TL;DR — Lo esencial en 60 segundos
Si llevas consulta privada como psicólogo o terapeuta, eres responsable del tratamiento de datos de salud, la categoría más protegida del RGPD. Las implicaciones prácticas son:
- Necesitas un Registro de Actividades de Tratamiento (RAT).
- El consentimiento para grabar debe ser explícito, informado y específico — no vale el consentimiento genérico del tratamiento.
- Cada proveedor de software que toca datos de tus pacientes necesita un DPA firmado.
- La historia clínica se conserva mínimo 5 años desde la última asistencia.
- Si hay una brecha de datos, tienes 72 horas para notificar a la AEPD.
Esta guía desarrolla cada punto con el fundamento legal correspondiente y las medidas prácticas que debes tener implementadas.
1. Eres responsable del tratamiento
El RGPD define al responsable del tratamiento como la persona u organización que determina los fines y medios del tratamiento de datos. En consulta privada, eso eres tú.
Ser responsable del tratamiento implica:
- Mantener un Registro de Actividades de Tratamiento (RAT) actualizado.
- Contar con base jurídica para cada actividad de tratamiento.
- Implementar medidas técnicas y organizativas adecuadas al riesgo.
- Firmar DPAs con todos los encargados del tratamiento.
- Facilitar el ejercicio de derechos de los pacientes.
- Notificar brechas de seguridad a la AEPD en 72 horas.
Si trabajas en una sociedad con varios profesionales, la sociedad es la responsable del tratamiento y cada profesional actúa bajo su responsabilidad.
2. La base jurídica para tratar datos de salud
El art. 9.1 RGPD prohíbe el tratamiento de datos de salud salvo excepciones tasadas. Las dos que aplican a la consulta psicológica son:
Art. 9.2.h — Asistencia sanitaria: el tratamiento es necesario para la prestación de asistencia sanitaria o el tratamiento médico. Esta es la base jurídica principal para los datos clínicos.
Art. 9.2.a — Consentimiento explícito: el interesado ha dado consentimiento explícito para el tratamiento de esos datos para fines específicos. Funciona como base complementaria para usos no estrictamente necesarios (como grabación de sesiones o envío de recordatorios).
La práctica más segura es combinar ambas: la atención clínica se basa en el art. 9.2.h, y el consentimiento explícito se obtiene para actividades adicionales (grabar, transcribir, usar sistemas de IA).
3. El Registro de Actividades de Tratamiento (RAT)
El RAT es el inventario interno de todos los tratamientos de datos que realizas. Aunque la obligación formal del RAT se aplica a organizaciones de más de 250 empleados, el tratamiento de datos de categoría especial obliga a mantenerlo independientemente del tamaño.
Cada actividad en el RAT debe incluir:
| Campo | Ejemplo |
|---|---|
| Nombre de la actividad | Historia clínica de pacientes |
| Finalidad | Prestación de asistencia psicológica |
| Categorías de datos | Datos de salud, datos identificativos |
| Categorías de interesados | Pacientes adultos |
| Destinatarios | Sin cesión a terceros |
| Plazo de conservación | 5 años desde última asistencia |
| Medidas de seguridad | Cifrado, acceso restringido, DPA con proveedores |
4. Consentimiento informado para grabar sesiones
Si grabas las sesiones para transcripción (manual o automática), necesitas consentimiento explícito, informado y específico. El consentimiento genérico del tratamiento psicológico no es suficiente.
El consentimiento para grabar debe incluir:
- Qué se graba: el audio de la sesión.
- Para qué: transcripción y generación de nota clínica.
- Quién procesa el audio: nombre del proveedor de transcripción.
- Cuánto tiempo se conserva el audio: especifica el plazo real o el criterio de borrado que apliques.
- Dónde se almacena: país o región, incluyendo transferencias internacionales si intervienen proveedores fuera del EEE.
- Qué derechos tiene: acceso, rectificación, supresión, portabilidad.
- Cómo puede retirar el consentimiento: procedimiento claro.
5. Encargados del tratamiento y DPAs
Cualquier proveedor que procese datos de tus pacientes por tu cuenta es un encargado del tratamiento. Debes firmar un DPA (Data Processing Agreement) con cada uno de ellos.
| Proveedor | Por qué necesita DPA |
|---|---|
| Software de gestión clínica | Almacena y procesa datos de salud |
| Servicio de transcripción | Procesa el audio de las sesiones |
| Plataforma de videollamada | Transmite conversaciones clínicas |
| Correo de avisos | Envía recordatorios con datos del paciente |
| Cobro de la consulta | Trata datos de identidad vinculados al pago |
| Quien guarda los datos | Almacena la información de la consulta |
El DPA debe definir: qué datos procesa el encargado, con qué finalidad, qué medidas de seguridad aplica, en qué región, qué subencargados usa y cómo borra los datos al finalizar la relación.
6. Conservación de la historia clínica
La Ley 41/2002 de autonomía del paciente establece un plazo mínimo de conservación de la historia clínica de 5 años desde la última asistencia.
Matizaciones importantes:
- Algunas comunidades autónomas tienen plazos más largos (hasta 10 o 15 años en algunos casos).
- Para menores, el plazo no empieza hasta la mayoría de edad. En la práctica, el historial de un paciente menor puede necesitar conservarse hasta que cumpla 18 años más 5 años adicionales.
- La historia clínica de salud mental puede tener regulación específica en algunos contextos. Consulta con un asesor legal de tu comunidad.
El paciente puede pedir copia de su historia clínica en cualquier momento. No puedes negarte ni demorar la entrega sin justificación legal.
7. Derechos del paciente y cómo gestionarlos
| Derecho | Plazo de respuesta | Qué implica en la práctica |
|---|---|---|
| Acceso (art. 15) | 1 mes (ampliable a 3) | Proporcionar copia de todos sus datos |
| Rectificación (art. 16) | 1 mes | Corregir datos inexactos o incompletos |
| Supresión (art. 17) | 1 mes | Borrar datos cuando no hay base jurídica para conservarlos |
| Portabilidad (art. 20) | 1 mes | Entregar los datos en formato estructurado y legible por máquina |
| Limitación (art. 18) | Inmediato | Suspender el tratamiento mientras se resuelve una controversia |
| Oposición (art. 21) | Inmediato | Dejar de tratar datos para una finalidad específica |
8. Brechas de seguridad: el plazo de 72 horas
Si sufres una brecha de seguridad —acceso no autorizado a datos de pacientes, pérdida de dispositivo con datos, ransomware, etc.— tienes 72 horas para notificarlo a la AEPD. Si el riesgo para los afectados es alto, también debes notificarlo a los propios pacientes.
La notificación a la AEPD debe incluir:
- Naturaleza de la brecha.
- Categorías y número aproximado de afectados.
- Datos de contacto del responsable.
- Consecuencias probables.
- Medidas adoptadas o propuestas.
Qué tener preparado antes de que ocurra:
- Identificar quién gestiona la respuesta a incidentes.
- Tener el canal de notificación a la AEPD localizado (sede electrónica).
- Tener un modelo de comunicación a pacientes preparado.
- Saber cómo revocar accesos en cada sistema.
9. Transferencias internacionales
Cuando un proveedor tiene servidores fuera del Espacio Económico Europeo (EEE), estás realizando una transferencia internacional de datos. Para datos de salud, esto requiere:
- Garantías adecuadas: Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea, o mecanismos equivalentes.
- Evaluación de transferencia: verificar que las garantías son efectivas en el país destino.
- Transparencia: informar al paciente en la política de privacidad.
La forma más sencilla de evitar complejidades es priorizar proveedores con la base principal en la Unión Europea. En Clinessa los datos de la consulta se guardan en la UE. Si algún tratamiento tuviera que salir del Espacio Económico Europeo, tiene que ir cubierto por contrato.
10. Lista de verificación de cumplimiento básico
Usa esta lista para comprobar tu situación actual:
- RAT actualizado con todas las actividades de tratamiento
- Política de privacidad publicada y accesible en tu consulta o web
- Consentimiento informado firmado por cada paciente (incluyendo uso de software)
- Consentimiento específico para grabación de sesiones (si aplica)
- DPA firmado con tu software de gestión clínica
- DPA firmado con tu proveedor de email
- DPA firmado con tu plataforma de videollamada (si aplica)
- Historia clínica almacenada con medidas de seguridad adecuadas
- Proceso definido para el ejercicio de derechos de los pacientes
- Plan de respuesta a brechas de seguridad documentado