#TractamentDeDades

L’Agència Espanyola de Protecció de Dades (AEPD) ha publicat recentment la Resolució 00068-2026, en la qual procedeix a modificar el criteri actual respecte l’exercici del dret d’accés per conèixer les persones físiques que han tingut accés a dades de salut.

Valgui començar recordant que la jurisprudència actual, com la STJUE de 22 de juny de 2023 (C-579/21), indica que no existeix un dret absolut de conèixer les persones físiques que hagin tingut accés a la història clínica, podent satisfer l’exercici del dret d’accés de l’art. 15 del Reglament General de Protecció de Dades (RGPD) indicant la categoria de destinataris. Igualment, la recent sentència del Tribunal Suprem de 24 de juny de 2026 (núm. 789/2026, Sala Contenciosa Administrativa), aplica aquesta interpretació, confirmant que la identificació individual dels qui accedeixen a les dades s’ha de valorar en funció de la seva necessitat i de la ponderació amb altres drets.

De fet, la mateixa AEPD sostenia el criteri que “Llevat que una llei ho permeti expressament, el dret d’accés no inclou la identificació dels professionals sanitaris que accedeixen a la història clínica“.

I quin ha estat el motiu del canvi de criteri? El nou Reglament 2025/327 relatiu a l’Espai Europeu de Dades de Salut, que estableix en el seu art. 9 el dret a obtenir informació sobre l’accés a les dades pel prestador d’assistència sanitària o qualsevol altra persona que hagi accedit a les dades de salut electrònics personals; també preveu que els Estats membres puguin  limitar aquest dret quan hi hagi indicis concrets que la divulgació posaria en perill els drets o interessos vitals del professional sanitari o l’assistència prestada a la persona física.

Això ha portat que, en una recent reclamació de dret d’accés en la qual es plantejava la necessitat de conèixer les persones que van accedir a la història clínica del demandant, l’autoritat de control procedís a adoptar un criteri interpretatiu evolutiu en anticipació al nou Reglament Europeu. Partint per reconèixer que el Reglament, tot i que va entrar en vigor el 2025, s’anirà aplicant de manera esglaonada a partir del 2027, introdueix un criteri que el dret d’accés inclou la identificació de les persones que han accedit a les dades. Tot i que reconeix que aquest dret no és absolut, conforme a la jurisprudència i al principi de proporcionalitat, indica que serà el responsable de tractament qui hagi d’acreditar que la limitació a l’accés estigui degudament fundada i documentada, rebutjant una exclusió general i automàtica a proporcionar les identitats de les persones que accedeixen a les dades.

Aquest criteri suposa una evolució de la jurisprudència i interpretacions tradicionals per reforçar la transparència del tractament i el control efectiu de la licitud.