elEconomista.es: La Agencia Española de Protección de Datos (AEPD) ha adoptado un criterio interpretativo que determina que los ciudadanos tienen derecho a conocer la identidad exacta de las personas físicas que acceden a sus datos de salud electrónicos. Se trata de una evolución sustancial respecto a la interpretación restrictiva mantenida hasta ahora, que se fundamenta en el nuevo marco regulatorio de la UE, orientado a garantizar a los pacientes un mayor control y transparencia sobre su información más sensible.
El núcleo de este cambio doctrinal se encuentra en la reciente resolución de la agencia, de junio de 2026. En ella, la autoridad reguladora establece que la interpretación más conforme con el Derecho de la UE exige entender que, como regla general, el derecho de acceso incluye la identificación de las personas concretas que han consultado dichos datos.
La AEPD precisa que no es admisible excluir de forma general y automática la identidad de los profesionales que acceden al expediente. Por tanto, bajo este nuevo estándar, cualquier limitación a este derecho de información debe ser excepcional y estar debidamente justificada, correspondiendo al responsable del tratamiento documentar y acreditar tal fundamentación.
Este criterio anticipa deliberadamente las exigencias del Reglamento (UE) 2025/327 relativo al Espacio Europeo de Datos de Salud (EHDS). Aunque la norma europea entró en vigor en 2025 y su plena exigibilidad general no está fijada hasta el 26 de marzo de 2027, la AEPD sostiene que su vigencia debe marcar desde ya la senda interpretativa en sectores con tratamientos intensivos de categorías especiales de datos.
El artículo 9 del Reglamento consagra de forma autónoma el derecho del paciente a conocer quién ha accedido a su historial electrónico; esto obliga a facilitar sin demora y gratuitamente los datos del prestador de asistencia o de cualquier persona que realice la consulta, junto con la fecha, la hora exacta y el conjunto específico de datos personales consultados.
Para las corporaciones del sector sanitario y sus asesores legales, este escenario plantea obligaciones inmediatas de cumplimiento normativo y auditoría de sistemas.
Las empresas responsables del tratamiento deben adecuar sus plataformas tecnológicas para asegurar una trazabilidad completa y segura de los accesos. Además, las entidades deben extremar los controles internos ante el riesgo de que las consultas no autorizadas o ajenas a la relación asistencial deriven en responsabilidades penales para el personal implicado.
Esta nueva exigencia regulatoria convive, sin embargo, con un pronunciamiento del Tribunal Supremo del 24 de junio de 2026. En la sentencia 789/2026, la Sala de lo Contencioso-Administrativo confirmó la doctrina tradicional aplicable al marco normativo previo al Reglamento europeo.
En esta resolución, el Alto Tribunal ratificó que, con carácter general, el derecho de acceso regulado en el artículo 15 del Reglamento General de Protección de Datos (RGPD) no conlleva la obligación sistemática de comunicar la identidad de cada empleado que accede a la información, pudiendo satisfacerse mediante la indicación de las categorías de destinatarios, salvo que se valore su estricta necesidad tras ponderar los derechos en juego.
No obstante, la jurisprudencia europea ya contemplaba escenarios particulares de apertura. En el asunto C-579/21, el Tribunal de Justicia de la Unión Europea (TJUE) determinó que los interesados tienen derecho a conocer la identidad de los empleados cuando estos hayan accedido a los datos personales sin actuar bajo la autoridad ni de conformidad con las instrucciones del responsable del tratamiento.
El TS ha asumido este matiz al señalar, en sentido contrario, que el derecho a identificar a los empleados concretos no es exigible si en los protocolos internos constan las personas encargadas de las consultas y se constata que actuaron bajo las directrices de la dirección.
El TS cuenta con diversos precedentes de condenas por revelación de secretos, como la sentencia 317/2024, que ratificó la condena a una trabajadora sanitaria por consultar el historial clínico de la pareja de su exmarido, o la sentencia 532/2015, que condenó a un facultativo por acceder de forma no autorizada y reiterada a los expedientes de varios compañeros.
El caso concreto que ha motivado este pronunciamiento de la AEPD se originó por la reclamación de un ciudadano contra la Jefatura Superior de Policía de Madrid.
