Si atiendes pacientes, tratas datos de salud, una categoría especial del artículo 9 del RGPD, y eres responsable de ese tratamiento aunque trabajes sola en tu consulta. Lo mínimo que tienes que tener en orden es una base jurídica clara, la información al paciente, un registro de actividades, contratos con tus proveedores, medidas de seguridad y un plan para las brechas, que se notifican a la AEPD en un máximo de 72 horas.
Esta guía lo recorre punto por punto con la norma enlazada, para que sepas qué te aplica y qué no. No sustituye el asesoramiento jurídico de tu caso, pero te deja claro qué preguntar.
Definición: el responsable del tratamiento es quien decide para qué y cómo se tratan los datos personales. En una consulta privada eres tú; tu software, tu nube o tu herramienta de IA son encargados que tratan los datos por tu cuenta.
¿Qué normas se aplican a un psicólogo?
- El RGPD, el reglamento europeo que fija principios, derechos y obligaciones.
- La LOPDGDD (Ley Orgánica 3/2018), que lo adapta en España.
- La Ley 41/2002, de autonomía del paciente, que regula la historia clínica, su acceso y su conservación.
- El Código Deontológico del Psicólogo, con el secreto profesional (artículos 39 a 49). El Consejo General tramita un código nuevo, que la CNMC analizó en agosto de 2026; hasta que se apruebe, rige el actual.
La AEPD resume cómo encajan en su guía para profesionales del sector sanitario, revisada en octubre de 2024. Es la lectura oficial más útil para una consulta.
¿Necesito el consentimiento del paciente para tratar sus datos?
Para atenderle, por lo general no. El artículo 9.2.h del RGPD permite tratar datos de salud cuando es necesario para prestar asistencia sanitaria, si lo hace un profesional sujeto a secreto (artículo 9.3). La disposición adicional decimoséptima de la LOPDGDD confirma que los tratamientos regulados en la Ley 41/2002 y en la Ley 44/2003 están amparados por esa vía.
No confundas dos consentimientos distintos. El consentimiento informado para la intervención se rige por la ley sanitaria. El consentimiento para tratar datos solo hace falta para lo que no es necesario para atender, por ejemplo:
- grabar las sesiones (lo vemos en cómo grabar sesiones de terapia conforme al RGPD);
- usar el caso en docencia o divulgación si es identificable (artículo 45 del Código Deontológico);
- enviar boletines o comunicaciones comerciales.
Con menores, la LOPDGDD solo admite el consentimiento del propio menor para tratar sus datos cuando es mayor de 14 años (artículo 7).
¿Qué obligaciones tengo como responsable?
| Obligación | Norma | Qué significa en tu consulta |
|---|---|---|
| Informar al paciente | Art. 13 RGPD y art. 11 LOPDGDD | Quién eres, para qué tratas sus datos, con quién los compartes, cuánto los guardas y qué derechos tiene. Puede darse por capas |
| Registro de actividades de tratamiento | Art. 30 RGPD y art. 31 LOPDGDD | Obligatorio aunque seas una sola persona: la exención para menos de 250 empleados no se aplica a datos de salud (art. 30.5) |
| Contratos con encargados | Art. 28 RGPD | Contrato con cada proveedor que trate datos de pacientes por ti: software clínico, nube, transcripción, gestoría si ve datos de salud |
| Medidas de seguridad | Art. 32 RGPD | Cifrado, control de accesos, copias de seguridad y revisión periódica |
| Gestión de brechas | Arts. 33 y 34 RGPD | Notificar a la AEPD en 72 horas si hay riesgo y documentar todas |
| Evaluación de impacto | Art. 35 RGPD | Solo si el tratamiento entraña alto riesgo |
| Conservación | Art. 17 Ley 41/2002 | Mínimo 5 años desde el alta de cada proceso |
Sobre el último punto tienes el detalle por comunidades en cuánto tiempo conservar la historia clínica, y sobre qué debe contener la historia, en nuestro modelo de historia clínica psicológica.
Cómo ponerte al día en ocho pasos
- Haz una lista de tus tratamientos: historia clínica, agenda, facturación, comunicaciones con pacientes.
- Escribe el registro de actividades con fines, categorías de datos, destinatarios, plazos de supresión y medidas de seguridad.
- Revisa tus proveedores y firma un contrato de encargo con cada uno que vea datos de pacientes. Pregunta dónde se alojan los datos y quiénes son sus subencargados.
- Prepara la información al paciente: una hoja breve en la primera sesión y el texto completo accesible.
- Separa los consentimientos adicionales (grabación, docencia, comunicaciones) del resto.
- Aplica las medidas de seguridad: cifrado del portátil y del móvil, contraseñas robustas, doble factor y copias de seguridad.
- Define un procedimiento de brechas y de derechos: quién responde, en qué plazo y dónde lo anotas.
- Revísalo una vez al año o cuando cambies de herramienta.
¿Qué derechos tienen tus pacientes y cómo respondes?
Tienes un mes para responder a una solicitud, ampliable dos meses más en casos complejos avisando al paciente (artículo 12.3 del RGPD), y la respuesta es gratuita salvo peticiones manifiestamente infundadas o excesivas.
- Acceso: el paciente puede obtener copia de su historia. El artículo 18.3 de la Ley 41/2002 te permite oponer la reserva de tus anotaciones subjetivas y protege los datos de terceros recogidos en interés terapéutico. Por eso conviene escribirlas identificables dentro de la historia.
- Rectificación: de datos inexactos, como un teléfono o una fecha.
- Supresión: no alcanza a lo que la ley te obliga a conservar (artículo 17.3.b del RGPD).
¿Qué hago si pierdo datos de un paciente?
Una brecha es cualquier incidente que destruye, pierde, altera o expone datos: un portátil robado sin cifrar, un informe enviado al correo equivocado, una cuenta hackeada. Si es probable que suponga un riesgo para los pacientes, la notificas a la AEPD sin dilación y, si es posible, en un máximo de 72 horas desde que la conoces (artículo 33.1). Si el riesgo es alto, también avisas a los pacientes afectados (artículo 34). Y todas, se notifiquen o no, quedan documentadas (artículo 33.5).
La AEPD tiene dos herramientas gratuitas para decidir: Asesora Brecha, para saber si debes notificar, y Comunica-Brecha RGPD, para saber si debes avisar a los afectados.
¿Necesito un delegado de protección de datos?
Si ejerces a título individual, no. El artículo 34.1.l de la LOPDGDD obliga a los centros sanitarios legalmente obligados a mantener historias clínicas, pero exceptúa a los profesionales de la salud que ejercen a título individual. Un centro sanitario, en cambio, sí debe tenerlo, como recuerda la guía de la AEPD. La guía de la AEPD sugiere a los profesionales individuales que quieran uno de forma voluntaria que lo pidan a su colegio profesional.
¿Tengo que hacer una evaluación de impacto?
Por regla general, no si trabajas sola: el considerando 91 del RGPD dice que el tratamiento de datos de pacientes por un solo profesional sanitario no es a gran escala. La AEPD, en su lista de tratamientos que no requieren EIPD, lo matiza: puede hacer falta si tu tratamiento cumple de forma significativa dos o más criterios de su lista de alto riesgo, por ejemplo, datos de salud de menores tratados con tecnologías nuevas.
Ejemplo ficticio de una entrada del registro
Ejemplo ficticio, con nombres inventados. Marta Gil, psicóloga sanitaria en Zaragoza, describe así su tratamiento principal:
- Actividad: historia clínica de pacientes.
- Finalidad: prestación de asistencia psicológica y documentación del proceso.
- Base jurídica: artículo 9.2.h del RGPD y Ley 41/2002; consentimiento expreso para la grabación de sesiones.
- Datos: identificación, contacto, salud mental, notas de sesión, informes.
- Destinatarios: ninguno salvo obligación legal; encargados: software clínico y servicio de transcripción.
- Plazo: cinco años desde el alta de cada proceso; audio borrado tras firmar la nota.
- Seguridad: cifrado de dispositivos, doble factor, copias de seguridad cifradas.
Errores frecuentes
- Pensar que el RGPD es cosa de empresas grandes. Con datos de salud, el registro de actividades es obligatorio desde el primer paciente.
- Usar mensajería o chats de IA genéricos con datos de pacientes sin contrato de encargo.
- Pedir consentimiento para todo y crear la falsa idea de que, si el paciente lo retira, debes borrar su historia.
- No documentar las brechas pequeñas, como un correo mal enviado, porque «no pasó nada».
- Delegar el cumplimiento en el proveedor. El responsable sigues siendo tú.
Tienes una lista de comprobación complementaria en nuestra guía de cumplimiento normativo en la consulta privada.
Lo que casi nadie te dice
La herramienta gratuita más conocida de la AEPD para pequeñas empresas, Facilita RGPD, no sirve para una consulta de psicología. Su propia página dice que no puede usarse para tratamientos de alto riesgo como los datos de salud. La alternativa oficial es Gestiona RGPD: gratuita, funciona en el navegador sin enviar tus datos a la AEPD y te ayuda con el registro de actividades, el análisis de riesgos y la gestión de brechas. Es un punto de partida, no un certificado de cumplimiento.
Cómo encaja TherapyRecap
TherapyRecap actúa como encargado del tratamiento y su contrato de encargo es público, así que puedes revisarlo antes de empezar y añadirlo a tu registro. Los datos se alojan en la Unión Europea (región de Madrid), se tratan conforme al RGPD y no se usan para entrenar modelos. La transcripción se anonimiza antes de guardarse y antes de procesarse con IA. Tienes el detalle en seguridad y cumplimiento y puedes probar la transcripción de sesiones 7 días gratis, sin tarjeta.
Preguntas frecuentes
¿Necesito un registro de actividades si trabajo sola?
Sí. El artículo 30.5 del RGPD exime a las organizaciones de menos de 250 personas, salvo cuando tratan categorías especiales de datos, y los datos de salud lo son.
¿Necesito un delegado de protección de datos si trabajo sola?
No. La LOPDGDD exceptúa a los profesionales de la salud que ejercen a título individual. Un centro sanitario con historias clínicas, en cambio, sí debe designarlo.
¿Cuánto tiempo tengo para responder a una solicitud de acceso?
Un mes desde que la recibes, ampliable otros dos si es compleja, avisando al paciente dentro del primer mes.
¿Puedo usar WhatsApp para hablar con pacientes?
Para citas sin datos clínicos el riesgo es menor, pero no envíes informes ni información de salud por canales sin contrato de encargo ni garantías claras sobre dónde se tratan los datos.
Actualizado por el Equipo Editorial de TherapyRecap el 21 de octubre de 2026.
Finalista de INCIBE Emprende Ventures