Anàlisi de la sentència del Tribunal Suprem que delimita el dret dels pacients a conèixer la identitat dels professionals que accedeixen a la seva història clínica

El passat 24 de juny de 2026, el Tribunal Suprem va dictar la Sentència núm. 789/2026 (ROJ: STS 2945/2026; ECLI:ES:TS:2026:2945), una resolució de gran transcendència pràctica que fixa doctrina sobre el dret dels pacients a conèixer la identitat del personal que ha accedit a la seva història clínica.

La sentència contribueix a aclarir una qüestió que ha generat nombrosos conflictes en les organitzacions sanitàries: si el dret d’accés reconegut per l’article 15 del Reglament General de Protecció de Dades (RGPD) permet al pacient obtenir el nom i els cognoms de cadascuna de les persones que han consultat la seva història clínica.

La controvèrsia respon a la necessitat de trobar un equilibri entre, d’una banda, el dret del pacient a conèixer com s’han tractat les seves dades de salut i comprovar la licitud dels accessos i, de l’altra, els drets a la protecció de dades, la privacitat i la seguretat dels professionals. 

En aquest àmbit, l’Autoritat Catalana de Protecció de Dades (APDCAT) havia mantingut un criteri favorable a facilitar una informació àmplia sobre la traçabilitat dels accessos, mentre que l’Agència Espanyola de Protecció de Dades (AEPD) havia sostingut que el personal que accedeix a les dades sota l’autoritat del responsable del tractament no té, amb caràcter general, la consideració de destinatari en el sentit de l’article 15.1.c) del RGPD. Per tant, aquest precepte no obliga automàticament a comunicar la seva identitat.

Aquesta interpretació es fonamenta, entre d’altres, en la doctrina establerta pel Tribunal de Justícia de la Unió Europea (TJUE) en la Sentència de 22 de juny de 2023, assumpte C-579/21. En aquesta resolució, el TJUE va concloure que l’interessat té dret a obtenir informació sobre les operacions de consulta efectuades sobre les seves dades, especialment les dates i les finalitats dels accessos, però no, amb caràcter general, la identitat dels empleats que els hagin realitzat sota l’autoritat del responsable i seguint les seves instruccions.

No obstant això, el TJUE també va precisar que aquesta identitat podria arribar a facilitar-se quan resultés indispensable perquè l’interessat pogués exercir efectivament els drets que li reconeix el RGPD, sempre que es tinguessin en compte els drets i les llibertats del personal afectat

La doctrina fixada pel Tribunal Suprem

La Sentència núm. 789/2026 conclou que l’interessat no té, amb caràcter general, dret a conèixer la identitat del personal integrat en l’organització sanitària que ha accedit a la seva història clínica o que ha contribuït a formar-la, sempre que s’acrediti que l’accés va ser efectuat per personal autoritzat integrat en l’organització responsable del tractament.

En paraules de la sentència:

" En respuesta a la cuestión de interés casacional planteada [...] afirmamos que el interesado no tiene derecho a conocer los datos de identidad del personal integrado en la organización sanitaria que han accedido a su historial clínico o que han contribuido a formarlo, siempre que se acredite que el acceso se produjo por personal autorizado integrado en esa organización responsable del tratamiento."

La resolució distingeix, per tant, entre els destinataris als quals s’han comunicat les dades personals i el personal intern que hi accedeix sota l’autoritat del responsable del tractament. Aquest personal no pot ser considerat automàticament destinatari de les dades als efectes de l’article 15.1.c) del RGPD.

En el cas analitzat, el Tribunal Suprem considera que el dret d’accés havia estat atès adequadament perquè s’havia informat l’interessat sobre les operacions d’accés efectuades i havia quedat acreditat que les consultes havien estat realitzades per personal autoritzat dels centres sanitaris que l’havien tractat, en l’exercici de les seves funcions i d’acord amb les previsions legals i els protocols establerts pel responsable del tractament.

La sentència també recorda que l’accés dels professionals assistencials a la història clínica està expressament previst per la Llei 41/2002, de 14 de novembre, amb la finalitat de garantir una assistència adequada al pacient. Així mateix, el personal d’administració i gestió només pot accedir a les dades de la història clínica relacionades amb les seves funcions.

Per tant, l’accés efectuat per personal integrat en l’organització sanitària, sota l’autoritat del responsable i dins de les funcions que té atribuïdes, no constitueix una comunicació de dades a un tercer.

Què significa això per a les entitats sanitàries? 

La sentència aporta un criteri rellevant per gestionar les sol·licituds d’accés a la traçabilitat de les històries clíniques. Les principals conseqüències pràctiques són les següents:

• L’article 15 del RGPD no reconeix, amb caràcter general, un dret a obtenir el nom i els cognoms de cadascun dels membres del personal intern que hagi accedit a la història clínica, sempre que l’entitat pugui acreditar que l’accés va ser efectuat per personal autoritzat integrat en la seva organització. 
• El pacient sí que té dret a obtenir informació sobre les operacions de consulta efectuades sobre les seves dades, en particular sobre les dates i les finalitats dels accessos, en la mesura que aquesta informació sigui necessària per garantir la transparència del tractament i permetre-li comprovar que s’han respectat els seus drets.
• La resolució evita que la identificació individual del personal es converteixi en una resposta automàtica davant de qualsevol sol·licitud d’accés, especialment quan no existeixen indicis concrets d’un ús indegut de la informació.
• L’entitat continua tenint l’obligació de registrar, conservar, supervisar i auditar els accessos a les històries clíniques, així com d’investigar aquells que puguin resultar irregulars o injustificats. 
• La condició de personal autoritzat per utilitzar el sistema no determina, per si sola, la licitud de qualsevol consulta. Cada accés ha de respondre a una necessitat assistencial, administrativa o professional legítima i ha de respectar els principis de limitació de la finalitat, minimització i confidencialitat. 
• La identitat del personal podria arribar a facilitar-se excepcionalment quan resultés indispensable perquè l’interessat pogués exercir efectivament els seus drets. Aquesta decisió requeriria valorar les circumstàncies concretes i ponderar els drets de l’interessat amb els drets i les llibertats de la persona afectada.

Des d’una perspectiva de responsabilitat proactiva, quan el pacient aporti indicis concrets d’un possible accés indegut, l’entitat no s’hauria de limitar a comprovar que la persona disposava d’autorització general per accedir al sistema. També hauria d’analitzar si la consulta concreta estava justificada per les seves funcions i si es va efectuar d’acord amb les previsions legals i els protocols interns.

Si es detecta un accés injustificat, l’entitat haurà d’adoptar les mesures correctores i, si escau, disciplinàries que corresponguin. Igualment, haurà de valorar si els fets constitueixen una violació de la seguretat de les dades personals que hagi de ser notificada a l’autoritat de control o comunicada a les persones afectades, d’acord amb els articles 33 i 34 del RGPD.

La sentència no elimina, per tant, l’obligació de garantir la traçabilitat dels accessos ni redueix els deures de control de les entitats. El que delimita és la informació que el pacient pot obtenir directament a través del dret d’accés regulat pel RGPD.

Un escenari que canviarà amb l’Espai Europeu de Dades de Salut

Aquest escenari jurídic evolucionarà amb l’aplicació progressiva del Reglament (UE) 2025/327, relatiu a l’Espai Europeu de Dades de Salut (EDDS).

L’article 9 d’aquest Reglament reconeix a les persones el dret a obtenir informació sobre qualsevol accés a les seves dades electròniques de salut efectuat, en el context de l’assistència sanitària, a través dels serveis d’accés dels professionals. Aquesta informació haurà d’incloure, com a mínim:

• Informació sobre el prestador d’assistència sanitària o qualsevol altra persona que hagi accedit a les dades. 
• La data i l’hora de l’accés. 
• Les dades electròniques de salut que hagin estat consultades. 

La informació s’haurà de proporcionar gratuïtament i sense demora, haurà d’estar disponible durant un mínim de tres anys des de la data de l’accés i es podrà facilitar també mitjançant notificacions automàtiques. Els estats membres només podran establir limitacions en circumstàncies excepcionals, quan existeixin indicis concrets que la divulgació podria posar en perill els drets o els interessos vitals del professional sanitari o l’assistència prestada al pacient.

Encara que el Reglament sigui aplicable amb caràcter general a partir del 26 de març de 2027, el dret regulat a l’article 9 començarà a aplicar-se de manera progressiva:

• A partir del 26 de març de 2029, respecte del resum del pacient, les receptes electròniques i les dispensacions electròniques. 
• A partir del 26 de març de 2031, respecte de les imatges mèdiques, els resultats de proves diagnòstiques i els informes d’alta. 

Conclusions

Per tant, la doctrina del Tribunal Suprem proporciona un criteri rellevant per gestionar les sol·licituds d’accés en el marc jurídic actual, però les entitats sanitàries haurien d’anar preparant els seus sistemes d’informació per adaptar-se al futur model europeu. Això requerirà garantir que els registres d’accés permetin identificar de manera estructurada qui ha accedit a les dades, quan ho ha fet i quina informació ha consultat, així com posar aquesta informació a disposició del pacient de manera accessible i segura.

La Sentència núm. 789/2026 aporta seguretat jurídica, però no ha de conduir a reduir els controls interns sobre les històries clíniques. Al contrari, reforça la necessitat que les entitats puguin acreditar que cada accés ha estat efectuat per personal autoritzat i que estava justificat per les funcions professionals corresponents. Aquesta capacitat de control serà, a més, imprescindible per afrontar les noves exigències de transparència que introduirà progressivament l’Espai Europeu de Dades de Salut.