Existe una idea extendida en muchas organizaciones que acaba de quedar definitivamente descartada por el Tribunal Supremo, y es la de que las obligaciones en materia de protección de datos solo se activan cuando los datos ya están en nuestra organización.
La sentencia del Tribunal Supremo de 26 de marzo de 2026 (STS 1590/2026) demuestra que esa idea es equivocada y obliga a revisar cómo se diseñan los procesos de recogida de datos en cualquier tipo de organización.
El caso que dio origen a la doctrina
Un centro penitenciario requirió a uno de sus funcionarios que aportase el diagnóstico médico y el tratamiento farmacológico que justificaban sus ausencias al trabajo durante unos días. El empleado ya había entregado los justificantes médicos emitidos por su médico, en los que constaba la "indisposición" y las fechas correspondientes. No eran bajas por incapacidad laboral temporal, sino simples justificantes de ausencia. Aun así, la administración exigió la información clínica adicional. El funcionario se negó.
La Agencia Española de Protección de Datos (AEPD) sancionó a la administración con un apercibimiento por vulnerar el principio de minimización de datos del artículo 5.1.c) del Reglamento General de Protección de Datos (RGPD). La Audiencia Nacional anuló esa sanción con un argumento aparentemente sólido: dado que el funcionario nunca entregó los datos, la administración no llegó a recibirlos y, por tanto, no se produjo ningún tratamiento.
El Tribunal Supremo anuló a su vez esa sentencia y confirma la sanción.
El artículo 4.2 del RGPD define el tratamiento como:
Cualquier operación o conjunto de operaciones realizadas sobre datos personales.
Es decir, recogida, registro, almacenamiento, consulta, uso, cesión, destrucción, etc.
El Tribunal Supremo entiende que el tratamiento no comienza necesariamente con la "recogida" y que esa interpretación literal no refleja la voluntad de la norma ni su lógica de conjunto.
El Tribunal de Justicia de la Unión Europea ya ha ido en esa dirección en pronunciamientos anteriores, señalando que incluso la mera solicitud de datos a un tercero, implica un proceso de recogida en sentido amplio.
Pero el argumento más importante del Tribunal Supremo no está en la definición del artículo 4, sino que está en el artículo 25.
El artículo 25 del RGPD, regula la protección de datos desde el diseño y por defecto. Impone al responsable del tratamiento la obligación de aplicar medidas de protección "tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento". La doble referencia temporal no es casual, ya que la organización como responsable del tratamiento tiene obligaciones antes de recoger el dato, ya en la fase en que decide qué va a pedir, para qué y a través de qué medios.
De esa conexión entre el artículo 4 y el artículo 25, extrae el Tribunal la conclusión que da forma a su doctrina
Esto implica que el principio de minimización es exigible desde el momento en que diseña el proceso de solicitud de datos, y se activa plenamente en el momento en que realiza esa solicitud. Si los datos no llegan a entregarse, la infracción del principio de minimización ya puede haberse consumado.
La razón de fondo es de protección efectiva de derechos fundamentales: Si las obligaciones solo nacieran cuando los datos ya están en poder del responsable, este podría solicitar libremente información excesiva y valorar su proporcionalidad solo después de haberla recibido. La protección llegaría demasiado tarde.
Por tanto, cualquier organización que solicita datos personales, por ejemplo, en un formulario de contacto, un cuestionario de incorporación de personal, una solicitud de documentación a un proveedor, un registro para acceder a un servicio... Debe haber evaluado con carácter previo si los datos que va a pedir son adecuados, pertinentes y estrictamente necesarios para la finalidad declarada.
No después de recibirlos. Siempre antes de pedirlos.
La sentencia no introduce una obligación nueva
Lo que hace es aclarar cuándo empieza a aplicarse una que ya existía. El principio de minimización no es una exigencia que deba satisfacerse una vez que los datos han llegado; es una condición que debe cumplirse en el momento de decidir qué datos se van a solicitar.
Diseñar un proceso de recogida que contemple información excesiva, ya supone incumplir el RGPD, con independencia del resultado.
Para quienes gestionan tratamientos de datos, esto implica revisar con esa óptica los formularios, los procedimientos de incorporación de personal, las solicitudes de documentación y cualquier proceso en el que se requiere información a personas físicas.
La pregunta relevante siempre no es "¿estamos tratando estos datos correctamente?" sino "¿realmente necesitamos pedir estos datos?"
Redactado por Elena, a fecha 21 de julio de 2026.