TJUE

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat recentment la Resolució 00068-2026, en la qual procedeix a modificar el criteri actual respecte l’exercici del dret d’accés per conèixer les persones físiques que han tingut accés a dades de salut.

Valgui començar recordant que la jurisprudència actual, com la STJUE de 22 de juny de 2023 (C-579/21), indica que no existeix un dret absolut de conèixer les persones físiques que hagin tingut accés a la història clínica, podent satisfer l’exercici del dret d’accés de l’art. 15 del Reglament General de Protecció de Dades (RGPD) indicant la categoria de destinataris. Igualment, la recent sentència del Tribunal Suprem de 24 de juny de 2026 (núm. 789/2026, Sala Contenciosa Administrativa), aplica aquesta interpretació, confirmant que la identificació individual dels qui accedeixen a les dades s’ha de valorar en funció de la seva necessitat i de la ponderació amb altres drets.

De fet, la mateixa AEPD sostenia el criteri que “Llevat que una llei ho permeti expressament, el dret d’accés no inclou la identificació dels professionals sanitaris que accedeixen a la història clínica“.

I quin ha estat el motiu del canvi de criteri? El nou Reglament 2025/327 relatiu a l’Espai Europeu de Dades de Salut, que estableix en el seu art. 9 el dret a obtenir informació sobre l’accés a les dades pel prestador d’assistència sanitària o qualsevol altra persona que hagi accedit a les dades de salut electrònics personals; també preveu que els Estats membres puguin  limitar aquest dret quan hi hagi indicis concrets que la divulgació posaria en perill els drets o interessos vitals del professional sanitari o l’assistència prestada a la persona física.

Això ha portat que, en una recent reclamació de dret d’accés en la qual es plantejava la necessitat de conèixer les persones que van accedir a la història clínica del demandant, l’autoritat de control procedís a adoptar un criteri interpretatiu evolutiu en anticipació al nou Reglament Europeu. Partint per reconèixer que el Reglament, tot i que va entrar en vigor el 2025, s’anirà aplicant de manera esglaonada a partir del 2027, introdueix un criteri que el dret d’accés inclou la identificació de les persones que han accedit a les dades. Tot i que reconeix que aquest dret no és absolut, conforme a la jurisprudència i al principi de proporcionalitat, indica que serà el responsable de tractament qui hagi d’acreditar que la limitació a l’accés estigui degudament fundada i documentada, rebutjant una exclusió general i automàtica a proporcionar les identitats de les persones que accedeixen a les dades.

Aquest criteri suposa una evolució de la jurisprudència i interpretacions tradicionals per reforçar la transparència del tractament i el control efectiu de la licitud.

La divergència es fonamenta en la transposició de les tres directives comunitàries denominades “de quarta generació” en matèria de contractació pública (2014/23/UE; 2014/24/UE i 2014/25/UE, de 26 de febrer de 2014): sobre contractació pública, sectors especials i una tercera sobre adjudicació de contractes de concessió.

“Fins ara, Espanya encara no ha introduït els canvis necessaris a la seva legislació per fer-la compatible amb totes les obligacions derivades del dret de la UE”, esmenta la Comissió Europea, que posa el focus en “quins tipus d’autoritats, contractes i modificacions de contractes han de seguir les normes de contractació pública”, considerant que “els esforços de les autoritats han estat insuficients fins ara” optant finalment per la via del TJUE.

Després de la transposició de les tres directives i el control de compliment realitzat per la Comissió, el desembre del 2021 la Comissió va enviar una “carta d’emplaçament” a Espanya. Posteriorment, en abril de 2024 va enviar un dictamen motivat en el qual la Comissió exposava el seu parer.

En aquest la Comissió Europea va donar dos mesos a Espanya per abordar els problemes detectats per les autoritats comunitàries en la seva aplicació de la directiva europea sobre licitacions públiques o, en cas contrari, podria portar el cas davant del Tribunal de Justícia de la Unió Europea, fet que finalment ha succeït aquest desembre de 2024.

El Tribunal de Justícia de la Unió Europea (TJUE), en sentència de 27 de gener, considera que la legislació espanyola per la que s’estableix el model 720 de declaració de béns a l’estranger és contraria al Dret de la Unió vulnerant el principi de la lliure circulació de capitals i que el règim sancionador aplicat resulta desproporcionat.

En concret, l’esperada sentència del TJUE declara en primer lloc que les disposicions en matèria de prescripció establertes en el model 720 són contràries a l’establert en la normativa general tributària. (more…)

Sentència de la Sala Primera del Tribunal de Justícia de la Unió Europea (en endavant TJUE), d’11 novembre 2020.

La legislació espanyola estableix un període de referència de 90 dies per considerar l’existència d’un acomiadament col·lectiu, computant els dies abans de la data en què va tenir lloc l’acomiadament individual, però en aquest cas el TJUE aclareix com ha de computar-se des d’un punt de vista temporal el període de referència previst per la normativa nacional. (more…)

Afegim un nou capítol en la particular relació entre Europa i els Estats Units d’Amèrica en la protecció de les dades personals. Recordem que l’any 2015, el Tribunal de Justícia de la Unió Europea (TJUE) va invalidar l’antic marc de transferències internacionals de dades entre UE-EEUU, anomenat Safe Harbor (Port Segur), a l’entendre que no oferia suficient protecció. Durant l’impàs que va durar un any, l’única alternativa per realitzar transferències internacionals era l’ús de les denominades “Clàusules Contractuals Tipus” de la Comissió Europea (SCC) fins que al 2016 s’aprovés un nou marc de transferències internacionals de dades entre UE-EEUU, anomenat Privacy Shield (Escut de privacitat). El Privacy Shield esmenava els anteriors problemes en la seguretat de les dades i tornava a facilitar les transferències internacionals de manera senzilla entre els operadors d’UE i EEUU.

Ara, el Tribunal de Justícia de la Unió Europea torna a invalidar la Decisió de l’Escut de Privacitat (Privacy Shield), en la Sentencia del Tribunal de Justícia de la Unió Europea de 16 de juliol de 2020, en el cas C-311/18. La decisió del TJUE dona resposta a la petició de decisió prejudicial plantejada per la High Court Irlandesa, en la que es plantejava la qüestió de validar les Clàusules Contractuals Tipus (SCC) i l’Escut de Privacitat (Privacy Shield), atès que s’argumentava que l’accés per part de les autoritats públiques dels EEUU a les dades transferides no respectaven els drets fonamentals, i era contrari a les exigències del RGPD. En concret, el TJUE assenyala que:

• De l’examen de la Decisió de la Comissió 2010/87, de 5 de febrer de 2010, relativa a les clàusules contractuals tipus per a la transferència de dades personals als encarregats del tractament establerts en tercers països, determina la inexistència de cap element que pugui afectar la validesa. Ara bé, afegeix que s’haurà d’analitzar per part del responsable del tractament cas per cas, i serà valida sempre que incloguin mecanismes efectius que permetin garantir a la pràctica que el nivell de protecció exigit en el RGPD es respecta.

• De l’anàlisi realitzat al principal mecanisme per a les transferències de dades entre UE-EEUU, l’Escut de Privacitat (Privacy Shield), el TJUE determina que no és efectiu i no assegura la privacitat dels ciutadans europeus.

Per una banda, la limitació a la protecció de dades que deriva de la normativa interna d’EEUU, relativa als accessos i l’ús per part de les autoritats d’EEUU són considerats contraris al principi de proporcionalitat, assentat en el RGPD. Degut a què els programes de vigilància no es limiten al tractament de les dades estrictament necessàries.

I per altra banda, el TJUE considera que el Privacy Shield no garanteix la tutela judicial efectiva. En la Sentència declara que el mecanisme del Defensor del Poble, contemplat en la Decisió de l’Escut de Privacitat, no proporciona als interessats una via de recurs davant d’un òrgan que ofereixi garanties substancialment equivalents a les exigides en el Dret de la Unió, que assegurin la independència del Defensor del Poble i que el facultin a adoptar decisions vinculants respecte als serveis d’intel·ligència americans.