El RGPD para psicólogos no se limita a entregar una hoja de protección de datos para que el paciente la firme. Una consulta de Psicología debe distinguir entre el consentimiento para recibir una intervención sanitaria, la información sobre el tratamiento de datos, la historia clínica y las autorizaciones opcionales para usos que no son imprescindibles para la terapia.
La confusión más frecuente consiste en utilizar un único documento titulado consentimiento RGPD. En realidad, el consentimiento informado sanitario y la base jurídica para tratar datos personales son cuestiones diferentes. Para gestionar los datos necesarios para prestar asistencia psicológica no siempre hay que pedir consentimiento en materia de protección de datos, pero sí hay que informar al paciente de manera clara.
Además, el psicólogo debe documentar la actividad asistencial, conservar la historia clínica con medidas de seguridad, controlar quién accede a ella y formalizar contratos con las empresas que tratan datos por su cuenta, como determinados programas de gestión, servicios en la nube o proveedores tecnológicos.
Esta guía explica qué documentos conviene firmar, qué debe contener la historia clínica, cómo trabajar con menores y qué medidas necesita una consulta privada en España. La normativa autonómica puede añadir requisitos, por lo que los modelos deben adaptarse al tipo de centro, la comunidad autónoma y las actividades reales del profesional.
Qué normas debe conocer un psicólogo
Las obligaciones principales proceden de varias normas que actúan conjuntamente:
- Reglamento General de Protección de Datos de la Unión Europea.
- Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales.
- Ley 41/2002 de autonomía del paciente e historia clínica.
- Normativa sanitaria de cada comunidad autónoma.
- Código Deontológico de la Psicología.
- Normas sobre servicios digitales, consumidores y comunicaciones comerciales cuando resulten aplicables.
Los datos relativos a la salud son una categoría especialmente protegida. Una nota sobre síntomas, un diagnóstico, el resultado de una prueba, el motivo de consulta o el contenido de una sesión pueden revelar información sanitaria aunque no aparezcan dentro de un documento titulado historia clínica.
Consentimiento informado y consentimiento de datos no son lo mismo
Consentimiento informado sanitario
El consentimiento informado es la conformidad libre y voluntaria del paciente después de recibir información adecuada sobre la intervención que se propone.
La regla general de la Ley 41/2002 es que el consentimiento sanitario puede ser verbal. Debe prestarse por escrito en intervenciones quirúrgicas, procedimientos invasivos y actuaciones con riesgos o inconvenientes de notoria y previsible repercusión negativa para la salud.
En Psicología, la intervención ordinaria suele poder consentirse verbalmente. Sin embargo, dejar constancia escrita es una práctica recomendable porque ayuda a demostrar qué información recibió el paciente y cuáles eran las condiciones del servicio.
El documento puede explicar:
- Identidad y habilitación del profesional.
- Naturaleza y objetivos generales de la intervención.
- Método de trabajo y límites previsibles.
- Posibles beneficios, molestias y alternativas.
- Carácter voluntario de la participación.
- Posibilidad de retirar el consentimiento.
- Límites de la confidencialidad.
- Actuación ante riesgos graves o emergencias.
- Uso de pruebas, informes o coordinación con otros profesionales.
- Condiciones específicas de la terapia online.
El consentimiento no debe prometer resultados ni utilizar cláusulas mediante las que el paciente renuncie a derechos legales.
Información sobre protección de datos
La hoja de privacidad informa de cómo se tratarán los datos personales. Debe identificar al responsable, las finalidades, las bases jurídicas, los destinatarios, las transferencias internacionales cuando existan, los plazos de conservación, los derechos del paciente y la posibilidad de reclamar ante la Agencia Española de Protección de Datos.
Cuando los datos son necesarios para prestar asistencia sanitaria, el tratamiento puede apoyarse en la relación asistencial, el cumplimiento de obligaciones legales y la excepción prevista para la prestación de atención sanitaria por profesionales sujetos al secreto. Por tanto, no siempre es correcto pedir consentimiento RGPD para toda la historia clínica.
Aunque no sea necesario pedirlo, sí es obligatorio informar. Conviene obtener una firma o confirmación que acredite que la información de privacidad fue entregada, aclarando que la firma acredita la recepción y no transforma el consentimiento en la base jurídica de todos los tratamientos.
Consentimientos opcionales
Sí debe solicitarse una autorización separada cuando se pretende utilizar información para finalidades no necesarias para la terapia y que no tienen otra base legal suficiente.
Algunos ejemplos son:
- Enviar publicidad o boletines.
- Publicar testimonios.
- Utilizar fotografías, voz o vídeo.
- Grabar una sesión.
- Compartir información con una persona no implicada en la asistencia.
- Emplear un caso identificable en docencia o divulgación.
- Mantener datos para finalidades adicionales no compatibles con la atención.
Estas autorizaciones deben ser específicas. No conviene agrupar publicidad, grabaciones, cesiones y terapia en una única casilla obligatoria.
Qué documentos debe firmar un paciente
No existe un paquete universal idéntico para todas las consultas. En una práctica sanitaria habitual, la documentación puede organizarse de la siguiente manera.
1. Documento de información sobre protección de datos
Debe entregarse antes o en el momento de recoger los datos. Puede utilizarse un sistema por capas: una información breve en el formulario o la primera hoja y una política ampliada fácilmente accesible.
Tiene que incluir, al menos:
- Responsable del tratamiento y datos de contacto.
- Delegado de protección de datos, cuando exista.
- Finalidades del tratamiento.
- Bases jurídicas.
- Categorías de destinatarios.
- Transferencias internacionales y garantías aplicadas.
- Plazos o criterios de conservación.
- Derechos de acceso, rectificación, supresión, limitación y otros aplicables.
- Forma de ejercer esos derechos.
- Derecho a reclamar ante la AEPD.
- Procedencia de los datos si no los facilita directamente el paciente.
2. Consentimiento informado para la intervención
Aunque pueda ser verbal, disponer de un documento firmado mejora la trazabilidad. Debe ser comprensible, específico para el servicio y proporcional a sus riesgos.
Una primera sesión de terapia psicológica también debe utilizarse para resolver dudas y confirmar que el paciente comprende el encuadre, en lugar de limitarse a recoger firmas.
3. Condiciones de prestación del servicio
No es exactamente un documento de protección de datos, pero evita conflictos. Puede recoger:
- Honorarios y forma de pago.
- Duración aproximada de las sesiones.
- Política de cancelación.
- Retrasos y ausencias.
- Canales de contacto.
- Horarios de atención.
- Procedimiento ante urgencias.
- Elaboración y coste de informes.
- Finalización de la relación profesional.
- Normas específicas de terapia online.
Estas condiciones no pueden contener penalizaciones desproporcionadas ni eliminar derechos reconocidos a los consumidores.
4. Autorización para comunicarse con terceros
Cuando sea necesario coordinarse con médicos, centros educativos, familiares, abogados u otros profesionales, conviene recoger una autorización que indique:
- Con quién puede hablarse.
- Qué información puede comunicarse.
- Para qué finalidad.
- Durante cuánto tiempo.
- Cómo puede revocarse.
No debe utilizarse una autorización genérica para hablar con cualquier persona sobre cualquier aspecto del tratamiento.
5. Consentimiento para grabaciones
Grabar audio o vídeo requiere una justificación clara y una autorización específica, salvo supuestos legales excepcionales. El documento debe explicar la finalidad, quién accederá, cuánto tiempo se conservará, qué medidas de seguridad se aplicarán y cuándo se eliminará.
Que una sesión se celebre por videollamada no significa que pueda grabarse automáticamente.
6. Documento específico para menores
Debe identificar a quienes ejercen la patria potestad o representación legal, recoger la información relevante y permitir documentar la participación del menor según su edad y madurez.
La custodia y la patria potestad no son conceptos idénticos. En familias separadas conviene comprobar quién puede tomar decisiones sanitarias y solicitar la documentación necesaria cuando exista conflicto.
7. Consentimiento para telepsicología
Puede integrarse en el consentimiento general, pero debe incluir elementos específicos:
- Plataforma utilizada.
- Riesgos tecnológicos y límites de privacidad.
- Ubicación del paciente durante las sesiones.
- Teléfono y contacto de emergencia.
- Plan ante cortes de conexión.
- Limitaciones territoriales y profesionales.
- Prohibición o condiciones de las grabaciones.
- Recomendaciones para disponer de un espacio privado.
La guía sobre plataformas de terapia online puede ayudar a valorar herramientas, pero la elección también debe someterse a un análisis de protección de datos y seguridad.
Qué debe contener la historia clínica psicológica
La historia clínica psicológica es el conjunto ordenado de documentos e información asistencial sobre el proceso de una persona.
En una consulta puede incluir:
- Datos identificativos y de contacto necesarios.
- Fecha de apertura.
- Motivo de consulta.
- Antecedentes relevantes.
- Evaluación inicial.
- Pruebas aplicadas y resultados clínicamente pertinentes.
- Hipótesis, formulación o diagnóstico cuando proceda.
- Objetivos y plan de intervención.
- Evolución del proceso.
- Incidencias relevantes.
- Coordinaciones autorizadas.
- Informes emitidos.
- Consentimientos y revocaciones.
- Fecha y motivo de alta, interrupción o derivación.
No es necesario transcribir cada conversación. Debe registrarse información suficiente para facilitar una atención segura, continuada y comprensible, evitando acumular detalles que no cumplen una finalidad asistencial.
Cómo redactar las notas clínicas
Las notas deberían ser:
- Fechadas y vinculadas al profesional que las realiza.
- Claras y comprensibles.
- Basadas en información relevante.
- Diferenciadas entre hechos, manifestaciones del paciente e interpretación clínica.
- Respetuosas y no estigmatizantes.
- Proporcionales a la finalidad.
- Corregidas de forma trazable, sin borrar indebidamente el contenido original.
Conviene evitar insultos, juicios morales, comentarios irónicos y datos íntimos de terceras personas que no sean necesarios.
El cuestionario de la primera sesión puede facilitar la recogida inicial, pero no sustituye la valoración profesional ni justifica almacenar toda la información que sea posible obtener.
Cuánto tiempo debe conservarse la historia clínica
La Ley 41/2002 fija un mínimo estatal de cinco años desde el alta de cada proceso asistencial. Este plazo no significa que la documentación deba destruirse automáticamente al cumplirse el quinto año.
Puede ser necesario conservarla durante más tiempo por:
- Normativa autonómica.
- Continuidad asistencial.
- Obligaciones profesionales.
- Investigación de una reclamación.
- Defensa jurídica.
- Procedimientos judiciales.
- Necesidades epidemiológicas o de salud pública.
El profesional sanitario que ejerce de manera individual es responsable de la gestión y custodia de la documentación que genera.
La política de conservación debe definir plazos y criterios para cada categoría: historias clínicas, facturas, contactos que no llegaron a ser pacientes, solicitudes de informes, candidaturas laborales y comunicaciones comerciales.
Puede el paciente pedir que borres su historia
El derecho de supresión no funciona de forma absoluta en el ámbito sanitario. El paciente puede solicitarlo, pero el psicólogo puede conservar la información que resulte necesaria para cumplir obligaciones legales, prestar asistencia o formular y defender reclamaciones.
Esto no autoriza a guardar cualquier dato indefinidamente. Debe analizarse qué información sigue siendo necesaria, durante qué periodo y con qué nivel de acceso.
El paciente también puede ejercer el derecho de acceso y obtener copia de su historia, con límites relacionados con la confidencialidad de terceras personas y las anotaciones subjetivas protegidas por la legislación sanitaria.
La solicitud debe gestionarse mediante un procedimiento verificable, sin enviar automáticamente la historia a una dirección de correo que no haya sido confirmada.
RGPD y atención psicológica a menores
En materia sanitaria, los menores deben recibir información adaptada y participar en las decisiones según su capacidad.
La Ley 41/2002 establece que, cuando el menor no puede comprender intelectual y emocionalmente el alcance de la intervención, el consentimiento lo presta su representante legal después de escuchar su opinión. Como regla general, los menores emancipados y los mayores de 16 años capaces consienten por sí mismos, con particularidades en actuaciones de grave riesgo.
La edad de 14 años prevista en la LOPDGDD se refiere a tratamientos de datos basados específicamente en el consentimiento. No debe confundirse con la capacidad para consentir una intervención sanitaria, que se rige por la legislación sanitaria y las circunstancias del caso.
En terapia con menores conviene dejar por escrito:
- Quién solicita la intervención.
- Quién ejerce la patria potestad.
- Qué información recibirán los progenitores.
- Qué espacio de confidencialidad se reconoce al menor.
- Qué circunstancias obligarían a comunicar información.
- Cómo se gestionarán informes y coordinaciones.
- Qué ocurrirá si los representantes discrepan.
No debe prometerse secreto absoluto. Tampoco debería transmitirse automáticamente a la familia todo lo hablado, porque la intimidad del menor y la alianza terapéutica deben protegerse dentro de los límites legales.
Quién es responsable de los datos
El psicólogo autónomo que decide para qué y cómo trata la historia clínica suele actuar como responsable del tratamiento.
En una clínica, el responsable puede ser la sociedad, el centro, el profesional o varias partes conjuntamente, dependiendo de quién decide realmente las finalidades y los medios. El nombre utilizado en el contrato no resuelve por sí solo esta cuestión.
La responsabilidad debe aclararse cuando:
- Varios psicólogos comparten consulta.
- Un profesional atiende pacientes propios dentro de una clínica.
- La clínica asigna pacientes y conserva las historias.
- Existen franquicias o plataformas intermediarias.
- Se trabaja con aseguradoras o mutuas.
- Un colaborador abandona el centro.
El paciente debe saber quién custodia la historia y a quién dirigirse para ejercer sus derechos.
Contratos con programas, nube y proveedores
Una aplicación de agenda, almacenamiento, videollamada o gestión puede actuar como encargada del tratamiento cuando accede a datos por cuenta del psicólogo.
La relación debe formalizarse mediante un contrato o cláusula de encargo que regule, entre otros aspectos:
- Objeto, duración y finalidad.
- Tipo de datos y personas afectadas.
- Instrucciones documentadas.
- Confidencialidad.
- Medidas de seguridad.
- Subencargados.
- Ayuda en el ejercicio de derechos.
- Gestión de brechas.
- Eliminación o devolución de datos.
- Auditorías y evidencia de cumplimiento.
- Transferencias internacionales.
No basta con que el proveedor afirme que cumple el RGPD. El psicólogo debe revisar sus condiciones, la ubicación de los datos, los subprocesadores y los mecanismos de transferencia.
También pueden necesitar contrato de encargo la gestoría, el soporte informático, el alojamiento web o la empresa que destruye documentación, según el acceso real que tengan.
Obligaciones internas de la consulta
Cumplir el RGPD exige una responsabilidad proactiva demostrable. Entre las medidas habituales se encuentran:
- Registro de actividades de tratamiento.
- Análisis de riesgos.
- Política de conservación.
- Procedimiento para ejercer derechos.
- Contratos con encargados.
- Compromisos de confidencialidad.
- Control de accesos.
- Protocolo de brechas.
- Copias de seguridad.
- Formación del equipo.
- Revisión periódica de proveedores.
- Información de privacidad en la web y los formularios.
Una consulta individual no queda exenta de estas obligaciones por tener pocos pacientes.
Delegado de protección de datos
Los centros sanitarios privados obligados a mantener historias clínicas deben designar un delegado de protección de datos. La LOPDGDD exceptúa a los profesionales sanitarios que ejercen a título individual.
Por tanto, una consulta individual normalmente no necesita un DPD obligatorio, mientras una clínica constituida como centro sanitario sí debe revisar esta obligación.
Evaluación de impacto
No todos los psicólogos necesitan una evaluación de impacto formal. Puede resultar obligatoria cuando el tratamiento entraña un alto riesgo, por ejemplo por gran escala, vigilancia sistemática, tecnologías especialmente intrusivas, elaboración intensa de perfiles o combinación de varios factores de riesgo.
En cualquier caso, siempre debe realizarse un análisis de riesgos.
Medidas de seguridad recomendables
El RGPD no establece una lista idéntica para todas las consultas. Las medidas deben ajustarse al riesgo, y los datos de salud requieren una protección especialmente cuidadosa.
Entre las medidas habituales se encuentran:
- Contraseñas únicas y robustas.
- Autenticación de dos factores.
- Cifrado de ordenadores y copias.
- Bloqueo automático de pantalla.
- Actualizaciones de seguridad.
- Copias de respaldo comprobadas.
- Perfiles de acceso por funciones.
- Registro de accesos cuando proceda.
- Armarios cerrados para documentos en papel.
- Destrucción segura.
- Separación entre cuentas personales y profesionales.
- Evitar historias clínicas en dispositivos compartidos.
- No enviar datos sensibles mediante canales inseguros.
- Plan ante pérdida, robo o avería.
El personal administrativo solo debe acceder a los datos necesarios para sus funciones, como agenda o facturación, y no al contenido clínico completo.
La facturación debe aplicar minimización. La guía de contabilidad para psicólogos ayuda a separar documentación fiscal e información asistencial.
WhatsApp, correo y mensajes con pacientes
Estas herramientas no están prohibidas por su nombre, pero deben evaluarse según el uso, la configuración y el riesgo.
Conviene:
- Utilizar cuentas y dispositivos profesionales.
- Evitar incluir diagnósticos o detalles clínicos innecesarios.
- Confirmar la identidad antes de enviar documentos.
- Informar de los canales disponibles.
- Desactivar vistas previas sensibles.
- Establecer límites sobre horarios y emergencias.
- Documentar en la historia la información asistencial relevante.
- No añadir pacientes a grupos sin autorización.
- Revisar copias automáticas y sincronizaciones.
El consentimiento del paciente no convierte en segura una herramienta inadecuada ni elimina la responsabilidad del profesional.
Qué hacer ante una brecha de datos
Una brecha puede consistir en la pérdida de un portátil, un envío al destinatario equivocado, un acceso interno no autorizado, el robo de expedientes o un ataque informático.
La consulta debe:
- Contener el incidente.
- Determinar qué datos y personas están afectados.
- Valorar el riesgo.
- Documentar lo ocurrido y las decisiones.
- Notificar a la AEPD cuando proceda.
- Informar a las personas afectadas si existe un alto riesgo.
- Corregir la causa.
Cuando la notificación a la autoridad sea necesaria, el plazo general es de hasta 72 horas desde que el responsable tiene constancia de la brecha. No todas las brechas deben notificarse, pero todas deben analizarse y documentarse.
Errores frecuentes de protección de datos
Hacer firmar una autorización genérica para todo
El tratamiento asistencial, el marketing, las grabaciones y las cesiones no deberían mezclarse en una aceptación obligatoria.
Guardar más información de la necesaria
Anotar todos los detalles personales no mejora automáticamente la historia clínica y aumenta el riesgo si existe un acceso indebido.
Utilizar una cuenta compartida
Cada integrante del equipo debe tener credenciales propias y permisos adaptados a sus funciones.
Prometer confidencialidad absoluta
Existen límites legales y deontológicos relacionados con riesgos graves, mandatos judiciales y protección de terceros. Deben explicarse sin formular amenazas vagas.
Copiar modelos sin adaptarlos
Una plantilla puede mencionar una empresa, un proveedor, una finalidad o un plazo que no coinciden con la consulta real.
Confundir borrar con ocultar
Mover un documento a la papelera o eliminarlo de la agenda no garantiza su supresión de copias, sincronizaciones y respaldos.
Entregar la historia sin verificar la identidad
Antes de responder a una solicitud de acceso debe comprobarse quién la realiza y qué partes pueden afectar a terceros.
Lista práctica de documentos para una consulta
Un psicólogo autónomo debería poder localizar, como mínimo:
- Información de privacidad para pacientes.
- Consentimiento informado asistencial.
- Condiciones del servicio.
- Documento para menores cuando proceda.
- Autorizaciones separadas para terceros, grabaciones o marketing.
- Modelo y procedimiento de historia clínica.
- Registro de actividades de tratamiento.
- Análisis de riesgos.
- Contratos de encargado con proveedores.
- Compromisos de confidencialidad del personal.
- Procedimiento de ejercicio de derechos.
- Política de conservación y destrucción.
- Protocolo de brechas.
- Política de privacidad y formularios de la web.
- Evidencias de formación, revisiones y medidas de seguridad.
También conviene revisar el seguro de responsabilidad civil para psicólogos, ya que una reclamación puede combinar cuestiones clínicas, documentales y de privacidad.
Preguntas frecuentes
¿El paciente debe firmar un consentimiento RGPD para empezar terapia?
No necesariamente. Cuando los datos se tratan para prestar asistencia sanitaria, pueden existir bases jurídicas distintas del consentimiento. El psicólogo sí debe informar sobre el tratamiento de datos y poder acreditar que entregó esa información.
¿El consentimiento informado psicológico debe ser escrito?
La regla general sanitaria permite el consentimiento verbal, salvo actuaciones invasivas o con riesgos relevantes. En Psicología es recomendable documentarlo por escrito para acreditar la información y el encuadre ofrecidos.
¿Cuánto tiempo hay que guardar la historia clínica psicológica?
La normativa estatal fija un mínimo de cinco años desde el alta de cada proceso asistencial. La legislación autonómica, la continuidad asistencial o la defensa de reclamaciones pueden exigir conservarla durante más tiempo.
¿Puede un paciente exigir que se borre toda su historia?
Puede solicitar la supresión, pero el derecho no es absoluto. El psicólogo puede mantener los datos necesarios para cumplir obligaciones sanitarias y legales, prestar asistencia o defenderse ante reclamaciones.
¿Una consulta individual necesita delegado de protección de datos?
Normalmente no. La LOPDGDD exceptúa a los profesionales de la salud que ejercen a título individual, aunque las clínicas y centros sanitarios privados sí deben revisar la obligación de designarlo.
¿Puedo utilizar WhatsApp para hablar con pacientes?
Puede utilizarse con cautela, después de evaluar los riesgos y configurar medidas adecuadas. Deben evitarse datos clínicos innecesarios, proteger el dispositivo, separar la cuenta profesional y documentar en la historia la información asistencial relevante.
Conclusión
El RGPD para psicólogos exige mucho más que recoger una firma. El profesional debe distinguir entre el consentimiento informado para la intervención, la información de privacidad y las autorizaciones opcionales para finalidades adicionales.
La historia clínica debe ser suficiente, ordenada y segura, pero no convertirse en una acumulación indiscriminada de información íntima. El paciente tiene derechos sobre sus datos y su documentación, mientras el psicólogo mantiene obligaciones de conservación, custodia y confidencialidad.
Una consulta correctamente organizada dispone de documentos adaptados, contratos con proveedores, controles de acceso, plazos de conservación y un protocolo para incidentes. Las plantillas pueden servir como punto de partida, pero deben reflejar la actividad real y revisarse junto con la normativa sanitaria de la comunidad autónoma.
Referencias
- Unión Europea. Reglamento (UE) 2016/679, Reglamento General de Protección de Datos. [https://eur-lex.europa.eu/legal-content/ES/TXT/HTML/?uri=CELEX:32016R0679 -) Boletín Oficial del Estado. Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales. [https://www.boe.es/buscar/act.php?id=BOE-A-2018-16673 -) Agencia Española de Protección de Datos. Guía para profesionales del sector sanitario. [https://www.aepd.es/guias/guia-profesionales-sector-sanitario.pdf
