Qué hacer ante una brecha de seguridad en una consulta de psicología
Una brecha de seguridad puede producirse incluso cuando se aplican medidas adecuadas de protección. En el ámbito de la psicología clínica, donde se gestionan datos especialmente sensibles, la clave no es solo prevenir, sino saber cómo actuar correctamente cuando ocurre un incidente.
Una respuesta rápida, ordenada y documentada puede reducir significativamente el impacto del incidente y evitar consecuencias legales más graves.
A continuación se detalla el protocolo básico de actuación ante una brecha de seguridad en una consulta de psicología.
1. Detección y contención del incidente
El primer paso ante una sospecha o confirmación de brecha de seguridad es limitar el alcance del incidente lo antes posible.
No es necesario disponer de toda la información para actuar; la prioridad es detener la posible exposición de datos.
Acciones inmediatas:
- Desconectar el dispositivo afectado de la red si existe riesgo activo
- Cambiar contraseñas de cuentas potencialmente comprometidas
- Identificar qué datos pueden haberse visto afectados
- Evitar borrar o modificar información hasta su análisis
2. Evaluación del riesgo
Una vez contenido el incidente, es necesario evaluar su impacto para determinar las obligaciones legales asociadas.
Esta fase es clave para decidir si debe notificarse a la Agencia Española de Protección de Datos (AEPD) o a los afectados.
- Tipo de datos afectados (clínicos, identificativos, etc.)
- Número de pacientes implicados
- Posibles consecuencias para los afectados
- Origen del incidente (interno o externo)
- Si la vulneración continúa activa
3. Notificación a la AEPD
Cuando la brecha de seguridad pueda suponer un riesgo para los derechos de los pacientes, existe la obligación de notificarlo a la Agencia Española de Protección de Datos.
Plazo legal:
- Máximo 72 horas desde que se tiene constancia del incidente
- No desde que ocurre, sino desde que se detecta
No todas las brechas requieren notificación, pero en caso de duda es recomendable realizar una evaluación profesional o consultar con el Delegado de Protección de Datos.
4. Comunicación a los afectados
Si la brecha puede implicar un alto riesgo para los derechos de los pacientes, es obligatorio informarles directamente.
¿Cómo debe ser la comunicación?
- Descripción clara del incidente
- Tipo de datos afectados
- Medidas adoptadas por la consulta
- Recomendaciones de seguridad para el paciente
- Canal de contacto para resolver dudas
5. Documentación del incidente
Toda brecha de seguridad debe quedar registrada, independientemente de si se notifica o no a la AEPD.
Este registro es una obligación del RGPD y forma parte del principio de responsabilidad proactiva.
¿Qué debe documentarse?
- Descripción del incidente y su causa
- Cronología de lo ocurrido
- Tipos de datos y personas afectadas
- Medidas de contención aplicadas
- Notificaciones realizadas (AEPD o pacientes)
- Evaluación del impacto
Preguntas frecuentes sobre brechas de seguridad en psicología
Una brecha de seguridad es cualquier incidente que provoque el acceso no autorizado, pérdida, alteración o exposición de datos de pacientes. Puede deberse a errores humanos, ataques informáticos o pérdida de dispositivos.
Debe notificarse a la Agencia Española de Protección de Datos cuando la brecha pueda suponer un riesgo para los derechos y libertades de los pacientes afectados.
El RGPD establece un plazo máximo de 72 horas desde que el profesional tiene conocimiento del incidente.
Sí, cuando la brecha pueda implicar un alto riesgo para sus derechos o privacidad. La comunicación debe hacerse de forma clara y sin retrasos innecesarios.
La falta de notificación puede considerarse un incumplimiento del RGPD y derivar en sanciones económicas o responsabilidades legales.
Debe documentarse qué ocurrió, cuándo se detectó, qué datos se vieron afectados, qué medidas se adoptaron y si se realizaron notificaciones a la AEPD o a los pacientes.
Los más habituales son el envío erróneo de informes, accesos no autorizados, pérdida de dispositivos, phishing y uso de herramientas no seguras.
Aplicando medidas como cifrado de dispositivos, contraseñas seguras, control de accesos, copias de seguridad y formación básica en protección de datos.
