Para decidir quién accede a las historias clínicas en un centro de psicología con varios psicólogos, aplica un criterio: puede acceder el profesional que atiende al paciente, y nadie más sin una razón asistencial o legal. El centro, como responsable del tratamiento, debe traducir ese criterio en permisos concretos, instrucciones por escrito y un control de accesos que pueda demostrar.
Este artículo es una guía organizativa para profesionales, no asesoramiento jurídico. Cada comunidad autónoma desarrolla la normativa sobre historia clínica, así que conviene contrastarla con tu colegio profesional o con un delegado de protección de datos.
Acceso a historias clínicas en un centro de psicología: qué dice la normativa
Tres normas marcan el punto de partida, y las tres las hemos consultado en su texto oficial:
- Ley 41/2002, artículo 16. La historia clínica es un instrumento para garantizar una asistencia adecuada. Los profesionales que diagnostican o tratan al paciente en el centro tienen acceso a ella, y cada centro debe establecer métodos que lo permitan mientras se presta la asistencia. Quien accede en el ejercicio de sus funciones queda sujeto al deber de secreto. Fuente: BOE-A-2002-22188.
- RGPD, artículos 25.2 y 32. Por defecto, los datos no deben ser accesibles a un número indeterminado de personas. Además, el responsable debe garantizar que quien actúe bajo su autoridad y tenga acceso a datos solo los trate siguiendo sus instrucciones. Fuente: Reglamento (UE) 2016/679.
- LOPDGDD, artículo 5. Quien intervenga en cualquier fase del tratamiento está sujeto al deber de confidencialidad, que complementa el secreto profesional y se mantiene aunque termine la relación. Fuente: Ley Orgánica 3/2018.
Criterio práctico: relación asistencial, no pertenencia al centro
Trabajar en el mismo centro no da derecho a ver todas las historias. La lógica del artículo 16 es la intervención en el diagnóstico o el tratamiento. En la práctica, esto se traduce en reglas sencillas:
- Cada psicólogo ve las historias de los pacientes que atiende.
- Si otro profesional entra en el caso (derivación interna, cotratamiento, sustitución por vacaciones), se le asigna ese paciente de forma explícita y con fecha.
- Al terminar su intervención, se retira ese acceso.
- El acceso para fines distintos de la asistencia (judiciales, investigación, docencia, inspección) se rige por reglas propias del artículo 16 y no se improvisa desde la recepción o la dirección.
Cómo gestionar roles en un centro pequeño
En una clínica de tres a diez profesionales, bastan tres perfiles. El profesional asistencial accede a sus pacientes. El perfil administrativo gestiona datos de contacto, citas y facturación sin ver el contenido clínico. La dirección o titularidad administra usuarios y licencias, pero tampoco necesita leer las notas para hacerlo.
Medidas para controlar los accesos
Instrucciones por escrito y compromiso de confidencialidad
El apartado 4 del artículo 32 del RGPD exige garantizar que cada persona con acceso trate los datos conforme a las instrucciones del responsable. Documenta esas instrucciones y haz que las firme todo el personal, incluidos colaboradores y administrativos. Si alguien externo gestiona sistemas o software, necesitas además un contrato de encargado del tratamiento.
Cuentas personales y altas y bajas ordenadas
- Una cuenta por persona, nunca credenciales compartidas.
- Alta con permisos mínimos y baja el mismo día que termina la colaboración.
- Revisión periódica de quién tiene acceso a qué.
Registro de accesos
El artículo 16.7 de la Ley 41/2002 remite a las comunidades autónomas para regular cómo se deja constancia del acceso y del uso de la historia clínica. Comprueba qué exige la tuya. Aunque no lo exija expresamente, conservar un registro de quién abre cada historia te permite investigar un acceso dudoso y demostrar diligencia.
Qué hacer si alguien accede sin justificación
Un acceso injustificado por parte de un compañero puede constituir una violación de la seguridad de los datos. Tienes una guía para evaluarlo en el artículo sobre brecha de seguridad en la consulta de psicología. El artículo 33 del RGPD fija un plazo de notificación a la autoridad de control de 72 horas desde que se tiene constancia, salvo que sea improbable que suponga riesgo.
Casos habituales
Terapia de pareja o familiar
Si varios profesionales atienden a miembros de un mismo sistema familiar, decide de antemano qué parte de la información es compartida y cuál es individual. Lo desarrollamos en nuestra guía de historia clínica en terapia de pareja y familia.
Supervisión y sustituciones
Quien supervisa o sustituye accede porque interviene en el caso, no por jerarquía. Registra la asignación y su duración.
Salida de un profesional
Se retiran sus accesos y se define quién custodia sus historias. Su deber de confidencialidad no termina con la relación laboral.
Qué debe documentar el centro
Estas decisiones deben constar en el registro de actividades de tratamiento y en el resto de documentación de protección de datos: quién accede, con qué finalidad, con qué medidas y durante cuánto tiempo.
Cómo ayuda una herramienta con equipos
Un software con cuentas por profesional hace más sencillo aplicar estas reglas. TherapyRecap permite invitar a un equipo y gestionar licencias y facturación de la organización sin compartir el historial clínico de cada paciente. Aun así, la herramienta es solo una parte: las instrucciones, los roles y las revisiones periódicas siguen siendo responsabilidad del centro. Para el marco general, consulta la guía práctica de RGPD para psicólogos.
Preguntas frecuentes
¿Puede un psicólogo del centro ver las historias de los pacientes de sus compañeros?
Como regla general, no. El artículo 16 de la Ley 41/2002 da acceso a los profesionales que diagnostican o tratan al paciente en el centro. Si un psicólogo no interviene en ese caso, no hay una base asistencial para que lo consulte.
¿Quién es responsable de las historias clínicas en un centro con varios psicólogos?
Lo es el responsable del tratamiento, normalmente el titular del centro. Debe aplicar medidas técnicas y organizativas adecuadas (art. 32 RGPD) y garantizar que quien accede solo trate los datos según sus instrucciones.
¿Hace falta registrar quién accede a cada historia clínica?
La Ley 41/2002 (art. 16.7) deja a las comunidades autónomas regular cómo se deja constancia del acceso y del uso. Consulta la norma de tu comunidad y, en cualquier caso, un registro de accesos es una medida razonable para demostrar el control.
¿Qué pasa cuando un psicólogo deja el centro?
Hay que retirarle los accesos de inmediato. Su deber de confidencialidad continúa: la LOPDGDD (art. 5.3) mantiene esas obligaciones aunque haya terminado la relación.
Finalista de INCIBE Emprende Ventures