Per l'equip de Clara
RGPD per a psicòlegs: checklist pràctic per a dades clíniques
Els registres d'una consulta psicològica poden contenir dades de salut, vida sexual, orientació sexual, creences i altra informació especialment sensible. L'RGPD, la LOPDGDD i, quan correspongui, la normativa sanitària i autonòmica formen part del marc que ha de valorar cada professional.
Aquesta guia ofereix una llista de comprovació per a una consulta a Espanya. No substitueix l'assessorament jurídic ni determina quina normativa sanitària és aplicable a un servei concret.
Checklist ràpid per a una consulta psicològica
- Identifica cada tractament: història clínica, agenda, facturació, formularis, videotrucada, gravació, transcripció i generació de notes.
- Defineix per a cada tractament la finalitat, la base de l'article 6 i, si hi ha dades de categoria especial, la condició aplicable de l'article 9.
- Informa la persona de manera clara abans de recollir o utilitzar les seves dades.
- Recull només la informació necessària per a la finalitat definida.
- Documenta quins proveïdors accedeixen a dades i formalitza l'acord d'encàrrec quan actuïn per compte teu.
- Comprova ubicacions, subencarregats i mecanismes aplicables si hi ha una transferència internacional.
- Estableix terminis de conservació per categoria d'informació.
- Protegeix accessos, dispositius, còpies, exportacions i eliminació.
- Defineix com atendràs els drets i com actuaràs davant d'una bretxa.
- Valora si el tractament implica un risc alt i requereix una avaluació d'impacte.
Quina informació necessita una protecció especial
Les dades relatives a la salut són dades de categoria especial. Una nota, una transcripció o un àudio també pot revelar altres dades protegides, encara que el professional no les hagi demanat explícitament.
La classificació depèn del contingut i del context, no del nom de l'arxiu. Una agenda pot revelar que algú rep atenció psicològica. Un correu de seguiment pot incloure símptomes. Una factura pot relacionar identitat i prestació sanitària.
Responsable, encarregat i proveïdor
En una consulta privada, el professional o l'entitat acostuma a decidir per què i com es tracten les dades i, per tant, normalment actua com a responsable. Un proveïdor que processa dades seguint aquestes instruccions pot actuar com a encarregat.
L'article 28 exigeix documentar aquesta relació. Abans d'incorporar un servei, comprova:
- Quines dades rep i amb quines finalitats.
- Si utilitza dades per a finalitats pròpies.
- Quins subencarregats hi intervenen.
- On es processen i s'emmagatzemen les dades.
- Com ajuda amb drets, incidents, exportació i eliminació.
- Què passa quan acaba el servei.
L'AEPD explica el contingut mínim dels acords d'encàrrec.
La base jurídica depèn del tractament concret
Tractar dades de categoria especial requereix una base de l'article 6 i una condició aplicable de l'article 9. L'article 9.2(h) pot ser rellevant per a assistència sanitària prestada per professionals subjectes al secret professional, però no és una resposta automàtica per a qualsevol psicòleg, servei o finalitat.
El consentiment explícit pot ser adequat per a alguns tractaments. En altres casos poden intervenir la prestació sanitària, obligacions legals o una altra base reconeguda. Gravar una sessió, transcriure-la i mantenir la història clínica no són necessàriament la mateixa operació ni comparteixen automàticament una base.
La decisió s'ha de documentar segons el context professional, la finalitat i la normativa aplicable. La guia de l'AEPD per a professionals sanitaris desenvolupa aquestes responsabilitats.
Què cal explicar a la persona
La informació de privacitat hauria de permetre entendre:
- qui és el responsable;
- quines dades es recullen i per què;
- quina és la base jurídica;
- qui pot rebre la informació;
- si hi ha transferències internacionals;
- quant de temps es conserva o com es decideix el termini;
- quins drets es poden exercir i com;
- si s'utilitza IA per preparar transcripcions o esborranys;
- si hi ha gravació, què passa amb l'àudio i quan s'elimina.
El consentiment terapèutic, la informació de privacitat i qualsevol autorització específica necessària per gravar tenen funcions diferents. No convé amagar-les dins d'una única casella genèrica.
Utilitzar IA per transcriure o preparar notes
Una eina d'IA afegeix preguntes concretes:
- L'àudio és necessari o es podria utilitzar una altra entrada?
- La transcripció i l'esborrany es conserven per separat?
- Les dades clíniques s'utilitzen per entrenar models?
- El professional pot corregir el resultat abans d'incorporar-lo al registre?
- Quin context de sessions anteriors s'utilitza?
- Com s'eliminen l'àudio, la transcripció, la nota i les còpies de recuperació?
- El registre es pot exportar en un format utilitzable?
L'exactitud també és un principi de protecció de dades. Una nota generada automàticament ha de continuar sent un esborrany fins que s'hagi revisat. Si el tractament pot implicar un risc alt, cal valorar si correspon una avaluació d'impacte.
Ubicació i transferències internacionals
No és correcte afirmar que les dades mai poden sortir de l'Espai Econòmic Europeu. L'RGPD permet determinades transferències mitjançant decisions d'adequació o garanties reconegudes, com les clàusules contractuals tipus, si es compleixen les condicions aplicables.
La pregunta pràctica no és només on es troba el servidor principal. També importa quins proveïdors i subencarregats poden accedir a les dades, des d'on i amb quin mecanisme. La Comissió Europea resumeix les regles de transferència.
Conservació i eliminació
No hi ha un únic termini per a tots els documents. Quan la Llei 41/2002 és aplicable, l'article 17 estableix un mínim de cinc anys des de l'alta de cada procés assistencial per a la documentació clínica, sense excloure altres finalitats ni normativa autonòmica amb terminis diferents.
Agenda, facturació, consentiments, àudio temporal, transcripcions i notes poden respondre a obligacions diferents. Defineix el termini de cada categoria i què passa quan venç: eliminació segura, anonimització vàlida, bloqueig quan correspongui o conservació justificada.
El dret de supressió tampoc obliga a eliminar automàticament tota la història. Pot quedar limitat per obligacions de conservació o altres motius previstos a l'RGPD.
Seguretat i bretxes
Les mesures han de respondre al risc real. Les preguntes bàsiques inclouen xifrat en trànsit i en repòs, autenticació, control d'accés, protecció del dispositiu, còpies de seguretat, registre d'activitat i recuperació.
Davant d'una bretxa, primer cal contenir-la, documentar-la i valorar el risc. Quan correspon notificar l'autoritat, l'RGPD estableix que s'ha de fer sense dilació indeguda i, si és possible, dins de les 72 hores des que el responsable en té constància. L'AEPD ofereix orientació per valorar les bretxes.
Prova una eina abans d'utilitzar dades reals
Comença amb un cas fictici i completa tot el flux:
- Crea el registre i revisa quines dades són obligatòries.
- Genera una transcripció i un esborrany de nota.
- Corregeix una atribució o interpretació incorrecta.
- Exporta la informació.
- Elimina la sessió i confirma què es conserva.
- Revisa l'acord d'encàrrec, els subencarregats i la política de retenció.
La comparativa d'eines de notes clíniques i la guia sobre seguretat de notes amb IA poden ajudar-te a preparar aquesta prova.
Com aborda Clara aquestes preguntes
Clara xifra les dades en trànsit i en repòs. La infraestructura principal s'allotja a la UE, i els proveïdors contractats processen la informació necessària per prestar el servei. Les dades clíniques no s'utilitzen per entrenar models. L'àudio de sessió es pot conservar de manera segura al servidor fins a 14 dies després del processament i després s'elimina. Una còpia local de recuperació d'una gravació interrompuda pot romandre al dispositiu fins a 7 dies, o eliminar-se abans després de recuperar-la o esborrar-la manualment.
Clara prepara un esborrany editable. El professional decideix què cal corregir i quan el registre representa la seva feina clínica. Consulta les notes clíniques amb IA o prova Clara gratis.