Sí, puedes usar WhatsApp con tus pacientes, pero con límites: sirve para la logística (citas, recordatorios, enlaces de videollamada) y no para el contenido clínico. Los datos de salud son una categoría especial en el RGPD, así que la regla práctica es enviar el mínimo, informar al paciente del canal y mantener la historia clínica fuera del chat. Esta guía te da un protocolo aplicable mañana mismo en tu consulta.
Por qué WhatsApp con pacientes es un tema de protección de datos
El RGPD define los «datos relativos a la salud» como los datos personales relativos a la salud física o mental de una persona, y el artículo 9 prohíbe tratarlos salvo que concurra alguna de las circunstancias que enumera. Aunque tu tratamiento de datos clínicos tenga base legal, esa base no cubre cualquier uso: cada canal que utilizas es una decisión sobre seguridad y confidencialidad.
Un mensaje como «Hola, soy Marta, mañana llego tarde a la sesión de ansiedad» ya relaciona a una persona identificada con su motivo de consulta. Por eso conviene tratar el chat como lo que es: un tratamiento de datos personales de tu consulta, con las mismas obligaciones que el resto.
Fuentes: Reglamento (UE) 2016/679 (RGPD), arts. 4.15 y 9.
Qué principios del RGPD pesan en la mensajería con pacientes
- Minimización (art. 5.1.c): los datos deben ser «adecuados, pertinentes y limitados a lo necesario». Para confirmar una cita no hace falta repetir el apellido ni el motivo de consulta.
- Protección de datos desde el diseño y por defecto (art. 25): decide de antemano qué circula por el chat y qué no, en lugar de improvisar en cada mensaje.
- Seguridad (art. 32): debes aplicar medidas técnicas y organizativas adecuadas al riesgo, como el cifrado y la capacidad de garantizar la confidencialidad de los sistemas. Un móvil sin bloqueo, compartido con la familia o sincronizado en varios equipos no ayuda.
- Proveedores (art. 28): si un servicio trata datos personales por tu cuenta, el RGPD exige un contrato con el encargado del tratamiento. Antes de enviar datos de salud por cualquier aplicación, comprueba qué papel tiene el proveedor y qué condiciones ofrece; no lo des por supuesto. Tienes una lista de comprobación en nuestra guía del contrato de encargado del tratamiento para psicólogos.
Además, el secreto profesional es un deber deontológico independiente del RGPD: el Código Deontológico del Psicólogo recoge que toda la información que recoge el profesional está sujeta a secreto profesional, del que solo puede eximirle el consentimiento expreso del cliente.
Fuentes: RGPD, arts. 5, 25, 28 y 32; Código Deontológico del Psicólogo (COP, 2010), art. 40.
Qué puedes enviar por WhatsApp y qué no
Mensajes de logística (lo razonable)
- Confirmar, mover o cancelar una cita.
- Avisar de un retraso propio o del paciente.
- Enviar el enlace de una videollamada o la dirección de la consulta.
- Recordar un pago pendiente, sin detallar el servicio más allá de lo imprescindible.
Contenido que conviene mantener fuera del chat
- Resúmenes de sesión, tareas con contenido personal o impresiones sobre el caso.
- Resultados de tests y cuestionarios, informes o certificados.
- Audios largos o fotos con información de salud.
- Cualquier mensaje a un grupo con varios pacientes: compartir datos entre personas que no deben verlos puede vulnerar la confidencialidad. En terapia de pareja o familiar, usa canales individuales o acordados por todos; en nuestra guía de historia clínica en terapia de pareja y familiar explicamos cómo manejar los datos de varias personas.
Si el paciente te escribe contenido clínico, no hace falta cortar el vínculo: agradece el mensaje, indica que lo tratarás en la próxima sesión y deja claro cuál es el uso del canal.
Protocolo en 6 pasos para usar WhatsApp en consulta
- Separa lo profesional de lo personal. Un número y, si es posible, un dispositivo de uso profesional, con bloqueo de pantalla y copia de seguridad cifrada.
- Informa y recoge la aceptación por escrito. Incluye el uso de mensajería en el documento de consentimiento: qué canal se usa, para qué, en qué horarios y que el paciente puede pedir otra vía. Qué incluir exactamente lo cuenta nuestra guía de consentimiento informado en psicología.
- Limita el contenido. Usa plantillas de mensaje para confirmar y recordar citas, sin motivo de consulta ni datos clínicos.
- Define horarios y límites. Indica cuándo respondes y que el canal no es para urgencias, señalando a qué recurso debe acudir el paciente en esos casos.
- Decide qué pasa con los mensajes relevantes. Lo que sea clínicamente relevante se registra en la historia clínica, que es donde está la información veraz y actualizada del paciente; el chat no la sustituye. Qué debe incluir una historia clínica lo resumimos en el siguiente apartado.
- Revisa y borra. Elimina conversaciones antiguas del dispositivo cuando ya no sean necesarias y revisa quién tiene acceso a tus equipos.
¿Los mensajes forman parte de la historia clínica?
La Ley 41/2002 establece que la historia clínica incorporará la información que se considere trascendental para el conocimiento veraz y actualizado del estado de salud del paciente. Es un criterio profesional: un «llego 10 minutos tarde» no es relevante, pero un mensaje en el que el paciente comunica algo que afecta al tratamiento sí puede serlo.
Lo prudente es no dejar esa información solo en el chat. Anótala en la historia clínica con fecha y una frase que recoja lo esencial, y evita conservar capturas de pantalla dispersas. Si el paciente ejerce su derecho de acceso, tendrás que localizar sus datos en todos los sitios donde los guardes; tienes el procedimiento en nuestra guía de solicitud de acceso a la historia clínica.
Centralizar el contenido clínico en un solo sistema ayuda a que no se disperse. Por ejemplo, si utilizas TherapyRecap para transcribir y estructurar las notas de sesión, lo clínico queda en la ficha del paciente y el chat se queda en lo logístico.
Fuentes: Ley 41/2002, art. 15 (BOE).
Qué hacer si pierdes el móvil o alguien accede a los chats
Perder un dispositivo con conversaciones de pacientes, o que un tercero lea el chat, puede ser una violación de la seguridad de los datos personales. El RGPD exige notificarla a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tienes constancia, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Anota qué ha ocurrido y qué datos estaban afectados, y valora la comunicación a los interesados cuando proceda. Ante la duda sobre si debes notificar, consulta con tu colegio profesional o con un asesor en protección de datos.
Fuentes: RGPD, art. 33. Complementa con la Guía para profesionales del sector sanitario de la AEPD (2022), que trata el acceso a datos de salud, la confidencialidad y la responsabilidad proactiva.
Preguntas frecuentes
¿Puedo usar mi WhatsApp personal con pacientes?
Técnicamente puedes, pero es poco recomendable: mezclas datos personales y profesionales en el mismo dispositivo y pierdes control sobre quién accede a ellos. Un número y un dispositivo profesionales facilitan aplicar las medidas de seguridad del artículo 32 del RGPD.
¿Necesito consentimiento del paciente para escribirle por WhatsApp?
Conviene informarle y dejar constancia por escrito del canal que usarás y para qué. Añadir una cláusula sobre mensajería a tu documento de consentimiento es la vía más sencilla, y el paciente debe poder elegir otra forma de contacto.
¿Debo guardar los mensajes en la historia clínica?
Solo lo que sea clínicamente relevante, según tu criterio profesional, y registrado en la historia clínica, no como un volcado del chat. Los mensajes puramente logísticos no necesitan pasar a ella.
¿Qué hago si un paciente me escribe fuera de horario?
Define en el consentimiento tus horarios de respuesta y que el canal no es para urgencias. Así evitas expectativas de disponibilidad permanente y proteges tu descanso.
Este artículo es orientativo y no constituye asesoramiento jurídico. Para tu caso concreto, consulta con tu colegio profesional o con un asesor en protección de datos.
Finalista de INCIBE Emprende Ventures