Si tienes una consulta de psicología en España, es probable que ya hayas oído hablar del Registro de Actividades de Tratamiento. El problema es que la mayoría de los psicólogos autónomos no saben exactamente qué es, no tienen claro si están obligados a tenerlo, y los que lo tienen suelen haberlo copiado de algún modelo genérico que no refleja la realidad de su consulta.

En este artículo te explicamos qué es el RAT, por qué la excepción para pequeñas empresas no te aplica aunque trabajes solo, qué campos debes rellenar según el artículo 30 del RGPD y cómo elaborarlo paso a paso con un ejemplo concreto adaptado a una consulta de psicología.

Si todavía no tienes claro cuáles son todos los documentos que necesitas para cumplir el RGPD, puedes consultar nuestra guía general en Protección de Datos para Psicólogos, donde encontrarás una visión completa del cumplimiento.

¿Qué es el Registro de Actividades de Tratamiento?

El Registro de Actividades de Tratamiento (RAT) es un documento interno en el que describes, de forma estructurada, todos los tratamientos de datos personales que realizas en tu consulta. No se presenta ante ningún organismo ni se envía a la AEPD; es un documento que debes tener disponible y actualizado por si la Agencia te lo solicita en una inspección.

La obligación proviene del artículo 30 del Reglamento General de Protección de Datos (RGPD). Su objetivo es que tú, como responsable del tratamiento, seas capaz de explicar qué datos personales tratas, para qué, durante cuánto tiempo y con qué medidas de seguridad. Dicho de forma sencilla: el RAT es la prueba documental de que conoces tu propia actividad con datos.

Un RAT no es un formulario con una sola fila. Está compuesto por tantas fichas o registros individuales como actividades de tratamiento distintas realices. En una consulta de psicología típica puede haber entre tres y seis actividades diferentes que deben registrarse por separado.

¿Es obligatorio el RAT para psicólogos autónomos?

Esta es la pregunta que más confusión genera. El artículo 30.5 del RGPD establece una excepción: las organizaciones con menos de 250 empleados no están obligadas a mantener el registro a menos que el tratamiento sea habitual, pueda entrañar un riesgo para los derechos y libertades de los interesados, o afecte a categorías especiales de datos.

Como psicólogo o psicóloga, los datos que tratas en tu consulta son datos de salud. El artículo 9 del RGPD clasifica los datos de salud como categoría especial de datos personales, que requieren un nivel de protección reforzado. Esto significa que la excepción del artículo 30.5 no te aplica: aunque seas un autónomo que trabaja solo, estás obligado a tener el RAT.

La AEPD ha confirmado este criterio en varias resoluciones y en su guía sobre cumplimiento del RGPD para el sector sanitario. La conclusión práctica es clara: si eres psicólogo con consulta propia, el RAT es obligatorio. No hay excepciones por tamaño de empresa cuando se tratan datos de salud de forma habitual.

Los 7 campos obligatorios según el artículo 30 del RGPD

El artículo 30.1 del RGPD establece el contenido mínimo que debe tener cada actividad de tratamiento registrada. A continuación te explicamos cada campo y qué debes incluir en él como psicólogo:

• Nombre y datos de contacto del responsable del tratamiento. Tus datos: nombre completo o denominación social si tienes empresa, NIF, dirección y correo electrónico profesional. Si has designado un Delegado de Protección de Datos (DPD), también debes incluir sus datos de contacto.
• Fines del tratamiento. Para qué usas los datos. Cada actividad tiene un fin distinto. Por ejemplo: «prestación de asistencia psicológica» o «elaboración de informes periciales» o «gestión de la facturación». Sé específico; no pongas simplemente «gestión de la consulta».
• Descripción de las categorías de interesados y de los datos personales. Quiénes son las personas cuyos datos tratas (pacientes, menores con tutor, contactos de emergencia, profesionales derivadores…) y qué tipo de datos manejas (datos de identidad, de contacto, datos de salud, datos económicos para facturación, etc.).
• Categorías de destinatarios. A quién comunicas o cedes los datos. Esto incluye a los encargados del tratamiento (software de gestión clínica, asesoría fiscal, servicio de correo electrónico…) y a terceros que reciban datos en alguna circunstancia (médicos de atención primaria a los que envías informes, aseguradoras, juzgados en casos periciales). Si no cedes datos a nadie, indícalo expresamente.
• Transferencias internacionales de datos. Si utilizas alguna herramienta cuyo servidor está fuera del Espacio Económico Europeo (por ejemplo, ciertos servicios de videollamada o almacenamiento en nube de empresas estadounidenses), debes indicarlo y señalar las garantías aplicables. Si todos tus proveedores tienen servidores en la UE, simplemente indica que no realizas transferencias internacionales.
• Plazos de conservación previstos. Cuánto tiempo vas a guardar cada tipo de dato. Para las historias clínicas, los plazos los fijan las normativas autonómicas de salud (generalmente entre 5 y 15 años según la comunidad). Para los datos de facturación, el plazo habitual son 6 años por obligaciones fiscales. Debes ser específico en cada actividad.
• Descripción general de las medidas de seguridad. No hace falta un inventario técnico exhaustivo, pero sí indicar las medidas principales: contraseñas de acceso a los sistemas, cifrado del correo, armario con llave para los expedientes en papel, copias de seguridad, etc.

Ejemplo práctico: el RAT de una consulta de psicología individual

A continuación tienes un esquema de las actividades de tratamiento más habituales en una consulta de psicología unipersonal, con los campos clave ya orientados:

Actividad 1: Atención psicológica individual

• Finalidad: Prestación de asistencia psicológica y seguimiento terapéutico.
• Categoría de interesados: Pacientes adultos y, en su caso, menores de edad con tutor legal.
• Tipos de datos: Datos identificativos (nombre, DNI, teléfono, email), datos de salud (motivo de consulta, diagnóstico, notas de sesión, historia clínica).
• Destinatarios: No se ceden datos a terceros salvo obligación legal. Encargados del tratamiento: software de gestión clínica (indicar proveedor).
• Plazo de conservación: Mínimo [X] años según normativa autonómica aplicable, contados desde el alta del paciente.
• Medidas de seguridad: Acceso con contraseña al programa de gestión, expedientes físicos en armario con cerradura, copia de seguridad cifrada.

Actividad 2: Elaboración de informes psicológicos y periciales

• Finalidad: Evaluación psicológica y emisión de informes a petición del paciente, juzgado u otras instancias.
• Categoría de interesados: Pacientes evaluados.
• Tipos de datos: Datos identificativos, datos de salud, resultados de pruebas psicométricas, conclusiones clínicas.
• Destinatarios: La propia persona evaluada y, según el caso, juzgados, médicos u otros profesionales indicados por el paciente.
• Plazo de conservación: Igual que la historia clínica o el plazo que establezca el encargo pericial.
• Medidas de seguridad: Los informes se envían cifrados o por canal seguro; no se usan servicios de mensajería no cifrada.

Actividad 3: Gestión de agenda y citas

• Finalidad: Organización de la agenda de consulta y comunicación de recordatorios de cita.
• Categoría de interesados: Pacientes y personas que contactan para solicitar cita.
• Tipos de datos: Nombre, teléfono, email, fecha y hora de cita.
• Destinatarios: Encargado del tratamiento si se usa un software de agenda o de recordatorio de citas.
• Plazo de conservación: Hasta que finaliza la relación con el paciente o el periodo mínimo de conservación que corresponda.
• Medidas de seguridad: Acceso restringido a la agenda; no se mencionan diagnósticos en los recordatorios de cita.

Actividad 4: Gestión administrativa y facturación

• Finalidad: Emisión de facturas, declaraciones fiscales y control de cobros.
• Categoría de interesados: Pacientes y, en su caso, aseguradoras o entidades que financian las sesiones.
• Tipos de datos: Nombre, NIF, dirección, datos bancarios o de pago, importe de las sesiones.
• Destinatarios: Asesoría fiscal o gestoría (encargado del tratamiento); Agencia Tributaria por obligación legal.
• Plazo de conservación: 6 años por obligaciones fiscales y contables.
• Medidas de seguridad: Facturas almacenadas en software con acceso protegido; copias de seguridad periódicas.

Si además haces psicología online, terapia de grupo, supervisión clínica con acceso de terceros a casos o cualquier otra actividad específica, debes añadir una ficha adicional para cada una de ellas.

Cómo mantener el RAT actualizado

El RAT no es un documento que se hace una vez y se guarda en un cajón. El artículo 30 del RGPD exige que esté actualizado en todo momento. Esto significa que debes revisarlo y modificarlo cuando:

• Incorporas un nuevo software o proveedor que trata datos de pacientes.
• Cambias la forma en que guardas las historias clínicas (por ejemplo, pasas de papel a digital).
• Empiezas a realizar una nueva modalidad terapéutica (terapia de pareja, atención a menores, videoconsulta…).
• Cambia la normativa autonómica de conservación de historias clínicas.
• Dejas de trabajar con algún proveedor o herramienta.

Una buena práctica es revisar el RAT una vez al año, por ejemplo al inicio de cada año natural, y actualizarlo cada vez que haya un cambio relevante en la consulta. Anota la fecha de cada actualización en el propio documento.

Herramientas gratuitas de la AEPD para elaborar tu RAT

La AEPD pone a disposición de los responsables del tratamiento herramientas gratuitas que facilitan la elaboración del RAT. La más conocida es Facilita RGPD, una herramienta en línea pensada para pequeñas y medianas empresas y profesionales autónomos. Permite crear el registro guiado por preguntas y exportarlo en formato PDF o Excel.

También existe Gestiona RGPD, orientada a entidades de mayor tamaño o con tratamientos más complejos. Para la mayoría de psicólogos autónomos, Facilita es suficiente y más sencilla de usar.

Ninguna de estas herramientas está preconfigurada para consultas de psicología, por lo que necesitarás adaptar las respuestas a tu realidad concreta: datos de salud como categoría especial, plazos de conservación de historia clínica, etc. No basta con seguir los ejemplos genéricos que propone la herramienta si estos no reflejan tu actividad real.

Preguntas frecuentes sobre el RAT en psicología

¿El RAT es lo mismo que la política de privacidad?

No. La política de privacidad es un documento público que informa a tus pacientes de cómo tratas sus datos. El RAT es un documento interno de gestión que no se publica ni se muestra a los pacientes. Son dos obligaciones distintas y complementarias.

¿Tengo que presentar el RAT ante la AEPD?

No. El RAT no se presenta ni se registra ante ningún organismo. Debes tenerlo disponible en caso de que la AEPD te lo solicite en el contexto de una inspección o una denuncia. La obligación es tenerlo, no presentarlo.

¿Qué pasa si la AEPD me pide el RAT y no lo tengo?

No tener el RAT es una infracción del artículo 30 del RGPD. Puede dar lugar a una sanción. Las sanciones por este tipo de incumplimiento formal suelen ser de menor cuantía que las relacionadas con vulneraciones de derechos, pero la AEPD ha impuesto multas a profesionales sanitarios por no tener su documentación en regla. Puedes consultar algunos casos reales en nuestro artículo sobre multas de la AEPD a psicólogos.

¿Puedo usar el mismo RAT para toda mi actividad o necesito uno por cada paciente?

El RAT no es un documento por paciente; es un documento por tipo de actividad de tratamiento. Una sola ficha de «Atención psicológica individual» cubre a todos tus pacientes de terapia individual, no necesitas una ficha por persona. Lo que sí necesitas es una ficha diferente para cada tipo de actividad (atención clínica, informes, facturación, etc.).

¿Tengo que incluir en el RAT los datos de empleados si tengo auxiliar o recepcionista?

Sí. Si tienes personas contratadas, los datos de tus empleados también son un tratamiento que debes registrar. Deberías añadir una actividad de tratamiento específica para «Gestión de recursos humanos» o «Gestión de nóminas» con sus propios campos.