Privacidad sanitaria en España: el choque entre el Supremo y la AEPD
- El Tribunal Supremo dictaminó que los pacientes no tienen derecho general a identificar a los profesionales que consultan su historial.
- La AEPD ha adoptado un criterio opuesto, exigiendo la identificación de los usuarios de los datos salvo justificación documentada.
- El conflicto surge de una interpretación distinta del concepto de destinatario de datos según el RGPD.
- Los centros sanitarios deben implementar registros de acceso detallados para evitar sanciones administrativas.
El ecosistema de la gestión de datos sanitarios en España se encuentra en un momento de tensión jurídica sin precedentes. Lo que parece una cuestión técnica sobre el derecho de acceso a la información personal ha escalado hasta convertirse en un enfrentamiento interpretativo entre dos de las instituciones más relevantes en materia de privacidad: el Tribunal Supremo y la Agencia Española de Protección de Datos (AEPD). El núcleo del conflicto es sencillo en su planteamiento pero complejo en sus implicaciones: ¿tiene un paciente el derecho de saber exactamente qué médico o enfermero ha abierto su historia clínica?
La postura del Tribunal Supremo sobre los destinatarios
Para comprender la raíz del problema, es necesario analizar la sentencia 789/2026, dictada el 24 de junio. El Tribunal Supremo ha sido tajante al establecer que, como regla general, los pacientes no poseen el derecho de identificar a los profesionales sanitarios que hayan consultado su historial de manera legítima. La clave de este razonamiento reside en una distinción semántica y legal fundamental dentro del Reglamento General de Protección de Datos (RGPD).
El artículo 15.1.c) del RGPD otorga a los ciudadanos el derecho a conocer los destinatarios de sus datos personales. Sin embargo, el Supremo sostiene que el personal autorizado que accede a la información bajo las instrucciones del responsable del tratamiento no puede ser considerado un destinatario. En esencia, el profesional no recibe la información para un fin externo, sino que la consulta como parte de sus funciones internas en la organización. Esta visión no es aislada, ya que el Tribunal Supremo se alinea con la doctrina del Tribunal de Justicia de la Unión Europea (TJUE) fijada en junio de 2023 en el asunto C-579/21.
El giro inesperado de la AEPD
Apenas unas semanas después de la sentencia del Supremo, el 7 de julio de 2026, la AEPD difundió un criterio que rompe con la inercia judicial. La Agencia ha determinado que la identificación de quienes acceden a los datos de salud debe facilitarse al paciente, invirtiendo la carga de la prueba. Bajo esta nueva interpretación, la trazabilidad ya no es una opción o una buena práctica, sino una obligación administrativa.
Según la AEPD, cualquier restricción al derecho de conocer la identidad del profesional debe ser excepcional, estar debidamente justificada y quedar documentada por escrito por el responsable del centro sanitario. Esta postura anticipa un estándar de transparencia mucho más agresivo, donde la regla es la visibilidad total y la excepción es el anonimato del profesional, siempre que existan razones ponderadas para proteger los derechos del trabajador.
El caso de la Jefatura Superior de Policía de Madrid
Esta divergencia no es teórica, sino que ha cristalizado en expedientes concretos. Un ejemplo paradigmático es la reclamación presentada contra la Jefatura Superior de Policía de Madrid. En este caso, un ciudadano solicitó su historia clínica y, aunque recibió 153 documentos, impugnó la respuesta al no figurar la identidad de las personas que habían consultado su historial y realizado su entrevista personal.
La AEPD, a través de la resolución PD-00068-2026, estimó la reclamación. La Agencia ordenó a la Jefatura que, en un plazo de diez días hábiles, proporcionara la identificación de los profesionales o justificara motivadamente por qué no podía hacerlo. Es relevante notar que, mientras el Supremo analizaba accesos asistenciales rutinarios, el caso de la AEPD involucraba documentación en un contexto administrativo-policial, lo que añade una capa de complejidad a la comparación de ambos criterios.
Impacto operativo para los centros sanitarios
Para los gestores de hospitales, clínicas y aseguradoras, este choque institucional genera una inseguridad jurídica considerable. Hasta ahora, muchos centros respondían a las solicitudes de acceso indicando categorías genéricas, como el servicio de admisión o el personal médico de guardia. Esta práctica, amparada por la visión del Supremo, es ahora insuficiente ante la AEPD.
La trazabilidad pasa a ser la regla, no la excepción.
La implementación de registros de acceso detallados se vuelve imperativa. Los responsables sanitarios deben ahora ser capaces de precisar quién, cuándo y a qué dato exacto se accedió. La falta de estos registros no solo dificulta la respuesta al paciente, sino que deja al centro expuesto a sanciones administrativas por parte de la AEPD, independientemente de que el Tribunal Supremo tenga una visión más restrictiva sobre el derecho de acceso.
Tensiones entre jurisprudencia y administración
Lo que estamos presenciando no es un cambio en la ley, sino una batalla de interpretaciones. Por un lado, el poder judicial busca proteger la operatividad interna y la privacidad del trabajador sanitario, evitando que cada consulta rutinaria se convierta en un potencial foco de conflicto con el paciente. Por otro lado, el regulador administrativo prioriza la transparencia absoluta y el control del ciudadano sobre sus datos más sensibles.
Esta situación plantea una duda razonable sobre la compatibilidad de la resolución de la AEPD con la jurisprudencia europea. Es muy probable que este conflicto termine en los tribunales, donde se deberá decidir si la interpretación administrativa de la AEPD excede las competencias del RGPD o si, por el contrario, representa la evolución necesaria hacia una transparencia sanitaria total. Mientras tanto, las empresas del sector salud quedan atrapadas en un limbo donde cumplir con el Supremo podría significar incumplir a la AEPD.
Implicaciones para el tejido empresarial y digital en España
Para las empresas tecnológicas que desarrollan software de gestión sanitaria (HIS) y las startups de HealthTech en España, esta noticia es un catalizador para la innovación en auditoría de datos. La demanda de sistemas de registro de accesos a la historia clínica se disparará, convirtiendo la trazabilidad granular en una característica obligatoria del producto y no en un módulo opcional.
En el marco de la Agenda Digital Española y la implementación del AI Act, este debate es crítico. Si se despliegan sistemas de inteligencia artificial para el triaje o el diagnóstico, la pregunta sobre quién (o qué proceso) accedió a los datos se vuelve aún más compleja. Las empresas locales deberán diseñar arquitecturas de datos que permitan una transparencia total sin comprometer la seguridad del sistema. El tejido empresarial español, compuesto en gran medida por centros de salud medianos y pequeños, se enfrenta al reto de digitalizar sus procesos de auditoría para evitar multas que podrían ser devastadoras.
La tendencia es clara: la transparencia sanitaria se está moviendo hacia un modelo de rendición de cuentas individualizada. Aquellas organizaciones que hayan invertido en gobernanza de datos y que utilicen herramientas de identificación de profesionales en el acceso a datos sensibles estarán mejor posicionadas para navegar esta tormenta jurídica.
Preguntas frecuentes
¿Puedo exigir saber qué médico vio mi historial clínico?
Según la AEPD, sí es posible y es la regla general, aunque el centro pueda denegarlo si tiene una justificación documentada. Sin embargo, el Tribunal Supremo sostiene que, generalmente, no existe tal derecho.
¿Qué deben hacer los hospitales para cumplir con la AEPD?
Deben implementar registros de acceso detallados que permitan identificar la persona física, la fecha y el contenido consultado, evitando respuestas genéricas por categorías profesionales.
¿Es esto un cambio en la ley RGPD?
No, no hay una modificación legislativa. Se trata de una divergencia en la interpretación administrativa (AEPD) frente a la interpretación judicial (Tribunal Supremo).
¿Qué ocurre si un centro sanitario se niega a dar los nombres basándose en el Supremo?
El centro podría enfrentar una sanción de la AEPD, ya que la Agencia es el organismo supervisor y tiene potestad sancionadora, aunque el centro podría intentar recurrir dicha sanción judicialmente basándose en la sentencia del Supremo.
Fuentes: Confilegal, Elpais, Eleva ·
glacom · IA para despachos de abogados: los expedientes no salen del despacho →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
