transparència

La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la Resolución 00068-2026, en la que procede a modificar el criterio actual respecto el ejercicio del derecho de acceso para conocer las personas físicas que han tenido acceso a datos de salud.

Valga empezar recordando que la jurisprudencia actual, como la STJUE de 22 de junio de 2023 (C-579/21), indica que no existe un derecho absoluto de conocer las personas físicas que hayan tenido acceso a la historia clínica, pudiendo satisfacer el ejercicio del derecho de acceso del art. 15 del Reglamento General de Protección de Datos (RGPD) indicando la categoría de destinatarios. Igualmente, la reciente sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo), aplica esta interpretación, confirmando que la identificación individual de quienes acceden a los datos debe valorarse en función de su necesidad y de la ponderación con otros derechos.

De hecho, la misma AEPD sostenía el criterio que “Salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”.

¿Y cuál ha sido el motivo del cambio de criterio? El nuevo Reglamento 2025/327 relativo al Espacio Europeo de Datos de Salud, que establece en su art. 9 el derecho a obtener información sobre el acceso a los datos por el prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales; también prevé que los Estados miembros puedan  limitar este derecho cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.

Esto ha llevado a que, en una reciente reclamación de derecho de acceso en la que se planteaba la necesidad de conocer las personas que accedieron a la historia clínica del demandante, la autoridad de control procediera a adoptar un criterio interpretativo evolutivo en anticipación al nuevo Reglamento Europeo. Partiendo por reconocer que el Reglamento, aunque entró en vigor el 2025, se irá aplicando de manera escalonada a partir del 2027, introduce un criterio de que el derecho de acceso incluye la identificación de las personas que han accedido a los datos. Aunque reconoce que este derecho no es absoluto, conforme a la jurisprudencia y al principio de proporcionalidad, indica que será el responsable de tratamiento quien tenga que acreditar que la limitación al acceso esté debidamente fundada y documentada, rechazando una exclusión general y automática a proporcionar las identidades de las personas que acceden a los datos.

Este criterio supone una evolución de la jurisprudencia e interpretaciones tradicionales para reforzar la transparencia del tratamiento y el control efectivo de la licitud.

La Junta Consultiva de Contratación Pública del Estado ha aprobado, el 15 de julio de 2026, el Informe 50/25, que da respuesta a una cuestión práctica muy presente en la gestión diaria de los órganos de contratación: hasta qué punto puede recurrirse al contrato menor para atender gastos de carácter periódico o recurrente, como puede ser un suministro de escasa cuantía que se repite año tras año. La consulta partía de un caso concreto, pero la respuesta tiene un alcance general que afecta a cualquier entidad del sector público.

El punto de partida del informe es claro: la contratación menor es, por definición, un supuesto de adjudicación directa y excepcional, concebido para atender necesidades puntuales y de escasa entidad, no para planificar de forma sistemática prestaciones que se conocen con antelación. Por ello, la Junta reitera que, como regla general, no está justificado acudir al contrato menor cuando el objeto responde a necesidades periódicas y previsibles que se prolongarán en el tiempo, aunque cada contratación individual no supere los umbrales económicos establecidos. Actuar de este modo de forma sistemática podría encubrir un fraccionamiento indebido del contrato, contrario al artículo 99.2 de la Ley 9/2017, de Contratos del Sector Público (LCSP), y privar a la Administración de obtener una mejor oferta económica, que con frecuencia se consigue mediante una licitación de mayor duración.

No obstante, el informe también reconoce una vía excepcional. Partiendo del régimen de los anticipos de caja fija (artículos 118.5 y 63.4 de la LCSP), previsto precisamente para gastos periódicos de escasa cuantía, la Junta admite que pueda recurrirse al contrato menor para cubrir necesidades recurrentes siempre que el valor estimado agregado del conjunto de las prestaciones vinculadas no alcance, en un período de cinco años —plazo máximo de duración, incluidas las prórrogas, de un contrato de servicios o suministros—, los 15.000 euros. Este período de cinco años, y no el de tres que planteaba la consulta, es el criterio que fija el informe para descartar la existencia de fraccionamiento indebido. Además, la Junta aclara que solicitar tres o más presupuestos antes de adjudicar un contrato menor constituye únicamente una buena práctica destinada a favorecer la concurrencia, pero en ningún caso una obligación legal.

Esta doctrina encuentra un claro paralelismo en Cataluña. El Decreto ley 3/2025, de 4 de marzo, de medidas urgentes en materia de contratación pública, introdujo la figura de los pagos menores: contratos de obras, servicios y suministros cuyo valor estimado sea igual o inferior a 5.000 euros (IVA excluido) y que, a efectos de su tramitación, únicamente requieren la aprobación del gasto y la correspondiente factura, sin necesidad del informe justificativo exigido con carácter general por el artículo 118.2 de la LCSP. El propio precepto permite expresamente formalizar estos contratos para atender necesidades periódicas o recurrentes, siempre que el valor conjunto no supere, en cada anualidad, el umbral de la contratación menor.

La Junta Consultiva de Contratación Pública de Cataluña se pronunció sobre esta cuestión en el Informe 21/2025, de 15 de octubre, emitido a raíz de las consultas formuladas por los ayuntamientos de Santa Coloma de Gramenet y Aitona. Sus conclusiones son plenamente coherentes con el criterio estatal: el carácter recurrente de una necesidad no impide, por sí mismo, acudir al contrato menor, aunque debe evitarse el fraccionamiento indebido. Para ello, considera razonable verificar que el valor agregado de las prestaciones durante un período de cinco años no supere los 15.000 euros. Asimismo, la Junta catalana añade que la tramitación de los pagos menores no requiere el informe jurídico de Secretaría previsto en la disposición adicional tercera de la LCSP y que este régimen resulta igualmente aplicable a los contratos privados de la Administración, sin perjuicio del cumplimiento de las obligaciones de publicidad establecidas por la normativa catalana de transparencia.

La coincidencia entre ambos informes refuerza la seguridad jurídica de los órganos de contratación catalanes, ya que tanto la Junta Consultiva estatal como la catalana admiten, con carácter excepcional y restrictivo, la utilización del contrato menor para atender gastos recurrentes de muy escasa cuantía, siempre que se respeten los límites de cinco años y 15.000 euros, y sin que resulte obligatorio solicitar varias ofertas. No obstante, ambas instituciones coinciden también en un mensaje de fondo: una adecuada planificación de la contratación continúa siendo la opción más eficiente y conforme con los principios de la contratación pública, de modo que el recurso reiterado al contrato menor debe reservarse únicamente para aquellos supuestos en los que no exista duda sobre su procedencia.

En el DOUE de 11 de junio de 2026 se ha publicado el Reglamento de Ejecución (UE) 2026/1197 de la Comisión, de 5 de junio de 2026, por el que se establece una lista de indicadores comunes sobre el funcionamiento de los organismos de igualdad designados de conformidad con la Directiva (UE) 2024/1500. Esta disposición establece el marco para la recopilación y la comunicación de información que servirá de base para los informes de seguimiento que los Estados miembros deberán remitir a la Comisión.

Este reglamento desarrolla las previsiones de la Directiva (UE) 2024/1500, que estableció unos requisitos mínimos aplicables al funcionamiento de los organismos de igualdad con el objetivo de reforzar su eficacia y garantizar su independencia. En este contexto, el Reglamento de Ejecución (UE) 2026/1197 concreta una relación común de indicadores destinada a armonizar los datos que los Estados miembros deben recopilar a escala nacional y comunicar posteriormente a la Comisión Europea.

Según dispone la norma, los indicadores comprenden, entre otros aspectos, los recursos humanos, técnicos y financieros de los organismos de igualdad, las garantías de independencia en el ejercicio de sus funciones, la accesibilidad de sus servicios, la eficacia de su actuación y las posibles modificaciones de su mandato, de sus competencias o de su estructura organizativa. La finalidad es garantizar que la información obtenida sea homogénea, objetiva, fiable y comparable en el conjunto de la Unión Europea.

Contenido del anexo

El anexo del reglamento estructura la lista de indicadores en tres grandes apartados. El primero hace referencia a la configuración nacional y al funcionamiento organizativo de los organismos de igualdad. El segundo recoge los indicadores relativos a su funcionamiento operativo durante el período de referencia. El tercero incorpora la información de retorno facilitada por los propios organismos sobre el cumplimiento de los requisitos previstos en la Directiva (UE) 2024/1500.

Estos apartados incluyen indicadores relativos a la estructura y el mandato de los organismos, las garantías de independencia, los mecanismos de financiación, las competencias para la tramitación de denuncias, los procedimientos de resolución alternativa de litigios, las actuaciones de investigación, la emisión de decisiones o dictámenes, la actividad jurisdiccional, la elaboración de informes, la accesibilidad de los locales y de los servicios, así como la igualdad de acceso a los canales de denuncia.

Herramienta común y protección de datos

Con el fin de facilitar la recopilación y la transmisión de la información, el reglamento prevé que la Comisión pueda poner a disposición de los Estados miembros y de los organismos de igualdad una herramienta informática de uso sencillo, con campos de introducción de datos adaptados a los indicadores aprobados. Asimismo, el artículo 1 establece expresamente que los datos recopilados conforme a estos indicadores no podrán anexo, los Estados miembros deberán facilitar la información relativa a la configuración nacional, al funcionamiento operativo y a la información de retorno, como fecha límite, el 19 de junio de 2031. Posteriormente, varios de estos bloques de información deberán actualizarse con una contener datos personales en el sentido del Reglamento General de Protección de Datos (RGPD).

Plazos de comunicación

De acuerdo con lo establecido en el anexo, los Estados miembros deberán facilitar la información relativa a la configuración nacional, al funcionamiento operativo y a la información de retorno, como fecha límite, el 19 de junio de 2031. Posteriormente, varios de estos bloques de información deberán actualizarse con una periodicidad de cinco años, de conformidad con el artículo 18 de la Directiva (UE) 2024/1500. Con carácter general, los indicadores se calcularán tomando como referencia el año natural.

Entrada en vigor e incidencia práctica

El artículo 2 del Reglamento de Ejecución (UE) 2026/1197 establece que esta disposición entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea. Al tratarse de un reglamento, será obligatorio en todos sus elementos y directamente aplicable en todos los Estados miembros.

Desde una perspectiva práctica, esta norma dota a la Comisión y a los Estados miembros de una metodología común de seguimiento destinada a evaluar el funcionamiento de los organismos de igualdad en el ámbito de la igualdad de trato y de oportunidades entre mujeres y hombres en materia de empleo y ocupación. Este sistema permitirá disponer de información homogénea sobre aspectos como la independencia, los recursos disponibles, la accesibilidad y los resultados de la actividad desarrollada, y constituirá un instrumento de apoyo para la elaboración de los futuros informes de aplicación de la Directiva (UE) 2024/1500.

El 30 de mayo entró en vigor la Ley 6/2026, de 28 de mayo, del tercer sector social. Esta ley tiene como objetivo reconocer y regular las entidades sociales sin ánimo de lucro que trabajan para garantizar los derechos sociales y ayudar las personas en situación de vulnerabilidad.

La nueva ley define el tercer sector social como “el conjunto de entidades privadas sin ánimo de lucro, con personalidad jurídica propia, sede en Cataluña y nacidas de la iniciativa ciudadana, que desarrollan actividades de interés general con criterios de transparencia, participación y compromiso social”.

• Entre los aspectos más destacados de la norma hay el reconocimiento del derecho de las entidades a participar en la elaboración de políticas públicas y en los procesos de decisión vinculados a su ámbito de actuación. En este sentido, se quiere reforzar la participación activa del tercer sector en el diseño, seguimiento y evaluación de las políticas públicas de atención a las personas en situación de vulnerabilidad, así como consolidar una relación de interlocución estable i de corresponsabilidad con las administraciones públicas.
• La nueva ley también refuerza los mecanismos de colaboración entre la Administración y el tercer sector, especialmente a través de fórmulas como la acción concertada social y la gestión delegada, con el objetivo de garantizar servicios de calidad y una respuesta más cercana a las necesidades de la ciudadanía. Por ello el texto establece la concertación social como la forma preferente de relación con las administraciones, aunque la regulación específica de los instrumentos de provisión de servicios sociales se desarrollará en la futura ley impulsada por el Departamento de Derechos Sociales e Inclusión.
• Un punto significativo es que por primera vez, se regula el financiamiento estable de las entidades representativas del tercer sector y se refuerzan las subvenciones estructurales para mejorar el soporte económico y la sostenibilidad de las entidades.
• Así mismo, se incluyen medidas orientadas a la mejora de las condiciones laborales de los profesionales del sector social y fija el objetivo de avanzar progresivamente hacia la equiparación con el sector público, para reforzar y dignificar el sector social.
• Además, la nueva regulación prevé la creación de un censo público de entidades del tercer sector social, con el objetivo de reforzar la transparencia, el reconocimiento institucional y la seguridad jurídica del conjunto del sector.

Finalmente, la ley consolida el tercer sector como un agente esencial para construir una sociedad más justa, inclusiva y solidaria.

Más información en Llei 6/2026, de 28 de maig, del tercer sector social

Servicios Jurídicos

La Resolución 239/2026 del Tribunal Catalán de Contratos del Sector Público anula unos pliegos por falta de justificación de los requisitos de solvencia exigidos y refuerza la idea de que la discrecionalidad del órgano de contratación no exime del deber de motivar adecuadamente sus decisiones.

La configuración de los requisitos de solvencia es, probablemente, uno de los ámbitos en los que los órganos de contratación disponen de un margen de actuación más amplio. Corresponde a cada administración definir qué capacidades económicas, técnicas o profesionales considera necesarias para garantizar una correcta ejecución del contrato y, en consecuencia, determinar qué empresas pueden acceder a la licitación. Esta facultad forma parte de la denominada discrecionalidad técnica y resulta imprescindible para permitir que cada contrato se adapte a sus necesidades específicas.

Ahora bien, esta discrecionalidad no es ilimitada. La Ley de Contratos del Sector Público exige que los requisitos de solvencia mantengan una relación directa con el objeto contractual, sean proporcionales a las prestaciones que deben ejecutarse y no introduzcan restricciones injustificadas a la competencia. Precisamente sobre esta cuestión se pronuncia la Resolución 239/2026, de 11 de junio, del Tribunal Catalán de Contratos del Sector Público, dictada con motivo del recurso especial interpuesto contra los pliegos de un contrato de servicios de balizamiento integral de las playas del municipio de Vandellòs i l’Hospitalet de l’Infant.

La licitación exigía, entre otros requisitos, haber ejecutado determinados contratos similares durante los últimos años, disponer de diversas certificaciones ISO y acreditar la titularidad de una embarcación equipada con una grúa de una determinada capacidad. Una empresa del sector impugnó los pliegos al considerar que estas exigencias no estaban justificadas y que restringían indebidamente la concurrencia.

Lo más relevante de la resolución no es, sin embargo, la valoración concreta de estos requisitos, sino el razonamiento que utiliza el Tribunal para llegar a su conclusión. El TCCSP recuerda que los órganos de contratación pueden exigir los niveles de solvencia que consideren necesarios, pero también que esta decisión debe aparecer debidamente motivada dentro del propio expediente de contratación. No basta con que la justificación exista de forma implícita o pueda reconstruirse posteriormente. Es necesario que el expediente explique por qué se exige un determinado requisito, qué finalidad persigue y qué relación guarda con las prestaciones objeto del contrato.

En este sentido, la resolución insiste en una doctrina ya consolidada pero que sigue generando incidencias prácticas. Las motivaciones aportadas por el órgano de contratación durante la tramitación del recurso no pueden sustituir las justificaciones que deberían haber formado parte del expediente desde el momento de su aprobación. La memoria justificativa y los pliegos no constituyen un simple requisito formal, sino el instrumento que permite acreditar que las decisiones adoptadas responden a criterios objetivos, proporcionados y compatibles con los principios de la contratación pública.

La resolución resulta igualmente significativa por el tratamiento que otorga a las certificaciones ISO. El Tribunal recuerda que la solvencia y los medios para acreditarla son conceptos jurídicamente distintos. La solvencia es la capacidad que se considera necesaria para ejecutar correctamente el contrato; los certificados constituyen únicamente una forma de acreditar dicha capacidad. Por este motivo, considera insuficiente exigir determinadas certificaciones sin identificar previamente qué aspecto concreto de la solvencia se pretende acreditar ni justificar adecuadamente su necesidad en relación con el objeto contractual.

También resulta especialmente revelador que el Tribunal ponga en relación los requisitos exigidos con el resultado efectivo de la licitación. Aunque la presentación de una única oferta no determina por sí sola la ilegalidad de los pliegos, la resolución apunta que esta circunstancia obliga a examinar con especial cautela si los requisitos establecidos pueden haber actuado como una barrera de acceso al mercado. La solvencia debe servir para garantizar que el futuro contratista dispone de la capacidad necesaria para ejecutar el contrato, pero no puede convertirse en un mecanismo que limite artificialmente la competencia o reduzca injustificadamente el número de operadores económicos que pueden presentar oferta.

He adaptado la terminología al lenguaje habitual de la contratación pública en castellano (pliegos, solvencia, concurrencia, expediente de contratación, etc.) manteniendo el tono jurídico-divulgativo del original.

Plan de inspección de las fundaciones y asociaciones declaradas de utilidad pública para el año 2026

La Resolución JUS/1475/2026, de 11 de mayo, publicada en el DOGC núm. 9666 de 15 de mayo, aprueba los criterios del Plan de actuación inspectora de fundaciones y asociaciones declaradas de utilidad pública para el año 2026.

El Protectorado prioriza la inspección de las entidades que incumplen la obligación de presentar cuentas anuales. En concreto, determina, entre otros, como criterios principales de inspección:

• Presentación de cuentas: fundaciones y asociaciones que no hayan depositado las cuentas anuales correspondientes a los dos últimos ejercicios frente al Protectorado de Fundaciones.
• Requerimientos especiales: entidades que hayan recibido requerimientos formulados por el Protectorado que sigan pendientes de atender.
• Deficiencias contables: inspección detallada de entidades con alertas en auditorías anteriores o descuadres reincidentes en la memoria económica.
• Desviación de la finalidad fundacional: comprobación de que, al menos, el 70% de las rentas y otros ingresos netos anuales se destinan estrictamente a las finalidades fundacionales.
• Órganos de gobierno: cargos vencidos y no renovados, así como configuraciones de los órganos de gobierno integradas mayoritariamente por personas con vínculos familiares.

El Plan de Inspección tiene carácter preventivo y de control para garantizar el buen gobierno y la transparencia de las entidades.

Puede consultar el texto completo de la Resolución JUS/1475/2026 en el DOGC núm. 9666, de 15 de mayo de 2026https://portaldogc.gencat.cat/utilsEADOP/PDF/9666/2150554.pdf

La Resolución 172/2026 pone de manifiesto los límites de los criterios de adjudicación evaluables mediante fórmula cuando su aplicación se desvía de los términos de los pliegos. El análisis evidencia cómo la reinterpretación ex post de las ofertas puede desdibujar su naturaleza objetiva. En este contexto, se refuerza la necesidad de alinear con rigor el diseño de criterios con su aplicación efectiva.

El caso analizado parte de una licitación en la que se valoraba la mejora de los niveles de servicio (SLA) a partir de dos parámetros aparentemente objetivos: el tiempo de respuesta y el tiempo de resolución. Pese a esta configuración, la controversia surge en el momento de su aplicación, cuando el órgano de contratación se ve obligado a interpretar el contenido de una de las ofertas para poder encajarla dentro del criterio previsto.

En concreto, la oferta adjudicataria no formulaba los parámetros en los términos de los pliegos, sino mediante una estructura distinta basada en fases de actuación y niveles de prioridad. Ante esto, el órgano de contratación asimiló estos conceptos a los previstos en el criterio y atribuyó la puntuación máxima.

El Tribunal considera que esta operación excede de la naturaleza de los criterios automáticos. Su función no es interpretar o reconstruir las ofertas, sino verificar de forma objetiva si cumplen los parámetros definidos. Cuando esta verificación requiere una adaptación o equivalencia no contemplada en los pliegos, se introduce un margen de discrecionalidad incompatible con este tipo de criterios.

La resolución pone de manifiesto además dos disfunciones especialmente significativas: por un lado, la valoración incompleta del criterio (en tanto que sólo se puntúa uno de los parámetros previstos); por otro, la comparación en pie de igualdad entre una oferta ajustada a los pliegos y otra que requiere una interpretación para ser considerada equivalente.

Este conjunto de circunstancias conduce a la estimación del recurso y la retroacción de las actuaciones, con el fin de practicar una nueva valoración estrictamente ajustada a los términos de los pliegos.

Más allá del caso concreto, la resolución evidencia un riesgo recurrente en la práctica: la flexibilización de los criterios automáticos en el momento de su aplicación. Este desplazamiento desdibuja su función (reducir la discrecionalidad y garantizar la comparabilidad de las ofertas) y puede comprometer los principios de igualdad y transparencia.

En definitiva, la Resolución 172/2026 refuerza una idea esencial: los criterios evaluables mediante fórmula sólo cumplen su función si se configuran con precisión y se aplican con rigor, sin reinterpretaciones ni ajustes ex post.

La reciente Sentencia del Tribunal Supremo núm. 130/2026, de 10 de febrero, aporta una precisión especialmente relevante en la configuración jurídica de los encargos a medios propios, en particular en aquellos supuestos en los que la relación instrumental se construye respecto de varias administraciones públicas. Lejos de cuestionar la viabilidad de las estructuras de medio propio compartido, la resolución consolida una línea jurisprudencial que refuerza su coherencia interna y eleva el nivel de exigencia, desplazando el centro de gravedad desde los elementos formales hacia el análisis material del control.

El artículo 32 de la Ley 9/2017, de Contratos del Sector Público, permite que un poder adjudicador encargue prestaciones a otra entidad sin necesidad de licitación cuando esta actúa como medio propio personificado. Esta técnica se fundamenta en la idea de que no existe una relación contractual entre sujetos autónomos, sino una forma de autoorganización interna. Ahora bien, este desplazamiento fuera de las reglas de concurrencia solo es admisible cuando se cumplen estrictamente los requisitos legales, entre los cuales ocupa un lugar central el denominado control análogo.

Cuando el medio propio es compartido por varios poderes adjudicadores, la propia ley admite expresamente que este control pueda ejercerse de manera conjunta. Ello responde a una realidad organizativa evidente, especialmente en el ámbito local, donde son frecuentes las estructuras instrumentales participadas por múltiples entidades. La jurisprudencia del Tribunal Supremo ha asumido esta configuración y ha dejado claro que no es necesario que cada administración disponga de un control individual ni de una posición mayoritaria sobre la entidad instrumental.

En este sentido, las resoluciones más recientes (y de manera destacada la Sentencia 1547/2025) han contribuido a deshacer una lectura excesivamente rígida del control análogo, afirmando que su existencia debe analizarse desde una perspectiva conjunta y no fragmentaria. La participación minoritaria de uno de los entes no excluye, por sí sola, la posibilidad de considerarlo integrado en una relación in house, siempre que el conjunto de administraciones ejerza una influencia efectiva sobre la entidad.

La STS 130/2026 no altera este planteamiento, pero introduce un matiz decisivo que condiciona su aplicación práctica. El Tribunal no cuestiona la validez del control análogo conjunto, pero rechaza que este pueda construirse sobre bases meramente formales. La presencia de todas las entidades en el capital o en los órganos de gobierno no es suficiente si, en la práctica, la capacidad de decisión se concentra en una única administración.

El caso analizado es especialmente ilustrativo. Una sociedad pública plurimunicipal con capital íntegramente público y con representación formal de todos los entes participantes es considerada por el Tribunal como no apta para actuar como medio propio respecto de uno de sus socios, en la medida en que este no disponía de una capacidad real de influencia sobre las decisiones estratégicas. El régimen de mayorías y la configuración de los órganos sociales permitían a la entidad dominante adoptar decisiones de manera unilateral, dejando al resto de administraciones en una posición esencialmente accesoria.

A partir de esta constatación, el Tribunal Supremo formula una idea que, sin ser nueva, adquiere ahora una centralidad operativa indiscutible: el control análogo conjunto solo existe cuando todas las entidades que pueden efectuar encargos participan realmente en la dirección estratégica y en las decisiones significativas del medio propio. Cuando el control descansa de hecho en un único ente, la figura se desvirtúa, aunque se cumplan formalmente los requisitos legales.

Este planteamiento comporta un claro desplazamiento del foco de análisis. El porcentaje de participación en el capital o la mera presencia en órganos de gobierno dejan de ser elementos determinantes por sí solos. Lo que pasa a ser relevante es el diseño efectivo de la gobernanza: el sistema de mayorías, la posibilidad de influir o bloquear decisiones, la distribución real del poder en los órganos decisorios y, en definitiva, la capacidad de cada entidad para incidir en la orientación de la entidad instrumental.

No se trata, por tanto, de un endurecimiento de la figura del medio propio en sí misma, sino de una mayor exigencia de coherencia entre su configuración formal y su funcionamiento real. La jurisprudencia reciente del Tribunal Supremo puede leerse, en este sentido, como un equilibrio entre dos ideas aparentemente tensionadas pero en realidad complementarias: por un lado, una cierta flexibilidad en la admisión de estructuras de control compartido, incluso con participaciones desiguales; por otro, una exigencia reforzada de que este control sea efectivo, compartido y no meramente nominal.

La consecuencia es clara. Las estructuras de medio propio compartido continúan siendo una herramienta válida y necesaria en la organización del sector público, pero requieren una revisión más cuidadosa de su diseño institucional. El reto no es tanto definir quién participa en la entidad, sino cómo se distribuye y se ejerce realmente el poder de decisión.

Una reciente decisión de la autoridad austríaca de protección de datos (DSB) ha vuelto a situar a Microsoft en el centro del debate sobre la privacidad digital, especialmente cuando se trata de menores. A raíz de una denuncia presentada por la organización Noyb, la DSB ha concluido que Microsoft instaló cookies de rastreo en el dispositivo de un alumno que utilizaba Microsoft 365 Education sin haber obtenido su consentimiento. Según la propia política de privacidad de la empresa, estas cookies sirven para analizar el comportamiento del usuario, recopilar datos del navegador y utilizarlos con fines publicitarios. La autoridad ha concedido a Microsoft un plazo de cuatro semanas para poner fin a este rastreo y adaptarse a la normativa europea.

Este caso no es un hecho aislado. En junio de 2024, Noyb ya había presentado dos reclamaciones ante la autoridad austríaca relacionadas con el uso de Microsoft 365 Education en las escuelas. La primera se resolvió en octubre de 2025, cuando la autoridad consideró que Microsoft había vulnerado el derecho de acceso reconocido en el artículo 15 del Reglamento General de Protección de Datos (RGPD). En aquel momento, la organización denunciaba que Microsoft vulneraba la privacidad de los menores mientras trasladaba la responsabilidad legal a las escuelas y a las autoridades educativas locales.

Uno de los problemas de fondo que destaca Noyb es el desequilibrio de poder entre las grandes empresas tecnológicas y las escuelas o administraciones públicas. Proveedores como Microsoft tienen una posición de mercado tan dominante que pueden imponer contratos y condiciones de uso bajo una lógica de “o lo aceptas o te quedas fuera”. En este contexto, las escuelas no tienen ninguna capacidad real para negociar cómo se tratan los datos del alumnado ni para influir en las decisiones técnicas que adopta la compañía. A pesar de ello, Microsoft suele presentarse como un simple “encargado del tratamiento”, mientras traslada la mayor parte de la responsabilidad legal a las escuelas, que formalmente actúan como “responsables del tratamiento”.

En la práctica, este reparto de roles no refleja la realidad. Las escuelas no deciden ni los medios ni las finalidades reales del tratamiento de datos, tal y como exige el RGPD para ser consideradas responsables efectivas. Sin embargo, son ellas las que acaban asumiendo los riesgos legales.

Las consecuencias de este sistema son especialmente graves para las personas afectadas, en este caso los estudiantes. Cuando intentan ejercer sus derechos de protección de datos, como el derecho de acceso, a menudo se encuentran con que Microsoft no responde a las solicitudes, mientras que las escuelas no pueden dar respuesta porque no disponen de toda la información ni del control efectivo sobre los datos. Esto crea una situación de “cumplimiento formal”, pero vacía de contenido real, que acaba negando derechos básicos reconocidos por el RGPD.

A todo ello se añade una notable falta de transparencia. Determinar qué políticas de privacidad, contratos o documentos se aplican realmente al uso de Microsoft 365 Education es una tarea compleja incluso para profesionales del derecho. La información se encuentra dispersa en múltiples documentos, a menudo con contenidos vagos o contradictorios, y sin explicar claramente qué ocurre con los datos de los menores. Tal como señala Maartje de Graaf, abogada especializada en protección de datos en Noyb, la información facilitada por Microsoft es tan imprecisa que “ni siquiera un abogado cualificado puede entender completamente cómo se tratan los datos personales en Microsoft 365 Education”.

La segunda denuncia resuelta recientemente hace aún más evidente la gravedad de la situación. La autoridad austríaca ha confirmado que Microsoft instaló cookies de seguimiento en el dispositivo de un menor sin su consentimiento, y que dichas cookies se utilizan con fines publicitarios. Tanto la escuela como el Ministerio de Educación austríaco afirmaron que desconocían completamente la existencia de este rastreo. Esto plantea un escenario preocupante: millones de menores en Europa podrían estar siendo rastreados sin base legal ni conocimiento de las instituciones educativas que utilizan estos servicios.

Las posibles consecuencias de esta decisión van mucho más allá del caso concreto. Millones de estudiantes y docentes en toda Europa utilizan Microsoft 365 Education, y millones más emplean Microsoft 365 en empresas y administraciones públicas. El rastreo de usuarios sin consentimiento vulnera claramente la normativa europea de protección de datos y pone en riesgo la conformidad legal de todas las organizaciones que utilizan estas herramientas. De hecho, algunas autoridades de protección de datos, como las alemanas, ya habían expresado serias dudas sobre la compatibilidad de Microsoft 365 con el RGPD.

En resumen, este caso ejemplifica un problema estructural: las grandes empresas tecnológicas concentran el poder de decisión y los beneficios, pero intentan trasladar las obligaciones legales a sus clientes europeos. Tal como resume Max Schrems, fundador de Noyb, si Microsoft no cambia de manera profunda el funcionamiento y la gobernanza de sus productos, muchas organizaciones europeas simplemente no podrán cumplir con sus obligaciones legales en materia de protección de datos. La decisión austríaca es, por tanto, un toque de atención que va mucho más allá de un solo caso o de un solo país.

La Agencia Española de Protección de Datos (AEPD) ha resuelto recientemente un procedimiento sancionador (ref. EXP202402851) contra IDCQ Hospitales y Sanidad, S.L.U. (Hospital Universitario Quirónsalud Madrid) a raíz de la destrucción de un CD que contenía imágenes de resonancias magnéticas aportadas por un paciente para ser comparadas con una prueba diagnóstica realizada en el centro.

El caso ha generado especial interés porque pone el foco en cuestiones clave para el sector sanitario: el tratamiento de datos de salud, la gestión de soportes físicos entregados por los pacientes y el alcance de las obligaciones de conservación vinculadas a la historia clínica.

Los hechos se remontan a noviembre de 2021, cuando un paciente acudió al Hospital Quirónsalud Madrid para realizarse una resonancia magnética y aportó un CD con imágenes de pruebas previas realizadas entre 2018 y 2020. Ese mismo día firmó un documento en el que se indicaba que los resultados e informes estarían disponibles durante un mes para su retirada. Cuando el paciente intentó recuperar el CD cuatro meses después, el centro le comunicó que ya había sido eliminado por limitaciones de espacio en el archivo. Ante esta situación, presentó una reclamación primero ante el propio hospital y, posteriormente, ante la AEPD.

En su defensa, IDCQ Quirónsalud sostuvo que las imágenes contenidas en el CD no habían sido generadas por su centro, sino por otro hospital, y que habían sido aportadas directamente por el paciente. Según su criterio, las obligaciones legales de conservación de documentación clínica se aplican principalmente a la información creada por el propio centro sanitario y no necesariamente a los materiales externos entregados por el paciente. Partiendo de esta premisa, el centro argumentó que, en ausencia de una obligación específica de conservación, mantener el CD habría sido contrario a los principios de minimización de datos y limitación de la finalidad del RGPD y que, por tanto, no disponían de una base de legitimación suficiente, en los términos del artículo 6, para conservarlo más allá del plazo previsto.

El hospital también remarcó que la información que el médico consideró relevante sí se incorporó a la historia clínica del paciente, en forma de informe médico. El resto de las imágenes no se integraron porque, según el criterio clínico del facultativo, no eran necesarias para garantizar la continuidad asistencial.

Además, IDCQ defendió que disponía de un procedimiento interno que regulaba la recogida, custodia y eventual destrucción de pruebas médicas aportadas por los pacientes. Este procedimiento establecía un plazo de un mes para que los soportes físicos fueran retirados y, pasado este periodo, preveía la destrucción del material no recogido. Según el centro, el paciente había sido informado de este plazo y, una vez transcurrido, la destrucción del CD se justificó como una medida técnica y organizativa necesaria y proporcionada en el marco del principio de privacidad desde el diseño y por defecto.

La resolución de la AEPD, sin embargo, rechazó estos argumentos. La Agencia consideró que el tratamiento de datos controvertido (la supresión de los datos contenidos en el CD) no tenía una base legitimadora suficiente que lo amparara, ya que no existe ninguna obligación legal que permita esta destrucción antes del plazo mínimo de cinco años previsto por la normativa sanitaria.

En este sentido, la AEPD recordó que el artículo 17.1 de la LBAP establece que los centros sanitarios deben conservar la documentación clínica en condiciones que garanticen su correcto mantenimiento y seguridad, aunque no necesariamente en el soporte original, durante el tiempo adecuado a cada caso y, como mínimo, cinco años desde el alta de cada proceso asistencial, sin especificar que esta obligación se refiera únicamente a la documentación elaborada por el centro. De este modo, incluiría también aquella documentación clínica aportada directamente por el paciente. La normativa catalana refuerza esta idea y añade que las medidas de seguridad previstas al respecto deben recogerse en protocolos internos aprobados por la dirección del centro.

En cuanto a los protocolos internos alegados por el hospital, la resolución pone de manifiesto que estos no estaban debidamente implantados ni elaborados en el momento de los hechos, sino que se aprobaron con posterioridad al procedimiento sancionador, motivo por el cual no se tuvieron en cuenta como circunstancia atenuante. La Agencia destacó, además, la gravedad de que un grupo hospitalario de la dimensión de Quirónsalud no dispusiera, en aquel momento, de protocolos claros sobre la custodia y destrucción tanto de la documentación clínica generada por el propio centro como de los soportes aportados proactivamente por los pacientes, llegando a calificar la práctica de “negligencia grave”.

La resolución impuso sanciones por infracciones de los artículos 6, 9 y 25 del RGPD, calificadas como muy graves, con un importe total de 1.200.000 euros.

Más allá de la controversia jurídica, el caso ofrece lecciones relevantes para los centros sanitarios. Es esencial disponer de protocolos claros sobre la gestión de los soportes físicos que aportan los pacientes, establecer criterios sólidos sobre los plazos de conservación y devolución, y comunicarlos de manera transparente.

Finalmente, esta resolución pone de manifiesto que la gestión de datos de salud, incluso cuando se trata de soportes físicos aparentemente “externos”, exige un enfoque especialmente cuidadoso desde la perspectiva del RGPD y obliga a los centros sanitarios a revisar y reforzar sus prácticas internas.