Cómo elegir una plataforma de terapia online sin comprometer la seguridad clínica

El ranking de Forbes como criba inicial, no como veredicto

El ejercicio mide funcionalidades, precios y experiencia de usuario, y se presenta como una revisión "testada". Pero el ranking responde a criterios editoriales de producto, no a los que rigen una consulta de psicología en España. Antes de elegir proveedor basándose en cualquier lista, el clínico debe pasar cada candidato por su propio filtro normativo: cifrado, residencia de datos, base legal del tratamiento y cadena de subencargados.

Qué verifica el auditor que el ranking no cubre

La diferencia entre un ranking de consumo y una auditoría de cumplimiento es donde se cocinan las sanciones de la AEPD. Verifique, en este orden:

• Cifrado E2EE real en vídeo y mensajería. Un cifrado solo en tránsito (TLS) deja la sesión legible en los servidores del proveedor.
• Residencia de datos en el EEE. Cualquier servidor en terceros países obliga a cláusulas contractuales tipo y a un análisis de transferencia conforme al RGPD.
• DPA firmado y registro de actividades coherente con la naturaleza de los datos tratados: datos de salud, categoría especial bajo el artículo 9.
• 2FA obligatorio en todas las cuentas con acceso a datos clínicos.
• Logs de acceso auditables y conservados durante el periodo definido en la política interna.

Si la plataforma no supera estos cinco puntos, descártela sin importar su posición en la lista. Un proveedor con buen UX pero sin DPA firmado es un pasivo regulatorio, no una herramienta de gestión.

El crecimiento del uso no equivale a crecimiento del cumplimiento

Benzinga recoge la lectura de Dilmec sobre los últimos datos de utilización: la terapia online consolida cuota de mercado. El dato confirma una tendencia, pero no exonera al profesional. Más volumen implica más presión regulatoria y más exposición a sanciones si la cadena de subencargados no está documentada. El psicólogo sigue siendo responsable del tratamiento; el proveedor es solo un encargado.

Lista de verificación antes de activar cualquier plataforma:

1. Solicitar DPA y Anexo de subencargados por escrito, no mediante enlace a términos genéricos.

2. Confirmar ubicación de servidores principales y de las copias de respaldo.

3. Comprobar periodo de conservación de los datos clínicos y base legal invocada.

4. Validar procedimiento de portabilidad y borrado efectivo al rescindir el contrato.

5. Verificar protocolo de notificación de incidentes con plazo de 72 horas.

6. Formar al equipo en gestión de credenciales y respuesta a brechas.

Sin estos seis puntos cerrados, cualquier ranking editorial queda en papel mojado.