El nacimiento del EEDS

El 5 de marzo de 2025 se marcó un hito crucial en la legislación de la Unión Europea con la publicación del Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud (EEDS). Este Reglamento, que entra en vigor de manera escalonada, representa el lanzamiento oficial del primer espacio europeo de datos en un sector estratégico y de interés público, prometiendo revolucionar el sector de la asistencia sanitaria y la salud digital en toda la Unión.

El objetivo fundamental del EEDS es doble: por un lado, busca mejorar el acceso de las personas físicas a sus datos de salud electrónicos personales y su control sobre ellos en el contexto de la asistencia sanitaria (el llamado «uso primario»). Por otro lado, busca alcanzar otros fines que beneficien a la sociedad a través del uso de datos de salud electrónicos (el «uso secundario»), como la investigación, la innovación, la formulación de políticas y la medicina personalizada. La creación del EEDS es una pieza clave para edificar una Unión Europea de la Salud fuerte y resiliente.

La necesidad de esta legislación se hizo patente durante la pandemia de COVID-19, que subrayó la urgencia de contar con acceso oportuno a datos de salud electrónicos de calidad para la preparación y respuesta ante amenazas sanitarias.

 

¿Qué son los datos de salud electrónicos?

El Reglamento se aplica a los datos de salud electrónicos, que incluyen tanto datos personales como no personales.

La categoría de «datos de salud electrónicos personales» es sumamente amplia. Abarca no solo los datos relativos a la salud física o mental y los datos genéticos (heredados o adquiridos) relacionados con la prestación de servicios de asistencia sanitaria, sino que también «captura prácticamente cualquier tipología de datos relacionados con la salud». Esto incluye datos sobre factores determinantes de la salud, como los conductuales, medioambientales, físicos, sociales o educacionales. Además, incluye datos inferidos o derivados, como diagnósticos y resultados de pruebas, observados y registrados de forma automatizada.

Los sujetos obligados, denominados «tenedores de datos de salud», son la práctica totalidad de los actores del sector sanitario, asistencial e investigador. Esto incluye prestadores de servicios sanitarios o asistenciales (públicos y privados), investigadores, fabricantes de sistemas de Historias Clínicas Electrónicas (HCE) y aplicaciones de bienestar, registros de mortalidad e instituciones de la Unión. Como regla general, se exime a las personas físicas (incluidos los investigadores individuales) y a las microempresas, aunque los Estados miembros pueden ampliarles estas obligaciones.

 

Pilar I: el uso primario y los derechos del paciente

El uso primario se define como el tratamiento de datos de salud electrónicos para la prestación de asistencia sanitaria (evaluación, conservación o restablecimiento de la salud) y servicios sociales, administrativos o de reembolso relacionados.

El Capítulo II del Reglamento refuerza y complementa los derechos del Reglamento General de Protección de Datos (RGPD). Las personas físicas gozan de un conjunto exhaustivo de derechos en relación con sus datos de salud electrónicos personales para uso primario:

  1. Derecho de acceso y copia: las personas tienen derecho a acceder de forma gratuita e inmediata a sus datos de salud electrónicos personales de las categorías prioritarias (al menos) a través de los servicios de acceso a datos de salud electrónicos. También tienen derecho a descargar una copia electrónica en el formato europeo de intercambio de historias clínicas electrónicas.
  2. Derecho a la portabilidad: pueden permitir el acceso a la totalidad o parte de sus datos a un prestador de asistencia sanitaria de su elección o solicitar que se los transmita a otro prestador, de forma inmediata y gratuita. Si viajan, la transmisión transfronteriza se facilitará a través de la infraestructura MiSalud@UE (MyHealth@EU).
  3. Derecho de rectificación: pueden solicitar fácilmente en línea la rectificación de datos incorrectos.
  4. Derecho a limitar el acceso: tienen derecho a limitar el acceso de los profesionales sanitarios a la totalidad o parte de sus datos, aunque deben ser informados de los riesgos para la asistencia sanitaria que esto pueda suponer. En caso de emergencia, sin embargo, el acceso a los datos limitados es posible cuando sea necesario para proteger intereses vitales.
  5. Derecho de información sobre el acceso: tienen derecho a obtener información sobre cualquier acceso a sus datos a través del servicio de profesionales sanitarios, incluyendo quién, cuándo y a qué datos accedió.
  6. Derecho de autoexclusión (opt-out): los Estados miembros pueden establecer un derecho de autoexclusión para el uso primario respecto al acceso a sus datos registrados, siendo este derecho reversible.

Para el intercambio transfronterizo, el EEDS establece la infraestructura MiSalud@UE, una plataforma central de interoperabilidad para la salud digital que conecta los puntos de contacto nacionales.

 

Pilar II: armonización de los sistemas de Historias Clínicas Electrónicas (HCE)

Para garantizar que los datos se puedan intercambiar de forma fluida y segura, el Reglamento introduce un marco jurídico y técnico uniforme para el desarrollo, la comercialización y el uso de los Sistemas HCE y aplicaciones de bienestar.

Los Sistemas HCE que traten categorías de datos prioritarias deben incluir dos componentes armonizados de software obligatorios:

  1. El Componente de Programa Informático Europeo de Interoperabilidad para Sistemas HCE: permite proporcionar y recibir datos de salud electrónicos personales en el Formato Europeo de Intercambio de Historias Clínicas Electrónicas (FEIHCE).
  2. El Componente de Programa Informático Europeo de Registro para Sistemas HCE: proporciona información de registro (logs) sobre el acceso de profesionales o terceros a los datos.

Los fabricantes deben realizar una autoevaluación obligatoria de la conformidad para demostrar el cumplimiento de los requisitos esenciales de interoperabilidad y seguridad, lo que culmina con una Declaración UE de Conformidad y la colocación del marcado CE de conformidad en los documentos que acompañan al sistema. Además, deben incluir una ficha informativa concisa para los usuarios profesionales.

El EEDS también prevé un régimen de etiquetado obligatorio para las aplicaciones de bienestar (wellbeing) para las que se declare su interoperabilidad con los Sistemas HCE, garantizando la transparencia sobre el cumplimiento de los requisitos de interoperabilidad y seguridad.

 

Pilar III: uso secundario para el beneficio social

El uso secundario se refiere al tratamiento de datos de salud electrónicos para fines distintos de la prestación de asistencia sanitaria, como la investigación, la innovación y la formulación de políticas.

Usos permitidos: los datos solo podrán tratarse para fines específicos que contribuyan al interés general de la sociedad:

  • Interés público en la salud pública o laboral (ej. protección contra amenazas transfronterizas graves).
  • Actividades de formulación de políticas y de regulación (reservado a organismos del sector público e instituciones de la UE).
  • Estadísticas oficiales nacionales y de la UE.
  • Actividades de educación o enseñanza superior.
  • Investigación científica relacionada con el sector sanitario o asistencial, incluyendo el entrenamiento, la prueba y la evaluación de algoritmos de Inteligencia Artificial (IA).
  • Mejora de la prestación de asistencia, optimización de tratamientos y medicina personalizada.

Usos estrictamente prohibidos: se prohíbe el acceso y tratamiento de datos para:

  • Tomar decisiones perjudiciales para una persona física o un grupo (ej. ofertas de empleo o condiciones menos favorables en seguros o créditos).
  • Actividades de publicidad o mercadotecnia.
  • Desarrollar productos o servicios que puedan perjudicar a las personas, la salud pública o la sociedad.
  • Reidentificar o intentar reidentificar a las personas físicas de los conjuntos de datos obtenidos.

 

Gobernanza y acceso seguro: cada Estado miembro designará uno o varios Organismos de Acceso a Datos de Salud (OADS). Estos organismos son responsables de decidir sobre las solicitudes de acceso a datos y expedir los «permisos de datos», decisiones administrativas que autorizan el uso secundario bajo condiciones específicas y garantías.

El acceso a los datos de salud electrónicos personales para uso secundario solo se proporcionará en formato seudonimizado o anonimizado. Todo acceso debe realizarse a través de un entorno de tratamiento seguro proporcionado por el OADS, lo que impide la extracción de datos personales.

La infraestructura transfronteriza para el uso secundario es DatosSalud@UE (HealthData@EU), que conecta los puntos de contacto nacionales y permite la gestión de solicitudes complejas que involucren a tenedores de datos en múltiples Estados miembros.

 

Derecho de autoexclusión del uso secundario (opt-out): las personas físicas tienen derecho a la autoexclusión en cualquier momento y sin necesidad de exponer los motivos, respecto al tratamiento de sus datos personales para uso secundario. Este derecho es reversible. Sin embargo, existen excepciones limitadas para permitir el acceso a datos excluidos, siempre que la solicitud provenga de un organismo del sector público o de la UE con un mandato legal para una misión de salud pública o investigación científica por razones importantes de interés público, y si los datos no pueden obtenerse por otros medios.

 

Hacia un EEDS en fases

El Reglamento (UE) 2025/327 es un instrumento complejo y transformador que exige esfuerzos coordinados e inversiones significativas. Si bien la regulación entró en vigor a finales de marzo de 2025, su aplicación está prevista por etapas, comenzando el 26 de marzo de 2027.

Los plazos de aplicación varían según la funcionalidad y el tipo de datos:

  • 26 de marzo de 2029: uso primario para las categorías prioritarias iniciales (historias clínicas resumidas, recetas y dispensaciones electrónicas). El Capítulo IV sobre Uso Secundario también será aplicable a partir de esta fecha.
  • 26 de marzo de 2031: uso primario para el resto de categorías prioritarias (estudios e informes de imagenología, resultados de pruebas diagnósticas e informes de alta hospitalaria).
  • 26 de marzo de 2035: integración de terceros países u organizaciones internacionales en DatosSalud@UE.

 

El EEDS no solo fortalece las facultades de autodeterminación informativa de las personas físicas, sino que también impone un nuevo marco de gobernanza y obligaciones legales, desplegando el potencial de la reutilización de datos de salud electrónicos para el interés general bajo estrictas salvaguardas. Este esfuerzo normativo augura una nueva era de digitalización segura y centrada en el paciente dentro de la Unión Europea.