Ustawa o systemie informacji w ochronie zdrowia

Art.  6. Platforma udostępniania on-line usług i zasobów cyfrowych rejestrów medycznych

• 1. Platforma Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych jest systemem teleinformatycznym, umożliwiającym w szczególności:
  • 1) komunikowanie się SIM z rejestrami medycznymi w celu pozyskiwania danych w nich przetwarzanych;
  • 2) dokonywanie aktualizacji danych w rejestrach medycznych;
  • 3) integrację rejestrów medycznych;
  • 4) udostępnianie usługodawcom i płatnikom, w zakresie posiadanych uprawnień, danych z rejestrów medycznych.
• 2. Administratorem systemu Platformy Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych jest jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia.
• 3. Zadaniem jednostki, o której mowa w ust. 2, jest dostarczenie oraz utrzymanie Platformy Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych, zarządzanie nią oraz zapewnienie bezpieczeństwa i integralności udostępnianych danych.

Art.  7. Elektroniczna platforma gromadzenia, analizy i udostępnienia zasobów cyfrowych o zdarzeniach medycznych

• 1. Elektroniczna Platforma Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych jest systemem teleinformatycznym, który umożliwia w szczególności:
  • 1) dostęp usługobiorców do informacji o udzielonych i planowanych świadczeniach opieki zdrowotnej zgromadzonych w SIM oraz raportów z udostępnienia danych ich dotyczących;
  • 1a) składanie przez usługobiorców lub ich przedstawicieli ustawowych oświadczeń, deklaracji, wniosków i zamówień, o których mowa odpowiednio w art. 7a  ust. 1 pkt 3–5, 9, 10, 12, 14 i 19;
  • 1b) przekazywanie przez Zakład Ubezpieczeń Społecznych informacji, o których mowa w art. 60a  ust. 2 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa oraz ich przechowywanie;
  • 1c) przekazywanie przez płatnika, o którym mowa w art. 2  pkt 9 lit. a, informacji o wysokości składki na ubezpieczenie zdrowotne płaconej przez usługobiorców;
  • 2) przekazywanie przez usługodawców i płatnika, o którym mowa w art. 2  pkt 9 lit. a, do SIM informacji o udzielonych, udzielanych i planowanych świadczeniach opieki zdrowotnej;
  • 3) wymianę pomiędzy usługodawcami danych zawartych w elektronicznej dokumentacji medycznej, jeżeli jest to niezbędne do zapewnienia ciągłości leczenia;
  • 4) wymianę dokumentów elektronicznych pomiędzy usługodawcami w celu prowadzenia diagnostyki, zapewnienia ciągłości leczenia oraz zaopatrzenia usługobiorców w produkty lecznicze i wyroby medyczne;
  • 5) dostęp podmiotów prowadzących rejestry medyczne, w zakresie realizowanych zadań i posiadanych uprawnień, do danych przetwarzanych w SIM, za pośrednictwem Platformy Udostępniania On-Line Usług i Zasobów Cyfrowych Rejestrów Medycznych;
  • 6) dostęp jednostek samorządu terytorialnego do danych przetwarzanych w SIM, umożliwiający realizację zadań związanych z zapewnieniem mieszkańcom równego dostępu do świadczeń opieki zdrowotnej;
  • 7) dostęp wojewodów do danych zbiorczych niezbędnych do realizacji zadań określonych w art. 10  ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 8) dostęp ministra właściwego do spraw zdrowia do danych niezbędnych do realizacji zadań określonych w art. 11  ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 9) przekazywanie danych statystycznych, o których mowa w ustawie z dnia 28 listopada 2014 r. – Prawo o aktach stanu cywilnego (Dz. U. z 2023 r. poz. 1378 i 1615) oraz w ustawie z dnia 31 stycznia 1959 r. o cmentarzach i chowaniu zmarłych (Dz. U. z 2024 r. poz. 576) dla potrzeb statystyki publicznej;
  • 10) przekazywanie i odbieranie danych osobowych i jednostkowych danych medycznych usługobiorców w zakresie wymiany recepty transgranicznej w rozumieniu art. 2  pkt 35aa ustawy z dnia 6 września 2001 r. – Prawo farmaceutyczne, zwanej dalej receptą transgraniczną oraz karty pacjenta, o której mowa w art. 30b ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, zwanej dalej „kartą pacjenta”.
  • 11) uzyskiwanie przez lekarzy, lekarzy dentystów, pielęgniarki, położne, felczerów, starszych felczerów, fizjoterapeutów, farmaceutów, techników farmaceutycznych oraz osoby wykonujące czynności pomocnicze przy udzielaniu świadczeń opieki zdrowotnej informacji o uprawnieniach dodatkowych usługobiorców oraz informacji o posiadaniu przez nich orzeczenia o niepełnosprawności albo orzeczenia o stopniu niepełnosprawności;
  • 12) gromadzenie danych służących do obliczania wskaźników jakości opieki onkologicznej i generowania na podstawie tych informacji raportów o poziomie jakości opieki w ramach Krajowej Sieci Onkologicznej, o której mowa w art. 0_3 ust. 1 ustawy z dnia 9 marca 2023 r. o Krajowej Sieci Onkologicznej (Dz. U. z 2024 r. poz. 1208);
  • 12a) generowanie i obsługę karty diagnostyki i leczenia onkologicznego, o której mowa w art. 39  ust. 1 ustawy z dnia 9 marca 2023 r. o Krajowej Sieci Onkologicznej;
  • 13) gromadzenie danych służących do obliczania wskaźników jakości opieki kardiologicznej, o których mowa w przepisach wydanych na podstawie art. 0_19 ust. 2 ustawy z dnia 4 czerwca 2025 r. o Krajowej Sieci Kardiologicznej (Dz. U. poz. 779.), i generowanie na podstawie tych danych raportów o poziomie jakości opieki kardiologicznej w ramach Krajowej Sieci Kardiologicznej, o której mowa w art. 0_3 ust. 1 tej ustawy;
  • 14) generowanie i obsługę elektronicznej Karty Opieki Kardiologicznej, o której mowa w art. 0_39 ust. 1 ustawy z dnia 4 czerwca 2025 r. o Krajowej Sieci Kardiologicznej;
  • 15) prowadzenie centralnej elektronicznej rejestracji na świadczenia opieki zdrowotnej, o których mowa w przepisach wydanych na podstawie art. 23h ust. 2 pkt 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 16) dokonywanie oceny spełniania przez świadczeniobiorców kryteriów włączenia do programu zdrowotnego w celu weryfikacji dopuszczalności dokonania zgłoszenia centralnego, o którym mowa w art. 23e ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, na świadczenie realizowane w ramach programu zdrowotnego;
  • 17) generowanie i udostępnianie na podstawie zindywidualizowanych jednostkowych danych medycznych zawartych w SIM analiz i raportów służących do oceny stanu zdrowia usługobiorcy oraz stosowanych u niego terapii;
  • 18) przekazywanie przez podmioty, o których mowa w art. 11c  ust. 3, do SIM danych dotyczących usługobiorcy rejestrowanych przez wyroby medyczne lub aplikacje wspierające dobrostan;
  • 19) przechowywanie i udostępnianie dokumentacji medycznej w postaci elektronicznej, o której mowa w przepisach wydanych na podstawie art. 30  ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, w przypadku, o którym mowa w art. 602_30a ust. 9 tej ustawy.
• 1a. W systemie, o którym mowa w ust. 1, na potrzeby centralnej elektronicznej rejestracji, o której mowa w art. 23c ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, są przetwarzane dane:
  • 1) o których mowa w art. 23c  ust. 3 pkt 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 2) zawarte w centralnym wykazie oczekujących, o którym mowa w art. 19a  ust. 4 pkt 3 lit. b ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 3) zawarte w zgłoszeniu centralnym, o którym mowa w art. 23e  ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych.
• 1b. System, o którym mowa w ust. 1, umożliwia generowanie przez administratora tego systemu raportów z działania centralnej elektronicznej rejestracji dla:
  • 1) ministra właściwego do spraw zdrowia;
  • 2) Narodowego Funduszu Zdrowia;
  • 3) usługodawcy – w zakresie jego działalności;
  • 4) usługobiorcy – za pośrednictwem Internetowego Konta Pacjenta, o którym mowa w art. 7a  ust. 1.
• 2. Administratorem systemu Elektronicznej Platformy Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych jest jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia.
• 2a. Jednostka, o której mowa w ust. 2, wykonuje zadania Krajowego Punktu Kontaktowego do spraw Transgranicznej Opieki Zdrowotnej, zwanego dalej „KPK” w zakresie wymiany recepty transgranicznej w postaci elektronicznej oraz przekazywania i odbierania danych osobowych i jednostkowych danych medycznych usługobiorców, w tym danych osobowych i jednostkowych danych medycznych zawartych w karcie pacjenta, w celu prowadzenia konsultacji medycznych lub leczenia usługobiorców w ramach transgranicznej opieki zdrowotnej.
• 2b. Do zadań KPK, o których mowa w ust. 2a, należy:
  • 1) przygotowanie, testowanie, wdrożenie, uruchomienie, obsługiwanie i utrzymywanie w zakresie wymiany recepty transgranicznej w postaci elektronicznej oraz przekazywania i odbierania danych osobowych i jednostkowych danych medycznych usługobiorców, w tym danych osobowych i jednostkowych danych medycznych zawartych w karcie pacjenta, przez umożliwienie elektronicznego przesyłania danych między Rzecząpospolitą Polską a innymi państwami członkowskimi Unii Europejskiej lub państwami członkowskimi Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronami umowy o Europejskim Obszarze Gospodarczym;
  • 2) współpraca z Komisją Europejską i krajowymi punktami kontaktowymi do spraw transgranicznej opieki zdrowotnej działającymi w innych państwach członkowskich Unii Europejskiej lub państwach członkowskich Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronach umowy o Europejskim Obszarze Gospodarczym.
• 3. Zadaniem jednostki, o której mowa w ust. 2, jest dostarczenie oraz utrzymanie Elektronicznej Platformy Gromadzenia, Analizy i Udostępnienia Zasobów Cyfrowych o Zdarzeniach Medycznych, zapewnienie bezpieczeństwa i integralności udostępnianych i pobieranych danych oraz nadawanie uprawnień dostępu do danych.
• 3a. Zgłoszenie gotowości podłączenia usługodawcy do systemu, o którym mowa w ust. 1, następuje przez złożenie jednostce, o której mowa w ust. 2, deklaracji gotowości w postaci elektronicznej.
• 3b. Deklarację, o której mowa w ust. 3a, może złożyć także w przypadku:
  • 1) apteki – kierownik apteki;
  • 2) pozostałych usługodawców – osoba uprawniona do złożenia wniosku o wpis do rejestru podmiotów wykonujących działalność leczniczą.
• 3c. Po akceptacji gotowości usługodawcy przez jednostkę, o której mowa w ust. 2, usługodawca jest obowiązany do podłączenia się do systemu, o którym mowa w ust. 1.
• 3d. Jednostka, o której mowa w ust. 2, może czasowo ograniczyć lub zablokować dostęp usługodawcy lub pracownika medycznego do systemu, o którym mowa w ust. 1, jeżeli poweźmie podejrzenie na podstawie informacji zgromadzonych w SIM lub uzyskanych od usługodawcy, pracownika medycznego, usługobiorcy lub organów ścigania o:
  • 1) korzystaniu z systemu, o którym mowa w ust. 1, lub danych w nim przetwarzanych w sposób niezgodny z przepisami prawa lub zasadami bezpieczeństwa przetwarzania danych osobowych lub jednostkowych danych medycznych lub
  • 2) wystąpieniu zagrożenia dla bezpieczeństwa przetwarzania tych danych.
• 3e. Ograniczenie lub zablokowanie dostępu, o których mowa w ust. 3d, następuje po dokonaniu weryfikacji i oceny zasadności informacji, wskazujących na naruszenie lub zagrożenie, na podstawie danych przetwarzanych w systemie, o którym mowa w ust. 1, w zakresie niezbędnym do zapewnienia bezpieczeństwa przetwarzania danych osobowych i jednostkowych danych medycznych usługobiorców oraz przysługujących im uprawnień.
• 3f. O przyczynach ograniczenia lub zablokowania dostępu do systemu, o którym mowa w ust. 1, jednostka, o której mowa w ust. 2, niezwłocznie informuje usługodawcę lub pracownika medycznego, którego ograniczenie lub zablokowanie dostępu dotyczy, wyznaczając mu odpowiedni termin na złożenie przez niego wyjaśnień lub wprowadzenie zmian niezbędnych do usunięcia naruszenia lub zagrożenia.
• 3g. Dostęp do systemu, o którym mowa w ust. 1, przywraca się niezwłocznie po potwierdzeniu przez jednostkę, o której mowa w ust. 2, usunięcia naruszenia lub zagrożenia na podstawie danych przetwarzanych w systemie, o którym mowa w ust. 1, wyjaśnień przekazanych przez usługodawcę lub pracownika medycznego, którego dotyczy ograniczenie, lub informacji uzyskanych od organów ścigania.
• 3h. W związku z ograniczeniem lub zablokowaniem dostępu do systemu, o którym mowa w ust. 1, informacje dotyczące:
  • 1) charakteru oraz podstawy podejrzenia, o którym mowa w ust. 3d,
  • 2) podjętych czynności weryfikacyjnych oraz czasu ich trwania,
  • 3) ograniczenia lub zablokowania dostępu do systemu,
  • 4) wyjaśnień przekazanych przez usługodawcę lub pracownika medycznego,
  • 5) przywrócenia dostępu do systemu – podlegają udokumentowaniu w dokumentacji prowadzonej przez jednostkę, o której mowa w ust. 2, w formie notatek służbowych, korespondencji oraz zapisów w systemie teleinformatycznym tej jednostki.
• 3i. Dokumentację, o której mowa w ust. 3h, przechowuje się przez okres 3 lat, licząc od dnia dokonania ostatniej czynności w sprawie ograniczenia lub zablokowania dostępu do systemu, o którym mowa w ust. 1.
• 3j. W przypadku ograniczenia lub zablokowania dostępu do systemu, o którym mowa w ust. 1, trwającego dłużej niż 3 dni usługodawca lub pracownik medyczny może zwrócić się do ministra właściwego do spraw zdrowia z wnioskiem złożonym w postaci elektronicznej o weryfikację prawidłowości czynności podejmowanych przez jednostkę, o której mowa w ust. 2. Wniosek jest rozpatrywany niezwłocznie, niepóźniej jednak niż w terminie 3 dni, licząc od dnia jego złożenia.
• 3k. Minister właściwy do spraw zdrowia po przeprowadzeniu weryfikacji prawidłowości czynności podejmowanych przez jednostkę, o której mowa w ust. 2, może zobowiązać tę jednostkę do niezwłocznego przywrócenia usługodawcy lub pracownikowi medycznemu dostępu do systemu, o którym mowa w ust. 1.
• 4. Za pośrednictwem systemów teleinformatycznych, dla których administratorem systemu jest jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia, Narodowy Fundusz Zdrowia lub Zakład Ubezpieczeń Społecznych, dane są udostępniane uprawnionym użytkownikom identyfikowanym w co najmniej jednym z tych systemów oraz prezentowane w systemie, w którym ci użytkownicy są identyfikowani.
• 5. (uchylony)
• 6. Jednostka, o której mowa w ust. 2, może przekazywać usługobiorcom informacje, o których mowa w ust. 1 pkt 1, oraz inne informacje istotne dla ich stanu zdrowia również za pośrednictwem innych narzędzi niż system, o którym mowa w art. 7  ust. 1.

Art.  7a. Internetowe konto pacjenta (ikp)

• 1. Internetowe Konto Pacjenta, zwane dalej „IKP”, umożliwia usługobiorcy lub jego przedstawicielowi ustawowemu, w szczególności:
  • 1) dostęp do informacji i raportów, o których mowa w art. 7  ust. 1 pkt 1, oraz informacji o kwocie środków publicznych wydatkowanych na sfinansowanie udzielonych mu świadczeń opieki zdrowotnej;
  • 2) dostęp do informacji o posiadanym w danym dniu prawie do świadczeń opieki zdrowotnej oraz podstawie tego prawa, a w przypadku gdy prawo do świadczeń opieki zdrowotnej wynika z objęcia ubezpieczeniem zdrowotnym, także o dacie zgłoszenia do ubezpieczenia zdrowotnego oraz numerze identyfikacji podatkowej (NIP) i numerze REGON płatnika ubezpieczenia zdrowotnego – na podstawie informacji przetwarzanych w Centralnym Wykazie Ubezpieczonych, o którym mowa w art. 97  ust. 4 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;
  • 3) składanie oświadczeń o upoważnieniu osoby do dostępu do dokumentacji medycznej, o którym mowa w art. 26  ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2024 r. poz. 581), lub o wyrażeniu zgody na udostępnienie danych, o której mowa w art. 35  ust. 1a, lub o ich wycofaniu;
  • 4) składanie oświadczeń o wyrażeniu zgody na udzielanie informacji, o której mowa w art. 9  ust. 3 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, lub o jej wycofaniu;
  • 5) składanie oświadczeń o wyrażeniu zgody na udzielenie określonych świadczeń zdrowotnych, o której mowa w art 16–18 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, lub o jej odmowie;
  • 6) dostęp do informacji o wystawionych zaświadczeniach lekarskich, o których mowa w art. 55  ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa;
  • 7) dostęp do informacji o wysokości składki na ubezpieczenie zdrowotne płaconej przez usługobiorcę;
  • 8) dostęp do informacji o wysokości kwoty podlegającej refundacji dla poszczególnych produktów leczniczych, środków spożywczych specjalnego przeznaczenia żywieniowego lub wyrobów medycznych wydanych usługobiorcy;
  • 9) składanie oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych i jednostkowych danych medycznych usługobiorcy koniecznych w procesie realizacji recepty transgranicznej lub generowanych w karcie pacjenta w celu odbycia konsultacji medycznej lub podjęcia leczenia przez usługobiorcę w innym państwie członkowskim Unii Europejskiej lub państwie członkowskim Europejskiego Porozumienia o Wolnym Handlu (EFTA) – stronie umowy o Europejskim Obszarze Gospodarczym lub o jej wycofaniu;
  • 10) składanie deklaracji wyboru świadczeniodawcy, udzielającego świadczeń z zakresu podstawowej opieki zdrowotnej, lekarza podstawowej opieki zdrowotnej, pielęgniarki podstawowej opieki zdrowotnej lub położnej podstawowej opieki zdrowotnej, o której mowa w art. 10  ust. 1 ustawy z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej (Dz. U. z 2022 r. poz. 2527 oraz z 2024 r. poz. 1897), oraz dostęp do informacji o wybranym świadczeniodawcy udzielającym świadczeń z zakresu podstawowej opieki zdrowotnej, lekarzu podstawowej opieki zdrowotnej, pielęgniarce podstawowej opieki zdrowotnej lub położnej podstawowej opieki zdrowotnej;
  • 11) dostęp do informacji o usługodawcy i udzielanych przez niego świadczeniach opieki zdrowotnej;
  • 12) składanie wniosków o wydanie Europejskiej Karty Ubezpieczenia Zdrowotnego, o której mowa w art. 51  ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, zwanej dalej "EKUZ";
  • 13) dostęp do informacji o wycofanych z obrotu produktach leczniczych lub wyrobach medycznych, jeżeli zostały one usługobiorcy przepisane na podstawie recepty w postaci elektronicznej lub przez niego nabyte;
  • 14) składanie wniosków lub skarg do Rzecznika Praw Pacjenta, ministra właściwego do spraw zdrowia oraz Narodowego Funduszu Zdrowia;
  • 15) dostęp do informacji o profilaktyce i zdrowym trybie życia na podstawie jednostkowych danych medycznych usługobiorcy;
  • 16) udzielanie odpowiedzi na badania ankietowe w zakresie jakości opieki zdrowotnej;
  • 17) dostęp do informacji o wystawionych zleceniach, o których mowa w art. 38  ust. 4a ustawy z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych;
  • 18) dokonanie zgłoszenia centralnego, o którym mowa w art. 23e  ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, na świadczenia opieki zdrowotnej, o których mowa w przepisach wydanych na podstawie art. 23h  ust. 2 pkt 1 tej ustawy.;
  • 19) składanie zamówienia na wystawienie recepty niezbędnej do kontynuacji leczenia, o której mowa w art. 42  ust. 2 ustawy z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty (Dz. U. 2026 r. poz. 37, 203 i 791) lub w art. 15b  ust. 2 ustawy z dnia 15 lipca 2011 r. o zawodach pielęgniarki i położnej;
  • 20) samodzielne przekazywanie przez usługobiorcę informacji istotnych dla oceny stanu jego zdrowia oraz dostęp do analiz i raportów dokonywanych na podstawie tych informacji;
  • 21) dostęp do danych dotyczących usługobiorcy rejestrowanych przez wyroby medyczne lub aplikacje wspierające dobrostan, przekazanych do SIM przez podmioty, o których mowa w art. 11c  ust. 3;
  • 22) dostęp do analiz i raportów, o których mowa w art. 7  ust. 1 pkt 17;
  • 23) dostęp do orzeczeń lekarskich, o których mowa w przepisach wydanych na podstawie art. 229  § 8 ustawy z dnia 26 czerwca 1974 r. – Kodeks pracy.
• 2. Składanie oświadczeń, o których mowa w ust. 1 pkt 5, wymaga identyfikacji wykorzystującej co najmniej dwa czynniki uwierzytelnienia należące do co najmniej dwóch różnych kategorii, o których mowa w rozporządzeniu wykonawczym Komisji (UE) 2015/1502 z dnia 8 września 2015 r. w sprawie ustanowienia minimalnych specyfikacji technicznych i procedur dotyczących poziomów bezpieczeństwa w zakresie środków identyfikacji elektronicznej na podstawie art. 8  ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz. Urz. UE L 235 z 09.09.2015, str. 7, z późn. zm.).
• 3. Płatnik, o którym mowa w art. 2  pkt 9 lit. a, zapewnia jednostce podległej ministrowi właściwemu do spraw zdrowia, właściwej w zakresie systemów informacyjnych ochrony zdrowia, dostęp do informacji, o których mowa w:
  • 1) art. 7  ust. 1 pkt 1, w zakresie informacji o udzielonych świadczeniach opieki zdrowotnej oraz o kwocie środków publicznych wydatkowanych na sfinansowanie tych świadczeń;
  • 2) ust. 1 pkt 2, 7, 10, 11 і 17.
• 4. Zakład Ubezpieczeń Społecznych zapewnia jednostce, o której mowa w ust. 3, dostęp do informacji, o których mowa w ust. 1 pkt 6.
• 5. Organy Państwowej Inspekcji Farmaceutycznej zapewniają jednostce, o której mowa w ust. 3, dostęp do informacji, o których mowa w ust. 1 pkt 13.

Art.  7b. Dostęp do ikp

• 1. Dostęp do IKP następuje za pośrednictwem systemu, o którym mowa w art. 7  ust. 1, po uwierzytelnieniu usługobiorcy, jego przedstawiciela ustawowego lub osoby przez niego upoważnionej w sposób określony w art. 830_20a ust. 1 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.
• 1a. Dostęp do IKP, w pełnym albo ograniczonym zakresie funkcjonalności, może być zapewniany przez ministra właściwego do spraw zdrowia przy użyciu aplikacji mObywatel w rozumieniu ustawy z dnia 26 maja 2023 r. o aplikacji mObywatel (Dz. U. z 2024 r. poz. 1275 i 1717), po uwierzytelnieniu usługobiorcy przy użyciu certyfikatu podstawowego, o którym mowa w art. 2  pkt 2 ustawy z dnia 26 maja 2023 r. o aplikacji mObywatel.
• 1b. Minister właściwy do spraw zdrowia może umożliwić przy użyciu aplikacji mObywatel pobranie i posługiwanie się unijnym cyfrowym zaświadczeniem COVID w rozumieniu art. 0_2 pkt 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2021/953 z dnia 14 czerwca 2021 r. w sprawie ram wydawania, weryfikowania i uznawania interoperacyjnych zaświadczeń o szczepieniu, o wyniku testu i o powrocie do zdrowia w związku z COVID-19 (unijne cyfrowe zaświadczenie COVID) w celu ułatwienia swobodnego przemieszczania się w czasie pandemii COVID-19 (Dz. Urz. UE L 211 z 15.06.2021, str. 1, z późn. zm.), po uwierzytelnieniu usługobiorcy przy użyciu:
  • 1) certyfikatu podstawowego, o którym mowa w art. 2  pkt 2 ustawy z dnia 26 maja 2023 r. o aplikacji mObywatel, albo
  • 2) certyfikatu ucznia, o którym mowa w art. 2  pkt 4 ustawy z dnia 26 maja 2023 r. o aplikacji mObywatel, jeżeli ukończył on szesnaście lat.
• 2. W celu umożliwienia dostępu przedstawiciela ustawowego do IKP usługobiorcy będącego osobą małoletnią Narodowy Fundusz Zdrowia jest obowiązany przekazywać jednostce podległej ministrowi właściwemu do spraw zdrowia właściwej w zakresie systemów informacyjnych ochrony zdrowia informacje o członkach rodziny zgłoszonych do ubezpieczenia zdrowotnego, w tym kod stopnia pokrewieństwa albo powinowactwa między osobą zgłaszającą a zgłaszaną, wraz z identyfikatorami tych osób, o których mowa w art. 17c  ust. 2.
• 3. W celu umożliwienia dostępu przedstawiciela ustawowego do IKP usługobiorcy będącego osobą małoletnią minister właściwy do spraw rodziny jest obowiązany przekazywać jednostce podległej ministrowi właściwemu do spraw zdrowia właściwej w zakresie systemów informacyjnych ochrony zdrowia dane zawarte w rejestrze centralnym, o których mowa w art. 14  ust. 2 pkt 1 lit. a–e, ib oraz o ustawy z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci (Dz. U. z 2024 r. poz. 1576).
• 4. W szczególnie uzasadnionych przypadkach w celu umożliwienia dostępu przedstawiciela ustawowego usługobiorcy do IKP usługobiorcy jednostka podległa ministrowi właściwemu do spraw zdrowia właściwa w zakresie systemów informacyjnych ochrony zdrowia dokonuje potwierdzenia tożsamości przedstawiciela ustawowego usługobiorcy oraz jego prawa do działania w imieniu usługobiorcy.
• 4a. W celu umożliwienia dostępu przedstawiciela ustawowego do IKP usługobiorcy, przedstawiciel ustawowy tego usługobiorcy, który taki dostęp już uzyskał na podstawie danych, o których mowa w ust. 2 lub 3, albo w trybie, o którym mowa w ust. 4, może potwierdzić prawo do działania w imieniu usługobiorcy przez innego przedstawiciela ustawowego, w drodze oświadczenia złożonego za pośrednictwem IKP.
• 4b. Oświadczenie, o którym mowa w ust. 4a, przedstawiciel ustawowy składa pod rygorem odpowiedzialności karnej za składanie fałszywych oświadczeń. Oświadczenie zawiera klauzulę następującej treści: „Jestem świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia.”. Klauzula ta zastępuje pouczenie właściwej instytucji o odpowiedzialności karnej za składanie fałszywych oświadczeń.
• 5. Jednostka podległa ministrowi właściwemu do spraw zdrowia właściwa w zakresie systemów informacyjnych ochrony zdrowia może zablokować dostęp do IKP przedstawiciela ustawowego usługobiorcy:
  • 1) z urzędu, w przypadku powzięcia wątpliwości co do możliwości działania przez tę osobę w imieniu usługobiorcy;
  • 2) na wniosek, po wykazaniu przez składającego wniosek interesu prawnego lub faktycznego.

Art.  8. Wymogi systemów teleinformatycznych używanych do prowadzenia rejestru medycznego

• 1. Podmioty, o których mowa w art. 2  ust. 1 i 2 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, prowadzące rejestr medyczny używają do realizacji zadań związanych z prowadzeniem rejestru medycznego systemów teleinformatycznych spełniających minimalne wymagania określone w ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.
• 2. Do rejestrów medycznych i systemów teleinformatycznych używanych do prowadzenia rejestrów medycznych stosuje się odpowiednio przepisy art. 14  ust. 1 i art 15–16 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne i przepisy wydane na ich podstawie oraz przepisy wydane na podstawie art. 18  tej ustawy.

Art.  8a. Minimalne wymagania dla systemów teleinformatycznych

• Minimalne wymagania dla systemów, o których mowa w art. 6  ust. 1, art. 7  ust. 1, art. 10  ust. 1, art. 17  ust. 1, art. 22  ust. 1 i art. 26  ust. 1, oraz systemów teleinformatycznych usługodawców i podmiotów prowadzących rejestry medyczne, związane z bezpieczeństwem przetwarzania i udostępniania danych w postaci elektronicznej uwzględniają, w przypadku danych dotyczących:
  • 1) usługobiorców będących:
    • a) funkcjonariuszami Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Centralnego Biura Antykorupcyjnego oraz funkcjonariuszami albo żołnierzami Służby Kontrwywiadu Wojskowego lub Służby Wywiadu Wojskowego, zwanych dalej służbami specjalnymi
    • b) członkami rodzin, w rozumieniu art. 5  pkt 3 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, funkcjonariuszy i żołnierzy służb specjalnych,
  • 2) podmiotów leczniczych, o których mowa w art. 4  ust. 1 pkt 3 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej – ochronę tych danych w zakresie wykonywania obowiązków, o których mowa w art. 35  ust. 1 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu (Dz. U. z 2016 r. poz. 1897, 1948 i 1955 oraz z 2017 r. poz. 60, 768 i 1321), art. 24  ust. 1 ustawy z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym (Dz. U. z 2016 r. poz. 1310, z późn. zm.) i art. 39  ust. 1 ustawy z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego (Dz. U. z 2016 r. poz. 1318, 1955 i 2138 oraz z 2017 r. poz. 768), oraz możliwość uzyskania przez służby specjalne informacji o osobach przetwarzających w SIM dane dotyczące tych usługobiorców i podmiotów.

Art.  8b. Obowiązek zapewnienia zgodności systemów teleinformatycznych z wymaganiami zamieszczanymi w bip

• 1. Usługodawcy, podmioty prowadzące rejestry medyczne oraz podmioty, o których mowa w art. 11c  ust. 3 pkt 3 i 4, są obowiązani zapewniać zgodność swoich systemów teleinformatycznych z minimalnymi wymaganiami technicznymi i funkcjonalnymi zamieszczanymi w Biuletynie Informacji Publicznej na stronie podmiotowej urzędu obsługującego ministra właściwego do spraw zdrowia w terminie 9 miesięcy licząc od dnia ich zamieszczenia.
• 2. Termin, o którym mowa w ust. 1, może ulec wydłużeniu przez ministra właściwego do spraw zdrowia, w drodze obwieszczenia.
• 3. Minimalne wymagania techniczne i funkcjonalne, z wyjątkiem wymagań określonych w art. 8a  i art. 8c , przed ich zamieszczeniem w Biuletynie Informacji Publicznej urzędu obsługującego ministra właściwego do spraw zdrowia podlegają konsultacjom z usługodawcami, podmiotami prowadzącymi rejestry medyczne oraz podmiotami, o których mowa w art. 11c  ust. 3 pkt 3 i 4.
• 4. Konsultacje, o których mowa w ust. 3, prowadzi jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia, przez zamieszczenie na swojej stronie internetowej projektu minimalnych wymagań technicznych i funkcjonalnych, z wyjątkiem wymagań określonych w art. 8a  i art. 8c , ze wskazaniem sposobu i terminu zgłaszania uwag.

Art.  8c. Zarządzanie danymi za pośrednictwem systemów teleinformatycznych przez agencję bezpieczeństwa wewnętrznego

• Systemy, o których mowa w art. 6  ust. 1, art. 7  ust. 1, art. 10  ust. 1, art. 17  ust. 1, art. 22  ust. 1 i art. 26  ust. 1, oraz systemy teleinformatyczne usługodawców i podmiotów prowadzących rejestry medyczne, umożliwiają Agencji Bezpieczeństwa Wewnętrznego zarządzanie danymi, o których mowa w art. 35  ust. 4 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, zapewniając właściwy poziom ich zabezpieczenia.

Art.  8d. Wymogi dotyczące wspólnych i bezpiecznych otwartych standardów komunikacji

• 1. Usługodawcy oraz dostawcy usług informatycznych dla usługodawców, zwani dalej „dostawcami usług informatycznych”, są obowiązani zapewniać, aby ich systemy teleinformatyczne identyfikowały się wzajemnie oraz porozumiewały się między sobą w sposób bezpieczny, zgodnie z wymogami dotyczącymi wspólnych i bezpiecznych otwartych standardów komunikacji.
• 2. Wymogi dotyczące wspólnych i bezpiecznych otwartych standardów komunikacji określa minister właściwy do spraw zdrowia w Biuletynie Informacji Publicznej urzędu obsługującego ministra właściwego do spraw zdrowia, mając na uwadze zapewnienie adekwatnego poziomu bezpieczeństwa komunikacji i poufności oraz integralności przekazywanych danych.
• 3. Podmioty, o których mowa w ust. 1, mają obowiązek stosowania wymogów, o których mowa w ust. 2, w terminie 9 miesięcy od dnia ich zamieszczenia w Biuletynie Informacji Publicznej urzędu obsługującego ministra właściwego do spraw zdrowia.
• 4. Wymogi dotyczące wspólnych i bezpiecznych otwartych standardów komunikacji przed ich zamieszczeniem w Biuletynie Informacji Publicznej urzędu obsługującego ministra właściwego do spraw zdrowia podlegają konsultacjom z usługodawcami oraz dostawcami usług informatycznych.
• 5. Konsultacje, o których mowa w ust. 4, prowadzi jednostka podległa ministrowi właściwemu do spraw zdrowia właściwa w zakresie systemów informacyjnych ochrony zdrowia, przez zamieszczenie na swojej stronie internetowej projektu wymogów dotyczących wspólnych i bezpiecznych otwartych standardów komunikacji, ze wskazaniem sposobu i terminu zgłaszania uwag.
• 6. Termin, o którym mowa w ust. 3, może ulec wydłużeniu przez ministra właściwego do spraw zdrowia w drodze obwieszczenia publikowanego w dzienniku urzędowym ministra właściwego do spraw zdrowia.
• 7. Zmiany wymogów dotyczących wspólnych i bezpiecznych otwartych standardów komunikacji wprowadza się na zasadach określonych w ust. 2–6, przy czym usługodawcy oraz dostawcy usług informatycznych mają obowiązek stosować zmienione wymogi w terminie wyznaczonym przez ministra właściwego do spraw zdrowia, nie krótszym niż 1 miesiąc od dnia ich zamieszczenia w Biuletynie Informacji Publicznej urzędu obsługującego ministra właściwego do spraw zdrowia.

Art.  9. Uchylony

Art.  9a. Obowiązek ochrony powierzonych do przetwarzania danych

• 1. (uchylony)
• 2. Jeżeli administrator danych przetwarzanych w SIM, Platformie Usług Inteligentnych, dziedzinowych systemach teleinformatycznych lub rejestrach medycznych lub podmiot przez niego upoważniony zawarł umowę o powierzeniu przetwarzania danych osobowych, o której mowa w art. 0_28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), podmiot, któremu powierzono przetwarzanie tych danych, jest obowiązany do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę przetwarzanych danych, w szczególności zabezpieczenia danych przed nieuprawnionym dostępem do tych danych lub ich nielegalnym ujawnieniem, pozyskaniem, modyfikacją, uszkodzeniem, zniszczeniem lub utratą.
• 3. Administrator danych, o którym mowa w ust. 2, lub podmiot przez niego upoważniony może kontrolować podmioty, którym powierzono przetwarzanie danych osobowych w zakresie realizacji wymagań, o których mowa w ust. 2, oraz sposobu realizacji celów powierzenia danych przetwarzanych w systemach, o których mowa w ust. 2.
• 4. (uchylony)
• 5. W przypadku zaprzestania przetwarzania danych przetwarzanych w systemach, o których mowa w ust. 2, przez podmioty, którym powierzono przetwarzanie tych danych, w szczególności w związku z ich likwidacją, są one obowiązane do przekazania tych danych administratorowi danych, o którym mowa w ust. 2, lub podmiotowi przez niego upoważnionemu.
• 6. Podmioty, którym powierzono przetwarzanie danych, o których mowa w ust. 2, są obowiązane do zachowania w tajemnicy informacji związanych z usługobiorcami uzyskanych w związku z powierzeniem przetwarzania danych osobowych przetwarzanych w systemach, o których mowa w ust. 2. Podmioty te są związane tajemnicą także po śmierci usługobiorcy.

Art.  9b. Udostępnianie narzędzia informatycznego do określania odpłatności refundacyjnej

• Jednostka podległa ministrowi właściwemu do spraw zdrowia właściwa w zakresie systemów informacyjnych ochrony zdrowia udostępnia nieodpłatnie narzędzie informatyczne przeznaczone do określania odpłatności, o których mowa w art. 6  ust. 2 ustawy z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych, na recepcie w postaci elektronicznej. Minister właściwy do spraw zdrowia zamieszcza w Biuletynie Informacji Publicznej tego ministra dane pozwalające na utworzenie w systemie teleinformatycznym usługodawcy tego narzędzia oraz jego aktualizacje.