El Espacio Europeo de Datos Sanitarios (EHDS) ya es ley —Reglamento (UE) 2025/327—, el primer marco jurídico de toda la UE que regula tanto el uso primario como el secundario de los datos sanitarios electrónicos. Adoptado el 11 de febrero de 2025 y en vigor desde el 26 de marzo de 2025, establece una arquitectura unificada para el acceso, el intercambio y la reutilización de los datos sanitarios en todos los Estados miembros. Para proveedores, financiadores, equipos de ciencias de la vida y empresas de salud digital, la oportunidad es importante; también lo es la responsabilidad de poner en práctica los derechos, la interoperabilidad y la seguridad mucho antes de los plazos de aplicación.
El EHDS no es una casilla más de cumplimiento. Es un cambio estructural en cómo se gobiernan, intercambian y reutilizan los datos sanitarios en la UE. Para proveedores, financiadores, empresas de salud digital e investigadores, supone pasar de sistemas aislados a flujos de datos interoperables, centrados en el paciente y vinculados a una finalidad. El reglamento nos da una dirección clara; aplicarlo exige una planificación deliberada e incremental de la arquitectura, los procesos y el producto. Y, sobre todo, el EHDS no funciona de forma aislada: se cruza con el RGPD, el Reglamento de IA, la NIS2 y los próximos actos de ejecución que la Comisión debe cerrar antes de marzo de 2027.
Hoja de ruta de aplicación: conoce tus plazos
Antes de entrar en la lista de comprobación, es esencial interiorizar el calendario por fases. El reglamento entró en vigor en marzo de 2025, pero su plena aplicación se escalona a lo largo de una década:
Marzo de 2025 — Entrada en vigor del reglamento; comienza el periodo transitorio. Los Estados miembros deben empezar a designar autoridades nacionales de salud digital que supervisen la aplicación nacional.
Marzo de 2027 — Plazo para que la Comisión adopte los principales actos de ejecución y delegados que definirán los detalles técnicos y de procedimiento de todo el reglamento. Entran en vigor los requisitos de certificación de los sistemas de historia clínica electrónica.
Marzo de 2029 — Primer gran hito de aplicación. El intercambio para uso primario de resúmenes de paciente y recetas y dispensaciones electrónicas debe estar operativo en todos los Estados miembros a través de MyHealth@EU. La mayoría de las disposiciones de uso secundario —incluido el acceso a historias clínicas electrónicas para investigación— empiezan a aplicarse.
Marzo de 2031 — Entra en funcionamiento el segundo grupo de categorías de datos de uso primario: imágenes médicas, resultados de laboratorio e informes de alta hospitalaria. Las obligaciones de uso secundario sobre datos de ensayos clínicos y datos genéticos humanos también se aplican desde esta fecha.
Marzo de 2035 — Terceros países y organizaciones internacionales pueden convertirse en participantes autorizados de HealthData@EU si cumplen las normas exigidas.
El incumplimiento tiene consecuencias económicas importantes: multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial total —lo que sea mayor—, además de multas coercitivas por cada día de retraso en el acceso a los datos.
Tu lista práctica de cumplimiento
La siguiente lista resume qué priorizar ahora, qué alinear en paralelo y cómo construir bases que duren en todas las fases de aplicación.
1. Primero el alcance: clasifica el uso primario frente al secundario
Inventaría tus flujos de datos y etiquétalos como uso primario (prestación asistencial: atención directa, recetas, derivaciones) o uso secundario (investigación, políticas basadas en la evidencia, decisiones regulatorias, innovación). Las obligaciones difieren mucho según la categoría, y el texto del EHDS estructura de forma explícita los requisitos legales —derechos, deberes y mecanismos de gobierno— en torno a esta división[1]. Una clasificación errónea es uno de los errores de cumplimiento más comunes y costosos; abórdala en la arquitectura de datos, no después.
2. Entiende el doble panorama de supervisión
El EHDS introduce una estructura de supervisión por capas. Las autoridades de protección de datos conservan plena competencia para supervisar el cumplimiento del RGPD, mientras que los nuevos organismos de acceso a datos sanitarios (HDAB) supervisarán el régimen sectorial de acceso, los permisos de datos, las tasas y las condiciones de uso secundario[7]. Ambos conjuntos de obligaciones se aplican a la vez. Mapea tus actividades de tratamiento frente a ambos regímenes y asegúrate de que tu DPD y tus equipos de cumplimiento conozcan la interacción entre las normas del RGPD y del EHDS: son complementarias, no redundantes.
3. Habla pronto con tu HDAB nacional
Los Estados miembros están creando los HDAB como intermediarios nacionales entre titulares y usuarios de datos sanitarios. Estos organismos evaluarán las solicitudes de acceso para uso secundario, concederán permisos de datos y mantendrán catálogos nacionales de conjuntos de datos conformes con el estándar de metadatos HealthDCAT-AP[6]. Los titulares de datos sanitarios deben comunicar a su HDAB nacional los conjuntos de datos que poseen y mantener esas descripciones exactas y actualizadas al menos una vez al año[5]. Empieza ese diálogo ya: entiende qué espera el HDAB de tu jurisdicción y crea los procesos internos para cumplir las obligaciones de catálogo y de información antes de que sean obligatorias.
4. Haz de la interoperabilidad una base, no un proyecto
Alinea tus modelos de datos, API y sistemas de historia clínica con el formato europeo de intercambio de historias clínicas electrónicas (EEHRxF), cuyas especificaciones técnicas cerrará la Comisión antes de marzo de 2027. Espera perfiles basados en recursos HL7 FHIR, terminologías codificadas estandarizadas (SNOMED CT, LOINC, CIE) y conjuntos de datos legibles por máquina que los sistemas de historia clínica deberán tanto ingerir como emitir[1][3][4]. Los fabricantes de historias clínicas también tendrán que obtener una certificación que demuestre la conformidad con el EEHRxF: tenlo en cuenta en tus hojas de ruta de producto y ciclos de compra. La interoperabilidad ya no es opcional; es un requisito legal.
5. Convierte los derechos del paciente en funciones del producto
Las personas deben poder acceder, descargar, transmitir y —cuando proceda— restringir el acceso a sus datos personales de salud a través de un servicio nacional de acceso a datos sanitarios electrónicos (portal o app). Esto incluye el acceso por representación para personas a cargo y un mecanismo claro para rectificar datos inexactos[1][8]. El EHDS también introduce un mecanismo de exclusión voluntaria del uso secundario: las personas pueden decidir si sus datos sanitarios pueden usarse con fines de investigación y de políticas públicas, y esa exclusión debe poder aplicarse técnicamente en tus pipelines de datos. Constrúyelos como funciones de primer nivel del producto —no como añadidos de cumplimiento—, respaldadas por registros de auditoría legibles que los propios pacientes puedan consultar.
6. Prepárate para la infraestructura transfronteriza
Dos infraestructuras digitales a escala de la UE son centrales para el funcionamiento del EHDS. MyHealth@EU gestiona el intercambio transfronterizo para uso primario (resúmenes de paciente, recetas electrónicas, informes de imagen). La futura plataforma federada HealthData@EU permitirá el descubrimiento y el acceso transfronterizos a datos de uso secundario, conectando los catálogos nacionales de los HDAB y los entornos de tratamiento seguros[7][9]. Diseña ya tus sistemas para cumplir con ambas: asegúrate de poder producir conjuntos de datos conformes con los perfiles de MyHealth@EU y de que tus metadatos estén estructurados para su catalogación en HealthDCAT-AP antes del plazo de 2029.
7. Diseña para permisos de datos, no para volcados de datos
Con el EHDS, el acceso a los datos sanitarios para uso secundario no es automático. Los solicitantes —investigadores, autoridades públicas, empresas de ciencias de la vida— deben presentar una solicitud formal al HDAB correspondiente, que la evalúa según criterios como la finalidad prevista, la adecuación de las garantías, el cumplimiento del RGPD y el valor de interés público del uso propuesto[5]. Solo tras concederse un permiso pueden consultarse los datos, y el tratamiento debe realizarse dentro de entornos de tratamiento seguros acreditados (SPE), no en la infraestructura del propio solicitante. Construye tus pipelines para producir conjuntos de datos mínimos necesarios, desidentificados y con metadatos de procedencia completos, y diseña tu arquitectura de datos para admitir desde el principio accesos limitados al permiso y en el tiempo.
8. Seguridad y gobierno desde el diseño
Ancla tus controles en ISO/IEC 27001 y alinéate con la NIS2 cuando proceda, sobre todo en plazos de notificación de incidentes, gestión de riesgos de la cadena de suministro y clasificación de servicios esenciales. A nivel técnico, implanta controles de acceso de confianza cero, políticas RBAC/ABAC granulares vinculadas tanto a los roles de usuario como a las finalidades del tratamiento, cifrado de extremo a extremo con una gestión sólida de claves y trazas de auditoría inmutables y consultables[10]. Los controles de seguridad y confidencialidad figuran de forma explícita en el EHDS como condiciones previas para el acceso autorizado por los HDAB; no son mejoras opcionales. Intégralos en tu arquitectura base, no en una capa de cumplimiento aparte.
9. Alinea pronto el gobierno de la IA y la analítica
El EHDS se cruza directamente con el Reglamento de IA de la UE, que clasifica muchos sistemas de IA sanitaria como de alto riesgo e impone requisitos de transparencia, supervisión humana y solidez técnica. Mantén registros de modelos, documentación del linaje de los datos, informes de evaluación y registros de riesgos para cualquier sistema de IA entrenado con datos sanitarios o que los procese. Para las cargas de trabajo de uso secundario, garantiza espacios analíticos reproducibles —notebooks firmados, conjuntos de datos fijados y versionados— vinculados de forma explícita a un permiso de datos, una finalidad declarada y una fecha de caducidad[1]. Trata el gobierno de la IA como parte de tu programa de cumplimiento del EHDS, no como una vía paralela.
10. Cataloga tus conjuntos de datos y mantenlos activamente
Una de las obligaciones más exigentes a nivel operativo para los titulares de datos sanitarios es mantener descripciones exactas y estructuradas de sus conjuntos de datos en los catálogos nacionales de los HDAB. Deben ajustarse al perfil de metadatos HealthDCAT-AP y actualizarse al menos una vez al año. Empieza por inventariar todos los conjuntos de datos que podrían entrar en el ámbito del EHDS —datos de historia clínica, repositorios de imagen, conjuntos genómicos, registros de ensayos clínicos, datos de apps de bienestar cuando sean relevantes para la salud— y asigna responsables de cada conjunto que respondan del mantenimiento del catálogo. Es probable que la mala calidad de los catálogos sea uno de los primeros puntos de fricción en la aprobación de permisos; abórdala de forma proactiva.
11. Documenta una vez, reutiliza a menudo
Centraliza tus políticas y procedimientos normalizados —flujos de derechos de los interesados, protocolos de desidentificación, planes de respuesta a incidentes, documentación de conformidad EEHRxF/FHIR, EIPD y plantillas de información a los HDAB— en un repositorio vivo y versionado al que tus auditores, tu equipo legal y tus equipos de ingeniería puedan acceder y en el que puedan confiar. El EHDS generará importantes obligaciones de documentación en los próximos años; construye ahora la infraestructura para gestionarlas, no cuando lleguen los plazos.
El EHDS premia a los equipos que convierten el cumplimiento en oficio de producto: interfaces limpias, pipelines predecibles, registros verificables e IA auditable. Las organizaciones que inviertan en ello ahora tendrán menos costes posteriores y avanzarán más rápido cuando lleguen los hitos de aplicación.
El EHDS se desplegará a lo largo de una década, pero el reloj de la aplicación ya corre. Las organizaciones que se alineen pronto —en interoperabilidad, derechos del paciente, catalogación de conjuntos de datos y seguridad desde el diseño— estarán mejor situadas para participar en la asistencia transfronteriza, acceder a los ecosistemas europeos de datos de investigación y ganarse la confianza de pacientes y reguladores. Piensa en ello no como una carga regulatoria, sino como una modernización largamente esperada de la infraestructura de datos sanitarios: la interoperabilidad como base, la capacidad de decisión del paciente como función y el acceso gobernado como ventaja competitiva. Empieza por tu inventario de datos, identifica tus obligaciones del EHDS según tu papel y gana impulso hito a hito.
Referencias
- EUR-Lex. Regulation (EU) 2025/327 on the European Health Data Space (adopted 11 Feb 2025; OJ 5 Mar 2025; in force 26 Mar 2025). https://eur-lex.europa.eu/eli/reg/2025/327/oj/eng
- European Commission. European Health Data Space (EHDS) – Regulation overview and implementation milestones. https://health.ec.europa.eu/.../european-health-data-space-regulation-ehds_en
- European Commission / eHealth Network. European Electronic Health Record Exchange Format (EEHRxF). https://health.ec.europa.eu/.../ehealth-network_en
- European Commission. Certification of EHR systems & EEHRxF. https://health.ec.europa.eu/.../certification-ehr-systems_en
- Arnold & Porter. European Health Data Space Regulation Published in the EU Official Journal (March 2025). https://www.arnoldporter.com/.../european-health-data-space-regulation-published
- TEHDAS2 Project. Draft Guideline for Health Data Access Bodies on Minimum Categories and Limitations on the Reuse of Health Data (September 2025). https://tehdas.eu/.../draft-guideline-hdab-minimum-categories.pdf
- European-Health-Data-Space.com. EHDS Updates: HDABs, HealthData@EU, and supervisory architecture. https://www.european-health-data-space.com/
- European Commission. My rights over my health data (primary use). https://health.ec.europa.eu/.../my-rights-over-my-health-data_en
- European Commission. Electronic cross-border health services (MyHealth@EU). https://health.ec.europa.eu/.../electronic-cross-border-health-services_en
- European Commission. NIS2 Directive – policy page. https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
- Svingel LS et al. Shaping the future EHDS: recommendations for implementation of Health Data Access Bodies in the HealthData@EU infrastructure. European Journal of Public Health, Vol. 35, Supplement 3 (September 2025). https://doi.org/10.1093/eurpub/ckaf033
- Kennedys Law. The European Health Data Space is in force: implications for healthcare, MedTech and life sciences (2026). https://www.kennedyslaw.com/.../ehds-implications
