AEPD: Identificación de las personas que acceden a datos relativos a la salud
ACCESO A LA INFORMACIÓN DE TRAZABILIDAD EN DATOS DE SALUD CON RELACIÓN AL REGLAMENTO (UE) 2025/327 DEL ESPACIO EUROPEO DE DATOS DE SALUD
1. Introducción
La Agencia Española de Protección de Datos (AEPD) ha adoptado un criterio jurídico que establece una interpretación evolutiva del derecho de acceso a información de trazabilidad en datos de salud, anticipando el estándar reforzado de transparencia que introducirá el Reglamento (UE) 2025/327 del Espacio Europeo de Datos de Salud (EEDS, en inglés EHDS) a partir de marzo de 2027.
1. Criterio jurídico tradicional de la AEPD
El derecho de acceso reconocido en el art. 15 RGPD ha sido interpretado, tanto por la AEPD como por la jurisprudencia del Tribunal de Justicia de la Unión Europea (TJUE), como un derecho dirigido a permitir a la persona interesada conocer si sus datos son objeto de tratamiento y verificar su licitud, sin que ello implicara, con carácter general, la comunicación de la identidad concreta de las personas físicas que hubieran accedido a dichos datos.
En este sentido, de acuerdo con la jurisprudencia del TJUE, recogida en la STJUE de 22 de junio de 2023 (C-579/21), y asumida por la AEPD, se ha venido afirmando que dicho derecho no es un derecho absoluto y que, con carácter general, no implica necesariamente la comunicación de la identidad de las personas físicas concretas que acceden a los datos de salud pudiendo satisfacerse mediante la indicación de categorías de destinatarios
Este criterio lo confirmaba también una reciente sentencia del Tribunal Supremo, la STS núm. 789/2026 de 24 de junio de 2026, que concluía que la identificación individual de quienes acceden a los datos de salud no constituye una exigencia general del art. 15, sino que debe valorarse en función de su necesidad y de la ponderación con otros derechos, indicando que si el responsable del tratamiento dispone de protocolos internos que garanticen que los empleados actúan bajo sus instrucciones, no existe obligación de identificarlos individualmente cuando accedan a los datos de salud; luego, si dichas circunstancias no concurren, sí existiría dicho derecho de acceso a la identidad de las personas que han accedido.
2. Nuevo criterio jurídico de la AEPD
Sin embargo, el Reglamento (UE) 2025/327 en su art. 9 introduce un derecho específico a conocer los accesos a datos de salud electrónicos, aplicable a partir del 26 marzo de 2027. Este precepto configura un auténtico derecho autónomo a la trazabilidad de los accesos, basado en un modelo de transparencia reforzada y control efectivo por parte del paciente.
En este contexto normativo, la AEPD ha adoptado un criterio interpretativo en su resolución de 2026 (PD-00068-2026) en la que, partiendo de la doctrina del TJUE, introduce expresamente la relevancia del EHDS, afirmando que la interpretación más conforme con el Derecho de la Unión exige entender que, como regla general, el derecho de acceso incluye la identificación de las personas que han accedido a dichos datos. En coherencia con ello, precisa que no resulta conforme una interpretación que excluya de forma general y automática la comunicación de la identidad, de modo que cualquier limitación deberá ser excepcional y debidamente justificada, correspondiendo al responsable acreditar que la limitación del acceso se encuentra debidamente fundada.
La Agencia, en su resolución de 2026, asume como punto de partida su anterior criterio y el marco vigente del RGPD y lo proyecta hacia el nuevo contexto europeo, utilizando el EHDS como criterio interpretativo relevante. En este sentido, la AEPD anticipa de forma fundada el estándar que será plenamente exigible a partir de marzo de 2027. De este modo, ambas posiciones conviven de manera natural y coherente, reflejando la transición hacia un modelo reforzado de transparencia y control en el acceso a la información de trazabilidad en el ámbito de los datos de salud.
3. Conclusión
La identificación de usuarios que acceden a los datos de salud debe ser la regla general, siendo las limitaciones excepcionales y debidamente justificadas. El responsable del tratamiento deberá acreditar que cualquier restricción al acceso a la identidad de quien consultó los datos se encuentra fundada en circunstancias específicas.
Archivos adjuntos
pd-00068-2026.pdf