El TS dicta que la mera solicitud de datos personales supone un tratamiento que debe ser tratado según el RGPD.
El Tribunal Supremo resuelve la cuestión en Sentencia de 26 de marzo de 2026, en recurso de casación interpuesto por la propia AEPD. La cuestión consistía en determinar si puede existir tratamiento de datos personales por el solo hecho de requerir documentación que contiene datos personales, aunque finalmente dichos datos no sean aportados por el interesado.
El Tribunal Supremo fija la siguiente doctrina: «El responsable del tratamiento queda sujeto a los principios del RGPD, incluido el principio de minimización, desde el momento en que solicita datos personales, con independencia de que estos lleguen o no a ser facilitados.»
El TS considera que condicionar la aplicación del RGPD al momento en que los datos son efectivamente recibidos dejaría sin protección al interesado en relación con la decisión previa sobre qué datos se piden, para qué finalidad y con qué necesidad. El Tribunal Supremo sostiene que la protección de datos empieza incluso antes de recibirlos. No se puede esperar a tener la información para aplicar la ley, porque el simple hecho de decidir qué pedir y para qué ya afecta al ciudadano. Solicitar datos no es un gesto indiferente, sino una acción planificada; por eso, antes de hacer cualquier petición, el responsable debe asegurar que solo va a pedir lo estrictamente necesario y útil para su objetivo.
Más información consulte nuestra página de servicios
