top of page
Buscar

Dentro de poco el paciente podrá conocer siempre la identidad de los profesionales que han entrado en su historia clínica, sin excepción

hace 4 minutos
23 min de lectura

Hace dos meses publiqué un post en el que analizaba una sentencia del Tribunal Supremo que limitaba el derecho de un paciente a saber quién ha accedido a su historia clínica, y dejaba a criterio del centro sanitario si los accesos estaban justificados. Al final el peticionario no se enteraba de nada.


Hace poco la Agencia Española de Protección de Datos (AEPD) ha dictado una resolución que tiene una orientación diferente. Se basa en una normativa europea que va a entrar en vigor en unos meses, el Espacio Europeo de Datos Sanitarios (EEDS), que modifica el planteamiento. Cuándo entre en vigor los pacientes podrán acceder siempre a su historia clínica. El caso es interesante y lo detallo a continuación.


1. Introducción

¿Tiene derecho un paciente a saber, con nombre y apellidos, quién ha abierto su historia clínica? Durante casi dos décadas la respuesta de la Agencia Española de Protección de Datos (AEPD) fue negativa: el paciente podía conocer que se habían producido accesos, con su fecha y su finalidad, pero no la identidad concreta de los usuarios de la organización sanitaria que los realizaron. Ese criterio, sostenido en sus informes jurídicos 165/2005, 171/2008 y 3/2021, partía de la distinción entre los destinatarios de una comunicación de datos y los usuarios internos que tratan los datos por cuenta del responsable (Lomas Hernández, 2026).


La Resolución de la Presidencia de la AEPD dictada en el procedimiento de derechos PD/00068/2026 (expediente EXP202518019) rompe con esa línea. En ella la Agencia afirma que, «como regla general», el derecho de acceso a la información sobre los accesos a datos de salud incluye la identificación de las personas que han accedido a ellos, y que la limitación de esa información debe configurarse como una excepción justificada y documentada, no como la regla (AEPD, 2026a). El apoyo principal de este giro no es una reforma legal española, sino el Reglamento (UE) 2025/327, del Espacio Europeo de Datos de Salud (en adelante, Reglamento EEDS), que está en vigor pero que no será aplicable hasta 2027.


La resolución llega, además, en un momento delicado. Apenas unas semanas antes, el Tribunal Supremo, en su Sentencia 789/2026, de 24 de junio, había fijado doctrina casacional en sentido aparentemente opuesto: el paciente tiene derecho a conocer el qué (las operaciones de consulta, con fechas y fines), pero no, por defecto, el quién, siempre que se acredite que el acceso lo realizó personal autorizado (Calcedo Barba, 2026). La coexistencia de ambos pronunciamientos plantea una pregunta práctica inmediata para cualquier servicio de salud y para cualquier clínico: ¿qué debe responderse hoy a un paciente que pide los nombres?


Este trabajo expone el contenido de la resolución, la sitúa en su marco normativo y jurisprudencial, la contrasta con la doctrina del Supremo tal como la ha analizado Calcedo Barba (2026) y valora sus consecuencias para la práctica clínica, con especial atención a la psiquiatría, donde la sensibilidad de la información y la seguridad de los profesionales hacen que la cuestión tenga un peso particular.


2. Los hechos y la tramitación del procedimiento


2.1. La solicitud de acceso desatendida

La reclamante es una persona vinculada a la Jefatura Superior de Policía de Madrid que había sido atendida por sus servicios sanitarios (la Unidad Regional de Sanidad). El 27 de junio de 2022 ejerció el derecho de acceso a sus datos personales mediante el formulario oficial disponible en la web de la AEPD, dirigido a dicha Unidad. Según su relato, la solicitud nunca fue atendida. El 17 de mayo de 2025 la reiteró por registro, pidiendo ya expresamente acceso a la totalidad de su historia clínica y documentación médica, y volvió a insistir el 6 de septiembre de 2025. A 18 de septiembre de 2025, fecha en que presentó la reclamación ante la AEPD, no había obtenido respuesta (AEPD, 2026a, Hecho primero).


2.2. El traslado y la admisión a trámite

Conforme al artículo 65.4 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), la Agencia dio traslado de la reclamación a la Jefatura el 28 de octubre de 2025 para que informara en el plazo de un mes. La Jefatura no contestó. Por ello, el 18 de diciembre de 2025 la reclamación fue admitida a trámite, lo que abrió el procedimiento por falta de atención de una solicitud de ejercicio de derechos del artículo 64.1 de la LOPDGDD, que debe resolverse en seis meses desde la notificación de la admisión.


2.3. La entrega de la historia clínica y el cambio de objeto de la controversia

En el trámite de audiencia, abierto el 10 de marzo de 2026, la Jefatura alegó que había mostrado a la reclamante la totalidad de su historia clínica, compuesta por 153 documentos, y que el 24 de septiembre de 2025 (es decir, seis días después de la reclamación ante la AEPD) le había facilitado copia de todos ellos.


La reclamante reconoció haber recibido esa documentación, pero manifestó su disconformidad por otro motivo: no se le había informado de la trazabilidad de los accesos. Su argumento tiene un trasfondo concreto. Explicó que los informes médicos privados que ella había aportado recogían el contexto personal y el origen de su situación psicofísica, que vinculaba a un conflicto penal con un superior jerárquico, mientras que los informes del servicio de Sanidad omitían sistemáticamente esos datos. Sin embargo, según ella, esa información sí se había utilizado para tramitar cambios en su situación administrativa y solicitar su jubilación sin informarle de esa finalidad. Invocando el conflicto de intereses, reclamó conocer la identidad de todas las personas que habían tenido acceso a su entrevista personal y a su historial clínico (AEPD, 2026a, Hecho cuarto).


Como subraya Cuatrecasas (2026), a partir de ese momento la controversia deja de referirse a la entrega de la historia y pasa a centrarse en el alcance del derecho de acceso respecto de los registros de consulta. Este desplazamiento es importante para entender la resolución: lo que se discute no es si el paciente tiene derecho a su historia, que nadie niega, sino si tiene derecho a saber quién la ha leído.


3. El marco normativo


3.1. El derecho de acceso en el RGPD y la LOPDGDD

El artículo 15 del Reglamento (UE) 2016/679 (RGPD) reconoce al interesado el derecho a obtener del responsable confirmación de si se están tratando datos que le conciernen y, en tal caso, acceso a esos datos y a una serie de informaciones: los fines del tratamiento, las categorías de datos, los destinatarios o categorías de destinatarios a los que se han comunicado o se comunicarán, el plazo de conservación, el origen de los datos y la existencia de decisiones automatizadas, entre otras. El artículo 12 del RGPD y el artículo 12 de la LOPDGDD regulan los aspectos formales: el responsable debe responder en el plazo de un mes, de forma concisa, transparente e inteligible, y motivar cualquier denegación. La carga de probar que ha respondido recae en el responsable.


El artículo 13 de la LOPDGDD añade precisiones prácticas: si la solicitud se refiere a una gran cantidad de datos, el responsable puede pedir al interesado que especifique los datos o tratamientos a los que se refiere; el derecho se entiende otorgado si se facilita un acceso remoto, sin perjuicio de que el interesado pueda solicitar la información del artículo 15 del RGPD; y su ejercicio puede considerarse repetitivo si se reitera en menos de seis meses sin causa legítima.


El punto clave del debate es el concepto de destinatario. El artículo 4.9 del RGPD lo define como la persona física o jurídica, autoridad pública, servicio u otro organismo al que se comuniquen datos personales. La pregunta es si un médico, una enfermera o un administrativo del propio servicio de salud que consulta la historia es un «destinatario» o simplemente una persona que actúa por cuenta y bajo la autoridad del responsable.


3.2. La Ley 41/2002 y la historia clínica

La Ley 41/2002, básica reguladora de la autonomía del paciente, establece en su artículo 16 quién puede acceder a la historia clínica: los profesionales asistenciales del centro que realizan el diagnóstico o el tratamiento del paciente, como instrumento para su adecuada asistencia (art. 16.1), y el personal de administración y gestión, solo respecto de los datos relacionados con sus funciones (art. 16.4). Todo el personal que accede a los datos queda sujeto al deber de secreto (art. 16.6).


El artículo 18 regula el derecho de acceso del paciente a la documentación de su historia clínica y a obtener copia, y su apartado 3 establece dos límites: el acceso no puede ejercitarse en perjuicio del derecho de terceros a la confidencialidad de los datos recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales a reservarse sus anotaciones subjetivas. La relación de personas que han consultado la historia no figura entre el contenido mínimo de la historia clínica, que es uno de los argumentos que la AEPD empleó durante años para excluirla del derecho de acceso (Lomas Hernández, 2026).


Algunas comunidades autónomas han ido más lejos que la ley estatal. Según el recurrente en el caso resuelto por el Supremo, la Ley extremeña 3/2005 (art. 35) y la normativa navarra reconocen expresamente el derecho del paciente a saber quién ha accedido a su historia, por qué motivo y con qué uso (Calcedo Barba, 2026). El propio Informe 3/2021 de la AEPD admitía excepciones cuando la normativa autonómica u otra norma lo previera expresamente (Lomas Hernández, 2026).


3.3. La jurisprudencia del Tribunal de Justicia de la Unión Europea

Dos sentencias del Tribunal de Justicia de la Unión Europea (TJUE) delimitan la cuestión. En Österreichische Post (C-154/21, de 12 de enero de 2023), el Tribunal declaró que el interesado tiene derecho, en principio, a conocer la identidad concreta de los destinatarios a los que se han comunicado sus datos, y no solo sus categorías, salvo que sea imposible identificarlos o la solicitud sea manifiestamente infundada o excesiva.


En Pankki S (C-579/21, de 22 de junio de 2023), el supuesto era muy próximo al que nos ocupa: un empleado y cliente de un banco quería saber qué compañeros habían consultado sus datos. El TJUE consideró que la información sobre las operaciones de consulta (fechas y finalidades) forma parte del derecho de acceso, pero que los empleados que tratan datos bajo la autoridad y siguiendo las instrucciones del responsable no son «destinatarios». Por tanto, el artículo 15 no obliga, con carácter general, a comunicar su identidad, salvo que esa información sea indispensable para que el interesado pueda ejercer efectivamente sus derechos, y siempre teniendo en cuenta los derechos y libertades de esos empleados.


La AEPD cita esta segunda sentencia en su resolución, y la resume de forma fiel: el derecho de acceso no es absoluto, no implica necesariamente comunicar la identidad de las personas físicas que, dentro de la organización, accedieron a los datos, y puede satisfacerse indicando categorías, salvo que la identificación sea necesaria para el ejercicio efectivo de los derechos (AEPD, 2026a, FD V).


3.4. El Reglamento del Espacio Europeo de Datos de Salud

El Reglamento (UE) 2025/327, de 11 de febrero de 2025, crea el Espacio Europeo de Datos de Salud. Entre otras cosas, refuerza los derechos de las personas sobre sus datos de salud electrónicos. Su artículo 9, que la AEPD transcribe, dispone que las personas físicas tendrán derecho a obtener información, también mediante notificaciones automáticas, sobre cualquier acceso a sus datos de salud electrónicos personales realizado a través del servicio de acceso de los profesionales sanitarios en el contexto de la asistencia sanitaria. Esa información debe facilitarse gratis y sin demora, estar disponible durante al menos tres años e incluir, como mínimo, información acerca del prestador de asistencia sanitaria o de cualquier otra persona que haya accedido a los datos, la fecha y hora del acceso y los datos consultados.


El apartado 3 del mismo artículo permite a los Estados miembros prever limitaciones en circunstancias excepcionales, cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona. Según la propia resolución, el Reglamento EEDS no será aplicable hasta el 26 de marzo de 2027, en los términos de su artículo 105 (AEPD, 2026a, FD V).


4. La fundamentación de la AEPD


4.1. Punto de partida: transparencia, responsabilidad proactiva y trazabilidad

La resolución no se limita a constatar que la Jefatura respondió fuera de plazo. Construye un razonamiento en varios pasos. Primero, inserta el derecho de acceso en los principios del artículo 5 del RGPD, en particular el de transparencia, y en la responsabilidad proactiva del responsable (arts. 5.2 y 24) y la protección de datos desde el diseño y por defecto (art. 25). De ahí deduce que las medidas técnicas y organizativas deben garantizar, entre otras cosas, la trazabilidad y el control de los accesos a los datos personales. Segundo, recuerda que el derecho de acceso es una manifestación del derecho fundamental a la protección de datos, entendido como un poder de control del interesado que incluye saber quién posee sus datos y para qué los trata.


4.2. La «contextualización» de Pankki S a la luz del EEDS

El paso decisivo es el tercero. Tras exponer la doctrina de Pankki S, la Agencia sostiene que esa interpretación debe contextualizarse en la evolución del Derecho de la Unión, especialmente en sectores con tratamiento intensivo de categorías especiales de datos, como el sanitario. Aquí introduce el Reglamento EEDS: aunque todavía no sea aplicable, «marca una nueva senda» que debe tenerse en cuenta al interpretar el artículo 15 del RGPD. A juicio de la Agencia, esa regulación sectorial refuerza el contenido material del derecho de acceso y configura un modelo de trazabilidad completa y control efectivo por parte del paciente.


La conclusión se formula así: aunque las obligaciones del EEDS no sean exigibles todavía, la interpretación más conforme con el Derecho de la Unión exige entender que, como regla general, el derecho de acceso a la información sobre accesos a datos de salud incluye la identificación de las personas que han accedido, en la medida en que esa identificación resulte necesaria para garantizar la transparencia y el control efectivo de la licitud del tratamiento (AEPD, 2026a, FD V).


4.3. La inversión de la regla y la excepción

La Agencia no proclama un derecho absoluto. Admite que, conforme a la jurisprudencia del TJUE y al principio de proporcionalidad, la comunicación de la identidad podrá limitarse excepcionalmente cuando concurran circunstancias específicas, sea por previsión normativa expresa o tras una ponderación adecuada, en particular cuando revelar la identidad resulte desproporcionado o innecesario para la finalidad de control. Pero exige dos cosas: que el responsable pueda acreditar, por responsabilidad proactiva, que la limitación está fundada y documentada, y que la limitación sea una excepción. Expresamente rechaza «una interpretación que excluya de forma general y automática» la comunicación de la identidad.


En términos prácticos, la resolución invierte la carga argumentativa. Con el criterio clásico, y también con Pankki S, el paciente debía justificar por qué necesitaba los nombres. Con el nuevo criterio, es el responsable quien debe justificar por qué no los da.


4.4. El fallo

Aplicando ese criterio al caso, la AEPD constata que la Jefatura ni facilitó la identidad de quienes accedieron a los datos de salud de la reclamante ni justificó su denegación. Califica la conducta como incumplimiento del deber de atender en plazo y de forma completa una solicitud de acceso (art. 15 RGPD, en relación con los arts. 12 RGPD y 12 LOPDGDD) y estima la reclamación. Ordena a la Jefatura que, en diez días hábiles desde la notificación, remita a la reclamante una certificación en la que atienda el derecho o lo deniegue motivadamente, y que comunique sus actuaciones a la Agencia en el mismo plazo. Advierte de que el incumplimiento podría constituir una infracción del artículo 83.6 del RGPD, calificada como muy grave a efectos de prescripción por el artículo 72.1.m) de la LOPDGDD.

Conviene notar que el fallo no ordena entregar los nombres sin más. Deja abierta la puerta a una denegación motivada. Lo que no admite es el silencio ni una negativa genérica. Como señala Cuatrecasas (2026), la resolución confirma también que entregar una copia íntegra de la historia clínica no agota necesariamente el derecho de acceso.


5. La resolución frente a la STS 789/2026


5.1. Lo que dijo el Tribunal Supremo

La STS 789/2026 de la Sala Tercera del Tribunal Supremo, de 24 de junio de 2026, resolvió el recurso de un paciente que había pedido al Servicio Aragonés de Salud y a la Conselleria de Sanidad de la Generalitat Valenciana un registro detallado de quién había accedido a su historia. Aragón le informó de un único acceso, por personal de documentación clínica y archivos, sin identificar a la persona; Valencia le dio el detalle, incluido el nombre. La AEPD inadmitió sus reclamaciones en 2021 y la Audiencia Nacional desestimó su recurso en 2024 (SAN 7/2024, de 10 de enero, rec. 223/2022, ECLI:ES:AN:2024:7). El Supremo admitió la casación por falta de doctrina consolidada (Calcedo Barba, 2026).


Según el análisis de Calcedo Barba (2026), el razonamiento del Supremo se articula en cinco pasos: el personal que atiende al paciente forma parte de la organización responsable y su acceso está autorizado por la ley; «destinatario» no equivale a «empleado», con apoyo en Pankki S; la protección de datos no es absoluta, pero la ponderación nunca puede negar toda información al interesado; el paciente tiene derecho a conocer las operaciones de consulta, con fechas y fines, pero no, por defecto, la identidad de los empleados, salvo que sea indispensable para ejercer sus derechos; y, en el caso, ambas administraciones informaron suficientemente. La doctrina fijada declara que el interesado no tiene derecho a conocer la identidad del personal de la organización sanitaria que accedió a su historia, siempre que se acredite que el acceso lo realizó personal autorizado.


Calcedo Barba (2026) valora la sentencia como un equilibrio razonable entre transparencia sobre el hecho del acceso y opacidad sobre la identidad, aunque advierte que el argumento es más de política sanitaria que estrictamente jurídico y que la protección del paciente depende de la solidez de los controles internos de cada servicio de salud.


5.2. Comparación de los dos criterios

La tabla 1 resume las diferencias y coincidencias entre ambos pronunciamientos.


Tabla 1

Comparación entre la STS 789/2026 y la Resolución PD/00068/2026 de la AEPD

Aspecto

STS 789/2026 (24-6-2026)

Resolución AEPD PD/00068/2026

Regla general sobre la identidad

No se comunica por defecto si se acredita que accedió personal autorizado

Se comunica como regla general

Excepción

Se comunica si es indispensable para ejercer los derechos

Se limita si es desproporcionada o innecesaria, por norma o ponderación

Quién debe justificar

En la práctica, el paciente (indispensabilidad)

El responsable, que debe documentar la limitación

Fechas y finalidades de los accesos

Sí, forman parte del derecho de acceso

Sí, y además la identidad

Base principal

RGPD, Ley 41/2002, LOPDGDD y Pankki S

RGPD y Pankki S, reinterpretados a la luz del Reglamento EEDS

Valor del Reglamento EEDS

No es determinante

Criterio interpretativo, aunque aún no aplicable

Nota. Elaboración propia a partir de AEPD (2026a) y Calcedo Barba (2026).


5.3. ¿Contradicción o compatibilidad?

La resolución no cita la sentencia del Supremo, pero la Agencia sí se refirió a ella en el resumen de criterios jurídicos que publicó el 7 de julio de 2026 a propósito de este expediente (AEPD, 2026b). Allí sostiene que la STS 789/2026 confirma que, en el marco actual del RGPD, identificar individualmente a quienes acceden a los datos no es una exigencia general del artículo 15; que la sentencia se dictó antes de que el Reglamento EEDS sea aplicable; y que, leída a contrario, solo excluye ese derecho cuando constan protocolos internos y los accesos se ajustaron a las instrucciones del responsable. Con ese razonamiento, la Agencia concluye que ambas posiciones conviven de forma coherente.

Esa lectura conciliadora es discutible. En el plano de la regla general las dos posiciones son difícilmente compatibles: el Supremo dice que el nombre no se da por defecto; la Agencia dice que se da por defecto, y lo justifica con una norma que todavía no se aplica. Lomas Hernández (2026) lo expresa con prudencia al señalar que los criterios coinciden en varios puntos, pero no plenamente.


Sin embargo, en el plano de la solución del caso las diferencias se reducen bastante, por tres razones.


  • La doctrina del Supremo está condicionada: el nombre se protege «siempre que se acredite» que accedió personal autorizado. En el caso de la AEPD, la Jefatura no acreditó nada; ni siquiera contestó al traslado. Sin esa acreditación, tampoco la doctrina del Supremo ampararía la negativa.


  • La reclamante aportó indicios de un uso de sus datos para una finalidad distinta de la asistencial: la tramitación de su jubilación en un contexto de conflicto con un superior. Como señala Calcedo Barba (2026), si el paciente aporta indicios de acceso indebido, la ponderación puede cambiar. Y el Consejo de Transparencia y Protección de Datos de Andalucía ya había sostenido que, si se acredita que un empleado actuó al margen de los procedimientos y con una finalidad propia, pasa a ser destinatario y su identidad debe comunicarse (Lomas Hernández, 2026).


  • El fallo de la AEPD no ordena revelar los nombres incondicionalmente, sino atender el derecho o denegarlo motivadamente. Una denegación bien fundada en la acreditación de que los accesos fueron legítimos sería, en principio, compatible con la doctrina casacional.


Por tanto, el resultado de este expediente concreto puede explicarse sin contradecir al Supremo. Lo que sí lo contradice es la regla general que la resolución enuncia y que, previsiblemente, la Agencia aplicará a otros casos en los que el responsable sí pueda acreditar que el acceso fue legítimo.


6. Valoración crítica


6.1. Interpretar el RGPD con una norma que aún no se aplica

El aspecto más discutible de la resolución es metodológico. La Agencia utiliza el Reglamento EEDS, que no será aplicable hasta 2027, para modificar el contenido actual de un derecho regulado en otra norma, el RGPD, cuyo texto no ha cambiado. Es legítimo interpretar el Derecho vigente en coherencia con la orientación del legislador europeo, y también lo es que una autoridad de control anticipe un estándar para facilitar la adaptación de los responsables. Pero si el legislador fijó una fecha de aplicación diferida, fue precisamente para dar tiempo a los sistemas sanitarios a adaptar sus infraestructuras. Exigir hoy, por vía interpretativa, lo que la norma solo exigirá mañana tensiona la seguridad jurídica.


Además, la AEPD no explica por qué la «evolución normativa» autoriza a apartarse de una sentencia del TJUE, Pankki S, que interpreta precisamente el artículo 15 del RGPD. El Tribunal de Justicia es el intérprete auténtico del Derecho de la Unión; una autoridad nacional puede matizar su doctrina en función del contexto, pero difícilmente puede invertir la regla general que aquel estableció sin un cambio normativo aplicable.


6.2. El alcance real del artículo 9 del Reglamento EEDS

Incluso aceptando el uso interpretativo del Reglamento EEDS, cabe dudar de que su artículo 9 diga exactamente lo que la Agencia le atribuye. Tres matices merecen atención.


  • Ámbito. El artículo 9 se refiere a los accesos a datos de salud electrónicos realizados a través del servicio de acceso de los profesionales sanitarios en el contexto asistencial. No abarca necesariamente cualquier consulta de cualquier documento por cualquier persona en cualquier sistema.

  • Contenido. La información mínima incluye «información acerca del prestador de asistencia sanitaria o cualquier otra persona» que haya accedido. La expresión «prestador de asistencia sanitaria» puede referirse a la institución y no al profesional individual, de modo que la obligación de identificar nominalmente a cada persona no se desprende con total claridad del texto.

  • Excepciones. El apartado 3 prevé que los Estados puedan limitar el derecho cuando la divulgación ponga en peligro los derechos o intereses vitales del profesional o la asistencia. Hasta que el legislador español regule esas limitaciones, los responsables tendrán que aplicar una ponderación caso por caso sin criterios normativos claros.


6.3. La posición de la AEPD en el sistema de fuentes

La AEPD es una autoridad administrativa independiente cuyas resoluciones ponen fin a la vía administrativa y son recurribles ante la Audiencia Nacional. Precisamente la Audiencia Nacional, y después el Tribunal Supremo, resolvieron en sentido contrario el caso aragonés y valenciano. La jurisprudencia del Supremo complementa el ordenamiento jurídico (art. 1.6 del Código Civil), y la doctrina fijada en casación orienta la actuación de los tribunales inferiores. Si la Jefatura u otro responsable recurriera una resolución basada en el nuevo criterio, sería previsible que los tribunales aplicaran la doctrina del Supremo. Esto genera una situación de incertidumbre: un servicio de salud que siga al Supremo puede ser sancionado por la AEPD, y un servicio que siga a la AEPD puede ver cuestionada su decisión por los profesionales cuyos datos ha revelado.


6.4. Los aciertos de la resolución

Dicho lo anterior, la resolución tiene méritos indudables. Primero, sanciona con razón una conducta inaceptable: un responsable público que deja sin respuesta una solicitud de acceso durante más de tres años y que no contesta siquiera al traslado de la autoridad de control. Segundo, pone el foco en la trazabilidad como obligación del responsable, que no puede limitarse a disponer de registros de acceso, sino que debe usarlos para responder al paciente. Tercero, exige que cualquier limitación esté motivada y documentada, lo que obliga a abandonar las negativas automáticas. Y cuarto, anticipa un horizonte normativo que, con mayor o menor alcance, llegará en 2027: los servicios de salud que empiecen ahora a preparar sus sistemas estarán mejor situados.


También es razonable la sensibilidad hacia el contexto del caso. Si una persona sostiene que la información clínica que dio en una entrevista con el servicio sanitario de su empleador se ha usado para gestionar su jubilación en medio de un conflicto con un superior, decirle solo que «accedió personal autorizado» difícilmente le permite comprobar si el tratamiento fue lícito.


6.5. Peculiaridades del caso

El supuesto presenta rasgos que lo alejan del caso típico de un hospital. El responsable no es un servicio público de salud, sino el servicio sanitario de un cuerpo policial, que atiende a sus propios miembros y cuyas valoraciones pueden influir en su situación administrativa. En ese contexto la frontera entre la finalidad asistencial y la de gestión de personal es especialmente delgada, y el riesgo de que la información clínica se use para fines distintos de la asistencia es mayor. Esto refuerza la necesidad de transparencia y quizá habría justificado que la Agencia fundara su decisión en las circunstancias del caso, en lugar de enunciar una regla general para todo el ámbito sanitario.


Por otra parte, la resolución alude en un pasaje a los derechos de los artículos 21 a 23 de la Ley Orgánica 7/2021, relativa a la protección de datos tratados con fines de prevención e investigación penal, pero el resto del razonamiento y el fallo se basan exclusivamente en el RGPD. Parece tratarse de un error de redacción, ya que los datos de salud de un funcionario tratados por un servicio sanitario no tienen fines penales, pero muestra que la Agencia no examinó con detenimiento el régimen aplicable a este responsable.


7. Implicaciones para la práctica clínica y, en particular, para la psiquiatría

Para los profesionales sanitarios, el mensaje inmediato es que consultar una historia clínica deja huella y que esa huella puede llegar al paciente con su nombre. Esto no es nuevo en algunos servicios autonómicos, pero la resolución lo plantea como regla general. Las consecuencias son especialmente relevantes en psiquiatría y salud mental, por varias razones.


La información de salud mental es de las más sensibles de la historia clínica, y el paciente psiquiátrico tiene un interés legítimo y particularmente intenso en saber quién la consulta. Los accesos por curiosidad a historias de compañeros, familiares o personas conocidas existen, y la trazabilidad nominal es una herramienta eficaz de disuasión y de control. En este sentido, el nuevo criterio puede reforzar la confianza del paciente en que su información está protegida.


En sentido contrario, la seguridad de los profesionales puede verse comprometida. Algunos pacientes, por ejemplo con ideación delirante de perjuicio, conflictos de custodia, procedimientos de incapacidad laboral o internamientos involuntarios, pueden reaccionar contra el profesional que identifican como responsable de una decisión que les afecta. Revelar sistemáticamente quién accedió a la historia puede exponer a los clínicos a reclamaciones infundadas, acoso o, en casos extremos, agresiones. La excepción del artículo 9.3 del Reglamento EEDS piensa precisamente en estos supuestos, pero hasta que el legislador la desarrolle su aplicación dependerá de la ponderación que haga cada responsable.


Existe un riesgo de efecto disuasorio sobre la asistencia. La Abogacía del Estado ya argumentó ante el Supremo que exigir la identificación nominal de cada acceso podría desincentivar la consulta de la historia, en perjuicio de la asistencia (Calcedo Barba, 2026). En salud mental, donde la continuidad asistencial y la coordinación entre atención primaria, urgencias, unidades de hospitalización y centros de salud mental dependen de la consulta de la historia, sería grave que los profesionales evitaran revisar antecedentes por temor a ser identificados.


El caso pone de relieve la situación de los psiquiatras que trabajan en servicios de salud laboral, servicios de prevención, tribunales médicos o unidades de valoración de incapacidades. En esos contextos la relación clínica convive con finalidades de gestión del empleo, y el paciente puede sospechar, con o sin fundamento, que su información se utiliza en su contra. La separación clara entre la información asistencial y la información que se comunica al empleador, y la transparencia sobre esas finalidades, son la mejor protección tanto para el paciente como para el profesional.


Finalmente, el criterio de la AEPD no afecta a las anotaciones subjetivas ni a los datos de terceros que constan en la historia, que siguen protegidos por el artículo 18.3 de la Ley 41/2002. En psiquiatría, donde son frecuentes las informaciones aportadas por familiares, esos límites siguen siendo plenamente aplicables a la entrega de la historia, aunque no resuelven la cuestión de la identidad de quien accedió.


8. Recomendaciones para centros y profesionales

Mientras no se aclare la relación entre la doctrina del Supremo y el criterio de la AEPD, y hasta que se aplique el Reglamento EEDS, parece prudente que centros y profesionales adopten las siguientes medidas:


  • Responder siempre y en plazo. La sanción de este caso se debe, ante todo, a la falta de respuesta. Cualquier solicitud de acceso debe contestarse en un mes, aunque sea para denegar parcialmente con motivos.


  • Mantener registros de acceso completos y revisables. Los registros deben permitir saber quién accedió, cuándo, a qué parte de la historia y desde qué servicio. Sin ellos, el responsable no podrá acreditar la legitimidad de los accesos ni con el criterio del Supremo ni con el de la AEPD.


  • Informar siempre de fechas, finalidades y servicios. Este contenido es indiscutido y debe facilitarse en todo caso.


  • Ponderar y documentar las decisiones sobre la identidad. Si se decide no revelar nombres, debe explicarse por qué, con referencia a la legitimidad del acceso acreditada en los registros y a los riesgos concretos para el profesional. Es recomendable dar audiencia previa a los profesionales afectados, como propuso el Consejo de Transparencia andaluz (Lomas Hernández, 2026).


  • Tratar de forma distinta los casos con indicios de acceso indebido. Cuando el paciente aporte indicios concretos de un acceso ajeno a su asistencia, la balanza se inclina claramente hacia la identificación, además de la investigación interna y, en su caso, disciplinaria o penal.


  • Comprobar la normativa autonómica. Algunas comunidades ya reconocen el derecho a conocer la identidad de quien accede, y en ellas la respuesta es más sencilla.


  • Formar a los profesionales. Todo el personal debe saber que sus accesos quedan registrados y pueden comunicarse al paciente, y que solo debe consultar la historia de los pacientes a los que atiende y en la medida necesaria para su función.


  • Preparar la adaptación al Reglamento EEDS. Los sistemas de historia clínica electrónica tendrán que ofrecer información sobre los accesos de forma gratuita y sin demora. Conviene empezar a diseñar ahora esos servicios y promover que el legislador regule las excepciones del artículo 9.3.


9. Conclusiones

La Resolución PD/00068/2026 de la AEPD supone un giro relevante en la interpretación del derecho de acceso a la historia clínica. Frente a su criterio tradicional y frente a la doctrina fijada días antes por el Tribunal Supremo en la STS 789/2026, la Agencia sostiene que la identidad de quienes acceden a los datos de salud forma parte, como regla general, del derecho de acceso, y que su limitación debe ser una excepción motivada y documentada.


El fundamento de ese giro, el Reglamento del Espacio Europeo de Datos de Salud, anticipa un horizonte normativo real, pero todavía no aplicable, y su artículo 9 no impone con total claridad la identificación nominal de cada profesional. Además, el nuevo criterio se aparta de la regla general de Pankki S y de la doctrina casacional, lo que genera incertidumbre para los responsables y previsibles recursos.


No obstante, la decisión concreta del caso es defendible incluso desde la doctrina del Supremo: el responsable no contestó, no acreditó la legitimidad de los accesos y la reclamante aportó indicios de un uso de su información clínica con finalidades ajenas a la asistencia. Lo que en el Supremo es una excepción condicionada, en la AEPD pasa a ser la regla.


Para la práctica clínica, y en particular para la psiquiatría, el escenario exige un equilibrio difícil: proteger la intimidad del paciente frente a accesos indebidos sin exponer a los profesionales a represalias ni desincentivar la consulta de la historia. Ese equilibrio pasa por registros de acceso rigurosos, decisiones motivadas, controles internos eficaces y un desarrollo legislativo de las excepciones previstas en el Reglamento EEDS. Como advierte Calcedo Barba (2026), cualquier solución solo será justa en la práctica si los cauces institucionales de control funcionan bien.


Referencias

Suscripción al Blog

bottom of page