Qué permite un entorno de tratamiento seguro
Un equipo de investigación puede necesitar analizar datos de salud para responder una pregunta concreta. Entregarle una copia completa de los registros aumenta el número de lugares donde habrá que protegerlos. El 5 de noviembre, la AEPD publicó una guía conjunta de las autoridades española y griega que explica cómo organizar el acceso y el análisis dentro de un entorno controlado.
La guía se dirige especialmente a quienes diseñan, gestionan o utilizan estos entornos en iniciativas de reutilización de datos. Su planteamiento interesa, por ejemplo, a entidades sanitarias, equipos de investigación y proveedores que participan en espacios de datos. El acceso se organiza en función de las operaciones autorizadas, con controles sobre los datos disponibles y sobre los resultados que salen del entorno.
Qué preguntar antes de abrir el acceso
En un proyecto de investigación, conviene empezar por identificar a las personas que accederán al conjunto de datos y las operaciones que necesitan realizar. Define quién aprueba el acceso, cómo se revoca al terminar y qué se comprueba antes de permitir la exportación de resultados. Incluso una tabla agregada puede revelar información si contiene grupos muy pequeños.
Si la infraestructura la gestiona un proveedor, pide que te muestre cómo se registran los accesos y cómo puedes comprobar las operaciones autorizadas. La guía subraya que el control efectivo debe mantenerse cuando intervienen terceros. Una cláusula contractual aporta poco si la entidad responsable carece de acceso a las evidencias necesarias para supervisar el servicio.
El análisis debe partir de la finalidad y del marco jurídico de cada proyecto. Utilizar un entorno controlado mantiene las responsabilidades que correspondan a las partes conforme al RGPD. La selección de datos, las condiciones de acceso y la posibilidad de ejercer derechos deben resolverse junto con las cuestiones técnicas.
Diseña las garantías antes de compartir
En OZONIA Consultores podemos ayudarte a identificar qué datos necesita el proyecto, cómo se reparten las responsabilidades y qué garantías conviene pedir al proveedor. Es más fácil definir el control de las exportaciones y el cierre de accesos mientras se negocia el proyecto que cuando el equipo ya trabaja con los datos.
Si tu organización va a participar en un proyecto que requiere acceso a datos sensibles, remítenos tu consulta a través del formulario de Contactar.