¿Tiene el paciente derecho a saber el nombre de quién ha entrado en su historia clínica? Sentencia del Tribunal Supremo

Gemini

Comentario a la Sentencia del Tribunal Supremo (Sala de lo Contencioso-Administrativo, Sección Tercera) núm. 789/2026, de 24 de junio de 2026

Un paciente quería saber quién había accedido a su historia clínica y que se le dieran todos los datos de identificación de cada uno de los profesionales. El Tribunal Supremo ha rechazado esta petición. En este post explico las implicaciones de esta sentencia, y a continuación describo los hechos y la argumentación del Tribunal.

¿Qué puede aprender un médico de esta sentencia?

Primero: consultar la historia del paciente que uno atiende no es una cesión de datos. Es tratamiento interno, expresamente amparado por la Ley 41/2002. No genera, por sí mismo, obligación alguna de justificarse ante el paciente.

Segundo: el nombre del profesional está protegido, pero de forma condicionada. La protección no es incondicional. La frase decisiva de la doctrina es «siempre que se acredite que el acceso se produjo por personal autorizado». La carga de demostrarlo recae sobre la institución, no sobre el paciente. Si el centro no puede acreditar que un acceso concreto fue realizado por personal autorizado y en el ejercicio de sus funciones, el escudo desaparece.

Tercero: los registros de auditoría siguen siendo obligatorios y siguen siendo revisables. Esta sentencia no reduce en nada la trazabilidad; la presupone. Precisamente porque los servicios de salud pudieron revisar los logs y responder con detalle, el Supremo consideró satisfecho el derecho de acceso. Un centro que no llevara ese registro estaría en una posición mucho peor.

Cuarto: existe una puerta abierta para el acceso indebido. La excepción del TJUE —cuando la identidad sea «indispensable para permitir al interesado ejercer efectivamente sus derechos»— está pensada para supuestos distintos del acceso asistencial ordinario. Si un paciente aporta indicios de que alguien ajeno a su asistencia curioseó su historia, la ponderación puede inclinarse en sentido contrario. Y en todo caso quedan abiertas otras vías que esta sentencia expresamente señala: la reclamación ante los órganos de gestión del servicio de salud, el expediente disciplinario y, en su caso, la vía penal por descubrimiento y revelación de secretos.

Quinto: el deber de secreto no se toca. El artículo 18.6 de la Ley 41/2002 sigue vinculando a todo el personal que accede a la historia clínica en el ejercicio de sus funciones. Que el paciente no pueda obtener el nombre de quien consultó no significa que la consulta sea libre: significa que el control de su corrección se ejerce por el cauce institucional y no por vía de solicitud directa del interesado.

Una cautela final. El recurrente había invocado normativa autonómica —el artículo 35 de la Ley extremeña 3/2005, y la legislación navarra— que reconoce expresamente el derecho a saber quién accedió, por qué y con qué uso. La sentencia no aborda de forma específica ese argumento en su fundamentación, de modo que la doctrina fijada se construye sobre el bloque RGPD–Ley 41/2002–LOPDGDD. Conviene, por tanto, comprobar si la comunidad autónoma en la que uno ejerce ha ampliado el estándar mínimo estatal, porque el marco práctico puede diferir de un servicio de salud a otro.

1. Por qué esta sentencia importa en la consulta

Todos los sistemas de historia clínica electrónica dejan huella. Cada vez que un médico, un residente, una enfermera, un administrativo de admisión o un técnico del archivo abre la historia de un paciente, el sistema registra quién entró, cuándo y desde dónde. La pregunta que resuelve el Tribunal Supremo es sencilla de formular y muy incómoda de responder: cuando el paciente pide ver ese registro, ¿tiene derecho a que le den los nombres?

La respuesta condiciona algo que afecta directamente a la práctica diaria: si el profesional que consulta una historia debe asumir que su nombre puede acabar en manos del paciente cada vez que este lo solicite, o si su identidad queda, en principio, protegida.

El Supremo fija doctrina —es decir, sienta un criterio vinculante para casos futuros— y la respuesta es no, con matices importantes que conviene entender bien, porque no equivalen a una barra libre.

2. Los hechos

Un paciente, D. Florentino, dirigió dos solicitudes de información: una al Servicio Aragonés de Salud y otra a la Conselleria de Sanidad Universal y Salud Pública de la Generalitat Valenciana.

Lo que pedía no era un extracto genérico. Era un volcado exhaustivo del registro de auditoría de su historia: identificación nominal de cada persona que había accedido, tipo de acceso, origen, motivo, aplicación utilizada (incluida la dirección IP o el nombre del servicio desde el que se accedía), fecha, hora de inicio y de fin, duración total del acceso e incluso los accesos denegados. Incluía también los registros de acceso a los informes elaborados por los profesionales a través de la Historia Clínica Digital del Sistema Nacional de Salud (HCDSNS).

Las respuestas fueron distintas:

• El Servicio Aragonés de Salud revisó los accesos del periodo comprendido entre junio de 2020 y junio de 2021 y le informó del resultado: constaba un acceso, el 27 de enero de 2021, realizado por personal de documentación clínica y archivos del Hospital Universitario Miguel Servet. Le explicó, además, que el derecho de acceso cubre los datos tratados, su origen y sus posibles cesiones, pero no alcanza a la identidad de las personas que, dentro de la propia organización, hayan podido consultarlos.

  
  

• El servicio valenciano fue más lejos: le detalló los accesos a su historia electrónica en el Hospital General de Valencia entre septiembre de 2018 y junio de 2021, indicando que todos eran accesos de consulta y especificando fecha, hora, nombre de la persona que consultó, motivo del acceso y servicio o unidad.

  
  

Insatisfecho, el paciente reclamó ante la Agencia Española de Protección de Datos (AEPD). La Directora de la Agencia, por resolución de 1 de septiembre de 2021, inadmitió las quejas: no apreciaba indicios racionales de infracción, porque —razonaba— el derecho de acceso no es la vía para averiguar la identidad de terceros internos que hayan consultado la historia, ni un instrumento para evaluar si esos accesos estaban justificados. Esto último, añadía, corresponde a los órganos de gestión del propio servicio de salud.

La Audiencia Nacional desestimó el recurso contra esa resolución (sentencia de 10 de enero de 2024). El paciente recurrió en casación y el Supremo admitió el recurso por interés casacional objetivo: es decir, no porque el caso concreto fuera especialmente grave, sino porque la cuestión carecía de doctrina consolidada y convenía que el Tribunal la fijara para todos.

3. Los dos relatos enfrentados

La tesis del paciente

Su argumento central se apoyaba en el artículo 15.1.c) del Reglamento General de Protección de Datos (RGPD), que reconoce al interesado el derecho a conocer «los destinatarios o las categorías de destinatarios a los que se comunicaron o serán comunicados los datos personales». Su lectura: dentro de "destinatarios" hay que incluir a los propios profesionales asistenciales y al personal de gestión de los centros que tratan esos datos.

A partir de ahí sostenía que el artículo 18.3 de la Ley 41/2002 (que limita el acceso del paciente cuando perjudica la confidencialidad de terceros) choca frontalmente con el RGPD, y que negarle la información contradice el principio de transparencia. Añadía un argumento de derecho comparado interno: varias comunidades autónomas —citaba Extremadura, cuyo artículo 35 de la Ley 3/2005 reconoce expresamente el derecho a conocer quién ha accedido a los datos sanitarios, el motivo y el uso, y también Navarra— han ampliado el estándar mínimo estatal, lo que a su juicio demuestra que la Ley 41/2002 ha quedado desfasada.

La tesis de la Abogacía del Estado

La defensa de la Administración articuló cuatro ideas que conviene retener porque el Supremo las hace suyas casi en su totalidad:

1. Consultar no es comunicar. El propio RGPD, al definir "tratamiento" en su artículo 4.2, enumera como operaciones distintas la consulta, la utilización y la comunicación. Cuando un médico abre la historia del paciente que está atendiendo no está comunicando datos a nadie: los está consultando y utilizando para el fin propio del fichero.

   
   

2. La ley autoriza expresamente ese acceso. El artículo 16.1 de la Ley 41/2002 configura la historia clínica como instrumento destinado a garantizar una asistencia adecuada, y reconoce el acceso a los profesionales asistenciales que realizan el diagnóstico o el tratamiento. El 16.4 lo extiende al personal de administración y gestión, pero limitado a los datos relacionados con sus propias funciones.

   
   

3. El nombre del profesional también es un dato personal protegido. Aquí no hay un derecho frente a nadie, sino dos derechos enfrentados: el del paciente a la transparencia y el del trabajador a la protección de sus datos. Hay que ponderar.

   
   

4. El efecto disuasorio. Si cualquier acceso puede desembocar en una denuncia nominal que el profesional deba justificar individualmente, el resultado previsible es que el personal se retraiga de consultar la historia. Eso perjudicaría precisamente la finalidad para la que el fichero existe: la asistencia.

   
   

4. El razonamiento del Tribunal Supremo

4.1. Primer paso: el personal interno no es un "tercero"

El Supremo separa dos cuestiones que a menudo se confunden.

La primera es si el acceso de los profesionales es legítimo. Y la respuesta es que sí, sin discusión: el personal integrado en el servicio médico que atiende al paciente forma parte de la organización interna encargada del tratamiento de esos datos. Su acceso está expresamente autorizado por la ley, no constituye un acceso por terceros ni una cesión de datos, y por tanto no puede considerarse ilegítimo.

La segunda —la que realmente se discute— es si el paciente, ejercitando su derecho de acceso, puede exigir la identidad de esos profesionales.

4.2. Segundo paso: "destinatario" no significa "empleado"

Aquí el Supremo se apoya de manera decisiva en el Tribunal de Justicia de la Unión Europea, en particular en la sentencia de 22 de junio de 2023 (asunto C-579/21), dictada precisamente en un caso en el que un cliente de un banco quería saber qué empleados habían consultado sus datos.

El punto de partida del TJUE es favorable al interesado: existe derecho a conocer los destinatarios concretos de los datos (así lo había establecido en el asunto Österreichische Post, C-154/21), y la finalidad de ese derecho es permitir al ciudadano verificar la licitud del tratamiento.

Pero el TJUE introduce la distinción clave (apartado 73): los empleados del responsable del tratamiento no son "destinatarios" en el sentido del artículo 15.1.c) del RGPD cuando tratan datos bajo la autoridad de ese responsable y conforme a sus instrucciones.

Traducido al hospital: el "responsable del tratamiento" es el servicio de salud o el centro sanitario, no el facultativo individual. El médico que abre la historia no es un tercero que recibe datos desde fuera; es la organización misma actuando.

4.3. Tercer paso: la ponderación

El Supremo recuerda que la protección de datos no es un derecho absoluto: el considerando 63 del RGPD advierte de que el derecho de acceso «no debe afectar negativamente a los derechos y libertades de terceros», y el TJUE (apartados 79 y 80 de la sentencia citada) impone realizar una ponderación cuando el ejercicio del derecho de acceso choca con los derechos de otros. Debe optarse, siempre que sea posible, por modalidades que no lesionen a esos otros —pero, importante, esa ponderación nunca puede tener como resultado negarle toda la información al interesado.

4.4. La regla que resulta: el reparto entre el qué y el quién

El apartado 83 de la sentencia europea contiene la fórmula que el Supremo aplica, y que conviene retener casi literalmente por su valor práctico:

• La información sobre las operaciones de consulta, con sus fechas y sus fines, sí debe facilitarse al interesado.

  
  

• La información relativa a la identidad de los empleados que realizaron esas operaciones bajo autoridad e instrucciones del responsable no, salvo que esa información sea indispensable para que el interesado pueda ejercer efectivamente sus derechos, y siempre teniendo en cuenta los derechos y libertades de esos empleados.

  
  

Es decir: el paciente tiene derecho al qué, al cuándo y al para qué. No, por defecto, al quién.

4.5. Aplicación al caso

Con esa vara de medir, el Supremo concluye que el paciente fue debidamente informado. Aragón le acreditó que el único acceso registrado en el periodo revisado lo realizó personal de documentación clínica y archivos del hospital, en ejercicio de sus funciones. Valencia le detalló fecha, hora, motivo, servicio y unidad de cada consulta —y, de hecho, también el nombre, más de lo que la doctrina exigía—. Quedó acreditado que todos los accesos se produjeron por personal médico o asistencial de los centros que le trataron, cumpliendo las previsiones legales y los protocolos de consulta establecidos.

5. La doctrina fijada y el fallo

El Supremo responde a la cuestión casacional en estos términos:

"El interesado no tiene derecho a conocer los datos de identidad del personal integrado en la organización sanitaria que ha accedido a su historial clínico o que ha contribuido a formarlo, siempre que se acredite que el acceso se produjo por personal autorizado integrado en esa organización responsable del tratamiento".

En consecuencia, la inadmisión acordada por la AEPD encaja en el artículo 65.2 de la Ley Orgánica 3/2018, que le permite inadmitir reclamaciones que carezcan manifiestamente de fundamento, sean abusivas o no aporten indicios racionales de infracción.

Fallo: se desestima el recurso de casación y no se imponen costas a ninguna de las partes, al no apreciarse temeridad ni mala fe.

6. Balance

La sentencia resuelve un conflicto entre dos derechos legítimos con una solución de equilibrio bastante razonable: transparencia sobre el hecho del acceso, opacidad sobre la persona. El paciente puede saber que su historia fue consultada, cuándo, por qué motivo y desde qué servicio; lo que no obtiene, salvo justificación específica, es el nombre.

El argumento que sostiene ese equilibrio es de política sanitaria más que estrictamente jurídico, y merece ser reconocido como tal: un derecho de acceso nominal e indiscriminado terminaría retrayendo al personal de consultar la historia por temor a tener que justificar individualmente cada apertura. Y una historia clínica que los profesionales dudan en abrir deja de cumplir la función para la que existe.

Cabe una crítica: la protección descansa enteramente sobre la solidez de los controles internos. La sentencia traslada al paciente hacia los órganos de gestión del propio servicio de salud —es decir, hacia la misma organización cuyo personal sería objeto de la queja— para depurar accesos irregulares. Que ese cauce funcione bien es, en la práctica, la condición para que el equilibrio que el Supremo diseña resulte justo y no meramente formal.