Es una situación cotidiana en muchas consultas: el paciente pide que le mandes el informe «por WhatsApp porque es más cómodo». Y el psicólogo, sin pensarlo demasiado, lo envía. ¿Es esto legal? La respuesta corta es: no, no debería hacerse. La respuesta larga es más matizada y tiene consecuencias prácticas importantes.

Por qué WhatsApp no es un canal seguro para datos clínicos

WhatsApp ofrece cifrado de extremo a extremo en los mensajes. Esto significa que, en teoría, nadie puede interceptar el contenido mientras viaja entre el emisor y el receptor. Sin embargo, esto no convierte a WhatsApp en un canal válido para el envío de informes psicológicos por varias razones:

• Metadatos: aunque el contenido esté cifrado, WhatsApp (Meta) recoge metadatos —quién escribe a quién, cuándo, con qué frecuencia— que pueden revelar la relación terapéutica.
• Servidores fuera de la UE: los datos pasan por servidores de Meta en EEUU. Aunque Meta tiene acuerdos de transferencia de datos, la base legal es cuestionable para datos de salud.
• Almacenamiento en el dispositivo del destinatario: una vez que el informe llega al móvil del paciente, queda guardado en su galería, en la nube de Google Fotos o iCloud, potencialmente sincronizado con otros dispositivos. Pierdes todo control sobre él.
• Sin contrato de encargado del tratamiento: Meta/WhatsApp no ofrece un DPA (Data Processing Agreement) adecuado para el tratamiento de datos de salud en el contexto de una consulta sanitaria.

Qué dice el RGPD sobre esto

El artículo 5.1.f del RGPD exige que los datos personales se traten de manera que garantice su seguridad, incluyendo la protección contra el acceso no autorizado. El artículo 32 obliga a adoptar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

Los datos de salud son categoría especial (artículo 9) y requieren medidas de seguridad reforzadas. Enviarlos por un canal sin garantías legales adecuadas puede constituir una violación del principio de integridad y confidencialidad.

¿Cambia algo si el paciente lo pide expresamente?

No en términos de responsabilidad legal. Aunque el paciente dé su consentimiento para recibir el informe por WhatsApp, esto no te exime de cumplir con el RGPD. El consentimiento del interesado no basta para saltarse las obligaciones de seguridad que corresponden al responsable del tratamiento.

Dicho esto, la AEPD tiene en cuenta la petición expresa del afectado como factor atenuante en caso de infracción. No es lo mismo enviar un informe sin que nadie lo pidiera que enviarlo porque el paciente lo solicitó expresamente por este medio.

Alternativas legales y prácticas

Existen varias formas seguras de hacer llegar un informe a tu paciente:

• Email con el informe protegido con contraseña: envías el PDF con contraseña y la contraseña por un canal separado (SMS, por ejemplo). No es perfecto, pero reduce significativamente el riesgo.
• Plataforma de historia clínica con portal del paciente: algunos software clínicos ofrecen un portal donde el paciente puede acceder a sus documentos de forma segura, con autenticación.
• Entrega en mano: la más segura. Si el paciente viene a consulta, le entregas el informe en papel o en un USB cifrado.
• Correo postal certificado: válido para informes formales que requieren constancia de entrega.
• Plataformas de intercambio seguro de documentos: servicios como WeTransfer Pro (con cifrado y DPA), o alternativas europeas como Tresorit, que ofrecen garantías de seguridad superiores a WhatsApp.

¿Y si el destinatario es otro profesional, no el paciente?

Cuando mandas un informe a otro psicólogo, médico o trabajador social (por ejemplo, en el contexto de un equipo multidisciplinar), la situación es aún más delicada. El otro profesional también está sujeto al RGPD, y el canal de comunicación debe ser seguro para ambos. Usar WhatsApp entre profesionales para compartir informes clínicos es una práctica extendida pero no recomendable desde el punto de vista legal.

La pregunta práctica: ¿qué riesgo real existe?

La AEPD ha sancionado a entidades sanitarias por el envío de datos de salud a través de canales no seguros. Aunque las multas a autónomos individuales son menos frecuentes, el riesgo no es cero. Una queja de un paciente puede abrir una inspección que ponga de manifiesto otras carencias en el sistema de cumplimiento.

Más allá de la sanción económica, una brecha de datos que exponga información clínica de un paciente puede tener consecuencias reputacionales graves para tu consulta y dañar la relación terapéutica.

Preguntas frecuentes

¿Puedo mandar un audio de voz por WhatsApp a un paciente explicándole algo de su tratamiento?
Los mismos problemas aplican a los audios: se almacenan en los servidores de Meta y en el dispositivo del receptor. Evita compartir información clínica sensible por este medio.

¿Qué pasa con Telegram?
Telegram tiene un modelo de cifrado diferente (no cifra de extremo a extremo por defecto todos los chats), y tampoco ofrece DPA adecuado para datos de salud. La respuesta es la misma: no recomendado para informes clínicos.

¿Y Signal?
Signal tiene mejor reputación en términos de privacidad y cifrado, pero sigue sin ofrecer un DPA formal para tratamiento de datos de salud en contexto profesional. No es la solución idónea.