El caso que les presento a continuación puede resultar de interés tanto para pacientes como para responsables de centros sanitarios.
La AEPD ha abordado, en la Resolución PD-00068-2026, una cuestión clave: si el derecho de acceso a la historia clínica incluye la identificación de las personas que han consultado los datos personales contenidos en ella.
Antecedentes de hecho
El caso tiene su origen en la reclamación presentada por un particular que ejerció su derecho de acceso frente a la Unidad Regional de Sanidad de la Jefatura Superior de Policía de Madrid. En concreto, solicitó el acceso a la totalidad de su historia clínica y a la documentación médica obrante en los servicios sanitarios de dicha Jefatura. La solicitud, reiterada en dos ocasiones, no fue atendida en un primer momento.
Iniciado el expediente por la AEPD, se concedió trámite de audiencia a la parte reclamada, que presentó alegaciones en las que indicaba que se había procedido a mostrar al reclamante la totalidad de su historia clínica, compuesta por 153 documentos que enumeró en su escrito. Una vez examinada, se facilitó copia de todos y cada uno de los documentos contenidos en ella.
Examinado el escrito de la reclamada, se dio traslado al reclamante para que formulase alegaciones. En su escrito, el reclamante alegó que la reclamada había omitido su derecho a la trazabilidad de los accesos a su historia clínica. En particular, manifestó: «Es relevante destacar que, mientras los informes médicos privados que aporté detallan el contexto personal y el origen de mi situación psicofísica (derivada de un conflicto penal con un superior jerárquico), los informes emitidos por el servicio de sanidad obvian sistemáticamente estos datos. No obstante, dicha información sí ha sido utilizada para tramitar cambios en mi situación administrativa y solicitar mi jubilación sin informarme de tal finalidad. Por todo ello, y dado el conflicto de intereses existente, esta parte reitera su derecho a conocer la identidad de todas las personas que han tenido acceso a su entrevista personal y a su historial clínico. La negativa a facilitar esta información de trazabilidad vulnera el principio de confidencialidad y el derecho de acceso en su vertiente de control sobre quién trata datos tan sensibles».
La controversia se centra, por tanto, en el alcance del derecho de acceso respecto de los registros de consulta, es decir, la denominada «trazabilidad de los accesos».
Resolución de la AEPD
La AEPD recuerda que el artículo 15 del RGPD reconoce al interesado el derecho a obtener del responsable del tratamiento la confirmación de si se están tratando o no datos personales que le conciernen y, en tal caso, el derecho de acceso a dichos datos.
El derecho de acceso se inserta en el marco de los principios del tratamiento establecidos en el artículo 5 del RGPD, en particular el principio de transparencia (artículo 5.1.a), así como en la exigencia de responsabilidad proactiva del responsable (artículos 5.2 y 24) y de aplicación de medidas técnicas y organizativas apropiadas desde el diseño y por defecto (artículo 25), que deben garantizar, entre otros aspectos, la trazabilidad y el control de los accesos a los datos personales.
El Tribunal de Justicia de la Unión Europea, en su sentencia de 22 de junio de 2023 (asunto C-579/21), ha señalado que el derecho de acceso no es un derecho absoluto y que, con carácter general, no implica necesariamente la comunicación de la identidad de las personas físicas concretas dentro de la organización del responsable que hayan accedido a los datos. Este derecho puede satisfacerse mediante la indicación de categorías de destinatarios, salvo que la identificación resulte necesaria para garantizar el ejercicio efectivo de los derechos del interesado y teniendo en cuenta los derechos y libertades de esos empleados.
Este enfoque ha constituido la posición tradicional sostenida por la AEPD. El Tribunal Supremo, Sala de lo Contencioso-Administrativo, se ha pronunciado en el mismo sentido en la sentencia nº 789/2026, de 24 de junio, confirmando que la identificación individual de quienes acceden a los datos no constituye una exigencia general del artículo 15 del RGPD, sino que debe valorarse en función de su necesidad y de la ponderación con otros derechos.
En este sentido, el Reglamento (UE) 2025/327 del Parlamento Europeo y del Consejo, de 11 de febrero de 2025, relativo al Espacio Europeo de Datos de Salud, introduce un estándar reforzado de transparencia respecto de los accesos a los datos de salud electrónicos, que debe tenerse en cuenta en esta interpretación. En particular, su artículo 9 reconoce el derecho a obtener información sobre dichos accesos en los siguientes términos:
1. Las personas físicas tendrán derecho a obtener información, también a través de notificaciones automáticas, sobre cualquier acceso a sus datos de salud electrónicos personales a través del servicio de acceso de los profesionales sanitarios obtenido en el contexto de la asistencia sanitaria, incluido el acceso proporcionado de conformidad con el artículo 11, apartado 5.
2. La información a que se refiere el apartado 1 se proporcionará, de forma gratuita y sin demora, a través de los servicios de acceso a datos de salud electrónicos y estará disponible durante al menos tres años a partir de la fecha de acceso a los datos. Esa información incluirá, al menos, lo siguiente:
a) Información acerca del prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales;
b) La fecha y hora de acceso;
c) Los datos de salud electrónicos personales a los que se ha accedido.
3. Los Estados miembros podrán prever limitaciones al derecho a que se refiere el apartado 1 en circunstancias excepcionales, cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.
De conformidad con la jurisprudencia del TJUE y con el principio de proporcionalidad que rige la aplicación del RGPD, este derecho no tiene carácter absoluto. En consecuencia, la comunicación de la identidad individual podrá limitarse excepcionalmente cuando concurran circunstancias específicas que lo justifiquen, ya sea por previsión normativa expresa o como resultado de una adecuada ponderación de los derechos e intereses en juego, en particular cuando la divulgación de dicha identidad resulte desproporcionada o innecesaria para la finalidad de control perseguida. En tales supuestos, el responsable del tratamiento deberá poder acreditar, en aplicación del principio de responsabilidad proactiva, que la limitación del acceso se encuentra debidamente fundada y documentada.
Conclusión
De conformidad con la jurisprudencia del TJUE y con el principio de proporcionalidad que rige la aplicación del RGPD, la AEPD resuelve que el responsable del tratamiento debe otorgar el acceso a la identidad de las personas que han accedido a los datos de salud del interesado o, en su caso, justificar debidamente la denegación cuando la divulgación de dicha identidad resulte desproporcionada o innecesaria para la finalidad de control perseguida.
Esa ponderación de derechos e intereses en juego no siempre resulta fácil de acreditar. Por ello, los responsables del tratamiento deben tenerlo especialmente en cuenta a la hora de responder al interesado, documentando de forma adecuada los motivos de cualquier limitación al derecho de acceso.
