Existe una idea extendida en muchas organizaciones que acaba de quedar definitivamente descartada por el Tribunal Supremo, y es la de que las obligaciones en materia de protección de datos solo se activan cuando los datos ya están en nuestra organización.
La sentencia del Tribunal Supremo de 26 de marzo de 2026 (STS 1590/2026) demuestra que esa idea es equivocada y obliga a revisar cómo se diseñan los procesos de recogida de datos en cualquier tipo de organización.
El caso que ha dado origen a esta resolución viene a través de un centro penitenciario que requirió a uno de sus funcionarios que aportase el diagnóstico médico y el tratamiento farmacológico que justificaban sus ausencias al trabajo durante unos días. El empleado ya había entregado los justificantes médicos emitidos por su médico, en los que constaba la "indisposición" y las fechas correspondientes. No eran bajas por incapacidad laboral temporal, eran justificantes de ausencia. Aun así, el centro exigió la información clínica adicional y el funcionario se negó.
La Agencia Española de Protección de Datos (AEPD) sancionó a la administración con un apercibimiento por vulnerar el principio de minimización de datos del artículo 5.1.c) del Reglamento General de Protección de Datos (RGPD). La Audiencia Nacional anuló esa sanción argumentando que, dado que el funcionario nunca entregó los datos, la administración no llegó a recibirlos y, por tanto, no se produjo ningún tratamiento.
El Tribunal Supremo anuló a su vez esa sentencia y confirma la sanción.
El artículo 4.2 del RGPD define el tratamiento como "cualquier operación o conjunto de operaciones realizadas sobre datos personales", es decir, recogida, registro, almacenamiento, consulta, uso, cesión, destrucción, etc.
El Tribunal Supremo entiende que el tratamiento no comienza necesariamente con la recogida y que esa interpretación literal no refleja la voluntad de la norma ni su lógica de conjunto.
El Tribunal de Justicia de la Unión Europea ya ha ido en esa dirección en pronunciamientos anteriores, señalando que incluso la mera solicitud de datos a un tercero, implica un proceso de recogida en sentido amplio.
Pero el argumento más importante del Tribunal Supremo no está en la definición del artículo 4, está en el artículo 25.
El artículo 25 del RGPD, regula la protección de datos desde el diseño y por defecto. Impone al responsable del tratamiento la obligación de aplicar medidas de protección "tanto en el momento de determinar los medios de tratamiento como en el momento del propio tratamiento". La doble referencia temporal no es casual, ya que la organización como responsable del tratamiento tiene obligaciones antes de recoger el dato, ya en la fase en que decide qué va a pedir, para qué y a través de qué medios.
Esto implica que el principio de minimización es exigible desde el momento en que se diseña el proceso de solicitud de datos, y se activa plenamente en el momento en que realiza esa solicitud. Si los datos no llegan a entregarse, la infracción del principio de minimización ya puede haberse producido.
La razón de fondo es de protección efectiva de derechos fundamentales dado que, si las obligaciones sólo nacieran cuando los datos ya están en poder del responsable, este podría solicitar libremente información excesiva y valorar su proporcionalidad después de haberla recibido y la protección llegaría demasiado tarde.
Por tanto, cualquier organización que solicita datos personales, por ejemplo, en un formulario de contacto, un cuestionario de incorporación de personal, una solicitud de documentación a un proveedor, un registro para acceder a un servicio, debe haber evaluado con carácter previo si los datos que va a pedir son adecuados, pertinentes y estrictamente necesarios para la finalidad declarada.
No después de recibirlos. Siempre antes de pedirlos.
En realidad, la sentencia no introduce una obligación nueva. Lo que hace es aclarar cuándo empieza a aplicarse una que ya existía. El principio de minimización no es una exigencia que deba satisfacerse una vez que los datos han llegado, es una condición que debe cumplirse en el momento de decidir qué datos se van a solicitar. Diseñar un proceso de recogida que contemple información excesiva, ya supone incumplir el RGPD, con independencia del resultado.
Para quienes gestionan tratamientos de datos, esto implica revisar con esa óptica los formularios, los procedimientos de incorporación de personal, las solicitudes de documentación y cualquier proceso en el que se requiere información a personas físicas.
La pregunta relevante siempre no es si estamos tratando estos datos correctamente. La pregunta es si realmente necesitamos pedir estos datos.
Redactado por Elena, a fecha 21 de julio de 2026.