Una historia psicológica puede revelar diagnósticos, síntomas, familia, discapacidad, medicación, sexualidad y otros hechos muy sensibles. La consulta necesita una base del artículo 6, una condición del artículo 9 y las reglas profesionales y sanitarias aplicables en España.
Esta guía es un marco de revisión, no una conclusión para un profesional concreto. Colegiación, tipo de servicio, ámbito público o privado, comunidad autónoma, pacientes y escala cambian la respuesta.
1. Define el contexto profesional y asistencial
Registra:
- titulación y colegiación;
- si la actividad es sanitaria, social, educativa, laboral, forense, investigadora u otra;
- quién es responsable de cada historia;
- si participan clínica, aseguradora, empresa, centro educativo o juzgado; y
- normas estatales y autonómicas aplicables.
La guía para profesionales del sector sanitario de la AEPD explica las responsabilidades en el contexto sanitario español.
2. No trates el consentimiento explícito como base universal
El RGPD separa la base del artículo 6 de la condición especial del artículo 9.
Para asistencia prestada por o bajo la responsabilidad de un profesional sujeto a secreto, puede resultar aplicable el artículo 9.2.h junto con el 9.3 y la legislación de la Unión o nacional. Quien no reúna ese contexto profesional y normativo no puede presumirlo.
El consentimiento explícito del artículo 9.2.a es otra posibilidad. Debe ser explícito, informado, específico, libre, demostrable y revocable. La retirada puede impedir el tratamiento futuro basado en él, pero no vuelve ilícito lo anterior. Puede no ser adecuado ante desequilibrio o cuando no exista una opción real de rechazo.
El consentimiento clínico a evaluación o tratamiento, el deber de secreto y el consentimiento RGPD son cuestiones relacionadas pero distintas. No las agrupes en una firma sin explicación.
3. Informa por capas
En la admisión explica responsable, finalidades, bases, condición de salud, destinatarios, conservación, derechos, reclamación y datos obligatorios. Usa primera capa breve y segunda completa.
Explica derivaciones, aseguradoras, organismos, contactos de emergencia, sistemas clínicos, videollamada y herramientas de transcripción o IA. No prometas confidencialidad absoluta si una norma o un riesgo inmediato puede exigir una comunicación definida.
4. Controla la historia clínica
La Ley 41/2002 regula autonomía e información clínica en su ámbito. Su artículo 17 contiene mínimos de conservación y fines de preservación. Las normas autonómicas y profesionales pueden añadir plazos.
Crea un calendario por tipo de registro y finalidad legal. No inventes un número único para notas, emails, facturas y evaluaciones. Limita accesos, registra consultas, protege exportaciones y define destrucción segura.
Separa anotaciones subjetivas cuando el marco profesional y legal las reconozca, y confirma su acceso y conservación con un profesional cualificado.
5. Compatibiliza derechos y seguridad
Prepara acceso, rectificación, limitación, oposición, portabilidad cuando proceda y supresión. Una solicitud de supresión no siempre obliga a borrar una historia que debe conservarse, pero la denegación necesita una causa concreta y explicación.
Verifica identidad de forma proporcionada. No envíes historias por email ordinario sin evaluar la seguridad. Registra límites necesarios para proteger derechos de terceros o información confidencial.
6. Revisa encargados, seguridad e incidentes
Software clínico, nube, citas, email, vídeo, almacenamiento, contabilidad e IA pueden recibir datos. Confirma funciones, artículo 28, ubicaciones, subencargados, transferencias, conservación, acceso y salida.
Aplica autenticación robusta, mínimo privilegio, cifrado de dispositivo, copias, parches, revisión de acceso y plan de brechas. El registro del incidente debe permitir evaluar artículos 33 y 34 sin exponer detalle clínico innecesario.
7. Aplica las pruebas de delegado y EIPD
El artículo 37 puede exigir delegado cuando las actividades principales incluyan categorías especiales a gran escala. «Gran escala» depende del contexto. Una consulta individual no queda exenta de analizarlo, y una clínica de grupo no queda incluida sin revisar escala y actividad.
El artículo 35 exige EIPD ante probabilidad de alto riesgo. Vigilancia sistemática, gran volumen de salud, personas vulnerables, IA novedosa, puntuación o bases enlazadas deben activar una evaluación documentada. La AEPD ofrece orientación y herramientas de EIPD.
Puerta de publicación
Antes de usar esta guía o un borrador de GDPR.Direct en una consulta, solicita revisión de:
- un profesional español cualificado en protección de datos;
- un clínico que conozca el servicio y las obligaciones documentales; y
- un revisor nativo para textos dirigidos a pacientes.
GDPR.Direct redacta documentos con los hechos aportados. No determina la condición profesional, necesidad clínica, plazo autonómico, salvaguardias ni si se aplican 9.2.h, consentimiento, delegado o EIPD.
Esta guía tiene fines educativos y no constituye asesoramiento jurídico o clínico. La versión española necesita revisión profesional nativa antes de una publicación regulada.