Guardar información en la nube puede facilitar el trabajo diario, pero no elimina las responsabilidades de la empresa. Cuando se trata de datos de salud, expedientes de clientes o documentación especialmente sensible, la pregunta no es solo dónde se almacenan, sino quién puede acceder, qué controles existen y cómo se evita que la información salga del entorno protegido.
📰 Qué ha publicado la AEPD
El 5 de noviembre de 2026, la AEPD y la autoridad griega de protección de datos publicaron una guía conjunta sobre entornos de tratamiento seguro.
Estos entornos permiten consultar datos protegidos sin que la persona usuaria tenga que recibirlos o descargarlos. La guía presta especial atención a la reutilización de datos sensibles, especialmente los de salud, y propone una metodología de análisis de riesgos y un catálogo de medidas.
🔐 Qué es un entorno de tratamiento seguro
La idea es sencilla: en lugar de enviar una copia completa de los datos a cada usuario o proveedor, se permite trabajar dentro de un espacio controlado. El acceso se limita, se supervisa la actividad y se reducen las posibilidades de que la información termine en dispositivos o canales no autorizados.
Este enfoque puede ser útil para investigación, análisis, colaboración entre empresas o prestación de servicios que requieren consultar información sensible. No sustituye al cumplimiento del RGPD, pero ayuda a aplicar principios como la minimización, la confidencialidad y la protección desde el diseño.
La nube no es el problema por sí sola; el riesgo aparece cuando la empresa no sabe quién controla realmente los datos.
🤝 El proveedor no asume todo el riesgo
Una pyme puede contratar una plataforma externa, pero debe saber qué ocurre dentro de ella. La guía insiste en que quien proporciona el entorno debe mantener un control real y efectivo, también cuando recurre a terceros.
- Identificar qué proveedor trata los datos.
- Conocer qué subproveedores intervienen.
- Revisar los permisos y los perfiles de acceso.
- Comprobar cómo se registran las actividades.
- Definir cómo se notifica y gestiona una incidencia.
Las cláusulas contractuales y las certificaciones pueden ayudar, pero no sustituyen la supervisión ni la capacidad de comprobar que las medidas funcionan.
⚕️ Qué datos requieren más cautela
No todos los tratamientos tienen el mismo nivel de riesgo. Una empresa debe extremar la prudencia cuando trabaja con:
- Datos de salud o información médica.
- Documentación de empleados y evaluaciones laborales.
- Datos financieros o identificativos de clientes.
- Información que puede revelar situaciones personales delicadas.
En estos casos conviene limitar la información visible, separar perfiles, revisar los plazos de conservación y evitar descargas innecesarias. Una clínica o centro sanitario, por ejemplo, debe valorar con especial cuidado qué herramientas utiliza para gestionar expedientes.
📋 Qué debe revisar una pyme antes de contratar
Antes de aceptar una plataforma, conviene pedir respuestas concretas:
- ¿Dónde se alojan y procesan los datos?
- ¿Qué personas y empresas pueden acceder?
- ¿Cómo se cifran, bloquean o eliminan?
- ¿Qué ocurre cuando termina el contrato?
- ¿Cómo se informa de una brecha o una indisponibilidad?
La guía en español de la AEPD plantea que la seguridad debe abordarse mediante medidas legales, organizativas y técnicas, no solo con una herramienta informática.
⚖️ Riesgo, control y evaluación de impacto
La AEPD reúne recursos sobre responsabilidad proactiva, gestión del riesgo y evaluación de impacto. La empresa debe analizar las consecuencias que tendría un acceso no autorizado, una pérdida de información o una dependencia excesiva de un único proveedor.
Cuando el tratamiento pueda generar un riesgo alto para las personas, será necesario valorar si procede realizar una evaluación de impacto y documentar las decisiones. No se trata de llenar documentos sin sentido, sino de demostrar que el diseño del servicio responde al riesgo real.
✅ Una checklist para empezar
Esta revisión puede organizarse en una carpeta sencilla con cuatro bloques: datos tratados, proveedores, permisos y evidencias. Guarda contratos, responsables, revisiones de acceso, incidencias y decisiones sobre conservación.
Para completar el diagnóstico, puedes consultar nuestra checklist de protección de datos y revisar una solución específica para clínicas de fisioterapia si trabajas con información sanitaria.
💬 ¿Sabrías explicar ahora mismo quién controla los datos de tu empresa cuando están alojados en la nube?
La protección de datos no termina al contratar un servicio. Empieza cuando la empresa conoce su ecosistema digital y conserva capacidad real para supervisarlo.
Datos sensibles en la nube: qué debe exigir una pyme a sus proveedores