Ética y protección de datos en terapia online: lo que todo psicólogo debe cumplir en España

Un paciente te cuenta, por videollamada, un episodio de ideación suicida que nunca ha contado a nadie de su entorno. En ese momento, esa información ya es un dato de salud y está sujeta al nivel más alto de protección que recoge la normativa española y europea. La protección de datos para psicólogos online no es algo que vaya separado de la práctica clínica: forma parte del encuadre terapéutico desde el primer minuto.

El Reglamento General de Protección de Datos clasifica la información sobre salud, tanto física como mental, dentro de las categorías especialmente protegidas, igual que la orientación sexual, las creencias religiosas o el origen étnico. Esto significa que cuando tratas los datos de tus pacientes, debes tener algunas precauciones extra. No basta con tener buena voluntad o con guardar las notas en un documento con contraseña.

La protección de datos de psicólogos online implica tener bases legales concretas para tratar esa información, contar con medidas de seguridad proporcionadas al riesgo y, en muchos de los casos, llevar un registro de cómo gestionas los datos de los pacientes.

Es habitual pensar en el consentimiento informado como un trámite que se firma al principio del proceso terapéutico y se archiva sin volver a mirarlo.

Pero, en terapia online, puede tener también una función importante: explicarle al paciente qué plataforma se utiliza, dónde se guardan sus datos, quién puede acceder a ellos y qué pasa si surge algún problema técnico durante una sesión.

Un consentimiento bien explicado ayuda a que el paciente tenga más claro qué pasa con su intimidad y sus datos. Además, puede ayudar a generar un clima de confianza, algo que es esencial para que la terapia funcione.

La plataforma de videollamada que elijas tiene que ofrecer un nivel de cifrado adecuado para tratar los datos de salud, no vale con cualquier herramienta gratuita de uso genérico pensada para reuniones de trabajo.

Pero en la práctica, uno de los mayores problemas suele estar en la mensajería instantánea: muchos terapeutas responden dudas de pacientes por aplicaciones personales de chat, sin comprobar si ofrecen un cifrado adecuado, al final, es lo más cómodo. Aunque se haga con buena intención, es uno de los puntos más débiles a la hora de proteger los datos de los pacientes en el día a día de la terapia online.

También es importante revisar dónde quedan guardadas esas conversaciones informales una vez terminadas. Un mensaje sobre un cambio de cita no supone lo mismo que otro en el que el paciente desarrolla una crisis emocional entre sesiones, sí forma parte de su historia clínica y debería tratarse con las mismas garantías que cualquier otro dato de salud.

No tendría sentido que acabara disperso entre las conversaciones de una aplicación personal, sin saber quién puede acceder al móvil o durante cuánto tiempo se va a conservar esa información.

Si crees que ha habido un acceso no autorizado a los datos de un paciente, por ejemplo, una cuenta comprometida, un correo enviado a la persona equivocada o un dispositivo perdido con historias clínicas sin cifrar, la normativa obliga a notificarlo a la autoridad de control en un plazo de 72 horas si existe riesgo para los derechos del paciente afectado.

En estos casos, lo importante es actuar rápido y con transparencia. Si la situación lo requiere, también habrá que informar directamente al paciente. Ocultar o quitar importancia a lo ocurrido puede acabar perjudicando más la relación terapéutica que reconocer el problema y explicar qué ha pasado. De hecho, guardar silencio ante una brecha de seguridad puede generar más problemas de confianza que comunicarla desde el principio.

Otra pregunta habitual entre psicólogos que empiezan a trabajar online es cuánto tiempo conservar la historia clínica de un paciente que ya no acude a consulta. La normativa sanitaria establece plazos mínimos de conservación, pero no exige guardarlo todo para siempre ni acumular información que ya no tiene ninguna utilidad clínica o legal.

Revisar de vez en cuando qué datos siguen siendo necesarios y eliminar los que no lo son forma parte de una buena gestión de la información, igual que protegerla mientras sea necesario conservarla.

Es fácil ver la protección de datos como una carga burocrática añadida a la práctica clínica, algo que hace que todo vaya más lento y que no aporta valor a nivel terapéutico. Pero la experiencia de quienes llevan años trabajando online dice más bien lo contrario: cuando un paciente sabe que su información está protegida con criterio, no solo con intención, se siente más tranquilo y se abre durante las sesiones con más facilidad.

Cumplir bien con el RGPD y con la normativa sanitaria no compite con hacer un buen trabajo clínico. También forma parte de él.