Cumplir el RGPD en una consulta de psicología no es solo una cuestión de buenas prácticas. Es una obligación legal cuyo incumplimiento puede acabar en una sanción económica, una investigación de la AEPD y un daño reputacional difícil de reparar. Y la Agencia Española de Protección de Datos lo sabe: el sector sanitario es uno de los que más expedientes abre cada año.

En esta guía analizamos casos reales de sanciones a profesionales de la salud y psicólogos, cuánto han pagado, por qué les sancionaron y qué puedes hacer para que no te ocurra lo mismo.

¿La AEPD sanciona realmente a psicólogos?

Sí, y con más frecuencia de lo que se cree. La AEPD publica todas sus resoluciones sancionadoras en su web, y una búsqueda por el sector «sanidad» o «salud» muestra decenas de expedientes anuales contra clínicas, médicos, dentistas, fisioterapeutas y psicólogos.

Lo que muchos profesionales no saben es que no hace falta cometer una falta grave para recibir una sanción. Errores aparentemente menores —como enviar un informe psicológico por correo sin cifrar, o tener una web sin política de privacidad actualizada— pueden abrir un expediente sancionador.

Además, cualquier paciente puede presentar una reclamación ante la AEPD de forma gratuita y anónima. No necesita abogado, no necesita pruebas documentales elaboradas: basta con describir el incidente. La Agencia investiga de oficio.

Casos reales: qué sanciones ha impuesto la AEPD en el sector sanitario

Aunque las resoluciones no siempre identifican al profesional por nombre (cuando se trata de personas físicas se anonimiza parcialmente), sí ofrecen detalle suficiente para aprender de ellas.

Caso 1: Médico que compartió datos de pacientes por WhatsApp

Un profesional sanitario envió por WhatsApp información clínica de un paciente a un familiar de este sin contar con autorización expresa del propio paciente. La infracción: vulneración del principio de confidencialidad y tratamiento sin base legal suficiente. La resolución: apercibimiento (por ser primera infracción y cooperar con la investigación), pero con apertura de un periodo de vigilancia.

Lección para psicólogos: enviar informes, notas de sesión o cualquier dato de salud por WhatsApp sin consentimiento explícito del paciente y sin medidas de seguridad adecuadas es una infracción del artículo 5 del RGPD. Aunque no siempre acaba en multa económica, genera un expediente que queda registrado.

Caso 2: Clínica de salud mental con historia clínica accesible sin autorización

Una clínica de salud mental almacenaba las historias clínicas de sus pacientes en un sistema informático compartido con otras clínicas del mismo grupo. Los empleados de otras clínicas podían acceder a los datos sin necesidad de que el paciente fuera tratado allí. Sanción: 40.000 euros por infracción grave del artículo 5.1.f (integridad y confidencialidad) y del artículo 32 (medidas de seguridad).

Lección para psicólogos: si usas un software de historia clínica compartido o en la nube, debes verificar que los permisos de acceso estén correctamente configurados y que solo tú (y quienes tengan autorización) puedas ver los datos de tus pacientes.

Caso 3: Profesional que envió informe a persona equivocada

Un terapeuta envió por email un informe psicológico completo a una dirección de correo incorrecta —confundió al paciente con otra persona de nombre similar. El destinatario real recibió datos de salud sin ninguna relación con el tratamiento. Sanción: 6.000 euros por infracción del principio de integridad y confidencialidad.

Lección para psicólogos: antes de enviar cualquier informe por email, verifica dos veces la dirección. Y recuerda que el email ordinario no es un canal seguro para datos de salud: lo ideal es un sistema con cifrado o un portal de pacientes.

Caso 4: Web de psicólogo sin política de privacidad ni aviso de cookies

Un psicólogo tenía un formulario de contacto en su web y un sistema de analítica que recogía datos de los usuarios, pero no tenía política de privacidad ni aviso de cookies. Un usuario presentó reclamación. La AEPD detectó además que el formulario no informaba al usuario de quién era el responsable del tratamiento ni de sus derechos. Sanción: apercibimiento con obligación de subsanar en 30 días.

Lección para psicólogos: si tienes web —aunque sea solo para que los pacientes te contacten—, necesitas política de privacidad, aviso legal y, si usas analítica o cookies no esenciales, también política de cookies con banner de consentimiento.

¿Cuánto puede llegar a costar una sanción?

El RGPD establece dos niveles de sanciones:

• Infracciones leves (apercibimiento o hasta 10 millones de euros / 2% de facturación anual): no tener el Registro de Actividades de Tratamiento, no informar correctamente al paciente, no firmar el contrato con encargados del tratamiento.
• Infracciones graves (hasta 20 millones de euros / 4% de facturación anual): tratar datos sin base legal, vulnerar los principios de confidencialidad o minimización, no atender los derechos del interesado.

Para un psicólogo autónomo, las sanciones reales rondan entre los 1.000 y los 10.000 euros en la mayoría de los casos documentados. Pero hay que sumar el coste de contratar asistencia legal para el procedimiento, el tiempo invertido y el daño reputacional si el expediente trasciende.

En clínicas o centros con varios profesionales, las sanciones pueden superar los 50.000 euros.

¿Cómo inicia la AEPD un expediente sancionador?

Hay tres vías principales:

Reclamación de un afectado. Un paciente (o ex paciente) que considera que sus datos han sido tratados incorrectamente puede presentar una reclamación en la web de la AEPD. El proceso es gratuito y no requiere abogado. La AEPD notifica al profesional y abre una fase de investigación.

Actuación de oficio. La AEPD puede iniciar investigaciones por iniciativa propia, normalmente tras detectar patrones de incumplimiento en un sector o tras noticias que evidencian una brecha.

Traslado desde otra autoridad. Si un paciente se queja ante el Colegio Oficial de Psicólogos o ante otra administración, esta puede trasladar el asunto a la AEPD.

Los errores más frecuentes que acaban en sanción

Revisando las resoluciones públicas de la AEPD, estos son los fallos más habituales en el sector sanitario:

• Enviar datos clínicos por canales no seguros (WhatsApp, email sin cifrar)
• No tener o tener desactualizada la política de privacidad en la web
• No informar al paciente sobre el tratamiento de sus datos en el momento de la recogida
• No firmar contrato de encargado del tratamiento con el proveedor de software
• Conservar datos de pacientes más tiempo del necesario sin base legal para ello
• No atender una solicitud de acceso o supresión de datos en los plazos legales (1 mes)
• Accesos no autorizados a historial clínico (empleados, familiares, otros profesionales)

¿Qué hacer si recibes una notificación de la AEPD?

Si la AEPD te notifica el inicio de un procedimiento, tienes derecho a presentar alegaciones en el plazo indicado (normalmente 10 días hábiles). En ese momento es fundamental demostrar que ya tenías en marcha medidas de cumplimiento o que has adoptado medidas correctoras inmediatamente. La cooperación con la investigación y la ausencia de antecedentes son factores que la AEPD considera para reducir la sanción o sustituirla por un apercibimiento.

Tener los documentos RGPD en regla antes de que llegue la reclamación no solo evita la sanción —también es tu mejor defensa si llega.

Preguntas frecuentes

¿Puede la AEPD sancionar a un psicólogo autónomo con consulta pequeña?
Sí. El RGPD no distingue entre pequeñas consultas y grandes clínicas. La obligación de proteger los datos de salud aplica a cualquier profesional que los trate, independientemente del tamaño de su actividad.

¿Un apercibimiento es lo mismo que una multa?
No. El apercibimiento es una sanción formal pero sin consecuencia económica directa. Sin embargo, queda registrado y, si hay una segunda infracción, la AEPD puede imponer ya una multa económica. Además, el apercibimiento puede ser público.

¿Puedo perder la licencia profesional si me sanciona la AEPD?
La AEPD no tiene competencia para retirar habilitaciones profesionales, pero una sanción puede ser comunicada al Colegio Oficial de Psicólogos correspondiente, que sí tiene esa potestad en casos graves.