Protección de datos y RGPD para psicólogos: checklist práctico

Los registros de una consulta psicológica pueden contener datos de salud, vida sexual, orientación sexual, creencias y otra información especialmente sensible. El RGPD, la LOPDGDD y, cuando corresponda, la normativa sanitaria y autonómica forman parte del marco que debe valorar cada profesional.

Respuesta directa: la protección de datos para psicólogos exige identificar qué información se trata, con qué finalidad y base jurídica, quién puede acceder, cuánto tiempo se conserva y cómo se protege. Cuando interviene un proveedor, también hay que documentar su función, sus subencargados y las condiciones de acceso, exportación y eliminación.

Esta guía de RGPD para psicólogos ofrece una lista de comprobación para una consulta en España. No sustituye el asesoramiento jurídico ni determina qué norma sanitaria resulta aplicable a una actividad concreta.

Checklist de protección de datos para psicólogos

• Identifica cada tratamiento: historia clínica, agenda, facturación, formularios, videollamada, grabación, transcripción y generación de notas.
• Define para cada tratamiento la finalidad, la base del artículo 6 y, si hay datos de categoría especial, la condición aplicable del artículo 9.
• Informa a la persona de forma clara antes de recoger o utilizar sus datos.
• Recoge solo la información necesaria para la finalidad clínica y administrativa definida.
• Documenta qué proveedores acceden a datos y firma el acuerdo de encargo cuando actúen por tu cuenta.
• Comprueba ubicación, subencargados y mecanismos aplicables si existe una transferencia internacional.
• Establece plazos de conservación por categoría de información, no una regla única para todo.
• Protege accesos, dispositivos, copias, exportaciones y eliminación.
• Define cómo atender derechos y cómo actuar ante una brecha.
• Valora si el tratamiento entraña alto riesgo y requiere una evaluación de impacto.

Qué información necesita especial protección

Los datos relativos a la salud son una categoría especial. Una nota, una transcripción o un audio de sesión también puede revelar otros datos protegidos, incluso cuando el profesional no los haya solicitado de forma explícita.

La clasificación no depende del nombre del archivo. Una agenda aparentemente administrativa puede revelar que una persona recibe atención psicológica. Un correo de seguimiento puede incluir síntomas. Una factura puede vincular identidad y prestación sanitaria. Conviene evaluar el contenido y el contexto, no solo la herramienta donde aparece.

Responsable, encargado y proveedor

En una consulta privada, el profesional o la entidad suele decidir para qué y cómo se tratan los datos de la práctica, por lo que normalmente actúa como responsable. Un proveedor que procesa datos siguiendo esas instrucciones puede actuar como encargado.

El artículo 28 del RGPD exige que esa relación se documente. Antes de incorporar una herramienta, revisa:

1. Qué datos recibe y para qué finalidades.
2. Si puede utilizar los datos para fines propios.
3. Qué subencargados intervienen.
4. Dónde se procesan y almacenan los datos.
5. Cómo ayuda con derechos, incidentes, exportación y eliminación.
6. Qué ocurre con los datos cuando termina el servicio.

La AEPD explica el contenido mínimo de estos acuerdos.

Base jurídica: hay que analizar el tratamiento concreto

Tratar datos de categoría especial requiere una base del artículo 6 del RGPD y una excepción o condición del artículo 9. El artículo 9.2(h) puede ser relevante para asistencia sanitaria prestada por profesionales sujetos al secreto profesional, pero no debe presentarse como respuesta automática para cualquier psicólogo, servicio o finalidad.

El consentimiento explícito puede ser la condición adecuada en algunos tratamientos. En otros pueden intervenir obligaciones legales, la prestación sanitaria u otras bases previstas por la normativa. La grabación de una sesión, su transcripción y la creación de una historia clínica no son necesariamente la misma operación ni comparten automáticamente la misma base.

La decisión debe quedar documentada con el contexto profesional, la finalidad y la normativa aplicable. La guía de la AEPD para profesionales sanitarios desarrolla las funciones de responsables y encargados en este ámbito.

Qué explicar a la persona

La información de privacidad debería permitir entender, sin lenguaje defensivo:

• quién es el responsable;
• qué datos se recogen;
• para qué se utilizan;
• cuál es la base jurídica;
• quién puede recibirlos;
• si existen transferencias internacionales;
• cuánto tiempo se conservan o cómo se decide el plazo;
• qué derechos puede ejercer y ante quién;
• si una herramienta prepara transcripciones o borradores mediante IA;
• si existe grabación, qué ocurre con el audio y cuándo se elimina.

El consentimiento terapéutico, la información de privacidad y una autorización específica para grabar cumplen funciones distintas. No conviene esconderlas dentro de una única casilla genérica.

Usar IA para transcribir o preparar notas

Una herramienta de IA añade preguntas concretas al análisis del tratamiento:

• ¿El audio es necesario o puede utilizarse otra entrada?
• ¿La transcripción y el borrador se conservan por separado?
• ¿Los datos se utilizan para entrenar modelos?
• ¿Puede el profesional corregir el resultado antes de incorporarlo al registro?
• ¿Qué contexto de sesiones anteriores se utiliza?
• ¿Cómo se eliminan audio, transcripción, nota y copias de recuperación?
• ¿Puede exportarse el registro en un formato utilizable?

La exactitud también forma parte de la protección de datos. Una nota generada automáticamente debe tratarse como un borrador y revisarse antes de asumir que representa la sesión. Si el conjunto del tratamiento puede entrañar alto riesgo, debe evaluarse si procede una evaluación de impacto.

Ubicación y transferencias internacionales

No es correcto afirmar que los datos nunca pueden salir del Espacio Económico Europeo. El RGPD permite determinadas transferencias internacionales mediante decisiones de adecuación u otras garantías reconocidas, como cláusulas contractuales tipo, siempre que se cumplan las condiciones aplicables.

La pregunta práctica no es solo dónde está el servidor principal. También importa qué proveedores y subencargados pueden acceder, desde dónde lo hacen y bajo qué mecanismo. La Comisión Europea resume las reglas para transferencias internacionales.

Conservación y eliminación

No existe un único plazo de conservación para todos los documentos de una consulta. Cuando la Ley 41/2002 resulta aplicable, su artículo 17 establece un mínimo de cinco años desde el alta de cada proceso asistencial para la documentación clínica, sin perjuicio de otros fines y de normativa autonómica que pueda exigir plazos diferentes.

Agenda, facturación, consentimientos, audio temporal, transcripciones y notas pueden responder a obligaciones distintas. Define el plazo de cada categoría y qué ocurre al vencer: eliminación segura, anonimización cuando sea válida, bloqueo cuando proceda o conservación justificada.

El derecho de supresión tampoco implica borrar automáticamente toda la historia. Puede estar limitado por obligaciones de conservación u otros motivos previstos en el RGPD. La respuesta debe explicar qué puede borrarse, qué debe conservarse y por qué.

Seguridad y brechas

Las medidas deben responder al riesgo real. Entre las preguntas básicas están el cifrado en tránsito y en reposo, autenticación, control de acceso, bloqueo del dispositivo, copias de seguridad, registro de actividad y procedimiento de recuperación.

Ante una brecha, primero hay que contenerla, documentarla y valorar el riesgo. Cuando proceda notificar a la autoridad, el RGPD establece que debe hacerse sin dilación indebida y, si es posible, dentro de las 72 horas desde que el responsable tiene constancia. La comunicación a las personas afectadas depende, entre otros factores, del nivel de riesgo. La AEPD ofrece orientación y herramientas para evaluar brechas.

Cómo evaluar una herramienta antes de usar datos reales

Empieza con un caso ficticio y comprueba el flujo completo:

1. Crea el registro y revisa qué datos son obligatorios.
2. Genera una transcripción y un borrador de nota.
3. Corrige una atribución o interpretación incorrecta.
4. Exporta la información.
5. Elimina la sesión y confirma qué elementos permanecen.
6. Revisa el acuerdo de encargo, los subencargados y la política de retención.

La comparativa de herramientas de notas clínicas y la guía sobre seguridad de notas con IA pueden ayudarte a convertir estas preguntas en una prueba práctica.

Cómo aborda Clara estos puntos

Clara cifra los datos en tránsito y en reposo. Su infraestructura principal se aloja en la UE, y los proveedores contratados procesan la información necesaria para prestar el servicio. Los datos clínicos no se utilizan para entrenar modelos. El audio de sesión puede conservarse de forma segura en el servidor hasta 14 días después del procesamiento y después se elimina. Una copia local de recuperación de una grabación interrumpida puede permanecer en el dispositivo hasta 7 días, o eliminarse antes tras su recuperación o borrado manual.

Clara prepara un borrador editable. El profesional decide qué corregir y cuándo el registro representa su trabajo clínico. Puedes revisar el flujo en notas clínicas con IA o probar Clara gratis.