Guía legal · España y LatinoaméricaActualizado el 27 de septiembre de 2026

Google Drive, WhatsApp, Meet y Word: ¿cumplen la protección de datos para un psicólogo?

Ninguna herramienta es «legal» o «ilegal» por sí misma. Lo que decide si puedes usarla con datos de pacientes son tres cosas: si hay contrato de encargado del tratamiento, a dónde viajan los datos y cómo proteges la cuenta y el dispositivo.

Respuesta corta

▪Una cuenta gratuita de Google (@gmail.com) se rige por los Términos del Servicio de Google, que no incluyen un contrato de encargado del tratamiento; sin ese contrato no cumples el artículo 28 del RGPD al guardar historias clínicas en Drive o enviarlas por Gmail.
▪Google Workspace de empresa, y la suscripción de pago Google Workspace Personal sobre una cuenta @gmail.com, incorporan la Adenda sobre Tratamiento de Datos de Cloud (CDPA), en la que Google actúa como encargado del tratamiento.
▪WhatsApp cifra de extremo a extremo los mensajes personales por defecto, pero las copias de seguridad en Google Drive o iCloud no lo están salvo que actives la copia cifrada, y la AEPD considera que probablemente no es aconsejable comunicar datos sensibles por mensajería.
▪Google Meet cifra en tránsito todas las videollamadas por defecto; el cifrado es el mismo en la versión gratuita, lo que cambia con Workspace es que existe contrato de encargado.
▪Word o Excel en tu ordenador no implican a ningún tercero, pero la historia clínica queda tan protegida como el propio dispositivo, y OneDrive puede estar sincronizando las carpetas Documentos y Escritorio.
▪Los datos de salud mental son categoría especial (art. 9 RGPD) y, en Latinoamérica, datos sensibles; en todos los países que cubrimos la ley limita además las transferencias a otros países.

La pregunta llega casi siempre así: «¿un Google Drive gratuito cumple la ley de protección de datos para un psicólogo?», y justo después «¿y Google Meet?», «¿y Word?». Es una duda razonable, porque la mayoría de consultas pequeñas empezaron con estas herramientas y funcionan bien para el día a día.

La respuesta honesta es que la herramienta no cumple ni incumple por sí sola. Quien cumple o incumple eres tú, como responsable del tratamiento, y lo que la ley te pide es comprobable: un contrato con quien guarda los datos por ti, garantías si esos datos salen de tu país y medidas de seguridad proporcionadas a unos datos que son de los más delicados que existen. Los fundamentos generales están en nuestra guía de RGPD para psicólogos en España; aquí vamos herramienta por herramienta.

Esta guía toma como referencia el RGPD y la Guía para profesionales del sector sanitario de la AEPD, y al final resume qué norma equivalente aplica en México, Argentina, Chile, Colombia, Perú y Ecuador.

Las tres preguntas que deciden si puedes usar una herramienta

Sirven igual para Google, Microsoft, Meta, Zoom o cualquier software de gestión, incluido el que uses ahora.

•¿Hay contrato de encargado del tratamiento? Si un tercero guarda o procesa datos de tus pacientes por tu cuenta, el artículo 28 del RGPD exige un contrato por escrito, también electrónico, que fije qué datos trata, con qué instrucciones y qué garantías ofrece. La AEPD lo recuerda expresamente para quien contrata la gestión de historias clínicas con un tercero. Las cuentas de consumo de las grandes plataformas no lo incluyen; las versiones profesionales, sí.
•¿A qué país viajan los datos? Sacar datos personales del Espacio Económico Europeo exige una base de los artículos 44 a 46 del RGPD: una decisión de adecuación o garantías como las cláusulas contractuales tipo. Para Estados Unidos existe desde el 10 de julio de 2023 el Marco de Privacidad de Datos UE-EE. UU., que cubre a las empresas adheridas. En Latinoamérica las leyes nacionales también limitan las transferencias a países sin protección adecuada.
•¿Cómo están protegidos la cuenta y el dispositivo? El artículo 32 del RGPD pide medidas de seguridad adecuadas al riesgo, y con datos de salud el riesgo es alto. Verificación en dos pasos, cifrado del dispositivo, bloqueo de pantalla y control de quién tiene acceso a cada carpeta pesan tanto como el contrato. Un Workspace con contrato perfecto y una contraseña reutilizada sigue siendo un problema.

Herramienta por herramienta

Qué dice cada proveedor en sus propios términos y qué condición tendrías que cumplir para usarlo con datos de pacientes.

Herramienta	¿Para datos clínicos?	Condición
Google Drive o Gmail con cuenta gratuita @gmail.com	No recomendable	Se rige por los Términos del Servicio de Google, que no incluyen un contrato de encargado. Sin él falta la pieza del art. 28 RGPD.
Google Workspace (Business, Enterprise) o Workspace Personal de pago	Sí, con condiciones	Tener aceptada la Adenda sobre Tratamiento de Datos de Cloud (CDPA), activar verificación en dos pasos y restringir el uso compartido de carpetas.
Google Meet gratis	Para sesiones, no recomendable	El cifrado en tránsito es el mismo que en Workspace, pero no hay contrato de encargado.
Google Meet dentro de Workspace	Sí, con condiciones	Cubierto por la CDPA. Si grabas, la grabación se guarda en Drive y necesitas consentimiento explícito del paciente.
Zoom	Sí, con condiciones	Zoom incorpora su adenda de tratamiento de datos a los Términos del Servicio para todos los clientes, y declara el Marco de Privacidad de Datos y cláusulas tipo para las transferencias.
WhatsApp personal	Solo para citas	Cifrado de extremo a extremo por defecto, pero no hay contrato de encargado y las copias en Drive o iCloud no van cifradas salvo que lo actives.
WhatsApp Business (app gratuita)	Solo para citas	Mismo cifrado y mismas limitaciones que la app personal para contenido clínico.
WhatsApp Business Platform (Cloud API)	Recordatorios automatizados	Meta actúa como encargado del tratamiento, pero descifra los mensajes en su servidor y los conserva hasta 30 días.
Word o Excel en local	Sí, con condiciones	Disco cifrado, usuario con contraseña, copia de seguridad propia y comprobar que la carpeta no se sincroniza con OneDrive u otra nube.
OneDrive o Microsoft 365 Personal / Familia	No recomendable	El Contrato de Servicios de Microsoft los destina a uso personal, no comercial, salvo contrato comercial independiente.
Microsoft 365 para empresas	Sí, con condiciones	Incluye la Adenda de Protección de Datos de Productos y Servicios de Microsoft (DPA). Mismas medidas de seguridad que en Workspace.

Cuadro orientativo basado en los términos publicados por cada proveedor a 27 de septiembre de 2026. «Sí, con condiciones» no significa que la herramienta te haga cumplir: significa que tiene la pieza contractual que la versión gratuita no tiene.

Google Drive y Gmail: gratis frente a Workspace

La diferencia que importa aquí es contractual. Con una cuenta @gmail.com gratuita aceptas los Términos del Servicio de Google y su Política de Privacidad, que no contienen cláusulas de encargado del tratamiento.

Google Workspace incluye la Adenda sobre Tratamiento de Datos de Cloud (CDPA), que incorpora las cláusulas contractuales tipo para la UE, Reino Unido y Suiza. Si tu contrato no la incluye por referencia, un superadministrador la acepta desde la consola de administración, en Cuenta › Configuración de la cuenta › Información legal y de cumplimiento. Google recomienda aceptarla incluso si no estás seguro de si ya la tienes.

Hay una vía intermedia que poca gente conoce: Google Workspace Personal, una suscripción de pago sobre tu misma cuenta @gmail.com. Sus Términos Adicionales incorporan la misma adenda y establecen que, cuando usas Gmail, Drive o Meet con fines profesionales, Google trata los datos como encargado.

Aun con contrato, Drive es un almacén de archivos, no un gestor de historias clínicas: ordenar las notas de evolución, los consentimientos y los plazos de conservación de cada paciente sigue siendo cosa tuya. Si llevas la agenda en Google Calendar y las notas en carpetas, hemos comparado esa combinación con un software específico en Freud frente a Excel y Google Calendar.

WhatsApp: el contenido va cifrado, lo demás no siempre

Los mensajes y llamadas personales de WhatsApp están cifrados de extremo a extremo por defecto: ni Meta ni nadie en el camino puede leer su contenido. Eso es cierto y es mucho.

Lo que el cifrado no cubre: primero, la información de uso y del dispositivo que WhatsApp recoge según su propia política de privacidad, como la actividad en el servicio, la dirección IP o el modelo del teléfono. Segundo, las copias de seguridad: si el chat se guarda en Google Drive o iCloud, esa copia no está cifrada de extremo a extremo salvo que actives la copia de seguridad cifrada, que es opcional. Tercero, el propio teléfono: cualquiera que lo desbloquee lee el historial entero.

La Guía para profesionales del sector sanitario de la AEPD aborda el tema directamente. Admite usar el número de teléfono del paciente para recordarle una cita «siendo indiferente cuál sea la aplicación concreta», siempre que el mensaje le llegue solo a él y no a un grupo. Pero advierte de que la mensajería implica un tratamiento adicional por parte de un tercero, que debes ofrecer siempre medios alternativos de comunicación y que, por la falta de medidas de seguridad aceptables en algunos sistemas, «es probable que no sea aconsejable» comunicarse con el paciente por esos medios cuando se trate de datos sensibles.

WhatsApp Business, la app gratuita, no cambia este análisis: tiene el mismo cifrado y el mismo problema con las copias y el teléfono. Distinta es la WhatsApp Business Platform (Cloud API), la que usan los sistemas de recordatorios automáticos: ahí Meta sí actúa como encargado del tratamiento, pero el mensaje se descifra en su servidor antes de llegar a la empresa y se conserva hasta 30 días. Sirve para recordatorios, no para enviar informes.

Word y Excel: sin nube de por medio, el riesgo es el dispositivo

Un documento de Word o una hoja de Excel guardados solo en tu ordenador no implican a ningún encargado del tratamiento: nadie más guarda esos datos por ti. En ese sentido son más sencillos que Drive.

El riesgo se desplaza al equipo. Un portátil sin cifrar que se pierde es una brecha de seguridad que en España se notifica a la AEPD en 72 horas (art. 33 RGPD). Y conviene comprobar algo que muchos no saben: la copia de seguridad de carpetas de OneDrive puede proteger las carpetas Escritorio, Documentos e Imágenes, de modo que ese «archivo local» puede estar subiéndose a un OneDrive personal. Se revisa y desactiva en la pestaña Sincronizar y hacer copia de seguridad de la configuración de OneDrive.

Microsoft 365 Personal y Familia están destinados, según el Contrato de Servicios de Microsoft, a uso personal y no comercial salvo que tengas un contrato comercial aparte. Las suscripciones de empresa incorporan la Adenda de Protección de Datos de Productos y Servicios de Microsoft, que es el documento que buscas.

Si ejerces en Latinoamérica

La lógica es la misma en los siete países: datos de salud como datos sensibles, obligación de seguridad y límites a sacar datos del país. Cambian la norma y la autoridad.

País	Norma de datos	Datos fuera del país	Guía
España	RGPD y LOPDGDD	Arts. 44 a 46 RGPD: decisión de adecuación o garantías adecuadas	RGPD para psicólogos
México	LFPDPPP (nueva ley publicada en el DOF el 20 de marzo de 2025)	La ley regula las transferencias; la autoridad pasó del INAI a la Secretaría Anticorrupción y Buen Gobierno	Protección de datos en México
Argentina	Ley 25.326	Art. 12: prohibida la transferencia a países sin niveles de protección adecuados, con excepciones	Protección de datos en Argentina
Chile	Ley 19.628; Ley 21.719 desde el 1 de diciembre de 2026	La Ley 21.719 exige nivel adecuado, cláusulas contractuales u otras garantías	Protección de datos en Chile
Colombia	Ley 1581 de 2012	Art. 26: prohibida la transferencia a países sin niveles adecuados, salvo excepciones como la autorización expresa del titular	Protección de datos en Colombia
Perú	Ley 29733	Art. 15: el flujo transfronterizo exige un nivel suficiente de protección o que el emisor lo garantice	Protección de datos en Perú
Ecuador	LOPDP	Arts. 55 a 61: país con nivel adecuado (art. 56) o garantías adecuadas (art. 57)	Protección de datos en Ecuador

Si los servidores del proveedor están fuera de tu país, usarlo implica una transferencia o remisión internacional de datos: pregunta dónde se alojan antes de contratar. Si además atiendes online a pacientes que viven en otro país, mira la guía de telepsicología con pacientes en otro país.

Si ya lo usas: cómo reducir el riesgo hoy

No hace falta migrarlo todo esta semana. Estos pasos, en este orden, cierran los agujeros más grandes.

1Activa la verificación en dos pasos en Google, Microsoft y WhatsApp. Es la medida más barata y la que más incidentes evita. Una cuenta de correo comprometida da acceso a todo lo que cuelga de ella, Drive incluido.
2Cifra el ordenador y el teléfono. BitLocker en Windows, FileVault en Mac y el bloqueo con código en el móvil. Si pierdes un dispositivo cifrado, el riesgo para los pacientes baja drásticamente.
3Saca el contenido clínico de WhatsApp. Deja el chat para fechas y horas. Los informes, por un canal con contrato y control de acceso. Si mantienes el historial, activa la copia de seguridad cifrada de extremo a extremo.
4Pasa de la cuenta gratuita a una con contrato de encargado. Workspace, Workspace Personal, Microsoft 365 para empresas o un software clínico que te firme el contrato. Acepta la adenda y guarda una copia con la fecha.
5Revisa con quién compartes cada carpeta. Quita los enlaces «cualquiera con el enlace» y los accesos de personas que ya no colaboran contigo.
6Comprueba qué se sincroniza sin que lo sepas. La copia de carpetas de OneDrive, las fotos del móvil que se suben solas con documentos escaneados, las descargas de adjuntos.
7Déjalo por escrito. Anota en tu registro de actividades qué herramienta usas para qué, con qué contrato y dónde están los servidores. Informa al paciente de los canales en tu consentimiento informado.

El secreto profesional va aparte

Cumplir la protección de datos no agota tus obligaciones. El deber de secreto profesional sigue vigente sea cual sea la herramienta, y un mensaje reenviado por error a un grupo o una carpeta compartida con quien no debía puede vulnerar ambos a la vez. Lo desarrollamos en cuándo se puede romper el secreto profesional.

Veredicto

No hace falta demonizar las herramientas de uso diario. Hace falta usar la versión correcta y para lo que sirve.

Razonable

✓Google Workspace o Microsoft 365 de empresa con la adenda de tratamiento aceptada y verificación en dos pasos
✓Zoom o Meet dentro de Workspace para las sesiones online
✓WhatsApp para confirmar y recordar citas, dirigido solo al paciente y sin motivo de consulta
✓Word o Excel en un equipo cifrado y sin sincronización a una nube personal
✓Un software clínico que te firme el contrato de encargado

Evitable

→Historias clínicas en un Google Drive o OneDrive gratuito
→Enviar informes o notas de sesión por WhatsApp o por Gmail gratuito
→Copias de WhatsApp con conversaciones clínicas en Drive o iCloud sin cifrar
→Carpetas compartidas con enlace abierto
→Ordenadores y teléfonos sin cifrado ni código de bloqueo

Preguntas frecuentes

¿Un Google Drive gratuito cumple la ley de protección de datos para un psicólogo?+

Para guardar historias clínicas, no es recomendable. La cuenta gratuita @gmail.com se rige por los Términos del Servicio de Google, que no incluyen un contrato de encargado del tratamiento, y el artículo 28 del RGPD exige ese contrato cuando un tercero guarda datos por ti. Google Workspace de empresa y la suscripción de pago Workspace Personal sí incorporan la Adenda sobre Tratamiento de Datos de Cloud.

¿Y Google Meet?+

Google Meet cifra en tránsito todas las videollamadas por defecto, con los estándares DTLS y SRTP, y las grabaciones guardadas en Drive se cifran en reposo. El cifrado es igual en la versión gratuita; lo que aporta Google Workspace es el contrato de encargado del tratamiento. Para sesiones con pacientes, usa Meet dentro de Workspace con la adenda aceptada.

¿Y Word?+

Word en local no implica a ningún tercero, así que no necesitas contrato de encargado, pero la historia clínica queda tan protegida como tu ordenador: disco cifrado, usuario con contraseña y copia de seguridad propia. Comprueba que la carpeta no se sincroniza con OneDrive, porque su copia de seguridad de carpetas puede incluir Documentos y Escritorio. Microsoft 365 Personal y Familia están pensados para uso no comercial; para uso profesional, Microsoft 365 para empresas incluye la adenda de protección de datos.

¿WhatsApp es seguro para enviar informes?+

No es el canal adecuado. Los mensajes van cifrados de extremo a extremo, pero no hay contrato de encargado, la copia de seguridad en Google Drive o iCloud no está cifrada salvo que actives la copia cifrada, y cualquiera con acceso al teléfono lee el historial. La AEPD considera que probablemente no es aconsejable comunicar datos sensibles por mensajería. Úsalo para citas y envía los informes por un canal con contrato y control de acceso.

¿Puedo usar WhatsApp Business para recordar citas?+

Sí. La AEPD admite usar el teléfono del paciente para recordarle una cita, con cualquier aplicación, siempre que el mensaje le llegue solo a él y no a un grupo. Informa del canal en el consentimiento, limita el mensaje a fecha y hora y ofrece una alternativa si el paciente no quiere WhatsApp.

¿Y Excel para llevar la lista de pacientes?+

Aplica lo mismo que a Word: sin nube no hay encargado, pero sí obligación de seguridad. Una hoja con nombres y diagnósticos en un portátil sin cifrar es de los riesgos más comunes en consultas pequeñas. Si la subes a Drive o a OneDrive, vuelve la pregunta del contrato de encargado.

¿El problema es que los servidores estén en Estados Unidos?+

No por sí solo. Desde el 10 de julio de 2023 la Comisión Europea considera adecuado el Marco de Privacidad de Datos UE-EE. UU. para las empresas adheridas, y las grandes plataformas usan además cláusulas contractuales tipo. En Latinoamérica, leyes como la 25.326 argentina (art. 12) o la 1581 colombiana (art. 26) también restringen las transferencias a países sin protección adecuada.

Fuentes

Última revisión: 27 de septiembre de 2026. Esta página es contenido informativo y no sustituye al asesoramiento jurídico o fiscal profesional.

Seguir leyendo

Tu historia clínica, ordenada y exportable

Freud guarda la documentación de tus pacientes en un solo sitio y te permite exportarla cuando la necesites. 100% gratis, sin límite de pacientes.

Empezar gratis