Protección de datos para psicólogos: guía práctica del RGPD

Si atiendes pacientes, tratas datos de salud. Y para el RGPD son una categoría especial: los que más protección necesitan. Cumplir no exige ser experto, pero sí tener claras unas pocas cosas y tenerlas por escrito.

Esta guía resume lo que se pide a una consulta o una clínica de psicología en España con el RGPD y la Ley Orgánica 3/2018.

Si no tienes nada, empieza por aquí

Si nunca te has puesto con la protección de datos, no hace falta resolverlo todo en un día. Este orden te deja cubierto lo esencial en pocas semanas:

1. Redacta la información para pacientes y empieza a entregarla.
2. Pide el contrato de encargo a cada proveedor que accede a datos de pacientes.
3. Haz tu registro de actividades de tratamiento.
4. Revisa los accesos: quién entra a qué, con qué contraseña y desde qué dispositivo.
5. Si diriges una clínica, designa a tu delegado de protección de datos.

Quién es responsable de los datos

Lo primero es saber quién responde de los datos de los pacientes:

• Si trabajas por tu cuenta, tú.
• En una clínica, normalmente la clínica: es quien decide cómo se recogen, se usan y se guardan.
• Los proveedores que acceden a esos datos (el programa de gestión, la asesoría, el servicio de email) son encargados del tratamiento. Con cada uno necesitas un contrato que diga qué pueden hacer con los datos y qué no.

Los documentos que necesitas

Para atender no necesitas consentimiento, pero sí informar

Es una de las confusiones más extendidas. El RGPD permite tratar datos de salud para prestar asistencia sanitaria, bajo secreto profesional, sin pedir un consentimiento aparte. Lo que sí es obligatorio es informar al paciente.

El consentimiento hace falta para los usos que no son la asistencia:

• Enviarle novedades o contenidos.
• Usar su caso en formación o investigación.
• Grabar sesiones.
• Compartir información con terceros, como el colegio o el médico.

Y no lo confundas con el consentimiento informado clínico, que es otra cosa: la conformidad del paciente con la intervención. Lo explicamos en consentimiento informado en psicología.

¿Necesitas un delegado de protección de datos?

Depende de cómo trabajes. El artículo 34 de la Ley Orgánica 3/2018 obliga a los centros sanitarios que guardan historias clínicas, pero exceptúa a los profesionales que trabajan a título individual:

• Si trabajas por tu cuenta, no estás obligado.
• Si diriges una clínica que guarda historias clínicas, sí. Puede ser alguien del equipo con formación o un servicio externo.

Una circular publicada en Infocop en 2026 lo recuerda, junto con las responsabilidades al usar plataformas digitales. Y aunque no estés obligado a tener delegado, el resto de obligaciones se mantiene.

Cuánto tiempo guardar la historia clínica

La Ley 41/2002 pide conservarla, como mínimo, cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas fijan plazos más largos, así que revisa la normativa de la tuya.

Tres cosas que conviene saber:

• Las notas de sesión forman parte de la historia clínica, con las mismas obligaciones.
• El paciente tiene derecho a acceder a su historia y a pedir copia. La ley permite reservar las anotaciones subjetivas del profesional.
• Pasado el plazo, destruye la información de forma segura, salvo que haya otro motivo para conservarla.

WhatsApp, email y teléfono

Son los canales que más usan los pacientes, y también los que más riesgos tienen:

• Usa un número profesional, mejor con WhatsApp Business, y no tu móvil personal.
• Reserva WhatsApp para gestiones: citas, cambios y recordatorios. Nada de contenido clínico.
• En los recordatorios, lo mínimo: día, hora y profesional.
• Si un paciente te cuenta algo clínico por el chat, llévalo a su historia y no lo dejes ahí.
• Informes y documentos, por un canal seguro. Nunca como adjunto sin protección.
• En el email, nada de diagnósticos en el asunto, y copia oculta si escribes a varias personas.

Cuando un paciente pide sus datos

Tus pacientes tienen derecho a acceder a sus datos, a pedir que se corrijan si son inexactos y, en algunos casos, a oponerse a ciertos usos. Si un paciente lo pide:

• Responde en un mes como máximo. Es el plazo general del RGPD.
• Comprueba su identidad antes de entregar nada.
• Entrega una copia clara, sin coste en la primera solicitud.
• Ten en cuenta los límites: la historia clínica debe conservarse el plazo legal aunque el paciente pida que se borre.

Tener preparado cómo responder evita improvisar con algo tan delicado.

Medidas de seguridad que no pueden faltar

• Contraseña única y verificación en dos pasos en cada herramienta.
• Cada persona con su propio acceso, y cada profesional viendo solo los pacientes que atiende.
• Ordenadores y móviles con bloqueo de pantalla y cifrado.
• Copias de seguridad.
• El papel, bajo llave.
• Cuando alguien deja el equipo, cierra sus accesos ese mismo día.
• Nada de historias clínicas en las notas del móvil, documentos personales en la nube o carpetas compartidas sin control.

Qué hacer si hay una brecha

Un portátil robado, un email enviado al paciente equivocado o una cuenta a la que entra alguien de fuera son brechas de seguridad. Si ocurre:

1. Contén el problema: cambia contraseñas, bloquea el dispositivo, pide que borren el email.
2. Anótalo en tu registro de brechas.
3. Si supone un riesgo para los pacientes, notifícalo a la Agencia Española de Protección de Datos en un máximo de 72 horas.
4. Si el riesgo es alto, avisa también a los pacientes afectados.

Revísalo con un especialista. Esta guía es informativa y no sustituye el asesoramiento de un delegado de protección de datos o de un abogado. Cada clínica tiene su forma de trabajar, y la documentación debe reflejarla.