Por: Carlos A. FERREYROS SOTO
Doctor en Derecho
Universidad de Montpellier I Francia.
cferreyros@ferreyros-ferreyros.com
RESUMEN
El presente Reglamento de la Comisión Europea, adoptado el 18 de septiembre de 2026, desarrolla el marco normativo del Espacio Europeo de Datos de Salud (Reglamento UE 2025/327), regulando los requisitos de ciberseguridad, interoperabilidad técnica y semántica de la plataforma MiSalud@UE para el intercambio transfronterizo de datos de salud en la Unión Europea.
La norma detalla los servicios centrales provistos por la Comisión (Red segura, programa informático de referencia, servicios de terminología y configuración) y el catálogo de especificaciones aprobado por el grupo rector.
Asimismo, delimita la gobernanza técnica mediante auditorías y planes de acción ante incidentes de seguridad, y determina las responsabilidades de protección de datos (RGPD): los puntos de contacto nacionales actúan como co-responsables del tratamiento y la Comisión como encargada del tratamiento. Incorpora medidas de transición para infraestructuras preexistentes.
El texto consolida un ecosistema digital armonizado y vinculante dotando de seguridad jurídica a la gobernanza sanitaria digital europea. Logra equilibrar de forma estricta la operatividad técnica transfronteriza con las máximas garantías de confidencialidad y protección de datos personales de los pacientes del espacio comunitario.
A fin de acceder a normas similares y estándares europeos, las empresas, organizaciones públicas y privadas interesadas en asesorías, consultorías, capacitaciones, estudios, evaluaciones, auditorías sobre el tema, sírvanse comunicar al correo electrónico:cferreyros@ferreyros-ferreyros.com
________________________________________________________
| Diario Oficial
de la Unión Europea | ES Serie L |
REGLAMENTO DE EJECUCIÓN (UE) 2026/2083 DE LA COMISIÓN
del 18 de septiembre de 2026
relativo a MiSalud@UE
(Texto pertinente a efectos del EEE)
LA COMISIÓN EUROPEA,
Visite el Tratado de Funcionamiento de la Unión Europea,
Visto el Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, y por el que se modifican la Directiva 2011/24/UE y el Reglamento (UE) 2024/2847 ( 1 ) , y en particular su artículo 23, apartados 4 y 8,
Considerando lo siguiente:
| (1) | El Reglamento (UE) 2025/327 tiene por objeto mejorar el acceso por parte de las personas físicas a sus datos de salud electrónicos personales y su control de dichos datos en el contexto de la asistencia sanitaria, así como mejorar el intercambio transfronterizo de tales datos para garantizar la continuidad de la asistencia sanitaria. A tal fin, el artículo 23 de dicho Reglamento encomienda a la Comisión la creación de MiSalud@UE, una plataforma central de interoperabilidad para el intercambio transfronterizo de las categorías prioritarias de datos establecidas en el artículo 14 del Reglamento, así como de categorías adicionales de datos. El intercambio de dichos datos se basa en el formato europeo de intercambio de historias clínicas electrónicas a que se refiere el artículo 15 del Reglamento (UE) 2025/327. |
| (2) | La plataforma MiSalud@UE prevista en el Reglamento (UE) 2025/327 se basa en la arquitectura y los procesos desarrollados para la infraestructura de servicios digitales de sanidad electrónica para los servicios transfronterizos de información de sanidad electrónica creados en virtud de la Decisión de Ejecución (UE) 2019/1765 de la Comisión ( 2 ) . Dicha infraestructura permitía a los Estados miembros intercambiar historiales resumidos de los pacientes, recetas electrónicas y dispensaciones electrónicas con carácter voluntario. La plataforma MiSalud@UE debe basarse en esta experiencia y en la arquitectura de los servicios contemplados en la Decisión de Ejecución (UE) 2019/1765 y actualizarse para reflejar los cambios tecnológicos y las diferencias con el Espacio Europeo de Datos de Salud (EEDS). |
| (3) | El artículo 24, apartados 2 y 3, del Reglamento (UE) 2025/327 prevé la posibilidad de que los participantes autorizados se conecten a MiSalud@UE. En tales casos, el artículo 7, a excepción de su apartado 1, letra a), y los artículos 8 a 13 del presente Reglamento deben aplicarse mutatis mutandis a los participantes autorizados, a fin de garantizar la coherencia en la notificación de incidentes significativos, las comprobaciones del cumplimiento y los requisitos técnicos para permanecer conectados a MiSalud@UE. |
| (4) | Para facilitar el intercambio de datos de salud electrónicos personales entre los puntos de contacto nacionales para la salud digital, la Comisión debe proporcionar un programa informático de aplicación de referencia de uso opcional por parte de los puntos de contacto nacionales para la salud digital. El programa informático de aplicación de referencia debe basarse en el catálogo de requisitos y actualizarse periódicamente para reflejar cualquier cambio. |
| (5) | Para garantizar la interoperabilidad semántica de los servicios en MiSalud@UE, la Comisión debe proporcionar un servicio central de terminología que permita a los Estados miembros proporcionar correspondencias y traducciones desde y hacia los sistemas de codificación y valores del formato europeo de intercambio de historias clínicas electrónicas a que se refiere el artículo 15, apartado 1, del Reglamento (UE) 2025/327. |
| (6) | Los puntos de contacto nacionales para la salud digital deben intercambiar datos de salud electrónicos personales a escala transfronteriza por medio de una red de comunicación segura que debe proporcionar la Comisión. |
| (7) | Para que los puntos de contacto nacionales para la salud digital puedan encontrar y establecer una comunicación de confianza entre sí, deben utilizar un servicio de configuración central que debe prestar la Comisión. |
| (8) | Para garantizar la interoperabilidad, la Comisión debe elaborar un catálogo de requisitos en cooperación con el grupo rector MiSalud@UE establecido por el artículo 95, apartado 1, del Reglamento (UE) 2025/327. Sobre la base de estos requisitos, las especificaciones técnicas deben ser propuestas por la Comisión y aprobadas por el grupo rector. Las especificaciones técnicas deben ajustarse al formato europeo de intercambio de historias clínicas electrónicas establecido en el acto de ejecución que se adopta en virtud de la delegación de poderes prevista en el artículo 15, apartado 1, del Reglamento (UE) 2025/327. |
| (9) | La Comisión debe proponer un plan de trabajo anual relativo al funcionamiento y la gestión de la plataforma central de interoperabilidad para su aprobación por el rector del grupo. Este plan de trabajo debe ser coherente con el plan de trabajo bienal del Consejo del EEDS. |
| (10) | Los cambios que no tengan retrocompatiblidad con la versión anterior, o que los puntos de contacto nacionales para la salud digital y los participantes autorizados deban aplicar obligatoriamente, se tratan como versiones importantes sujetas al procedimiento completo de gestión de los cambios. Por el contrario, las correcciones de defectos y errores, las aclaraciones de redacción y otros cambios que no introduzcan nuevas funcionalidades ni afecten a la capacidad de las aplicaciones existentes del catálogo de requisitos para intercambiar datos sin modificaciones deben seguir el procedimiento simplificado aplicable a las versiones menores. Las propuestas de cambios importantes en el catálogo de requisitos deben prepararse exhaustivamente antes de presentarse al grupo rector para su evaluación y aprobación. A tal fin, debe exigirse que las propuestas de cambios sean presentadas por un grupo de miembros del grupo rector o por la Comisión, dado que es la responsable de la gestión de MiSalud@UE. |
| (11) | Para garantizar una alta calidad en el desarrollo y el funcionamiento del intercambio de datos de salud electrónicos personales a través de MiSalud@UE la Comisión, en nombre del grupo rector MiSalud@UE, debe gestionar los procedimientos de autorización de tal intercambio. |
| (12) | Los puntos de contacto nacionales para la salud digital deben acreditar el cumplimiento del catálogo de requisitos mediante pruebas técnicas y comprobaciones del cumplimiento. La Comisión debe facilitar las pruebas técnicas y llevar a cabo las comprobaciones del cumplimiento. Posteriormente, la Comisión deberá indicar las desviaciones con respecto al catálogo de requisitos. Los problemas detectados en las comprobaciones del cumplimiento y las pruebas técnicas deben clasificarse en función de factores tales como el riesgo y la repercusión. Los puntos de contacto nacionales para la salud digital deben elaborar planes de acción para resolver los riesgos detectados. La Comisión debe informar periódicamente al grupo rector sobre los problemas detectados pendientes de resolución y los planos de acción relacionados con ellos. |
| (13) | Los puntos de contacto nacionales para la salud digital siempre deben cumplir la última versión del catálogo de requisitos. Para favorecer la confianza en la red y mostrar a todos los demás puntos de contacto nacionales que se cumplen las normas, deben llevarse a cabo comprobaciones del cumplimiento periódicos. La comprobación del cumplimiento debe ser un procedimiento exhaustivo y realizado con una frecuencia proporcional al nivel de riesgo para la protección de los datos de salud electrónicos personales, la seguridad y la confidencialidad que conlleva el intercambio de datos de salud electrónicos personales. Si hay motivos para sospechar que un punto de contacto nacional para la salud digital incumple los requisitos, la Comisión debe estar facultada para iniciar una comprobación del cumplimiento ad hoc . |
| (14) | Siempre que un punto de contacto nacional para la salud digital inicie el intercambio de datos de salud electrónicos personales, debe basarse en una autorización del grupo rector. Esto garantiza que el grupo rector tenga control sobre el intercambio de datos de salud personales electrónicos. A fin de garantizar la previsibilidad para los puntos de contacto nacionales para la salud digital que inician el intercambio, la base para la decisión del grupo rector debe ser el resultado de una comprobación del cumplimiento pertinente y una prueba técnica. |
| (15) | Para garantizar la interoperabilidad entre los puntos de contacto nacionales para la salud digital al intercambiar datos de salud electrónicos personales, dichos puntos deben operar utilizando la misma versión del catálogo de requisitos. Las soluciones técnicas que cumplan estos requisitos deben someterse a pruebas exhaustivas antes de utilizarse para el intercambio de datos de salud electrónicos personales. El grupo rector debe evaluar el resultado de estas pruebas y autorizar a un punto de contacto nacional para la salud digital a pasar a una nueva versión importante. |
| (16) | Tras una comprobación del cumplimiento de un punto de contacto nacional para la salud digital que ya intercambia datos de salud electrónicos personales, el grupo rector debe evaluar el resultado y conceder su autorización para continuar el intercambio. |
| (17) | Un punto de contacto nacional para la salud digital puede descubrir que el intercambio de datos de salud electrónicos personales no funciona correctamente. La Comisión, en cooperación con el grupo rector, debe detallar las clases de incidentes de este tipo y determinar las respuestas adecuadas para gestionarlos en un marco operativo. |
| (18) | Debe existir una definición clara de qué datos de salud electrónicos personales pueden tratarse a través de MiSalud@UE, que debe corresponderse con las obligaciones establecidas en el Reglamento (UE) 2025/327. |
| (19) | El artículo 23 del Reglamento (UE) 2025/327 asigna la función de corresponsables del tratamiento de los datos a los puntos de contacto nacionales para la salud digital y la de encargada del tratamiento a la Comisión para proporcionar MiSalud@UE. Con vistas a garantizar unas condiciones uniformes para la ejecución del Reglamento (UE) 2025/327, el presente Reglamento debe detallar las funciones y responsabilidades de los puntos de contacto nacionales para la salud digital y de la Comisión sobre la base de dicha asignación. A tal fin, el presente Reglamento debe establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados, así como las obligaciones y los derechos del responsable del tratamiento, en la medida en que estos no estén ya definidos en el Reglamento (UE) 2025/327. También debe establecer las responsabilidades respectivas de los corresponsables del tratamiento. |
| (20) | El Reglamento (UE) 2025/327 establece que la Comisión actuará como encargada del tratamiento de datos personales en MiSalud@UE en nombre de los Estados miembros como corresponsables del tratamiento. De conformidad con las normas de protección de datos, las obligaciones del encargado del tratamiento de datos deben establecerse en un contrato u otro acto jurídico que vincule al encargado con respecto al responsable. El presente Reglamento establece las obligaciones detalladas de la Comisión como encargada del tratamiento en un acto jurídico vinculante. Del mismo modo, los corresponsables del tratamiento deben determinar sus responsabilidades respectivas en el cumplimiento de sus obligaciones de protección de datos mediante un acuerdo entre ellos, a menos y en la medida en que las responsabilidades respectivas de los corresponsables del tratamiento estén determinadas por el Derecho de la Unión o de los Estados miembros al que estén sujetos los corresponsables del tratamiento. El presente Reglamento determina las responsabilidades respectivas por ley de los corresponsables del tratamiento. |
| (21) | El tratamiento de datos personales en virtud del presente Reglamento debe cumplir lo dispuesto en los Reglamentos (UE) 2016/679 ( 3 ) y (UE) 2018/1725 ( 4 ) del Parlamento Europeo y del Consejo, según proceda. Las operaciones de tratamiento de datos personales de la Comisión, en su calidad de encargada del tratamiento, respaldan el intercambio de datos entre los puntos de contacto nacionales para la salud digital, que es una misión asignada en interés público por el Reglamento (UE) 2025/327. |
| (22) | Las normas de seguridad informática establecidas en la Decisión (UE, Euratom) 2017/46 ( 5 ) de la Comisión se aplican a MiSalud@UE. |
| (23) | Dado que MiSalud@UE es una evolución de la infraestructura de servicios digitales de sanidad electrónica para los servicios transfronterizos de información de sanidad electrónica creada en virtud de la Decisión de Ejecución (UE) 2019/1765, conviene tener en cuenta la experiencia adquirida en dicha infraestructura. En particular, dado que los requisitos técnicos detallados para el intercambio de datos son esencialmente equivalentes, cuando un punto de contacto nacional para la sanidad electrónica ya esté conectado y utilice la infraestructura de servicios digitales de sanidad electrónica para los servicios transfronterizos de información de sanidad electrónica, y se designe el mismo punto de contacto como punto de contacto nacional para la salud digital de dicho Estado miembro, tal punto de contacto no tiene que repetir la comprobación inicial del cumplimiento para los servicios que ya tenga en uso, puesto que ya ha demostrado su capacidad para conectarse a la plataforma céntrico. |
| (24) | El Reglamento (UE) 2025/327 se aplica de forma gradual. Las obligaciones de intercambio de datos a través de MiSalud@UE serán aplicables a partir del 26 de marzo de 2029 en lo que respeta al intercambio de historiales resumidos de los pacientes, recetas electrónicas y dispensaciones electrónicas, ya a partir del 26 de marzo de 2031 en lo que respeta al intercambio de estudios de diagnóstico por imagen e informes de imágenes correspondientes, resultados de pruebas diagnósticas, incluidos los resultados de laboratorio y otros resultados de diagnóstico e informes correspondientes, así como informes de alta. El presente Reglamento establece las normas detalladas sobre el funcionamiento de MiSalud@UE; La obligación de los puntos de contacto nacionales de los Estados miembros para la salud digital de intercambiar las categorías prioritarias de datos de salud electrónicos personales a través de MiSalud@UE será aplicable de conformidad con el artículo 105 del Reglamento (UE) 2025/327. |
| (25) | El Supervisor Europeo de Protección de Datos, al que se consultó de conformidad con el artículo 42, apartado 1, del Reglamento (UE) 2018/1725 emitido su dictamen el 18 de mayo de 2026 ( 6 ) . |
| (26) | El presente Reglamento introduce requisitos vinculantes para la prestación de servicios públicos digitales transfronterizos en el sentido del Reglamento (UE) 2024/903 del Parlamento Europeo y del Consejo ( 7 ) . En consecuencia, se ha llevado a cabo una evaluación de la interoperabilidad y el informe resultante se publicará en el portal de la Europa Interoperable cuando se adopte el acto jurídico. |
| (27) | Las previstas en el presente Reglamento se ajustan al dictamen del comité establecido por el artículo 98, apartado 1, del Reglamento (UE) 2025/327. |
HA ADOPTADO EL PRESENTE REGLAMENTO:
CAPÍTULO 1
DISPOSICIONES GENERALES
Artículo 1
Objeto y ámbito de aplicación
- El presente Reglamento establece las normas relativas a los requisitos de ciberseguridad, interoperabilidad técnica, interoperabilidad semántica, operaciones y gestión de servicios en relación con el tratamiento de datos personales por parte de la Comisión, como encargada del tratamiento para MiSalud@UE, y sus responsabilidades con respecto a los corresponsables del tratamiento.
Establece las medidas necesarias para el desarrollo técnico de MiSalud@UE, disposiciones pormenorizadas relativas a la seguridad, la confidencialidad y la protección de los datos de salud electrónicos personales, así como las condiciones para las comprobaciones del cumplimiento necesarias para unirse y permanecer conectado a MiSalud@UE.
- El artículo 7, a excepción de su apartado 1, letra a), y los artículos 8 a 13 se aplicarán mutatis mutandis a los participantes autorizados a que se refieren el artículo 24, apartados 2 y 3, del Reglamento (UE) 2025/327. Las comprobaciones del cumplimiento y las pruebas técnicas para dichos participantes autorizados también podrán abarcar requisitos adicionales pertinentes para ellos.
Artículo 2
Definiciones
A los efectos del presente Reglamento, se entenderá por:
| 1) | «grupo rector»: el grupo rector MiSalud@UE establecido por el artículo 95, apartado 1, del Reglamento (UE) 2025/327 para la infraestructura transfronteriza previsto en el artículo 23 de dicho Reglamento; |
| 2) | «versión importante»: versión del catálogo de requisitos y de las especificaciones técnicas que no es compatible con la versión anterior o que tiene un efecto sustancial en el intercambio de datos de salud electrónicos personales a través de MiSalud@UE; |
| 3) | «versión menor»: versión del catálogo de requisitos y de las especificaciones técnicas y su aplicación que no es una versión importante; |
| 4) | la definición de «incidente» establecida en el artículo 6, punto 6, de la Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo ( 8 ) ; |
| 5) | «incidente significativo»: un incidente tal como se define en el artículo 23, apartado 3, de la Directiva (UE) 2022/2555. |
CAPÍTULO 2
INTERCAMBIO TRANSFRONTERIZO DE DATOS Y PLATAFORMA CENTRAL DE INTEROPERABILIDAD PARA LA SALUD DIGITAL
Artículo 3
Plataforma central de interoperabilidad para la salud digital
- La Comisión prestará los siguientes servicios de la plataforma central de interoperabilidad para la salud digital a que se refiere el artículo 23, apartado 1, del Reglamento (UE) 2025/327:
| a) | un programa informático de aplicación de referencia para los puntos de contacto nacionales para la salud digital; |
| b) | un servicio central de terminología; |
| c) | una red de comunicación segura; |
| d) | un servicio central de configuración. |
- La Comisión prestará los servicios a que se refiere el apartado 1 de conformidad con el catálogo de requisitos a que se refiere el artículo 4, apartado 2, y las especificaciones técnicas a que se refiere el artículo 4, apartado 3.
- Los puntos de contacto nacionales para la salud digital podrán utilizar el programa informático de aplicación de referencia a que se refiere el apartado 1, letra a), para apoyar el intercambio de datos de salud electrónicos personales en MiSalud@UE. Cuando un punto de contacto nacional para la salud digital opte por utilizar soluciones alternativas, estas cumplirán el catálogo de requisitos a que se refiere el artículo 4, apartado 2, y las especificaciones técnicas a que se refiere el artículo 4, apartado 3.
- Los puntos de contacto nacionales para la salud digital podrán utilizar el servicio terminológico central a que se refiere el apartado 1, letra b), para apoyar la traducción y la cartografía de los sistemas de codificación y los valores que deben utilizarse en los conjuntos de datos que contienen datos de salud electrónicos personales a que se refiere el artículo 15, apartado 1, párrafo primero, letra b), del Reglamento (UE) 2025/327.
- Los Estados miembros serán los encargados de la traducción y cartografía de los sistemas de codificación y los conjuntos de valores para el intercambio de datos de salud electrónicos personales en el formato europeo de intercambio de historias clínicas electrónicas a que se refiere el artículo 15, apartado 1, del Reglamento (UE) 2025/327. Los Estados miembros mantendrán actualizadas las traducciones y cartografías.
- Los puntos de contacto nacionales para la salud digital utilizarán la red de comunicación segura a que se refiere el apartado 1, letra c), para apoyar el intercambio de datos de salud electrónicos personales en MiSalud@UE. El funcionamiento de las infraestructuras y los servicios nacionales de apoyo a la red de comunicación segura seguirá siendo responsabilidad de los puntos de contacto nacionales para la salud digital.
- Los puntos de contacto nacionales para la salud digital utilizarán el servicio de configuración central a que se refiere el apartado 1, letra d), para poner sus datos de configuración a disposición de la Comisión y de todos los demás puntos de contacto nacionales para la salud digital.
Artículo 4
Catálogo de requisitos y especificaciones técnicas.
- Cuando los puntos de contacto nacionales para la salud digital lleven a cabo los intercambios transfronterizos de datos de salud electrónicos personales a que se refiere el artículo 23, apartado 3, del Reglamento (UE) 2025/327, lo harán de conformidad con el catálogo de requisitos a que se refiere el apartado 2 y las especificaciones técnicas a que se refiere el apartado 3.
- La Comisión, en cooperación con el grupo rector, elaborará y mantendrá el catálogo de requisitos para el intercambio transfronterizo de datos de salud electrónicos personales en MiSalud@UE. Dicho catálogo de requisitos incluye, como mínimo:
| a) | una descripción de los casos de uso aplicados para el intercambio de datos de salud personales electrónicos; |
| b) | los requisitos para la aplicación del intercambio de datos de salud electrónicos personales; |
| c) | los marcos y procedimientos para las pruebas, la comprobación del cumplimiento, el funcionamiento y el seguimiento de los incidentes relacionados con el intercambio de datos de salud electrónicos personales. |
- La Comisión, en cooperación con el grupo rector, propondrá las especificaciones técnicas sobre la base del catálogo de requisitos a que se refiere el apartado 2.
- El catálogo de requisitos a que se refiere el apartado 2 y las especificaciones técnicas a que se refiere el apartado 3 serán aprobadas por el grupo rector.
Artículo 5
Funcionamiento y gestión de MiSalud@UE
- La Comisión, en cooperación con el grupo rector, llevará a cabo las siguientes actividades para el funcionamiento y la gestión de MiSalud@UE:
| a) | la obtención, el análisis y la gestión de los requisitos y las especificaciones técnicas; |
| b) | la coordinación del desarrollo, las pruebas y la implantación; |
| c) | los cambios en el catálogo de requisitos; |
| d) | la gestión de incidentes; |
| e) | la garantía de la continuidad de las actividades de la plataforma. |
- La Comisión llevará a cabo las siguientes tareas:
| a) | realizar pruebas técnicas de intercambio transfronterizo de datos de salud electrónicos personales; |
| b) | Prestará apoyo a los servicios de asistencia de los puntos de contacto nacionales para la salud digital oa los participantes autorizados. |
- La Comisión, en cooperación con el grupo rector, propondrá un plan de trabajo anual para las actividades a que se refieren los apartados 1 y 2, para su aprobación por el grupo rector.
Artículo 6
Cambios en el catálogo de requisitos
- A petición de cinco o más miembros del grupo rector o por iniciativa propia, la Comisión podrá presentar al grupo rector una propuesta de modificación importante del catálogo de requisitos. La propuesta de cambios incluirá, como mínimo:
| a) | una descripción de los cambios; |
| b) | una justificación de los cambios; |
| c) | el calendario para la aplicación de los cambios; |
| d) | una versión importante para abordar los cambios propuestos. |
- El grupo rector será el encargado de aprobar los cambios del catálogo de requisitos a que se refiere el artículo 4, apartado 2, el calendario para la aplicación de los cambios y la versión importante.
- Una vez aprobados los cambios a que se refiere el apartado 2, la Comisión, los puntos de contacto nacionales para la salud digital y los participantes autorizados los aplicarán de conformidad con el calendario de aplicación y la versión importante aprobadas.
- Una versión menor no estará sujeta a la presentación de una propuesta de cambio. La Comisión podrá presentar al grupo rector un cambio para una versión menor. Cuando se presente dicho cambio, el grupo rector, una vez recibido, será responsable de aprobar la propuesta de versión menor, incluida su calendario de aplicación. Una vez aprobada la versión menor, la Comisión, los puntos de contacto nacionales para la salud digital y los participantes autorizados la aplicarán de conformidad con el calendario de aplicación.
Artículo 7
Gestión de la autorización para el intercambio transfronterizo de datos de salud electrónicos personales
- La Comisión, en nombre del grupo rector, será la encargada de gestionar los procedimientos para autorizar el intercambio de datos de salud electrónicos personales. Serán los siguientes:
| a) | autorizar a un punto de contacto nacional para la salud digital a iniciar el intercambio de datos de salud electrónicos personales; |
| b) | autorizar a un punto de contacto nacional para la salud digital oa un participante autorizado a continuar el intercambio de datos de salud electrónicos personales tras una actualización a la última versión importante; |
| c) | autorizar a un punto de contacto nacional para la salud digital oa un participante autorizado a continuar el intercambio de datos de salud electrónicos personales tras una comprobación operativa del cumplimiento a que se refiere el artículo 9, letra b); |
| d) | abordar los incidentes significativos en el intercambio de datos de salud electrónicos personales. |
- La Comisión, en colaboración con el grupo rector, propondrá la metodología para los procedimientos relativos a las autorizaciones a que se refiere el apartado 1, para su aprobación por el grupo rector.
- El grupo rector decidirá si concede o no la autorización a que se refiere el apartado 1, letras a), b) oc), sobre la base de los requisitos establecidos en los artículos 10 a 12.
- Cuando el grupo rector decida no conceder la autorización prevista en el apartado 1, el punto de contacto nacional para la salud digital podrá solicitar al grupo rector que revise su decisión.
Artículo 8
Condiciones para unirse y permanecer conectado a MiSalud@UE, comprobaciones del cumplimiento y pruebas técnicas
- La Comisión llevará a cabo comprobaciones del cumplimiento y facilitará pruebas técnicas para evaluar el cumplimiento del intercambio de datos de salud electrónicos personales entre los puntos de contacto nacionales para la salud digital con respecto al catálogo de requisitos a que se refiere el artículo 4, apartado 2, y las especificaciones técnicas a que se refiere el artículo 4, apartado 3.
- Las comprobaciones del cumplimiento detectarán los problemas relativos a la seguridad, la confidencialidad y la protección del intercambio de datos de salud electrónicos personales a través de MiSalud@UE. Los problemas detectados se clasificarán como «menores», «medios» o «críticos» en función de los niveles de cumplimiento definidos en el marco de las comprobaciones del cumplimiento a que se refiere el artículo 4, apartado 2, letra c).
- Una prueba técnica evaluará el intercambio transfronterizo de datos de salud electrónicos personales entre los puntos de contacto nacionales para la salud digital a través de MiSalud@UE y su conformidad con las especificaciones técnicas a que se refiere el artículo 4, apartado 3. Los problemas detectados se clasificarán como «menores», «medios» o «críticos» en función de los niveles de cumplimiento definidos en el marco de las pruebas a que se refiere el artículo 4, apartado 2, letra c).
- La Comisión informará a los puntos de contacto nacionales para la salud digital de los resultados de las comprobaciones del cumplimiento y las pruebas técnicas a que se refiere el apartado 1. Esta información contendrá, como mínimo, los problemas detectados, las observaciones y las recomendaciones basadas en los resultados de las comprobaciones del cumplimiento y las pruebas técnicas.
- Cuando en una comprobación del cumplimiento o en una prueba técnica se hayan detectado problemas, independientemente de su nivel, el punto de contacto nacional para la salud digital de que se tratará de adoptar medidas para solucionar dichos problemas tras recibir de la Comisión información sobre el resultado de la comprobación del cumplimiento o la prueba técnica. En el plazo de quince días laborables a partir de la recepción de la información sobre los problemas detectados, se presentará a la Comisión un plan de acción que contiene medidas para resolverlos.
- Una vez que se haya aplicado el plan de acción, el punto de contacto nacional para la salud digital lo notificará a la Comisión. A continuación, la Comisión evaluará las pruebas pertinentes y decidirá archivar los problemas resueltos.
- La Comisión comunicará periódicamente al grupo rector los problemas detectados en las comprobaciones del cumplimiento y las pruebas técnicas.
Artículo 9
Frecuencia de las comprobaciones del cumplimiento
La Comisión evaluará si el intercambio de datos de salud electrónicos personales entre los puntos de contacto nacionales para la salud digital cumple el catálogo de requisitos a que se refiere el artículo 4, apartado 2, y las especificaciones técnicas a que se refiere el artículo 4, apartado 3:
| a) | antes del inicio del intercambio de datos de salud electrónicos personales; |
| b) | cada cinco años a partir de la última comprobación del cumplimiento; |
| c) | cuando la Comisión considera que existe un riesgo crítico para la seguridad, la confidencialidad o la protección de los datos de salud electrónicos personales. |
Artículo 10
Autorización para iniciar el intercambio de datos de salud electrónicos personales
Cada punto de contacto nacional para la salud digital obtendrá la autorización a que se refiere el artículo 7, apartado 1, letra a), antes de iniciar el intercambio de datos de salud electrónicos personales. La autorización se basará en:
| a) | una prueba con un resultado sin problemas críticos con arreglo al artículo 8, apartado 4; |
| b) | una comprobación del cumplimiento con un resultado sin problemas críticos con arreglo al artículo 8, apartado 4; |
| c) | los planos de acción a que se refiere el artículo 8, apartado 5. |
Artículo 11
Autorización para mejorar y continuar el intercambio de datos de salud electrónicos personales tras una mejora.
- Cada punto de contacto nacional para la salud digital obtendrá la autorización a que se refiere el artículo 7, apartado 1, letra b), a más tardar un mes antes de que finalice el plazo a que se refiere el artículo 6, apartado 3. La autorización se basará en el resultado de una prueba técnica sin problemas críticos a que se refiere el artículo 8, apartado 4.
- Cuando no se conceda a un punto de contacto nacional para la salud digital la autorización a que se refiere el apartado 1, el grupo rector adoptará medidas de mitigación, que podrán comprender la suspensión temporal del intercambio de datos de salud electrónicos personales.
- Cuando se suspenda el intercambio de datos de salud electrónicos personales de conformidad con el apartado 2, el punto de contacto nacional para la salud digital adoptará las siguientes medidas:
| a) | dar respuesta a los problemas que provocaron la suspensión; |
| b) | obtener la autorización a que se refiere el artículo 7, apartado 1, letra b); |
| c) | aplique una actualización a la última versión importante y restablezca el intercambio de datos de salud personales electrónicos. |
Artículo 12
Continuación del intercambio de datos de salud electrónicos personales tras una comprobación operativa del cumplimiento.
- Cada punto de contacto nacional para la salud digital obtendrá la autorización a que se refiere el artículo 7, apartado 1, letra c), a más tardar dos meses después de recibir el resultado de la comprobación del cumplimiento a que se refiere el artículo 8, apartado 4. La autorización se basará en un resultado de la comprobación del cumplimiento sin problemas críticos.
- Cuando no se conceda a un punto de contacto nacional para la salud digital la autorización a que se refiere el apartado 1, el grupo rector adoptará medidas de mitigación, que podrán comprender la suspensión temporal del intercambio de datos de salud electrónicos personales.
- Cuando se suspenda el intercambio de datos de salud electrónicos personales de conformidad con el apartado 2, el punto de contacto nacional para la salud digital adoptará las siguientes medidas:
| a) | concluir los problemas que causaron la suspensión; |
| b) | obtener la autorización a que se refiere el artículo 7, apartado 1, letra c); |
| c) | restablecer el intercambio de datos de salud electrónicos personales. |
Artículo 13
Incidentes significativos
- Los puntos de contacto nacionales para la salud digital o la Comisión, según proceda, notificarán al presidente del grupo rector, a la Comisión ya cualquier punto de contacto nacional para la salud digital afectado, cualquier incidente significativo, lo antes posible y, en cualquier caso, en un plazo de veinticuatro horas a partir del momento en que tenga conocimiento de este.
- Tras la notificación a que se refiere el apartado 1, o por iniciativa propia, la Comisión, de acuerdo con el presidente del grupo rector, abordará el incidente significativo.
- El punto de contacto nacional para la salud digital cuyo intercambio transfronterizo de datos sanitarios electrónicos personales se ve afectado por el incidente significativo, y el grupo medidas rectores en caso necesario, adoptarán las oportunas para mitigar dicho incidente. Dichas medidas podrán comprender la suspensión temporal del intercambio de datos de salud electrónicos personales.
- El punto de contacto nacional para la salud digital de que se tratará restablecerá, previa aprobación por parte del grupo rector, el intercambio transfronterizo de datos de salud electrónicos personales lo antes posible tras la resolución del incidente significativo.
- El punto de contacto nacional para la salud digital cuyo intercambio transfronterizo de datos de salud electrónicos personales se haya visto afectado por el incidente significativo o la Comisión, si uno de los servicios a que se refiere el artículo 3, apartado 1, se ha visto afectado por el incidente significativo, informará al grupo rector a más tardar un mes después de la presentación de la notificación a que se refiere el apartado 1. La notificación incluiría, como mínimo, lo siguiente:
| a) | una detallada del incidente significativo, que incluye su gravedad y sus repercusiones; |
| b) | el tipo de amenaza o causa principal que probablemente haya desencadenado el incidente significativo; |
| c) | las medidas de mitigación aplicadas y en curso. |
CAPÍTULO 3
TRATAMIENTO, SEGURIDAD, CONFIDENCIALIDAD Y PROTECCIÓN DE LOS DATOS PERSONALES
Artículo 14
Tratamiento de los datos personales en MiSalud@UE
El tratamiento de datos personales en MiSalud@UE se limitará a:
| a) | las categorías prioritarias de datos de salud electrónicos personales para uso primario a que se refiere el artículo 14, apartado 1, párrafo primero, del Reglamento (UE) 2025/327; |
| b) | las categorías adicionales de datos de salud electrónicos personales para uso primario a que se refiere el artículo 14, apartado 1, párrafo tercero, del Reglamento (UE) 2025/327; |
| c) | los datos personales necesarios para gestionar MiSalud@UE, incluida la gestión del servicio de asistencia. |
Artículo 15
Responsabilidades de los puntos de contacto nacionales para la salud digital como corresponsables del tratamiento de datos personales
- En su calidad de corresponsables del tratamiento, los puntos de contacto nacionales para la salud digital tendrán las responsabilidades que se enumeran a continuación.
| a) | Establecerán un punto de contacto con un buzón funcional que servirá para la comunicación entre los corresponsables y entre estos y el encargado del tratamiento. |
| b) | Se coordinarán entre sí en el grupo rector para proporcionar instrucciones coordinadas a la Comisión como encargada del tratamiento. |
| c) | Enviarán las instrucciones necesarias a la Comisión, en su calidad de encargada del tratamiento, a través del grupo rector, según lo acordado con los demás corresponsables del tratamiento del grupo. |
| d) | Se encargarán de informar a los interesados sobre el tratamiento de los datos personales en MiSalud@UE de conformidad con los artículos 13 y 14 del Reglamento (UE) 2016/679. |
| e) | Responderán a las solicitudes de los interesados para el ejercicio de sus derechos con arreglo a lo dispuesto en el Reglamento (UE) 2016/679. Cuando un corresponsable del tratamiento reciba una solicitud que de fuera de sus responsabilidades con respecto a MiSalud@UE, transmitirá la solicitud al corresponsable del tratamiento pertinente e informará al interesado. |
| f) | Adoptarán todas las medidas de seguridad organizativas, físicas y lógicas adecuadas para garantizar que cada punto de contacto nacional para la salud digital funcione de forma segura y documentarán dichas medidas. Estas medidas garantizarán que:| i) | las personas autorizadas para tratar los datos personales intercambiados a través de MiSalud@UE estén sujetas a una obligación legal adecuada de confidencialidad o se hayan comprometido a respetar la confidencialidad, |
| ii) | los intercambios de datos personales a través de MiSalud@UE se registran sistemáticamente con el fin de llevar un registro de los intercambios de datos personales, incluida la identidad de los agentes implicados, las categorías de datos personales y las multas para los que se intercambian. |
|
| g) | Se prestará asistencia mutua para detectar y gestionar cualquier incidente relacionado con el tratamiento en MiSalud@UE, en particular las violaciones de la seguridad de los datos personales. Concretamente, los corresponsables del tratamiento se notificarán mutuamente y notificarán a la Comisión lo siguiente:| i) | los riesgos para la seguridad de los datos personales tratados en MiSalud@UE, |
| ii) | los incidentes de seguridad relacionados con las operaciones de tratamiento de datos personales en MiSalud@UE, |
| iii) | las violaciones de la seguridad de los datos personales, sus consecuencias probables y la evaluación del riesgo con respecto a los derechos y libertades de las personas físicas, así como las medidas adoptadas para resolver dichas violaciones y reducir el riesgo para los derechos y libertades, |
| iv) | los incumplimientos de las salvaguardas técnicas u organizativas de las operaciones de tratamiento en MiSalud@UE. |
|
| h) | Comunicarán las violaciones de la seguridad de los datos personales en relación con las operaciones de tratamiento en MiSalud@UE a las autoridades de control competentes y, en su caso, a los interesados, de conformidad con los artículos 33 y 34 del Reglamento (UE) 2016/679. |
| i) | Cooperarán en la realización de evaluaciones del impacto de las operaciones de tratamiento previstos, de conformidad con el artículo 35 del Reglamento (UE) 2016/679, cuando sea necesario. |
- Cuando un corresponsable del tratamiento, a fin de cumplir las obligaciones que le imponen los artículos 33 y 34 del Reglamento (UE) 2016/679, necesite información de otro corresponsable del tratamiento, envíe una solicitud específica al buzón funcional pertinente a que se refiere el apartado 1, letra a). El otro corresponsable del tratamiento hará todo lo posible para facilitar dicha información.
Artículo 16
Responsabilidades de la Comisión como encargada del tratamiento
En su calidad de encargada del tratamiento, la Comisión tendrá las responsabilidades que se enumeran a continuación. La Comisión podrá contratar a terceros como subencargados del tratamiento para que asuman dichas responsabilidades.
| a) | Creará y mantendrá un servicio de comunicación segura y confiable para los puntos de contacto nacionales para la salud digital que participan en MiSalud@UE (“servicio central de comunicación segura”). |
| b) | Configurará el servicio central de comunicación segura para que los puntos de contacto nacionales para la salud digital puedan intercambiar información de forma segura, confiable y eficiente. |
| c) | Adoptará medidas para facilitar la interoperabilidad y la comunicación entre el servicio central de comunicación segura y los corresponsables del tratamiento de MiSalud@UE. |
| d) | Solo tratará datos personales siguiendo las instrucciones de los corresponsables del tratamiento de MiSalud@UE, a menos que esté obligado a hacerlo por el Derecho al que esté sujeto. En tal caso, la Comisión informará al responsable de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por motivos importantes de interés público. La Comisión informará inmediatamente a los corresponsables del tratamiento si, en su opinión, las instrucciones impartidas infringen las disposiciones aplicables en materia de protección de datos. |
| e) | Adoptará las medidas necesarias para garantizar un nivel de seguridad de los datos personales tratados en el servicio de comunicación segura adecuado a los riesgos. Estas medidas se documentarán en un plan de seguridad, que se mantendrá actualizado. Las medidas conllevarán lo siguiente:| i) | establecer un procedimiento de evaluación de riesgos para fin de detectar y estimar las posibles amenazas para el sistema, |
| ii) | garantizar que las personas autorizadas para tratar datos personales estén sujetas a una obligación legal de confidencialidad adecuada, como la que figura en el artículo 17 del Estatuto de los funcionarios de las Comunidades Europeas, establecido en el Reglamento (CEE, Euratom, CECA) n. o 259/68 del Consejo ( 9 ) , o se hayan comprometido a respetar la confidencialidad, |
| iii) | Adoptar las medidas adecuadas para garantizar que su personal y sus contratistas comprendan sus responsabilidades relativas a la seguridad de la información y la protección de la información delicada no clasificada, |
| iv) | aplicar de seguridad técnica y organizativa medidas para evitar el acceso no autorizado a datos personales, |
| v) | garantizar la integridad de la información enviada a través del servicio de comunicación segura, |
| vi) | aplicar, cuando sea necesario, medidas para bloquear el acceso no autorizado al servicio de comunicación segura desde el dominio de los puntos de contacto nacionales para la salud digital, |
| vii) | velar por que los datos que se transfieran en el servicio central de comunicación segura estén cifrados, |
| viii) | Adoptar las medidas de seguridad física adecuadas, entre ellas:| 1) | controlar el acceso a las instalaciones y mantener un registro de visitantes a efectos de seguimiento; |
| 2) | velar por que las personas externas a las que se haya concedido acceso a las instalaciones estén acompañadas por personal debidamente autorizado. |
|
|
| f) | Aplicará un procedimiento de gestión de cambios y mantendrá informados a los corresponsables del tratamiento de cualquier cambio que pueda afectar a la comunicación con otras infraestructuras nacionales oa la seguridad de dichas infraestructuras. |
| g) | Supervisará, en tiempo real, el funcionamiento de todos los componentes de su servicio de comunicación segura, elaborará estadísticas periódicas y llevará registros. |
| h) | Aplicará procedimientos de auditoría y revisión con el fin de:| i) | comprobar la correspondencia entre las medidas de seguridad aplicadas y el plan de seguridad a que se refiere la letra e), |
| ii) | controlar periódicamente la integridad de los ficheros del sistema, los parámetros de seguridad y las autorizaciones concedidas, |
| iii) | supervisar para detectar violaciones de la seguridad, |
| iv) | introducir cambios para mitigar las deficiencias existentes en materia de seguridad, |
| v) | crear un procedimiento de gestión de incidentes de seguridad que establezca el sistema de notificación y remisión a instancias superiores, |
| vi) | informar a los corresponsables del tratamiento pertinente. |
|
| i) | Publicará en su sitio web avisos de información al paciente sobre el tratamiento de datos personales en MiSalud@UE, una vez que su contenido haya sido acordado por los corresponsables del tratamiento. |
| j) | Apoyará a los corresponsables del tratamiento mediante el suministro de información sobre el servicio de comunicación segura de MiSalud@UE, a fin de cumplir las obligaciones establecidas en los artículos 32 a 36 del Reglamento (UE) 2016/679. |
| k) | Una vez finalizado el intercambio de datos, suprimirá todos los datos personales tratados en nombre de un responsable del tratamiento y comunicará al responsable dicha supresión, a menos que el Derecho aplicable exija la conservación de los datos personales. |
| l) | Facilitará a los corresponsables del tratamiento toda la información necesaria para demostrar el cumplimiento de sus obligaciones como encargada del tratamiento y permitirá, también a petición de los responsables del tratamiento, la realización de auditorías independientes, incluidas inspecciones, y revisión de las medidas de seguridad, en condiciones que cumplan lo dispuesto en el Protocolo (n. o 7) del Tratado de Funcionamiento de la Unión Europea sobre los privilegios y las inmunidades de la Unión Europea, y contribuirá a la realización de dichas auditorías. |
Artículo 17
Seguridad de MiSalud@UE
La Comisión garantizará la seguridad de MiSalud@UE, de conformidad con la Decisión (UE, Euratom) 2017/46.
CAPÍTULO 4
TRANSICIÓN
Artículo 18
Medidas transitorias
Los puntos de contacto nacionales para la sanidad electrónica que hayan intercambiado datos de salud electrónicos personales a través de la infraestructura de servicios digitales de sanidad electrónica para los servicios transfronterizos de información de sanidad electrónica con arreglo a la Decisión de Ejecución (UE) 2019/1765 antes del 26 de marzo de 2029 y que hayan sido designados como puntos de contacto nacionales para la salud digital con arreglo al artículo 23, apartado 2, del Reglamento (UE) 2025/327 podrán seguir intercambiando dichos datos en el marco de MiSalud@UE y se considerará que cumplen los requisitos de autorización para iniciar el intercambio de datos de salud electrónicos personales establecidos en el presente Reglamento.
CAPÍTULO 5
DISPOSICIONES FINALES
Artículo 19
Entrada en vigor y fecha de aplicación
El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea .
Será aplicable a partir del 26 de marzo de 2027.
El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.
Hecho en Bruselas, el 18 de septiembre de 2026.
Por la Comisión
La Presidenta
Ursula von der Leyen
( 1 ) DO L 2025/327 de 5.3.2025, ELI: http://data.europa.eu/eli/reg/2025/327/oj .
( 2 ) Decisión de Ejecución (UE) 2019/1765 de la Comisión, de 22 de octubre de 2019, por la que se establecen las normas del establecimiento, la gestión y el funcionamiento de la red de autoridades nacionales responsables en materia de sanidad electrónica y se deroga la Decisión de Ejecución 2011/890/UE ( DO L 270 de 24.10.2019, p. 83 , ELI: http://data.europa.eu/eli/dec_impl/2019/1765/oj ).
( 3 ) Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respeta al tratamiento de datos personales ya la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) ( DO L 119 de 4.5.2016, p. 1 , ELI: http://data.europa.eu/eli/reg/2016/679/oj ).
( 4 ) Reglamento (UE) 2018/1725 del Parlamento Europeo y del Consejo, de 23 de octubre de 2018, relativo a la protección de las personas físicas en lo que respeta al tratamiento de datos personales por las instituciones, órganos y organismos de la Unión, ya la libre circulación de esos datos, y por el que se deroga el Reglamento (CE) n. o 45/2001 y la Decisión n. o 1247/2002/CE ( DO L 295 de 21.11.2018, p. 39 , ELI: http://data.europa.eu/eli/reg/2018/1725/oj ).
( 5 ) Decisión (UE, Euratom) 2017/46 de la Comisión, de 10 de enero de 2017, sobre la seguridad de los sistemas de información y comunicación de la Comisión Europea ( DO L 6 de 11.1.2017, p. 40 , ELI: http://data.europa.eu/eli/dec/2017/46/oj ).
( 6 ) Comentarios formales del SEPD sobre el proyecto de Reglamento de Ejecución de la Comisión sobre MyHealth@EU [«Observaciones formales del Supervisor Europeo de Protección de Datos sobre el proyecto de Reglamento de Ejecución de la Comisión relativo a MiSalud@UE», publicación en inglés].
( 7 ) Reglamento (UE) 2024/903 del Parlamento Europeo y del Consejo, de 13 de marzo de 2024, por el que se establecen medidas a fin de garantizar un alto nivel de interoperabilidad del sector público en toda la Unión (Reglamento sobre la Europa Interoperable) ( DO L, 2024/903, 22.3.2024, ELI: http://data.europa.eu/eli/reg/2024/903/oj ).
( 8 ) Directiva (UE) 2022/2555 del Parlamento Europeo y del Consejo, de 14 de diciembre de 2022, relativa a las medidas destinadas a garantizar un elevado nivel común de ciberseguridad en toda la Unión, por la que se modifica el Reglamento (UE) n. o 910/2014 y la Directiva (UE) 2018/1972 y por la que se deroga la Directiva (UE) 2016/1148 (Directiva SRI 2) ( DO L 333 de 27.12.2022, p. 80 , ELI: http://data.europa.eu/eli/dir/2022/2555/oj ).
( 9 ) Reglamento (CEE, Euratom, CECA) n. o 259/68 del Consejo, de 29 de febrero de 1968, por el que se establece el Estatuto de los funcionarios de las Comunidades Europeas y el régimen aplicable a los otros agentes de estas Comunidades y por el que se establecen medidas específicas aplicables temporalmente a los funcionarios de la Comisión ( DO L 56 de 4.3.1968, p. 1 , ELI: http://data.europa.eu/eli/reg/1968/259(1)/oj ).
ELI: http://data.europa.eu/eli/reg_impl/2026/2083/oj
ISSN 1977-0685 (edición electrónica)
