RGPD y LOPDGDD para psicólogos: qué necesitas de verdad
Los datos de tus pacientes son categoría especial y eso cambia las reglas. Las seis obligaciones concretas que sí te aplican como psicólogo colegiado, sin la niebla de las consultoras.
Respuesta corta
- ▪Los datos de salud son categoría especial (art. 9 RGPD): están prohibidos por defecto y solo puedes tratarlos si encaja una excepción, normalmente la asistencia sanitaria del art. 9.2.h.
- ▪El consentimiento no suele ser tu base legal para la historia clínica: lo es la asistencia sanitaria. Pedir consentimiento para lo que ya te obliga la ley genera confusión y problemas al querer retirarlo.
- ▪Necesitas un registro de actividades de tratamiento aunque trabajes solo: la exención para menos de 250 empleados no aplica cuando tratas datos de categoría especial.
- ▪Necesitas un contrato de encargado del tratamiento firmado con cada proveedor que toque datos de pacientes: software de gestión, videollamada, copias de seguridad, gestoría.
- ▪Una brecha de seguridad se notifica a la AEPD en 72 horas, y al paciente si hay alto riesgo para sus derechos.
- ▪Un psicólogo autónomo en consulta privada normalmente no necesita delegado de protección de datos, pero sí análisis de riesgos.
Casi todo lo que se publica sobre RGPD para psicólogos es o bien un texto genérico de protección de datos que no distingue una consulta de una tienda online, o bien un argumentario de venta de una consultora. Esta guía intenta ser lo otro: las obligaciones concretas que le aplican a un psicólogo colegiado con consulta privada en España.
El punto de partida es el artículo 9 del RGPD. Los datos relativos a la salud, incluida la salud mental, son «categorías especiales de datos»: su tratamiento está prohibido salvo que encaje una de las excepciones tasadas. Eso no significa que no puedas trabajar; significa que trabajas dentro de una excepción, y que las obligaciones que te acompañan son más estrictas que las de cualquier otro negocio.
La LOPDGDD, la ley española que desarrolla el RGPD, añade algunos matices propios, entre ellos el tratamiento de los datos de personas fallecidas y el régimen sancionador nacional.
Las seis obligaciones que sí te aplican
Ordenadas por la frecuencia con la que las vemos incumplidas en consultas pequeñas.
- •Registro de actividades de tratamiento. Es un documento interno donde describes qué datos tratas, para qué, cuánto tiempo los conservas y a quién se los comunicas. Mucha gente cree que está exenta por tener menos de 250 empleados, pero esa exención decae cuando se tratan datos de categoría especial, que es exactamente tu caso.
- •Base legal correcta, que casi nunca es el consentimiento. Para la historia clínica, la base habitual es la del artículo 9.2.h del RGPD: fines de asistencia sanitaria por un profesional sujeto a secreto. El consentimiento sí es la base para otras cosas —enviar comunicaciones comerciales, grabar sesiones, usar el caso con fines docentes—, y esas sí hay que pedirlas por separado.
- •Información clara al paciente. Antes de empezar, el paciente debe saber quién trata sus datos, con qué finalidad y base legal, cuánto tiempo se conservan, con quién se comparten y cómo ejercer sus derechos. Es la cláusula informativa, y va firmada o acreditada de algún modo.
- •Contrato de encargado del tratamiento con cada proveedor. Tu software de gestión, la plataforma de videollamada, el servicio de copias de seguridad y hasta la gestoría que ve tus facturas con nombres de pacientes. Todos son encargados y todos requieren contrato firmado, con las garantías del artículo 28.
- •Medidas de seguridad proporcionadas al riesgo. Cifrado, control de acceso, contraseñas robustas, copias de seguridad y bloqueo de sesión. No hay una lista cerrada: la obligación es que sean adecuadas al riesgo, y con datos de salud el riesgo es alto por definición.
- •Procedimiento de brecha de seguridad. Si pierdes el portátil, te entran en el correo o expones datos por error, tienes 72 horas para notificar a la AEPD desde que lo conoces, y debes informar al paciente si el riesgo para sus derechos es alto. Conviene tener escrito de antemano qué harías, porque en caliente no da tiempo a improvisar.
El malentendido del consentimiento
El error más extendido en consultas de psicología es pedir al paciente que «consienta el tratamiento de sus datos» para poder abrirle una historia clínica, y quedarse tranquilo con esa firma.
El problema es que el consentimiento, por definición, es revocable. Si tu base legal para conservar la historia clínica fuera el consentimiento, el paciente podría retirarlo y obligarte a borrar una documentación que la Ley 41/2002 te obliga a conservar cinco años. Se genera una contradicción que no existe si la base es la correcta: la asistencia sanitaria del artículo 9.2.h, complementada por la obligación legal de conservación.
Eso no elimina el consentimiento informado clínico, que es otra cosa y sigue siendo imprescindible. Y sí hace falta consentimiento específico y separado para todo lo que no sea asistencia: grabar una sesión, usar un caso con fines docentes o de investigación, enviar comunicaciones comerciales o compartir información con un tercero que no participa en la atención.
Qué necesita consentimiento y qué no
| Finalidad | ¿Consentimiento? | Base legal habitual |
|---|---|---|
| Abrir y mantener la historia clínica | No | Asistencia sanitaria (art. 9.2.h RGPD) |
| Conservarla durante el plazo legal | No | Obligación legal (Ley 41/2002) |
| Emitir factura y llevar la contabilidad | No | Obligación legal fiscal |
| Recordatorios de cita por WhatsApp o SMS | Conviene pedirlo | Ejecución del servicio / consentimiento |
| Grabar o transcribir la sesión | Sí, explícito y por escrito | Consentimiento (art. 9.2.a) |
| Usar el caso con fines docentes o de investigación | Sí, salvo anonimización efectiva | Consentimiento |
| Enviar newsletter o promociones | Sí | Consentimiento |
| Compartir con otro profesional que no atiende al paciente | Sí | Consentimiento |
Cuadro orientativo para consulta privada de psicología en España. Casos concretos —menores, situaciones de riesgo, requerimientos judiciales— pueden alterar el análisis.
Sobre los proveedores de software
Antes de contratar cualquier herramienta que toque datos de pacientes, pide tres cosas: el contrato de encargado del tratamiento, la lista de subencargados y la ubicación de los servidores. Si hay transferencias fuera del Espacio Económico Europeo, pregunta qué garantías las amparan. Un proveedor serio te lo da sin discutir; que no lo tenga preparado es información suficiente.
Lo que probablemente no necesitas
Para bajar el ruido: cosas que se venden como obligatorias y que en una consulta individual normalmente no lo son.
- •Delegado de protección de datos (DPD). Es obligatorio para quienes tratan datos de categoría especial a gran escala. Una consulta individual de psicología no suele alcanzar ese umbral. Si diriges un centro grande, la respuesta puede cambiar.
- •Evaluación de impacto (EIPD) para todo. Se exige cuando el tratamiento entraña un alto riesgo, típicamente por su escala o por el uso de tecnologías intrusivas. Una consulta estándar no la necesita; introducir grabación y transcripción automática de sesiones es justo el tipo de cambio que hace conveniente plantearla.
- •Un sello o certificado de cumplimiento. No existe una certificación oficial obligatoria que acredite el cumplimiento del RGPD para una consulta. Lo que se te exige es cumplir y poder demostrarlo, no exhibir un logotipo.
Preguntas frecuentes
¿Un psicólogo autónomo necesita registro de actividades de tratamiento?+
Sí. La exención del artículo 30.5 del RGPD para organizaciones de menos de 250 empleados no aplica cuando el tratamiento incluye categorías especiales de datos, y los datos de salud mental lo son. Es un documento interno que no se presenta ante nadie, pero debes tenerlo y poder mostrarlo si la AEPD lo pide.
¿Cuál es la base legal para tratar los datos de mis pacientes?+
Para la asistencia, el artículo 9.2.h del RGPD: fines de medicina preventiva o laboral, diagnóstico médico o prestación de asistencia sanitaria por un profesional sujeto a la obligación de secreto. Para la conservación de la historia clínica, la obligación legal de la Ley 41/2002. El consentimiento se reserva para finalidades distintas de la asistencia, como grabar sesiones o enviar comunicaciones comerciales.
¿Necesito un delegado de protección de datos?+
Normalmente no si eres un psicólogo autónomo con consulta privada. La obligación aparece cuando se tratan datos de categoría especial a gran escala, umbral que una consulta individual no suele alcanzar. Un centro grande con muchos profesionales debería analizarlo caso por caso.
¿Puedo usar WhatsApp con mis pacientes?+
Para gestión de citas y recordatorios se usa de forma habitual, y conviene informar al paciente y recabar su conformidad para ese canal. Lo que no es aconsejable es tratar contenido clínico por WhatsApp: ni la app está pensada para eso ni queda bajo tu control quién accede al dispositivo. Si lo usas para recordatorios, limita la información al mínimo: fecha y hora, sin detalles del motivo de consulta.
¿Qué hago si tengo una brecha de seguridad?+
Notificar a la AEPD en un plazo máximo de 72 horas desde que tienes conocimiento, salvo que sea improbable que suponga un riesgo para los derechos de los afectados. Si el riesgo es alto, además hay que comunicarlo a los pacientes afectados sin dilación indebida. Documenta siempre el incidente y las medidas adoptadas, aunque decidas no notificar.
¿El software de gestión que uso me hace cumplir el RGPD?+
No por sí solo. El software puede aportar cifrado, control de acceso, trazabilidad y un contrato de encargado del tratamiento, y eso cubre una parte importante. Pero el registro de actividades, la cláusula informativa, los consentimientos específicos y el procedimiento de brechas son tuyos como responsable del tratamiento. Ningún proveedor puede cumplir eso en tu lugar.
Fuentes
- Reglamento (UE) 2016/679 (RGPD) — texto consolidado
- Ley Orgánica 3/2018 (LOPDGDD) — BOE
- Agencia Española de Protección de Datos — guías para responsables
- Ley 41/2002, autonomía del paciente — BOE (texto consolidado)
Última revisión: 27 de julio de 2026. Esta página es contenido informativo y no sustituye al asesoramiento jurídico o fiscal profesional.
Seguir leyendo
Tu historia clínica, ordenada y exportable
Freud guarda la documentación de tus pacientes en un solo sitio y te permite exportarla cuando la necesites. Gratis hasta 5 pacientes.
Empezar gratis