Por qué el RGPD es más estricto en salud mental
Los datos de salud mental son "categoría especial" bajo RGPD. Esto significa:
- Protección más estricta que datos normales
- Sanciones más severas en caso de incumplimiento
- Mayor escrutinio en caso de inspección
No es alarmismo. Es contexto legal que debes conocer.
El checklist de 10 minutos
7 puntos a verificar
✓ 1. ¿Tienes consentimiento informado firmado de cada paciente?
- Debe ser por escrito (no vale verbal)
- Debe especificar: qué datos, para qué, quién accede, cuánto tiempo se guardan
- Debe estar accesible y asociado al expediente
✓ 2. ¿Sabes dónde están físicamente los datos?
- Si usas software: ¿Servidores en España/UE?
- Si usas papel: ¿Archivador con llave?
- Si usas "la nube": ¿Qué proveedor exactamente?
✓ 3. ¿Tienes contrato de encargo de tratamiento con tu software?
- Todo software en nube que guarde datos de pacientes necesita esto
- Debería estar disponible en su web o al solicitarlo
- Sin este documento, la relación no cumple RGPD
✓ 4. ¿Puedes responder si un paciente pregunta qué datos tienes?
- Es su derecho de acceso (art. 15 RGPD)
- Tienes 1 mes para responder
- Debes poder listar todos sus datos, dónde están, para qué
✓ 5. ¿Puedes borrar datos de un paciente si lo solicita?
- Derecho de supresión (con limitaciones por obligaciones legales sanitarias)
- Tu software debe permitirlo técnicamente
- Debe quedar registro de que se realizó
✓ 6. ¿Tienes política de privacidad visible y actualizada?
- En tu web si la tienes
- En consulta en formato físico
- Actualizada (no de 2018 cuando entró RGPD)
✓ 7. ¿Sabes qué hacer si hay brecha de seguridad?
- 72 horas para notificar a AEPD (si hay riesgo para derechos)
- Mejor tener protocolo antes de necesitarlo
Los 3 documentos que necesitas
Documento 1: Consentimiento informado
Debe incluir mínimo:
- Qué datos personales recoges
- Para qué los usas (atención psicológica, facturación)
- Quién tiene acceso (tú, tu software, tu gestoría)
- Dónde se almacenan
- Cuánto tiempo los guardas
- Cómo ejercer derechos (acceso, rectificación, supresión, etc.)
Documento 2: Contratos de encargo de tratamiento (DPA)
Necesitas DPA con cada proveedor que trate datos:
- Tu software de gestión
- Tu email profesional (si usas Gmail/Outlook corporativo)
- Tu almacenamiento en nube
- Tu gestoría (si accede a datos)
Cómo conseguirlo: La mayoría de proveedores profesionales lo tienen disponible en su web o lo envían al solicitarlo.
Si no lo tienen: Señal de alarma. Considera cambiar de proveedor.
Documento 3: Registro de actividades de tratamiento
Documento interno que describa:
- Qué datos tratas y con qué finalidad
- Base legal para cada tratamiento
- Quiénes son tus encargados de tratamiento
- Medidas de seguridad implementadas
- Plazos de conservación
¿Es obligatorio?: Para autónomos con menos de 250 trabajadores, solo si tratas datos sensibles de forma habitual (que es tu caso como psicólogo).
En la práctica: Sí, deberías tenerlo.
Errores comunes que veo
"Tengo el consentimiento, pero no sé dónde"
Si no puedes encontrar el consentimiento de un paciente en 2 minutos, tienes un problema de organización que puede convertirse en problema legal si hay inspección.
Solución: Digitaliza y asocia al expediente.
"Mi software está en EEUU pero es seguro"
Desde la sentencia Schrems II, transferir datos a EEUU es complejo. Puede ser legal con garantías adecuadas, pero es más simple usar proveedores con datos en UE.
"Uso WhatsApp/Gmail personal para comunicarme con pacientes"
Técnicamente problemático bajo RGPD:
- WhatsApp personal no tiene DPA como proveedor
- Gmail personal igual
- Los datos de salud no deberían ir por canales no profesionales
Solución: Teléfono profesional separado o sistema de mensajería profesional.
"No me he dado de alta en AEPD"
No existe "darse de alta en AEPD" como autónomo. Lo que existe es:
- Cumplir con RGPD en tu actividad
- Tener los documentos necesarios
- Notificar solo si hay brecha de seguridad
El mínimo viable para cumplir hoy
Si solo puedes hacer 3 cosas en las próximas 2 horas:
1. Verifica consentimientos: Todos los pacientes activos deben tener consentimiento firmado. Si falta alguno, consíguelo en la próxima sesión.
2. Confirma DPA de tu software: Busca en su web o escríbeles. Si no lo tienen o no responden claro, considera cambiar.
3. Localiza tus datos: Verifica que sabes exactamente dónde están los datos (servidor en qué país, proveedor con qué garantías).
El resto es importante, pero estos 3 son los críticos.
Recursos útiles
Según la Agencia Española de Protección de Datos (AEPD), los centros sanitarios y profesionales que tratan datos de salud están sujetos a obligaciones reforzadas bajo el RGPD, dado que los datos de salud mental se consideran categoría especial de datos personales.
- Guía AEPD para profesionales sanitarios: Disponible en la web oficial de la AEPD, incluye modelos y recomendaciones específicas para el sector sanitario
- Tu colegio profesional: Muchos tienen modelos de consentimiento adaptados
- Tu gestoría: Puede asesorarte en aspectos específicos de tu actividad
Con PsicoGest:
- Datos cifrados y alojados en la UE
- Encargo de tratamiento aceptado al darte de alta (y publicado en la web)
- Sistema diseñado cumpliendo RGPD desde el origen
Lo que NO necesitas hacer
❌ Contratar un DPO (Delegado de Protección de Datos) - Solo obligatorio para ciertos casos, no para consulta individual
❌ "Registrarte" en AEPD - No existe tal registro para autónomos
❌ Pagar por "sellos de cumplimiento RGPD" - No son obligatorios ni necesarios
❌ Hacer evaluaciones de impacto para cada paciente - Solo necesarias en casos muy específicos
Conclusión práctica
RGPD en psicología no es complicado si:
1. Usas herramientas profesionales (software con DPA, datos en UE)
2. Tienes los 3 documentos básicos
3. Sigues buenas prácticas (consentimientos, no WhatsApp personal, etc.)
No necesitas ser experto legal. Necesitas trabajar con proveedores que lo hagan bien y tener tu documentación en orden.
Si tienes dudas sobre un caso específico: consulta con tu colegio profesional o un asesor especializado en protección de datos sanitarios.