EHDS: ¿Qué cambia en la gestión de los datos de salud?

El EHDS afecta a cualquier entidad que genere, gestione o controle datos electrónicos de salud (proveedores de datos sanitarios). Sobre ellas recaen obligaciones concretas en dos ámbitos:

• Uso primario: los datos de salud que gestiona deberán estar disponibles para otros proveedores sanitarios. A su vez, los pacientes tendrán derechos respecto al acceso a su propia información clínica, portabilidad y control sobre quién puede verla.
• Uso secundario: los datos de salud que gestiona deberán poder ponerse a disposición de investigadores, autoridades sanitarias y otros usuarios autorizados para investigación, innovación o política de salud pública.

¿Qué datos tendré que poder compartir?

Las categorías definidas para compartir se subdividen según:

• Uso primario: resúmenes clínicos, prescripciones y dispensaciones electrónicas, imágenes médicas e informes radiológicos, resultados de pruebas y laboratorio e informes de alta hospitalaria.
• Uso secundario: datos de historia clínica electrónica, registros médicos, datos administrativos sanitarios, datos de dispositivos médicos, de aplicaciones de bienestar y de biobancos, datos genéticos, genómicos y moleculares, datos de ensayos clínicos finalizados, datos de cohortes e investigación y datos sobre determinantes de salud

¿Cuándo entran en vigor estas obligaciones?

• Marzo 2029: 
  • Uso primario: resúmenes clínicos, prescripciones electrónicas y dispensaciones.
  • Uso secundario: datos de historia clínica electrónica, registros médicos, datos administrativos sanitarios, datos de dispositivos médicos, de aplicaciones de bienestar y de biobancos, entre otras categorías.
• Marzo 2031:
  • Uso primario: imágenes médicas e informes radiológicos, resultados de pruebas y laboratorio e informes de alta hospitalaria.
  • Uso secundario: datos genéticos, genómicos y moleculares, datos de ensayos clínicos ya finalizados, datos de cohortes e investigación y datos sobre determinantes de salud.

¿Esto incluye solo los datos nuevos o también los históricos? La obligación incluye los datos históricos ya en formato digital, no solo los generados a partir de 2029. 

¿Qué consecuencias tiene no cumplir con el EHDS?

El EHDS establece sanciones efectivas y disuasorias para las entidades que no cumplan sus obligaciones: Importantes multas económicas, la exclusión de las plataformas europeas de interoperabilidad sanitaria y el derecho de cualquier paciente a reclamar una indemnización si sus derechos bajo el EHDS no han sido respetados.

¿Qué requisitos técnicos de interoperabilidad implica el EHDS para la historia clínica electrónica?

Los proveedores sanitarios deben garantizar que sus sistemas de HCE sean interoperables dentro del espacio europeo de datos de salud. Concretamente:

• Adoptar el formato EEHRxF (European Electronic Health Record Exchange Format), el estándar común que hace que los datos clínicos sean legibles e intercambiables en cualquier punto del espacio europeo de datos de salud.
• Mantener los datos actualizados y accesibles en tiempo real, evitando registros desactualizados que puedan comprometer la continuidad asistencial.
• Garantizar la portabilidad de los datos: el paciente debe poder descargarlos y trasladarlos a cualquier otro proveedor de la UE.

¿Qué derechos tendrán los ciudadanos sobre sus datos de salud?

Los ciudadanos dispondrán de un mayor control, acceso y capacidad de decisión sobre su información sanitaria. 

Uso primario (asistencia sanitaria directa)

• Acceso inmediato: acceso a sus datos de salud digitales de forma inmediata, gratuita y en un formato electrónico común y legible en toda la Unión Europea. 
• Portabilidad: descarga de sus datos de salud en formato estándar y trasladarlos a otro proveedor sanitario de la UE.
• Añadir información propia: deben poder incorporar datos de salud en su historial clínico.
• Control de accesos y trazabilidad: deben poder consultar quién ha accedido a los datos, cuándo y desde qué centro sanitario.
• Restricción de acceso: limitación de qué profesionales sanitarios acceden a qué partes de su historial, sin que el profesional sea informado. En situaciones de emergencia, el proveedor puede levantar la restricción mediante un mecanismo de acceso de urgencia (breaking the glass).

Uso secundario (Investigación, innovación y políticas públicas)

Se refiere a la reutilización de datos anonimizados o pseudonimizados para fines de investigación científica, innovación médica o planificación de salud pública:

• Derecho de exclusión (Opt-out): tienen derecho a oponerse a que sus datos sean utilizados para fines de uso secundario. Una vez ejercido, ningún nuevo permiso de acceso podrá incluir sus datos, pero los datos ya incluidos en datasets aprobados con anterioridad no se ven afectados retroactivamente. El opt-out es reversible en cualquier momento.
• Garantía de anonimato y privacidad: los datos se procesan en entornos de procesamiento seguros (SPE, Secure Processing Environments), bajo el cumplimiento estricto del RGPD. Los investigadores y usuarios autorizados acceden a los datos sin posibilidad de extraerlos ni identificar directamente al paciente.

¿Cuáles son los actores que intervienen a la hora de intercambiar los datos con Europa?

El EHDS distingue dos circuitos de intercambio con infraestructuras y actores propios.

Uso primario 

MyHealth@EU es la infraestructura digital de la UE que permite el intercambio transfronterizo de datos de salud para la atención asistencial. Funciona como una red de nodos nacionales interconectados que garantiza que los datos clínicos de un paciente estén disponibles para el profesional que le atiende en otro Estado miembro.

Cuando un paciente recibe atención en otro Estado miembro, los actores que intervienen son:

• Pacientes: sus datos clínicos están disponibles en cualquier Estado miembro conectado a MyHealth@EU. El paciente no necesita autorizar cada acceso, aunque puede restringir qué datos son visibles o, si su Estado miembro lo habilita, retirarse completamente del intercambio.
• Prestadores de atención sanitaria (Health providers): hospitales, centros de primaria, especialistas, farmacias y clínicas que generan y consultan los datos clínicos del paciente. Son los interlocutores directos en el acto asistencial.
• Puntos de contacto nacionales para la eSalud (NCPeH): puerta de entrada organizativa y técnica de cada Estado miembro para el intercambio de datos de salud en uso primario. Se conecta a los NCPeH del resto de EEMM y a la plataforma central de MyHealth@EU, habilita el intercambio de las categorías prioritarias de datos y actúa como corresponsable del tratamiento de los datos personales que circulan por la infraestructura.

Uso secundario

El intercambio de datos para investigación, política sanitaria o innovación se canaliza a través de HealthData@EU, la infraestructura digital de la UE para el acceso a datos de salud con fines de uso secundario. Funciona como red federada: los datos permanecen bajo custodia nacional y se accede a ellos a través de entornos de procesamiento seguros (EPS), conectados a una Plataforma Central gestionada por la Comisión Europea.

• Poseedores de datos de salud (health data holders): entidades obligadas a poner sus datos a disposición, con obligación de catalogarlos y revisarlos anualmente.
• Usuarios de datos de salud (health data users): investigadores, instituciones académicas, empresas farmacéuticas y autoridades sanitarias que solicitan acceso con una finalidad legítima aprobada.
• Organismos de acceso a datos de salud (HDAB): autoridades nacionales que evalúan las solicitudes, conceden permisos y supervisan el uso de los datos dentro de los EPS. El EHDS permite designar más de un HDAB por Estado miembro, lo abre la puerta a un modelo con un HDAB coordinador a nivel del Ministerio de Sanidad y organismos propios en cada Comunidad Autónoma.

¿Qué entidades pueden verse afectadas por el EHDS? ¿También afecta a las entidades privadas?

El EHDS puede afectar a un amplio conjunto de organizaciones que participan en la generación, gestión, intercambio o reutilización de datos electrónicos de salud.

Entre ellas se encuentran, según el tipo de actividad y las obligaciones concretas aplicables:

• hospitales y grupos hospitalarios,
• clínicas y centros médicos,
• centros de atención primaria y consultas,
• laboratorios,
• centros de diagnóstico e imagen,
• farmacias y otros proveedores relacionados con la atención sanitaria,
• entidades públicas y privadas del sector sanitario,
• proveedores de sistemas de historia clínica electrónica y otras soluciones digitales de salud,
• otras organizaciones que gestionen determinadas categorías de datos electrónicos de salud.

El hecho de que una organización sea privada no significa que quede fuera del ámbito del EHDS. La aplicabilidad concreta dependerá de factores como la actividad que realiza, el tipo de datos que gestiona, su papel dentro del ecosistema sanitario y las obligaciones específicas previstas en el Reglamento y en su desarrollo nacional.

Para estas entidades, una de las primeras preguntas debería ser: ¿Qué papel desempeña nuestra organización dentro del ecosistema de datos de salud y qué obligaciones del EHDS pueden resultarnos aplicables? La respuesta no será necesariamente la misma para todos: una pequeña clínica especializada, un laboratorio, un hospital privado o un gran grupo sanitario pueden tener sistemas, datos y responsabilidades muy diferentes.

Por ello, un primer paso recomendable es realizar una evaluación que permita identificar qué información gestiona la organización, dónde se encuentra, qué sistemas la soportan y qué requisitos del EHDS pueden ser aplicables a su actividad. 

El EHDS debe entenderse, por tanto, como una transformación progresiva que afecta al conjunto del ecosistema sanitario y digital que participa en la gestión de datos electrónicos de salud.

¿Cómo se garantizará la seguridad y la privacidad de los datos?

El EHDS establece que el acceso y el intercambio de datos electrónicos de salud deberán realizarse bajo estrictas medidas de seguridad, protección de datos y control de acceso.

El Reglamento se apoya en el Reglamento General de Protección de Datos (RGPD) y añade requisitos específicos para el ámbito sanitario. Esto implica que el intercambio de información deberá garantizar:

• Identificación y autenticación de los usuarios que acceden a la información.
• Acceso basado, en el caso de uso primario, en una finalidad asistencial y en los permisos correspondientes, evitando accesos indiscriminados. 
• Trazabilidad de los accesos: el ciudadano debe conocer quién ha accedido a sus datos, en los casos previstos por el Reglamento.
• Medidas de ciberseguridad para proteger la confidencialidad, integridad y disponibilidad de la información.
• Intercambio seguro entre sistemas y países, utilizando infraestructuras y estándares comunes.
• Derechos reforzados para la ciudadanía, incluyendo mecanismos para acceder a su información y ejercer sus derechos.
• Medidas específicas para situaciones excepcionales, como los accesos necesarios para proteger intereses vitales, que deberán quedar debidamente registrados.

El objetivo del EHDS no es que los datos de salud estén disponibles de forma abierta, sino que estén accesibles cuando sean necesarios para una finalidad legítima, por las personas autorizadas y bajo mecanismos de seguridad y trazabilidad.

Para las organizaciones sanitarias, esto supone que la adaptación al EHDS no será únicamente un reto de interoperabilidad. También requerirá revisar las capacidades de gestión de identidades y accesos, auditoría, trazabilidad, ciberseguridad y gestión de los derechos de los pacientes.

¿Es suficiente tener una historia clínica digital para estar preparado para el EHDS?

No necesariamente. Es un punto de partida importante, pero no significa que la organización esté preparada para cumplir los requisitos del EHDS.

Una organización puede disponer de información clínica en formato digital y encontrarse con que los datos:

• están distribuidos entre distintos sistemas y repositorios,
• se almacenan en documentos PDF o texto libre,
• utilizan códigos o terminologías locales,
• no están estructurados de acuerdo con los estándares de interoperabilidad 
• plicables,
• no pueden localizarse o recuperarse fácilmente,
• presentan problemas de calidad, completitud o consistencia,
• no disponen de interfaces o mecanismos para su intercambio seguro,
• carecen de mecanismos adecuados de trazabilidad y control de accesos.

Por ello, la preparación para el EHDS requiere ir más allá de la digitalización. El objetivo es que la información pueda ser localizada, comprendida, estructurada, intercambiada y utilizada de forma segura e interoperable, de acuerdo con las especificaciones que resulten aplicables.

Una organización sanitaria debería saber primero qué información tiene, en qué formato y qué nivel de adaptación necesita para cumplir los requisitos del EHDS. Responder a esto suele requerir un análisis de los sistemas de información, los datos que gestionan, su calidad, su grado de estructuración y sus capacidades de interoperabilidad.

Por tanto, tener una historia clínica digital es un buen punto de partida, pero no es el final del camino hacia la preparación para el EHDS.