Los derechos ARCO —Acceso, Rectificación, Cancelación y Oposición— son los derechos que cualquier persona puede ejercer sobre sus datos personales. Desde la entrada en vigor del RGPD, se han ampliado con nuevos derechos: supresión, limitación del tratamiento, portabilidad y oposición a decisiones automatizadas. Como psicólogo, tarde o temprano recibirás una solicitud de este tipo. ¿Sabes qué hacer?

Qué son los derechos ARCO y su versión RGPD

El término «ARCO» viene de la LOPD anterior al RGPD, pero sigue siendo útil como marco. La versión actual del RGPD amplía estos derechos:

• Derecho de acceso (Art. 15): el paciente puede pedir una copia de todos los datos que tienes sobre él.
• Derecho de rectificación (Art. 16): puede pedir que corrijas datos inexactos o incompletos.
• Derecho de supresión / «al olvido» (Art. 17): puede pedir que borres sus datos, aunque con excepciones.
• Derecho de limitación del tratamiento (Art. 18): puede pedir que suspendas el tratamiento mientras se resuelve una disputa.
• Derecho de portabilidad (Art. 20): puede pedir sus datos en formato estructurado y legible por máquina.
• Derecho de oposición (Art. 21): puede oponerse a ciertos tratamientos, como el marketing directo.

Plazos para responder

El RGPD fija un plazo general de un mes desde la recepción de la solicitud para responder. Este plazo puede prorrogarse dos meses más si la solicitud es compleja o hay muchas solicitudes pendientes, pero debes notificar la prórroga al interesado dentro del primer mes.

Estos plazos aplican independientemente de si eres una clínica grande o un psicólogo autónomo con una consulta pequeña.

Cómo identificar y procesar una solicitud de derechos

Una solicitud de derechos puede llegar de cualquier forma: por email, por carta, en persona. No es necesario que el paciente use ningún formulario específico ni que mencione «RGPD» o «derechos ARCO» explícitamente. Si un paciente te escribe diciendo «quiero saber qué datos tienes de mí» o «pido que borres mi información», es una solicitud de derechos y debes tratarla como tal.

Pasos a seguir:

1. Confirma la identidad del solicitante. Puedes pedir una fotocopia del DNI o identificación similar.
2. Registra la solicitud y la fecha de recepción.
3. Evalúa si la solicitud es procedente (a continuación se explican los casos en que puedes denegar).
4. Responde dentro del plazo de un mes.

Derecho de acceso: qué debes proporcionar

Si un paciente ejerce el derecho de acceso, debes darle:

• Confirmación de si tratas datos suyos o no.
• Una copia de los datos que tienes sobre él (datos de contacto, notas clínicas, diagnósticos, informes, etc.).
• Información sobre la finalidad del tratamiento, los destinatarios de los datos, el plazo de conservación, y sus derechos.

La primera copia es gratuita. Si el paciente pide copias adicionales, puedes cobrar un importe razonable.

Derecho de supresión: cuándo puedes negarlo

El derecho de supresión no es absoluto en el ámbito sanitario. Puedes negar la supresión cuando el tratamiento sea necesario para:

• Cumplir una obligación legal (como los plazos mínimos de conservación de la historia clínica).
• El ejercicio o la defensa de reclamaciones.
• Razones de interés público en el ámbito de la salud pública.

En la práctica: si un paciente pide que borres su historia clínica y no ha transcurrido el plazo legal de conservación (mínimo 5 años desde el último acto clínico, variable por CCAA), puedes negarte. Debes informarle de la razón y del plazo estimado de conservación.

Derecho de portabilidad: cómo cumplirlo

El paciente puede pedir sus datos en un formato «estructurado, de uso común y lectura mecánica». En la práctica, un PDF con toda la historia clínica o un export en CSV/JSON suele ser suficiente, siempre que sea legible y completo. Si el paciente pide que transfieras sus datos directamente a otro profesional, debes hacerlo si es técnicamente posible.

Qué hacer si recibes una solicitud ilegítima o abusiva

Si sospechas que la solicitud es manifiestamente infundada o excesiva (por ejemplo, solicitudes repetitivas sin aparente finalidad legítima), puedes cobrar un importe razonable o negarte a actuar. En cualquier caso, debes poder demostrar el carácter manifiestamente infundado o excesivo de la solicitud.

Modelo de respuesta a una solicitud de acceso

Cuando el paciente ejerce el derecho de acceso, tu respuesta debe incluir al menos:

• Confirmación de que tratas sus datos.
• La finalidad del tratamiento.
• Las categorías de datos tratados.
• Los plazos de conservación.
• Una copia de los datos en formato accesible.
• Información sobre sus derechos (rectificación, supresión, limitación, portabilidad, oposición).
• El derecho a reclamar ante la AEPD si considera que su solicitud no ha sido atendida.

Preguntas frecuentes

¿Puede el paciente pedir ver mis notas de sesión?
Sí. Las notas de sesión forman parte de su historia clínica y son datos personales suyos. El derecho de acceso incluye las notas clínicas, aunque estas contengan valoraciones profesionales.

¿Qué pasa si no respondo en el plazo de un mes?
El paciente puede presentar una reclamación ante la AEPD. Incumplir los plazos de respuesta a solicitudes de derechos es una infracción sancionable con multas de hasta 10 millones de euros o el 2% de la facturación anual.

¿Puedo responder verbalmente a una solicitud de derechos?
No es recomendable. Responde siempre por escrito y conserva evidencia de haber respondido en plazo. Si el paciente presentó la solicitud en persona, dale la respuesta también por escrito.