Cifrado de datos de pacientes: guía de seguridad para psicólogos

También con una copia de seguridad que nadie ha comprobado en años. Cuando el archivo contiene información sobre salud mental, el problema no es solo que alguien pueda leer un nombre: puede acceder a diagnósticos, antecedentes, episodios de crisis, tratamientos y anotaciones íntimas.

El Reglamento General de Protección de Datos (RGPD) considera los datos relativos a la salud una categoría especial. La historia clínica psicológica entra habitualmente en ese ámbito. Para quien ejerce por cuenta propia, esto se traduce en una responsabilidad muy concreta: debe poder explicar qué información trata, dónde la guarda, quién puede acceder a ella y qué medidas ha implantado para reducir el riesgo.

El cifrado es una de esas medidas. El artículo 32 del RGPD lo menciona expresamente junto con la seudonimización, pero no convierte un algoritmo concreto en una solución automática para todas las consultas. La seguridad debe ser adecuada al riesgo, al volumen de información, a los medios disponibles y a la forma en que se presta el servicio.

Cifrar no sustituye a la seguridad: es una de las capas que hacen que un acceso indebido no termine necesariamente en una exposición de datos.

La cuestión práctica no es solo qué algoritmo aparece en la ficha técnica de un proveedor. Es saber qué se cifra, en qué momento, quién custodia las claves, cómo se envían los documentos y qué queda documentado si algo falla.

El marco legal: por qué los datos de salud mental exigen protección especial

El punto de partida está en el artículo 9 del RGPD. Los datos de salud reciben una protección reforzada y su tratamiento solo es posible cuando concurre una de las bases previstas en la normativa. En una consulta psicológica, la prestación de asistencia sanitaria y las obligaciones vinculadas a la relación profesional suelen formar parte de la justificación jurídica, pero eso no elimina el resto de responsabilidades.

La confidencialidad no depende únicamente del consentimiento del paciente. Aunque una persona acepte que sus datos se utilicen para recibir atención, la consulta sigue teniendo que aplicar medidas de seguridad razonables y respetar el deber de secreto. La Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, completa en España el marco del RGPD y mantiene la importancia de ese deber de confidencialidad.

Tres obligaciones ayudan a ordenar el problema:

• Definir la finalidad y la base jurídica. No todos los datos que pueden resultar interesantes para la consulta son necesarios para la atención. Recoger menos información también reduce el impacto de una posible brecha.
• Limitar el acceso. El hecho de que un dato esté almacenado en el sistema no significa que deba estar disponible para cualquier persona que trabaje en la consulta.
• Aplicar medidas proporcionales al riesgo. El RGPD no ofrece una lista cerrada de herramientas obligatorias para cada profesional. Exige valorar los riesgos y adoptar medidas técnicas y organizativas adecuadas.

El artículo 32 menciona el cifrado de los datos personales en reposo y durante la transmisión. Esa referencia es importante, pero conviene leerla correctamente: no significa que exista una obligación general de utilizar AES-256 en cualquier circunstancia ni que un determinado protocolo garantice por sí solo el cumplimiento. La elección técnica debe quedar justificada dentro del análisis de riesgos y de la documentación de seguridad.

La Agencia Española de Protección de Datos (AEPD) publica guías, recomendaciones y materiales de ayuda que permiten interpretar cómo llevar estos principios a la práctica. Son referencias útiles para configurar una consulta, pero no todas sus recomendaciones tienen el mismo rango que una norma jurídica. Una guía no convierte automáticamente una preferencia técnica en un requisito legal universal.

Qué debe poder explicar una consulta

Si el profesional tiene que revisar su sistema o responder a una consulta de un paciente, debería poder describir, sin depender de explicaciones comerciales del proveedor:

• Qué dispositivos contienen historias o notas de seguimiento.
• Si los discos del ordenador y de los portátiles están cifrados.
• Cómo se protegen las copias de seguridad.
• Qué conexión se utiliza para acceder al software clínico.
• Qué personas tienen permisos y si esos permisos siguen siendo necesarios.
• Cómo se comparten informes con pacientes, familiares autorizados u otros profesionales.
• Qué ocurre cuando se pierde un dispositivo o se sospecha que una cuenta ha sido comprometida.

La respuesta no tiene que consistir en una colección de siglas. Tiene que conectar cada medida con un riesgo. Un portátil cifrado reduce el impacto de una pérdida física; la autenticación multifactor dificulta el acceso a una cuenta aunque se haya robado la contraseña; una copia independiente permite recuperarse de un ransomware. Son controles distintos para problemas distintos.

Estándares técnicos: AES, TLS y autenticación sin falsas certezas

La protección de los datos psicológicos suele dividirse en tres situaciones: cuando la información está almacenada, cuando viaja entre sistemas y cuando una persona intenta acceder a ella. Cada una requiere controles diferentes.

Datos almacenados: cifrado de dispositivos y copias

El cifrado de disco completo protege la información cuando el equipo está apagado o el dispositivo se pierde. Es especialmente relevante en ordenadores portátiles, discos externos y memorias USB. En muchos sistemas operativos actuales puede activarse mediante herramientas integradas, pero no basta con dar por hecho que están funcionando: hay que comprobarlo y conservar alguna evidencia de la configuración.

AES-256 es una opción consolidada para el cifrado simétrico y aparece con frecuencia en productos de almacenamiento, gestores de archivos y herramientas de copias de seguridad. También pueden existir configuraciones seguras basadas en otras suites criptográficas actuales. Lo importante es no presentar AES-256 como una contraseña mágica ni como una exigencia técnica universal de la AEPD.

En cambio, sí conviene desconfiar de productos que:

• No explican qué algoritmo utilizan.
• No permiten gestionar o recuperar las claves de forma segura.
• Mantienen copias sin cifrar en carpetas temporales.
• Ofrecen cifrado solo para la transmisión, pero no para el almacenamiento.
• No informan de quién puede acceder a los datos desde el lado del proveedor.

Algoritmos antiguos o protocolos obsoletos pueden plantear problemas, pero la evaluación no debe reducirse a tachar una sigla en una tabla. También importan el modo de operación, la gestión de claves, las actualizaciones y la configuración real del sistema. Un proveedor que anuncia cifrado sin explicar esos elementos está dando una respuesta incompleta.

Datos en tránsito: TLS no equivale a cualquier conexión segura

Cuando una consulta accede a una plataforma clínica desde el navegador, el tráfico debería viajar mediante una conexión segura basada en TLS. La versión concreta depende del servicio y de su configuración, pero TLS 1.2 o superior es una referencia habitual en sistemas actuales, con TLS 1.3 como opción preferible cuando está disponible.

Esto afecta a varias comunicaciones:

• Acceso al programa de gestión desde un navegador.
• Envío de formularios o documentos a través de un portal.
• Conexiones entre una aplicación y sus servidores.
• Acceso remoto al correo profesional.
• Sincronización con determinados servicios de almacenamiento.

El candado del navegador solo confirma algunos aspectos de la conexión con esa web. No demuestra que el proveedor aplique controles adecuados en sus servidores, que las copias estén cifradas o que el personal interno tenga permisos limitados. Tampoco convierte un servicio de almacenamiento genérico en una herramienta clínica por el mero hecho de utilizar HTTPS.

En el correo electrónico, la situación es más compleja. La conexión segura entre el dispositivo y el servidor no garantiza por sí sola que el mensaje permanezca protegido durante todo el recorrido ni que el destinatario lo gestione de forma segura. Para informes especialmente sensibles puede ser más prudente utilizar un portal de intercambio con autenticación o un archivo cifrado, siempre que el procedimiento de entrega de la clave esté bien resuelto.

Autenticación y permisos

El cifrado pierde buena parte de su valor si cualquiera puede entrar en la cuenta que lo administra. La autenticación multifactor debería valorarse, como mínimo, para el correo profesional, el software de gestión clínica, las cuentas de almacenamiento y los accesos remotos. Añade una segunda prueba de identidad, aunque no elimina todos los riesgos.

También conviene revisar:

• Que cada profesional utilice su propia cuenta.
• Que no se compartan contraseñas para acceder al historial.
• Que las cuentas de antiguos colaboradores se desactiven.
• Que los permisos permitan consultar solo la información necesaria.
• Que los dispositivos bloqueen la sesión tras un periodo de inactividad.
• Que las claves de recuperación no se guarden junto al dispositivo ni en un documento sin protección.

No existe un número de fallos a partir del cual una inspección quede automáticamente justificada ni una regla que permita medir el cumplimiento contando casillas. Una incidencia aislada puede ser muy grave si afecta a un volumen amplio de historias. Varias deficiencias menores pueden tener un impacto limitado si están identificadas y existe un plan razonable para corregirlas. La evaluación depende del contexto.

La pregunta útil no es si el proveedor pronuncia la palabra “cifrado”, sino qué ocurriría con los datos si se pierde el dispositivo, se roba una contraseña o deja de funcionar el servicio.

Envío de historias e informes: separar la seguridad técnica de la comodidad

Enviar un informe psicológico por correo suele parecer una tarea rutinaria. Precisamente por eso conviene convertirla en un procedimiento repetible. Los errores no suelen aparecer cuando el profesional configura por primera vez el sistema, sino cuando tiene prisa, utiliza un dispositivo distinto o responde desde una cuenta personal.

Para compartir un documento sensible, el proceso puede organizarse así:

1. Preparar el archivo. Elimina datos que no sean necesarios para la finalidad del envío. Si basta con un informe concreto, no adjuntes la historia completa.

2. Aplicar una protección adicional cuando proceda. Puede utilizarse un contenedor o archivo cifrado con una herramienta fiable y actualizada. La opción debe permitir una contraseña resistente y un mecanismo claro para que el destinatario abra el documento.

3. Comprobar el destinatario. Verifica la dirección completa y, si es la primera vez que se comparte información, confirma por otro medio que pertenece a la persona autorizada.

4. Enviar la clave por un canal distinto. No debe viajar en el mismo correo ni en el mismo mensaje que el archivo. Una llamada o un canal de mensajería seguro pueden servir, según el caso y las posibilidades del paciente.

5. Reducir la información visible. El asunto del mensaje y el nombre del archivo no deberían revelar innecesariamente el diagnóstico, el motivo de consulta o la identidad completa.

6. Dejar constancia de la entrega. Registra qué se envió, a quién, cuándo y mediante qué sistema. No es necesario convertir cada correo en un expediente técnico, pero sí mantener una trazabilidad razonable.

La separación de canales no es una formalidad absoluta que haga seguro cualquier archivo. Si la cuenta del destinatario está comprometida o se utiliza una contraseña débil, el riesgo continúa. Es una capa adicional que reduce la probabilidad de que un tercero pueda obtener a la vez el documento y la clave.

Compartir con otros profesionales

Las derivaciones requieren especial cuidado porque intervienen varias responsabilidades. Antes de enviar información, hay que determinar qué datos son necesarios, con qué autorización o base jurídica se comparte y quién recibirá el documento. En algunos casos bastará con un resumen clínico limitado; en otros, será necesario remitir información más extensa.

Un error habitual es incluir el nombre completo del paciente en el asunto o utilizar nombres de archivo como historial_completo_paciente.pdf. Es preferible una referencia interna que no exponga la identidad si el mensaje aparece en una pantalla bloqueada, en una notificación o en una bandeja compartida.

Los servicios de almacenamiento en la nube no son automáticamente inadecuados, pero tampoco deben evaluarse solo por la marca. Antes de utilizarlos para la protección de archivos de pacientes en la nube, conviene revisar dónde se alojan los datos, qué contrato ofrece el proveedor, cómo se gestionan los accesos, qué ocurre con las copias y si existe un acuerdo de encargo del tratamiento cuando corresponda.

Brechas de seguridad y el plazo de 72 horas

El plazo de 72 horas del artículo 33 del RGPD se refiere a la notificación a la autoridad de control cuando una violación de la seguridad de los datos personales puede entrañar un riesgo para los derechos y libertades de las personas. No significa que toda incidencia deba comunicarse siempre a la AEPD ni que el plazo se aplique de la misma forma a cualquier proveedor o colaborador.

La obligación de valorar y, en su caso, notificar corresponde al responsable del tratamiento. Un encargado —por ejemplo, una plataforma contratada por la consulta— debe informar al responsable sin dilación indebida cuando tenga conocimiento de una brecha. El cómputo empieza cuando el responsable tiene conocimiento suficiente de que se ha producido una violación de datos, no necesariamente cuando aparece la primera señal ambigua.

La respuesta debe ser rápida, pero también ordenada:

1. Contener el incidente. Suspende sesiones comprometidas, bloquea cuentas, retira permisos y aísla los dispositivos afectados. No borres registros ni reinstales equipos antes de preservar la información necesaria para investigar.

2. Establecer una cronología. Anota cuándo se detectó el problema, qué ocurrió antes, quién tuvo conocimiento y qué medidas se adoptaron.

3. Identificar los datos afectados. No es lo mismo perder un listado administrativo que exponer notas de terapia, informes de riesgo o información sobre medicación.

4. Valorar el riesgo. Considera la naturaleza de los datos, el número de personas, la facilidad de identificación, las consecuencias previsibles y si el cifrado impedía el acceso.

5. Decidir la notificación. Si existe riesgo para los derechos y libertades, puede ser necesario comunicar la brecha a la AEPD sin dilación indebida y, cuando corresponda, dentro de las 72 horas desde que se tuvo constancia. Si el riesgo es alto, también puede ser necesario informar a las personas afectadas.

6. Documentar la decisión. Incluso cuando no se notifique, deben conservarse los hechos, el análisis, las consecuencias y las medidas adoptadas. Esta documentación de las violaciones de seguridad es una obligación específica y no equivale a introducir cada incidente en el Registro de Actividades de Tratamiento.

Un archivo cifrado puede reducir el riesgo si la clave no se ha visto comprometida, pero no permite cerrar automáticamente el análisis. Hay que comprobar qué sistema se utilizó, si la contraseña era accesible, qué metadatos quedaron expuestos y si existían copias sin cifrar.

La comunicación a los pacientes tampoco debe tratarse como un trámite genérico. Debe explicar qué ha ocurrido, qué información puede estar afectada y qué medidas puede adoptar la persona. La decisión depende del nivel de riesgo y de las circunstancias concretas, no de una regla según la cual toda pérdida de un dispositivo exige el mismo mensaje.

Más allá del cifrado: RAT, contratos y responsabilidad profesional

El cifrado de datos de pacientes solo funciona dentro de un sistema más amplio. Una consulta puede tener discos protegidos y, al mismo tiempo, dejar una sesión abierta en un ordenador compartido o permitir que el proveedor conserve accesos innecesarios.

El Registro de Actividades de Tratamiento

El Registro de Actividades de Tratamiento (RAT) describe, entre otros elementos, las categorías de datos tratados, las finalidades, los destinatarios, los plazos de conservación y las medidas de seguridad aplicadas. En una consulta pequeña no debe ser un documento decorativo. Tiene que corresponderse con la realidad: si se utiliza una plataforma de videollamada, un servicio de facturación, un sistema de copias y una aplicación clínica, todos ellos forman parte del mapa de tratamientos y encargos que hay que revisar.

El cifrado puede figurar como medida de seguridad, pero no es necesario convertir el RAT en un manual criptográfico. Es más útil describir qué dispositivos y servicios están protegidos, cómo se controlan los accesos y dónde se encuentra la documentación técnica del proveedor.

Las brechas de seguridad se documentan conforme a las obligaciones específicas del RGPD. No existe una regla general que obligue a registrar cada brecha dentro del RAT. Son documentos relacionados, pero cumplen funciones distintas.

Proveedores y contratos de encargo

Cuando la consulta utiliza un software clínico externo, un servicio de almacenamiento o una herramienta que trata datos por cuenta del profesional, es necesario determinar el papel del proveedor. Si actúa como encargado del tratamiento, debe existir un contrato con el contenido exigido por el artículo 28 del RGPD.

El contrato debería abordar, entre otros aspectos:

• El objeto y la duración del tratamiento.
• Las instrucciones del profesional.
• La confidencialidad de las personas autorizadas.
• Las medidas de seguridad.
• La asistencia ante solicitudes de derechos y brechas.
• El régimen de subcontratación.
• La devolución o supresión de los datos al terminar el servicio.

Que el proveedor anuncie cifrado no elimina la obligación de revisar el contrato ni convierte al profesional en un mero espectador. La responsabilidad puede distribuirse entre las partes, pero no desaparece por contratar una plataforma.

Copias de seguridad y recuperación

Una copia cifrada que nunca se ha restaurado es una hipótesis, no un plan de continuidad. La consulta debería saber qué información puede recuperar, cuánto tardaría en hacerlo y quién dispone de las claves. Las copias tienen que estar separadas de los equipos principales y protegidas frente a accesos no autorizados y frente a un ransomware que cifre simultáneamente todos los dispositivos conectados.

También hay que decidir cuánto tiempo se conservan y cuándo se eliminan. Guardar indefinidamente todas las versiones de una historia aumenta la superficie de exposición y puede entrar en conflicto con los principios de minimización y limitación del plazo de conservación.

Una revisión razonable para una consulta pequeña

La ciberseguridad para psicólogos autónomos no consiste en montar una infraestructura empresarial imposible de mantener. Consiste en cerrar los riesgos más evidentes y dejar constancia de las decisiones. Una revisión periódica puede seguir este recorrido:

• Inventariar ordenadores, móviles, discos externos y servicios que contienen datos de pacientes.
• Activar el cifrado de los dispositivos y comprobar que las copias tienen una protección equivalente.
• Revisar las versiones y configuraciones de TLS de las plataformas utilizadas.
• Activar autenticación multifactor donde esté disponible.
• Eliminar cuentas antiguas y revisar permisos.
• Establecer un procedimiento para enviar documentos sensibles.
• Comprobar los contratos de los proveedores que acceden a la información.
• Mantener actualizado el RAT y la documentación del análisis de riesgos.
• Definir quién decide ante una brecha y cómo se registra la cronología.
• Probar la recuperación de una copia sin exponer datos reales más allá de lo necesario.

El objetivo no es obtener una puntuación perfecta ni afirmar que el riesgo ha desaparecido. Es poder demostrar que la consulta conoce sus tratamientos, ha identificado sus puntos débiles y revisa sus medidas cuando cambian los dispositivos, los proveedores o la forma de trabajar.

La seguridad que se puede demostrar

El cifrado de datos de pacientes en psicología no se resuelve escogiendo una cifra y colocándola en una política interna. AES-256 puede ser una elección adecuada para muchos escenarios de almacenamiento, y TLS actualizado es una base razonable para las conexiones, pero la protección real depende también de las claves, los permisos, las copias, los contratos y la capacidad de responder a un incidente.

Tampoco conviene prometer que el cifrado evita una sanción o que una brecha con archivos cifrados no necesita comunicación. La normativa exige valorar el riesgo y documentar la decisión. El profesional debe poder explicar qué pasó, qué datos estaban afectados, qué barreras existían y por qué consideró necesario —o no— notificar.

Una consulta bien organizada no guarda el historial en cualquier dispositivo, no envía informes completos por costumbre y no confía en que la palabra “seguro” del proveedor cubra todas sus obligaciones. Define los accesos, protege los equipos, cifra cuando corresponde, separa las claves, revisa los encargos y conserva evidencias de sus controles.

Cuando llega una incidencia, esa preparación vale más que cualquier promesa comercial. La seguridad no se demuestra con un algoritmo aislado, sino con un sistema que sigue teniendo sentido cuando alguien pierde el portátil, se equivoca de destinatario o descubre que una cuenta ya no está bajo su control.