Tal y como indica la Agencia Española de Protección de Datos en su publicación, a la que puede acceder aquí, el derecho de acceso tiene como principal finalidad permitir al interesado conocer si sus datos personales están siendo tratados por el responsable. En este sentido, la jurisprudencia ha venido interpretando este concepto de modo que su ejercicio no implicara, con carácter general, que el responsable tuviera que comunicar la identidad concreta de las personas que habían accedido a los datos. A modo de ejemplo, la AEPD indica que una reciente Sentencia del Tribunal Supremo (número de resolución 789/2026), a la que puede acceder aquí, ha declarado que “la identificación individual de quienes acceden a los datos no constituye una exigencia general del artículo 15, sino que debe valorarse en función de su necesidad y de la ponderación con otros derechos”.
Nuestro Alto Tribunal viene a declarar en esta sentencia que los médicos que acceden al historial clínico no son “destinatarios” de los datos personales a efectos del RGPD cuando actúan dentro de la organización sanitaria y siguiendo las instrucciones del responsable del tratamiento. Así, se pone de manifiesto que “el acceso de los médicos y demás profesionales del servicio sanitario al historial clínico está expresamente autorizado por la ley con la finalidad de garantizar la asistencia adecuada del paciente sin que dicho acceso pueda ser considerado un acceso por terceros o una cesión de los datos”.
No obstante, la AEPD destaca que esta regla admite excepciones. Así, cuando existan indicios de que una persona ha accedido a los datos personales al margen de las instrucciones del responsable del tratamiento o fuera del ejercicio legítimo de sus funciones, su identificación puede resultar necesaria para que el titular de los datos pueda ejercer eficazmente los derechos que le reconoce el RGPD. Esta interpretación encuentra respaldo tanto en la jurisprudencia del TJUE como en la del TS. Así, el Tribunal Supremo ha venido a reconocer que “ese derecho a conocer a los empleados que accedieron a los datos clínicos no se da “si en los protocolos internos del responsable del tratamiento constan las personas que llevaron a cabo las consultas y se constata que lo hicieron conforme a las instrucciones del responsable”.
No obstante lo anterior, el Reglamento 2025/327, relativo al Espacio Europeo de Datos de Salud reconoce en su artículo 9 un derecho de acceso a la información sobre los accesos a los datos de salud electrónicos. Así, se indica lo siguiente:
“1. Las personas físicas tendrán derecho a obtener información, también a través de notificaciones automáticas, sobre cualquier acceso a sus datos de salud electrónicos personales a través del servicio de acceso de los profesionales sanitarios obtenido en el contexto de la asistencia sanitaria […]
2. La información a que se refiere el apartado 1 se proporcionará, de forma gratuita y sin demora, a través de los servicios de acceso a datos de salud electrónicos y estará disponible durante al menos tres años a partir de la fecha de acceso a los datos. Esa información incluirá, al menos, lo siguiente:
a) información acerca del prestador de asistencia sanitaria o cualquier otra persona que haya accedido a los datos de salud electrónicos personales;
b) la fecha y hora de acceso;
c) los datos de salud electrónicos personales a los que se ha accedido”.
De este modo, como indica la propia AEPD, “este precepto configura un auténtico derecho autónomo a la trazabilidad de los accesos, basado en un modelo de transparencia reforzada y control efectivo por parte del paciente”. Si bien este Reglamento entró en vigor en 2025, su aplicación general se establece a partir del 26 de marzo de 2027.
En este contexto, la AEPD ha dictado una resolución en la que se analiza el posible acceso a información relativa a quién ha tenido acceso a los datos del titular. Puede acceder a la resolución de la autoridad de control aquí.
En este supuesto, la reclamante ejerció su derecho de acceso ante la Jefatura Superior de Policía sin haber recibido respuesta alguna a dicha solicitud. Esta solicitud se reiteró en dos ocasiones, deseando acceder a la totalidad de su historia clínica y documentación médica, sin que la Jefatura de Policía emitiese respuesta en ningún caso.
Una vez interpuesta la reclamación, el organismo reclamado presentó escrito en el que indicaba que había mostrado a la titular de los datos su historia clínica (que constaba de 153 documentos), así como que se facilitaría copia de los mismos. No obstante, a pesar de dicha respuesta, la reclamante indicó que se había omitido la cuestión relativa “a su derecho a la trazabilidad de los accesos a su historia clínica”. A la vista de ello, solicitaba nuevamente conocer la identificación de las personas que tuvieron acceso, entre otra documentación, a su historial clínico.
Como se indica en la resolución, el artículo 15 del RGPD reconoce el derecho a obtener del responsable la confirmación de si se están tratando datos del titular, en el contexto de los principios de transparencia, responsabilidad proactiva o de aplicación de medidas desde el diseño y por defecto, que deben garantizar la correcta trazabilidad de los accesos a datos personales.
Declara la autoridad de control que el criterio del TJUE y TS, previamente expuesto, debe ser contextualizado en el actual marco normativo, sobre todo en sectores en los que se produce un tratamiento habitual de categorías especiales de datos. Así, se cita en la resolución lo dispuesto en el Reglamento 2025/327, previamente transcrito, indicándose que “aun cuando no resulte aplicable […] introduce un estándar reforzado de transparencia respecto de los accesos a los datos de salud electrónicos que marca una nueva senda que ha de tenerse presente en esa interpretación”.
Así, con base en lo dispuesto en dicha normativa, se concluye que la interpretación más adecuada exige entender, con carácter general, que “el derecho de acceso a la información sobre accesos a datos de salud incluye la identificación de las personas que han accedido a dichos datos”, por cuanto esta información permite garantizar la transparencia del tratamiento y control de los datos.
No obstante, también se indica en la resolución que este derecho no tiene carácter absoluto, pudiendo limitarse la comunicación de esta identificación cuando existan circunstancias que lo justifiquen (por ejemplo, que resulte desproporcionada o que sea innecesaria para la finalidad perseguida). Así, el responsable deberá justificar de manera fundada y documentada que esta información no tiene por qué facilitarse. Eso sí, como se indica por la autoridad de control, esta limitación a facilitar la identificación de las personas que han tenido acceso a estos datos se configura como una excepción.
En este sentido, en el caso analizado, al no haberse entregado esta información, la AEPD estima la reclamación y exige a la entidad reclamada proporcionar la identidad de las personas que accedieron a los datos de salud o, en caso contrario, justificar adecuadamente la denegación.
En conclusión, la autoridad de control ha indicado que “este planteamiento supone una evolución significativa del criterio tradicional, en línea con el modelo previsto en el EHDS, apostando por un sistema en el que la transparencia sobre los accesos constituye la regla general en el ámbito sanitario, reforzando el derecho del interesado a controlar el uso efectivo de sus datos, especialmente tratándose de categorías especiales de datos”.
