La Delegada de Protección de Datos informa: ¿En qué momento comienza legalmente un tratamiento de datos personales?

De acuerdo con la definición contenida en el art. 4.1 del Reglamento General de Protección de datos (RGPD), se entenderá por tratamiento “cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;”

Interesa destacar, en relación con la definición de tratamiento, una sentencia reciente del Tribunal Supremo (STS 1590/2026) en la que se consolida una precisión interpretativa de gran relevancia en la aplicación del RGPD: el concepto de “tratamiento de datos personales” no se limita a las actuaciones posteriores a la obtención material de los datos, sino que incluye las actuaciones previas dirigidas a su obtención, en este caso, a su solicitud.

El caso tiene su origen en un procedimiento sancionador en el que se cuestionaba la petición, por parte de una administración pública, de datos relativos a la salud de un empleado. En concreto, se requirió a la persona que aportara diagnóstico y tratamiento médico para justificar determinadas ausencias. Ante su negativa a facilitar esa información, la controversia se centró en determinar si podía hablarse de “tratamiento de datos” cuando los datos fueron requeridos, si bien nunca llegaron a ser efectivamente entregados por dicho empleado.

El Tribunal Supremo subraya que no es posible interpretar el concepto de tratamiento de forma aislada, sino en relación con los principios del artículo 5 del RGPD y con el principio de protección de datos desde el diseño y por defecto del artículo 25 del RGPD, el cual exige la aplicación de medidas de protección “tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento”.

La STS introduce una idea clave: las obligaciones del responsable del tratamiento no nacen con la recepción de los datos, sino con anterioridad, en el momento en que se decide qué datos se van a solicitar, para qué finalidad y por qué medios.

A partir de esta base, el Tribunal Supremo formula su conclusión principal afirmando que ya existe “tratamiento de datos” en el momento en el que la Administración solicita a una persona física la entrega de datos personales, aunque, al final, éstos no se entreguen por el interesado.

Por tanto, la exigencia de cumplimiento es previa, debe comenzar antes, esto es, en el mismo momento en que se diseña el tratamiento, comprendiendo las finalidades de este y los datos que se pretende recabar. De este modo, podemos concluir que la solicitud de datos forma parte del concepto de tratamiento, aunque sin excluir —no lo hace la sentencia— que deba cumplir el artículo 5 del RGPD previo a tal actuación, como sería el caso del momento en el que el responsable diseña el tratamiento.

Podéis encontrar más información en el siguiente enlace: https://www.aepd.es/prensa-y-comunicacion/blog/en-que-momento-comienza-legalmente-un-tratamiento-de-datos-personales

Compartir: