RGPD para psicólogos online

Lo que nadie te explicó sobre protección de datos en terapia online

La mayoría de psicólogos que empiezan a trabajar online se hacen una pregunta demasiado tarde: ¿mi consulta digital cumple realmente con el RGPD?

La respuesta incómoda es esta: tener una política de privacidad en la web, usar una plataforma conocida de videollamada o enviar un consentimiento informado por email no significa, por sí solo, que tu práctica online esté bien estructurada.

En psicología online no tratas datos neutros. Tratas identidad, historia clínica, información emocional, datos de salud, antecedentes familiares, crisis, medicación, diagnósticos, hábitos, relaciones, trauma, conflictos laborales, dinámicas de pareja y, en muchos casos, información altamente sensible que puede afectar la vida personal, profesional y jurídica de una persona.

Por eso el RGPD para psicólogos online no puede entenderse como un trámite administrativo. Es una parte de la arquitectura profesional de tu consulta.

No se trata solo de «cumplir». Se trata de saber si tu forma de captar pacientes, registrar información, hacer sesiones, almacenar documentos y comunicarte fuera de consulta está diseñada con criterio clínico, técnico y legal.

El error de base: confundir privacidad con papeleo

Uno de los errores más frecuentes es creer que el RGPD se resuelve con tres documentos:

• una política de privacidad en la web;
• un consentimiento informado;
• una casilla de aceptación en un formulario.

Eso puede formar parte del sistema, pero no es el sistema.

El RGPD exige una lógica de responsabilidad activa. Es decir: no basta con decir que proteges los datos. Debes poder demostrar que has pensado el tratamiento de datos, que has elegido herramientas adecuadas, que has aplicado medidas proporcionales al riesgo y que sabes qué hacer si algo falla.

En terapia online, esta exigencia se vuelve más delicada porque la consulta ya no ocurre solo en una sala física. Ocurre en una cadena digital: web, formulario de contacto, email, agenda, pasarela de pago, videollamada, almacenamiento, historia clínica, facturación, mensajería, automatizaciones y posibles herramientas de inteligencia artificial.

Cada punto de esa cadena puede ser una puerta de entrada al riesgo.

Los datos de salud no son datos comunes

En psicología, los datos personales tratados suelen incluir datos de salud. Esto cambia el nivel de exigencia.

Los datos de salud pertenecen a las llamadas categorías especiales de datos. En la práctica, esto significa que requieren una protección reforzada y no pueden tratarse con la misma ligereza que un nombre, un email o una preferencia comercial.

Para un psicólogo online, esto afecta a cuestiones muy concretas:

• qué información pides en el formulario de contacto;
• si permites que el paciente describa síntomas en un formulario no seguro;
• cómo envías documentos clínicos;
• dónde guardas la historia clínica;
• qué plataforma usas para videoterapia;
• si grabas o no sesiones;
• qué ocurre con las notas clínicas;
• cómo gestionas el acceso a expedientes;
• cómo separas datos clínicos, administrativos y comerciales.

Aquí aparece un punto clave: no todo dato debe recogerse desde el primer contacto.

Un formulario público de captación no debería convertirse en una historia clínica anticipada. Cuanto más sensible sea la información, más cuidado debes tener con el canal, la finalidad y la necesidad real de recogerla.

Consentimiento informado no es lo mismo que consentimiento RGPD

Este es uno de los puntos que casi nadie explica bien.

En psicología online hay, al menos, dos planos diferentes:

1. El consentimiento informado clínico.
2. La base jurídica para el tratamiento de datos personales.

El consentimiento informado clínico tiene que ver con la intervención: modalidad online, límites, objetivos, riesgos, confidencialidad, emergencias, comunicación fuera de sesión, honorarios, cancelaciones y condiciones del proceso.

La base jurídica del tratamiento de datos tiene que ver con por qué puedes tratar esos datos personales dentro del marco del RGPD y la normativa aplicable.

Confundir ambos planos produce documentos pobres. El paciente firma algo, sí. Pero el profesional no necesariamente tiene un sistema claro.

Un consentimiento informado sólido para psicología online debería contemplar, como mínimo:

• identidad del profesional;
• número de colegiación;
• modalidad de atención online;
• límites de la terapia online;
• condiciones técnicas mínimas para la sesión;
• protocolo ante interrupciones de conexión;
• límites de confidencialidad;
• actuación ante riesgo clínico;
• canales autorizados de comunicación;
• política de cancelación;
• tratamiento de datos personales;
• custodia documental;
• uso o no uso de grabaciones;
• jurisdicción o marco territorial cuando corresponda;
• información básica sobre derechos del paciente.

No se trata de hacer un documento eterno. Se trata de que el documento refleje la realidad operativa de tu práctica.

El stack digital también forma parte del cumplimiento

Muchos psicólogos preguntan: «¿Puedo usar Zoom?», «¿Puedo usar Google Drive?», «¿Puedo usar WhatsApp?», «¿Puedo pasar cuestionarios por Google Forms?».

La pregunta correcta no es solo si una herramienta es famosa o cómoda. La pregunta correcta es:

¿Qué datos pasan por esta herramienta, con qué finalidad, bajo qué configuración, con qué garantías y con qué contrato o condiciones de tratamiento?

Tu stack digital puede incluir:

• página web;
• formularios de contacto;
• email profesional;
• agenda online;
• plataforma de videollamada;
• almacenamiento documental;
• software de historia clínica;
• sistema de facturación;
• pasarela de pago;
• automatizaciones;
• herramientas de firma digital;
• inteligencia artificial o asistentes internos.

Cada herramienta debe evaluarse según el tipo de dato que procesa. No es lo mismo una herramienta que solo gestiona nombre y email para una newsletter que una herramienta donde se almacena información clínica.

Tampoco es lo mismo usar una plataforma con configuración profesional que usar una cuenta personal sin control, sin contrato adecuado y sin separación entre vida privada y actividad sanitaria.

La práctica online exige una separación clara entre comodidad y seguridad. Lo cómodo no siempre es aceptable. Lo aceptable no siempre viene configurado por defecto.

La videoterapia no empieza en la videollamada

Otro error habitual es pensar que la terapia online equivale a elegir una herramienta de videollamada.

La videollamada es solo una parte visible. Antes de esa sesión, el paciente ha pasado por una ruta:

1. Descubre tu web o perfil.
2. Lee tu propuesta profesional.
3. Rellena un formulario.
4. Agenda una cita.
5. Recibe emails automáticos.
6. Firma o acepta condiciones.
7. Realiza un pago.
8. Accede a un enlace de sesión.
9. Comparte información clínica.

Después de la sesión, puede haber:

• notas clínicas;
• tareas terapéuticas;
• emails de seguimiento;
• envío de materiales;
• facturas;
• cambios de cita;
• incidencias;
• derivaciones;
• comunicaciones de riesgo.

Por tanto, evaluar el RGPD de tu consulta online mirando solo la plataforma de videollamada es una evaluación incompleta.

La pregunta no es: «¿Mi videollamada es segura?».

La pregunta es: ¿mi circuito completo de atención online está diseñado para proteger datos clínicos?

Qué debería revisar un psicólogo online

Sin entrar en asesoramiento jurídico individual, hay una serie de áreas que todo psicólogo online debería auditar.

1. Captación y formularios

Revisa qué datos pides antes de que exista una relación profesional formal.

Un error frecuente es pedir motivo de consulta, diagnóstico, medicación, antecedentes o información familiar en formularios básicos de contacto. Si lo haces, el canal debe estar justificado y protegido.

Para una primera toma de contacto, muchas veces basta con datos mínimos: nombre, email, teléfono, país, disponibilidad y una descripción breve no clínica o poco sensible.

2. Política de privacidad

Tu política de privacidad debe estar adaptada a tu actividad real. No basta una plantilla genérica.

Debe explicar quién es el responsable, qué datos se tratan, con qué finalidad, durante cuánto tiempo, con qué base jurídica, si hay encargados de tratamiento, cómo ejercer derechos y qué ocurre con proveedores tecnológicos.

3. Consentimiento informado online

Debe estar adaptado a terapia online, no copiado de una consulta presencial.

La modalidad online introduce aspectos específicos: conexión, privacidad del entorno del paciente, limitaciones técnicas, actuación ante cortes, emergencias, ubicación del paciente, canales autorizados y límites de comunicación entre sesiones.

4. Historia clínica y notas

Las notas clínicas deben custodiarse con criterios claros. No deberían estar dispersas entre cuadernos, apps personales, carpetas sin cifrado, emails y archivos descargados sin estructura.

El problema no es solo guardar. Es saber qué guardas, por qué, dónde, quién accede, durante cuánto tiempo y cómo lo proteges.

5. Email y mensajería

El email no debería usarse sin criterio para enviar información clínica sensible. WhatsApp, Telegram u otros canales pueden ser útiles para logística, pero son problemáticos si se convierten en espacios de intervención, crisis o intercambio de información clínica sin límites.

Define qué canal sirve para qué. Agenda no es terapia. Email no es historia clínica. WhatsApp no es consulta permanente.

6. Proveedores y contratos

Si una herramienta procesa datos personales por cuenta de tu actividad, debes revisar si actúa como proveedor, encargado de tratamiento o plataforma con sus propias condiciones.

Esto incluye agenda online, formularios, almacenamiento, email marketing, facturación y videollamada. No se trata solo de usar herramientas «conocidas», sino de saber qué papel cumplen en tu ecosistema.

7. Incidencias y brechas de seguridad

¿Qué harías si pierdes un dispositivo, envías un documento al paciente equivocado, se filtra un archivo, alguien accede a una cuenta o una plataforma sufre una incidencia?

Si no tienes respuesta, no tienes sistema. Tienes improvisación.

Señales de riesgo en una consulta psicológica online

Estas señales no significan automáticamente incumplimiento, pero sí indican que deberías revisar tu estructura:

• usas el mismo email para vida personal y consulta;
• guardas notas clínicas en documentos sueltos;
• recibes motivos de consulta extensos por formularios básicos;
• compartes materiales clínicos por canales no definidos;
• no tienes consentimiento informado específico para terapia online;
• no sabes dónde están alojados tus datos;
• no tienes claro qué proveedores acceden a información de pacientes;
• usas automatizaciones sin revisar qué datos circulan;
• no separas comunicación administrativa y clínica;
• no tienes protocolo ante crisis o riesgo;
• no sabes qué hacer ante una brecha de seguridad.

Si te reconoces en varios puntos, el problema no es que seas negligente. El problema es que tu consulta online creció por acumulación de herramientas, no por diseño.

Y ese es exactamente el patrón que MORI busca corregir: pasar de una práctica improvisada a una práctica estructurada.

RGPD, clínica y reputación profesional

El RGPD no debería abordarse solo por miedo a sanciones. En psicología online, la protección de datos también tiene un valor clínico y reputacional.

Un paciente que comparte información íntima necesita saber que existe un marco. No solo un vínculo terapéutico. También una estructura.

Cuando tu práctica está bien diseñada, transmites algo que no se puede fingir: criterio.

Ese criterio se percibe en cómo explicas las condiciones, cómo envías documentos, cómo organizas las sesiones, cómo separas lo administrativo de lo clínico, cómo respondes ante incidencias y cómo delimitas canales.

La confianza no depende solo de tu calidez. Depende también de tu arquitectura profesional.

Lo que nadie te explicó: el RGPD no va separado de tu modelo de consulta

La protección de datos no es una capa que se añade al final. Afecta al modelo completo.

Si vendes terapia online, pero no tienes definida tu ruta de admisión, tus límites de comunicación, tus herramientas, tus documentos, tus protocolos de crisis y tu custodia clínica, el RGPD aparece como un problema constante.

Si, en cambio, diseñas tu práctica como un sistema, el cumplimiento deja de ser una carga aislada y pasa a formar parte de tu forma de trabajar.

Esto no significa convertirte en jurista. Significa dejar de operar como si lo digital fuera una versión cómoda de la consulta presencial.

No lo es.

La consulta online tiene otra arquitectura. Y exige otro nivel de diseño.

Cómo empezar: una auditoría mínima de riesgo

Antes de comprar más herramientas o copiar más documentos, conviene hacer una auditoría básica.

Pregúntate:

1. ¿Qué datos personales recojo antes, durante y después del proceso terapéutico?
2. ¿Cuáles son datos de salud o información especialmente sensible?
3. ¿Qué herramientas procesan esos datos?
4. ¿Dónde se almacenan?
5. ¿Quién puede acceder?
6. ¿Durante cuánto tiempo los conservo?
7. ¿Qué documentos firmó o aceptó el paciente?
8. ¿Qué canales están autorizados para comunicación clínica?
9. ¿Qué haría ante una urgencia clínica online?
10. ¿Qué haría ante una brecha de seguridad?

Si no puedes responder con claridad, tienes una oportunidad: ordenar tu práctica antes de escalarla.

---

Auditoría inicial

¿Tu consulta online protege realmente los datos clínicos?

Haz el Test de Riesgo RGPD para Psicólogos Online y detecta puntos débiles en formularios, consentimiento, herramientas, historia clínica, comunicación y custodia documental.

Hacer el test de riesgo

Preguntas frecuentes

¿Un psicólogo online tiene que cumplir el RGPD?

Sí. Un psicólogo online trata datos personales y, habitualmente, datos de salud o información especialmente sensible. Por tanto, debe aplicar criterios de protección de datos, confidencialidad, seguridad, información al paciente y custodia documental.

¿Puedo usar WhatsApp con pacientes?

Puede utilizarse con mucha cautela para comunicación logística si está bien delimitado, pero no debería convertirse en un canal informal de intervención clínica, envío de información sensible o gestión de crisis sin protocolo claro.

¿El consentimiento informado cubre el RGPD?

No completamente. El consentimiento informado clínico y la base jurídica para el tratamiento de datos personales no son lo mismo. Ambos deben estar coordinados, pero cumplen funciones diferentes.

¿Puedo hacer terapia online con cualquier plataforma de videollamada?

No basta con que la plataforma sea conocida. Debe revisarse qué datos trata, con qué configuración, bajo qué condiciones, qué medidas de seguridad ofrece y si encaja con el tipo de información clínica que se maneja.

¿Qué es un test de riesgo RGPD para psicólogos online?

Es una herramienta de autoevaluación para detectar puntos débiles en el circuito digital de una consulta psicológica online: captación, formularios, herramientas, consentimiento, historia clínica, comunicación, almacenamiento y protocolos.

Nota: Este artículo tiene finalidad informativa y formativa. No sustituye asesoramiento jurídico individual ni la revisión específica de documentos clínicos, contratos, protocolos o políticas de protección de datos. Para decisiones legales o documentales, consulta con un especialista en protección de datos y normativa sanitaria aplicable.