La AEPD y la Autoridad helénica de protección de datos publican una guía conjunta sobre entornos de tratamiento seguro
- Estos entornos son una garantía para la reutilización de datos sensibles, en particular los de salud, ya que se tratan sin salir de un entorno controlado
- Ambas autoridades recuerdan que quien proporciona el entorno debe mantener un control real y efectivo, también cuando recurre a terceros
- La guía incluye una metodología de análisis de riesgos con un catálogo de medidas, el análisis de técnicas de ingeniería de protección de datos y un caso práctico en investigación sanitaria desarrollado por fases
- Acceso a la guía en inglés y en español
(05 de noviembre de 2026). La Agencia Española de Protección de Datos (AEPD) ha publicado la guía Entornos de tratamiento seguro desde la perspectiva de la protección de datos, elaborada conjuntamente con la Autoridad Helénica de Protección de Datos (HDPA). El documento ha contado con la colaboración de expertos de Eurostat, la Dirección General del Dato del Ministerio para la Transformación Digital y de la Función Pública, el Garante per la protezione dei dati personali de Italia y la Information Commissioner’s Office (ICO) del Reino Unido. El hecho de que haya sido realizada por dos autoridades de protección de datos, junto a la colaboración de expertos nacionales e internacionales, refuerza la dimensión internacional de la guía.
Los entornos de tratamiento seguro (ETS) son infraestructuras que permiten acceder a datos protegidos o sensibles, como los datos de salud, y tratarlos sin que el usuario los reciba o descargue. Constituyen una pieza clave del Reglamento de Gobernanza de Datos y del Reglamento del Espacio Europeo de Datos de Salud. Este último establece que el acceso a datos de salud para usos secundarios, como la investigación, la innovación o la formulación de políticas, debe realizarse obligatoriamente a través de un ETS. Para la ciudadanía, estos entornos son la garantía de que se podrán reutilizar sus datos de salud protegiendo sus derechos y libertades.
La guía ofrece orientación a los responsables del tratamiento, delegados de protección de datos, asesores y terceros que participan en el diseño, despliegue y operación de estos entornos. El documento subraya que un ETS es un conjunto de medidas legales, organizativas y técnicas que va más allá de la ciberseguridad convencional, y que debe tener implementados desde el diseño los principios de protección de datos. Asimismo, explica que estos entornos permiten pasar del concepto tradicional de compartir datos, con la transferencia de datos que conlleva, al de acceder a los datos, en el que el usuario accede a los datos sin necesidad de transmitirlos.
Uno de los aspectos que destacan ambas autoridades es que la entidad que proporciona el ETS debe tener un control real y efectivo sobre la infraestructura y los tratamientos, incluso si la infraestructura la proporciona un tercero. Las garantías contractuales o las certificaciones, por sí solas, no bastan: deben respaldarse con medidas técnicas, supervisión y capacidad real de auditoría. En este sentido, la guía recomienda evitar la dependencia de un único proveedor y la concentración del control técnico.
La guía aborda también la gestión integral de riesgos, incluida la dependencia de proveedores y la soberanía digital. Esta gestión debe ir más allá de los riesgos convencionales de ciberseguridad y protección de datos, con un enfoque que incluya también los riesgos en relación con la propiedad intelectual, los secretos comerciales o la seguridad nacional, entre otros. Para ello, plantea una metodología de análisis de riesgos que combina las 10 categorías de amenazas de LIINE4DU con el marco Five Safes. El documento recuerda, además, que la evaluación de impacto relativa a la protección de datos (EIPD) es, con carácter general, obligatoria en estos tratamientos.
Asimismo, analiza técnicas de ingeniería de protección de datos e incorpora un caso práctico en investigación sanitaria desarrollado en seis fases.
Esta guía es un ejemplo de AEPD Abierta, la iniciativa recogida en su Plan Estratégico 2025-2030. La colaboración con la autoridad griega, junto con las aportaciones de otras instituciones nacionales e internacionales, muestra cómo el diálogo y el intercambio de conocimiento se materializa en recursos útiles para responsables, profesionales y ciudadanía.