AEPD y autoridad griega publican una guía sobre entornos de tratamiento seguro

La Agencia Española de Protección de Datos (AEPD) ha publicado, el 5 de noviembre de 2026, la guía Entornos de tratamiento seguro desde la perspectiva de la protección de datos, elaborada con la Autoridad Helénica de Protección de Datos (HDPA). Importa porque los entornos de tratamiento seguro serán la vía obligatoria para reutilizar datos de salud en Europa.

Qué es un entorno de tratamiento seguro

Según la nota de prensa de la AEPD, un entorno de tratamiento seguro (ETS) es una infraestructura que permite acceder a datos protegidos o sensibles y tratarlos sin que el usuario los reciba ni los descargue. Es una pieza del Reglamento de Gobernanza de Datos y del Reglamento del Espacio Europeo de Datos de Salud, que exige este canal para los usos secundarios de datos de salud, como investigación, innovación o formulación de políticas.

La guía insiste en que un ETS no es solo ciberseguridad: es un conjunto de medidas legales, organizativas y técnicas, con los principios de protección de datos integrados desde el diseño. Supone pasar de «compartir» datos, con su transferencia, a «acceder» a ellos sin transmitirlos.

Control real, también con terceros

El mensaje central es que la entidad que ofrece el ETS debe tener control real y efectivo sobre la infraestructura y los tratamientos, aunque la proporcione un tercero. Las garantías contractuales o las certificaciones, por sí solas, no bastan: necesitan respaldo técnico, supervisión y capacidad real de auditoría. La guía recomienda además evitar la dependencia de un único proveedor y la concentración del control técnico.

Riesgos, técnicas y caso práctico

El documento propone una gestión integral de riesgos que incluye dependencia de proveedores y soberanía digital, y también propiedad intelectual, secretos comerciales o seguridad nacional. Su metodología combina las diez categorías de amenazas de LIINE4DU con el marco Five Safes, y recuerda que la evaluación de impacto relativa a la protección de datos (EIPD) es, en general, obligatoria en estos tratamientos. Analiza técnicas de ingeniería de protección de datos e incorpora un caso práctico de investigación sanitaria en seis fases.

Participaron expertos de Eurostat, de la Dirección General del Dato del Ministerio para la Transformación Digital y de la Función Pública, del Garante per la protezione dei dati personali de Italia y de la Information Commissioner’s Office (ICO) del Reino Unido. Es una guía orientativa, no una norma vinculante.

La mirada de CEA Digital Law

Para el Comité Euro Americano de Derecho Digital - CEA Digital Law, lo más valioso es el criterio de control efectivo: desplaza el debate del «quién certifica» al «quién puede realmente supervisar y auditar». Es una pauta útil para cualquier jurisdicción que quiera abrir datos de salud a la investigación, también en América Latina y el Caribe y en África, donde muchos proyectos dependen de infraestructuras en la nube de terceros y la soberanía sobre el dato es una cuestión abierta.

Proponemos que las autoridades de esas regiones aprovechen la metodología de riesgos y el caso por fases como base de trabajo, adaptándola a sus marcos nacionales. Queda por ver cómo se coordinarán estas orientaciones con los actos de ejecución del Espacio Europeo de Datos de Salud y qué margen tendrán las entidades pequeñas para cumplir sin depender de grandes proveedores. La cooperación entre autoridades, como la de Madrid y Atenas, es un buen modelo para resolverlo.

Fuentes

• AEPD: nota de prensa sobre la guía conjunta con la HDPA
• AEPD: Entornos de tratamiento seguro (guía, español)
• AEPD: Secure processing environments (guide, English)

CEA Digital Law