Marco normativo europeo y estatal. El Reglamento (UE) 2016/679, conocido como RGPD, constituye el pilar fundamental de la protección de datos en el ámbito europeo, estableciendo obligaciones directamente aplicables a los responsables del tratamiento, incluidas las administraciones públicas como el Servicio Andaluz de Salud.
Ley Orgánica de adaptación. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, desarrolla el régimen de protección en España, regulando específicamente los tratamientos realizados por organismos sanitarios públicos amparados en el ejercicio de funciones de interés público en materia de salud.
Legislación del sector público. La Ley 40/2015, de Régimen Jurídico del Sector Público, y el Real Decreto 311/2022, que regula el Esquema Nacional de Seguridad, complementan el marco de protección estableciendo requisitos para la administración electrónica y las medidas de seguridad aplicables a los sistemas de información.
Responsable del tratamiento. El Servicio Andaluz de Salud actúa como responsable del tratamiento de los datos personales de pacientes, usuarios y empleados, ostentando la obligación de garantizar la confidencialidad y seguridad de la información conforme a la normativa vigente.
Categoría especial de datos. Los datos de salud, incluidos diagnósticos, tratamientos, historias clínicas y resultados de pruebas, constituyen una categoría especial según el artículo 9 del RGPD, lo que obliga a extremar las garantías de protección y justificar su tratamiento en base al interés público en materia de sanidad.
Delegado de Protección de Datos. La normativa exige la designación de un Delegado de Protección de Datos cuando se traten a gran escala datos de categorías especiales, figura que el SAS tiene implantada y que supervisa el cumplimiento normativo actuando como punto de contacto para consultas y reclamaciones.
Principios de confidencialidad. La legislación impone el deber de acceso mínimo necesario, prohibiendo expresamente la consulta de datos por curiosidad, amistad o interés ajeno al servicio, exigiendo el cierre de sesiones, la custodia de credenciales y el respeto a los perfiles de acceso establecidos.
Reglamento General Europeo. El RGPD, o Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, establece el marco normativo europeo relativo a la protección de datos personales y su libre circulación. Esta normativa vinculante regula directamente el tratamiento de información personal en todos los Estados miembros, constituyendo la referencia fundamental del sistema de protección.
Norma de adaptación española. La Ley Orgánica 3/2018 tiene por objeto integrar el RGPD en el ordenamiento jurídico español sin sustituirlo, actuando como norma de adaptación y complemento. Su finalidad consiste en desarrollar aquellas cuestiones orgánicas, procedimentales y materiales que el propio Reglamento permite concretar mediante legislación nacional, completando así el marco regulador.
Rango constitucional orgánico. La ley adopta forma de ley orgánica conforme al artículo 81 de la Constitución Española, ya que regula un derecho fundamental reconocido por el Tribunal Constitucional. La protección de datos constituye un derecho fundamental autónomo basado en el artículo 18.4 de la Constitución, lo que exige su aprobación por mayoría absoluta del Congreso de los Diputados.
Doble eje normativo. La LOPDGDD persigue dos objetivos simultáneos: adaptar y complementar el RGPD en aspectos remitidos a los Estados miembros mediante las denominadas cláusulas de apertura, e introducir un catálogo de derechos digitales ciudadanos para limitar el uso de la informática garantizando el honor, la intimidad personal y familiar y el pleno ejercicio de los derechos.
Entrada en vigor y estructura. Publicada en el Boletín Oficial del Estado el 6 de diciembre de 2018, con referencia BOE-A-2018-16673, la normativa entró en vigor al día siguiente, el 7 de diciembre de 2018. Consta de 97 artículos distribuidos en 10 títulos y derogó expresamente la anterior Ley Orgánica 15/1999 y el Real Decreto 1720/2007.
Modelo de responsabilidad activa. La ley introduce el modelo de responsabilidad activa en la gestión del tratamiento de datos personales, representando una evolución respecto al anterior modelo de protección. Este enfoque implica que los responsables deben asumir una gestión proactiva del cumplimiento normativo, garantizando la efectiva protección de los derechos de las personas físicas.
Fundamento normativo. La Evaluación de Impacto relativa a la Protección de Datos, conocida también por sus siglas en inglés DPIA (Data Protection Impact Assessment), se encuentra regulada en el artículo 35 del RGPD. Este precepto establece la obligatoriedad de realizar dicha evaluación cuando sea probable que un tipo de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas, configurándose como una técnica de gobernanza jurídica y organizativa de carácter preventivo.
Naturaleza y finalidad. La EIPD no es una auditoría posterior ni una mera autorización formal previa, sino un proceso de análisis prospectivo orientado a anticipar y reducir riesgos reales antes de que el tratamiento se inicie. Su lógica responde directamente al principio de responsabilidad proactiva o accountability, que impregna todo el RGPD y exige al responsable demostrar activamente que ha evaluado el impacto de sus decisiones y adoptado medidas concretas para mitigar los riesgos identificados.
Alcance del riesgo evaluado. El análisis no se limita a pérdidas técnicas de información, sino que abarca afectaciones a la intimidad, autonomía personal, igualdad, no discriminación, secreto profesional, reputación, seguridad física o libertad de decisión. La evaluación debe realizarse desde la perspectiva de las personas afectadas, garantizando una visión centrada en la protección de sus derechos fundamentales frente a la mera comodidad operativa.
Supuestos de obligatoriedad. Resulta especialmente obligatoria cuando el tratamiento utiliza nuevas tecnologías o, por su naturaleza, alcance, contexto o fines, presenta un alto riesgo. El Servicio Andaluz de Salud, al tratar masivamente datos de salud, datos genéticos, biométricos y otras categorías especiales de datos personales en su actividad asistencial e investigadora, se encuentra entre los responsables que con mayor frecuencia deben realizar este tipo de evaluaciones preventivas.
Contenido mínimo exigible. Conforme al artículo 35.7 del RGPD, la EIPD debe contener una descripción sistemática de las operaciones de tratamiento previstas y sus fines, incluyendo categorías de datos, interesados afectados, destinatarios, plazos de conservación y sistemas técnicos. Asimismo, debe incluir la evaluación de la necesidad y proporcionalidad de las operaciones respecto a su finalidad, demostrando que no existen alternativas menos intrusivas para la privacidad que permitan alcanzar el mismo objetivo.
Evaluación de riesgos específica. El documento debe identificar amenazas concretas como acceso no autorizado, pérdida de datos o modificación indebida, estimando la probabilidad de que se materialicen y valorando la gravedad de sus consecuencias para los interesados. El resultado debe reflejar una valoración del riesgo residual tras la aplicación de las medidas previstas, permitiendo una gestión efectiva de la protección de datos desde el diseño.
Formalización y momento. La evaluación debe realizarse obligatoriamente antes de iniciar el tratamiento y documentarse por escrito, integrándose en la gobernanza ordinaria del tratamiento de datos personales. Este proceso de análisis, decisión, documentación y revisión constituye una obligación de medio que demuestra el cumplimiento activo de las obligaciones derivadas del RGPD.
Has visto un tema abierto completo. En la demo puedes comprobar cómo encajan el temario, las preguntas justificadas y los simulacros dentro de OposAs.
Qué vas a probar
La idea no es solo leer un tema: es estudiar con continuidad y comprobar cómo se relaciona con el resto de herramientas.
Verás explicaciones de la correcta y de las incorrectas para estudiar con más criterio, no solo para memorizar.
Con tu nombre y tu email, eliges categoría y te enviamos el acceso por correo sin compromiso.
Sólo tu email, tu nombre y apellidos (si quieres), elige categoría y prueba antes de decidir. Es gratis.
Revisa tu correo y también spam.
En tienes el enlace para terminar el autoregistro.
Ábrelo antes de 1 hora.