Imagen generada con IA.
Durante años, muchas empresas y administraciones han dado por hecho que el tratamiento de datos personales «empieza» cuando el dato llega efectivamente a sus sistemas: si la persona se niega a entregarlo, no habría nada que analizar desde el RGPD. El Tribunal Supremo acaba de desmontar esa idea en una sentencia reciente que la propia AEPD ha recogido en su blog oficial: exigir un dato —aunque finalmente no se entregue— ya constituye, por sí mismo, un tratamiento de datos personales sujeto al Reglamento. Las implicaciones alcanzan a cualquier departamento que diseñe un formulario o formule una pregunta: recursos humanos, atención al cliente, admisiones, seguros. ¿Estás seguro de que cada campo que pides en tus formularios resistiría esta doctrina?
El caso: piden un diagnóstico médico a un empleado para justificar una ausencia
El litigio que ha llegado al Supremo parte de un supuesto muy común en cualquier organización: una Administración pública solicitó a un empleado que aportara información sobre su diagnóstico y tratamiento médico para justificar una ausencia laboral. El trabajador se negó a entregar esos datos, considerando que la petición era desproporcionada. La cuestión jurídica que se planteó después fue tan sencilla como incómoda: si el dato nunca llegó a entregarse, ¿hubo realmente «tratamiento de datos personales» en el sentido del RGPD, o la actuación de la Administración queda fuera del alcance del Reglamento por no haber datos que tratar?
La Audiencia Nacional, en una primera instancia, se inclinó por la interpretación más restrictiva: el tratamiento solo se produce cuando el dato es efectivamente recabado. Bajo esa lógica, pedir información —por invasiva que sea— no generaría por sí sola ninguna obligación ni responsabilidad si la persona se niega a facilitarla.
Qué dice el Tribunal Supremo sobre cuándo «empieza» el tratamiento
El Tribunal Supremo revoca ese planteamiento. Su conclusión es que ya existe tratamiento de datos personales desde el momento en que la Administración —o cualquier responsable— solicita a una persona que entregue información personal, con independencia de que esta finalmente decida no facilitarla. El razonamiento del Alto Tribunal rechaza las interpretaciones estrechas del concepto de tratamiento: las obligaciones del responsable nacen ya en la fase de planificación, es decir, cuando se decide qué dato pedir y con qué finalidad, no solo cuando ese dato llega a un sistema de información.
Esta lectura conecta directamente con el artículo 25 del RGPD, sobre protección de datos desde el diseño y por defecto: si las obligaciones de minimización y proporcionalidad solo se activaran tras la recepción del dato, bastaría con pedir cualquier cosa —por desproporcionada que fuera— para eludir el control mientras el interesado se resista a entregarla. El Supremo cierra esa vía de escape: la protección debe operar antes de la recogida, no después.
La minimización desde el diseño aplicada a la fase de solicitud del dato
El principio de minimización (artículo 5.1.c del RGPD) exige que los datos tratados sean «adecuados, pertinentes y limitados a lo necesario» para la finalidad perseguida. Hasta ahora, muchas organizaciones aplicaban ese principio como un filtro posterior: se pedía todo lo que pudiera ser útil y, si acaso, se depuraba después. La doctrina del Supremo obliga a invertir el orden: el análisis de necesidad y proporcionalidad debe hacerse antes de formular la pregunta o diseñar el formulario, no después de haber recibido la respuesta.
En la práctica, esto significa que cada campo de un formulario, cada pregunta de un cuestionario de admisión y cada solicitud verbal de documentación debe poder justificarse de antemano: ¿es este dato necesario para esta finalidad concreta, o simplemente podría llegar a ser útil? Si la respuesta honesta es la segunda, el dato no debería pedirse, con independencia de que la persona vaya a acceder o no a entregarlo.
Qué datos no deberías ni pedir, aunque nunca lleguen a usarse
El caso de origen es especialmente claro porque ilustra un error muy extendido: confundir la necesidad de acreditar una incapacidad temporal con la necesidad de conocer el diagnóstico que la origina. Para justificar una ausencia laboral por motivos de salud, a una empresa le basta con el parte médico oficial, que certifica la incapacidad sin revelar la causa clínica; pedir el diagnóstico o el tratamiento va más allá de lo necesario, aunque nunca llegue a leerse ni a archivarse.
El mismo razonamiento se extiende a otras situaciones habituales: solicitar una copia completa del DNI cuando basta con verificar un dato concreto, pedir el salario exacto en una fase de un proceso de selección en la que todavía no es relevante, o requerir documentación acreditativa «por si acaso» sin que exista una finalidad definida en ese momento. Bajo la doctrina del Supremo, el riesgo legal no depende de si esos datos terminan usándose: nace en el instante en que se solicitan.
Implicaciones prácticas para RRHH y atención al cliente
Los departamentos de recursos humanos y atención al cliente son, junto con los procesos de admisión, los que formulan más solicitudes de datos personales en el día a día de cualquier organización, y son también los que deben revisar antes sus prácticas a la luz de esta sentencia. Conviene auditar los formularios y guiones de solicitud de información existentes, eliminando cualquier campo que no tenga una finalidad concreta y documentada; revisar específicamente las plantillas usadas para justificar ausencias, asegurándose de que solo se pide la acreditación de la incapacidad y nunca el diagnóstico; y formar al personal de primera línea en que pedir un dato de más —aunque sea verbalmente y aunque la persona se niegue a darlo— ya puede generar responsabilidad, no solo tratarlo indebidamente después de obtenerlo.
La sentencia recuerda algo que el RGPD lleva formulando desde 2018 pero que en la práctica diaria se olvida con facilidad: la protección de datos no empieza cuando el dato entra en el sistema, empieza cuando alguien decide pedirlo. Revisar esa fase inicial —qué se pregunta, por qué y para qué— es hoy una obligación de cumplimiento, no solo una buena práctica. En DataIbérica revisamos formularios, cuestionarios y procesos de solicitud de datos para adaptarlos a esta doctrina. Solicita una consulta gratuita aquí.
Fuente principal: Francisco Pérez Bes, «¿En qué momento comienza legalmente un tratamiento de datos personales?», blog de la Agencia Española de Protección de Datos (AEPD), 28 de abril de 2026.
