| Informe | 2026-0018 |
| Enlace | 📋 |
Resumen del informe jurídico de la AEPD sobre la modificación de la Orden reguladora del Sistema para la Autonomía y Atención a la Dependencia en Aragón
El informe de la Agencia Española de Protección de Datos (AEPD) evalúa la Orden proyectada por el Departamento de Sanidad, Bienestar Social y Familia de Aragón, que modifica la normativa autonómica de dependencia (Orden de 24 de julio de 2013) para adaptarla a reformas estatales recientes. La modificación introduce cambios en aspectos clave como la asistencia personal, el régimen económico de las prestaciones y la creación de un nuevo grado III+ de dependencia extrema. Sin embargo, el informe destaca deficiencias en materia de protección de datos, exigiendo mejoras para garantizar el cumplimiento del RGPD (Reglamento General de Protección de Datos) y la LOPDGDD (Ley Orgánica 3/2018).
Objeto y contexto normativo
La Orden modifica la regulación autonómica para alinearse con cambios estatales recientes, como el RD-ley 11/2025 y el RD 969/2025, que amplían categorías de dependencia. Los cambios afectan a:
Asistencia personal: Redefine el servicio como herramienta para la inclusión social y exige planes personalizados. Los requisitos para los prestadores incluyen ausencia de antecedentes de delitos sexuales, lo que implica tratamiento de datos sensibles.
Prestaciones económicas: Ajusta las cuantías, especialmente para el grado III+, vinculadas a enfermedades graves e irreversibles. Se exigen coeficientes progresivos según rentas y justificación de gastos.
Nuevo grado III+: Requiere evaluaciones médicas complejas, lo que conlleva tratamiento de datos de salud de categorías especiales (artículo 9 del RGPD).
Cuestiones clave de protección de datos
El informe identifica dos problemas fundamentales:
A. Falta de identificación clara del responsable del tratamiento
La Orden no especifica quién es el responsable del tratamiento de datos (Aragón o el IASS —Instituto Aragonés de Servicios Sociales—).
La falta de transparencia vulnera los principios de responsabilidad proactiva y seguridad jurídica (artículos 24 y 28 del RGPD).
Solución propuesta: Incluir un precepto que designe expresamente al órgano responsable, detallando sus funciones y obligaciones.
B. Ausencia de garantías en el tratamiento de datos
El RGPD exige cumplir con：
Principios del tratamiento (artículo 5):
Minimización de datos: Solo recopilar lo esencial (ej.: no solicitar datos irrelevantes para la prestación).
Limitación de finalidad: No usar datos para fines distintos a los de dependencia (evitar «reutilización» no autorizada).
Seguridad y confidencialidad: Proteger datos contra accesos no autorizados (ej.: contratos con cláusulas de confidencialidad).
Exactitud: Actualizar datos médicos y económicos.
Limitación del plazo de conservación: Eliminar datos cuando ya no sean necesarios.
Bases legitimadoras:
El tratamiento se justifica por obligaciones legales (artículo 6.1.c RGPD) y misión de interés público (artículo 6.1.e RGPD), siempre que la normativa autonómica lo permita.
Para datos de salud (artículo 9 del RGPD), la base es la gestión de sistemas de asistencia social (letra h).
No se requiere consentimiento del interesado al tratarse de funciones públicas, pero sí se deben respetar los derechos ARCO (Acceso, Rectificación, Cancelación, Oposición).
Medidas de seguridad insuficientes:
La Orden no menciona protocoles de ciberseguridad, control de accesos ni evaluaciones de riesgo.
Recomendación: Añadir un artículo o disposición adicional que exija:
Cifrado de datos y medidas técnicas (firewalls, autenticación multifactor).
Registro de actividades de tratamiento (artículo 30 RGPD).
Evaluación de Impacto (EIPD): Obligatoria por riesgo alto (artículo 35 RGPD) para datos de salud y tratamiento sistemático.
Falta de evaluación de impacto (EIPD)
La AEPD reitera la obligación de realizar una EIPD (artículo 35 RGPD), dado que:
Los tratamientos afectan a datos sensibles (salud, económicos).
Son masivos y sistemáticos, con alto riesgo para derechos fundamentales.
No hay análisis de riesgos ni medidas mitigadoras previas.
Consecuencia: La norma no cumple con el principio de protección de datos desde el diseño (artículo 25 RGPD).
Solución: Integrar la EIPD en la Memoria de Impacto Normativo (RD 931/2017), identificando riesgos como:
Accesos no autorizados a historiales médicos.
Fugas de datos en trámites administrativos.
Discriminación por filtraciones de información económica.
Disposiciones inexistentes en la norma original
La Orden de 2013, a modificar, ni siquiera menciona la protección de datos. La AEPD urge a incluir en la nueva redacción：
✅ Referencia expresa al RGPD y LOPDGDD.
✅ Designación clara del responsable del tratamiento.
✅ Protocolos de confidencialidad para empleados y entidades colaboradoras.
✅ Obligación de contratar seguros de ciberseguridad para entidades gestoras.
✅ Derechos de los interesados: Información transparente sobre cómo se usarán sus datos.
Conclusión y recomendaciones finales
La AEPD concluye que la Orden no garantiza plenamente la protección de datos, aunque las modificaciones sean necesarias. Para subsanar las carencias, propone：
Modificar la redacción para incluir：
Un precepto específico sobre protección de datos (RGPD/LOPDGDD).
Garantías de seguridad (medidas técnicas, acceso limitado, confidencialidad).
Evaluación de impacto (EIPD) en la Memoria Justificativa.
Reforzar la transparencia:
Informar a los beneficiarios sobre derechos de protección de datos y suslaves.
Publicar listas de tratamientos (artículo 30 RGPD).
Auditabilidad:
Crear protocolos de supervisión para verificar el cumplimiento (artículo 58 RGPD).
Resumen ejecutivo (500 palabras)
La AEPD valora positivamente la adaptación de Aragón a las reformas estatales en dependencia, pero censura incumplimientos graves en protección de datos. La Orden proyectada regula servicios críticos como la asistencia personal y el grado III+ de dependencia extrema, lo que implica tratamiento masivo de datos sensibles (salud, económicos). Sin embargo, adolece de dos problemas principales：
Inexistencia de responsables del tratamiento definidos: Se debe aclarar si es el IASS, el Departamento de Sanidad o ambos quienes gestionan los datos.
Falta de garantías: No se detallan medidas de seguridad, protocolos de confidencialidad ni evaluaciones de riesgo, pese a que el RGPD exige proteger datos de categorías especiales.
Además，la norma no incluye referencias al RGPD/LOPDGDD, incumpliendo el principio de transparencia y la obligación de llevar a cabo una Evaluación de Impacto (EIPD) para tratamientos de alto riesgo. La AEPD recomienda：
Incorporar un artículo específico que obligue al cumplimiento del RGPD/LOPDGDD, con designación expresa del responsable y garantías de seguridad.
Realizar una EIPD previa, integrándola en los trámites administrativos, y adoptar medidas como cifrado, control de accesos y registro de actividades.
Proteger el derecho a la confidencialidad, limitando el acceso a los datos a personal autorizado y exigiendo compromisos de secreto.
De no subsanarse estos defectos, la norma podría vulnerar derechos fundamentales y exponer a la Administración a sanciones por parte de la AEPD. Se insta a Aragón a revisar el texto para garantizar el respeto al derecho a la intimidad y la seguridad de la información, clave en un sistema que gestiona situaciones de extrema vulnerabilidad.