La AEPD y la Autoridad Helénica de Protección de Datos publican una guía clave sobre entornos de tratamiento seguro para datos sensibles. Claves, implicaciones y cómo preparar tu organización.
Hasta hace poco, cuando una organización necesitaba analizar datos de otra entidad, el proceso era casi siempre el mismo: solicitar la transferencia, recibir el archivo, trabajar con él localmente. Eso implica una transmisión real de datos, con todos los riesgos y obligaciones que conlleva. Los entornos de tratamiento seguro (ETS) invierten esa lógica.
En un ETS, el analista o investigador accede a los datos y trabaja con ellos dentro de una infraestructura controlada, pero nunca los descarga, nunca los recibe, nunca los extrae. Los datos permanecen donde deben estar. El resultado del análisis, si cumple con las condiciones definidas, es lo único que sale. Es un cambio conceptual importante: de compartir datos a acceder a datos.
Esto no es un concepto teórico ni una tecnología experimental. Los ETS son una pieza central del Reglamento de Gobernanza de Datos europeo y, especialmente, del Reglamento del Espacio Europeo de Datos de Salud (EHDS). Este último es bastante claro al respecto: cualquier uso secundario de datos de salud, ya sea para investigación, para innovación o para definir políticas sanitarias, debe canalizarse obligatoriamente a través de un entorno de este tipo. No es una recomendación, es un requisito.
En noviembre de 2026, la Agencia Española de Protección de Datos (AEPD) y la Autoridad Helénica de Protección de Datos (HDPA) publicaron conjuntamente una guía técnica y jurídica sobre cómo diseñar, desplegar y operar estos entornos con plenas garantías de protección de datos. No es una guía más. Ha contado con la participación de Eurostat, del Garante italiano, de la ICO británica y del Ministerio para la Transformación Digital español, entre otros. El nivel de consenso internacional detrás del documento le da un peso que va más allá de lo meramente orientativo.
La guía está dirigida a responsables del tratamiento, delegados de protección de datos (DPD), asesores jurídicos y técnicos, y a cualquier organización que forme parte de la cadena de un ETS, ya sea como proveedor de infraestructura, como entidad que facilita el acceso a los datos o como investigadora que los utiliza.
Uno de los mensajes más directos del documento es que un ETS no es solo un problema técnico. No basta con montar un entorno seguro en términos de ciberseguridad. Las medidas legales y organizativas tienen el mismo peso. Y todo debe estar pensado desde el diseño, aplicando los principios de privacidad by design y by default que ya exige el RGPD pero que aquí adquieren una dimensión operativa muy concreta.
El documento incluye además un caso práctico en investigación sanitaria desarrollado en seis fases, lo que lo convierte en una herramienta directamente aplicable, no en un texto de referencia abstracto.
El control real de la infraestructura, una exigencia que muchos pasan por alto
Hay un punto de la guía que merece atención especial porque choca de frente con cómo muchas organizaciones han montado sus arquitecturas de datos en los últimos años.
La exigencia es clara: la entidad responsable del ETS debe tener un control real y efectivo sobre la infraestructura y sobre los tratamientos que se realizan en ella. No importa que esa infraestructura esté en manos de un proveedor externo, ya sea un hiperescalador cloud, un integrador tecnológico o cualquier otro tercero. El control no puede delegarse por contrato.
Dicho de otra manera: un contrato con un proveedor cloud que incluya cláusulas de conformidad, certificaciones ISO 27001 o incluso acuerdos de procesamiento de datos según el artículo 28 del RGPD no es suficiente por sí solo. La organización responsable debe poder auditar de verdad, supervisar de verdad y actuar de verdad sobre la infraestructura. Si no tiene esa capacidad técnica y operativa real, el ETS no cumple con los requisitos.
Está implícito también el aviso sobre la dependencia de un único proveedor. La concentración del control técnico en manos de un solo tercero es un riesgo que la guía señala explícitamente, y que no es solo un problema de continuidad de negocio, sino de soberanía sobre los datos y de capacidad real de cumplimiento normativo.
La gestión de riesgos en un ETS es uno de los apartados más interesantes de la guía, porque rompe con el enfoque típico que muchas organizaciones tienen al respecto.
Cuando alguien habla de riesgos en un entorno de datos, lo primero que viene a la mente es un ciberataque, una brecha de seguridad, un acceso no autorizado. Esos riesgos existen y hay que gestionarlos. Pero no son los únicos.
La guía plantea un enfoque mucho más amplio que incluye riesgos relacionados con la propiedad intelectual, con secretos comerciales, con la seguridad nacional en determinados contextos y, de manera muy relevante, con la soberanía digital. ¿Qué ocurre si el proveedor de infraestructura está sujeto a legislación extraterritorial que permite el acceso por parte de terceros? ¿Qué control real tiene la organización responsable sobre lo que ocurre dentro del ETS?
Para estructurar este análisis, la guía propone combinar dos marcos metodológicos: las 10 categorías de amenazas del modelo LINCE4DU y el conocido marco Five Safes, ampliamente utilizado en investigación estadística y de salud pública. Esta combinación no es habitual en el ámbito empresarial, y su aplicación práctica requiere experiencia en protección de datos y en análisis de riesgos avanzado.
Sobre la obligatoriedad de la Evaluación de Impacto relativa a la Protección de Datos (EIPD): la guía no deja margen de duda. En la mayoría de los casos que implican un ETS, la EIPD es obligatoria. Y una EIPD mal hecha o superficial no protege a la organización, así que conviene hacerla bien desde el principio.
Si tu organización trabaja o quiere trabajar con datos de salud para investigación, innovación o análisis estadístico, o si opera como proveedor de servicios de acceso a datos, este marco normativo ya está vigente o está a punto de estarlo. Esperar no es una estrategia.
Hay varias áreas en las que actuar de forma inmediata.
Primero, revisar los contratos con proveedores de infraestructura. El criterio que señala la guía, el del control real y efectivo, obliga a revisar si los contratos actuales garantizan esa capacidad o si son simplemente declaraciones de intenciones. Muchos contratos cloud estándar no pasan este filtro.
Segundo, mapear los tratamientos que se realizan con datos de terceros o con datos de salud. ¿Cuáles de ellos deberían estar ya dentro de un ETS conforme al EHDS? ¿Cuáles tienen una EIPD asociada y cuáles no?
Tercero, evaluar la madurez técnica interna. ¿Tiene la organización capacidad real de auditoría sobre la infraestructura que utiliza? ¿Puede supervisar los accesos y los tratamientos de forma efectiva, o depende completamente de lo que le diga el proveedor?
Cuarto, revisar el rol y la carga de trabajo del DPD. Los ETS generan una cantidad significativa de trabajo para el delegado de protección de datos, desde la participación en la EIPD hasta la supervisión continua. Si el DPD está sobrecargado o no tiene el perfil técnico necesario para este tipo de entornos, es el momento de reforzar esa función.
La guía no trata al DPD como un actor secundario en todo esto. Su papel es central desde las fases más tempranas del diseño del ETS, no como auditor a posteriori sino como parte activa del proceso de toma de decisiones sobre arquitectura, controles y procedimientos.
Esto tiene implicaciones prácticas importantes. Un DPD que no tenga formación técnica en infraestructuras de datos, en análisis de riesgos avanzado o en las especificidades del EHDS va a tener dificultades para cumplir ese rol. No porque no sea competente en su función, sino porque el perfil que estos entornos requieren es muy específico.
Desde INTEDYA trabajamos con organizaciones que se encuentran exactamente en esta situación: tienen un DPD nombrado, tienen procedimientos documentados, pero cuando llegan proyectos de esta complejidad, necesitan refuerzo externo especializado para no quedarse cortos en el cumplimiento real.
Si tu organización está abordando proyectos con datos de salud, está evaluando proveedores de infraestructura para un ETS, o simplemente quiere saber en qué punto se encuentra respecto a estos requisitos, el equipo de INTEDYA puede ayudarte a hacer ese diagnóstico y a trazar un camino de implementación realista.
¿Tu organización está preparada para cumplir con los requisitos de los entornos de tratamiento seguro?. Nuestros consultores especializados en protección de datos y gobernanza del dato pueden acompañarte desde el diagnóstico inicial hasta la implementación completa. Contáctanos y cuéntanos tu caso.
En Intedya acompañamos a organizaciones de todos los tamaños en más de 20 países. Consultoría especializada en Protección de Datos, con resultados medibles y evidencias ante cualquier fiscalización.
Solicitar información sin compromiso →
