El Supremo aclara desde cuándo empiezan a aplicarse las obligaciones del RGPD (y no es cuando crees)

Qué ha dicho el Tribunal Supremo

La Sala de lo Contencioso-Administrativo se ha pronunciado, por primera vez en España en casación, sobre el alcance del concepto de "tratamiento" de datos personales del artículo 4.2 del RGPD. Su conclusión: el responsable queda sujeto a los principios del RGPD desde que solicita la aportación de datos personales, no solo desde que los recibe físicamente.

La sentencia se alinea expresamente con la doctrina que el Tribunal de Justicia de la Unión Europea ya venía sosteniendo desde 2022 (asunto C-175/20), que dio un "alcance amplio" al concepto de tratamiento. Con esta resolución, ese criterio queda fijado también en la jurisprudencia española.

Por qué esto importa en la práctica

Es habitual pensar que, si un formulario pide más datos de los necesarios pero la persona nunca llega a enviarlos, no hay ningún problema real. Esta sentencia va en la dirección contraria: el propio acto de pedir esos datos ya está sujeto al principio de minimización y al resto de principios del RGPD, independientemente de si la persona los facilita finalmente o no.

Condicionar el cumplimiento de esos principios al momento de la recepción física de los datos, señala el Supremo, generaría una incertidumbre incompatible con la seguridad jurídica y dificultaría la protección efectiva de los derechos de las personas.

Dónde se nota más este cambio de criterio

Este criterio afecta a cualquier situación en la que una empresa solicita datos personales: formularios de contacto o de newsletter, procesos de selección de personal, formularios de alta de clientes, encuestas o solicitudes de presupuesto. En todos estos casos, el diseño del propio formulario (qué campos incluye, cuáles son obligatorios) queda ahora más claramente sujeto a revisión desde el principio de minimización, no solo la gestión posterior de los datos ya recibidos.

Qué revisar a raíz de esta sentencia

Conviene repasar los formularios y procesos de captación de datos de la empresa y preguntarse, campo por campo, si es realmente necesario para la finalidad concreta de ese formulario. Pedir un dato "por si acaso" o "porque siempre se ha pedido" es precisamente el tipo de práctica que este criterio del Supremo pone bajo el foco.

Preguntas frecuentes