Una brecha de seguridad en una consulta de psicología es cualquier incidente que provoque la pérdida, alteración, divulgación o acceso no autorizado a datos de tus pacientes. Si es probable que suponga un riesgo para ellos, como responsable del tratamiento debes notificarla a la AEPD sin dilación indebida y, de ser posible, en menos de 72 horas desde que la conozcas. Si el riesgo es alto, además debes avisar a los pacientes afectados. Y en todos los casos, debes dejarla documentada.
Esta guía recorre qué cuenta como brecha en una consulta pequeña, cómo evaluar el riesgo, qué pasos dar en las primeras 72 horas y qué conviene dejar preparado antes de que ocurra. No es asesoramiento jurídico: ante un caso real, consulta a tu delegado de protección de datos o a un asesor especializado.
Qué es una brecha de seguridad en una consulta de psicología (y por qué no hace falta un ciberataque)
El RGPD define la violación de la seguridad de los datos personales como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos (art. 4.12, texto del RGPD en el BOE). No exige que haya un atacante. En una consulta, los casos más habituales son estos:
- Enviar un informe o una factura a un paciente que no es el destinatario.
- Perder o que te roben un portátil, un móvil o un pendrive con historias clínicas sin cifrar.
- Un correo de phishing que consigue tu contraseña y da acceso a tu agenda o a tus documentos.
- Compartir una carpeta en la nube con permisos abiertos a cualquiera con el enlace.
- Perder el acceso a las historias clínicas por un fallo o un ransomware sin copia de seguridad (brecha de disponibilidad).
- Un incidente en el software de tu proveedor que expone datos de tus pacientes.
- La desaparición de expedientes en papel.
Tratándose de datos de salud, que el RGPD considera una categoría especial, el listón de prudencia es alto: ante la duda, evalúa y documenta.
Cuándo hay que notificarla a la AEPD: el plazo de 72 horas
El artículo 33.1 del RGPD establece que el responsable notificará la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que constituya un riesgo para los derechos y las libertades de las personas físicas. Si se supera el plazo, la notificación debe indicar los motivos de la dilación.
Tres precisiones prácticas:
- El plazo corre desde que tienes constancia, no desde que terminas de investigar. Si no puedes aportar toda la información a la vez, el art. 33.4 permite facilitarla de manera gradual.
- Notificar no es admitir culpa. Es el cauce que prevé la norma, y se hace por la sede electrónica de la AEPD.
- Si el riesgo es improbable, no se notifica, pero se documenta (véase más abajo).
Cómo evaluar el riesgo para tus pacientes
La decisión de notificar depende del riesgo para las personas afectadas, no de lo grave que te parezca el incidente a ti. La AEPD ofrece Asesora Brecha, una herramienta gratuita que ayuda al responsable a decidir si debe notificar; al terminar, los datos introducidos se eliminan y la AEPD no puede conocerlos (nota de prensa de la AEPD).
Para organizar tu valoración, te ayudan estas preguntas:
- ¿Qué datos se han visto afectados? Notas de sesión o diagnósticos pesan mucho más que un nombre y una hora de cita.
- ¿Cuántos pacientes están afectados?
- ¿Los datos estaban cifrados o eran ininteligibles para quien accedió?
- ¿Quién ha tenido acceso o a quién se enviaron? No es lo mismo otro paciente que un tercero desconocido.
- ¿Se puede recuperar el dato o frenar la difusión (por ejemplo, si el destinatario confirma que lo ha borrado)?
- ¿Qué daño podría sufrir el paciente si se difunde esa información?
Anota las respuestas y la conclusión: esa nota es parte de tu documentación.
Qué hacer en las primeras 72 horas, paso a paso
- Anota la hora en que tuviste constancia. Es el inicio del reloj.
- Contén el incidente. Cambia contraseñas, revoca accesos, desconecta el equipo, pide al destinatario erróneo que borre el mensaje.
- Reúne los hechos: qué ocurrió, qué datos, de cuántos pacientes y desde cuándo.
- Evalúa el riesgo con las preguntas anteriores y, si quieres, con Asesora Brecha.
- Notifica a la AEPD si hay riesgo. El art. 33.3 exige como mínimo describir la naturaleza de la brecha (categorías y número aproximado de afectados y de registros), indicar un punto de contacto, describir las posibles consecuencias y las medidas adoptadas o propuestas.
- Comunica a los pacientes si el riesgo es alto (siguiente sección).
- Documenta todo y revisa qué cambiarás para que no se repita.
Cuándo y cómo avisar a los pacientes
El artículo 34 del RGPD obliga a comunicar la brecha al interesado, sin dilación indebida, cuando sea probable que entrañe un alto riesgo para sus derechos y libertades. El mensaje debe describir en lenguaje claro y sencillo la naturaleza de la brecha y contener, como mínimo, el punto de contacto, las posibles consecuencias y las medidas adoptadas.
La comunicación no es necesaria si los datos afectados estaban protegidos con medidas que los hacen ininteligibles para quien accedió, como el cifrado; si has tomado medidas posteriores que garantizan que el alto riesgo ya no se concretará; o si supondría un esfuerzo desproporcionado, caso en el que se opta por una comunicación pública o similar. Además, la autoridad puede exigirte que informes si considera que el riesgo es alto.
Al ser pacientes de psicoterapia, cuida el canal y el tono: usa un medio seguro, no incluyas datos clínicos en el mensaje y ofrece una vía directa para resolver dudas.
Si la brecha ocurre en tu software clínico o en un proveedor
Cuando contratas un software de gestión clínica, el proveedor actúa como encargado del tratamiento y debe avisarte sin dilación indebida de cualquier brecha de la que tenga conocimiento (art. 33.2 RGPD). Pero la responsabilidad frente al paciente no se transfiere. Una circular informativa dirigida a profesionales colegiados de la psicología, alojada en infocop.es, lo resume así: el profesional responde frente al paciente aunque la brecha se origine en los sistemas del proveedor, y después puede reclamar al proveedor si hubo incumplimiento contractual.
Esto tiene una consecuencia práctica: el contrato importa antes del incidente. Comprueba que incluye la obligación de avisarte con rapidez, las medidas de seguridad y la regulación de subcontrataciones. Lo mismo vale si usas TherapyRecap o cualquier otra herramienta: pide y guarda el contrato antes de empezar. Tienes el detalle en nuestra guía del contrato de encargado del tratamiento para psicólogos.
Los incidentes en proveedores del sector existen. En marzo de 2026, Escudo Digital informó de que un actor anónimo anunciaba en un foro la filtración de datos de la plataforma Eholo; según el propio medio, la información no estaba verificada, y la empresa afirmaba que afectaba a una parte minoritaria de sus usuarios y que había notificado a la AEPD. Sea cual sea el resultado de cada caso, el aprendizaje es el mismo: ten ya decidido qué harías si tu proveedor te escribe mañana con un aviso así.
Documentar la brecha: el registro que exige el RGPD
El artículo 33.5 obliga al responsable a documentar cualquier violación de la seguridad: los hechos, sus efectos y las medidas correctivas adoptadas, de modo que la autoridad pueda verificar el cumplimiento. Esto incluye las brechas que decidas no notificar. Un registro sencillo basta para una consulta individual, con estas columnas:
- Fecha y hora del incidente y de la constancia.
- Descripción de los hechos y datos afectados.
- Número aproximado de pacientes afectados.
- Valoración del riesgo y decisión (notificar / no notificar) con su motivo.
- Comunicaciones realizadas (AEPD, pacientes, proveedor).
- Medidas correctivas.
Prevención: qué dejar preparado antes de que pase
- Cifra los dispositivos y activa el doble factor de autenticación en correo, nube y software clínico.
- Mantén copias de seguridad y comprueba que sabes restaurarlas.
- Revisa las herramientas con las que te comunicas con pacientes; por ejemplo, si usas mensajería, lee cómo usar WhatsApp con pacientes cumpliendo el RGPD.
- Ten claro qué herramientas almacenan audio o transcripciones y dónde; te lo explicamos en grabar sesiones de terapia y el RGPD.
- Reduce el volumen de datos expuestos: si trabajas aún con papel, repasa cómo digitalizar historias clínicas en papel con seguridad.
- Escribe un protocolo de una página con los pasos de las 72 horas y a quién llamar.
Preguntas frecuentes
¿En cuánto tiempo hay que notificar una brecha de seguridad a la AEPD?
Sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de la brecha (art. 33.1 RGPD). Si pasa de 72 horas, la notificación debe ir acompañada de los motivos del retraso. No hace falta notificar si es improbable que la brecha suponga un riesgo para los derechos y libertades de los pacientes.
¿Tengo que avisar a los pacientes si hay una brecha?
Solo cuando sea probable que la brecha entrañe un alto riesgo para sus derechos y libertades (art. 34 RGPD). La comunicación debe usar un lenguaje claro y sencillo, explicar qué ha pasado, indicar un punto de contacto y describir las consecuencias probables y las medidas adoptadas.
¿Y si la brecha ocurre en el software de mi proveedor?
El encargado del tratamiento debe avisarte sin dilación indebida (art. 33.2 RGPD). Pero el responsable sigues siendo tú: las 72 horas cuentan desde que tú tienes constancia, y la decisión de notificar a la AEPD y de informar a los pacientes te corresponde a ti.
¿Hay que registrar las brechas que no se notifican?
Sí. El art. 33.5 RGPD obliga a documentar cualquier brecha: los hechos, sus efectos y las medidas correctivas, también cuando concluyes que no hace falta notificarla.
¿Enviar un informe al paciente equivocado es una brecha?
Sí: la definición de brecha incluye la comunicación o el acceso no autorizados a datos personales, y no exige que haya un ataque informático. Lo que determina si hay que notificar es el riesgo que supone para la persona afectada, que debes evaluar caso por caso.
Finalista de INCIBE Emprende Ventures