Propuesto por la Comisión en mayo de 2022, representa el último hito del paquete legislativo que prometía traer consigo la Estrategia Europea de Datos (Reglamento de Datos y Reglamento de Gobernanza de Datos). Además, supone el lanzamiento oficial del que será ya el primero de los nueve espacios europeos de datos en sectores estratégicos y ámbitos de interés público.

Por si la frenética actividad legislativa y regulatoria europea hubiera podido pillar a alguien con el pie cambiado (algo que, para nada acontece en los últimos tiempos) os contamos a continuación cuáles son las cinco claves del REEDS y cómo y porqué puede revolucionar el sector de la asistencia sanitaria y la salud digital en toda la Unión Europea. Para que el pie cambiado no se convierta en traspiés.

Objetivos y estructura

El Reglamento tiene por objeto establecer un conjunto de reglas, normas e infraestructuras que, bajo un marco de gobernanza común para todos los intervinientes, facilite y promueva el uso primario y el uso secundario de los datos de salud electrónicos. Se compone de un total de 105 artículos, acompañado por sus nada desdeñables 115 considerandos y estructurado en tres ejes u objetivos esenciales:

1. Usos primarios: Mejorar el acceso por parte de las personas físicas a sus datos de salud electrónicos y el control de dichos datos en el contexto de la asistencia sanitaria (Cap. II, arts. 3 a 24).
2. Historias Clínicas Electrónicas (HCE): Establecer un marco jurídico y técnico uniformes en lo que respecta al desarrollo, comercialización y uso de sistemas de HCE y aplicaciones de bienestar (Cap. III, arts. 25 a 49).
3. Usos secundarios: Impulsar la reutilización de los datos de salud electrónicos para otros fines y usos que beneficien a la sociedad, tales como la investigación, la formulación de políticas, la preparación y respuesta ante amenazas para la salud o la medicina personalizada (Cap. IV, arts. 50 a 81). 

Como cabe apreciar, se trata de un instrumento sumamente complejo, ya no solo por la diversidad en el objeto perseguido, sino por las interacciones con otra multiplicidad de normas con las que deberá, sin duda, convivir. Por ejemplo, con el Reglamento General de Protección de Datos (ya se examinaba en otra parte algunas potenciales fricciones), el Reglamento de Gobernanza de Datos, el Reglamento de Inteligencia Artificial o el Reglamento sobre productos sanitarios para diagnósticos in vitro. Y del Reglamento de Inteligencia Artificial, tenemos otras cositas publicadas por Citizen: ¿Un arenero para jugar con la Inteligencia Artificial en España? y Opportunities and perils of the leaked AI text.

Vayan preparando, pues, los termos de café

Ámbito de aplicación

Desde el punto de vista material, el REEDS se aplica a los datos electrónicos de salud, lo que conlleva dos consecuencias. En primer lugar, quedan comprendidos tanto los datos personales como los no personales. En segundo lugar, se construye una nueva categoría amplísima («dato de salud electrónico») que no solo abarca los datos relativos a la salud y los datos genéticos según el RGPD que se traten en formato electrónico, sino que captura prácticamente cualquier tipología de datos relacionados con la salud incluyendo incluso los datos sobre factores determinantes de la salud (conductuales, medioambientales, factores sociales o educacionales, etc.).

En lo que respecta a los sujetos obligados, las previsiones del Reglamento afectan, de un modo u otro, a la práctica totalidad de los actores del sector sanitario, asistencial e investigador que, bajo la rúbrica de «tenedores de datos de salud», deberán facilitar y poner a disposición de los «usuarios de datos» sus datos de salud electrónicos. Obligación que se extiende, por lo general, a cualquier persona física o jurídica, pública, privada o entidades sin ánimo de lucro que presten servicios, desarrollen productos o servicios o realicen investigaciones en el sector sanitario o asistencial. Por ejemplo, prestadores de asistencia sanitaria públicos y privados; investigadores, centros, grupos y universidades; fabricantes, proveedores y comercializadores de sistemas de HCE y aplicaciones y dispositivos de bienestar; compañías farmacéuticas y de salud digital; registros, repositorios y biobancos. Quedan excluidos, en cambio, ciertas personas físicas (ej. investigadores individuales), las microempresas y los órganos jurisdiccionales.

Finalmente, desde el punto de vista temporal, el Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea y será plenamente aplicable a los dos años. Es decir, el Reglamento será aplicable a partir del 26 de marzo de 2027. No obstante, debido a la complejidad (y la diversidad) de sus disposiciones y obligaciones, se prevé un período de adaptación escalonado.

Usos primarios

Los usos primarios de los datos de salud electrónicos son aquellos relacionados con la prestación de la asistencia sanitaria (evaluación, conservación o restablecimiento del estado de salud de la persona) incluyendo la receta, dispensación y provisión de medicamentos y productos sanitarios; así como los servicios sociales, administrativos y de reembolso.

El Capítulo II se abre con una enumeración exhaustiva de los derechos de las personas físicas en relación con los usos primarios, a saber:

• Derecho de acceso a las categorías mínimas de datos de salud electrónicos personales y a la obtención de una copia gratuita.
• Derecho a introducir información en su propia Historia Clínica Electrónica.
• Derecho a la portabilidad de los datos de salud electrónicos personales.
• Derecho a limitar el acceso de profesionales sanitarios y prestadores de asistencia sanitaria a la totalidad o parte de los datos de salud electrónicos personales.
• Derecho a la rectificación de los datos de salud electrónicos.
• Derecho a obtener información (quiénes, cuándo y a qué) sobre los accesos que se hayan producido a sus datos de salud electrónicos personales.
• Derecho de opt-out en relación con los usos primarios (autoexclusión de las infraestructuras y servicios de acceso electrónicos del Reglamento).

A los efectos de garantizar el acceso a los datos para usos primarios y el ejercicio efectivo de tales derechos en el conjunto de la Unión, el REEDS establece un conjunto de infraestructuras, actores y reglas comunes. Así, dispone, entre otras, la creación de un formato europeo de intercambio de historias clínicas electrónicas, la implementación de mecanismos de identificación y autenticación interoperables, el nombramiento de una o varias autoridades de salud digital en cada Estado miembro y la institución de una infraestructura y unos servicios transfronterizos (MiSalud@UE).

Historias Clínicas Electrónicas y aplicaciones de bienestar

El Capítulo III del Reglamento introduce todo un conjunto de requisitos y reglas uniformes en lo que respecta al desarrollo, la comercialización y el uso de Sistemas de HCE y aplicaciones de bienestar, incluyendo:

• Normas sobre la introducción en el mercado y puesta en servicio.
• Obligaciones de los fabricantes de Sistemas de HCE.
• Obligaciones de los importadores de Sistemas de HCE.
• Obligaciones de los distribuidores de Sistemas de HCE.
• Requisitos y especificaciones comunes para una declaración y marcado europeos de conformidad.
• Etiquetado de interoperabilidad de las aplicaciones de bienestar (wellbeing). 
• Disposiciones sobre la vigilancia del mercado y el establecimiento de un registro europeo para los sistemas de HCE y las aplicaciones de bienestar. 

Usos secundarios

Los usos secundarios de los datos de salud electrónicos son aquellos expresamente permitidos por el propio Reglamento y que son distintos de los fines iniciales para los que se recogieron o produjeron (es decir, del conjunto de fines relacionados con la prestación de la asistencia sanitaria incardinados en el uso primario). El Reglamento enumera un listado de usos secundarios permitidos (art. 53) y de usos secundarios prohibidos (art. 54).

Las personas y entidades comprendidas dentro del concepto de Tenedores de Datos de Salud quedan legalmente obligadas por el REEDS (se crea una obligación legal en el sentido del art. 6.1, letra c del RGPD) a poner a disposición ciertas categorías de datos de salud electrónicos (listadas por el art. 51) para su acceso y uso secundario por parte de los usuarios de datos que lo soliciten. Con ello, a fin de regular y gobernar esta obligación de puesta a disposición, los procedimientos de autorización y la infraestructura para el tratamiento y la concesión del acceso, el Reglamento dispone:

• La designación de uno o varios «organismos de acceso a datos de salud» por cada Estado miembro que serán responsables, entre otras funciones, de conceder el acceso a los datos de salud electrónicos para usos secundarios mediante la expedición de «permisos de datos».
• Un procedimiento administrativo (estándar / simplificado) para el acceso a datos incluyendo, entre otras, plazos de tramitación, un contenido mínimo para las solicitudes de acceso, modelos estandarizados, etc.
• Un régimen jurídico uniforme para los «permisos de datos», decisiones administrativas por las que un organismo de acceso autoriza el uso secundario y especifica las condiciones en las que se llevará a cabo, así como las garantías y salvaguardas aplicables.
• La creación de un «catálogo de conjuntos de datos» normalizado y accesible al público que contenga una descripción de los conjuntos de datos disponibles y sus características.
• La institución de una infraestructura transfronteriza para los usos secundarios (HealthData@EU) con puntos de contacto nacionales y con la posible integración como participantes autorizados de instituciones europeas, EDICs (European Digital Infrastructure Consortiums) e incluso de organismos o entes de terceros países u organizaciones internacionales.

Finalmente, al igual que ocurre con los usos primarios, se introduce un derecho de opt-out que permite a las personas físicas excluir, en cualquier momento y sin necesidad de motivación alguna, el tratamiento de sus datos de salud electrónicos personales para usos secundarios (sometido a ciertas excepciones y limitaciones).

Conclusiones

En definitiva, el Reglamento (UE) 2025/327, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud  es un instrumento complejo, pero disruptivo para el sector de la salud, que anticipa transformaciones de calado en la práctica totalidad de las esferas y de los operadores jurídicos sanitarios, asistenciales, de investigación o de salud digital.

Primero, por reforzar los derechos de los pacientes y las facultades de autodeterminación informativa de las personas físicas; en lo que es un nuevo intento de situar el respeto a los valores fundacionales europeos en el núcleo del debate sobre los beneficios de la digitalización de la salud y la economía digital.

Segundo, por las obligaciones de puesta a disposición de datos para usos secundarios, el establecimiento de unos mecanismos de acceso uniformes y la creación de nuevos organismos y autoridades nacionales y transfronterizas. Ello con el afán de desplegar todo el potencial de la reutilización de los datos de salud electrónicos para el interés general bajo unas reglas de gobernanza justas que permitan salvaguardar un elevado nivel de protección de los derechos y libertades.

Por último, porque un eventual éxito del Reglamento demandará esfuerzos decisivos por parte de los Estados miembros y resto de los sujetos obligados, no solo en términos de cumplimiento normativo; también, en forma de inversiones en capacidades técnicas, operativas e infraestructura.

Mikel Recuero
Doctor en Derecho.
Abogado especializado en Protección de Datos y Derecho Digital.

La entrada Las 5 claves del nuevo Reglamento sobre el Espacio Europeo de Datos de Salud se publicó primero en Citizen8.