AEPD: Identificació de les persones que accedeixen a dades relatives a la salut
ACCÉS A LA INFORMACIÓ DE TRAÇABILITAT EN DADES DE SALUT AMB RELACIÓ AL REGLAMENT (UE) 2025/327 DE L'ESPAI EUROPEU DE DADES DE SALUT
1. Introducció
L'Agència Espanyola de Protecció de Dades (AEPD) ha adoptat un enfocament jurídic que estableix una interpretació evolutiva del dret d'accés a la informació de traçabilitat en les dades de salut, anticipant el nivell de transparència reforçat que introduirà el Reglament (UE) 2025/327 sobre l'Espai Europeu de Dades de Salut (EHDS) a partir del març de 2027.
1. Criteri jurídic tradicional de l'AEPD
El dret d'accés reconegut a l'art. 15 RGPD ha estat interpretat, tant per l'AEPD com per la jurisprudència del Tribunal de Justícia de la Unió Europea (TJUE), com un dret adreçat a permetre a la persona interessada conèixer si les seves dades són objecte de tractament i verificar-ne la licitud, sense que això impliqués, amb caràcter general, la comunicació de la identitat concreta de les persones físiques que hi hagin accedit.
En aquest sentit, d'acord amb la jurisprudència del TJUE, recollida a la STJUE de 22 de juny de 2023 (C-579/21), i assumida per l'AEPD, s'ha afirmat que aquest dret no és un dret absolut i que, amb caràcter general, no implica necessàriament la comunicació de la identitat de les persones físiques concretes que accedeixen destinataris.
Aquest criteri ho confirmava també una recent sentència del Tribunal Suprem, la STS núm. 789/2026 de 24 de juny de 2026, que concloïa que la identificació individual dels qui accedeixen a les dades de salut no constitueix una exigència general de l'art. 15, sinó que s'ha de valorar en funció de la necessitat i de la ponderació amb altres drets, indicant que si el responsable del tractament disposa de protocols interns que garanteixin que els empleats actuen sota les seves instruccions, no hi ha obligació d'identificar-los individualment quan accedeixin a les dades de salut; després, si aquestes circumstàncies no concorren, sí que hi hauria aquest dret d'accés a la identitat de les persones que hi han accedit.
2. Nou criteri jurídic de l'AEPD
No obstant això, el Reglamento (UE) 2025/327 en el seu art. 9 introdueix un dret específic a conèixer els accessos a dades de salut electrònics, aplicable a partir del 26 març del 2027. Aquest precepte configura un autèntic dret autònom a la traçabilitat dels accessos, basat en un model de transparència reforçada i control efectiu per part del pacient.
En aquest context normatiu, l'AEPD ha adoptat un criteri interpretatiu en la resolució del 2026 (PD-00068-2026) en què, partint de la doctrina del TJUE, introdueix expressament la rellevància de l'EHDS, afirmant que la interpretació més conforme amb el dret de la Unió exigeix entendre que, com a regla general, el dret d'accés inclou la identificació de les persones que han accedit a aquestes dades. En coherència amb això, precisa que no resulta conforme una interpretació que exclogui de manera general i automàtica la comunicació de la identitat, de manera que qualsevol limitació haurà de ser excepcional i degudament justificada, i el responsable ha d'acreditar que la limitació de l'accés es troba degudament fundada.
L'Agència, en la seva resolució de 2026, assumeix com a punt de partida el seu criteri anterior i el marc vigent del RGPD i el projecta cap al nou context europeu, utilitzant l'EHDS com a criteri interpretatiu rellevant. En aquest sentit, l'AEPD anticipa de forma fundada l'estàndard que serà plenament exigible a partir del març del 2027. D'aquesta manera, les dues posicions conviuen de manera natural i coherent, reflectint la transició cap a un model reforçat de transparència i control en l'accés a la informació de traçabilitat a l'àmbit de les dades de salut.
3. Conclusió
La identificació d'usuaris que accedeixen a les dades de salut ha de ser la regla general, sent les limitacions excepcionals i degudament justificades. El responsable del tractament haurà d'acreditar que qualsevol restricció a l'accés a la identitat de qui va consultar les dades està fonamentada en circumstàncies específiques.
Archivos adjuntos
pd-00068-2026.pdf