RGPD para psicólogos: guía práctica para tu consulta en España

Esta guía es informativa y resume las obligaciones más habituales. No sustituye el asesoramiento jurídico: consulta con tu colegio profesional o con una persona experta en protección de datos para tu caso concreto.

Tus datos son de «categoría especial»

Todo lo que registras sobre la salud mental de un paciente son datos de salud, una categoría especial del Reglamento General de Protección de Datos (RGPD, artículo 9). En la práctica, eso significa más cuidado y más obligaciones que con otros datos. En España se complementa con la Ley Orgánica 3/2018 de Protección de Datos y Garantía de los Derechos Digitales (LOPDGDD).

Como profesional que decide para qué y cómo se usan esos datos, eres la responsable del tratamiento. La base que legitima el tratamiento en la asistencia sanitaria es la propia prestación del servicio (artículo 9.2.h del RGPD): no hace falta un consentimiento aparte para llevar la historia clínica, pero sí para otras cosas, como grabar las sesiones.

Informar al paciente

Al empezar, el paciente debe recibir la información de protección de datos (artículo 13 del RGPD): quién eres, para qué usas sus datos, con qué base, cuánto tiempo los guardas, a quién se comunican (incluidos tus proveedores) y cómo ejercer sus derechos. Lo habitual es entregarla por escrito junto con el consentimiento informado de la intervención.

La historia clínica

Si ejerces como psicóloga o psicólogo sanitario, la historia clínica se rige también por la Ley 41/2002, de autonomía del paciente. Algunos puntos clave:

• Hay que conservarla, como mínimo, cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas fijan plazos más largos: revisa la normativa de la tuya.
• El paciente tiene derecho de acceso, pero puedes reservarte tus anotaciones subjetivas.
• Mientras dure la obligación de conservarla, el derecho de supresión está limitado.

Registro de actividades y documentación

• Registro de actividades de tratamiento (artículo 30): aunque seas una consulta individual, como tratas datos de salud debes tenerlo. Es un documento sencillo que describe qué datos tratas, para qué, durante cuánto tiempo y con qué medidas.
• Delegado de protección de datos: los centros sanitarios obligados a llevar historias clínicas deben designarlo, pero la LOPDGDD exceptúa a los profesionales que ejercen a título individual.
• Evaluación de impacto (artículo 35): necesaria si el tratamiento es a gran escala o de alto riesgo. Una consulta individual no suele serlo; un centro con muchos pacientes, o el uso de tecnologías nuevas, puede requerir valorarla.

Proveedores: los encargados del tratamiento

Todo servicio que trate datos de tus pacientes por tu cuenta (software de gestión, nube, correo, transcripción, IA) es un encargado del tratamiento, y necesitas un contrato con cada uno (artículo 28). Comprueba también dónde están sus servidores: si los datos salen del Espacio Económico Europeo, debe haber garantías (una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU. para empresas certificadas, o cláusulas contractuales tipo).

Seguridad: lo mínimo razonable

• Contraseñas largas y únicas, y verificación en dos pasos en todas tus herramientas.
• Equipos cifrados y con bloqueo de pantalla; nada de historias clínicas en el correo o en carpetas compartidas.
• Acceso solo para quien lo necesita (en un centro, cada profesional ve a sus pacientes).
• Copias de seguridad y un plan para saber qué hacer si algo falla.
• Si hay una brecha de seguridad con riesgo para los pacientes, hay que notificarla a la Agencia Española de Protección de Datos en un máximo de 72 horas.

Grabar sesiones y usar inteligencia artificial

Grabar una sesión exige informar y obtener el consentimiento expreso del paciente (y de todas las personas presentes). Si usas IA para transcribir o redactar notas, aplica la minimización: que la herramienta envíe el menor dato identificativo posible. Sustituir nombres, lugares o teléfonos por marcadores (seudonimización) reduce mucho el riesgo, aunque el RGPD sigue considerando esos datos personales. Y recuerda que la IA prepara borradores: la responsabilidad del contenido clínico es tuya.

Lo práctico de la grabación (consentimiento, audio, idiomas, terapia de pareja) lo tienes en cómo grabar y transcribir sesiones de terapia.

Lista de comprobación

1. Información de protección de datos entregada a cada paciente.
2. Consentimiento específico para grabar sesiones.
3. Registro de actividades de tratamiento al día.
4. Contrato de encargo con cada proveedor que trate datos de pacientes.
5. Plazos de conservación definidos para la historia clínica, las grabaciones y las transcripciones.
6. Verificación en dos pasos y equipos cifrados.
7. Un procedimiento para atender derechos y para gestionar brechas.