Artículo 68 relativo al Espacio Europeo de Datos de Salud

1. A efectos de la concesión de acceso a los datos de salud electrónicos, los organismos de acceso a datos de salud evaluarán si se cumplen todos los criterios siguientes:

a) los fines descritos en la solicitud de acceso a datos de salud corresponden a uno o varios de los fines a que se refiere el artículo 53, apartado 1;

b) los datos solicitados son necesarios, adecuados y proporcionados para los fines descritos en la solicitud de acceso a datos de salud, teniendo en cuenta los requisitos de minimización de datos y limitación de los fines establecidos en el artículo 66;

c) el tratamiento cumple lo dispuesto en el artículo 6, apartado 1, del Reglamento (UE) 2016/679 y, en el caso de los datos seudonimizados, existe una justificación suficiente de que el fin no puede alcanzarse con datos anonimizados;

d) el solicitante de datos de salud está cualificado en relación con la finalidad prevista del uso de los datos y posee los conocimientos especializados adecuados, incluidas cualificaciones profesionales en los ámbitos de la asistencia sanitaria, la asistencia, la salud pública y la investigación, en consonancia con la práctica ética y las disposiciones legales y reglamentarias aplicables;

e) el solicitante de datos de salud demuestra suficientes medidas técnicas y organizativas para evitar cualquier uso indebido de los datos de salud electrónicos y para proteger los derechos y los intereses del tenedor de datos de salud y de las personas físicas de que se trate;

f) la información sobre la evaluación de los aspectos éticos del tratamiento, a que se refiere el artículo 67, apartado 2, letra j), cuando proceda, cumple con el Derecho nacional;

g) cuando el solicitante de datos de salud tenga intención de hacer uso de una excepción con arreglo al artículo 71, apartado 4, se ha proporcionado la justificación exigida por el Derecho nacional adoptado con arreglo a dicho artículo;

h) el solicitante de datos de salud cumple todos los demás requisitos del presente capítulo.

2. El organismo de acceso a datos de salud tendrá también en cuenta lo siguiente:

a) los riesgos para la defensa nacional, la seguridad, la seguridad pública y el orden público;

b) el riesgo de socavar la confidencialidad de los datos de las bases de datos de titularidad pública de las autoridades reguladoras.

3. Si el organismo de acceso a datos de salud llega a la conclusión de que se cumplen los requisitos del apartado 1 y de que los riesgos a que se refiere el apartado 2 se han atenuado suficientemente, el organismo de acceso a datos de salud concederá acceso a los datos de salud electrónicos mediante la expedición de un permiso de datos. Los organismos de acceso a datos de salud denegarán todas las solicitudes de acceso a datos de salud cuando no se cumplan los requisitos del presente capítulo.

Cuando no se cumplan los requisitos para la expedición de un permiso de datos, pero se cumplan los requisitos para proporcionar una respuesta en un formato estadístico anonimizado con arreglo al artículo 69, el organismo de acceso a datos de salud podrá decidir responder a condición de que tal respuesta atenúe los riesgos y, si el fin de la solicitud de acceso a datos de salud puede cumplirse de esta manera, de que el solicitante de datos de salud acepte recibir una respuesta en un formato estadístico anonimizado como dispone el artículo 69.

4. Como excepción a lo dispuesto en el Reglamento (UE) 2022/868, el organismo de acceso a datos de salud expedirá o denegará un permiso de datos en un plazo de tres meses a partir de la recepción de una solicitud de acceso a datos de salud completa. Si el organismo de acceso a datos de salud considera que la solicitud de acceso a datos de salud es incompleta, lo notificará al solicitante de datos de salud, que tendrá la posibilidad de completar dicha solicitud. Si el solicitante de datos de salud no completa la solicitud de acceso a datos de salud en un plazo de cuatro semanas, no se expedirá el permiso de datos.

El organismo de acceso a datos de salud podrá prorrogar hasta tres meses adicionales el plazo para responder a una solicitud de acceso a datos de salud cuando sea necesario, teniendo en cuenta la urgencia y la complejidad de la solicitud de acceso a datos de salud y el volumen de solicitudes de acceso a datos de salud presentadas. En tales casos, el organismo de acceso a datos de salud notificará lo antes posible al solicitante de datos de salud que se necesita más tiempo para examinar la solicitud de acceso a datos de salud, junto con los motivos de la demora.

5. Al tramitar una solicitud de acceso transfronterizo a datos de salud electrónicos a que se refiere el artículo 67, apartado 3, los organismos de acceso a datos de salud y los participantes autorizados pertinentes en DatosSalud@UE a que se refiere el artículo 75, seguirán siendo responsables de tomar las decisiones de concesión o denegación del acceso a los datos de salud electrónicos en el ámbito de sus competencias, de conformidad con el presente capítulo.

Los organismos de acceso a datos de salud y los participantes autorizados en DatosSalud@UE de que se trate se informarán mutuamente de sus decisiones. Podrán tener en cuenta esa información a la hora de decidir sobre la concesión o denegación del acceso a datos de salud electrónicos.

Un permiso de datos expedido por un organismo de acceso a datos de salud podrá beneficiarse del reconocimiento mutuo por parte de otro organismo de acceso a datos de salud.

6. Los Estados miembros establecerán un procedimiento acelerado de solicitud de acceso a datos de salud para los organismos del sector público y las instituciones, órganos y organismos de la Unión con un mandato legal en el ámbito de la salud pública si el tratamiento de los datos de salud electrónicos debe efectuarse para los fines establecidos en el artículo 53, apartado 1, letras a), b) y c).

Cuando se aplique dicho procedimiento acelerado, el organismo de acceso a datos de salud expedirá o denegará un permiso de datos en un plazo de dos meses a partir de la recepción de una solicitud de acceso a datos de salud completa. El organismo de acceso a datos de salud podrá prorrogar el plazo para responder a una solicitud de acceso a datos de salud en un mes adicional cuando sea necesario.

7. Tras la expedición del permiso de datos, el organismo de acceso a datos de salud solicitará inmediatamente al tenedor de datos de salud los datos de salud electrónicos. El organismo de acceso a datos de salud pondrá los datos de salud electrónicos a disposición del usuario de datos de salud en un plazo de dos meses a partir de que los haya recibido de los tenedores de datos de salud, a menos que el organismo de acceso a datos de salud especifique que los datos han de proporcionarse en un determinado plazo más largo.

8. En los casos a que se refiere el apartado 5, párrafo primero, del presente artículo, los organismos de acceso a datos de salud y los participantes autorizados en DatosSalud@UE que hayan expedido un permiso de datos o una aprobación de acceso, respectivamente, podrán decidir proporcionar acceso a los datos de salud electrónicos en el entorno de tratamiento seguro proporcionado por la Comisión a que se refiere el artículo 75, apartado 9.

9. Cuando el organismo de acceso a datos de salud deniegue la expedición del permiso de datos, deberá justificar esa denegación al solicitante de datos de salud.

10. Cuando expida un permiso de datos, el organismo de acceso a datos de salud establecerá en dicho permiso de datos las condiciones generales aplicables al usuario de datos de salud. El permiso de datos contendrá la información siguiente:

a) las categorías, la especificación y el formato de los datos de salud electrónicos a los que puede acceder, cubiertos por el permiso de datos, incluidas sus fuentes, y una indicación de si el acceso a los datos de salud electrónicos es en un formato seudonimizado en el entorno de tratamiento seguro;

b) una descripción pormenorizada de los fines para los que se ponen a disposición los datos de salud electrónicos;

c) cuando se prevea y sea aplicable algún mecanismo de excepción con arreglo al artículo 71, apartado 4, información sobre si se ha aplicado y el motivo de la correspondiente decisión;

d) la identidad de las personas autorizadas (en particular, la identidad del investigador principal) que tengan derecho a acceder a los datos de salud electrónicos en el entorno de tratamiento seguro;

e) la duración del permiso de datos;

f) información sobre las características técnicas y las herramientas de que dispone el usuario de datos de salud en el entorno de tratamiento seguro;

g) las tasas que deba pagar el usuario de datos de salud;

h) cualquier condición específica.

11. Los usuarios de datos de salud tendrán derecho a acceder a los datos de salud electrónicos y a tratarlos en un entorno de tratamiento seguro de conformidad con el permiso de datos que se les haya expedido en virtud del presente Reglamento.

12. El permiso de datos expedido tendrá la duración necesaria para cumplir los fines para los que se solicita, cuya duración no podrá exceder de diez años. Esta duración podrá prorrogarse una vez, por un período que no podrá exceder de diez años, a petición del usuario de datos de salud, sobre la base de argumentos y documentos que justifiquen dicha prórroga, presentados un mes antes de la expiración del permiso de datos. El organismo de acceso a datos de salud podrá aplicar tasas que vayan aumentando para reflejar los costes y riesgos del almacenamiento de datos de salud electrónicos durante un período superior al período inicial. Con el fin de reducir los costes y tasas, el organismo de acceso a datos de salud también podrá proponer al usuario de datos de salud que almacene el conjunto de datos en un sistema de almacenamiento con capacidades reducidas. Estas capacidades reducidas no deberán afectar a la seguridad del conjunto de datos tratado. Los datos de salud electrónicos en el entorno de tratamiento seguro se suprimirán en un plazo de seis meses a partir de la expiración del permiso de datos. A petición del usuario de datos de salud, el organismo de acceso a datos de salud podrá almacenar la fórmula utilizada para la creación del conjunto de datos solicitados.

13. Si es necesario actualizar el permiso de datos, el usuario de datos de salud deberá presentar una petición de modificación del permiso de datos.

14. La Comisión podrá desarrollar, mediante un acto de ejecución, un logotipo para hacer patente la contribución del EEDS. Dicho acto de ejecución se adoptará de conformidad con el procedimiento de examen a que se refiere el artículo 98, apartado 2.