El Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud, ordena un nuevo marco europeo de acceso, circulación e interoperabilidad de los datos de salud electrónicos. Su finalidad es doble: mejorar la asistencia sanitaria mediante el uso primario de los datos y favorecer la investigación, la innovación y la formulación de políticas públicas mediante su uso secundario. Desde el Derecho civil, sin embargo, el problema no consiste solo en determinar si el tratamiento es administrativamente lícito, sino en precisar qué tutela merece la persona cuando
sus datos de salud se convierten en un recurso electrónico reutilizable, interoperable y potencialmente expuesto a brechas de seguridad, reidentificación o inferencias algorítmicas. La intimidad digital de unos datos personalísimos – como los relativos a la salud– debe ser entendida como una manifestación actual de los derechos de la personalidad y que el régimen del EEDS exige una lectura desde el derecho privado centrada en la autonomía, la diligencia reforzada, la trazabilidad y la reparación efectiva de los daños materiales y morales cuando estos acontezcan –porque la innovación regulatoria es valiosa, pero en materia de salud la eficiencia no puede convertirse en una presunción de sacrificio de los derechos de la persona–.

—

Private law protection of health data in EU Regulation 2025/327: privacy, autonomy and liability for damages

Regulation (EU) 2025/327 on the European Health Data Space establishes a new European framework for access to, circulation and interoperability of electronic health data. Its purpose is twofold: to improve healthcare through the primary use of data and to promote research, innovation and public-policy making through secondary use. From the perspective of civil law, however, the central issue is not only whether the processing is administratively lawful, but also what protection must be afforded to individuals when their health data become a reusable,
interoperable resource exposed to security breaches, re-identification and algorithmic inference. This article argues that digital health privacy should be understood as a contemporary expression of personality rights and that the EHDS requires a civil-law reading based on autonomy, reinforced diligence, traceability and effective compensation for material and non-material damage –because regulatory innovation is valuable, but in the realm of health, efficiency cannot become a presumption that the individual’s rights are to be sacrificed–.