| Informe | 2026-0012 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre el Real Decreto del SIVAIN (2026-0012)
La Agencia Española de Protección de Datos (AEPD) ha emitido un informe desfavorable sobre el proyecto de Real Decreto que regula el Sistema de Información de Vacunaciones e Inmunizaciones (SIVAIN), argumentando que incumple los requisitos constitucionales y del Reglamento General de Protección de Datos (RGPD) en relación con el tratamiento de datos de salud, considerados categorías especiales.
Principales motivos de la valoración negativa
Ausencia de base legal con rango de ley formal
El SIVAIN recopila datos identificativos y clínicos (como el código SNS o datos de vacunación), lo que exige una norma con rango de ley que desarrolle las garantías para su tratamiento, conforme al artículo 6.3 del RGPD y la jurisprudencia constitucional (STC 76/2019).
El proyecto se limita a un Real Decreto, sin incorporar las salvaguardas necesarias en una ley, lo que vulnera el principio de reserva de ley y la proporcionalidad, tal como ha establecido el Tribunal Constitucional y el Tribunal de Justicia de la Unión Europea (TJUE).
Inadecuación para categorías especiales de datos
Los datos sanitarios están protegidos por el artículo 9 del RGPD, que exige bases jurídicas específicas para su tratamiento. El proyecto se remite genéricamente al RGPD y a leyes sectoriales (Ley 33/2011 o Ley 41/2002), pero sin desarrollar garantías concretas como las necesarias para la seudonimización, cesiones o accesos transfronterizos.
La Disposición Adicional Primera intenta regular el tratamiento, pero no sustituye a una ley, ya que las garantías deben estar integradas en la norma habilitante.
Deficiencias en la Evaluación de Impacto (EIPD)
El proyecto menciona la obligación de realizar una Evaluación de Impacto (EIPD), pero esta figura debe estar regulada en una ley formal para ser vinculante, no solo en un reglamento.
La interconexión con otros sistemas, el almacenamiento de datos históricos y los intercambios internacionales requieren garantías reforzadas, ausentes en el texto propuesto.
Ampliación del ámbito sin salvaguardas suficientes
Se incluye al sector privado en el SIVAIN, incrementando riesgos para la privacidad, pero sin establecer medidas adicionales que garanticen el cumplimiento del principio de minimización o protección desde el diseño (artículo 25 RGPD).
Avances valorados positivamente
Se reconoce la seudonimización como herramienta técnica para reducir riesgos.
Se define a los responsables del tratamiento (Ministerio de Sanidad, Comunidades Autónomas, etc.).
Se alude a la EIPD y a medidas de seguridad, pero estas son insuficientes sin un respaldo legal adecuado.
Conclusión y recomendación
La AEPD reitera su informe desfavorable de octubre de 2024, insistiendo en que el proyecto debe:
Modificar la Ley 33/2011 (General de Salud Pública) o aprobar una nueva ley con rango de ley formal que regule exhaustivamente el tratamiento de datos sanitarios.
Incorporar garantías específicas: límites al uso de identificadores, plazos de conservación, cesiones a terceros y mecanismos de reidentificación.
Regular en ley la EIPD, las cesiones internacionales y los algoritmos de seudonimización.
Hasta entonces, el SIVAIN no cumple con los estándares constitucionales y comunitarios, por lo que su aprobación sería contraria al marco de protección de datos.
Resumen redactado en aproximadamente 500 palabras, sintetizando los aspectos clave del informe 2026-0012 de la AEPD.