La entrada en vigor de la Ley 8/2021, de reforma de la legislación civil y procesal para el apoyo a las personas con discapacidad en el ejercicio de su capacidad jurídica, introdujo la figura de la curatela y cambió las reglas del juego.
Esta Ley supuso la adaptación de la normativa española a lo dispuesto por el artículo 12 de la Convención internacional sobre los derechos de las personas con discapacidad, hecha en Nueva York el 13 de diciembre de 2006, que manifiesta que las personas con discapacidad tienen capacidad jurídica en igualdad de condiciones con las demás en todos los aspectos, y obliga a los Estados Partes a adoptar medidas para proporcionar a estas personas acceso al apoyo que puedan necesitar en el ejercicio de su capacidad jurídica, siendo la curatela una de estas medidas.
La curatela es una medida de apoyo de origen judicial para las personas con discapacidad. El significado de la palabra –cuidado–, revela la finalidad de la institución: la prestación de apoyo y ayuda en el ejercicio de la capacidad jurídica. La curatela será, principalmente, de naturaleza asistencial, con el fin de evitar la mera sustitución de la voluntad de la persona. En consecuencia, las personas con discapacidad ya no serán simplemente representadas por otros en todos los ámbitos, sino que esta Ley pone el foco en el respeto a la voluntad y preferencias de la persona, que será la encargada de tomar sus propias decisiones, como regla general.
El punto de partida: el cambio de modelo.
El Código Civil español, tras la reforma obrada por la Ley 8/2021, introduce la figura de la curatela y centra su eje en la voluntad, deseos y preferencias del curatelado, pudiendo constituirse una curatela representativa, que sólo podrá establecerse de forma excepcional; o una curatela asistencial, que goza de mayor preferencia. Así lo ha afirmado el Tribunal Supremo en la Sentencia 3276/2021, de 8 de septiembre.
El curatelado, en la medida de lo posible, tomará las decisiones que afecten a todos los ámbitos de su vida siendo apoyado por el curador y, sólo en caso de incapacidad para la auto gobernanza de su capacidad jurídica, entrará en juego la curatela representativa.
Por tanto, al constituirse la curatela, el curador no sustituye automáticamente al curatelado. Tampoco en el ámbito sanitario.
Esto plantea una serie de dudas prácticas: ¿qué ocurre cuando el curador necesita acceder a datos médicos del curatelado? ¿Necesita siempre de su consentimiento? ¿Puede ampararse en el interés legítimo?
En estos casos, confluyen tres normativas a tener en cuenta: el derecho a la protección de datos personales, el derecho sanitario y el derecho civil.
Datos de salud: un régimen reforzado.
Los datos de salud son datos de carácter personal que gozan de una especial protección en el RGPD, que los regula en su artículo 9.1 prohibiendo, de manera general, su tratamiento, si bien prevé una serie de excepciones en su apartado segundo.
Estos datos afectan a una esfera íntima de las personas y, por tanto, es esencial que el interesado disponga del control sobre ellos con mayor intensidad. Pero, cuando el interesado es una persona sometida a medidas de apoyo asistenciales para el ejercicio de su capacidad jurídica ¿quién tiene la gobernanza de esos datos? ¿Puede un curador acceder a ellos? ¿Qué lo legitima?
Para dar respuesta a estas preguntas, es importante conjugar las bases de legitimación del art. 6 RGPD con las excepciones al tratamiento de categorías especiales de datos que aporta el art. 9.2 de la misma norma y evitar una serie de errores, en tanto la curatela supone una gradación en los niveles de apoyo y no hay una única base de legitimación universal, como señala la Audiencia Provincial de Santander en su resolución 125/2023, de 2 de octubre.
- El primer error habitual es considerar que el curador puede acceder automáticamente a los datos de salud e historia clínica del curatelado porque tiene una serie de funciones atribuidas en relación con él.
Esto no es necesariamente cierto.
La Ley 41/2002, básica reguladora de la autonomía del paciente y de derechos y obligaciones en materia de información y documentación clínica, reconoce el derecho de acceso a la historia clínica de un paciente al propio paciente o a su representante, pero la curatela asistencial no supone, automáticamente, representación en el ámbito sanitario.
Puedes ampliar la información sobre el derecho de acceso en esta entrada.
- El segundo error frecuente es acudir, entonces, al interés legítimo.
Si bien parece que el art. 6.1 f) RGPD permitiría el tratamiento de datos de salud con esta base por el curador, el art. 9 no permite emplearlo como base jurídica suficiente para el tratamiento de los datos sensibles, como los de salud.
Este es un criterio que ha mantenido la AEPD respecto de las categorías especiales de datos, pues el interés legítimo es una base jurídica que necesita de una justificación muy precisa para basar el tratamiento de datos, como ya se ha estudiado en esta entrada del blog.
- Finalmente, otro error usual es aludir a la obligación legal como base legitimadora de toda actuación del curador.
El Código Civil, en su artículo 249, indica que:
“Las medidas de apoyo a las personas mayores de edad o menores emancipadas que las precisen para el adecuado ejercicio de su capacidad jurídica tendrán por finalidad permitir el desarrollo pleno de su personalidad y su desenvolvimiento jurídico en condiciones de igualdad. Estas medidas de apoyo deberán estar inspiradas en el respeto a la dignidad de la persona y en la tutela de sus derechos fundamentales. Las de origen legal o judicial solo procederán en defecto o insuficiencia de la voluntad de la persona de que se trate. Todas ellas deberán ajustarse a los principios de necesidad y proporcionalidad.
Las personas que presten apoyo deberán actuar atendiendo a la voluntad, deseos y preferencias de quien lo requiera. Igualmente procurarán que la persona con discapacidad pueda desarrollar su propio proceso de toma de decisiones, informándola, ayudándola en su comprensión y razonamiento y facilitando que pueda expresar sus preferencias. Asimismo, fomentarán que la persona con discapacidad pueda ejercer su capacidad jurídica con menos apoyo en el futuro”.
Por su parte, en el art. 282, dispone: “[…] El curador asistirá a la persona a la que preste apoyo en el ejercicio de su capacidad jurídica respetando su voluntad, deseos y preferencias […]”.
No obstante, y pese a las obligaciones que establece el Código Civil al curador, la base jurídica del art. 6.1 c) RGPD no suele encajar con la curatela asistencial en el ámbito de los datos de salud.
El artículo 6.1 c) del RGPD exige, para poder emplear esta base, algo muy concreto: que exista una norma con rango suficiente que imponga de forma clara el tratamiento de datos.
- La Ley 8/2021 no impone al curador una obligación general de acceder a datos de salud, sino que define que esta figura prestará funciones de apoyo.
- El Código Civil español establece deberes del curador (asistencia, apoyo, respeto a la voluntad), pero no contiene un mandato específico de tratamiento de datos sanitarios.
- La Ley 41/2002 limita el acceso a historia clínica al paciente o a su representante, lo cual no incluye automáticamente al curador asistencial.
Es decir, no existe, con carácter general, una obligación legal concreta que legitime el acceso del curador asistencial a los datos de salud. No se puede confundir el “tener deberes como curador” con “tener una obligación legal de tratar datos”, pues el RGPD exige una obligación legal concreta y específica,
no basta con tener funciones generales o deberes abstractos.
Así lo confirma la resolución 474/2024 de la Audiencia Provincial de Madrid, de 20 de septiembre.
¿Cómo encontrar la base de legitimación entonces?
La clave será la combinación de tres aspectos imprescindibles: la voluntad del curatelado, el tipo de curatela constituida y la finalidad del tratamiento de los datos.
Escenarios que determinan las bases de legitimación.
- Actuaciones basadas en la voluntad del curatelado: puede suceder que el curatelado sometido a curatela asistencial, o curatela asistencial en el ámbito sanitario y representativa en otros ámbitos (patrimonial, administrativo…), decida que su curador custodie sus documentos sanitarios, gestione sus citas médicas, su tarjeta sanitaria o su historia clínica.
El eje del nuevo modelo es el respeto a la voluntad, deseos y preferencias de la persona, en la medida de lo posible, por lo que si esta es quien autoriza la custodia y acceso a esos documentos; se los entrega voluntariamente al curador y le encomienda que se haga cargo; o le solicita apoyo en estos asuntos, y tiene capacidad suficiente para comprender estos actos, la base jurídica de legitimación podrá encontrarse en los artículos 6.1 a) y 9.1 a) RGPD: el consentimiento del interesado.
- Actuaciones necesarias para el ejercicio de funciones legales y administrativas: cuando el tratamiento de datos de salud sea necesario para la gestión de prestaciones sociales en favor del curatelado, el cumplimiento de obligaciones legales o impuestas por la resolución judicial que constituye la curatela, o para interactuar con la Administración siendo ésta quien exige los datos, puede acudirse a la base de legitimación del art. 6.1 c) RGPD, en combinación con el art. 9.2 b) RGPD, que determina que los datos personales de categorías especiales pueden tratarse cuando sea “[…] necesario para el cumplimiento de obligaciones y el ejercicio de derechos específicos del responsable del tratamiento o del interesado en el ámbito del Derecho laboral y de la seguridad y protección social […]”.
Es decir, en estos casos el tratamiento sí podrá ampararse en la obligación legal.
La clave será que el tratamiento de datos venga exigido por el sistema jurídico.
- Actuaciones organizativas y actuaciones de apoyo continuado: es en estos supuestos en los que puede entrar en juego el interés legítimo.
Para actividades en las que los datos de salud del curatelado sean necesarios para una mejor organización del servicio del curador (especialmente si es una entidad o Fundación, supuesto muy habitual en el ámbito de la curatela), para su gestión interna y para mantener la continuidad del apoyo, puede acudirse a esta base jurídica.
No obstante, el límite es claro, el interés legítimo debe ser complementario a otras funciones debidamente justificadas, nunca cubrirá por sí solo el tratamiento de datos de salud.
El papel real del interés legítimo.
El interés legítimo, fuera de los casos antedichos, no puede obrar como base de legitimación del tratamiento de datos tan sensibles como los de salud, sino que es necesario justificar la actividad global y reforzar las actuaciones alineadas con la voluntad del curatelado.
El interés legítimo, por tanto y por sí solo, no puede justificar el acceso a la historia clínica del curatelado, a la toma de decisiones sanitarias ni legitimar los tratamientos intensivos en el ámbito de los datos de salud, que están dotados de un régimen reforzado de protección en el RGPD, y ello dificulta que legitime también el acceso a estos datos.
Como muestra, la AEPD ha elaborado una Guía que arroja luz sobre el tratamiento de estos datos en el sector sanitario.
El elemento decisivo: la resolución judicial.
En todos los casos mencionados, el punto crítico será la resolución judicial que determine las diversas medidas de apoyo a aplicar al curatelado.
Será esta resolución la que establezca para qué actividades de la vida del curatelado será necesaria la curatela con funciones asistenciales y para cuáles serán necesarias las funciones representativas.
Es esta resolución la que, en primer lugar, marcará los límites al ámbito de actuación del curador y condicionará las posibilidades de acceso a la información relativa al curatelado.
Partiendo de la resolución, en conjunto con la voluntad del curatelado (en caso de que esté en situación de que tal voluntad pueda ser tenida en cuenta en atención a su capacidad), habrá que determinar la base de legitimación más adecuada a cada caso.
Los riesgos de elegir la base de legitimación equivocada.
Un enfoque incorrecto en la elección de la base de legitimación del tratamiento de datos personales de un curatelado conllevará diversos efectos no deseados, derivados de un indebido tratamiento de datos:
- Tratamientos sin una base jurídica válida, vulnerando el RGPD.
- Accesos indebidos a datos del curatelado por terceros, al obtenerlos del curador que los maneja careciendo de base jurídica válida. Es indiferente la forma de obtención de los datos.
Ambas son conductas que vulneran la confianza y el prestigio social, especialmente si el curador se trata de una entidad o Fundación dedicada a estas actividades.
- Sanciones de la AEPD. La AEPD es estricta, los datos no pueden tratarse sin una base de legitimación adecuada y esta conducta supone una infracción muy grave del RGPD, por la que ha sancionado en numerosas ocasiones.
Como ejemplos, en materia de tratamiento de datos sin una base jurídica válida, la AEPD ha sancionado en diversas ocasiones, como ocurre en el procedimiento sancionador 00187-2019, en el que impone a HM Hospitales una multa de 60.000€ por vulnerar el artículo 6.1 del RGPD, si bien la multa efectiva tras la reducción por reconocimiento de responsabilidad fue de 48.000 €.
Lo mismo ocurre con los accesos indebidos, donde la AEPD ha impuesto sanciones por este motivo, como por ejemplo en el procedimiento sancionador 00487-2024, donde sanciona a Cruz Roja por, entre otros motivos, ocasionar accesos indebidos a datos de salud de distintos usuarios. Por permitir el acceso indebido a datos sanitarios, la sanción propuesta fue de 50.000€. La multa total impuesta en este caso fue de 100.000€, si bien la multa efectiva tras la reducción por pago voluntario fue de 80.000€.
- Responsabilidad penal. La protección de datos está íntimamente ligada con la privacidad y la intimidad, y la violación de estos derechos fundamentales puede dar lugar a responsabilidad penal, especialmente por vulneración del artículo 197 CP. Ejemplo de esto es la reciente Sentencia del Tribunal Supremo 1162/2026, de 2 de marzo.
En este supuesto, la denunciante, con dificultades para el ejercicio de su capacidad jurídica, concedía la representación voluntaria en favor del acusado, para que actuara por ella ante los servicios sociales de la Diputación Foral de Bizkaia – autorización que incluía ciertos actos tales como recibir notificaciones, formular una solicitud, interponer un recurso, desistir de acciones y renunciar a derechos.
El acusado, solicitó y obtuvo la historia clínica completa de la denunciante, desde el año 2017 hasta la actualidad, sin conocimiento y autorización de esta, con la finalidad de aportarlos al recurso de apelación que interpuso contra la citada sentencia condenatoria.
El Tribunal Supremo confirma la condena impuesta al acusado, de 2 años y 6 meses de prisión,inhabilitación especial para el derecho de sufragio pasivo por el mismo periodo, y multa de diez y ocho meses a razón de 6€ por día, por el delito de apoderamiento y revelación de secretos del 197 CP.
Pasos para actuar correctamente.
Con el fin de evitar las consecuencias desfavorables mencionadas, es necesario tomar una serie de precauciones a la hora de tratar los datos de los curatelados, especialmente si se actúa en la esfera asistencial y no en la representativa:
- Revisar la resolución judicial y sus pronunciamientos sobre las actividades concretas en que consistirá la curatela.
- Identificar la finalidad del tratamiento de los datos que necesite el curador para el ejercicio concreto de una actividad o actuación en interés o representación del curatelado.
- Atender al papel del curador (asistencial/representativo), pues en ciertos casos la representatividad será suficiente legitimación, pero es necesario mostrar cautela y atender al resto de pautas.
- Priorizar la voluntad, deseos y preferencias del curatelado, siempre que sea posible y adecuado.
- Verificar el encaje del tratamiento a realizar en los artículos 6 y 9 RGPD.
- Documentar la decisión y su justificación razonada.
- Solicitar apoyo al delegado de protección de datos de la entidad o a un consultor o asesor de protección de datos personales, en caso de duda.
Conclusiones,
Con el nuevo modelo de apoyo implantado por la Ley 8/2021, lo esencial será buscar las diversas bases de legitimación que mejor se adecúen a la situación concreta, atendiendo a la voluntad del curatelado y pivotando siempre sobre la resolución judicial que establece las medidas de apoyo.
La cuestión no es si el curador “puede acceder” a determinados datos sobre los curatelados, sino en qué condiciones jurídicas y con qué base de legitimación puede hacerlo, para no vulnerar los derechos de las personas sometidas a medidas de apoyo en el ejercicio de su capacidad jurídica, especialmente en un ámbito con datos tan sensibles como es el sanitario.
Si quieres más información sobre los datos de salud, el tratamiento de datos en el ámbito sanitario o la historia clínica, puedes acudir a las diversas categorías correspondientes del blog.
Escrito por: Claudia Román
