2026年，欧盟委员会公布《HealthData@EU实施条例》草案。该草案依据《欧洲健康数据空间条例》（Regulation (EU) 2025/327）第63(7)条和第75(12)条制定，就HealthData@EU跨境基础设施的架构、治理、连接条件、安全与个人数据保护等作出规定。草案文本注明，其尚未被欧盟委员会采纳或认可，所表达观点为委员会服务部门的初步观点，不代表欧盟委员会官方立场。主要内容如下：

一、架构与中央平台

HealthData@EU基于中央协调架构，包括委员会开发、部署和运营的中央平台；国家二次使用联系点、欧盟健康数据访问服务及授权参与者运营的系统与组件；中央平台与上述系统之间的安全连接。

中央平台提供信息交换与路由、健康数据访问申请的提交与自动转发、国家数据集目录互联、EU数据集目录公开、执法信息交换工具，以及用户与访问管理、配置、监测、协调等功能。委员会负责中央平台及其他中央服务的开发、部署、运营、安全和维护；各连接实体负责自身系统与组件的开发、部署、运营、安全和维护，并维持与中央平台的连接。

二、技术文档与互操作性

委员会与指导组合作制定并维护技术文档，规定HealthData@EU连接、互操作和运行所需的技术细节，包括接口、消息格式、元数据模型、语义资产、身份认证、安全控制、日志、版本管理、测试规范等。中央平台及连接实体的系统应支持技术、语义和组织互操作性，并支持与其他相关欧洲共同数据空间互通。

三、治理与演进

HealthData@EU指导组负责运营决策，包括批准技术文档、重大发布及其时间表、合规检查框架、年度工作计划、授权参与者连接、第三国或国际组织授权参与者运营准备确认及最终排除等。委员会负责准备、技术、评估和实施任务。

草案区分“重大发布”和“次要发布”。重大发布需指导组批准，并需连接实体调整系统；次要发布由委员会按变更管理程序处理，并提前通知指导组和连接实体。委员会每年向指导组提交年度工作计划草案，内容包括中央平台开发维护优先事项、计划中的重大发布、合规检查活动、安全与业务连续性措施、互操作性工作及实施里程碑等。

四、加入与保持连接的条件

国家二次使用联系点和欧盟健康数据访问服务须连接HealthData@EU。通过初始合规检查后即可连接；不合规应通过纠正措施处理，必要时可临时断开，但不作最终排除。

授权参与者包括健康相关研究基础设施及第三国或国际组织。其连接须经申请、委员会初始合规检查，并由指导组作出运营决策。第三国或国际组织还需满足对等访问、GDPR第五章、安全处理环境等条件，且连接须在依据Regulation (EU) 2025/327第75(13)条通过实施法案后生效。

合规检查包括初始检查、定期检查（至少每五年一次）和额外检查。不合规可要求限期纠正、临时断开；严重不当行为或重复违规可导致授权参与者被最终排除。

五、安全与个人数据保护

中央平台处理个人数据限于健康数据访问申请中提交的个人数据；通过执法信息交换工具共享的个人数据；平台用户数据。国家二次使用联系点作为联合控制者，委员会作为处理者。委员会须落实安全计划、风险评估、加密、日志、审计、事件管理等措施。

在委员会依据Regulation (EU) 2025/327第75(9)条提供的安全处理环境中，国家二次使用联系点或授权参与者作为联合控制者，委员会作为处理者。草案对联合控制者和处理者的职责分别作出规定。

六、执法信息交换工具

委员会开发、运营和维护执法信息交换工具，作为中央平台组成部分。该工具用于健康数据访问机构记录和更新执法措施信息，并支持其他机构查询、搜索和获知新记录及变更。访问权限限于成员国健康数据访问机构授权用户、欧盟健康数据访问服务授权用户及委员会相关用户。记录机构对信息的准确性和完整性负责。