En una frase. Un psicólogo trata los datos más sensibles que existen —salud mental, categoría especial del art. 9 RGPD— y su obligación se articula en dos capas que no se deben confundir: el deber de secreto deontológico y las obligaciones de protección de datos del RGPD y la LOPDGDD.
El RGPD psicólogos exige un rigor superior al de casi cualquier otra profesión, porque la información clínica de una consulta de psicología revela estados mentales, relaciones familiares y, a menudo, datos de terceros mencionados en sesión. Esta guía resume qué obligaciones son ineludibles y dónde están las trampas.
Puntos clave
- Las notas de sesión y la historia clínica son datos de salud: art. 9 RGPD.
- Base de legitimación de la asistencia: art. 9.2.h RGPD, no el consentimiento.
- Menores: en España el consentimiento propio se admite a partir de 14 años (art. 7 LOPDGDD); por debajo, consentimiento parental.
- El deber de secreto del Código Deontológico no elimina el derecho de acceso del propio paciente.
- La teleconsulta obliga a elegir plataformas con garantías y contrato de encargado.
1. Qué datos maneja una consulta de psicología
- Historia clínica y notas de sesión: diagnóstico, evolución, hipótesis clínicas.
- Datos de contexto: familia, pareja, entorno laboral —a menudo datos de terceros.
- Datos de menores cuando se atiende a población infantojuvenil.
- Datos de contacto y facturación.
Conviene entender por qué la ley trata estos datos como los de mayor riesgo. Una filtración de una historia clínica de salud mental no se puede reparar: la información sobre un trastorno, una adicción o un conflicto familiar acompaña a la persona de por vida y puede condicionar su empleo, sus relaciones o su reputación. Por eso el legislador europeo, en el considerando 51 del Reglamento (UE) 2016/679, sitúa estos datos bajo un régimen de protección reforzado. La consecuencia para el terapeuta es directa: las medidas de seguridad, el control de accesos y la formalización de encargados no son burocracia, sino la traducción práctica de ese nivel de riesgo.
Todo lo relativo a la salud mental es categoría especial. La prohibición general del art. 9.1 RGPD solo se levanta por una excepción del art. 9.2; para la asistencia psicológica esa excepción es el art. 9.2.h, reforzado por el art. 9 de la LOPDGDD. Es el mismo esquema que rige en todo el sector sanitario.
2. Notas de sesión: ¿son accesibles por el paciente?
Sí, con matices. El derecho de acceso (art. 15 RGPD) permite al paciente obtener sus datos. Las notas personales del profesional destinadas a su propia memoria de trabajo tienen protección reforzada, pero la información clínica que forma parte de la historia es accesible. El deber de secreto deontológico protege al paciente frente a terceros; no es un escudo del terapeuta frente al propio interesado.
Dos supuestos frecuentes:
- Petición de un progenitor sobre datos de su hijo menor: hay que ponderar el interés del menor y su madurez.
- Requerimiento judicial: el secreto cede ante una orden judicial motivada, pero solo respecto de lo estrictamente requerido (minimización, art. 5.1.c).
3. Menores en consulta
El art. 7 LOPDGDD fija en 14 años la edad para que el menor preste por sí mismo su consentimiento en servicios de la sociedad de la información. En la asistencia psicológica a menores de esa edad, el consentimiento y la información se canalizan a través de quienes ejerzan la patria potestad. En casos de progenitores separados con custodia compartida, la regla general es que ambos deben ser informados, salvo resolución judicial en contra. Redacta la información y los consentimientos con nuestra guía de ejemplos de consentimiento RGPD.
4. Teleconsulta y plataformas de videollamada
La psicología online se disparó tras 2020 y con ella el riesgo. Reglas mínimas:
- Plataforma con garantías: cifrado extremo a extremo cuando sea posible y servidores en la UE o con garantías adecuadas para transferencias internacionales.
- Contrato de encargado (art. 28 RGPD) con el proveedor de videollamada y de la plataforma de gestión.
- No grabar sesiones salvo consentimiento explícito y base documentada.
- Entorno privado en ambos extremos de la comunicación.
Un error frecuente es usar herramientas de videollamada gratuitas de uso general sin revisar dónde se alojan los datos ni si el proveedor firma un acuerdo de encargado. Si la plataforma almacena metadatos, transcripciones automáticas o grabaciones en servidores fuera del Espacio Económico Europeo sin garantías adecuadas, el psicólogo está exponiendo datos de salud a una transferencia internacional no amparada. Antes de contratar cualquier solución de teleconsulta conviene pedir al proveedor su información sobre subencargados y ubicación de los servidores, y dejar constancia escrita del análisis. La comodidad de una herramienta no compensa una brecha de confidencialidad en el activo más sensible de la consulta.
5. Enforcement y responsabilidad proactiva
La Agencia Española de Protección de Datos trata los datos de salud mental como los de mayor riesgo. Los fallos que más expedientes generan en consultas pequeñas:
| Fallo | Consecuencia |
|---|---|
| Historia clínica sin control de acceso | Fallo de seguridad (art. 32 RGPD) |
| Sin contrato con la plataforma de teleconsulta | Infracción del art. 28 |
| Envío de informes a colegios/juzgados sin base ni minimización | Cesión indebida |
| No atender un derecho de acceso del paciente | Muy grave (art. 72.1.k LOPDGDD) |
| Recordatorios que revelan que la persona acude a psicología | Vulneración de confidencialidad |
Consulta los criterios reales en el seguimiento de sanciones AEPD en sanidad y salud. Documenta cada tratamiento en tu registro de actividades de tratamiento: la excepción de las 250 personas no ampara el tratamiento habitual de datos de salud.
6. ¿Necesita un psicólogo EIPD y DPO?
- EIPD (art. 35 RGPD): recomendable siempre que haya tratamiento sistemático de datos de salud a cierta escala, uso de plataformas nuevas o perfilado. Usa la guía de evaluación de impacto.
- DPO: una consulta individual normalmente no está obligada, pero conviene revisar los criterios en cuándo es obligatorio el DPO. Muchos gabinetes son autónomos: complementa con la guía de RGPD para autónomos.
Mantener al día registro, contratos y política de conservación en una consulta pequeña consume tiempo que resta a la clínica. Herramientas como Legiscope generan y actualizan esa documentación automáticamente, aunque un profesional individual puede empezar con plantillas rigurosas.
Véase también, para sectores con obligaciones de protección de datos similares: RGPD para clínicas veterinarias, RGPD para clínicas dentales y RGPD para farmacias.
FAQ
¿Puede un paciente pedir sus notas de sesión?
Sí, mediante el derecho de acceso del art. 15 RGPD. La información clínica de la historia es accesible; las anotaciones personales de trabajo del profesional tienen una protección reforzada, pero no cabe negar de plano el acceso del interesado a sus propios datos.
¿A partir de qué edad decide un menor sobre sus datos en psicología?
En España, 14 años para el consentimiento en servicios digitales (art. 7 LOPDGDD). En la asistencia a menores de esa edad, el consentimiento y la información se gestionan a través de los titulares de la patria potestad.
¿Necesito consentimiento RGPD para la historia clínica?
No para la asistencia. La base es el art. 9.2.h RGPD. El consentimiento se reserva para usos ajenos a la terapia, como investigación no amparada o difusión de casos.
¿Puedo enviar un informe psicológico a un juzgado sin permiso del paciente?
Ante un requerimiento judicial motivado, el deber de secreto cede, pero solo respecto de lo estrictamente solicitado. Debes aplicar minimización y no aportar datos ajenos a lo requerido.
Legiscope automates this for you
Stop doing compliance manually. Legiscope's AI handles ROPA creation, DPA audits, and gap analysis — in minutes, not weeks.
Start free trial