RGPD para Psicólogos: cumplimiento completo sin agobios
Entiende qué exige el RGPD en una consulta de psicología, qué riesgos evitas y qué pasos debes dar. La guía está pensada para ir paso a paso, no para leerlo todo de golpe.
Antes de entrar al detalle: visión general
Si solo tienes 5 minutos, quédate con estas tres ideas. Luego podrás profundizar sección por sección.
Qué exige el RGPD en psicología
Documentación mínima, base legal para tratar datos de salud y medidas de seguridad técnicas y organizativas.
Ver explicación básicaRiesgos si no cumples
Multas económicas, reclamaciones ante la AEPD y, sobre todo, pérdida de confianza de tus pacientes.
Ver errores frecuentesCómo te ayuda PsicoGest
Cifrado, datos en la UE, encargo de tratamiento y consentimientos con firma ya integrados, para que no lo montes desde cero.
Ver funcionalidades RGPDElige por dónde quieres empezar
No hace falta leer la guía de arriba a abajo. Ve directo a lo que necesitas ahora.
¿Qué es el RGPD y cómo afecta a los psicólogos?
El Reglamento General de Protección de Datos (RGPD) es la normativa europea que regula el tratamiento de datos personales. En España se complementa con la LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales).
En una consulta de psicología no solo tratas datos personales, sino datos de salud especialmente protegidos. Por eso el nivel de exigencia y de seguridad es mayor que en otros negocios.
¿Por qué es tan importante para psicólogos?
- Tratas datos de salud y notas clínicas altamente sensibles.
- Las multas pueden ser elevadas y las reclamaciones dañan tu reputación.
- Un buen cumplimiento refuerza la confianza y la percepción de profesionalidad.
Tipos de datos que manejas en consulta
- Datos de salud: diagnósticos, tratamientos, notas de sesión, informes.
- Datos identificativos: nombre, DNI, contacto, edad, etc.
- Datos económicos: facturación, pagos, seguros, mutuas.
Quién hace qué
Un buen programa te quita la parte técnica, pero la responsabilidad del tratamiento sigue siendo tuya. Este es el reparto real.
Ya lo hace PsicoGest
- Cifra los datos personales de tus pacientes.
- Aloja la base de datos en la UE (Fráncfort). La transcripción y la IA funcionan en servidores propios en Alemania y el audio se borra al terminar.
- Incluye el contrato de encargo de tratamiento, que aceptas al darte de alta, y publica su lista de subencargados.
- Gestiona los consentimientos informados con firma y los guarda en la ficha de cada paciente.
- En centros, cada profesional ve solo sus pacientes y recepción no ve las notas clínicas.
- Registra quién creó, cambió o borró cada cita, ficha o factura.
- Te deja exportar todos tus datos a Excel cuando quieras, también si te vas.
Puedes leer el encargo de tratamiento y la lista de subencargados.
Te toca a ti
- Informar a tus pacientes de cómo tratas sus datos (cláusula informativa y política de privacidad).
- Llevar tu registro de actividades de tratamiento.
- Responder a las solicitudes de derechos en el plazo de un mes.
- Firmar el encargo con el resto de proveedores que traten datos: gestoría, correo o almacenamiento en la nube.
- Proteger tus dispositivos: contraseñas, bloqueo de pantalla y cuentas sin compartir.
- Notificar a la AEPD una brecha de seguridad en 72 horas si supone un riesgo.
- Conservar la historia clínica el plazo legal: al menos 5 años desde el alta de cada proceso (Ley 41/2002).
Cómo gestionar los derechos de tus pacientes
No necesitas memorizar todos los derechos. Lo importante es tener un procedimiento claro para responder a cada solicitud.
Derecho de Información
Los pacientes deben ser informados sobre el tratamiento de sus datos
Derecho de Información
Los pacientes deben ser informados sobre el tratamiento de sus datos
Cómo lo aplicas en la práctica
Información clara en el momento de la recogida de datos
Plantilla recomendada
Cláusula informativa en formularios de admisión
Derecho de Acceso
Los pacientes pueden solicitar una copia de sus datos personales
Derecho de Acceso
Los pacientes pueden solicitar una copia de sus datos personales
Cómo lo aplicas en la práctica
Procedimiento para proporcionar datos en formato comprensible
Plantilla recomendada
Formulario de solicitud de acceso a datos
Derecho de Rectificación
Corrección de datos inexactos o incompletos
Derecho de Rectificación
Corrección de datos inexactos o incompletos
Cómo lo aplicas en la práctica
Proceso para modificar datos previa verificación
Plantilla recomendada
Formulario de solicitud de rectificación
Derecho de Supresión
Eliminación de datos cuando ya no sean necesarios
Derecho de Supresión
Eliminación de datos cuando ya no sean necesarios
Cómo lo aplicas en la práctica
Procedimiento de borrado seguro con certificación
Plantilla recomendada
Formulario de solicitud de supresión
Derecho a la Limitación
Restricción del tratamiento en determinadas circunstancias
Derecho a la Limitación
Restricción del tratamiento en determinadas circunstancias
Cómo lo aplicas en la práctica
Marcado de datos para limitar su procesamiento
Plantilla recomendada
Formulario de solicitud de limitación
Derecho a la Portabilidad
Transferencia de datos a otro responsable
Derecho a la Portabilidad
Transferencia de datos a otro responsable
Cómo lo aplicas en la práctica
Exportación de datos en formato estructurado
Plantilla recomendada
Formulario de solicitud de portabilidad
Derecho de Oposición
Oposición al tratamiento por motivos particulares
Derecho de Oposición
Oposición al tratamiento por motivos particulares
Cómo lo aplicas en la práctica
Evaluación de la legitimidad de la oposición
Plantilla recomendada
Formulario de oposición al tratamiento
Consejo: define un correo dedicado y un plazo interno para responder a estas solicitudes (por ejemplo, 72h) y documenta cómo lo haces.
Medidas de seguridad imprescindibles en tu consulta
Piensa en seguridad en dos niveles: tecnológico (software y dispositivos) y organizativo (personas y procedimientos).
Medidas Técnicas
Ver listado de medidas recomendadas
- Encriptación AES-256 de datos en reposo y tránsito
- Autenticación multifactor para acceso a sistemas
- Copias de seguridad automáticas y encriptadas
- Logs de auditoría de todos los accesos
- Firewall y sistemas de detección de intrusiones
- Actualizaciones de seguridad automáticas
Medidas Organizativas
Ver listado de medidas recomendadas
- Política de seguridad de la información
- Formación regular en protección de datos
- Procedimientos de gestión de incidencias
- Control de acceso físico a las instalaciones
- Acuerdos de confidencialidad con empleados
- Evaluaciones periódicas de riesgos
Errores más habituales (y cómo evitarlos)
Los fallos suelen repetirse en los mismos puntos. Evitarlos es más sencillo de lo que parece si los tienes identificados.
No tener base legal clara
Consecuencia: Multas de hasta 20M€ o 4% facturación anual
Cómo evitarlo: Identificar y documentar la base legal para cada tratamiento
Consentimientos genéricos
Consecuencia: Consentimiento inválido según RGPD
Cómo evitarlo: Consentimientos específicos, informados y granulares
No registrar actividades de tratamiento
Consecuencia: Multa administrativa y problemas en inspecciones
Cómo evitarlo: Mantener registro actualizado de todas las actividades
Falta de medidas de seguridad
Consecuencia: Responsabilidad por brechas de seguridad
Cómo evitarlo: Implementar medidas técnicas y organizativas apropiadas
No formar al personal
Consecuencia: Incumplimientos por desconocimiento
Cómo evitarlo: Formación regular y específica en protección de datos
Checklist rápido de cumplimiento RGPD
Usa esta checklist como revisión final. No es un documento legal, pero sí una forma sencilla de ver si te falta algo importante.
Documentación Legal
Medidas de Seguridad
Gestión Operativa
Preguntas frecuentes
¿Cuáles son las multas por incumplir el RGPD como psicólogo?
Las multas por incumplir el RGPD pueden llegar hasta 20 millones de euros o el 4 % de la facturación anual global, lo que sea mayor. Para psicólogos autónomos, las multas suelen ser proporcionales pero pueden alcanzar decenas de miles de euros.
¿Necesito un Delegado de Protección de Datos como psicólogo?
Si ejerces a título individual, no: la LOPDGDD (art. 34.1.l) obliga a designarlo a los centros sanitarios que deben conservar historias clínicas, pero exceptúa a los profesionales sanitarios que trabajan por su cuenta. Si tienes un centro sanitario, lo normal es que debas designarlo: revisa tu caso con un asesor en protección de datos.
¿Cómo debo obtener el consentimiento de mis pacientes según RGPD?
Para atenderle no necesitas su consentimiento RGPD: la base es la asistencia sanitaria (art. 9.2.h). Sí debes informarle de cómo tratas sus datos y recoger su consentimiento informado para la intervención (Ley 41/2002). Si quieres usar sus datos para algo más, como enviarle novedades, ese consentimiento debe ser libre, específico, informado e inequívoco, separado por finalidades y fácil de retirar. No valen el silencio ni las casillas premarcadas.
¿Qué datos de pacientes puedo tratar sin consentimiento?
Los necesarios para atenderle. La base jurídica de la asistencia sanitaria es el art. 9.2.h del RGPD, no el interés vital, que se reserva para urgencias en las que el paciente no puede consentir. La de la facturación y la conservación de la historia clínica es el cumplimiento de una obligación legal (art. 6.1.c). Siempre con las medidas de seguridad apropiadas.
¿Quieres la parte técnica del RGPD resuelta?
PsicoGest cifra los datos, los aloja en la UE, incluye el encargo de tratamiento y gestiona los consentimientos con firma. Lo que te toca a ti lo tienes arriba.
Sin tarjeta · Sin permanencia