Muchos psicólogos saben que tienen que cumplir el RGPD, pero no saben exactamente por dónde empezar. La normativa es extensa y técnica, y la información disponible suele estar pensada para grandes empresas, no para profesionales autónomos o pequeñas clínicas. Esta guía va al grano: qué tienes que hacer, en qué orden y qué documentos necesitas tener listos.

Paso 1: Identifica todos los datos que tratas

Antes de redactar ningún documento, necesitas saber exactamente qué datos personales manejas en tu consulta. En una consulta de psicología típica, esto incluye: datos de identificación del paciente (nombre, DNI, dirección), datos de contacto (teléfono, email), datos de salud (diagnósticos, notas clínicas, informes psicológicos), datos de facturación, y en algunos casos datos de menores o de terceros mencionados en sesión.

Los datos de salud son una categoría especial bajo el RGPD (artículo 9) y requieren un nivel de protección reforzado. Esto condiciona todo lo demás: las bases legales que puedes usar, los plazos de conservación y las medidas de seguridad que debes aplicar.

Paso 2: Elabora el Registro de Actividades de Tratamiento

El RAT es el documento maestro de tu cumplimiento. En él describes, por cada tipo de tratamiento de datos, quién eres como responsable, qué datos tratas, para qué, cuánto tiempo los guardas, si los cedes a terceros y qué medidas de seguridad aplicas. No se presenta ante ningún organismo, pero debes tenerlo actualizado y disponible si la AEPD te lo pide.

En una consulta de psicología, los tratamientos típicos son: gestión de pacientes y expedientes clínicos, comunicación con pacientes (citas, recordatorios), facturación, gestión de la web y formularios de contacto, y newsletter si la tienes.

Paso 3: Define la base legal de cada tratamiento

El RGPD exige que cada tratamiento de datos tenga una base legal que lo justifique. Para una consulta de psicología, las más habituales son:

• Ejecución de un contrato (artículo 6.1.b): el tratamiento es necesario para prestar el servicio psicológico.
• Obligación legal (artículo 6.1.c): por ejemplo, conservar la historia clínica el tiempo que exige la ley autonómica de salud.
• Consentimiento explícito (artículo 9.2.a): para tratar datos de salud en contextos donde no aplica ninguna excepción del artículo 9, o para enviar comunicaciones comerciales.
• Prestación de asistencia sanitaria (artículo 9.2.h): para el tratamiento de datos de salud en el contexto de la relación terapéutica, siempre que se realice bajo secreto profesional.

Paso 4: Redacta o actualiza los documentos de información al paciente

El RGPD obliga a informar al paciente en el momento de recoger sus datos. Esto se materializa en dos documentos principales:

Consentimiento informado con cláusula RGPD: el documento que el paciente firma al iniciar el proceso terapéutico. Debe incluir, además del consentimiento asistencial habitual, toda la información requerida por el artículo 13 del RGPD: quién eres, para qué usarás sus datos, cuánto tiempo los conservarás, si los cederás a terceros y cómo puede ejercer sus derechos.

Cláusulas informativas en cada punto de recogida: formulario de contacto web, fichas de recogida de datos, email, etc.

Paso 5: Firma contratos con todos tus encargados del tratamiento

Cada proveedor externo que accede a datos de tus pacientes —el software de historia clínica, la plataforma de videoconsulta, el servicio de email, la gestoría— es un encargado del tratamiento. El artículo 28 del RGPD exige un contrato escrito con cada uno. Sin este contrato, estás incumpliendo aunque el proveedor sea perfectamente fiable.

La mayoría de los proveedores modernos ofrecen este contrato (llamado DPA, Data Processing Agreement) en sus condiciones de uso. El problema es que muchos profesionales no lo han localizado ni firmado. Dedica tiempo a revisar los contratos con cada proveedor digital que uses.

Paso 6: Aplica medidas técnicas y organizativas de seguridad

El artículo 32 del RGPD exige adoptar medidas adecuadas para garantizar la seguridad de los datos. Para una consulta de psicología, esto incluye como mínimo:

• Contraseñas seguras y únicas para todos los sistemas que contienen datos de pacientes.
• Autenticación en dos factores (2FA) en el correo electrónico y el software de gestión.
• Copias de seguridad periódicas de la historia clínica.
• Bloqueo automático del ordenador cuando no estás delante.
• No dejar documentos con datos de pacientes visibles en la sala de espera.
• Destrucción segura de documentos en papel (destructora, no papelera).

Paso 7: Actualiza tu web

Si tienes página web con formulario de contacto, necesitas tres documentos legales accesibles desde cualquier página: Política de Privacidad, Aviso Legal y, si usas cookies no esenciales, Política de Cookies con banner de consentimiento. Estos documentos deben estar actualizados y reflejar lo que realmente hace tu web —no una plantilla genérica.

Paso 8: Establece un procedimiento para atender derechos de los interesados

Los pacientes tienen derecho a acceder a sus datos, rectificarlos, suprimirlos, portarlos y oponerse a su tratamiento. Tienes un mes para responder a cualquier solicitud. Define internamente cómo vas a gestionarlas: quién responde, en qué plazo, cómo verificas la identidad del solicitante.

¿Con qué frecuencia hay que revisar el cumplimiento?

El RGPD no es un proyecto que se hace una vez y se olvida. Debes revisar tu cumplimiento cada vez que cambie algo relevante: un nuevo proveedor digital, un nuevo servicio (videoconsulta, grupo terapéutico, menores), un cambio en tu web, o cuando cambie la normativa. Se recomienda una revisión anual completa aunque no haya cambios importantes.

Preguntas frecuentes

¿Tengo que contratar a un experto o puedo hacer el cumplimiento yo solo?
El cumplimiento básico puede hacerse con ayuda de materiales especializados para psicólogos. Sin embargo, dado que manejas datos de salud (categoría especial), la revisión por parte de un experto es muy recomendable para garantizar que los documentos son correctos y completos.

¿Cuánto tiempo lleva poner en regla una consulta?
Con los documentos adecuados, entre 2 y 6 horas de trabajo. El mantenimiento posterior es mínimo si se hace bien desde el principio.