El Tribunal Supremo ha fijado doctrina sobre cuándo empieza a aplicarse la normativa de protección de datos en las peticiones de información dirigidas a una persona física por parte de una empresa o de una administración. La sentencia establece que la obligación de cumplir el RGPD nace desde el mismo momento en que se solicitan los datos, aunque finalmente no lleguen a entregarse.
La resolución parte del caso de un trabajador de una institución penitenciaria que había pedido varias bajas de corta duración. Su centro de trabajo le reclamó que aportara justificantes médicos de su enfermedad, con información sobre el diagnóstico y el tratamiento. El funcionario se negó a facilitar esa documentación y trasladó los hechos a la Agencia de Protección de Datos.
El Supremo corrige el criterio de la Audiencia Nacional
Tras la denuncia, la Agencia abrió expediente a Instituciones Penitenciarias, organismo dependiente del Ministerio del Interior, y apreció una vulneración del Reglamento General de Protección de Datos. Sin embargo, la Audiencia Nacional dio la razón a la Abogacía del Estado al considerar que, si no había una recogida efectiva del dato, no existía tratamiento y por tanto el RGPD no resultaba aplicable.
El Tribunal Supremo ha corregido ese criterio al admitir el recurso en casación con el argumento de que el mero requerimiento de datos personales, cuando se produce dentro de un proceso ordenado y organizado para tratarlos, ya constituye tratamiento de datos personales. La sentencia añade que desde ese primer momento deben respetarse los principios del reglamento europeo.
El límite está en pedir solo lo necesario
La Sala pone el foco en el principio de minimización de datos recogido en el artículo 5.1.c) del RGPD, que obliga a que la información solicitada sea adecuada, pertinente y limitada a lo necesario en relación con la finalidad perseguida.
En este caso, el Supremo concluye que la Administración fue más allá de lo necesario al exigir datos sobre diagnóstico y tratamiento cuando ya se habían aportado justificantes médicos suficientes para acreditar la ausencia del trabajador. Para los magistrados, reclamar ese contenido suponía acceder a datos especialmente sensibles sin una justificación proporcional.
La sentencia precisa, al mismo tiempo, que el control del absentismo laboral y la lucha contra el fraude son fines legítimos. También admite que esos objetivos pueden justificar solicitudes de datos de salud si se acredita que son adecuadas y pertinentes para ese fin concreto.
Doctrina con alcance para empresas y administraciones
En el análisis del caso, el alto tribunal sostiene que, tratándose de bajas de corta duración por absentismo laboral, no resulta pertinente que el centro de trabajo conozca ni el diagnóstico médico ni el tratamiento. Añade además que ese acceso no es adecuado, ni pertinente, ni tampoco proporcional en supuestos de bajas breves.
La doctrina general que fija la resolución es clara. El responsable del tratamiento queda sujeto al cumplimiento de los principios del RGPD desde que solicita a una persona física la aportación de datos personales, con independencia de que esos datos lleguen o no a facilitarse y a recogerse después.
El alcance del fallo va más allá del caso concreto y afecta tanto a empresas como a administraciones públicas, que deberán revisar cómo formulan requerimientos de información en ámbitos como recursos humanos, formularios o procesos de captación de clientes. La resolución fue difundida el 29 de abril de 2026 a las 10.13 h y refuerza la idea de que la protección de datos no empieza cuando la información entra en un archivo, sino en el instante mismo en que se pide.