Una sentencia reciente del Tribunal Supremo [STS 1590/2026] consolida una precisión interpretativa muy importante en la aplicación del Reglamento General de Protección de Datos. El concepto de “tratamiento de datos personales”, según esta sentencia, no se limita a las actuaciones posteriores a la obtención material de los datos. Sino incluye las actuaciones previas dirigidas a su obtención.
Origen del caso de tratamiento de datos personales
El caso se origina en un procedimiento sancionador. Se cuestionaba la petición, por parte de una administración pública, de datos de salud de un empleado. En concreto, se requirió a la persona el diagnóstico y el tratamiento médico para justificar determinadas ausencias. Ante su negativa a facilitar esa información, la controversia se centró en determinar si podía hablarse de “tratamiento de datos” cuando los datos fueron requeridos, aunque nunca llegaron a ser efectivamente entregados por dicho empleado.
Lo que opina el Tribunal
En primer lugar, el Tribunal parte de la definición amplia de tratamiento según el artículo 4 del RGPD y rechaza una lectura meramente literal. Como recuerda la sentencia, el concepto de tratamiento abarca “cualquier operación o conjunto de operaciones realizadas sobre datos personales”. Este hecho evidencia la voluntad del legislador europeo de otorgarle un alcance extensivo y no limitada a un acceso efectivo o material.
Conclusión del Tribunal respecto al tratamiento
Ya existe “tratamiento de datos” en el momento en el que la Administración solicita a una persona física la entrega de datos personales, aunque, al final, éstos no se entreguen por el interesado.
Si la solicitud ya forma parte del tratamiento, entonces el principio de la protección de datos desde el diseño y el de minimización resulta exigibles también en ese mismo momento. Ello supone que las actuaciones de un responsable del tratamiento previas a la “recepción” del dato están también sujetas al cumplimiento de los principios del RGPD.
En este sentido, la sentencia es especialmente clara y señala que con carácter previo a la obtención de los datos, los datos solicitados deben ser adecuados, pertinentes y limitados a lo necesario en relación con la finalidad perseguida.
El Tribunal refuerza esta interpretación mediante un argumento de protección efectiva de derechos fundamentales.
Para más información, consulten el siguiente enlace de la AEPD.
