El Tribunal Supremo niega, en la STS 789/2026 de 24 de junio, el acceso a la identidad de los facultativos que consultan la historia clínica. El fallo se ancla en el artículo 15.1.c) del Reglamento General de Protección de Datos, interpretado conforme a la doctrina del Tribunal de Justicia de la Unión Europea, y descarta que el personal autorizado sea destinatario de los datos de salud.
EN 30 SEGUNDOS
- ¿Qué ha resuelto el tribunal? El Tribunal Supremo, en la STS 789/2026 de 24 de junio, excluye que los profesionales que acceden a la historia clínica bajo la autoridad del responsable del tratamiento tengan la consideración de destinatarios del artículo 15.1.c) del RGPD.
- ¿Qué base jurídica aplica? Artículo 15.1.c) y artículo 4.9 del RGPD, conforme a la sentencia del TJUE de 22 de junio de 2023 (asunto C-579/21); excepción de identificación cuando resulte indispensable, con ponderación previa.
- ¿Qué impacto tiene? La Agencia Española de Protección de Datos sostiene el criterio contrario en la resolución PD-00068-2026, de 7 de julio, apoyada en el artículo 9 del Reglamento (UE) 2025/327, cuya aplicación plena está aplazada.
El antecedente: 153 documentos sin identificación de los facultativos
El supuesto de hecho no procede de un litigio entre particulares, sino de una reclamación de tutela de derechos frente a la Jefatura Superior de Policía de Madrid. El interesado solicitó de forma reiterada su historia clínica y la documentación médica de los servicios sanitarios del cuerpo, y obtuvo copia de 153 documentos.
La respuesta se consideró incompleta, porque no identificaba a las personas que habían consultado el historial ni a quienes habían intervenido en la entrevista personal practicada al reclamante. Sobre esa omisión se articuló la reclamación ante la Agencia Española de Protección de Datos.
Mediante la resolución PD-00068-2026, de 7 de julio, la Agencia estimó la reclamación y ordenó a la Jefatura que, en el plazo de diez días hábiles, atendiera la solicitud de identificación o justificara de forma motivada su denegación. No se impuso una comunicación incondicional de nombres: se exigió una respuesta expresa y razonada.
El fallo: el personal autorizado no es destinatario de los datos
El pronunciamiento del Tribunal Supremo se construye sobre una distinción técnica entre acceso interno y comunicación de datos. El artículo 15.1.c) del RGPD reconoce el derecho a conocer los destinatarios de la información personal, pero el personal autorizado que consulta los datos dentro de una organización no adquiere esa condición por el mero hecho de acceder a ellos.
El fallo admite una excepción: la identificación del empleado puede resultar obligatoria cuando sea indispensable para el ejercicio efectivo de los derechos reconocidos por el RGPD. Su aplicación exige una ponderación previa entre el interés del solicitante y los derechos y libertades del trabajador afectado.
El personal que accede a la historia clínica bajo la autoridad del responsable no es destinatario de los datos y su identidad queda fuera del derecho de acceso.
Los supuestos no son homogéneos. La STS 789/2026 examina accesos acreditadamente realizados por personal autorizado con fines asistenciales, mientras que el expediente administrativo comprende documentación de servicios sanitarios policiales y una entrevista personal. La finalidad concreta de cada acceso condiciona el traslado automático de la doctrina.
La Doctrina del Tribunal
El Supremo no introduce una regla nueva: traslada al ordenamiento interno la doctrina del Tribunal de Justicia de la Unión Europea fijada en la sentencia de 22 de junio de 2023, asunto C-579/21. La jurisprudencia consolidada excluye que el personal que opera bajo la autoridad del responsable del tratamiento encaje en el concepto de destinatario del artículo 4.9 del RGPD.
La base jurídica es doble. De un lado, el artículo 15.1.c) del RGPD, que delimita el contenido del derecho de acceso; de otro, la excepción de identificación cuando resulte indispensable, sometida a ponderación. El método interpretativo es sistemático y conforme al Derecho de la Unión: la exigencia de transparencia se proyecta sobre los terceros que reciben los datos, no sobre el personal que los consulta dentro de la organización.
El impacto es inmediato en la práctica administrativa. La Agencia Española de Protección de Datos sostiene un criterio divergente en la resolución PD-00068-2026 y lo funda en el artículo 9 del Reglamento (UE) 2025/327, que crea el Espacio Europeo de Datos de Salud y reconoce un derecho específico a conocer los accesos a datos sanitarios electrónicos, con conservación de esa información durante al menos tres años.
El calendario europeo condiciona el debate. La aplicación general del reglamento se sitúa en marzo de 2027, pero su artículo 9 queda aplazado hasta marzo de 2029 para historias clínicas resumidas, recetas y dispensaciones electrónicas, y hasta marzo de 2031 para imágenes diagnósticas, resultados de laboratorio e informes de alta.
Resta por determinar si una autoridad administrativa puede convertir en regla general una identificación que el TJUE condicionó a su carácter indispensable, apoyándose en un régimen cuya vigencia plena aún no se ha producido. La resolución no forma parte del CENDOJ, reservado a resoluciones judiciales, y es susceptible de impugnación jurisdiccional sin alterar por sí misma la doctrina del Supremo.
Trazabilidad y accesos indebidos
La controversia refuerza una exigencia operativa para hospitales, clínicas y administraciones sanitarias: registrar quién accede a la historia clínica, cuándo lo hace y por qué motivo. La trazabilidad no equivale a comunicar todos los nombres, pero permite investigar accesos indebidos y justificar las decisiones adoptadas.
El artículo 9 del Reglamento (UE) 2025/327 admite restricciones excepcionales cuando existan indicios concretos de peligro para los derechos o intereses vitales del profesional o para la asistencia al paciente. Los accesos injustificados por curiosidad o por motivos personales constituyen infracciones en materia de protección de datos y pueden ser constitutivos de delito conforme al artículo 197.2 del Código Penal.
FICHA DEL CASO
- El caso: Reclamación de tutela de derechos frente a la Jefatura Superior de Policía de Madrid por no identificar a los profesionales que accedieron a la historia clínica y a la entrevista personal; en paralelo, sentencia del Tribunal Supremo sobre el alcance del derecho de acceso del artículo 15 del RGPD.
- Datos importantes: STS 789/2026, de 24 de junio (sala no especificada en la documentación disponible); resolución AEPD PD-00068-2026, de 7 de julio; artículos 15.1.c) y 4.9 del RGPD, 9 del Reglamento (UE) 2025/327 y 197.2 del Código Penal; 153 documentos; plazo de diez días hábiles.
- Fecha de los juicios: No consta la celebración de vista oral; sentencia de 24 de junio de 2026 y resolución administrativa de 7 de julio de 2026, esta última no publicada en el CENDOJ por no ser resolución judicial.
- Personas acusadas y por qué: N/A. No existen acusados: el procedimiento es una reclamación de tutela de derechos en materia de protección de datos, sin imputación penal.
