El 26 de marzo de 2026, la Sala Tercera del Tribunal Supremo dictó la sentencia 390/2026 (recurso de casación 6649/2024), por la que casó la sentencia de la Audiencia Nacional de 24 de mayo de 2024 y confirmó la sanción de apercibimiento que la Agencia Española de Protección de Datos había impuesto a la Secretaría General de Instituciones Penitenciarias por vulneración del principio de minimización previsto en el artículo 5.1.c) del Reglamento (UE) 2016/679. La cuestión de interés casacional, fijada por auto de 30 de octubre de 2024, era aparentemente sencilla: si puede entenderse producido un tratamiento de datos personales por el solo requerimiento de la aportación de documentación con datos protegidos, sin que esos datos lleguen a entregarse efectivamente al responsable. La respuesta del Tribunal Supremo —afirmativa, con apoyo expreso en la jurisprudencia del TJUE— consolida en el ordenamiento español una doctrina que la Audiencia Nacional había rechazado de manera literal y que reordena, en sentido amplio, el ámbito de aplicación temporal del Reglamento.

El asunto importa más allá de su contexto inmediato. La interpretación del artículo 4.2 que el Supremo confirma desplaza el momento en que comienzan las obligaciones del responsable: ya no nacen con la recepción del dato, sino con la decisión sobre qué datos se van a pedir, para qué finalidad y con qué medios. Un desplazamiento que afecta a procesos cotidianos —desde el formulario de alta de un cliente hasta el cuestionario de un seguro de salud, pasando por los requerimientos del departamento de recursos humanos— y que obliga a revisar prácticas que, hasta ahora, se asumían como anteriores al Reglamento.

El recorrido del expediente: de Lanzarote a la Sala Tercera

Los hechos están descritos con detalle en los antecedentes de la sentencia. Entre el 7 y el 9 de abril de 2019, un funcionario del Centro Penitenciario de Lanzarote no acudió a su puesto de trabajo y justificó la ausencia mediante un parte médico que indicaba la fecha de indisposición sin desglosar el diagnóstico. El 10 de mayo de ese mismo año asistió, durante la jornada laboral, a una consulta médica que igualmente justificó. Los días 9 y 17 de mayo, la directora del centro le requirió que aportase, además, el diagnóstico y el tratamiento médico correspondientes a dichas ausencias. El funcionario se negó invocando su derecho a la intimidad personal. La Administración dedujo de la nómina los días no trabajados.

El 9 de junio de 2020, la AEPD inició el procedimiento sancionador (PS/00088/2020). El 12 de febrero de 2021, la Directora de la Agencia impuso a la Secretaría General de Instituciones Penitenciarias una sanción de apercibimiento ex artículo 83.5.a) RGPD por vulneración del principio de minimización. Tras la desestimación del recurso de reposición, la Administración General del Estado interpuso un recurso contencioso-administrativo. La Audiencia Nacional, en sentencia de 24 de mayo de 2024 (Sec. 1.ª, recurso 1538/2021), estimó el recurso y anuló las resoluciones sancionadoras. El razonamiento fue literal: para que pueda hablarse de tratamiento de datos —dijo la Audiencia— es preciso que se produzca la recogida, esto es, que el interesado facilite efectivamente los datos solicitados. Sin entrega no hay recogida, sin recogida no hay tratamiento, y sin tratamiento no hay obligación de respetar los principios del artículo 5. Las costas, fijadas en 1.500 euros, se impusieron a la AEPD.

La Agencia interpuso recurso de casación. El Tribunal Supremo lo admitió por auto de 30 de octubre de 2024 con la cuestión casacional ya descrita: si la mera solicitud de datos constituye, por sí misma, tratamiento. Esa pregunta —que parecía de manual— no tenía hasta entonces respuesta por parte de la Sala Tercera, y la divergencia con la Audiencia Nacional abría una controversia interpretativa relevante para la práctica administrativa y empresarial.

La interpretación amplia del artículo 4.2 RGPD

El núcleo del fallo radica en el rechazo de una interpretación literal del artículo 4.2 del Reglamento. Esa disposición define el tratamiento como cualquier operación o conjunto de operaciones realizadas sobre datos personales, automatizadas o no, «como» la recogida, registro, organización, estructuración, conservación, adaptación, modificación, extracción, consulta, utilización, comunicación, difusión, cotejo, interconexión, limitación, supresión o destrucción. El argumento del Abogado del Estado —avalado por la Audiencia Nacional— se apoyaba en la posición que la «recogida» ocupa al inicio de esa enumeración: si la recogida es el primer eslabón y no se ha producido, no se ha desplegado ninguna operación posterior y, por tanto, no hay tratamiento.

El Tribunal Supremo, en el fundamento de derecho quinto, desmonta esa lectura por seis vías argumentales que conviene exponer ordenadamente.

La primera atiende a la propia técnica de redacción del precepto. La enumeración del artículo 4.2 está precedida por la expresión «como», que, en la práctica legislativa europea, identifica una lista no exhaustiva. La voluntad del legislador de la Unión —razona la Sala— fue dotar al concepto de un alcance amplio precisamente para evitar que el avance tecnológico dejara fuera del Reglamento operaciones que materialmente afectan al derecho fundamental.

La segunda invoca la finalidad del Reglamento. El considerando 1 ancla su misión en la protección de las personas físicas en relación con el tratamiento de datos personales como derecho fundamental, en los términos del artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea. Una interpretación restrictiva del concepto de tratamiento haría imposible esa protección efectiva, en la medida en que dejaría sin cobertura aquellas conductas que están dirigidas a la obtención del dato, pero formalmente no la consuman.

La tercera vía es sistemática. Existe una conexión directa entre el artículo 4.2 y el artículo 25, que articula el principio de protección de datos desde el diseño y por defecto. Este último impone al responsable la obligación de aplicar medidas técnicas y organizativas apropiadas tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento. La obligación es, por tanto, anterior a cualquier manipulación física del dato. Si se aceptase la tesis literal, ese momento previo —que el legislador europeo ha querido cubrir expresamente— quedaría jurídicamente vacío.

La cuarta apunta al artículo 5.1.b), que exige que los datos se recojan con fines determinados, explícitos y legítimos. La determinación de los fines es lógicamente previa a la recogida; integra el proceso planificado del que la solicitud forma parte. Aceptar que la solicitud está fuera del tratamiento implicaría desconectar la decisión sobre los fines —que el Reglamento gobierna— de la decisión sobre los medios y del propio acto de pedir el dato.

La quinta es de seguridad jurídica. Una interpretación que hiciese depender la activación del Reglamento del éxito en obtener el dato generaría una incertidumbre incompatible con la tutela de un derecho fundamental. La protección efectiva del artículo 8 CDFUE y del artículo 18.1 y 4 CE no puede quedar al albur de si el interesado, en el caso concreto, decide entregar la información o no. La sentencia es tajante en este punto: la respuesta normativa debe ser estable, no condicionada a contingencias del comportamiento del afectado.

La sexta cierra el círculo con el principio de responsabilidad proactiva del artículo 24, que obliga al responsable a poder demostrar que cumple los principios del Reglamento en todo el ciclo del tratamiento. Esa exigencia se proyecta, por definición, sobre la fase previa: hay que decidir qué datos se van a pedir, para qué y cómo, antes de pedirlos. La fase de diseño no es un anejo del tratamiento; es su primer momento jurídicamente relevante.

A partir de estos seis vectores, la Sala fija doctrina jurisprudencial. El responsable queda sujeto al cumplimiento de los principios del artículo 5 del Reglamento, entre ellos el de minimización, desde el mismo momento en que solicita a una persona física la aportación de datos personales, con independencia de que esos datos lleguen o no a ser efectivamente facilitados y ulteriormente recogidos por el responsable. La finalidad expresa del fallo es, en palabras del propio Tribunal, prevenir la generación de riesgos relevantes para los derechos fundamentales de las personas afectadas.

El anclaje en la jurisprudencia del TJUE

El Supremo no construye su interpretación en el vacío doctrinal. La sentencia se apoya expresamente en la jurisprudencia del Tribunal de Justicia de la Unión Europea, que en los últimos años ha consolidado una interpretación no restrictiva del concepto de tratamiento. Se citan cuatro decisiones de manera directa.

La más relevante es la STJUE de 24 de febrero de 2022, asunto C-175/20, SIA «SS» / Valsts ieņēmumu dienests. En ese pronunciamiento, el TJUE examinó la legalidad de un requerimiento de la administración tributaria letona a una plataforma de anuncios clasificados de venta de vehículos para que le facilitase mensualmente los datos de los anunciantes. El Tribunal afirmó, en los apartados 34, 35 y 37 de la sentencia, que la solicitud de información dirigida a un operador económico que está obligado a comunicarla constituye ya un proceso de recogida en el sentido del artículo 4.2 RGPD. La autoridad pública, al solicitar datos, está tratando: el principio de minimización y la limitación de la finalidad le son exigibles desde la propia formulación del requerimiento.

A esa decisión se suman la STJUE de 30 de marzo de 2023 (C-34/21), la STJUE de 5 de octubre de 2023 (C-659/22) —que en sus apartados 27, 28 y 32 reitera el carácter no exhaustivo de la lista del artículo 4.2 y la coherencia de una interpretación amplia con la efectividad del derecho fundamental— y la STJUE de 4 de octubre de 2024 (C-548/21). Conforman, en conjunto, una línea jurisprudencial estable que el Supremo se limita a internalizar.

La importancia de esta apoyatura no es meramente formal. El Tribunal sostiene, con respaldo del Tribunal Europeo, que la doctrina de la Audiencia Nacional no era interpretativamente sostenible conforme al Derecho de la Unión. Y lo está diciendo en una materia —la definición misma del ámbito de aplicación del Reglamento— en la que la interpretación uniforme es presupuesto para la aplicación coherente del Derecho europeo.

Datos de salud y control de absentismo: la aplicación al caso

El segundo eje de la sentencia, una vez establecido que la solicitud constituye tratamiento, es la valoración material del requerimiento conforme al principio de minimización previsto en el artículo 5.1.c) del Reglamento. La Sala recuerda que ese principio impone que los datos sean adecuados, pertinentes y limitados a lo necesario para la finalidad perseguida. El control del absentismo laboral —y, en sentido amplio, la lucha contra el fraude— es una finalidad legítima que puede amparar el tratamiento de información sobre la salud del trabajador. Pero la legitimidad del fin no autoriza cualquier medio.

Tres argumentos convergen para concluir que el requerimiento del Centro Penitenciario era desproporcionado.

El primero atiende a la naturaleza especialmente protegida del dato. El artículo 9.1 del Reglamento prohíbe, como regla general, el tratamiento de datos relativos a la salud, salvo que concurra alguna de las excepciones previstas en el apartado 2. El diagnóstico médico y el tratamiento prescrito revelan información esencial sobre la salud del afectado y se integran sin dificultad en esta categoría. La lectura sistemática con el artículo 4.15 del Reglamento —que define los datos relativos a la salud— y con el artículo 18.1 CE refuerza la barrera, a la que se añade la protección reforzada de los datos clínicos que dispensan los artículos 2 y siguientes de la Ley 41/2002, de autonomía del paciente.

El segundo argumento es la ausencia de necesidad. Para verificar que un funcionario ha estado efectivamente impedido para trabajar, los justificantes médicos genéricos —los que el funcionario aportó— eran suficientes. La fiscalización del absentismo de corta duración no requiere conocer qué patología sufre el trabajador ni qué fármacos toma. El acceso al diagnóstico no añade valor probatorio relevante para la finalidad perseguida; sí amplía considerablemente la intrusión en la esfera íntima.

El tercer argumento, quizá el más interesante desde el punto de vista de la práctica del Derecho del trabajo, es la coherencia con el régimen normativo específico de los partes médicos. El artículo 7.2 del Real Decreto 625/2014, por el que se regulan determinados aspectos de la gestión y control de los procesos por incapacidad temporal en los primeros trescientos sesenta y cinco días, y el artículo 89 del Real Decreto 375/2003, Reglamento del Mutualismo Administrativo, configuran un esquema en el que los partes de baja comunicados al centro de trabajo excluyen el diagnóstico, que solo se transmite al INSS o a MUFACE según corresponda. La propia legislación de Seguridad Social ha entendido —antes incluso de la entrada en vigor del Reglamento— que el centro de trabajo no necesita conocer el diagnóstico para gestionar la incapacidad temporal. El Supremo lee este régimen como expresión del principio de minimización en el ámbito específico, y razona, con buena lógica, que si la regulación que disciplina la baja por enfermedad ya excluye el diagnóstico para los partes oficiales, mucho menos puede admitirse su exigencia en justificaciones de ausencias breves no encuadradas siquiera en una situación de incapacidad temporal formal.

A todo lo anterior se añade un argumento sobre la base jurídica. La Sala descarta que concurran las excepciones previstas en los artículos 6.1.a) y 6.1.c) del Reglamento. No hubo consentimiento del funcionario y no existe norma con rango de ley que imponga al trabajador que aporte un diagnóstico al centro de trabajo. La Resolución de 28 de febrero de 2019 de la Secretaría de Estado de Función Pública, invocada por la Abogacía del Estado, no satisface el estándar del artículo 6.3 RGPD ni el del artículo 8 LOPDGDD: una resolución administrativa no es la «norma con rango de ley» que el Reglamento exige cuando el tratamiento se ampara en una obligación legal o en el interés público.

Implicaciones prácticas: del registro de actividades al diseño de formularios

La proyección de la doctrina excede con mucho el ámbito sancionador en el que se gesta. Hay tres planos en los que la STS 390/2026 modifica —o, más precisamente, explicita— obligaciones que ya estaban implícitas en el Reglamento pero cuya operatividad práctica era discutida.

En primer lugar, el registro de actividades de tratamiento. El artículo 30 del Reglamento exige al responsable que mantenga un registro que describa, entre otros extremos, los fines del tratamiento, las categorías de interesados y las categorías de datos personales. Si la solicitud forma parte del tratamiento, el registro debe contemplarla como tal. Cuestionarios, formularios precontractuales, requerimientos administrativos, peticiones a candidatos en procesos de selección: todos esos instrumentos generan tratamiento desde el momento en que se diseñan, no desde el momento en que el interesado responde. El responsable debe poder acreditar, ante una eventual inspección, que el conjunto de campos solicitados —no solo los que finalmente recibe— supera el filtro de la minimización.

En segundo lugar, las evaluaciones de impacto. El artículo 35 del Reglamento condiciona la evaluación a la existencia de un tratamiento que pueda entrañar un alto riesgo para los derechos y libertades. Hasta ahora, ciertas prácticas de diseño de formularios o de definición de campos obligatorios se consideraban un acto previo al tratamiento y, por tanto, externo al ámbito del artículo 35. La STS 390/2026 deshace esa zona gris: la fase de diseño del cuestionario es ya tratamiento y debe evaluarse en términos de riesgo. Los proveedores de servicios digitales que recogen datos a gran escala —plataformas de comercio electrónico, redes sociales, servicios financieros— deberían incorporar este criterio en sus protocolos de evaluación.

En tercer lugar, el derecho a no contestar. Para las personas físicas afectadas, la sentencia tiene una consecuencia operativa relevante. La negativa a entregar datos solicitados de forma desproporcionada no impide reclamar ante la AEPD por la mera solicitud. La infracción se consuma con el requerimiento contrario a los principios del artículo 5; la falta de entrega no sana el incumplimiento del responsable. Es una herramienta procesal que cambia el equilibrio en escenarios donde el interesado teme que reclamar pueda interpretarse como falta de cooperación. La doctrina del Supremo le ofrece cobertura.

Las repercusiones sectoriales son fácilmente identificables. En el ámbito de los recursos humanos, los formularios de evaluación, las solicitudes de información médica para autorizar reincorporaciones tras una baja prolongada, los cuestionarios sobre cargas familiares utilizados para diseñar planes de igualdad o las preguntas en entrevistas de selección quedan sometidos al test de minimización desde su concepción, no desde la respuesta del candidato o del trabajador. En banca, los procesos de KYC y los modelos de scoring deben justificar la necesidad de cada campo solicitado al cliente; el hecho de que el cliente no responda a alguno de ellos no exime de la responsabilidad por haber preguntado más de lo proporcionado. En seguros, los cuestionarios de salud previos a la suscripción —terreno especialmente sensible por la concurrencia del artículo 9 RGPD— exigen una revisión sistemática para asegurar que cada pregunta tiene respaldo actuarial y jurídico que justifique la categoría especial de datos solicitada. En plataformas digitales, los formularios de registro y los procesos de verificación de identidad deben distinguir con precisión entre los datos imprescindibles para prestar el servicio y aquellos cuya recogida responde a finalidades secundarias —marketing, perfilado, análisis— que requieren una base jurídica autónoma.

Hay un escenario menos evidente, pero igualmente importante: el de los identificadores recogidos mediante cookies y otras tecnologías de seguimiento antes de la prestación del consentimiento. La doctrina del Supremo, leída a la luz de la STJUE C-175/20 y de los pronunciamientos del Comité Europeo de Protección de Datos, refuerza la posición de quienes sostienen que la mera presencia de scripts de seguimiento que solicitan identificadores constituye tratamiento, aun cuando el navegador rechace su lectura. El debate no es nuevo, pero la sentencia aporta un argumento de peso a favor de la interpretación amplia que la AEPD defiende en sus directrices sobre cookies.

La responsabilidad proactiva como vector central

Más allá del caso, la STS 390/2026 puede leerse como una afirmación de la centralidad del principio de responsabilidad proactiva. El Reglamento no es una norma que se activa cuando el responsable empieza a manipular información ajena: es una norma que rige la forma en que se planifica esa manipulación. La diferencia no es semántica. Una protección de datos articulada solo sobre la fase de manejo es esencialmente reactiva; una protección que también cubre la fase de diseño es estructuralmente preventiva.

La consecuencia práctica para los responsables del tratamiento es exigente. Las prácticas que se asumían previas al RGPD —el ejercicio de redacción de un formulario, la decisión sobre qué documentación solicitar a un proveedor, la elaboración de un cuestionario interno— quedan sometidas a los principios del artículo 5 desde su concepción. La conformidad ex post —acreditar que los datos efectivamente recibidos se han tratado correctamente— no basta. Hay que demostrar también la conformidad ex ante: que la decisión de pedir esos datos, y solo esos, es proporcionada al fin perseguido.

Para los titulares del derecho fundamental, la doctrina cierra una vía de elusión. No habrá ya argumentos para sostener que la solicitud es un acto neutral o meramente preparatorio. La reclamación ante la autoridad de control puede dirigirse contra el requerimiento mismo, sin necesidad de esperar a que se materialice la entrega. Es un desplazamiento del momento de la tutela —hacia atrás en el tiempo— que se corresponde con la lógica del Reglamento, pero que la práctica española no había explicitado con esta nitidez.

La cuestión que queda abierta, y que las próximas resoluciones de la AEPD y de la Sala Tercera tendrán que abordar, es la de los matices de aplicación. No toda solicitud genera el mismo riesgo. Pedir un correo electrónico para enviar una respuesta no plantea la misma cuestión que pedir un diagnóstico médico para gestionar una ausencia laboral. El test de proporcionalidad, que la doctrina del TJUE ha venido desarrollando en términos generales, deberá modularse según la categoría de datos solicitada, la base jurídica invocada y el contexto en el que se inserta el requerimiento. La STS 390/2026 abre la puerta; el desarrollo casuístico aún está por hacerse.

Mientras tanto, la sentencia tiene un mensaje tan claro como incómodo para muchos responsables: revisen sus formularios, sus cuestionarios y sus procedimientos de solicitud. El Reglamento se les aplica antes de lo que pensaban.