RGPD para psicólogos: qué datos clínicos proteger y cómo
Si eres psicólogo o psicoterapeuta en ejercicio, trabajas con algunos de los datos más sensibles que existen: el contenido de las sesiones de terapia de tus pacientes. El Reglamento General de Protección de Datos (RGPD), junto con la LOPDGDD (Ley Orgánica 3/2018), clasifica estos datos como categoría especial — lo que significa que tienen un nivel de protección más alto que los datos personales comunes.
¿Qué datos clínicos son "categoría especial"?
El RGPD considera datos especialmente protegidos:
- Datos de salud: diagnósticos, notas clínicas, transcripciones de sesiones
- Datos sobre la vida sexual u orientación sexual de los pacientes
- Datos biométricos si se usan para identificar a una persona
- Datos sobre creencias religiosas o filosóficas que emerjan en sesión
En la práctica, casi todo lo que se habla en una sesión de terapia puede contener datos de categoría especial.
Base jurídica: no es (solo) el consentimiento
Un punto que genera confusión: la base jurídica principal para tratar datos de salud en el ámbito sanitario no es el consentimiento del paciente, sino el artículo 9.2(h) del RGPD — el tratamiento necesario para fines de medicina preventiva, diagnóstico médico o gestión de sistemas sanitarios, siempre que lo realice un profesional sujeto a secreto profesional.
Esto es importante porque el consentimiento puede retirarse en cualquier momento, lo que crearía una situación absurda: el paciente podría exigirte que dejes de mantener su historia clínica, algo que contradice tus obligaciones legales.
Lo que sí necesitas es cumplir con el deber de información (artículos 13 y 14 del RGPD): informar claramente al paciente de qué datos recoges, para qué, dónde se almacenan y cuáles son sus derechos. Esto es diferente del consentimiento informado para el tratamiento terapéutico (regulado por la Ley 41/2002 de autonomía del paciente), que es un documento separado.
Las 5 obligaciones clave para tu consulta
1. Deber de información
Debes proporcionar al paciente un documento claro que explique:
- Qué datos recoges y con qué finalidad
- La base jurídica del tratamiento (Art. 9.2(h) RGPD)
- Dónde se almacenan los datos
- El plazo de conservación
- Los derechos del paciente (acceso, rectificación, supresión, portabilidad)
2. Registro de actividades de tratamiento
Debes mantener un registro interno que documente:
- Qué datos tratas y con qué finalidad
- La base jurídica
- Las medidas de seguridad que aplicas
- Los plazos de conservación
3. Medidas de seguridad técnicas
Los datos clínicos deben estar protegidos con:
- Cifrado en reposo y en tránsito
- Control de acceso — solo tú deberías poder acceder a los datos de tus pacientes
- Copias de seguridad regulares
- Almacenamiento en la UE — los datos no deben salir del Espacio Económico Europeo
4. Plazos de conservación
La Ley 41/2002 establece un plazo mínimo de conservación de la historia clínica de 5 años desde la última asistencia. Muchas comunidades autónomas amplían este plazo a 15 años. Consulta la normativa específica de tu comunidad. Una vez cumplido el plazo, los datos deben eliminarse de forma segura o anonimizarse.
5. Derechos del paciente y notificación de brechas
Tus pacientes tienen derecho a acceder a todos los datos que tengas sobre ellos, solicitar su rectificación y, con limitaciones, su supresión (el plazo de conservación legal prevalece).
Si sufres una brecha de seguridad que afecte a datos de pacientes, debes notificarlo a la AEPD en un plazo máximo de 72 horas, y a los pacientes afectados si el riesgo es alto.
Cómo simplificar el cumplimiento
La complejidad del RGPD y la LOPDGDD no debería recaer sobre ti. Herramientas diseñadas para el ámbito clínico pueden ayudarte:
- Cifrado automático de notas y transcripciones, en reposo y en tránsito
- Almacenamiento en servidores europeos por defecto
- Consentimientos digitales con registro de aceptación
- Control de acceso integrado — tus datos, solo tuyos
Lo importante es elegir herramientas que cumplan el RGPD por diseño, no que te obliguen a configurar la seguridad tú mismo.
Clara cifra todos los datos en reposo y en tránsito, almacena la información en servidores europeos, y nunca utiliza contenido clínico para entrenar modelos de IA. Prueba Clara gratis →