1 diciembre 2025
Ficheros de exclusión publicitaria
El tratamiento de datos personales que tenga por objeto evitar el envío de comunicaciones comerciales a quienes hubiesen manifestado su negativa u oposición a recibirlas se considera lícito
Alcance de la protección de datos tras solicitud del datos relativos a la salud
Actualidad Administrativo. Junio 2026
La mera solicitud de datos personales supone ya una actividad de tratamiento. Desde ese momento, el empleador, como responsable, queda sujeto a los principios de la normativa de protección de datos, en especial, al principio de minimización, y ello aunque el trabajador no llegue a facilitar los datos requeridos. Por otra parte, la solicitud del diagnóstico y del tratamiento médico al trabajador vulnera el principio de minimización cuando se han entregado los justificantes médicos oportunos.
MPDA nº 7031, 7306 MPDA nº 8305
La controversia se centra en si el tratamiento de datos personales comienza cuando el responsable recibe materialmente el dato, o desde que lo solicita para una finalidad determinada.
Desde una interpretación sistemática del RGPD, conectando la definición amplia de tratamiento con los principios de finalidad, minimización y licitud, se concluye que el responsable debe valorar, antes de la obtención, si los datos que pretende recabar son adecuados, pertinentes y limitados a lo necesario y si existe una base jurídica bastante para pedirlos. Además, la protección de datos desde el diseño y por defecto exige que el responsable configure anticipadamente sus medios y procedimientos para que solo se solicite la información imprescindible. Condicionar el control de minimización al momento posterior a la obtención real del dato genera incertidumbre incompatible con la seguridad jurídica y debilita la tutela de los derechos fundamentales en juego.
Por otra parte, el diagnóstico y el tratamiento son datos relativos a la salud, dotados de especial protección. Su acceso no queda justificado por la sola invocación del control del absentismo, aunque esa finalidad sea legítima. La legitimidad del fin no elimina la exigencia de necesidad concreta y proporcionalidad en la clase de datos recabados.
Así pues, los justificantes médicos bastan para justificar la ausencia o la demora al puesto, sin necesidad de conocer el cuadro clínico concreto ni la medicación prescrita. Además, tampoco existe consentimiento del afectado ni se identifica una obligación legal que imponga recabar esa información sanitaria.
Por todo ello, se fija un doble criterio:
1. El responsable queda sometido a los principios del RGPD desde el mismo momento en que solicita a una persona física la aportación de datos personales, aunque estos no lleguen a facilitarse (RGPD art.4.2, 5 y 25).
2. En el control del absentismo laboral de corta duración, la petición del diagnóstico y tratamiento vulnera el principio de minimización cuando la ausencia ya está respaldada por justificantes médicos suficientes, porque se trata de datos de salud innecesarios, impertinentes y excesivos para esa finalidad (RGPD art.5.1.c).
TS cont-adm 26-3-26, EDJ 557667
Alcance de la protección de datos tras solicitud del dato relativo a la salud
La mera solicitud de datos personales supone ya una actividad de tratamiento. Desde ese momento, el empleador, como responsable, queda sujeto a los principios de la normativa de protección de datos, en especial, al principio de minimización, y ello aunque el trabajador no llegue a facilitar los datos requeridos. Por otra parte, la solicitud del diagnóstico y del tratamiento médico al trabajador vulnera el principio de minimización cuando se han entregado los justificantes médicos oportunos.
MPDA nº 7031, 7306 MPDA nº 8305
La controversia se centra en si el tratamiento de datos personales comienza cuando el responsable recibe materialmente el dato, o desde que lo solicita para una finalidad determinada.
Desde una interpretación sistemática del RGPD, conectando la definición amplia de tratamiento con los principios de finalidad, minimización y licitud, se concluye que el responsable debe valorar, antes de la obtención, si los datos que pretende recabar son adecuados, pertinentes y limitados a lo necesario y si existe una base jurídica bastante para pedirlos. Además, la protección de datos desde el diseño y por defecto exige que el responsable configure anticipadamente sus medios y procedimientos para que solo se solicite la información imprescindible. Condicionar el control de minimización al momento posterior a la obtención real del dato genera incertidumbre incompatible con la seguridad jurídica y debilita la tutela de los derechos fundamentales en juego.
Por otra parte, el diagnóstico y el tratamiento son datos relativos a la salud, dotados de especial protección. Su acceso no queda justificado por la sola invocación del control del absentismo, aunque esa finalidad sea legítima. La legitimidad del fin no elimina la exigencia de necesidad concreta y proporcionalidad en la clase de datos recabados.
Así pues, los justificantes médicos bastan para justificar la ausencia o la demora al puesto, sin necesidad de conocer el cuadro clínico concreto ni la medicación prescrita. Además, tampoco existe consentimiento del afectado ni se identifica una obligación legal que imponga recabar esa información sanitaria.
Por todo ello, se fija un doble criterio:
1. El responsable queda sometido a los principios del RGPD desde el mismo momento en que solicita a una persona física la aportación de datos personales, aunque estos no lleguen a facilitarse (RGPD art.4.2, 5 y 25).
2. En el control del absentismo laboral de corta duración, la petición del diagnóstico y tratamiento vulnera el principio de minimización cuando la ausencia ya está respaldada por justificantes médicos suficientes, porque se trata de datos de salud innecesarios, impertinentes y excesivos para esa finalidad (RGPD art.5.1.c).
TS cont-adm 26-3-26, EDJ 557667
Memento Protección de Datos
Manual de consulta rápida, directa y clarificadora sobre toda la normativa en materia de protección de datos que incorpora las numerosas directrices del Consejo Europeo de Protección de Datos, así como las guías de la Agencia Española de Protección de Datos sobre gestión del riesgo y evaluación del impacto en tratamientos de datos personales.
Precio
100 €
Memento Protección de Datos y Derechos Digitales
Una referencia de consulta rápida, directa y clarificadora sobre toda la normativa en materia de protección de datos y garantía de derechos digitales que aporta respuestas sobre los derechos digitales que garantizan el acceso a Internet, la tecnología y la creación de contenidos digitales.
Precio
100 €
También puede interesarte
1 enero 2026
Ausencia de nexo causal entre el funcionamiento del servicio público y el daño sufrido en el accidente
Es importante ponderar la concurrencia de causas en reclamaciones de responsabilidad patrimonial en vías públicas rurales promocionadas por la administración, ya que la existencia de señalización prohibitiva, la naturaleza rural de la vía y la asunción de riesgos implícita en la actividad deportiva justifican la exclusión de responsabilidad administrativa ante la falta de incumplimiento probado de los deberes de conservación, reforzando la doctrina sobre limitación del nexo causal en estos contextos.
1 marzo 2026
Novedades en facturación electrónica obligatoria
Se establece la factura electrónica obligatoria entre empresarios y profesionales, sin necesidad de consentimiento del destinatario. El sistema funciona con plataformas privadas y una solución pública de la AEAT, con reglas de interoperabilidad. Se adapta el reglamento de facturación para integrar este régimen, manteniéndose reglas especiales basadas en aceptación para ciertos servicios al público.
Lo más destacado de administrativo, en pódcast
Inscríbete en nuestra alerta
Recibe los posts más recientes en tu email
Inscríbete en nuestra alerta
Recibe los posts más recientes en tu email