La AEPD y la autoridad helénica publican una guía conjunta sobre entornos de tratamiento seguro para reutilizar datos sensibles
Guía conjunta AEPD-HDPA sobre entornos de tratamiento seguro (ETS): claves para responsables, DPD y asesores sobre reutilización de datos sensibles.
La Agencia Española de Protección de Datos (AEPD) y la Autoridad Helénica de Protección de Datos (HDPA) han publicado una guía conjunta sobre entornos de tratamiento seguro (ETS), las infraestructuras que permiten acceder a datos protegidos o sensibles —en particular datos de salud— y tratarlos sin que el usuario los reciba ni los descargue. La guía, difundida el 5 de noviembre de 2026, ha contado con la colaboración de expertos de Eurostat, de la Dirección General del Dato del Ministerio para la Transformación Digital y de la Función Pública, del Garante italiano y de la Information Commissioner's Office (ICO) del Reino Unido.
Pieza clave del Espacio Europeo de Datos de Salud
Los ETS no son una excentricidad técnica: constituyen una pieza clave del Reglamento de Gobernanza de Datos y del Reglamento del Espacio Europeo de Datos de Salud. Este último establece que el acceso a datos de salud para usos secundarios —investigación, innovación o formulación de políticas— debe realizarse obligatoriamente a través de un entorno de tratamiento seguro. Para la ciudadanía, estos entornos son la garantía de que sus datos de salud podrán reutilizarse protegiendo sus derechos y libertades.
La guía está disponible en inglés y en español, y su elaboración conjunta —dos autoridades firmantes, con aportaciones de Eurostat, la Dirección General del Dato, el Garante italiano y la ICO— la sitúa como referencia europea y no solo nacional.
De compartir datos a acceder a los datos
La guía está dirigida a responsables del tratamiento, delegados de protección de datos, asesores y terceros que participan en el diseño, despliegue y operación de estos entornos. Una de sus ideas centrales es que un ETS es un conjunto de medidas legales, organizativas y técnicas que va más allá de la ciberseguridad convencional, y que debe incorporar los principios de protección de datos desde el diseño.
El documento explica además el salto conceptual que estos entornos representan: permiten pasar del modelo tradicional de compartir datos —con la transferencia que ello conlleva— al modelo de acceder a los datos, en el que el usuario trabaja sobre ellos sin necesidad de transmitirlos. La diferencia no es terminológica: en un ETS, el investigador consulta y procesa dentro del entorno controlado y no se lleva copia alguna.
Un planteamiento coordinado entre autoridades
La guía es fruto del trabajo conjunto de dos autoridades de protección de datos —la española y la helénica—, una cooperación que tiene valor práctico: los entornos de tratamiento que ofrecen los grandes proveedores tecnológicos son los mismos para las empresas de todos los Estados miembros, y criterios convergentes entre autoridades reducen la fragmentación interpretativa que tanto complica el cumplimiento en grupos multinacionales. La iniciativa se inscribe en la línea de producción de orientaciones sectoriales y técnicas que la AEPD viene manteniendo, complementarias de las directrices europeas del Comité Europeo de Protección de Datos. Es, además, un ejemplo de AEPD Abierta, la iniciativa recogida en el Plan Estratégico 2025-2030 de la Agencia, que busca materializar el diálogo y el intercambio de conocimiento con otras instituciones en recursos útiles para responsables, profesionales y ciudadanía.
El control real y efectivo del proveedor del entorno
Uno de los puntos que destacan ambas autoridades es que la entidad que proporciona el ETS debe mantener un control real y efectivo sobre la infraestructura y los tratamientos, también cuando recurre a terceros para prestarla. Las garantías contractuales o las certificaciones, por sí solas, no bastan: deben respaldarse con medidas técnicas, supervisión y capacidad real de auditoría. En la misma línea, la guía recomienda evitar la dependencia de un único proveedor y la concentración del control técnico.
La exigencia conecta con el criterio que la propia AEPD acaba de aplicar en su análisis sobre tratamiento de datos biométricos: la documentación y la justificación objetiva de las decisiones del responsable son el eje de la responsabilidad proactiva, no un trámite formal.
Gestión integral de riesgos: más allá de la ciberseguridad
La guía aborda la gestión integral de riesgos, incluida la dependencia de proveedores y la soberanía digital, con un enfoque que supera los riesgos convencionales de ciberseguridad y protección de datos: contempla también riesgos relacionados con la propiedad intelectual, los secretos comerciales o la seguridad nacional. Para ello plantea una metodología de análisis que combina las diez categorías de amenazas de LIINE4DU con el marco Five Safes.
El documento recuerda, asimismo, que la evaluación de impacto relativa a la protección de datos (EIPD) es, con carácter general, obligatoria en estos tratamientos, y analiza técnicas de ingeniería de protección de datos. Incorpora, por último, un caso práctico de investigación sanitaria desarrollado en seis fases, pensado como recorrido aplicable por las organizaciones que desplieguen un ETS.
La cadena de responsabilidades en la nube
El problema de fondo que aborda la guía es conocido por cualquier asesor de protección de datos: en los servicios en la nube y en los entornos colaborativos, la frontera entre responsable, encargado y corresponsable se difumina. El proveedor del entorno ofrece configuraciones por defecto, funcionalidades de compartición, analíticas y registros que pueden convertirlo en algo más que un mero encargado si decide medios y fines parciales del tratamiento. El RGPD exige que esa delimitación se documente —contrato de encargo del artículo 28, acuerdo de corresponsabilidad del artículo 26— y la guía aporta criterios para examinar si el control que el cliente cree tener sobre el entorno es real y efectivo o solo declarativo.
Por qué importa al asesoramiento jurídico
Para los abogados que asesoran a entidades sanitarias, centros de investigación, aseguradoras o empresas tecnológicas, la guía llega en un momento decisivo: el Espacio Europeo de Datos de Salud hará obligatorio el uso de ETS para los usos secundarios de datos de salud, de modo que la contratación de estos entornos dejará de ser una opción técnica para convertirse en una exigencia regulatoria. Las cuestiones que la guía pone sobre la mesa —quién controla realmente la infraestructura, qué pasa con las certificaciones del proveedor, cómo se documenta el análisis de riesgos, cuándo es obligatoria la EIPD— son exactamente las que deben recoger los contratos y los expedientes de cumplimiento.
La publicación es además un ejemplo de AEPD Abierta, la iniciativa recogida en el Plan Estratégico 2025-2030 de la Agencia, y muestra cómo la cooperación entre autoridades europeas —dos autoridades de protección de datos firmando conjuntamente, con aportaciones de otras instituciones— se materializa en recursos prácticos. La guía está disponible en inglés y en español. Para el despacho, su utilidad inmediata es doble: como checklist de exigencias para clientes que operen o contraten un ETS y como referencia de los criterios que la Agencia aplicará al supervisar estos tratamientos, en la misma línea preventiva que guía el asesoramiento sobre contratos de IA y datos y la gobernanza de la IA en la empresa.
Preguntas frecuentes
¿Qué es un entorno de tratamiento seguro (ETS)?
Una infraestructura que permite acceder a datos protegidos o sensibles —como los de salud— y tratarlos dentro de un entorno controlado, sin que el usuario los reciba o descargue.
¿Quiénes firman la guía?
La AEPD y la Autoridad Helénica de Protección de Datos, con colaboración de expertos de Eurostat, la Dirección General del Dato, el Garante italiano y la ICO británica.
¿Cuándo serán obligatorios los ETS?
El Reglamento del Espacio Europeo de Datos de Salud exige que el acceso a datos de salud para usos secundarios —investigación, innovación, políticas públicas— se realice a través de un ETS.
¿Bastan las certificaciones del proveedor del entorno?
No. Según la guía, deben respaldarse con medidas técnicas, supervisión y capacidad real de auditoría por parte de la entidad que proporciona el entorno.
¿Es obligatoria la evaluación de impacto en estos tratamientos?
La guía recuerda que la EIPD es, con carácter general, obligatoria en los tratamientos realizados en entornos de tratamiento seguro.
Fuentes
Fuentes
- Fuente. Consultada el 9 de noviembre de 2026.
Las fuentes utilizadas se identifican en esta lista; las crónicas periodísticas se atribuyen a su medio de origen.
