#TribunalSuprem

La Agencia Española de Protección de Datos (AEPD) ha publicado recientemente la Resolución 00068-2026, en la que procede a modificar el criterio actual respecto el ejercicio del derecho de acceso para conocer las personas físicas que han tenido acceso a datos de salud.

Valga empezar recordando que la jurisprudencia actual, como la STJUE de 22 de junio de 2023 (C-579/21), indica que no existe un derecho absoluto de conocer las personas físicas que hayan tenido acceso a la historia clínica, pudiendo satisfacer el ejercicio del derecho de acceso del art. 15 del Reglamento General de Protección de Datos (RGPD) indicando la categoría de destinatarios. Igualmente, la reciente sentencia del Tribunal Supremo de 24 de junio de 2026 (núm. 789/2026, Sala de lo Contencioso-Administrativo), aplica esta interpretación, confirmando que la identificación individual de quienes acceden a los datos debe valorarse en función de su necesidad y de la ponderación con otros derechos.

De hecho, la misma AEPD sostenía el criterio que “Salvo que una ley lo permita expresamente, el derecho de acceso no incluye la identificación de los profesionales sanitarios que acceden a la historia clínica”.

¿Y cuál ha sido el motivo del cambio de criterio? El nuevo Reglamento 2025/327 relativo al Espacio Europeo de Datos de Salud, que establece en su art. 9 el derecho a obtener información sobre el acceso a los datos por el prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales; también prevé que los Estados miembros puedan  limitar este derecho cuando existan indicios concretos de que la divulgación pondría en peligro los derechos o intereses vitales del profesional sanitario o la asistencia prestada a la persona física.

Esto ha llevado a que, en una reciente reclamación de derecho de acceso en la que se planteaba la necesidad de conocer las personas que accedieron a la historia clínica del demandante, la autoridad de control procediera a adoptar un criterio interpretativo evolutivo en anticipación al nuevo Reglamento Europeo. Partiendo por reconocer que el Reglamento, aunque entró en vigor el 2025, se irá aplicando de manera escalonada a partir del 2027, introduce un criterio de que el derecho de acceso incluye la identificación de las personas que han accedido a los datos. Aunque reconoce que este derecho no es absoluto, conforme a la jurisprudencia y al principio de proporcionalidad, indica que será el responsable de tratamiento quien tenga que acreditar que la limitación al acceso esté debidamente fundada y documentada, rechazando una exclusión general y automática a proporcionar las identidades de las personas que acceden a los datos.

Este criterio supone una evolución de la jurisprudencia e interpretaciones tradicionales para reforzar la transparencia del tratamiento y el control efectivo de la licitud.

El Tribunal Supremo ha confirmado que la estandarización de contratos de teletrabajo no vulnera la libertad sindical siempre que se respete la voluntariedad y el trámite de audiencia. En su sentencia, la Sala de lo Social desestimó el recurso del sindicato ASC contra Ayesa Advanced Technologies, fijando doctrina sobre los límites entre negociación colectiva y acuerdos individuales en el trabajo a distancia.

El litigio tiene su origen en la demanda del sindicato, que solicitaba la nulidad de la implantación unilateral de un régimen de teletrabajo y de las cláusulas contractuales suscritas con los empleados desde octubre de 2022. El sindicato argumentaba que la empresa había incurrido en una «individualización en masa», eludiendo la negociación colectiva al ofrecer un modelo de adhesión idéntico a toda la plantilla. La sentencia desestima íntegramente las pretensiones sindicales basándose en tres argumentos jurídicos fundamentales:

1. La primacía de la voluntariedad individual El Tribunal recuerda que el trabajo a distancia se rige por el principio de voluntariedad (Art. 5 Ley 10/2021). El acuerdo debe ser necesariamente individual, ya que responde a la voluntad de las partes, y «no puede ser suplido por pacto o convenio de carácter colectivo«. El TS distingue dos planos: la necesidad del acuerdo individual, que es insustituible, y el contenido de dicho acuerdo, que debe respetar la ley y el convenio, pero cuyo formato estandarizado no implica ilegalidad.
2. El modelo único no viola la libertad sindical El hecho de que la empresa ofrezca un modelo de «contrato de adhesión» no supone una vulneración de la negociación colectiva. En este caso, el Tribunal valoró que los acuerdos individuales fueron anteriores a la negociación del convenio sectorial y que el sindicato demandante no acreditó haber intentado negociar un convenio de empresa que fuera rechazado por la compañía.
3. Desconexión digital Uno de los puntos más relevantes es la validación de la política de desconexión digital. El sindicato reclamaba que esta política debía haber sido negociada. Sin embargo, el Supremo aclara que el artículo 88 de la LOPD y el convenio de aplicación permiten al empleador elaborar la política interna previa audiencia de los representantes de los trabajadores. Al constar que la empresa realizó dicha audiencia y consultas antes de implantar la medida, se considera cumplida la exigencia legal sin necesidad de alcanzar un acuerdo colectivo formal.

Conclusión:

Esta sentencia refuerza la seguridad jurídica de las empresas al gestionar el teletrabajo. Confirma que la estandarización administrativa de los acuerdos (el uso de contratos de adhesión) es lícita siempre que:

• Se respete la voluntariedad y reversibilidad exigida por la ley.
• Se cumpla con el trámite de audiencia a la representación legal de los trabajadores en materias como la desconexión digital.
• No se bloqueen iniciativas reales de negociación colectiva cuando existe legitimación para ello, es decir, no da carta blanca para impedir o neutralizar la acción sindical cuando exista una verdadera iniciativa de negociación colectiva legítima.

El Tribunal Supremo ha dado un paso importante a favor de la transparencia. En una decisión històrica, la sentencia núm. 1119/2025, de 11 de septiembre de 2025, ha dado la razón a la Fundación Ciudadana Civio, y ha establecido que los ciudadanos tienen derecho a acceder al código fuente de los programas informáticos que utiliza la Administración para tomar decisiones automáticas.

El caso concreto se basa en la aplicación BOSCO, que el Ministerio de Transición Ecológica utiliza para decidir quién puede recibir el bono social, una ayuda para la factura eléctrica. La Fundación Civio quería saber exactamente cómo funcionaba el algoritmo de la aplicación para comprobar que no hubiera errores o que se usara de manera justa.

Tanto el Consejo de Transparencia como la Audiencia Nacional habían negado el acceso, argumentando que el código fuente estaba protegido por la propiedad intelectual y que divulgarlo podría comprometer la seguridad.

El Tribunal Supremo, sin embargo, ha rebatido estos argumentos:

• Naturaleza del derecho de acceso a la información pública: La sentencia recalca que el derecho de acceso a la información pública no es sólo un principio orientador para la administración, sino un derecho constitucional subjetivo ejercitable por los ciudadanos. Este derecho deviene particularmente relevante con el uso de nuevas tecnologías, como los sistemas de toma de decisiones automatizadas.
• Principio de transparencia algorítmica: La sentencia reconoce la importancia de la «transparencia algorítmica» para garantizar la rendición de cuentas y evitar la opacidad en las decisiones públicas.
• Ponderación de derechos y límites: El Tribunal Supremo resuelve que la simple invocación de la propiedad intelectual no es suficiente para denegar el acceso, especialmente cuando el programa ha sido desarrollado por una administración pública para el ejercicio de funciones públicas.
• Seguridad Pública vs. Transparencia: Respecto al argumento de la seguridad pública, el Tribunal Supremo considera que la mera afirmación de que la revelación del código fuente aumenta la vulnerabilidad del sistema no es un motivo suficiente para denegar el acceso. Se señala que la transparencia puede, de hecho, contribuir a la mejora del código y a su seguridad, y que, en cualquier caso, los riesgos pueden ser gestionados con medidas como la prohibición de la difusión no autorizada o la firma de compromisos de confidencialidad.
• La Función Pública de BOSCO: La sentencia destaca la relevancia pública de la aplicación BOSCO, ya que sirve para el ejercicio de una función pública con una importante proyección social: la protección de los consumidores vulnerables y la lucha contra la pobreza energética. El Tribunal Supremo subraya que la Fundación Ciudadana Civio, como entidad de vigilancia social, tiene un interés legítimo en verificar si el algoritmo de la aplicación se ajusta a la ley para evitar posibles errores o discriminaciones.

Esta sentencia anula las decisiones anteriores y obliga al gobierno a dar el código fuente de la aplicación BOSCO a la fundación. Esto abre la puerta a un control más efectivo sobre el uso de la tecnología por parte de las administraciones y de los ciudadanos especialmente cuando afecta a los derechos y libertades de los mismos.