EHDS e MyHealth@UE: identificazione interoperabile di pazienti e medici

Il regolamento di esecuzione (UE) 2026/2099 della Commissione, pubblicato nella Serie L della Gazzetta ufficiale del 22 settembre 2026, completa l’architettura dello Spazio europeo dei dati sanitari (EHDS) disciplinato dal regolamento (UE) 2025/327, introducendo un meccanismo interoperabile e transfrontaliero di identificazione e autenticazione per lo scambio di dati sanitari elettronici personali.

L’intervento normativo prende le mosse dalla crescente mobilità dei pazienti nell’Unione e dalla conseguente frammentazione delle cartelle cliniche elettroniche tra sistemi sanitari nazionali che utilizzano identificatori diversi per persone fisiche, professionisti e prestatori. Per garantire continuità dell’assistenza e sicurezza nello scambio di dati attraverso la piattaforma MyHealth@EU, il regolamento impone la definizione di requisiti comuni per identificare in modo certo i soggetti coinvolti e collegare le identità alle relative cartelle cliniche.

Elemento cardine è l’introduzione delle “serie nazionali di attributi sanitari” delle persone fisiche: ciascuno Stato membro deve individuare un set di dati identificativi da utilizzare per verificare l’identità dei pazienti in relazione alle loro cartelle elettroniche ai fini degli scambi transfrontalieri, notificarlo alla Commissione e mantenerlo aggiornato.

Su richiesta dell’interessato, tali attributi devono essere rilasciati dall’autorità competente sotto forma di attestato elettronico di attributi, conservato nel portafoglio europeo di identità digitale, in linea con il regolamento (UE) n. 910/2014 (eIDAS) come modificato. Ciò consente al paziente di condividere direttamente, tramite il proprio portafoglio, le informazioni necessarie al reperimento dei dati sanitari alla fonte in un altro Stato membro.

Il regolamento disciplina poi l’identificazione e l’autenticazione dei pazienti che richiedono online lo scambio di dati, imponendo l’uso di mezzi di identificazione elettronica con livello di garanzia almeno “significativo”, destinato a diventare “elevato” dal 26 marzo 2030 per le persone fisiche e dal 26 marzo 2032 per i professionisti sanitari. Per i mezzi non notificati ai sensi di eIDAS, il livello elevato deve essere attestato da un organismo di valutazione della conformità o equivalente.

Gli Stati membri devono inoltre individuare i soggetti responsabili di identificazione, autenticazione e autorizzazione dei professionisti e dei prestatori, e assicurare lo scambio standardizzato dei relativi dati di identificazione tra punti di contatto nazionali per la sanità digitale, secondo le specifiche tecniche contenute nell’allegato (es. family_name, given_name, hp_identifier, healthcare_provider_identifier, indirizzo del prestatore).

Il regolamento entrerà in vigore venti giorni dopo la pubblicazione e si applicherà dal 26 marzo 2027, con applicazione differita al 26 marzo 2029 per alcune disposizioni sugli attestati elettronici di attributi sanitari.