Protección de datos en una consulta de psicología: lo básico

Una consulta de psicología trata a diario datos de salud: la categoría que el Reglamento General de Protección de Datos (RGPD) protege con más cuidado. No hace falta ser jurista para hacerlo bien, pero sí conocer unas cuantas reglas. Este artículo es una guía de partida; para tu caso concreto, consulta con tu asesoría o con tu colegio profesional.

Datos de salud: una categoría especial

El artículo 9 del RGPD prohíbe tratar datos de salud salvo en supuestos concretos. Uno de ellos es la asistencia sanitaria prestada por profesionales sujetos al deber de secreto. Por eso puedes tratar los datos de tus pacientes para atenderles, pero solo para eso y con medidas de seguridad a la altura.

Informa a tus pacientes

Desde el primer contacto, tu paciente debe saber quién trata sus datos, para qué, durante cuánto tiempo, con qué proveedores se comparten y cómo ejercer sus derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad). Lo más práctico es incluirlo en la documentación de la primera sesión, junto al consentimiento informado.

Tus proveedores también cuentan

Si un programa, una nube o una plataforma de videollamadas guarda o ve datos de tus pacientes, actúa como encargado del tratamiento. El artículo 28 del RGPD exige firmar con él un contrato que diga qué puede hacer con los datos y qué medidas aplica. Pide ese contrato antes de empezar a usar cualquier herramienta, y desconfía de las que alojan datos fuera de la Unión Europea sin garantías claras.

Medidas de seguridad razonables

• Acceso con contraseña robusta y verificación en dos pasos.
• Datos cifrados al viajar y al guardarse, sobre todo las notas clínicas.
• Permisos por persona: recepción no necesita ver notas clínicas.
• Copias de seguridad que se pueden restaurar de verdad.
• Nada de datos de pacientes en el correo personal, el móvil sin bloqueo o carpetas compartidas.

¿Cuánto tiempo guardar la historia clínica?

La Ley 41/2002, de autonomía del paciente, obliga a conservar la documentación clínica como mínimo cinco años desde la fecha del alta de cada proceso asistencial. Algunas comunidades autónomas fijan plazos mayores, así que revisa la normativa de la tuya. Pasado el plazo, los datos que no necesites deben eliminarse de forma segura.

¿Necesito un delegado de protección de datos?

La Ley Orgánica 3/2018 obliga a nombrarlo a los centros sanitarios que deben mantener historias clínicas, pero exceptúa a los profesionales que trabajan a título individual. Si sois un centro con varios profesionales, lo más probable es que sí lo necesitéis.

Si algo sale mal

Una brecha de seguridad (un portátil robado, un acceso indebido, un envío al destinatario equivocado) debe notificarse a la Agencia Española de Protección de Datos en un plazo de 72 horas cuando suponga un riesgo para las personas. Tener claro el procedimiento antes de necesitarlo ahorra mucho estrés.

En Sanvie los datos se alojan en la Unión Europea, las notas clínicas se guardan cifradas, cada centro solo ve lo suyo y firmamos contigo el contrato de encargo. Así protegemos tus datos.