Respuesta breve: El derecho de acceso del artículo 15 RGPD permite conocer información sobre las consultas realizadas a los datos personales, incluidas las fechas y las finalidades. La identidad del profesional no se comunica automáticamente en todos los casos, pero puede ser necesaria cuando resulte indispensable para ejercer los derechos del interesado y la limitación no esté debidamente justificada.
En un vistazo
- Expediente: PD-00055-2026 / EXP202521657.
- Autoridad: Agencia Española de Protección de Datos.
- Sector: historia clínica y datos de salud.
- Clave práctica: una limitación al acceso debe justificarse de forma concreta, no aplicarse de manera automática.
¿Puede un paciente saber quién ha accedido a su historia clínica, cuándo y para qué? La pregunta tiene una importancia especial cuando existen indicios de accesos indebidos, una investigación interna o un procedimiento judicial. La resolución de la Agencia Española de Protección de Datos sobre el expediente EXP202521657 ofrece una respuesta relevante para hospitales, centros sanitarios, servicios médicos y responsables de sistemas de historia clínica electrónica.
La AEPD publicó la resolución el 13 de agosto de 2026. El asunto enfrentaba el ejercicio del derecho de acceso del paciente con la protección de los datos de los profesionales que habían consultado la información y con las dificultades técnicas alegadas tras una migración de sistemas.
Este análisis se integra en el trabajo de abogados RGPD y protección de datos para empresas que necesitan revisar derechos de acceso, trazabilidad y cumplimiento en tratamientos sensibles.
¿Necesitas revisar un acceso a una historia clínica?
Álvaro Ruipérez puede analizar el derecho de acceso, la trazabilidad de consultas y la respuesta del responsable del tratamiento.
¿Qué solicitó el paciente?
El reclamante pidió una auditoría de los accesos a su historia clínica. En concreto, solicitó información sobre la fecha, la hora, la identidad del profesional, la finalidad del acceso y los datos consultados. La petición se producía en un contexto especialmente sensible: existían sospechas de accesos no autorizados y se estaba tramitando la imputación penal de un oficial médico por una posible revelación de secretos.
El Ministerio de Defensa denegó la solicitud en dos ocasiones. Entre sus argumentos estaban que la identificación de los profesionales podía afectar a datos de terceros y que recuperar información anterior a 2023 podía resultar objetivamente desproporcionado por la migración entre plataformas de historia clínica electrónica.
¿Qué dijo la AEPD sobre la identidad de quien accedió?
El artículo 15 RGPD reconoce el derecho del interesado a obtener confirmación de si se están tratando sus datos personales y, cuando así sea, acceso a la información prevista en ese precepto. En una historia clínica, la trazabilidad de los accesos puede ser especialmente relevante para comprobar si el tratamiento fue lícito, si existía una finalidad asistencial y si se respetaron los principios de confidencialidad y minimización.
La clave de la resolución: la identidad de los profesionales no debe excluirse de forma genérica y automática. Si el responsable limita esa información, debe explicar las razones concretas, ponderar los derechos en conflicto y documentar por qué la limitación es necesaria en ese caso.
Esto no significa que toda solicitud de acceso a una historia clínica permita obtener siempre el nombre completo de cada persona que haya entrado en el sistema. La respuesta depende del contexto, de la finalidad de la consulta, de los derechos de los profesionales y de si la identidad resulta indispensable para que el paciente pueda ejercer eficazmente sus derechos.
La sentencia del TJUE en el asunto Pankki S
La resolución debe leerse junto con la sentencia del Tribunal de Justicia de la Unión Europea de 22 de junio de 2023, asunto C-579/21, conocida como Pankki S. El TJUE declaró que la persona tiene derecho a conocer la fecha y las razones de las consultas realizadas sobre sus datos personales.
El Tribunal también precisó que el artículo 15 RGPD no consagra, por sí solo, un derecho automático a conocer la identidad de todos los empleados que hayan consultado los datos siguiendo las instrucciones del responsable. Sin embargo, la identidad puede ser necesaria cuando sea indispensable para que el interesado pueda ejercer efectivamente los derechos que le reconoce el RGPD. En ese supuesto debe hacerse una ponderación entre el derecho de acceso y los derechos y libertades de los profesionales.
Por eso, la respuesta correcta no es “la identidad nunca se facilita” ni “la identidad se facilita siempre”. La cuestión exige un análisis concreto y una motivación verificable.
¿Qué importancia tiene el Reglamento del Espacio Europeo de Datos de Salud?
El Reglamento (UE) 2025/327, relativo al Espacio Europeo de Datos de Salud, introduce un estándar específico de transparencia sobre los accesos a los datos de salud electrónicos. Su artículo 9 reconoce el derecho a obtener información sobre cualquier acceso realizado a través del servicio de acceso de los profesionales sanitarios, incluyendo información sobre quién accedió, la fecha y hora y los datos consultados.
El matiz temporal es importante. El Reglamento entró en vigor en 2025, pero su aplicación es gradual: el artículo 105 fija como fecha general el 26 de marzo de 2027 y prevé fases posteriores para determinadas categorías prioritarias de datos y sistemas. Por tanto, el artículo 9 no debe presentarse como una obligación plenamente operativa e idéntica para todos los tratamientos sanitarios desde hoy.
Su valor en este caso está en que muestra hacia dónde evoluciona el estándar europeo de transparencia. La AEPD puede utilizar ese marco como referencia interpretativa, pero las obligaciones actuales siguen dependiendo del RGPD, la Ley Orgánica 3/2018, la Ley 41/2002 y el resto de normas aplicables al tratamiento concreto.
¿Puede una migración tecnológica justificar la denegación?
Una migración de sistemas puede dificultar la recuperación de registros históricos, especialmente cuando existen plataformas diferentes o periodos de conservación distintos. Sin embargo, la dificultad técnica no convierte automáticamente la solicitud en improcedente. El responsable debe comprobar qué información conserva, qué puede extraer, qué formato puede ofrecer y qué parte de la petición requiere una justificación adicional.
Cuando no sea posible entregar exactamente el formato solicitado, debe explicarse de forma transparente. Una respuesta adecuada debería identificar el periodo afectado, describir la limitación técnica, indicar las búsquedas realizadas y facilitar la información disponible. La existencia de un coste o esfuerzo elevado no debería utilizarse como una denegación global y carente de motivación.
Qué deberían revisar hospitales y clínicas
- Conservar registros de acceso completos, íntegros y vinculados a identidades individuales.
- Documentar la finalidad asistencial, administrativa o técnica de los accesos.
- Definir un procedimiento específico para solicitudes de auditoría de historia clínica.
- Analizar cada limitación por separado y motivarla con hechos concretos.
- Coordinar al responsable del tratamiento, el DPD, sistemas y las unidades asistenciales.
- Revisar los accesos anómalos y activar un protocolo de investigación cuando proceda.
Para una organización sanitaria, la trazabilidad no es solo una cuestión informática. Es una medida de responsabilidad proactiva, seguridad y capacidad de demostrar el cumplimiento del RGPD. Los registros deben permitir reconstruir razonablemente qué ocurrió y responder a las solicitudes sin depender de búsquedas improvisadas.
Checklist para ejercer o responder una solicitud
- Identificar con precisión el periodo y la historia clínica afectada.
- Solicitar accesos, fechas, horas, perfiles y datos consultados.
- Preguntar por la finalidad de cada acceso cuando exista una duda fundada.
- Separar los datos del paciente de los datos personales de terceros.
- Motivar cualquier ocultación, limitación o imposibilidad técnica.
- Conservar evidencias de la búsqueda y de la respuesta enviada.
Preguntas frecuentes
¿Puedo pedir las fechas y finalidades de los accesos a mi historia clínica?
En principio, el artículo 15 RGPD permite solicitar información sobre las consultas realizadas, sus fechas y sus finalidades. El responsable debe responder dentro del marco y los límites aplicables al caso.
¿Tengo derecho automático a conocer el nombre de cada profesional?
No de forma automática en todos los casos. La identidad debe ponderarse con los derechos de los profesionales, pero puede ser necesaria cuando resulte indispensable para ejercer eficazmente los derechos RGPD.
¿Una migración de sistema permite negar toda la información anterior?
No debería bastar con una referencia genérica a la migración. El responsable debe explicar qué registros existen, qué búsquedas ha realizado y qué información puede facilitar de forma motivada.
Fuentes oficiales consultadas:
- AEPD, resolución PD-00055-2026 / EXP202521657, publicada el 13 de agosto de 2026.
- TJUE, comunicado sobre el asunto C-579/21, Pankki S, 22 de junio de 2023.
- Reglamento (UE) 2025/327, Espacio Europeo de Datos de Salud, consultado el 29 de septiembre de 2026.
- AEPD, derechos relacionados con los datos de salud, consultado el 29 de septiembre de 2026.
Contenido informativo y general. No sustituye el análisis jurídico de un caso concreto. Autor: Álvaro Ruipérez Candón, ScandoUp Global Legal.
Valora tu caso de acceso a datos de salud
Cuéntanos qué información se ha solicitado, qué respuesta se ha recibido y qué registros necesitas revisar.