RGPD para centros de psicología: checklist práctico de accesos, backups, proveedores y brechas

El RGPD lleva años en vigor, pero en muchos centros de psicología sigue siendo una asignatura pendiente. Hay buena voluntad, algún documento firmado y la sensación de que "más o menos está hecho". El problema aparece cuando llega una inspección, una brecha de seguridad o una reclamación de un paciente.

Este checklist está pensado para centros que quieren tener el RGPD operativo de verdad, no solo sobre el papel. Está organizado en cuatro bloques: accesos, backups, proveedores y brechas. Con una tarde y el equipo implicado, se puede avanzar mucho.

1. Accesos: quién entra, a qué y con qué credenciales

El control de accesos es la base de cualquier política de protección de datos. En un centro, esto significa saber en todo momento qué personas tienen acceso a qué información y con qué nivel de permisos.

Checklist de accesos:

• Cada miembro del equipo tiene credenciales propias. Compartir usuario y contraseña entre varios profesionales imposibilita la trazabilidad y es una vulnerabilidad directa.
• Los permisos están asignados por rol: el personal administrativo accede a la parte operativa, los terapeutas a los expedientes de sus pacientes, la dirección a la visión global. Más detalle en el post sobre historial clínico y permisos por rol.
• Existe un registro de altas y bajas de acceso. Cuando alguien deja el centro, sus credenciales se desactivan ese mismo día.
• Las contraseñas cumplen unos criterios mínimos de seguridad y se renuevan periódicamente.
• El acceso remoto, si existe, se realiza a través de canales seguros.

2. Backups: la información existe mientras haya copia

Una brecha de seguridad o un fallo técnico pueden dejar a un centro sin acceso a años de historial clínico. La política de copias de seguridad es la red que lo evita.

Checklist de backups:

• Las copias de seguridad se realizan de forma automática y con una frecuencia definida, diaria como mínimo para la información clínica activa.
• Las copias se almacenan en un lugar distinto al servidor principal, ya sea en la nube o en un dispositivo físico separado.
• Se realizan pruebas de restauración periódicas. Una copia que nunca se ha probado puede no funcionar cuando se necesita.
• Existe un responsable identificado de supervisar que las copias se realizan correctamente.
• El periodo de retención de los backups está definido y es coherente con los plazos legales de conservación de la historia clínica.

3. Proveedores: la matriz que muchos centros no tienen

Cualquier empresa externa que acceda a datos de pacientes del centro es un encargado del tratamiento según el RGPD. Eso incluye el software de gestión, la plataforma de videollamadas, el servicio de email, la gestoría, el servicio de limpieza si accede a espacios con documentación, y cualquier otro proveedor con acceso a información personal.

Con cada uno de ellos tiene que existir un contrato de encargo del tratamiento. Sin ese contrato, el centro está cediendo datos sin cobertura legal.

La matriz de proveedores es una tabla sencilla que recoge, para cada proveedor: qué datos maneja, con qué finalidad, dónde los almacena y si tiene firmado el contrato de encargo. Tenerla actualizada permite saber en todo momento con quién comparte datos el centro y bajo qué condiciones.

Checklist de proveedores:

• Existe una lista actualizada de todos los proveedores con acceso a datos personales.
• Cada proveedor tiene firmado su contrato de encargo del tratamiento.
• Los proveedores que almacenan datos fuera de la UE tienen las garantías adicionales que exige el RGPD.
• Cuando se da de baja un proveedor, se verifica que elimina o devuelve los datos según lo acordado.
• El software de gestión clínica cumple con el RGPD y tiene su propio contrato de encargo firmado. Si usas Eholo, este punto está cubierto desde el primer día.

4. Consentimientos: la base del tratamiento

Sin consentimiento informado firmado, el tratamiento de datos de un paciente carece de base legal. En un centro con varios terapeutas, gestionar esto de forma manual genera lagunas.

El consentimiento tiene que ser específico, informado y verificable. Eso significa que el paciente sabe exactamente qué datos se recogen, para qué se usan y quién los gestiona, y que el centro puede acreditar que lo firmó y cuándo.

Para terapia online, el consentimiento presencial requiere uno adicional específico que cubra la plataforma utilizada, las condiciones de la sesión y qué ocurre con la grabación si existe. Más detalle en el artículo sobre consentimiento informado para psicólogos.

Checklist de consentimientos:

• Todos los pacientes activos tienen el consentimiento informado firmado y archivado.
• Los pacientes que hacen terapia online tienen un consentimiento específico para esa modalidad.
• Los consentimientos están vinculados al expediente del paciente y son recuperables de forma inmediata.
• Existe un proceso definido para recoger el consentimiento de nuevos pacientes antes de la primera sesión.

Eholo permite gestionar los consentimientos de forma digital y descargar una plantilla de consentimiento informado adaptada para psicólogos.

5. Brechas de seguridad: tener el protocolo antes de necesitarlo

Una brecha de seguridad es cualquier incidente que comprometa la confidencialidad, integridad o disponibilidad de datos personales. Puede ser un acceso no autorizado, un email enviado al destinatario equivocado, un dispositivo robado o un ataque informático.

El RGPD obliga a notificar las brechas que supongan riesgo para los afectados a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que se tiene conocimiento. Tener el protocolo preparado con antelación es lo que permite cumplir ese plazo.

Checklist de brechas:

• Existe un protocolo escrito que define qué se considera una brecha, quién la gestiona y cómo se notifica.
• El equipo sabe a quién comunicar un incidente de forma inmediata.
• Hay un registro de incidencias aunque sean menores, para poder demostrar diligencia ante una inspección.
• El responsable del tratamiento conoce el procedimiento de notificación a la AEPD.

Si el centro usa herramientas con inteligencia artificial para el registro clínico, conviene revisar también las implicaciones de privacidad específicas. Eholo ha publicado información sobre seguridad y privacidad con inteligencia artificial aplicada a la psicología.

El RGPD es un hábito

La mayoría de los puntos de este checklist requieren una decisión y una configuración inicial. Una vez en marcha, el mantenimiento es ligero: revisar la matriz de proveedores cuando entra uno nuevo, desactivar accesos cuando alguien sale del equipo, comprobar que los backups funcionan.

Para ver cómo Eholo gestiona la seguridad y la documentación del centro, aquí puedes ver una demo de historial clínico y pacientes.