Uso secundario indebido · techo del Reglamento

Conducta

Incumplimiento por el usuario de datos de salud de los fines del permiso, extracción de datos personales del entorno de tratamiento seguro, reidentificación o intento de reidentificación, o incumplimiento de las medidas de garantía del cumplimiento del organismo de acceso

Importe

20 000 000 EUR como máximo o, en el caso de una empresa, una cuantía equivalente al 4 % como máximo de su volumen de negocios anual total a escala mundial del ejercicio financiero anterior si esta última cifra fuera superior

Art. 64.5

Obligaciones de tenedor y usuario · techo del Reglamento

Conducta

Incumplimiento de las obligaciones del tenedor de datos de salud del artículo 60 y de las del usuario de datos de salud del artículo 61, apartados 1, 5 y 6

Importe

10 000 000 EUR como máximo o, en el caso de una empresa, una cuantía equivalente al 2 % como máximo de su volumen de negocios anual total a escala mundial del ejercicio financiero anterior si esta última cifra fuera superior

Art. 64.4

Obstrucción · multa por día de retraso

Conducta

Obstrucción del tenedor de datos de salud: no poner los datos a disposición con la intención manifiesta de obstruir su uso, o incumplir el plazo de tres meses del artículo 60.2

Importe

Multas coercitivas por cada día de retraso, transparentes y proporcionadas, de importe fijado con arreglo al Derecho nacional

Art. 63.4

El reloj tiene dos disparadores encadenados y el segundo no espera al primero: se notifica inmediatamente al establecer el vínculo causal, o la posibilidad razonable de que exista, y en todo caso a más tardar tres días desde que se tiene conocimiento del incidente. Un procedimiento que arranque solo con la causalidad confirmada llega tarde. La notificación no sustituye a la de la Directiva (UE) 2022/2555 cuando también proceda: el propio artículo lo dice. Y si lo que se constata toca a la protección de datos personales, es la autoridad de vigilancia del mercado la que informa a la autoridad de control del Reglamento (UE) 2016/679, lo que no releva al responsable del tratamiento de su propia notificación.

Incidente grave que afecta a un sistema HCE introducido en el mercado o puesto en servicio

Plazo

3 días

Desde cuándo corre

Inmediatamente después de establecer el vínculo causal entre el sistema HCE y el incidente grave, o la posibilidad razonable de que exista; y en todo caso a más tardar tres días desde que el fabricante tiene conocimiento del incidente

Art. 44.7

Autoridades de vigilancia del mercado de los Estados miembros donde se produjo el incidente y donde se introdujo o puso en servicio el sistema

Cuándo

Régimen general del sistema HCE. La notificación incluye la medida correctiva adoptada o prevista por el fabricante

En España

España no ha designado todavía la autoridad de vigilancia del mercado de los sistemas HCE ni la autoridad de salud digital. El Reglamento da de plazo hasta el 26 de marzo de 2027 para comunicar a la Comisión la identidad de la autoridad de salud digital, y admite que sea la misma que la de vigilancia del mercado si se evita el conflicto de intereses. Hasta entonces no se puede afirmar cuál es la ventanilla española. El Ministerio de Sanidad figura aquí como departamento competente en la materia y punto donde seguir la designación, no como destinatario confirmado de la notificación.

Art. 44.7

Autoridades de vigilancia del mercado de los Reglamentos de productos sanitarios y del Reglamento de IA

Cuándo

Productos sanitarios, productos de diagnóstico in vitro y sistemas de IA de alto riesgo que hayan declarado la interoperabilidad

En España

Para productos sanitarios y de diagnóstico in vitro la autoridad competente es la AEMPS. Para los sistemas de IA de alto riesgo, la vigilancia corresponde a la autoridad designada bajo el Reglamento (UE) 2024/1689, papel que en España está previsto para la AESIA sin que la designación formal esté cerrada.

AEMPS ↗ AESIA ↗

Art. 43.7

Fabricante de sistema HCE

Quien introduce en el mercado o pone en servicio un sistema de historia clínica electrónica con su nombre o marca

Representante, importador y distribuidor

Quien representa en la Unión al fabricante de fuera, quien lo importa y quien lo comercializa

Producto sanitario y diagnóstico in vitro

El fabricante que declara la interoperabilidad de su producto con los componentes armonizados de los sistemas HCE

Sistema de IA de alto riesgo

El proveedor de un sistema de IA de alto riesgo fuera del ámbito de los Reglamentos de productos sanitarios que declare esa interoperabilidad

Aplicación de bienestar

El fabricante de una aplicación de bienestar que declare la interoperabilidad, que debe expedir además la etiqueta del artículo 47

Prestador y profesional sanitario

Quien registra los datos de las categorías prioritarias en un sistema HCE y quien accede a ellos para tratar a una persona

Tenedor y usuario de datos de salud

Quien tiene el dato y debe ponerlo a disposición, y quien lo explota al amparo de un permiso de datos

Organismo de acceso a datos de salud

El organismo público designado que expide los permisos y opera el entorno de tratamiento seguro

Exclusiones

Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, y por el que se modifican la Directiva 2011/24/UE y el Reglamento (UE) 2024/2847

Identificador

CELEX 32025R0327

Fuente

EUR-Lex · Diario Oficial de la Unión Europea · Oficina de Publicaciones de la Unión Europea

Ciberseguridad

De los nueve capítulos del Reglamento, la seguridad tiene uno propio y bien delimitado. El anexo II reserva su sección 3 a requisitos de seguridad y de registro que el fabricante del sistema de historia clínica electrónica debe cumplir para poner el producto en el mercado: autenticación fiable de los profesionales sanitarios, un componente de registro que grabe quién accede, a qué categorías de datos, cuándo y desde qué origen, y herramientas para revisar y analizar esos registros. Alrededor hay marcado CE, documentación técnica, declaración de conformidad y un aviso de incidente grave con plazo de tres días. En el uso secundario, el artículo 73 impone al entorno de tratamiento seguro una lista tasada de medidas con auditoría periódica. Lo que impide subir de nivel es la proporción: el resto de la norma son derechos del paciente, formato de intercambio, gobernanza e infraestructura transfronteriza, y ni siquiera la sección de seguridad del anexo II llega a un programa de gestión de la seguridad: es una lista corta de capacidades exigidas al producto.

Valoración del curador · nivel 3 de 5

Los dos componentes armonizados obligatorios Ciber parcial

Todo sistema de historia clínica electrónica tiene que incluir dos piezas separadas y obligatorias: el componente europeo de interoperabilidad, que entrega y recibe los datos en el formato europeo de intercambio, y el componente europeo de registro, que deja constancia de los accesos. El Reglamento exige expresamente que cada uno sea independiente del otro.

Literal de la norma Los sistemas HCE incluirán un componente de programa informático europeo de interoperabilidad para sistemas HCE y un componente de programa informático europeo de registro para sistemas HCE (en lo sucesivo, «componentes armonizados de programa informático de sistemas HCE»), de conformidad con las disposiciones establecidas en el presente capítulo.

Art. 25.1

Autenticación de los profesionales sanitarios Ciber

El requisito esencial más directo de toda la norma, y el que convierte al fabricante en responsable de una función de seguridad: si el sistema está diseñado para que lo usen profesionales sanitarios, tiene que traer mecanismos fiables de identificación y autenticación. El texto no fija factores ni niveles de garantía; eso lo concretarán las especificaciones comunes del artículo 36, que la Comisión debe adoptar antes del 26 de marzo de 2027 y que pueden incluir requisitos sobre la gestión de la identificación y el uso de la identidad electrónica.

Literal de la norma Todo sistema HCE diseñado para ser utilizado por profesionales sanitarios incluirá mecanismos fiables para la identificación y autenticación de los profesionales sanitarios.

Anexo II, punto 3.1

Registro de cada acceso y herramientas para analizarlo Ciber

El componente europeo de registro debe grabar, sobre cada evento o grupo de eventos de acceso, cinco datos tasados: quién es el prestador o la organización que accedió, qué persona física concreta lo hizo, a qué categorías de datos, cuándo y de qué origen vienen los datos. El origen es el elemento que más distingue a esta traza de un log de aplicación corriente. Y el punto 3.3 cierra el círculo con lo que casi nunca se exige por norma: el sistema tiene que incluir herramientas para revisar y analizar esos registros, o al menos permitir que se conecte software externo que lo haga. Un registro que no se puede consultar no cumple.

Literal de la norma El componente de programa informático europeo de registro de un sistema HCE diseñado para posibilitar el acceso de los prestadores de asistencia sanitaria u otras personas a datos de salud electrónicos personales incluirá mecanismos de registro suficientes que graben, como mínimo, la siguiente información sobre cada evento o grupo de eventos de acceso: a) la identificación del prestador de asistencia sanitaria o de otras personas que hayan accedido a los datos de salud electrónicos personales; b) la identificación de la persona o personas físicas concretas que hayan accedido a los datos de salud electrónicos personales; c) las categorías de datos a los que se haya accedido; d) la hora y fecha de acceso; e) el origen u orígenes de los datos.

Anexo II, puntos 3.2 y 3.3

Períodos de conservación y derechos de acceso diferenciados Ciber

El sistema que almacene datos de salud electrónicos personales tiene que permitir aplicar períodos de conservación distintos y derechos de acceso distintos según el origen y la categoría del dato. Es una exigencia de granularidad: un modelo de permisos de todo o nada sobre la historia completa no la satisface.

Literal de la norma Los componentes armonizados de programa informático de un sistema HCE que almacene datos de salud electrónicos personales permitirán diferentes períodos de conservación y derechos de acceso que tengan en cuenta el origen y las categorías de tales datos.

Anexo II, punto 3.4

Requisitos generales del producto Ciber parcial

El sistema debe alcanzar el funcionamiento previsto por su fabricante, no poner en peligro la seguridad de los pacientes en condiciones normales de uso, poder suministrarse e instalarse sin que sus características se degraden, y diseñarse para que sus propiedades de interoperabilidad y seguridad respeten los derechos de las personas físicas.

Anexo II, sección 1

Requisitos de interoperabilidad

El sistema que almacene o intermedie datos debe ofrecer una interfaz que permita acceder a ellos en el formato europeo de intercambio a través del componente europeo de interoperabilidad, y poder recibirlos en ese mismo formato. Además hay dos prohibiciones que se leen como cláusulas antibloqueo: el sistema no puede incluir características que impidan o limiten el acceso autorizado y el intercambio de datos, ni que impidan la exportación autorizada de los datos para sustituir el sistema por otro producto.

Anexo II, sección 2

Documentación técnica Ciber parcial

Se elabora antes de introducir el sistema en el mercado y se mantiene actualizada. El anexo III fija el contenido mínimo: descripción del sistema y su finalidad, categorías de datos para las que está diseñado, arquitectura, especificaciones técnicas con el detalle de las estructuras de datos, cambios a lo largo del ciclo de vida, resultados de las pruebas y copia de la ficha informativa y de la declaración de conformidad. Si la autoridad la pide, hay treinta días para entregarla, menos si un riesgo grave e inmediato lo justifica; no entregarla puede acabar en una prueba encargada a un organismo independiente a costa del fabricante.

Art. 37 y anexo III

Declaración UE de conformidad Ciber parcial

No hay organismo notificado: la conformidad se autoevalúa. El fabricante elabora la declaración UE de conformidad con el contenido del anexo IV, que se emite bajo su responsabilidad exclusiva y se complementa con los resultados obtenidos en el entorno digital de pruebas. Si el sistema cae además bajo otros actos de la Unión que exijan declaración, se elabora una sola. En formato digital debe seguir accesible en línea durante la vida útil prevista y al menos diez años.

Art. 39 y anexo IV

Marcado CE Ciber parcial

El marcado se coloca de manera visible, legible e indeleble en los documentos que acompañan al sistema y, cuando proceda, en su embalaje, siempre antes de introducirlo en el mercado. Le son de aplicación los principios generales del Reglamento (CE) n.º 765/2008. La obligación de colocarlo es exigible desde la aplicación general, en 2027; lo que llega después, en 2029 y 2031, es la prohibición del artículo 26 de introducir en el mercado sistemas que no cumplan el capítulo III.

Art. 41

Evaluación en el entorno digital de pruebas Ciber parcial

Antes de introducir el sistema en el mercado, el fabricante tiene que usar el entorno digital de pruebas europeo, o el que opere su Estado miembro conforme a las especificaciones comunes, para evaluar los componentes armonizados. Los resultados van a la documentación técnica y los elementos evaluados con resultado positivo se presumen conformes con el Reglamento.

Art. 40

Procedimientos que sostienen la conformidad Ciber parcial

El fabricante mantiene procedimientos para que el diseño, el desarrollo y la implantación de los componentes armonizados sigan cumpliendo los requisitos esenciales y las especificaciones comunes, y conserva la documentación técnica y la declaración de conformidad durante diez años desde la introducción en el mercado.

Art. 30.2 y 30.3

Ficha informativa e instrucciones de uso

El sistema va acompañado, gratis para el usuario, de una ficha con la identidad y contacto del fabricante, el nombre y versión del sistema, su finalidad prevista, las categorías de datos para las que está diseñado y las normas, formatos y especificaciones con los que funciona, con sus versiones. En vez de entregarla, el fabricante puede volcar esa información en la base de datos de la UE. El artículo 28 prohíbe además que la ficha, las instrucciones o la publicidad induzcan a error sobre la interoperabilidad o la seguridad del sistema.

Art. 38

Registro en la base de datos de la UE

Antes de introducir en el mercado o poner en servicio el sistema HCE, o de comercializar la aplicación de bienestar con etiqueta, el fabricante o su representante autorizado introduce los datos exigidos en la base de datos pública de la UE, incluidos, para los sistemas HCE, los resultados de la evaluación en el entorno de pruebas. Los productos sanitarios, los de diagnóstico in vitro y los sistemas de IA de alto riesgo del artículo 27 se registran en sus propias bases de datos y los datos se transmiten además a esta.

Art. 49

Deberes del representante, el importador y el distribuidor Ciber parcial

El fabricante de fuera de la Unión designa por mandato escrito un representante autorizado establecido aquí. El importador solo introduce sistemas conformes y responde de que no se alteren mientras están bajo su responsabilidad; el distribuidor verifica el marcado y la documentación antes de comercializar. Quien comercialice el sistema con su propia marca, lo modifique de forma que pueda verse afectada su conformidad o cambie su finalidad prevista pasa a ser fabricante a todos los efectos. Todos ellos deben poder identificar durante diez años a quien les suministró el sistema y a quien se lo suministraron.

Arts. 31 a 35

Aviso de incidente grave Ciber

El fabricante notifica todo incidente grave que afecte a un sistema HCE a las autoridades de vigilancia del mercado de los Estados miembros donde se produjo y donde el sistema se introdujo o se puso en servicio, incluyendo en la notificación la medida correctiva adoptada o prevista. El plazo tiene dos disparadores: inmediatamente al establecer el vínculo causal o la posibilidad razonable de que exista, y en todo caso tres días desde que se tiene conocimiento del incidente. La notificación se hace sin perjuicio de la que corresponda por la Directiva (UE) 2022/2555. Los Estados miembros pueden habilitar además a los usuarios del sistema para notificar.

Literal de la norma La notificación que se exige con arreglo al párrafo primero del presente apartado se efectuará, sin perjuicio de los requisitos de notificación de incidentes en virtud de la Directiva (UE) 2022/2555, inmediatamente después de que el fabricante haya establecido un vínculo causal entre el sistema HCE y el incidente grave, o la posibilidad razonable de que exista dicho vínculo, y, en cualquier caso, a más tardar tres días después de que el fabricante tenga conocimiento del incidente grave que afecta al sistema HCE.

Art. 44.7

Medidas correctivas y cooperación con la vigilancia del mercado Ciber parcial

En cuanto el fabricante estima o tiene motivos para creer que su sistema no es conforme con los requisitos esenciales, adopta sin demora indebida las medidas correctivas necesarias o lo recupera o retira, e informa a las autoridades nacionales de los Estados donde lo comercializó con el calendario de aplicación y la fecha de puesta en conformidad. Informa también a distribuidores, importadores y usuarios de la no conformidad y del mantenimiento preventivo obligatorio, mantiene canales de reclamación y lleva registro de las reclamaciones y de los sistemas no conformes. Si no coopera con la autoridad de vigilancia del mercado o entrega información incompleta o incorrecta, esta puede prohibir o restringir la comercialización hasta que lo haga.

Arts. 30.1.i) a o), 44.1 y 45

Conformidad del producto sanitario que declara interoperabilidad Ciber parcial

El fabricante de un producto sanitario o de un producto sanitario para diagnóstico in vitro que declare la interoperabilidad de su producto con los componentes armonizados de los sistemas HCE tiene que demostrar la conformidad con los requisitos esenciales aplicables a esos dos componentes. Le es aplicable además el artículo 36, así que las especificaciones comunes que adopte la Comisión (que deben tener en cuenta las especificidades de estos productos) le dan también a él la presunción de conformidad. Nadie contrae este deber por accidente: se contrae al declarar la interoperabilidad.

Literal de la norma Los fabricantes de productos sanitarios o de productos sanitarios para diagnóstico in vitro, tal como se definen en el artículo 2, punto 1, del Reglamento (UE) 2017/745 y el artículo 2, punto 2, del Reglamento (UE) 2017/746, respectivamente, que declaren la interoperabilidad de dichos productos sanitarios o productos sanitarios para diagnóstico en vitro con los componentes armonizados de programa informático de los sistemas HCE deberán demostrar la conformidad con los requisitos esenciales aplicables al componente de programa informático europeo de interoperabilidad para sistemas HCE y al componente de programa informático europeo de registro para sistemas HCE establecidos en el anexo II, sección 2, del presente Reglamento. […]

Art. 27.1

Conformidad del sistema de IA de alto riesgo que declara interoperabilidad Ciber parcial

El proveedor de un sistema de IA clasificado de alto riesgo por el artículo 6 del Reglamento (UE) 2024/1689 que no entre en el ámbito de los Reglamentos de productos sanitarios y que declare la interoperabilidad con los componentes armonizados de los sistemas HCE debe demostrar la conformidad con los requisitos esenciales aplicables a esos componentes, y le es aplicable el artículo 36. La vigilancia del mercado de estos sistemas no la ejerce la autoridad del Reglamento del dato sanitario, sino la designada bajo el Reglamento de IA.

Art. 27.2

Etiqueta de la aplicación de bienestar Ciber parcial

Si el fabricante de una aplicación de bienestar declara la interoperabilidad con un sistema HCE, la aplicación debe llevar una etiqueta, expedida por él mismo, que indique con claridad su conformidad con las especificaciones comunes y los requisitos esenciales. La etiqueta dice para qué categorías de datos se ha confirmado el cumplimiento, con qué especificaciones comunes se demuestra y hasta cuándo vale, y su validez no puede pasar de tres años. Cuando la aplicación es solo software, la etiqueta es digital y va en la propia aplicación.

Art. 47

Límites de la interoperabilidad de la aplicación de bienestar

Declarar la interoperabilidad no habilita a volcar datos. El intercambio o la transmisión solo son posibles con el consentimiento previo de la persona y por la vía del artículo 5, y la interoperabilidad se limita a esos fines. El fabricante tiene que garantizar que la persona pueda elegir qué categorías de datos pasan al sistema HCE y en qué circunstancias, e informar a los usuarios de qué implica esa interoperabilidad.

Art. 48

Registro de los datos en el sistema HCE

Cuando el prestador de asistencia sanitaria trate datos en formato electrónico, debe registrar en un sistema HCE los datos de las categorías prioritarias y mantenerlos actualizados con la información de la asistencia prestada. Al registrar o actualizar, la historia debe indicar qué profesional y qué prestador lo hicieron y cuándo; el Derecho nacional puede exigir que se registre algo más.

Art. 13

Acceso de los profesionales con identidad electrónica reconocida Ciber parcial

Los profesionales sanitarios acceden a los datos pertinentes y necesarios de la persona a la que tratan, con independencia del Estado miembro de afiliación, a través de los servicios de acceso para profesionales y con medios de identificación electrónica reconocidos. Los Estados miembros establecen qué categorías de datos puede ver cada categoría de profesional o cada tarea asistencial. Si la persona ha limitado el acceso, no se informa al profesional del contenido limitado, salvo que sea necesario para proteger sus intereses vitales, y ese acceso excepcional queda registrado de forma clara y accesible para ella.

Arts. 11 y 12

Información a la persona sobre quién accedió a sus datos Ciber parcial

La persona tiene derecho a saber, incluso mediante notificaciones automáticas, quién ha accedido a sus datos de salud a través del servicio de acceso de los profesionales. La información se da gratis y sin demora, y debe estar disponible durante al menos tres años desde el acceso, con el prestador o la persona que accedió, la fecha y hora y los datos a los que se accedió. Los Estados miembros pueden limitar este derecho en circunstancias excepcionales.

Art. 9

Entorno de tratamiento seguro Ciber

Los datos para uso secundario solo se entregan dentro de un entorno de tratamiento seguro que opera el organismo de acceso, con seis medidas tasadas: acceso limitado a las personas autorizadas que enumera el permiso de datos; minimización del riesgo de lectura, copia, modificación o supresión no autorizadas con las medidas técnicas y organizativas más avanzadas; limitación de quién puede introducir, inspeccionar, modificar o suprimir datos; identidades de usuario individuales y únicas con modos de acceso confidenciales; registros identificables de acceso y actividad conservados al menos un año; y seguimiento continuo de esas medidas. Encima, auditorías periódicas del entorno, también por terceros, con medidas correctivas sobre lo que detecten. Del entorno solo puede descargarse dato no personal, y el organismo revisa cada petición de descarga para asegurarlo.

Literal de la norma Los organismos de acceso a datos de salud proporcionarán acceso a los datos de salud electrónicos en virtud de un permiso de datos únicamente a través de un entorno de tratamiento seguro sometido a medidas técnicas y organizativas y requisitos de seguridad e interoperabilidad. […]

Art. 73

Deberes del usuario de datos de salud Ciber parcial

El usuario solo puede tratar los datos al amparo del permiso, la petición aprobada o la aprobación de acceso. Dentro del entorno seguro no puede dar acceso a terceros no incluidos en el permiso, y en ningún caso puede reidentificar ni intentar reidentificar a las personas. Debe publicar los resultados en el plazo de dieciocho meses desde que termina el tratamiento, solo con datos anonimizados, citando la fuente y el hecho de haberlos obtenido en el marco del espacio europeo. Y tiene un deber que se olvida: informar al organismo de acceso de cualquier hallazgo significativo relacionado con la salud de la persona cuyos datos están en el conjunto.

Art. 61

Usos secundarios prohibidos

Aunque haya permiso, hay finalidades vedadas: tomar decisiones perjudiciales con efectos jurídicos, económicos o sociales sobre una persona o un grupo; decidir sobre ofertas de empleo, condiciones de bienes y servicios, seguros o crédito de forma discriminatoria; publicidad y mercadotecnia; desarrollar productos que puedan perjudicar a las personas o a la salud pública, con ejemplos tasados que llegan al tabaco, el alcohol y el armamento; y actividades que choquen con el Derecho nacional en materia de ética.

Art. 54

Puesta a disposición de los datos por el tenedor

El tenedor pone los datos a disposición del organismo de acceso en un plazo razonable y, como máximo, tres meses desde la petición, prorrogables por otros tres en casos justificados. Comunica además la descripción de sus conjuntos de datos y comprueba al menos una vez al año que esa descripción sigue siendo exacta y actualizada.

Art. 60

Gestión de identidades y accesos (IAM) Compartida

Un sistema de gestión de identidades y accesos: cada identidad, humana o de máquina, es conocida, se autentica por un punto controlado y pierde el acceso cuando corresponde.

Anexo II, puntos 3.1 y 3.4 · categorización del curador, no de la norma

Monitorización y detección Compartida

Capacidad de observar de forma continua lo que ocurre en sistemas, redes y servicios, sostenida como un servicio con responsable y no como una herramienta desatendida.

Anexo II, puntos 3.2 y 3.3 · art. 9.2 · categorización del curador, no de la norma

Conformidad y certificación Compartida

Poder demostrar a un tercero lo que se ha hecho, en sus dos versiones: la conformidad de la organización, que se audita y se certifica, y la del producto, que se evalúa, se documenta y se marca antes de venderlo. Es el expediente que convierte el cumplimiento en algo oponible a un cliente, a un pliego o a un supervisor.

Arts. 37, 39, 40 y 41 · categorización del curador, no de la norma

Adquisición y desarrollo seguros Compartida

La seguridad como requisito de compra y de construcción: exigencias al adquirir, prácticas de desarrollo seguro al construir y mantenimiento con la seguridad dentro durante todo el ciclo de vida.

Art. 30.2 · categorización del curador, no de la norma

Proceso de notificación regulatoria Compartida

Saber a quién, qué y en cuánto tiempo hay que notificar un incidente, y poder hacerlo bajo presión y con los relojes en contra.

Arts. 44.7 y 44.3 · categorización del curador, no de la norma

Entorno de tratamiento seguro para el uso secundario

Una plataforma cerrada donde el dato se explota sin salir de ella. El acceso se limita a las personas físicas autorizadas que enumera el permiso de datos, cada una con identidad de usuario individual y única y modo de acceso confidencial; el riesgo de lectura, copia, modificación o supresión no autorizadas se minimiza con las medidas técnicas y organizativas más avanzadas; los registros de acceso y de actividad se conservan al menos un año para poder verificar y auditar todas las operaciones; y las medidas se someten a seguimiento continuo y a auditorías periódicas, también por terceros, con corrección de lo que detecten. La salida está controlada por diseño: solo puede descargarse dato no personal, y cada petición de descarga se revisa antes de autorizarla.

Art. 73.1 a 73.3 · categorización del curador, no de la norma

Fabricante de sistema HCE

Quien introduce en el mercado o pone en servicio un sistema de historia clínica electrónica con su nombre o marca. El Reglamento no define «fabricante» por su cuenta: toma la definición del Reglamento (UE) 2019/1020 de vigilancia del mercado. El papel se contagia: el importador, el distribuidor o el usuario que comercialice el sistema con su propia marca, que lo modifique de forma que pueda verse afectada su conformidad, o que cambie la finalidad prevista declarada, pasan a ser fabricantes y asumen el artículo 30 entero.

Art. 2.1.d) · arts. 30 y 34

Representante autorizado

Quien, establecido en la Unión, recibe mandato escrito de un fabricante de fuera de la Unión antes de que este comercialice aquí su sistema HCE. El mandato tiene un contenido mínimo tasado, y el representante debe disponer de la documentación necesaria para cumplirlo.

Art. 31 · art. 30.4

Importador

Quien introduce en el mercado de la Unión un sistema HCE procedente de un tercer país. Solo puede introducir sistemas conformes con el anexo II y con las especificaciones comunes, y responde de que el sistema no se altere mientras está bajo su responsabilidad.

Art. 32

Distribuidor

Quien comercializa un sistema HCE sin ser su fabricante ni el importador. Debe verificar el marcado CE y la documentación antes de comercializarlo, y no puede alterar el sistema de forma que comprometa su conformidad.

Art. 33

Fabricante de producto sanitario

Fabricante de un producto sanitario o de un producto sanitario para diagnóstico in vitro, en el sentido de los Reglamentos (UE) 2017/745 y (UE) 2017/746, que declara la interoperabilidad de su producto con los componentes armonizados de programa informático de los sistemas HCE. La declaración es voluntaria; hacerla es lo que activa el deber.

Art. 27.1

Proveedor de IA de alto riesgo

Proveedor de un sistema de IA considerado de alto riesgo por el artículo 6 del Reglamento (UE) 2024/1689 que no entra en el ámbito de los Reglamentos de productos sanitarios y que declara la interoperabilidad de ese sistema con los componentes armonizados de los sistemas HCE. Tiene el mismo deber que el fabricante de producto sanitario y por la misma vía.

Art. 27.2

Fabricante de aplicación de bienestar

Quien fabrica un programa informático destinado a que una persona física trate sus datos de salud con una finalidad distinta de la prestación de asistencia sanitaria. Solo queda alcanzado si declara la interoperabilidad con un sistema HCE, y entonces debe expedir la etiqueta que acredita el cumplimiento del anexo II.

Art. 2.2, letra ab) · arts. 47 y 48

Prestador de asistencia sanitaria

Quien presta asistencia sanitaria en el sentido de la Directiva 2011/24/UE. Es el usuario del sistema HCE: registra en formato electrónico los datos de las categorías prioritarias y mantiene actualizada la historia de la persona a la que trata.

Art. 2.1.b) · art. 13

Profesional sanitario

Quien accede a los datos de salud electrónicos personales de la persona a la que está tratando, a través de los servicios de acceso para profesionales. Solo puede hacerlo con medios de identificación electrónica reconocidos conforme al Reglamento (UE) n.º 910/2014 o que cumplan las especificaciones comunes.

Art. 2.1.b) · arts. 11 y 12

Tenedor de datos de salud

Quien tiene el derecho o la obligación de tratar datos de salud electrónicos personales, o la capacidad de poner a disposición datos no personales controlando el diseño técnico de un producto. Es una categoría ancha: alcanza a centros sanitarios, a quien desarrolla productos o servicios para el sector, a quien crea aplicaciones de bienestar y a quien investiga.

Literal de la norma toda persona física o jurídica, autoridad pública, agencia u otro organismo del sector de la asistencia sanitaria o el asistencial, incluidos los servicios de reembolso cuando sea necesario, así como cualquier persona física o jurídica que desarrolle productos o servicios destinados al sector de la salud, el de la asistencia sanitaria o el asistencial, que desarrolle o cree aplicaciones de bienestar, que efectúe investigaciones científicas relacionadas con el sector de la asistencia sanitaria o el asistencial o que actúe como registro de mortalidad, así como las instituciones, órganos u organismos de la Unión, que tengan bien: […]

Art. 2.2, letra t)

Usuario de datos de salud

Quien ha obtenido acceso lícito a datos de salud electrónicos para uso secundario mediante un permiso de datos, una petición aprobada o una aprobación de acceso. Trabaja dentro del entorno de tratamiento seguro y no puede sacar de él datos personales.

Literal de la norma una persona física o jurídica, incluidas las instituciones, órganos u organismos de la Unión, a la que se ha concedido acceso lícito a datos de salud electrónicos para uso secundario en virtud de un permiso de datos, una petición de datos de salud o una aprobación de acceso por parte de un participante autorizado en DatosSalud@UE

Art. 2.2, letra u)

Organismo de acceso a datos de salud

Organismo del sector público que cada Estado miembro designa para tramitar las solicitudes de acceso a datos para uso secundario, expedir los permisos y operar el entorno de tratamiento seguro. No es solo una ventanilla: es quien responde de las medidas de seguridad del artículo 73 y quien impone las multas administrativas del artículo 64.

Arts. 55 y 57