La Agencia Española de Protección de Datos (en adelante, AEPD o la Agencia) ha estimado una reclamación que merece este especial análisis, no tanto por los hechos acaecidos o los posibles derechos vulnerados, sino por la fundamentación jurídica y razonamiento de la Agencia. Esta Resolución contiene dos puntos clave que merecen ser leídos con atención por cualquier interesado y, más concretamente, por toda entidad del sector sanitario.
En el presente Expediente N.º. EXP202606611 un paciente solicitó el derecho de acceso a copia completa de su historial clínico psicológico, incluyendo resultados brutos de todas las pruebas y metadatos sobre su creación y tratamiento, mediante escrito de fecha 29 de octubre de 2025. Pues bien, el 17 de noviembre de 2025 la entidad le dio respuesta entregándole, previo pago de 100.-€, el informe de seguimiento terapéutico de la intervención realizada, así como a cualquier otro documento formalmente incorporado y utilizado en el proceso de intervención.
Sin embargo, apoyándose en el artículo 18.3 de la Ley 41/2002 regula los derechos y obligaciones de los pacientes en España, garantizando su autonomía, el consentimiento informado y la protección de su información clínica (en adelante, LAP o Ley de Autonomía del Paciente) y los artículos 27.2, 29.5, 29.6 y la Disposición adicional sexta de la Ley 5/2010, de 24 de junio, sobre derechos y deberes en materia de salud de Castilla-La Mancha, el responsable del tratamiento denegó al solicitante el acceso «directo al expediente, ni a que tome notas del mismo, ni a entregarle nuestras «anotaciones subjetivas» o de trabajo interno, tal y como estas quedan definidas en la legislación».
Ante esto, la ahora reclamante consideró que no se había atendido correctamente su solicitud de acceso requiriendo nuevamente lo siguiente:
- Los resultados brutos, puntuaciones y métricas de todas las pruebas psicológicas y neuropsicológicas administradas.
- Copia íntegra de cualquier informe, nota o valoración generada a partir de dichas pruebas.
- Los metadatos relativos a la fecha de creación, modificación y acceso a dichos documentos.
- Un registro de las cesiones o comunicaciones de estos datos a terceros, en su caso.
- Que se investigue la posible cesión o comunicación irregular de datos de salud a terceros sin una base legal que lo ampare.
El contenido del artículo 18.3 de la Ley de Autonomía del Paciente reconoce a los profesionales que participan en la elaboración de la historia clínica la facultad de oponer al derecho de acceso la reserva de sus anotaciones subjetivas: “3. El derecho al acceso del paciente a la documentación de la historia clínica no puede ejercitarse en perjuicio del derecho de terceras personas a la confidencialidad de los datos que constan en ella recogidos en interés terapéutico del paciente, ni en perjuicio del derecho de los profesionales participantes en su elaboración, los cuales pueden oponer al derecho de acceso la reserva de sus anotaciones subjetivas.”
Durante años, la AEPD ha aplicado esta literalidad entendiendo que, si anotaciones o contenido en la historia clínica puede calificarse como “anotación subjetiva” del profesional, el paciente no tendrá derecho a verla, pero, ahora, parece observarse en la Agencia un cambio de criterio y, al menos, no seguir esa lectura literal pues hace la siguiente distinción en varias categorías.
La AEPD argumenta que los resultados de test psicométricos (puntuaciones brutas, percentiles, baremos), las métricas de ejecución (tiempos de respuesta, patrones de rendimiento) y los informes interpretativos, diagnósticos y valoraciones son datos personales objetivos o derivados-inferidos del interesado. Es decir, ahora la AEPD sostiene que en este caso dichos datos no son anotaciones subjetivas y, por ende, deben entregarse al interesado.
Y, mantiene que, las notas estrictamente internas, provisionales o de uso exclusivamente personal del profesional (artículo 18.3 LAP) sí pueden quedar fuera del derecho de acceso. Es decir, si son calificadas como anotaciones subjetivas. Sin embargo, la regla general pasa a ser la entrega, y la reserva se convierte en la excepción.
Exactamente en el presente caso, la AEPD sostuvo que “la parte reclamante tiene derecho a acceder a toda la información contenida en su historia clínica, incluidos los resultados de las pruebas psicométricas y neuropsicológicas incluyendo puntuaciones brutas, percentiles, baremos y resultados numéricos, que constituyen datos personales objetivos del interesado, por lo que se enmarcan en el derecho de acceso ejercitado y no son anotaciones subjetivas. Esa misma conclusión se alcanza respecto de las métricas o variables generadas por la ejecución de las pruebas, (…) y constituyen datos personales derivados-inferidos, por lo que también deben facilitarse. Al respecto ha de tenerse también en consideración que:
- Las anotaciones subjetivas que contengan datos de terceras personas (familiares u otros pacientes), no deben facilitarse si revelan datos personales ajenos al solicitante, salvo que se anonimicen.
- Si el facultativo considera que el acceso a ciertas anotaciones puede causar un perjuicio grave para la salud física o mental del paciente o de terceros, puede denegar el acceso a esa parte concreta, pero deberá motivarlo por escrito.
Por lo tanto, las anotaciones subjetivas son parte integral de la historia clínica y deben entregarse, salvo si se incumplen las excepciones mencionadas anteriormente”.
Es decir, para la Agencia, incluso aquellas notas que son anotaciones subjetivas, deberán ser facilitadas en la respuesta a las solicitudes de acceso, salvo que concurra alguno de estos dos supuestos descritos por la AEPD.
Ante esto, el responsable del tratamiento ya no puede justificar su negativa en que hay notas que pueden ser calificadas como “anotaciones subjetivas” para denegar un derecho de acceso. Sino que deberá justificar, caso por caso y por escrito, por qué una anotación concreta encaja en alguna de las dos excepciones descritas. Y, ante esto, podría concluirse que la aplicación directa que hasta ahora se hacía del artículo 18.3 LAP pasa a ser una excepción reglada y motivada, así lo dispone ahora la AEPD en este reciente Resolución.
Pero esto no fue todo, como adelantamos al inicio de este artículo, la AEPD nos ha dejado en esta Resolución, dos razonamientos que merecen especial dedicación. Pues bien, al margen de lo explicado con respecto a las anotaciones subjetivas, la Agencia recuerda que, como indicó el Tribunal de Justicia de la Unión Europea en su sentencia de 22 de junio de 2023 (asunto C-579/21) el derecho de acceso no es un derecho absoluto y que, este derecho no implica necesariamente identificar a las personas físicas concretas que accedieron a los datos dentro de la organización del responsable, bastando en general con indicar categorías de destinatarios.
Y que, trayendo a colación el Reglamento (UE) 2025/327, sobre el Espacio Europeo de Datos de Salud (Reglamento EEDS) la interpretación de la jurisprudencia del TJUE ahora debe ser “contextualizada en el marco de la evolución normativa del Derecho de la Unión, en particular en sectores caracterizados por un tratamiento intensivo de categorías especiales de datos, como es el ámbito sanitario”.
Pues bien, aunque el Reglamento EEDSS no es aplicable hasta el 26 de marzo de 2027 (artículo 105), en su artículo 9 reconoce el derecho a obtener información sobre cualquier acceso a los datos de salud electrónicos personales, incluyendo la identificación del profesional o persona que accedió y la fecha y hora del acceso. Es decir, introduce un “estándar reforzado de transparencia respecto de los accesos a los datos de salud electrónicos que marca una nueva senda que ha de tenerse presente en esa interpretación”.
Y, en este caso concreto, la AEPD sostiene que pese a no ser obligaciones exigibles actualmente, considerando el Reglamento EEDS la luz de este marco normativo, hay que hacer una interpretación más conforme con el Derecho de la Unión, lo que exige entender que, como regla general, “el derecho de acceso a la información sobre accesos a datos de salud incluye la identificación de las personas que han accedido a dichos datos, en la medida en que dicha identificación resulta necesaria para garantizar la transparencia del tratamiento y el control efectivo de su licitud”.
Es decir, la AEPD sigue una lectura del art. 15 RGPD «más conforme con el Derecho de la Unión» a la luz de ese estándar reforzado de transparencia que se prevé. Pero que, teniendo en cuenta la jurisprudencia del TJUE descrita y el principio de proporcionalidad del RGPD, este derecho no es absoluto y, por ende, podrá excepcionalmente limitarse la comunicación de la identidad individual cuando concurran circunstancias específicas que lo justifiquen o cuando la divulgación de dicha identidad resulte desproporcionada o innecesaria para la finalidad de control perseguida.
Además, en cualquiera de los casos, como bien detalla la AEPD, el responsable del tratamiento deberá poder acreditar, en aplicación del principio de responsabilidad proactiva (artículos 5.2 y 24 RGPD), que la limitación del acceso se encuentra debidamente fundada y documentada.
Es decir, quien hace ejercicio de su derecho de acceso, sí tiene derecho a ser informado de la identidad de las personas que han accedido a sus datos de salud y, en caso de ser denegado, el responsable del tratamiento deberá justificar debidamente dicha negativa del derecho por alguna de las circunstancias mencionadas.
Ante esto no será el paciente quien tenga que justificar por qué necesita saber quién accedió a su historial, sino que será el responsable del tratamiento quien deba justificar por qué no informará de dichas identidades.
En definitiva, esta Resolución tiene un impacto directo en el sector sanitario. Consolida un giro de la AEPD hacia una lectura más garantista del derecho de acceso en el ámbito sanitario: las anotaciones subjetivas pasan de ser un límite discrecional del profesional a formar parte integral de la historia clínica, entregable salvo justificación motivada por escrito en los dos supuestos tasados. Y, en la misma línea, la identificación de quienes acceden a los datos de salud se erige en la regla general, invirtiendo la carga de la prueba hacia el responsable, que deberá acreditar y documentar cualquier excepción a esa transparencia.
Dos criterios que, aunque uno de ello se apoya, en parte, en unas obligaciones aún no exigibles, nos marcan el estándar que los responsables del tratamiento en el sector sanitario deben empezar a aplicar.
