul (UE) nr. 910/2014, în cazul în care persoanele fizice aleg să le utilizeze. Pentru a facilita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea, persoanele fizice ar trebui să poată solicita statului lor membru de afiliere emiterea datelor lor de identificare pentru asistența medicală transfrontalieră sub forma unei atestări electronice a atributelor privind asistența medicală care să fie stocată în portofelul lor european pentru identitatea digitală. În plus, persoanele fizice ar trebui să poată partaja atributele lor privind asistența medicală cu profesioniștii din domeniul sănătății și cu furnizorii de servicii medicale stabiliți într-un alt stat membru pentru a permite profesionistului din domeniul sănătății sau furnizorului de servicii medicale să localizeze datele electronice cu caracter personal privind sănătatea la sursă.
(3) În cazul în care o persoană fizică, acționând fie în calitate de reprezentant autorizat, fie în calitate de reprezentant legal, dorește să acceseze datele electronice cu caracter personal privind sănătatea ale unei alte persoane fizice prin intermediul MyHealth@EU, profesionistul din domeniul sănătății sau furnizorul de servicii medicale ar trebui să verifice identitatea primei persoane. Pentru a verifica valabilitatea mandatului primei persoane de a acționa în această calitate, profesionistul din domeniul sănătății sau furnizorul de servicii medicale se poate baza pe informațiile transmise de statul membru de afiliere relevant, întrucât statul membru respectiv este cel care deține sursa de informații privind mandatele de reprezentare.
(4) Înainte de a iniția sau de a solicita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU, se impune identificarea și autentificarea profesioniștilor din domeniul sănătății și furnizorilor de servicii medicale, precum și identificarea persoanei fizice în cauză. Identificarea și autentificarea sunt necesare pentru a asigura prelucrarea securizată a datelor electronice cu caracter personal privind sănătatea, pentru a preveni accesul neautorizat și pentru a permite furnizarea de informații privind accesarea datelor, astfel cum se prevede la articolul 9 din Regulamentul (UE) 2025/327. În cazul în care se utilizează mijloace de identificare electronică în aceste scopuri, acestea ar trebui să ofere cel puțin nivelul de asigurare „substanțial” menționat la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Portofelul european pentru identitatea digitală oferă nivelul de asigurare „ridicat” menționat la articolul 8 alineatul (2) litera (c) din regulamentul respectiv. Începând cu 26 martie 2030, toate mijloacele de identificare electronică utilizate pentru identificarea persoanelor fizice ale căror date electronice cu caracter personal privind sănătatea fac obiectul unui schimb prin intermediul MyHealth@EU ar trebui să ofere nivelul de asigurare „ridicat”. Începând cu 26 martie 2032, toate mijloacele de identificare electronică utilizate pentru identificarea și autentificarea profesioniștilor din domeniul sănătății în scopul unor astfel de schimburi ar trebui să ofere nivelul de asigurare „ridicat”. Această abordare etapizată are rolul de a acorda suficient timp pentru implementarea integrală a mijloacelor de identificare electronică în statele membre.
(5) În cazul în care statele membre utilizează un mijloc de identificare electronică care nu a fost notificat Comisiei în temeiul Regulamentului (UE) nr. 910/2014, nivelul de asigurare „ridicat” al mijlocului respectiv ar trebui să fie confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului (3) sau de un organism echivalent. Această cerință ar trebui să se aplice indiferent dacă schimbul transfrontalier se referă la transmiterea de date către un alt stat membru sau la primirea de date de la un alt stat membru.
(6) Punctul național de contact pentru sănătatea digitală care solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea ale unei persoane fizice ar trebui să comunice datele de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale punctului național de contact pentru sănătatea digitală din statul membru căruia îi este transmisă cererea.
(7) Prelucrarea datelor cu caracter personal în temeiul prezentului regulament face obiectul Regulamentelor (UE) 2016/679 (4) și (UE) 2018/1725 (5) ale Parlamentului European și ale Consiliului, după caz. Emiterea atributelor privind asistența medicală este o sarcină atribuită în interes public autorităților competente care urmează să fie desemnate de statele membre.
(8) Autoritatea Europeană pentru Protecția Datelor a fost consultată în conformitate cu articolul 42 alineatul (1) din Regulamentul (UE) 2018/1725 și a emis un aviz la 5 mai 2026.
(9) Măsurile prevăzute în prezentul regulament sunt conforme cu avizul comitetului instituit în temeiul articolului 98 alineatul (1) din Regulamentul (UE) 2025/327,
ADOPTĂ PREZENTUL REGULAMENT:
Articolul 1
Obiect
Prezentul regulament stabilește cerințele privind mecanismul interoperabil și transfrontalier de identificare și autentificare pentru persoanele fizice, profesioniștii din domeniul sănătății și furnizorii de servicii medicale în scopul schimbului transfrontalier de date electronice privind sănătatea.
Articolul 2
Definiții
În sensul prezentului regulament, se aplică următoarele definiții:
1. „atribut privind asistența medicală” înseamnă un atribut care este utilizat pentru identificarea unei persoane fizice în scopul schimbului transfrontalier de date electronice privind sănătatea;
2. definiția termenului „atribut” prevăzută la articolul 3 punctul 43 din Regulamentul (UE) nr. 910/2014;
3. definiția „atestatului electronic al atributelor” prevăzută la articolul 3 punctul 44 din Regulamentul (UE) nr. 910/2014;
4. definiția „portofelului european pentru identitatea digitală” prevăzută la articolul 3 punctul 42 din Regulamentul (UE) nr. 910/2014;
5. definiția „autentificării” prevăzută la articolul 3 punctul 5 din Regulamentul (UE) nr. 910/2014.
Articolul 3
Seturi naționale de atribute privind asistența medicală ale persoanelor fizice
(1) Fiecare stat membru stabilește un set de atribute privind asistența medicală care urmează să fie utilizate pentru a verifica identitatea persoanelor fizice în legătură cu dosarele lor electronice de sănătate în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea.
(2) Fiecare stat membru notifică Comisiei setul său de atribute privind asistența medicală până la 26 martie 2028. Statele membre notifică Comisiei, cât mai curând posibil, orice actualizare ulterioară a seturilor de atribute privind asistența medicală. Comisia publică seturile de atribute privind asistența medicală ale statelor membre.
(3) La cererea unei persoane fizice, autoritatea competentă din statul membru de afiliere al persoanei respective emite atributele privind asistența medicală ale persoanei fizice respective sub forma unui atestat electronic al atributelor, în conformitate cu setul de atribute privind asistența medicală definit în temeiul alineatului (1), către portofelul european pentru identitatea digitală al persoanei respective.
Articolul 4
Identificarea și autentificarea persoanelor fizice pentru schimbul transfrontalier de date electronice cu caracter personal privind sănătatea
(1) Înainte de a solicita schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU, profesionistul din domeniul sănătății sau furnizorul de servicii medicale identifică persoana fizică respectivă. În acest scop, profesionistul din domeniul sănătății sau furnizorul de servicii medicale poate colecta atributele privind asistența medicală ale persoanei fizice.
(2) În cazul în care un profesionist din domeniul sănătății sau un furnizor de servicii medicale solicită schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice prin intermediul MyHealth@EU în urma unei cereri depuse online de o persoană fizică, profesionistul din domeniul sănătății sau furnizorul de servicii medicale respectiv identifică și autentifică persoana fizică în cauză utilizând mijloace de identificare electronică emise în conformitate cu Regulamentul (UE) nr. 910/2014. Mijloacele de identificare electronică respectă cerințele Regulamentului (UE) nr. 910/2014 și oferă un nivel de asigurare cel puțin substanțial, astfel cum se menționează la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Începând cu 26 martie 2030, mijloacele de identificare electronică oferă nivelul de asigurare ridicat menționat la articolul 8 alineatul (2) litera (c) din același regulament. Mijloacele de identificare electronică sunt notificate Comisiei la nivelul de asigurare necesar în temeiul Regulamentului (UE) nr. 910/2014 sau nivelul lor de asigurare este confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.
(3) În cazul în care o persoană fizică a fost autorizată de o altă persoană fizică să îi acceseze datele electronice cu caracter personal privind sănătatea sau o parte a acestora în numele său sau acționează în calitate de reprezentant legal al unei alte persoane fizice în conformitate cu articolul 4 alineatul (2) din Regulamentul (UE) 2025/327, profesionistul din domeniul sănătății sau furnizorul de servicii medicale identifică persoana fizică respectivă și verifică dacă persoana fizică autorizată sau reprezentantul legal îndeplinește cerințele necesare pentru a acționa în această calitate.
Articolul 5
Cerințe privind schimbul transfrontalier de atribute privind asistența medicală ale persoanelor fizice
(1) În cazul în care un punct național de contact pentru sănătatea digitală solicită schimbul de date electronice cu caracter personal privind sănătatea ale unei persoane fizice de la un alt punct național de contact pentru sănătatea digitală sau către acesta, primul punct național de contact transmite atributele privind asistența medicală ale statului membru de afiliere al persoanei fizice celui de al doilea punct național de contact.
(2) Profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul de date electronice cu caracter personal privind sănătatea în temeiul articolului 4 alineatul (1), indiferent dacă cererea persoanei fizice este prezentată la fața locului sau online, acceptă atributele privind asistența medicală furnizate sub forma unui atestat electronic al atributelor utilizând un portofel european pentru identitatea digitală.
(3) În cazul în care mijloacele de identificare utilizate nu furnizează integral atributele privind asistența medicală, profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul de date electronice cu caracter personal privind sănătatea solicită informații suplimentare de la persoana fizică pentru a completa setul de atribute privind asistența medicală ale statului membru de afiliere al persoanei fizice.
Articolul 6
Identificarea, autentificarea și autorizarea profesioniștilor din domeniul sănătății și furnizorilor de servicii medicale în scopul schimbului transfrontalier de date electronice cu caracter personal privind sănătatea
(1) Fiecare stat membru enumeră entitatea sau entitățile responsabile cu identificarea, autentificarea și autorizarea profesionistului din domeniul sănătății sau furnizorului de servicii medicale care solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea.
(2) Înainte de a solicita schimbul transfrontalier de date electronice cu caracter personal privind sănătatea prin intermediul MyHealth@EU, entitatea sau entitățile menționate la alineatul (1) identifică, autentifică și autorizează profesionistul din domeniul sănătății sau furnizorul de servicii medicale care solicită schimbul respectiv.
(3) Entitatea sau entitățile menționate la alineatul (1) identifică și autentifică profesionistul din domeniul sănătății utilizând mijloace de autentificare electronică care oferă cel puțin nivelul de asigurare substanțial menționat la articolul 8 alineatul (2) litera (b) din Regulamentul (UE) nr. 910/2014. Începând cu 26 martie 2032, mijloacele de autentificare electronică ale profesioniștilor din domeniul sănătății oferă nivelul de asigurare ridicat menționat la articolul 8 alineatul (2) litera (c) din regulamentul respectiv. Mijloacele de identificare electronică sunt notificate Comisiei la nivelul de asigurare necesar în temeiul Regulamentului (UE) nr. 910/2014 sau nivelul lor de asigurare este confirmat de un organism de evaluare a conformității menționat la articolul 2 alineatul (13) din Regulamentul (CE) nr. 765/2008 sau de un organism echivalent.
Articolul 7
Cerințe privind schimbul de date de identificare a profesionistului din domeniul sănătății și a furnizorului de servicii medicale
În cazul în care profesionistul din domeniul sănătății sau furnizorul de servicii medicale solicită schimbul transfrontalier de date electronice cu caracter personal privind sănătatea prin intermediul MyHealth@EU, punctul național de contact pentru sănătatea digitală competent pentru profesionistul din domeniul sănătății sau furnizorul de servicii medicale respectiv comunică punctului național de contact pentru sănătatea digitală care primește cererea datele de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale. Datele de identificare trebuie să fie conforme cu specificațiile tehnice prevăzute în anexă.
Articolul 8
Mecanismul pentru schimbul de date de identificare prin intermediul MyHealth@EU
Mecanismul pentru schimbul de date de identificare prin intermediul MyHealth@EU sprijină:
(a) notificarea și publicarea seturilor de atribute privind asistența medicală menționate la articolul 3 alineatul (2) din prezentul regulament;
(b) schimbul de atribute privind asistența medicală între punctele naționale de contact pentru sănătatea digitală descrise la articolul 5 alineatul (1);
(c) schimbul de date de identificare ale profesionistului din domeniul sănătății sau ale furnizorului de servicii medicale între punctele naționale de contact pentru sănătatea digitală descrise la articolul 7.
Articolul 9
Intrare în vigoare și aplicare
Prezentul regulament intră în vigoare în a douăzecea zi de la data publicării în Jurnalul Oficial al Uniunii Europene.
Prezentul regulament se aplică de la 26 martie 2027.
Cu toate acestea, articolul 3 alineatul (3) și articolul 5 alineatul (2) se aplică de la 26 martie 2029.
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
Adoptat la Bruxelles, 21 septembrie 2026.
Pentru Comisie
Președinta
Ursula VON DER LEYEN
(1) JO L, 2025/327, 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj.
(2) Regulamentul (UE) nr. 910/2014 al Parlamentului European și al Consiliului din 23 iulie 2014 privind identificarea electronică și serviciile de încredere pentru tranzacțiile electronice pe piața internă și de abrogare a Directivei 1999/93/CE (JO L 257, 28.8.2014, p. 73, ELI: http://data.europa.eu/eli/reg/2014/910/oj).
(3) Regulamentul (CE) nr. 765/2008 al Parlamentului European și al Consiliului din 9 iulie 2008 de stabilire a cerințelor de acreditare și de abrogare a Regulamentului (CEE) nr. 339/93 (JO L 218, 13.8.2008, p. 30, ELI: http://data.europa.eu/eli/reg/2008/765/oj).
(4) Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) (JO L 119, 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj).
(5) Regulamentul (UE) 2018/1725 al Parlamentului European și al Consiliului din 23 octombrie 2018 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal de către instituțiile, organele, oficiile și agențiile Uniunii și privind libera circulație a acestor date și de abrogare a Regulamentului (CE) nr. 45/2001 și a Deciziei nr. 1247/2002/CE (JO L 295, 21.11.2018, p. 39, ELI: http://data.europa.eu/eli/reg/2018/1725/oj).
ANEXĂ
Specificații tehnice pentru datele de identificare ale profesioniștilor din domeniul sănătății și ale furnizorilor de servicii medicale menționate la articolul 7
Tabelul 1 – Date obligatorii pentru profesionistul din domeniul sănătății
| Identificator al datelor | Definiție |
|---|---|
| family_name | Numele de familie al profesionistului din domeniul sănătății. |
| given_name | Prenumele, inclusiv al doilea prenume, dacă este cazul, al profesionistului din domeniul sănătății. |
| country_code | Codul de țară alfa-2, astfel cum este specificat în standardul ISO 3166-1, reprezentând statul membru care a emis datele de identificare ale profesionistului din domeniul sănătății. |
| hp_identifier | Un identificator al profesionistului din domeniul sănătății atribuit profesionistului din domeniul sănătății, care este unic în rândul tuturor identificatorilor profesioniștilor din domeniul sănătății emiși în statul membru în care este înregistrat profesionistul din domeniul sănătății. |
| issuing_authority_name | Denumirea agenției responsabile cu emiterea identificatorului profesionistului din domeniul sănătății. |
| hp_profissional_role | Rolul profesional al profesionistului din domeniul sănătății. |
| healthcare_provider_identifier | Un identificator al organizației furnizorului de servicii medicale sau al unității medicale în care profesionistul din domeniul sănătății furnizează tratamentul. Acest identificator este unic în statul membru care l-a emis. |
Tabelul 2 – Date obligatorii pentru furnizorul de servicii medicale
| Identificator al datelor | Definiție |
|---|---|
| healthcare_provider_identifier | Un identificator al organizației furnizoare de servicii medicale sau al unității medicale în care profesionistul din domeniul sănătății furnizează tratamentul. Acest identificator este unic în statul membru care l-a emis. |
| issuing_authority_name | Denumirea agenției responsabile cu emiterea identificatorului furnizorului de servicii medicale. |
| healthcare_provider_name | Numele furnizorului de servicii medicale. |
| healthcare_provider_address | Adresa completă oficială înregistrată a furnizorului de servicii medicale. |
Acest articol are caracter informativ și nu constituie consultanță juridică. Pentru situații concrete, consultați un avocat sau un consultant fiscal autorizat.