Para hacer terapia online cumpliendo el RGPD necesitas cuatro cosas: una plataforma de videollamada que ofrezca garantías suficientes, un contrato de encargado del tratamiento firmado con el proveedor, saber en qué país se tratan los datos y el consentimiento del paciente para la modalidad online. El resto es orden: documentarlo y revisarlo de vez en cuando.
Los datos de salud son una categoría especial. El artículo 9.1 del Reglamento (UE) 2016/679 los incluye entre los datos cuyo tratamiento se prohíbe con carácter general, salvo excepciones. Una videollamada con un paciente es, por tanto, un tratamiento de datos de salud, igual que la sesión presencial.
Qué cambia entre la sesión presencial y la sesión online
En la consulta controlas el espacio, el wifi y quién entra. Online, parte de ese control pasa a terceros: el proveedor de videollamada, el servidor donde se aloja, el dispositivo del paciente. Eso añade tres riesgos que no existen en la consulta:
- Un proveedor externo ve o almacena datos. Aunque el vídeo viaje cifrado, el proveedor puede guardar metadatos, chats o grabaciones.
- Los datos pueden salir de la Unión Europea. Si el servidor está fuera del Espacio Económico Europeo, entra en juego el capítulo V del RGPD.
- El entorno del paciente no lo controlas tú. Alguien puede escuchar al otro lado de la pantalla, o grabar sin que lo sepas.
Cómo elegir una plataforma de videollamada para psicólogos
La guía de Legiscope sobre RGPD para psicólogos propone reglas mínimas para la teleconsulta: cifrado extremo a extremo cuando sea posible, un entorno privado en ambos extremos, un contrato de encargado con el proveedor y servidores en la UE (o garantías adecuadas si no es posible). Con esas reglas y el propio texto del RGPD, puedes evaluar cualquier herramienta con estas preguntas:
- ¿Puedo firmar un contrato de encargado del tratamiento? Es la pregunta decisiva. La guía de Legiscope advierte contra usar herramientas gratuitas de uso general sin comprobar si el proveedor firma ese acuerdo.
- ¿Dónde se alojan los servidores y quiénes son los subencargados? Pídelo por escrito y guarda la respuesta.
- ¿Qué cifrado aplica? El artículo 32.1.a del RGPD cita el cifrado y la seudonimización entre las medidas de seguridad posibles. Pregunta si es de extremo a extremo o solo en tránsito.
- ¿Qué se guarda? Grabaciones, chat, archivos compartidos y transcripciones automáticas. Si la herramienta los guarda por defecto, desactívalos.
- ¿Cómo se accede? Salas con enlace único y sala de espera, no un enlace fijo que cualquiera pueda reutilizar.
El contrato de encargado: el documento que más se olvida
El artículo 28.1 del RGPD obliga al responsable (tú) a elegir únicamente un encargado que ofrezca suficientes garantías, y el 28.3 exige que el tratamiento por el encargado se rija por un contrato u otro acto jurídico. Antes de usar una plataforma, comprueba si el proveedor ofrece ese contrato para tu tipo de cuenta y guarda una copia firmada. Te explicamos el contenido paso a paso en nuestra guía del contrato de encargado del tratamiento en psicología.
Servidores fuera de la UE: qué comprobar
Según el artículo 44 del RGPD, las transferencias de datos personales a un tercer país solo se realizan si se cumplen las condiciones del capítulo V; entre ellas, el artículo 46 prevé las garantías adecuadas cuando no hay decisión de adecuación. La guía de Legiscope señala que los metadatos, las transcripciones automáticas o las grabaciones fuera del Espacio Económico Europeo, sin garantías, exponen datos de salud a una transferencia sin amparo. En la práctica, pide al proveedor qué mecanismo usa para esas transferencias y anótalo en tu registro de actividades.
Consentimiento para terapia online
El comunicado de la División de Psicoterapia del Consejo General de la Psicología sobre cómo elegir un psicólogo online cualificado (24 de marzo de 2020) indica que el profesional debe comunicar al paciente que su plataforma cumple los requisitos legales, y que paciente y terapeuta deben completar un documento de cumplimiento de la protección de datos aunque la psicoterapia sea online. Un apartado online en tu consentimiento informado puede recoger:
- La plataforma que usarás y que cumple los requisitos de protección de datos.
- Que la sesión no se graba salvo autorización expresa y por escrito.
- Qué hacer si se corta la conexión (reconectar por la misma sala, llamada telefónica de respaldo).
- Que el paciente debe estar en un espacio privado y avisar si hay otras personas presentes.
- Un contacto alternativo y la forma de actuar en caso de urgencia.
Si quieres el contenido completo del consentimiento, lo desarrollamos en consentimiento informado en psicología. Y si el paciente quiere que le escribas entre sesiones, revisa antes el artículo sobre WhatsApp con pacientes y RGPD.
Grabar la sesión por videollamada
La grabación es un tratamiento aparte. Solo debe hacerse con consentimiento explícito y una base documentada, y revisa en los ajustes que la plataforma no grabe por defecto. Si además quieres transcribir la sesión, todo lo que implica (autorización, dónde se guarda el audio y cuándo se borra) está en grabar sesiones de terapia: qué exige la ley.
Lo que documenta la sesión online, aunque no se grabe
Una sesión por videollamada genera la misma obligación de registro que una presencial: fecha, modalidad, contenido relevante y evolución. Anotar que la sesión fue online y por qué plataforma te da trazabilidad si alguna vez tienes que justificar el tratamiento. Si usas una herramienta como TherapyRecap para pasar el audio de la sesión a nota de progreso, según su página de transcripción los datos están alojados en Europa y el audio original se borra cuando la transcripción queda guardada; aun así, firma su contrato de encargado como con cualquier otro proveedor.
Checklist rápido antes de tu primera sesión online
- Contrato de encargado firmado con el proveedor de videollamada.
- Ubicación de servidores y subencargados anotada por escrito.
- Grabación, chat y archivos desactivados por defecto.
- Sala con acceso controlado, no un enlace permanente.
- Apartado de modalidad online en el consentimiento informado.
- Actividad incluida en tu registro de actividades de tratamiento.
- Protocolo si se corta la conexión y contacto alternativo.
Preguntas frecuentes
¿Puedo usar Zoom, Meet o Teams para terapia online?
No hay una prohibición general de una herramienta concreta. Lo que exige el RGPD es que el proveedor ofrezca garantías suficientes, que firmes con él el contrato de encargado del tratamiento y que sepas dónde se tratan los datos. Si la versión que usas no te permite firmar ese contrato, no es una opción válida para sesiones con pacientes.
¿Necesito el consentimiento del paciente para hacer terapia online?
Conviene documentar el consentimiento específico para la modalidad online, además del consentimiento informado de la terapia: cómo será la conexión, qué plataforma se usa, qué pasa si se corta la llamada y que la sesión no se graba salvo autorización expresa.
¿Se puede grabar una sesión de terapia por videollamada?
Solo con consentimiento explícito y una base documentada. Revisa en los ajustes de tu plataforma que la grabación esté desactivada por defecto.
¿Qué datos de la videollamada cuentan como datos de salud?
El contenido de la sesión sin duda lo es. También conviene tratar con cautela los metadatos (quién se conecta y cuándo) y cualquier chat, archivo compartido o transcripción automática, porque permiten saber que una persona es paciente tuyo.
¿Y si el paciente se conecta desde otro país?
Es un caso que conviene consultar con tu colegio profesional antes de aceptarlo, porque pueden aplicar normas de otro territorio. No lo resuelvas por tu cuenta ni lo des por cubierto por tu seguro sin comprobarlo.
Este artículo es informativo y no sustituye el asesoramiento jurídico de tu delegado de protección de datos o de tu colegio profesional.
Finalista de INCIBE Emprende Ventures