Protección de datos: qué debe mirar un psicólogo al elegir un software
Equipo de KHEO · Actualizada el
En resumen
Como psicólogo eres responsable de los datos de tus pacientes, que son datos de salud (art. 9 RGPD). El programa que uses es encargado del tratamiento: debe firmar contigo un contrato (art. 28 RGPD), proteger los datos con medidas adecuadas como el cifrado y el control de accesos, decirte dónde están los servidores y con quién trabaja, y permitirte exportar y conservar las historias el tiempo que exige la ley.
Lo que te toca a ti
- Informar a tus pacientes de cómo tratas sus datos y con qué base legal.
- Llevar el registro de actividades de tratamiento (artículo 30 del RGPD), si te corresponde.
- Atender sus derechos: acceso, rectificación, supresión, portabilidad…
- Conservar la historia clínica al menos cinco años desde el alta de cada proceso asistencial (artículo 17 de la Ley 41/2002), o más si tu comunidad autónoma lo exige.
- Notificar a la AEPD una brecha de seguridad en un plazo de 72 horas cuando haya riesgo para las personas (artículo 33 del RGPD).
Lo que le toca al programa
El proveedor trata los datos por cuenta tuya, así que tiene que ofrecerte garantías suficientes (artículo 28 del RGPD). En la práctica, pregunta:
- ¿Hay contrato de encargo de tratamiento? ¿Puedo leerlo antes de contratar?
- ¿Qué empresas intervienen (alojamiento, correo, IA) y dónde tratan los datos?
- ¿Se cifran los datos clínicos? ¿Queda registrado quién accede a cada historia?
- ¿Puedo limitar qué ve cada profesional del centro?
- ¿Cómo exporto los datos de un paciente cuando ejerce sus derechos, y los de toda la consulta si me voy?
- ¿Qué pasa con los datos si dejo de pagar?
Si el programa usa inteligencia artificial
La IA puede ahorrarte tiempo escribiendo, pero las notas de sesión son datos de salud. Pregunta cuándo se envían datos a la IA, a qué proveedor, si se usan para entrenar modelos y si algo se guarda en la historia sin que lo revises. Una buena respuesta: solo cuando tú lo pides, sin entrenamiento y con tu firma antes de guardar.
Transferencias fuera de la Unión Europea
Si algún proveedor trata datos fuera del Espacio Económico Europeo, la transferencia debe apoyarse en las garantías del capítulo V del RGPD (decisiones de adecuación o cláusulas contractuales tipo). El proveedor debe poder decirte cuál aplica.
Un apunte sobre la evaluación de impacto
El RGPD exige una evaluación de impacto cuando el tratamiento de datos de salud es a gran escala. El considerando 91 indica que el tratamiento de los datos de los pacientes de un profesional sanitario individual no se considera a gran escala. Un centro grande debe valorarlo con su delegado de protección de datos o con un asesor.
Cómo lo hace KHEO
Lo anterior es lo que pide tu consulta o la normativa. Esto es lo que KHEO hace hoy para ayudarte con ello.
- Contrato de encargo de tratamiento y lista de subencargados, publicados y accesibles sin pedirlos.
- Servidores en la Unión Europea y datos de cada clínica aislados del resto.
- Historias clínicas cifradas, registro de quién accede y permisos por profesional.
- Acceso con código enviado al correo además de la contraseña.
- La IA solo trabaja cuando se lo pides, no se usan tus datos para entrenar modelos y nada se guarda sin tu aprobación.
- Exportación de los datos de un paciente y de toda la consulta.
Fuentes
- Reglamento (UE) 2016/679 (RGPD)
- Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD)
- Ley 41/2002, de autonomía del paciente
- Agencia Española de Protección de Datos
Esta guía es informativa y no sustituye el consejo de tu asesoría o de un profesional del derecho.