Històries clíniques: el conflicte entre el Tribunal Suprem i l'AEPD
- L'AEPD estableix que els pacients tenen dret a saber quin professional ha accedit a la seva història clínica.
- Aquest criteri contradia la sentència del Tribunal Suprem del juny de 2026, que no reconeixia aquest dret com a regla general.
- Els centres sanitaris han de garantir una traçabilitat detallada dels accessos per evitar sancions.
- La disputa jurídica es centra en si el personal autoritzat és considerat destinatari dels dades segons el RGPD.
La gestió de la privadesa en l'àmbit sanitari ha entrat en una fase de profunda incertesa jurídica a Espanya. En pocs dies, els responsables del tractament de dades mèdiques s'han trobat amb dues interpretacions diametralment oposades sobre un dret fonamental: la capacitat d'un pacient per saber exactament qui ha consultat la seva història clínica. Aquest debat no és una mera qüestió tècnica, sinó que redefineix la transparència en la relació metge-pacient i les obligacions operatives de hospitals i clíniques.
El gir inesperat de l'Agència Espanyola de Protecció de Dades
El 7 de juliol de 2026, l'Agència Espanyola de Protecció de Dades (AEPD) va difondre un criteri que sacseja els fonaments de la pràctica administrativa sanitària. Segons l'organisme, el dret d'accés recollit a l'article 15 del Reglament General de Protecció de Dades (RGPD) inclou, com a regla general, la identificació de les persones físiques que han accedit a les dades de salut. Aquesta postura implica que qualsevol restricció a aquesta informació ha de ser excepcional, estar debadament fonamentada i quedar documentada per escrit pel responsable del centre.
Fins ara, molts centres sanitaris operaven sota la premissa que bastava amb indicar categories de destinataris, com per exemple, el servei d'admissió o el personal mèdic. No obstant això, la AEPD sosté que aquesta exclusió general i automàtica no és compatible amb el dret de la Unió Europea. La traçabilitat, per tant, deixa de ser una recomanació de bones pràctiques per convertir-se en un requisit imperatiu per respondre a les sol·licituds dels pacients.
La visió del Tribunal Suprem i la doctrina europea
Aquest nou enfocament de l'AEPD arriba poc després d'una sentència clau del Tribunal Suprem, la 789/2026 del 24 de juny. En aquest fallo, l'alta cort estableix que els pacients no tenen, com a norma general, el dret d'identificar els professionals que hagin consultat legítimament el seu historial. La clau de މިl argumentació recau en la definició de destinatari.
El Tribunal Suprem, alineant-se amb la doctrina del Tribunal de Justícia de la Unió Europea (TJUE) expressada en la sentència del 22 de juny de 2023 (assumpte C-579/21), afirma que el personal autoritzat que consulta dades dins d'una organització, seguint les instruccions del responsable, no es considera un destinatari de les dades. Per tant, l'article 15.1.c) del RGPD no obligaria a revelar els noms individuals. L'única excepció seria quan la identificació sigui indispensable per exercir efectivament els drets del RGPD, després d'una ponderació entre els drets del pacient i les llibertats del treballador. Pots trobar més detalls sobre aquest conflicte a Confilegal.
La traçabilitat com a nova norma operativa
Per a un hospital, una clínica o una asseguradora de salut, el canvi d'interpretació de l'AEPD té implicacions tècniques immediates. Ja no és acceptable respondre a un pacient amb frases genèriques. La nova exigència obliga a tenir registres detallats que permetin respondre a tres preguntes bàsiques: qui, quan i a què s'ha accedit.
La traçabilitat passa a ser la regla, no l'excepció.
Aquesta transició obliga els responsables sanitaris a revisar els seus sistemes de registre d'accessos. Si un centre no pot demostrar qui ha entrat en una fitxa mèdica, s'exposa a sancions administratives per incompliment del dret d'accés. La gestió d'aquests registres es torna crítica, ja que qualsevol limitació a la identitat del professional ha de estar justificada cas per cas, i no per una política general de l'empresa.
Un conflicte d'interpretacions sense consens
El que estem presenciant no és una modificació de la llei, sinó una col·lisió d'interpretacions administratives i judicials. Per un costat, el Tribunal Suprem prioritza la natura interna de l'accés professional; per l'altre, l'AEPD anticipa un estàndard europeu de transparència més rigorós. Aquesta discordança crea un escenari de inseguretat jurídica per a les empreses del sector salut.
L'AEPD no intenta deridar la doctrina del TJUE, però canvia el punt d'equilibri de la balança. Mentre el Suprem veu el personal intern com a part de l'estructura del responsable, l'Agència considera que el pacient ha de tenir un control real sobre qui ha vist la seva informació més íntima. Aquesta tensió podria acabar en noves batalles judicials on s'haurà de decidir quin dels dos criteris prevaleix en la pràctica quotidiana.
Impacte en la gestió de dades i conformitat legal
Els responsables de conformitat (DPO) dels centres sanitaris han de moure-se amb cautela. La implementació de sistemes de monitoratge d'accessos és ara més urgent que mai. No es tracta només d'instal·lar un programari, sinó de definir protocols de resposta davant les sol·licituds d'accés dels pacients. Eleva Legal destaca que la documentació de les excepcions és el punt on moltes organitzacions podrien fallar.
Si un centre decideix no revelar la identitat d'un professional basant-se en el criteri del Tribunal Suprem, ha de ser conscient que l'AEPD, com a organisme supervisor, podria considerar aquesta resposta insuficient. Això col·loca els gestors en un dilema: seguir la jurisprudència dels tribunals o seguir les directives de l'autoritat que imposa les multes.
Implicacions per a l'ecosistema empresarial de Catalunya i Espanya
Aquesta disputa jurídica té un impacte directe en el teixit empresarial català, especialment a Barcelona, que s'ha consolidat com un hub de HealthTech i innovació biomèdica. Les startups i empreses de software que desenvolupen sistemes de gestió hospitalària (HIS) i fitxes mèdiques electròniques han de reajustar les seves arquitectures de dades per garantir una traçabilitat granular i exportable.
En el context de l'AI Act i la regulació europea de la intel·ligència artificial, la transparència en l'accés a les dades és un pilar fonamental. Si s'implementen sistemes d'IA per al diagnòstic o la gestió de pacients, la qüestió de qui (o quin procés) ha accedit a la informació es torna encara més complexa. Les empreses catalanes que exporten tecnologia sanitària han de considerar que l'estàndard de transparència a Espanya s'està tornant extremadament exigent.
Per al mercat espanyol, això significa un augment dels costos de conformitat. Els centres sanitaris, des de les grans xarxes d'hospitals fins a les petites clíniques privades, hauran d'invertir en ciberseguretat i auditoria de dades. La capacitat de respondre amb precisió a un pacient no és només una obligació legal, sinó que es converteix en un element de confiança i competitivitat en un mercat on la privadesa és un valor diferencial.
Preguntes freqüents
El pacient pot exigir saber quin metge ha vist la seva història clínica?
Segons l'AEPD, sí, és la regla general. Segons el Tribunal Suprem, no és un dret general, excepte si és indispensable per exercir altres drets del RGPD.
Què ha de fer un centre sanitari per complir amb el criteri de l'AEPD?
Ha de mantenir un registre detallat de traçabilitat que identifiqui qui, quan i a quines dades s'ha accedit, i documentar per escrit qualsevol excepció a la revelació d'aquesta identitat.
El personal mèdic és considerat destinatari de les dades?
El Tribunal Suprem afirma que el personal autoritzat que actua sota instruccions del responsable no és un destinatari, mentre que l'AEPD insta a una interpretació més oberta per garantir la transparència.
Fonts: Confilegal, Elpais, Eleva ·
glacom · IA per a despatxos d’advocats: els expedients no surten del despatx →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
