Si tienes una consulta de psicología en España, cumplir con el Reglamento General de Protección de Datos (RGPD) no es opcional. La Agencia Española de Protección de Datos (AEPD) ha sancionado a profesionales sanitarios —incluyendo psicólogos— por no tener en regla su documentación. Y el argumento de «no sabía que era obligatorio» no exime de la multa.

En esta guía te explicamos exactamente qué documentos necesita un psicólogo para cumplir el RGPD en 2026, qué debe contener cada uno y cuál es la consecuencia de no tenerlos.

¿Por qué los psicólogos están especialmente obligados por el RGPD?

Los datos que maneja una consulta de psicología no son datos ordinarios. Son datos de salud, considerados por el artículo 9 del RGPD como una categoría especial de datos personales. Esto significa que requieren un nivel de protección reforzado y que las obligaciones que recaen sobre ti son más exigentes que para cualquier otro tipo de negocio.

Piénsalo: en tu consulta guardas diagnósticos, historias de vida, problemas familiares, informes psicológicos y notas clínicas. Si esa información se filtra o se usa sin el consentimiento del paciente, el daño puede ser irreversible. Por eso el RGPD impone sanciones de hasta 20 millones de euros (o el 4% de la facturación anual) para las infracciones más graves.

¿La buena noticia? Cumplir es perfectamente alcanzable. Solo necesitas tener los documentos correctos y entender para qué sirve cada uno.

Los 5 documentos RGPD obligatorios para psicólogos en 2026

1. Registro de Actividades de Tratamiento (RAT)

El Registro de Actividades de Tratamiento es el mapa de todos los datos personales que tratas en tu consulta. El artículo 30 del RGPD lo hace obligatorio para la mayoría de los responsables del tratamiento.

En él debes documentar, como mínimo:

• Los tipos de tratamientos que realizas (consulta presencial, videoconsulta, evaluaciones, informes…)
• Las categorías de personas cuyos datos tratas (pacientes adultos, menores, familiares…)
• Las categorías de datos que manejas (datos de salud, datos de contacto, datos bancarios para facturación…)
• Las bases legales de cada tratamiento
• Los plazos de conservación de cada tipo de dato
• Las medidas de seguridad aplicadas
• Si cedes datos a terceros (software de gestión, gestoría, laboratorio…)

El RAT no se presenta ante ningún organismo; es un documento interno que debes tener actualizado y disponible si la AEPD te lo solicita en una inspección. El error más frecuente es no tenerlo o tenerlo desactualizado.

2. Consentimiento informado adaptado al RGPD

Este es probablemente el documento más visible de tu obligación de cumplimiento. Antes de iniciar cualquier proceso terapéutico, el paciente debe firmar un consentimiento que cumpla simultáneamente dos marcos normativos: el RGPD (protección de datos) y la Ley 41/2002 de autonomía del paciente (consentimiento informado asistencial).

Un consentimiento correctamente redactado debe informar al paciente de:

• Quién es el responsable del tratamiento de sus datos (tú, con tus datos de contacto)
• Para qué se van a usar sus datos y cuál es la base legal
• Cuánto tiempo se van a conservar
• Si se van a ceder a terceros y a quiénes
• Cuáles son sus derechos (acceso, rectificación, supresión, portabilidad, oposición)
• Cómo puede ejercer esos derechos y ante quién reclamar

Atención: un consentimiento genérico descargado de internet probablemente no cumpla todos estos requisitos. Debe estar adaptado a tu actividad concreta y mencionar, por ejemplo, si usas un software de gestión clínica o si realizas videoconsultas.

3. Cláusulas informativas

Además del consentimiento informado en papel, debes incluir información sobre protección de datos en cada punto de recogida de datos que tengas. Esto incluye:

• Formulario de contacto de tu web: debe tener una cláusula informativa y una casilla de aceptación (no premarcada) antes del envío.
• Fichas de recogida de datos en consulta: cualquier formulario en papel o digital donde el paciente rellene sus datos.
• Correo electrónico: si recibes datos de salud por email, debes tener una cláusula de confidencialidad en tu firma.
• WhatsApp u otras aplicaciones de mensajería: requieren una advertencia previa al paciente sobre los riesgos de comunicar datos de salud por canales no cifrados end-to-end certificados para uso sanitario.

Las cláusulas informativas son cortas (un párrafo) pero deben contener los elementos del artículo 13 del RGPD. Sin ellas, la recogida de datos puede considerarse ilícita.

4. Política de Privacidad y Aviso Legal en la web

Si tienes página web —y casi todos los psicólogos la tienen—, necesitas dos documentos legales visibles y accesibles desde cualquier página de tu sitio:

Política de Privacidad: informa a los usuarios de tu web sobre cómo tratas sus datos: qué datos recoges, para qué, durante cuánto tiempo, y cuáles son sus derechos. No puede ser un documento genérico; debe reflejar lo que realmente hace tu web (si tienes formulario de contacto, si usas cookies de analítica, si tienes newsletter…).

Aviso Legal: identifica al titular de la web (nombre, NIF, dirección), las condiciones de uso y, si procede, las condiciones de contratación. Es obligatorio por la Ley de Servicios de la Sociedad de la Información (LSSI).

Ambos documentos deben estar actualizados. Una política de privacidad desactualizada que no menciona las herramientas que realmente usas (por ejemplo, un plugin de reservas o una plataforma de videoconsulta) puede ser motivo de sanción.

5. Contratos con encargados del tratamiento

Cada vez que compartes datos de pacientes con un tercero —aunque sea para que te preste un servicio—, ese tercero se convierte en encargado del tratamiento y necesitas firmar con él un contrato que lo regule. Esto afecta a:

• El proveedor de tu software de historia clínica o gestión de citas (Neec, Mintzio, Psicoapps, Clinic Cloud…)
• La plataforma de videoconsulta que uses (Zoom, Teams, plataformas específicas…)
• Tu gestoría o asesoría fiscal (si les mandas facturas con datos de pacientes)
• El servicio de email marketing si tienes newsletter
• El servidor de hosting donde está tu web

El artículo 28 del RGPD exige que este contrato esté firmado y que en él quede claro que el encargado solo usará los datos para la finalidad que tú le indiques, que los protegerá con medidas adecuadas y que te avisará si sufre una brecha de seguridad.

Muchos psicólogos desconocen que si su software de gestión no ofrece este contrato, están incumpliendo el RGPD —aunque el software sea el más popular del mercado.

¿Necesitas también un Delegado de Protección de Datos?

El DPD (Delegado de Protección de Datos) es obligatorio para las entidades que tratan datos sensibles a gran escala. En el caso de los psicólogos autónomos con consulta individual o pequeños centros, la AEPD ha clarificado que, en general, no están obligados a nombrar un DPD. Sin embargo, si gestionas una clínica con varios profesionales y muchos pacientes, la situación puede ser diferente.

Ante la duda, conviene hacer un análisis caso por caso. Lo que sí es obligatorio para todos —independientemente del tamaño— son los cinco documentos que hemos descrito.

¿Qué pasa si no tienes estos documentos?

La AEPD puede iniciar un procedimiento sancionador de oficio o a raíz de una denuncia (que puede venir de cualquier paciente). Las consecuencias van desde un apercibimiento (en infracciones leves y primer aviso) hasta multas que, en el sector sanitario, han llegado a decenas de miles de euros.

Pero más allá de la multa económica, el daño reputacional puede ser devastador para una consulta que depende de la confianza de sus pacientes. Una denuncia de protección de datos es información pública.

¿Por dónde empezar?

Si estás leyendo esto y aún no tienes estos documentos en regla, lo más eficiente es empezar por el Registro de Actividades de Tratamiento, porque es la base de todo lo demás. Una vez que sabes exactamente qué datos tratas y para qué, el resto de documentos se redactan con mucho más sentido y coherencia.

Si ya tienes algunos documentos pero no sabes si están actualizados o correctamente redactados, lo más prudente es pedir una revisión. Un documento mal redactado puede ser tan problemático como no tenerlo.

Preguntas frecuentes

¿El consentimiento informado asistencial y el consentimiento RGPD son el mismo documento?
No exactamente. El consentimiento asistencial informa al paciente sobre el proceso terapéutico y recoge su voluntad de recibirlo. El consentimiento RGPD informa sobre el tratamiento de sus datos personales. En la práctica, muchas consultas los integran en un único documento bien estructurado, lo cual es perfectamente válido.

¿Tengo que actualizar los documentos cada año?
No hay un plazo fijo, pero sí debes actualizarlos cada vez que cambie algo relevante: si cambias de software, si añades un servicio nuevo (como videoconsulta), si contratas a alguien, o si cambia la normativa. Se recomienda hacer una revisión anual de todos los documentos.

¿Los documentos descargados de internet son válidos?
Pueden serlo como punto de partida, pero rara vez cubren la situación específica de tu consulta. Un documento genérico que no menciona tus herramientas reales, tus plazos de conservación concretos o tus encargados del tratamiento no te protege ante una inspección.