Art. 1.

W ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia (Dz. U. z 2017 r. poz. 1845 oraz z 2018 r. poz. 697) wprowadza się następujące zmiany:

1) w art. 2:

a) po pkt 2 dodaje się pkt 2a w brzmieniu:

2a) apteka - aptekę ogólnodostępną i punkt apteczny w rozumieniu ustawy z dnia 6 września 2001 r. - Prawo farmaceutyczne (Dz. U. z 2017 r. poz. 2211 oraz z 2018 r. poz. 650, 697, 1039 i 1375);

b) pkt 3a otrzymuje brzmienie:

3a) certyfikat do uwierzytelniania systemu - poświadczenie elektroniczne, wydawane na wniosek usługodawcy przez system, o którym mowa w art. 7 ust. 1, służące do:

a) uwierzytelniania systemu usługodawcy w Systemie Informacji Medycznej, zwanym dalej „SIM”, oraz w dziedzinowych systemach teleinformatycznych,

b) wzajemnego uwierzytelniania systemów teleinformatycznych usługodawców;

c) pkt 15 otrzymuje brzmienie:

15) usługodawca - świadczeniodawcę, o którym mowa w art. 5 pkt 41 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, oraz aptekę;

d) w pkt 18 kropkę zastępuje się średnikiem i dodaje się pkt 19 w brzmieniu:

19) Internetowe Konto Pacjenta - moduł systemu, o którym mowa w art. 7 ust. 1, w którym są przetwarzane dane dotyczące usługobiorcy zawarte w SIM oraz Systemie Rejestru Usług Medycznych Narodowego Funduszu Zdrowia.

2) w art. 3 w ust. 3 pkt 5 otrzymuje brzmienie:

5) wojewódzki inspektor farmaceutyczny, na podstawie ustawy z dnia 6 września 2001 r. - Prawo farmaceutyczne, w odniesieniu do aptek oraz aptek szpitalnych i zakładowych;

3) w art. 4:

a) w ust. 3 w pkt 1:

lit. i otrzymuje brzmienie:

i) w przypadku osób, które nie mają nadanego numeru PESEL - seria i numer paszportu albo innego dokumentu stwierdzającego tożsamość albo niepowtarzalny identyfikator nadany przez państwo członkowskie Unii Europejskiej dla celów transgranicznej identyfikacji, o którym mowa w rozporządzeniu wykonawczym Komisji (UE) 2015/1501 z dnia 8 września 2015 r. w sprawie ram interoperacyjności na podstawie art. 12 ust. 8 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz. Urz. UE L 235 z 09.09.2015, str. 1, z późn. zm.), zwanym dalej „rozporządzeniem wykonawczym Komisji (UE) 2015/1501”,

po lit. i dodaje się lit. ia w brzmieniu:

ia) w przypadku noworodków, które nie mają nadanego numeru PESEL i nie posiadają serii i numeru innego dokumentu stwierdzającego tożsamość - numer PESEL przedstawiciela ustawowego albo seria i numer jego paszportu albo innego dokumentu stwierdzającego jego tożsamość albo niepowtarzalny identyfikator nadany przez państwo członkowskie Unii Europejskiej dla celów transgranicznej identyfikacji, o którym mowa w rozporządzeniu wykonawczym Komisji (UE) 2015/1501,

b) ust. 4 otrzymuje brzmienie:

4. Dane, o których mowa w ust. 3 pkt 1 lit. f, są przetwarzane wyłącznie w celach statystycznych.

4) w art. 7:

a) w ust. 1:

po pkt 1 dodaje się pkt 1a-1c w brzmieniu:

1a) składanie przez usługobiorców lub ich przedstawicieli ustawowych oświadczeń, o których mowa w art. 7a ust. 1 pkt 3-5;

1b) przekazywanie przez Zakład Ubezpieczeń Społecznych informacji o wystawionych zaświadczeniach lekarskich, o których mowa w art. 55 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa;

1c) przekazywanie przez płatnika, o którym mowa w art. 2 pkt 9 lit. a, informacji o wysokości składki na ubezpieczenie zdrowotne płaconej przez usługobiorców;

pkt 2 otrzymuje brzmienie:

2) przekazywanie przez usługodawców i płatnika, o którym mowa w art. 2 pkt 9 lit. a, do SIM informacji o udzielonych, udzielanych i planowanych świadczeniach opieki zdrowotnej;

b) po ust. 3 dodaje się ust. 3a-3c w brzmieniu:

3a. Zgłoszenie gotowości podłączenia usługodawcy do systemu, o którym mowa w ust. 1, następuje przez złożenie jednostce, o której mowa w ust. 2, deklaracji gotowości w postaci elektronicznej.

3b. Deklarację, o której mowa w ust. 3a, może złożyć także w przypadku:

1) apteki - kierownik apteki;

2) pozostałych usługodawców - osoba uprawniona do złożenia wniosku o wpis do rejestru podmiotów wykonujących działalność leczniczą.

3c. Po akceptacji gotowości usługodawcy przez jednostkę, o której mowa w ust. 2, usługodawca jest obowiązany do podłączenia się do systemu, o którym mowa w ust. 1.

c) uchyla się ust. 5;

5) po art. 7 dodaje się art. 7a i art. 7b w brzmieniu:

1. Internetowe Konto Pacjenta, zwane dalej „IKP”, umożliwia usługobiorcy lub jego przedstawicielowi ustawowemu, w szczególności:

1) dostęp do informacji i raportów, o których mowa w art. 7 ust. 1 pkt 1, oraz informacji o kwocie środków publicznych wydatkowanych na sfinansowanie udzielonych mu świadczeń opieki zdrowotnej;

2) dostęp do informacji o posiadanym w danym dniu prawie do świadczeń opieki zdrowotnej oraz podstawie tego prawa, a w przypadku gdy prawo do świadczeń opieki zdrowotnej wynika z objęcia ubezpieczeniem zdrowotnym, także o dacie zgłoszenia do ubezpieczenia zdrowotnego oraz numerze identyfikacji podatkowej (NIP) i numerze REGON płatnika ubezpieczenia zdrowotnego - na podstawie informacji przetwarzanych w Centralnym Wykazie Ubezpieczonych, o którym mowa w art. 97 ust. 4 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych;

3) składanie oświadczeń o upoważnieniu osoby do dostępu do dokumentacji medycznej, o którym mowa w art. 26 ust. 1 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta (Dz. U. z 2017 r. poz. 1318 i 1524 oraz z 2018 r. poz. 1115), lub o wyrażeniu zgody na udostępnienie danych, o której mowa w art. 35 ust. 1, lub o ich wycofaniu;

4) składanie oświadczeń o wyrażeniu zgody na udzielanie informacji, o której mowa w art. 9 ust. 3 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, lub o jej wycofaniu;

5) składanie oświadczeń o wyrażeniu zgody na udzielenie określonych świadczeń zdrowotnych, o której mowa w art. 16-18 ustawy z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta, lub o jej odmowie;

6) dostęp do informacji o wystawionych zaświadczeniach lekarskich, o których mowa w art. 55 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa;

7) dostęp do informacji o wysokości składki na ubezpieczenie zdrowotne płaconej przez usługobiorcę;

8) dostęp do informacji o wysokości kwoty podlegającej refundacji dla poszczególnych produktów leczniczych, środków spożywczych specjalnego przeznaczenia żywieniowego lub wyrobów medycznych wydanych usługobiorcy.

2. Składanie oświadczeń, o których mowa w ust. 1 pkt 5, wymaga identyfikacji wykorzystującej co najmniej dwa czynniki uwierzytelnienia należące do co najmniej dwóch różnych kategorii, o których mowa w rozporządzeniu wykonawczym Komisji (UE) 2015/1502 z dnia 8 września 2015 r. w sprawie ustanowienia minimalnych specyfikacji technicznych i procedur dotyczących poziomów bezpieczeństwa w zakresie środków identyfikacji elektronicznej na podstawie art. 8 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym (Dz. Urz. UE L 235 z 09.09.2015, str. 7, z późn. zm.).

3. Płatnik, o którym mowa w art. 2 pkt 9 lit. a, zapewnia jednostce podległej ministrowi właściwemu do spraw zdrowia, właściwej w zakresie systemów informacyjnych ochrony zdrowia, dostęp do informacji, o których mowa w:

1) art. 7 ust. 1 pkt 1, w zakresie informacji o udzielonych świadczeniach opieki zdrowotnej oraz o kwocie środków publicznych wydatkowanych na sfinansowanie tych świadczeń;

2) ust. 1 pkt 2 i 7.

4. Zakład Ubezpieczeń Społecznych zapewnia jednostce, o której mowa w ust. 3, dostęp do informacji, o których mowa w ust. 1 pkt 6.

1. Dostęp do IKP następuje za pośrednictwem systemu, o którym mowa w art. 7 ust. 1, po uwierzytelnieniu usługobiorcy, jego przedstawiciela ustawowego lub osoby przez niego upoważnionej w sposób określony w art. 20a ust. 1 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub za pośrednictwem systemu teleinformatycznego udostępnionego przez Narodowy Fundusz Zdrowia, o którym mowa w przepisach wydanych na podstawie art. 192 ust. 2 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych.

2. W celu umożliwienia dostępu przedstawiciela ustawowego do IKP usługobiorcy będącego osobą małoletnią lub ubezwłasnowolnioną częściowo albo całkowicie Narodowy Fundusz Zdrowia jest obowiązany przekazywać jednostce podległej ministrowi właściwemu do spraw zdrowia, właściwej w zakresie systemów informacyjnych ochrony zdrowia, informacje o:

1) utworzeniu konta w systemie teleinformatycznym udostępnionym przez Narodowy Fundusz Zdrowia, o którym mowa w przepisach wydanych na podstawie art. 192 ust. 2 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, dla tych usługobiorców oraz ich przedstawicieli ustawowych,

2) członkach rodziny zgłoszonych do ubezpieczenia zdrowotnego, w tym kod stopnia pokrewieństwa albo powinowactwa pomiędzy osobą zgłaszającą a zgłaszaną

- wraz z identyfikatorami tych osób, o których mowa w art. 17c ust. 2.

6) w art. 8a wprowadzenie do wyliczenia otrzymuje brzmienie:

Minimalne wymagania dla systemów, o których mowa w art. 6 ust. 1, art. 7 ust. 1, art. 10 ust. 1, art. 17 ust. 1, art. 22 ust. 1 i art. 26 ust. 1, oraz systemów teleinformatycznych usługodawców i podmiotów prowadzących rejestry medyczne, związane z bezpieczeństwem przetwarzania i udostępniania danych w postaci elektronicznej uwzględniają, w przypadku danych dotyczących:

7) po art. 8a dodaje się art. 8b i art. 8c w brzmieniu:

1. Usługodawcy i podmioty prowadzące rejestry medyczne są obowiązane zapewniać zgodność swoich systemów teleinformatycznych z minimalnymi wymaganiami technicznymi i funkcjonalnymi zamieszczanymi w Biuletynie Informacji Publicznej ministra właściwego do spraw zdrowia, w terminie 9 miesięcy od dnia ich zamieszczenia.

2. Termin, o którym mowa w ust. 1, może ulec wydłużeniu przez ministra właściwego do spraw zdrowia, w drodze obwieszczenia.

3. Minimalne wymagania techniczne i funkcjonalne, z wyjątkiem wymagań określonych w art. 8a i art. 8c, przed ich zamieszczeniem w Biuletynie Informacji Publicznej ministra właściwego do spraw zdrowia podlegają konsultacjom z usługodawcami i podmiotami prowadzącymi rejestry medyczne.

4. Konsultacje, o których mowa w ust. 3, prowadzi jednostka podległa ministrowi właściwemu do spraw zdrowia, właściwa w zakresie systemów informacyjnych ochrony zdrowia, przez zamieszczenie na swojej stronie internetowej projektu minimalnych wymagań technicznych i funkcjonalnych, z wyjątkiem wymagań określonych w art. 8a i art. 8c, ze wskazaniem sposobu i terminu zgłaszania uwag.

Art. 8c. Systemy, o których mowa w art. 6 ust. 1, art. 7 ust. 1, art. 10 ust. 1, art. 17 ust. 1, art. 22 ust. 1 i art. 26 ust. 1, oraz systemy teleinformatyczne usługodawców i podmiotów prowadzących rejestry medyczne umożliwiają Agencji Bezpieczeństwa Wewnętrznego zarządzanie danymi, o których mowa w art. 35 ust. 4 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, zapewniając właściwy poziom ich zabezpieczenia.

8) uchyla się art. 9;

9) w art. 11:

a) w ust. 4:

w pkt 4 lit. c otrzymuje brzmienie:

c) typ, spośród typów zamieszczonych w Biuletynie Informacji Publicznej ministra właściwego do spraw zdrowia,

uchyla się pkt 11,

b) w ust. 5 w pkt 2 wyrazy „w ust. 4 pkt 1-6 i 9-12” zastępuje się wyrazami „w ust. 4 pkt 1-6, 9, 10 i 12”,

c) po ust. 5 dodaje się ust. 5a-5c w brzmieniu:

5a. W przypadku awarii systemu, o którym mowa w art. 7 ust. 1, usługodawca zamieszcza dane w SIM niezwłocznie po ustaniu awarii, nie później jednak niż w terminie 3 dni od dnia usunięcia awarii.

5b. Do terminu, o którym mowa w ust. 5a, nie wlicza się dni wolnych od pracy dla usługodawcy.

5c. W przypadku awarii systemu, o którym mowa w art. 7 ust. 1, trwającej dłużej niż 1 dzień termin, o którym mowa w ust. 5a, może ulec wydłużeniu przez ministra właściwego do spraw zdrowia, w drodze obwieszczenia.

10) w art. 12:

a) w ust. 1:

po pkt 3 dodaje się pkt 3a i 3b w brzmieniu:

3a) umożliwienia usługobiorcom lub ich przedstawicielom ustawowym uzyskiwania informacji o prawie do świadczeń opieki zdrowotnej, kwocie środków publicznych wydatkowanych na sfinansowanie tych świadczeń, wysokości płaconej przez nich składki na ubezpieczenie zdrowotne oraz wystawionych zaświadczeniach lekarskich, o których mowa w art. 55 ust. 1 ustawy z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa;

3b) umożliwienia usługobiorcom lub ich przedstawicielom ustawowym składania oświadczeń, o których mowa w art. 7a ust. 1 pkt 3-5;

uchyla się pkt 7,

b) ust. 3 otrzymuje brzmienie:

3. Usługobiorca, jego przedstawiciel ustawowy lub osoba przez niego upoważniona ma dostęp do danych, w tym danych osobowych i jednostkowych danych medycznych, w zakresie niezbędnym do realizacji uprawnień określonych w ust. 1 pkt 3-3b.

11) w art. 14:

a) w ust. 2:

uchyla się pkt 3,

pkt 4 otrzymuje brzmienie:

4) informacje, o których mowa w art. 10 ust. 3 ustawy z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej (Dz. U. poz. 2217 oraz z 2018 r. poz. 1000);

b) uchyla się ust. 2a;

12) w art. 16 ust. 5 otrzymuje brzmienie:

5. Usługodawca wykorzystuje certyfikat do uwierzytelniania danych w celu potwierdzenia pochodzenia i integralności danych w odniesieniu do procesów realizowanych w ramach SIM oraz dziedzinowych systemów teleinformatycznych.

13) w art. 17 po ust. 4 dodaje się ust. 4a w brzmieniu:

4a. Administrator danych udostępnia dane zawarte w Centralnym Wykazie Pracowników Medycznych Narodowemu Funduszowi Zdrowia w zakresie niezbędnym do realizacji zadań określonych w ustawie z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych oraz w ustawie z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych (Dz. U. z 2017 r. poz. 1844 oraz z 2018 r. poz. 650 i 697).

14) w art. 17b dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu:

2. Administrator, o którym mowa w ust. 1, jest obowiązany zapewniać dostęp do danych przetwarzanych w rejestrach medycznych, o których mowa w art. 15 ust. 1, art. 16 ust. 1, art. 17 ust. 1 i art. 17a ust. 1, płatnikowi, o którym mowa w art. 2 pkt 9 lit. a.

15) w art. 17c:

a) ust. 2 otrzymuje brzmienie:

2. Identyfikator usługobiorcy stanowi numer PESEL usługobiorcy, a w przypadku osób, którym nie nadano numeru PESEL - seria i numer paszportu albo innego dokumentu stwierdzającego tożsamość albo niepowtarzalny identyfikator nadany przez państwo członkowskie Unii Europejskiej dla celów transgranicznej identyfikacji, o którym mowa w rozporządzeniu wykonawczym Komisji (UE) 2015/1501.

b) w ust. 4 pkt 1 otrzymuje brzmienie:

1) dla podmiotów wykonujących działalność leczniczą - kod utworzony z części kodu z systemu resortowych kodów identyfikacyjnych, o których mowa w przepisach wydanych na podstawie art. 105 ust. 5 ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej;

c) ust. 5 otrzymuje brzmienie:

5. Identyfikator pracownika medycznego stanowi numer prawa wykonywania zawodu, a w przypadku osób, którym nie nadano numeru prawa wykonywania zawodu - numer PESEL.

d) dodaje się ust. 6 w brzmieniu:

6. Usługobiorcy, którym nie nadano numeru PESEL, oraz pracownicy medyczni, którym nie nadano numeru prawa wykonywania zawodu lub numeru PESEL, są obowiązani do złożenia wniosku o nadanie numeru PESEL zgodnie z art. 16 ust. 2 ustawy z dnia 24 września 2010 r. o ewidencji ludności.

16) uchyla się art. 18;

17) po art. 18 dodaje się art. 18a w brzmieniu:

Art. 18a. Minister właściwy do spraw zdrowia może określić, w drodze rozporządzenia, inny sposób niż określony w art. 17c identyfikacji usługobiorców, usługodawców, pracowników medycznych i miejsca udzielenia świadczenia opieki zdrowotnej, mając na uwadze konieczność zapewnienia integralności danych niezbędnych do identyfikacji z danymi zawartymi w rejestrach medycznych i rejestrach publicznych.

18) uchyla się art. 21;

19) w art. 22:

a) ust. 2 otrzymuje brzmienie:

2. Zakres danych przekazywanych przez usługodawców do Systemu RUM - NFZ określają przepisy wydane na podstawie art. 190 ust. 1 i 2 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych oraz art. 45a ustawy z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych.

b) ust. 6 otrzymuje brzmienie:

6. System RUM - NFZ udostępnia SIM dane dotyczące świadczeń opieki zdrowotnej finansowanych ze środków publicznych, o których mowa w przepisach wydanych na podstawie art. 190 ust. 1-3 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, oraz dane dotyczące realizacji recept na refundowane leki, środki spożywcze specjalnego przeznaczenia żywieniowego oraz wyroby medyczne, o których mowa w art. 45a ustawy z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych.

c) uchyla się ust. 7;

20) w art. 27 uchyla się ust. 2;

21) w art. 28:

a) ust. 2a otrzymuje brzmienie:

2a. Administratorem systemu jest Agencja Oceny Technologii Medycznych i Taryfikacji.

b) uchyla się ust. 2b i 3;

22) w art. 34:

a) ust. 1 otrzymuje brzmienie:

1. Administrator danych, o którym mowa w art. 10 ust. 8, przekazuje usługobiorcy raport z udostępnienia danych przetwarzanych w SIM, za pośrednictwem IKP.

b) uchyla się ust. 2 i 3;

23) w art. 35:

a) w ust. 1 zdanie pierwsze otrzymuje brzmienie:

Udostępnienie danych, w tym danych osobowych i jednostkowych danych medycznych z systemu teleinformatycznego usługodawcy lub z SIM, następuje za zgodą usługobiorcy lub jego przedstawiciela ustawowego.

b) uchyla się ust. 3a i 3b,

c) ust. 5 otrzymuje brzmienie:

5. Przepisy ust. 1, 1a i 4 nie naruszają przepisów o dostępie do danych zawartych w dokumentacji medycznej w sposób określony ustawą z dnia 6 listopada 2008 r. o prawach pacjenta i Rzeczniku Praw Pacjenta.

24) uchyla się art. 36;

25) w art. 56:

a) po ust. 4 dodaje się ust. 4a w brzmieniu:

4a. Apteki są obowiązane do zgłoszenia jednostce podległej ministrowi właściwemu do spraw zdrowia, właściwej w zakresie systemów informacyjnych ochrony zdrowia, gotowości podłączenia swoich systemów do systemu, o którym mowa w art. 7 ust. 1, oraz do podłączenia się do tego systemu, nie później niż do dnia 31 grudnia 2018 r.

b) ust. 5 otrzymuje brzmienie:

5. Usługodawcy, inni niż wskazani w ust. 4a, są obowiązani do zgłoszenia jednostce podległej ministrowi właściwemu do spraw zdrowia, właściwej w zakresie systemów informacyjnych ochrony zdrowia, gotowości podłączenia swoich systemów do systemu, o którym mowa w art. 7 ust. 1, oraz do podłączenia się do tego systemu, nie później niż do dnia 31 grudnia 2019 r.

26) po art. 56 dodaje się art. 56a w brzmieniu:

Art. 56a. Udostępnianie danych, o których mowa w art. 17 ust. 4a, nastąpi nie później niż od dnia 1 stycznia 2019 r.

Przypis w tekście jednolitym: Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 28 z 04.02.2016, str. 18.

Przypis w tekście jednolitym: Zmiana wymienionego rozporządzenia została ogłoszona w Dz. Urz. UE L 345 z 20.12.2016, str. 142.