Llevar una consulta privada como terapeuta significa, te guste o no, ser responsable del tratamiento de datos personales — y de los más sensibles que existen, datos de salud, categoría especial del artículo 9 del RGPD. Este artículo no sustituye al asesoramiento jurídico, pero sí cubre los puntos esenciales que necesitas tener resueltos para no exponerte a sanciones ni dejar al paciente desprotegido.
1. Eres responsable del tratamiento
Aunque trabajes como autónomo o en una sociedad pequeña, ante la AEPD (Agencia Española de Protección de Datos) eres responsable del tratamiento. Eso implica obligaciones concretas: tener un Registro de Actividades de Tratamiento, una política de privacidad accesible, contratos con los proveedores que procesan datos en tu nombre (DPAs) y medidas técnicas y organizativas adecuadas.
2. Base jurídica reforzada para datos de salud
El artículo 9.1 RGPD prohíbe por defecto el tratamiento de datos de salud. La excepción que aplica a tu consulta es el art. 9.2.h: necesario para la prestación de asistencia sanitaria. Junto con esto, normalmente vas a pedir consentimiento explícito y por escrito (art. 9.2.a) para tener doble cobertura. El consentimiento no es la única base, pero combinarlo con la asistencia sanitaria es la práctica más segura.
3. El historial clínico: conservación y acceso
En España, la Ley 41/2002 de autonomía del paciente establece que la historia clínica debe conservarse al menos 5 años desde la última asistencia. Algunas comunidades autónomas tienen plazos más largos, especialmente para menores. El paciente tiene derecho de acceso a su historia clínica en cualquier momento, y puede pedir copia. Negarse o entorpecer ese acceso es sancionable.
4. Consentimiento para grabar audio
Si grabas las sesiones para transcripción posterior — manual o con IA — necesitas consentimiento informado explícito y específico para grabar. No basta el consentimiento general del tratamiento. Explícale al paciente: qué se graba, cuánto tiempo se conserva el audio, qué proveedor de transcripción se usa, dónde se almacena, qué derechos tiene.
5. Encargados del tratamiento y DPAs
Cualquier proveedor que procese datos por ti — un sistema de gestión, un servicio de email, una plataforma de videollamada, un transcriptor — es un encargado del tratamiento. Debes firmar con cada uno un DPA (Data Processing Agreement) que defina: qué datos procesa, con qué finalidad, medidas de seguridad, ubicación, subencargados, y plazo de borrado al finalizar la relación.
- Plataforma de gestión clínica: DPA con el proveedor.
- Email transaccional (recordatorios, recibos): DPA con el proveedor de email.
- Servicio de transcripción IA: DPA y verificar dónde se procesa el audio.
- Hosting y bases de datos: DPA y verificar región (UE preferiblemente).
- Pasarela de pago: aunque no procese datos clínicos directos, sí procesa el identificador del paciente vinculado al pago.
6. Transferencias internacionales
Cuando un proveedor opera fuera del Espacio Económico Europeo (típicamente, Estados Unidos), debes asegurarte de que aplica garantías adecuadas: cláusulas contractuales tipo aprobadas por la Comisión Europea, evaluación de transferencia, y consentimiento informado del paciente cuando aplique. Para datos de salud, lo más seguro es priorizar proveedores con infraestructura en la UE.
7. Derechos del paciente: cómo facilitar el ejercicio
El paciente tiene derecho de acceso, rectificación, supresión, limitación, oposición y portabilidad. En la práctica, esto significa que tu plataforma de gestión debería permitirte exportar todos sus datos en un formato legible y borrar su cuenta cuando lo pida. Si lo haces a mano, está bien — pero documenta el proceso.
8. Brechas de seguridad: tienes 72 horas
Si sufres una brecha de seguridad — acceso no autorizado, pérdida de datos, exposición pública — tienes 72 horas para notificarlo a la AEPD y, en algunos casos, a los pacientes afectados. Tener un runbook básico de respuesta (qué pasos seguir, a quién llamar, qué comunicar) te ahorrará caer en el pánico cuando suceda.
Resumen práctico
Cumplir RGPD como terapeuta independiente no es un trámite, pero tampoco es ciencia espacial. Si tienes: política de privacidad publicada, consentimiento informado firmado por cada paciente, DPAs con tus proveedores, historiales conservados con seguridad, y un canal claro para ejercer derechos, estás en la posición correcta. El resto es ser ordenado y documentar lo que haces.