El registro de actividades de tratamiento (RAT) es el documento interno donde describes qué datos personales trata tu consulta, para qué, durante cuánto tiempo y con qué medidas de seguridad. Si eres psicólogo y tratas datos de salud de forma habitual, tienes que llevarlo aunque trabajes solo. No se presenta ante ningún organismo, pero debes poder enseñarlo si la AEPD lo pide.
Esta guía explica cuándo es obligatorio, qué campos exige el RGPD y cómo se rellena para una consulta real.
¿Qué es el registro de actividades de tratamiento?
Es el inventario de los tratamientos de datos que realiza tu consulta. El artículo 30 del RGPD obliga a cada responsable a llevar uno, y la Ley Orgánica 3/2018 (LOPDGDD) lo recoge en su artículo 31, donde remite al registro del artículo 30 y admite organizarlo en torno a conjuntos estructurados de datos.
No es lo mismo que la historia clínica. La historia clínica contiene datos de cada paciente. El RAT describe cómo gestionas esos datos: qué haces con ellos, con qué base legal y quién más los ve.
¿Está obligado un psicólogo a llevarlo?
Sí, en la práctica. El artículo 30.5 del RGPD exime a las organizaciones de menos de 250 empleados, pero no si el tratamiento puede entrañar un riesgo para los derechos y libertades de los interesados, no es ocasional o incluye categorías especiales de datos. Tu actividad cumple dos de esas condiciones:
- Tratas de forma habitual, no ocasional, los datos de tus pacientes.
- Los datos relativos a la salud son una categoría especial según el artículo 9.1 del mismo Reglamento.
El tratamiento sanitario se apoya en la excepción del artículo 9.2.h, que exige secreto profesional. Eso explica la base legal, pero no te libera de documentar el tratamiento.
Qué debe contener el registro según el artículo 30 del RGPD
El artículo 30.1 enumera el contenido mínimo del registro del responsable:
- Nombre y datos de contacto del responsable (tú) y, si lo hubiera, del delegado de protección de datos.
- Los fines del tratamiento.
- Las categorías de interesados y de datos personales.
- Las categorías de destinatarios, incluidos los de terceros países u organizaciones internacionales.
- Las transferencias internacionales y sus garantías.
- Los plazos previstos para la supresión de cada categoría de datos.
- Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.
El apartado 3 exige que conste por escrito, también en formato electrónico, y el apartado 4 que lo pongas a disposición de la autoridad de control cuando lo solicite. El Reglamento no fija un formato: una tabla bien mantenida basta.
Qué tratamientos suele tener una consulta de psicología
Cada tratamiento con una finalidad distinta es una fila del registro. En una consulta privada habitual aparecen estos:
- Gestión de pacientes e historia clínica. Datos identificativos y de salud para la asistencia.
- Agenda y comunicaciones. Citas, recordatorios, correo o mensajería. Si usas WhatsApp, revisa antes cómo usarlo con pacientes cumpliendo el RGPD.
- Facturación. Datos fiscales de pacientes o terceros pagadores.
- Sesiones online. Videoconferencia y, en su caso, grabación. Hay más detalle en nuestra guía de terapia online y RGPD.
- Documentación asistida por software. Si usas una herramienta para transcribir o resumir sesiones, es un tratamiento con un proveedor detrás.
- Web y contacto. Formulario de contacto o suscripciones, si los tienes.
Ejemplo de ficha de registro para la historia clínica
Este es un ejemplo orientativo para el tratamiento principal. Adáptalo a tu consulta y a la normativa de tu comunidad autónoma.
- Responsable: tu nombre, número de colegiado, dirección y correo de contacto.
- Finalidad: prestación de asistencia psicológica y mantenimiento de la historia clínica.
- Base jurídica: tratamiento necesario para la asistencia sanitaria (art. 9.2.h RGPD) y obligaciones de documentación clínica de la Ley 41/2002.
- Interesados: pacientes y, si procede, representantes legales.
- Categorías de datos: identificativos, de contacto y de salud.
- Destinatarios: encargados del tratamiento (alojamiento, software) y las administraciones u órganos judiciales cuando exista obligación legal.
- Transferencias internacionales: ninguna, o las garantías aplicadas si el proveedor está fuera del EEE.
- Plazo de supresión: el que fije la normativa de documentación clínica aplicable. Lo desarrollamos en cuánto tiempo conservar la historia clínica.
- Medidas de seguridad: control de acceso, cifrado, copias de seguridad y registro de accesos.
Errores frecuentes al hacer el registro
- Dejarlo genérico. Una sola fila de “datos de pacientes” esconde proveedores y finalidades distintas.
- Olvidar a los encargados. Cada proveedor que accede a datos de pacientes debe aparecer como destinatario y tener su contrato. Te explicamos qué debe incluir en el contrato de encargado del tratamiento.
- No fijar plazos. El campo de supresión es obligatorio.
- No actualizarlo. Un registro que no refleja las herramientas que usas hoy no sirve ante un requerimiento.
- Confundirlo con el aviso de privacidad. El aviso informa al paciente. El RAT es interno.
Cómo mantenerlo al día sin que te lleve horas
Guárdalo en una hoja de cálculo o en un documento con control de versiones. Anota la fecha de cada cambio. Cuando incorpores una herramienta nueva, añade la fila antes de usarla con pacientes.
Herramientas como TherapyRecap, que documenta sesiones, entran en el registro como un tratamiento más y su proveedor como encargado. Tenerlo identificado de antemano te evita improvisar si alguien te lo pide.
Preguntas frecuentes
¿Un psicólogo autónomo está obligado a llevar el registro de actividades de tratamiento?
Sí en la práctica. El artículo 30.5 del RGPD exime a organizaciones de menos de 250 empleados, salvo que traten categorías especiales de datos o el tratamiento no sea ocasional. Un psicólogo trata datos de salud de forma habitual, así que la excepción no le alcanza.
¿Hay que presentar el registro ante la AEPD?
No. Es un documento interno. Debe constar por escrito, también en formato electrónico, y ponerse a disposición de la autoridad de control cuando lo solicite (art. 30.3 y 30.4 RGPD).
¿Existe un modelo oficial de registro de actividades de tratamiento?
El RGPD no impone un formato. Lo que exige es que incluya el contenido del artículo 30. Puedes usar una tabla o una hoja de cálculo siempre que esté completa y actualizada.
¿Cada cuánto debo actualizar el registro?
Cada vez que cambie algo: una nueva herramienta, un nuevo proveedor, una finalidad distinta o un cambio en los plazos de conservación. Conviene además revisarlo una vez al año.
Este artículo es informativo y no sustituye el asesoramiento jurídico. Contrasta los plazos y las particularidades autonómicas con tu colegio profesional o con un especialista en protección de datos.
Finalista de INCIBE Emprende Ventures