¿Tenemos derecho a conocer qué médico ha consultado nuestra historia clínica? La respuesta, aparentemente sencilla, acaba de abrir un debate jurídico sobre los límites de la privacidad sanitaria y el alcance del derecho de acceso a nuestros datos personales.
El 24 de junio de 2026, el Tribunal Supremo estableció que los pacientes no tienen, como regla general, derecho a identificar a los profesionales que hayan consultado legítimamente su historial.
Sin embargo, el 7 de julio, la Agencia Española de Protección de Datos (AEPD), cuyo criterio acababa de avalar el Supremo, difundió otro distinto: la identificación debe facilitarse, salvo que existan razones justificadas para restringirla.
No estamos ante una modificación legislativa, sino ante una interpretación administrativa cuya compatibilidad con la jurisprudencia europea podría terminar examinándose judicialmente.
Lo que realmente dijo el Tribunal Supremo
La sentencia 789/2026, de 24 de junio, confirma que los profesionales sanitarios que acceden a una historia clínica bajo la autoridad del responsable del tratamiento y siguiendo sus instrucciones no tienen la consideración de «destinatarios» de los datos.
Esta distinción resulta determinante.
El artículo 15.1.c) del Reglamento General de Protección de Datos (RGPD) reconoce el derecho a conocer los destinatarios de la información personal. Pero el personal autorizado que consulta los datos dentro de una organización no constituye, por ese solo hecho, un destinatario.
El Supremo siguió así la doctrina del Tribunal de Justicia de la Unión Europea (TJUE), establecida en su sentencia de 22 de junio de 2023, asunto C-579/21.
Ambos tribunales admiten una excepción: identificar al empleado puede resultar obligatorio cuando sea indispensable para ejercer efectivamente los derechos reconocidos por el RGPD, previa ponderación de los derechos y libertades del trabajador.
Una reclamación contra los servicios sanitarios policiales
La controversia surge de una reclamación presentada contra la Jefatura Superior de Policía de Madrid.
El interesado solicitó reiteradamente su historia clínica y documentación médica. Finalmente recibió copia de 153 documentos, pero consideró incompleta la respuesta porque no se identificaba a las personas que habían consultado su historial y su entrevista personal.
En la resolución PD-00068-2026, la AEPD estimó la reclamación y ordenó que, en diez días hábiles, la Jefatura atendiera la solicitud de identificación o justificara motivadamente su denegación.
La Agencia no impuso una comunicación incondicional de nombres.
Existe, además, una diferencia relevante entre ambos casos. El Supremo examinó accesos acreditadamente realizados por personal autorizado con fines asistenciales, mientras que el expediente de la AEPD comprende documentación de los servicios sanitarios policiales y una entrevista personal.
Esta diferencia aconseja examinar la finalidad concreta de los accesos antes de trasladar automáticamente aquella doctrina.
El nuevo Reglamento europeo cambia el horizonte
La AEPD fundamenta su interpretación en el Reglamento (UE) 2025/327, que crea el Espacio Europeo de Datos de Salud.
Su artículo 9 reconoce un derecho específico a obtener información sobre los accesos a datos sanitarios electrónicos efectuados mediante los servicios de acceso de profesionales sanitarios en el contexto asistencial.
Comprende información sobre el prestador sanitario u otras personas que hayan accedido, la fecha y hora y los datos consultados. Esa información deberá conservarse disponible durante al menos tres años.
Conviene precisar que identificar al prestador no siempre equivale a identificar individualmente al profesional. Además, el ámbito asistencial del precepto no comprende necesariamente cualquier utilización administrativa de documentación médica.
Pero ese derecho europeo todavía no es exigible.
Aunque el Reglamento será aplicable con carácter general desde marzo de 2027, su artículo 105 retrasa la aplicación del artículo 9 hasta marzo de 2029 para historias clínicas resumidas, recetas y dispensaciones electrónicas, y hasta marzo de 2031 para imágenes diagnósticas, resultados de laboratorio e informes de alta.
El verdadero problema jurídico está en Luxemburgo
La AEPD entiende que la entrada en vigor del nuevo Reglamento permite interpretar evolutivamente el artículo 15 del RGPD, anticipando el estándar europeo de transparencia.
La propia Agencia sostiene que su criterio y la doctrina del Supremo pueden convivir porque responden a momentos normativos diferentes.
Sin embargo, el problema no es solamente el Supremo: es el propio TJUE, cuya interpretación del artículo 15 vincula también a la Agencia.
La cuestión decisiva consiste en determinar si una autoridad administrativa puede convertir en regla general una identificación que el Tribunal de Luxemburgo condicionó a su carácter indispensable, apoyándose en un régimen cuya aplicación permanece aplazada.
La interpretación resulta discutible, aunque tampoco puede descartarse que las circunstancias concretas del caso justifiquen identificar a determinados empleados conforme a la excepción reconocida por el propio TJUE.
La resolución, recurrible ante la Audiencia Nacional, no modifica por sí misma esa jurisprudencia.
Los profesionales también tienen derechos
La transparencia sanitaria tampoco puede ser absoluta.
El artículo 9 del nuevo Reglamento permite establecer restricciones excepcionales cuando existan indicios concretos de peligro para los derechos o intereses vitales del profesional o para la asistencia al paciente.
Distintos son los accesos injustificados por curiosidad o motivos personales, que pueden constituir infracciones de protección de datos e incluso delitos conforme al artículo 197.2 del Código Penal.
La trazabilidad será fundamental
Para hospitales, clínicas y administraciones sanitarias, esta controversia refuerza la importancia de registrar quién accede a una historia clínica, cuándo lo hace y por qué motivo.
Disponer de trazabilidad no significa comunicar automáticamente todos los nombres, pero permite investigar accesos indebidos y justificar las decisiones adoptadas.
La novedad, en suma, no consiste en que el paciente pueda conocer siempre todos los nombres, sino en que la AEPD cuestiona su exclusión automática.
El debate jurídico sigue abierto. Y su resolución determinará hasta dónde llega el derecho de los ciudadanos a controlar quién consulta una de las informaciones más íntimas de su vida: su historia clínica.
