Consentimiento informado digital: checklist de validez legal

Cuando trabajamos con información sobre salud mental, estamos gestionando datos especialmente sensibles y, además, estamos dejando constancia de una decisión clínica: qué intervención se propone, con qué límites, bajo qué condiciones y con qué información ha contado la persona antes de aceptarla.

Por eso, el consentimiento informado digital en psicología debe sostenerse sobre varias piezas que no conviene mezclar: la información clínica y terapéutica, la protección de datos personales, la firma, la conservación del documento y la posibilidad de demostrar, con el paso del tiempo, qué se explicó y cómo se aceptó. Dicho de otro modo, no basta con que el paciente haya dicho que sí; nuestra consulta debe poder acreditar a qué estaba diciendo que sí.

La referencia normativa principal se encuentra en la Ley 41/2002, de Autonomía del Paciente, el Reglamento General de Protección de Datos —RGPD—, la Ley Orgánica 3/2018 —LOPDGDD— y las obligaciones deontológicas propias de la práctica psicológica. A partir de ahí, podemos organizar el procedimiento en cinco comprobaciones: separar los consentimientos, informar con claridad, recoger una manifestación expresa, asegurar la trazabilidad y custodiar la documentación de forma segura.

1. Separar el consentimiento terapéutico de la información sobre privacidad

Uno de los errores más frecuentes en las consultas digitalizadas es presentar un único documento que mezcla la aceptación de la terapia con la autorización para tratar datos personales. Aunque ambos documentos puedan entregarse en el mismo momento y a través de la misma plataforma, responden a finalidades distintas.

El consentimiento terapéutico se refiere a la intervención psicológica. En él podemos explicar, con un lenguaje comprensible:

• Qué tipo de atención se ofrece y cuál es su finalidad.
• Qué metodología o modalidad de intervención se propone.
• Si las sesiones serán presenciales, por videollamada o combinando ambas opciones.
• Cuál será la duración aproximada y la frecuencia habitual de las sesiones.
• Qué honorarios se aplican y cómo se gestionan los cambios o cancelaciones.
• Qué límites existen en la comunicación entre sesiones.
• Cómo se actúa ante una situación de riesgo o una urgencia que no pueda resolverse dentro del encuadre ordinario.
• Qué implica el secreto profesional y en qué circunstancias puede estar limitado por una obligación legal o por la necesidad de proteger a la propia persona o a terceros.

La cláusula informativa de protección de datos tiene otro cometido. Debe explicar quién es el responsable del tratamiento, para qué se utilizarán los datos, cuánto tiempo se conservarán, si habrá cesiones o acceso por parte de proveedores y qué derechos puede ejercer el paciente. También debe identificar, cuando corresponda, la base jurídica del tratamiento y la naturaleza especialmente sensible de los datos de salud mental.

La diferencia parece formal, pero tiene consecuencias prácticas. Una persona puede aceptar comenzar una terapia y, al mismo tiempo, no aceptar recibir comunicaciones promocionales. Puede consentir la gestión de sus citas por correo electrónico, pero no autorizar que se utilicen fragmentos anonimizados de su caso para una formación. Puede aceptar la intervención psicológica y retirar posteriormente una autorización concreta para otro uso de sus datos, siempre que ese uso no sea necesario para cumplir una obligación legal o prestar la asistencia acordada.

El consentimiento terapéutico explica la relación clínica; la información de privacidad explica qué ocurre con los datos. Juntarlos sin distinguirlos debilita ambos.

Una estructura documental que reduce confusiones

En la práctica, suele ser más claro trabajar con dos documentos relacionados:

1. Documento de consentimiento informado terapéutico.

Recoge las condiciones de la intervención, sus características, los honorarios, el encuadre, los canales de comunicación y los límites relevantes para la relación profesional.

2. Cláusula o documento de información sobre protección de datos.

Detalla el tratamiento de los datos personales y de salud, los plazos de conservación, las posibles personas encargadas del tratamiento y los derechos del paciente.

Si necesitamos solicitar autorizaciones adicionales, es preferible que aparezcan separadas. Por ejemplo, el consentimiento para enviar recordatorios por WhatsApp no debería quedar escondido dentro de una aceptación general de la terapia. Tampoco conviene presentar como imprescindible una autorización que en realidad es opcional.

2. Qué debe contener un consentimiento informado digital válido

Un documento digital válido no se define por su extensión, sino por la calidad de la información y por la posibilidad de acreditar que se facilitó antes de la aceptación. Un texto de muchas páginas, lleno de fórmulas jurídicas, puede ser menos útil que una explicación ordenada, legible y adaptada a la situación clínica.

Para revisar los requisitos del consentimiento informado digital, podemos hacernos estas preguntas:

¿La información se entrega antes de comenzar?

El paciente debe disponer de la información necesaria antes de iniciar la intervención, no después de la primera sesión ni cuando ya ha facilitado una cantidad considerable de datos personales. En una consulta online, esto significa que el proceso de alta debe reservar un momento específico para leer y aceptar la documentación.

Enviar el consentimiento después de la videollamada puede dejar una zona débil en el expediente, especialmente si durante esa primera sesión ya se ha realizado una exploración clínica detallada. La organización digital debe evitar que el documento sea un trámite posterior que se completa por inercia.

¿El texto se entiende sin conocimientos jurídicos?

El consentimiento informado debe explicar lo esencial con frases claras. No se trata de eliminar toda precisión técnica, sino de evitar que la precisión se convierta en opacidad. Conviene revisar especialmente:

• Los párrafos demasiado extensos.
• Las negaciones acumuladas.
• Las referencias normativas sin explicación.
• Los términos que pueden tener un significado distinto para el paciente y para el profesional.
• Las condiciones importantes escondidas en notas al pie o enlaces difíciles de abrir desde el móvil.

La claridad también forma parte del cuidado. Un paciente que no comprende qué canal se utilizará para comunicarse, quién puede acceder a su información o cuánto tiempo se conservará su historia clínica no está en condiciones de prestar un consentimiento verdaderamente informado.

¿La aceptación es expresa e inequívoca?

Cuando la base jurídica sea el consentimiento para tratar datos de salud, la manifestación debe ser explícita e inequívoca. El silencio, la inacción o la continuidad automática en un formulario no deben interpretarse como aceptación. Del mismo modo, las casillas premarcadas no son una forma adecuada de recoger el consentimiento.

Cada autorización debe requerir una acción afirmativa del paciente. Por ejemplo:

• Una casilla sin marcar para confirmar que ha leído la información sobre protección de datos.
• Otra casilla independiente para autorizar, si procede, el uso de un canal de mensajería concreto.
• Una aceptación separada para usos que no sean necesarios para la prestación de asistencia psicológica.
• Un botón o acción final que deje constancia de la voluntad de completar el proceso.

No es recomendable ocultar varias finalidades dentro de una única casilla genérica. Si el paciente no puede distinguir qué está aceptando, nosotros tampoco podremos demostrar que cada autorización fue específica.

¿Se informa de los derechos y de la conservación?

La información de privacidad debe indicar los derechos que puede ejercer el paciente y el modo de hacerlo. También debe explicar el periodo de conservación o los criterios utilizados para determinarlo. La historia clínica no puede eliminarse simplemente porque el paciente lo solicite si existe una obligación legal de conservarla.

En España, la documentación clínica debe custodiarse durante un plazo mínimo legal de cinco años desde la fecha del alta o desde la última visita del paciente. Este plazo mínimo no significa que todos los documentos de la consulta deban gestionarse exactamente igual ni que no existan otras obligaciones aplicables, pero sí impide diseñar una política basada en borrar automáticamente todo el expediente cuando termina la terapia.

3. Firma digital, evidencias y trazabilidad

La firma digital consentimiento informado no debe entenderse únicamente como la imagen de una firma manuscrita pegada a un documento. Lo relevante es poder demostrar quién aceptó, qué versión del texto recibió, cuándo lo hizo y si el documento se ha mantenido íntegro desde entonces.

La solución tecnológica concreta puede variar según el tipo de procedimiento y el nivel de garantía que necesitemos. Lo que no debería variar es la trazabilidad mínima del proceso. El expediente debería conservar, junto al consentimiento:

• Identidad del paciente o mecanismo utilizado para vincular la firma con esa persona.
• Fecha y hora de la aceptación.
• Versión exacta del documento aceptado.
• Registro de las casillas o autorizaciones seleccionadas.
• Evidencia de que las casillas no estaban premarcadas.
• Identificación del sistema o plataforma utilizada.
• Confirmación de que el documento no ha sido alterado posteriormente.
• Copia accesible para el paciente y para la consulta.
• Registro de modificaciones, renovaciones o retiradas de consentimiento.

Una firma dibujada con el dedo sobre la pantalla puede servir en ciertos contextos como parte de una evidencia, pero por sí sola no resuelve todas las preguntas anteriores. Si el archivo puede sustituirse sin dejar rastro, si no queda guardada la versión aceptada o si el sistema no relaciona de forma fiable la identidad del firmante con la documentación, la firma ofrece una protección limitada.

Cómo organizar el proceso de firma

Un flujo razonable para una consulta de psicología puede seguir estos pasos:

1. Preparar la documentación final antes de enviarla.

El texto debe estar revisado, fechado y versionado. Si se utiliza una plantilla de consentimiento informado para psicólogos, debe adaptarse al funcionamiento real de la consulta y no copiarse como un documento cerrado que menciona servicios o canales que no se utilizan.

2. Enviar el documento desde un entorno controlado.

Debemos evitar que la información clínica viaje sin protección en correos reenviados, archivos compartidos públicamente o enlaces que cualquier persona pueda abrir. El paciente necesita saber cómo acceder al documento y qué hacer si no puede completar la firma.

3. Recoger cada autorización por separado.

La aceptación de la intervención, la información RGPD y los permisos opcionales deben quedar diferenciados, aunque formen parte del mismo proceso de alta.

4. Generar una evidencia de la operación.

La plataforma debe conservar la fecha, la identidad, la versión y el estado del documento. Si únicamente envía un PDF firmado sin registro adicional, conviene valorar si esa evidencia es suficiente para el riesgo y el tipo de datos tratados.

5. Guardar el documento en la historia clínica.

El consentimiento no debería permanecer únicamente en la bandeja de entrada del correo electrónico o en la cuenta de la plataforma de firma. Debe integrarse en el sistema de archivo de la consulta, con controles de acceso y copias de seguridad.

6. Renovar cuando cambien las condiciones.

Si se modifica de forma sustancial la modalidad de terapia, el uso de los datos, los proveedores o los canales de comunicación, no conviene seguir utilizando una aceptación antigua como si nada hubiera cambiado.

Un error habitual: confundir autenticación con consentimiento

Que una persona haya recibido un enlace en su correo no demuestra por sí solo que haya prestado un consentimiento informado válido. La autenticación puede ayudar a identificar al usuario, pero todavía necesitamos demostrar qué información vio, qué acción realizó y a qué finalidades se refirió.

Del mismo modo, aceptar las condiciones generales de una aplicación de videollamada no sustituye la información propia de nuestra consulta. La herramienta puede tener sus propias condiciones de privacidad, pero nosotros seguimos siendo responsables de organizar correctamente la relación con el paciente y de elegir proveedores que puedan actuar como encargados del tratamiento cuando corresponda.

4. RGPD y LOPDGDD en la consulta de psicología

Cuando hablamos de LOPDGDD y consentimiento en psicología, es fácil caer en dos simplificaciones opuestas. La primera consiste en pensar que basta con pedir permiso para estar cumpliendo toda la normativa. La segunda es asumir que toda actividad relacionada con la salud mental necesita exactamente el mismo consentimiento y el mismo formulario.

El RGPD considera los datos relativos a la salud como categorías especiales. Las notas de evolución, los antecedentes, las escalas clínicas vinculadas a una persona, las grabaciones de sesiones y las comunicaciones sobre síntomas pueden revelar información de salud mental, aunque el documento no lleve literalmente la palabra diagnóstico.

La consulta debe definir qué datos necesita para prestar el servicio y limitar la recogida a esa finalidad. Esto se traduce en decisiones muy concretas:

• No pedir información clínica en formularios de contacto abiertos si todavía no es necesaria.
• No guardar historiales completos en aplicaciones destinadas únicamente a reservar citas.
• No utilizar el mismo canal para la gestión administrativa y para enviar contenido clínico sensible si no ofrece garantías suficientes.
• No compartir información con familiares, centros educativos, aseguradoras u otros profesionales sin una base adecuada y sin revisar el alcance de la comunicación.
• No conservar copias dispersas del expediente en ordenadores personales, teléfonos y cuentas de correo sin una política clara.

La seguridad no consiste en encontrar una herramienta que prometa cumplir el RGPD y dar el proceso por terminado. Necesitamos revisar el contrato con el proveedor, especialmente cuando la plataforma accede a datos de pacientes. El encargado del tratamiento debe estar cubierto por un contrato conforme al artículo 28 del RGPD, con obligaciones sobre confidencialidad, seguridad, subcontratación, asistencia y supresión o devolución de la información.

Medidas técnicas que tienen sentido en una consulta pequeña

Una consulta individual no necesita reproducir la infraestructura de un hospital, pero sí necesita proteger los puntos por los que habitualmente se escapa la información. En la práctica, conviene establecer como mínimo:

• Contraseñas únicas y robustas para el correo, el sistema de gestión y el almacenamiento.
• Autenticación multifactor en las cuentas que la permitan.
• Cifrado de dispositivos y bloqueo automático de pantalla.
• Actualizaciones periódicas del sistema operativo, navegador y aplicaciones.
• Copias de seguridad protegidas, verificadas y separadas del dispositivo principal.
• Control de permisos para que cada colaborador acceda únicamente a lo que necesita.
• Eliminación segura de documentos cuando finalice su periodo de conservación.
• Uso prudente de redes wifi públicas y equipos compartidos.
• Prohibición de descargar historias clínicas en dispositivos personales sin protección.
• Procedimiento escrito para comunicar una pérdida, acceso indebido o envío erróneo.

La encriptación de datos médicos es una medida importante, pero no sustituye al resto de controles. Un archivo cifrado puede quedar expuesto si la contraseña se comparte por el mismo canal, si la cuenta está abierta en un ordenador sin bloqueo o si se envía una copia a un destinatario equivocado.

La privacidad de una consulta no se rompe únicamente por un ataque informático; también se desgasta con copias sin control, contraseñas reutilizadas y decisiones administrativas tomadas con prisa.

5. Consentimiento digital en menores

La gestión del consentimiento en menores exige más que cambiar el nombre del firmante en una plantilla. Debemos identificar quién ejerce la patria potestad o la tutela, valorar la capacidad de comprensión del menor y adaptar la información a su edad y grado de madurez.

En España, para menores de 12 años, el consentimiento debe prestarse por los progenitores o tutores legales. Entre los 12 y los 16 años, además de contar con la intervención de quienes ejercen la responsabilidad legal en los términos que correspondan, es necesario proporcionar al menor una información adecuada a su grado de madurez. La forma concreta de actuar puede requerir una valoración jurídica y depender de las circunstancias del caso, por lo que no conviene aplicar una regla automática sin revisar el contexto.

Desde el punto de vista de la consulta, conviene documentar por separado:

• La identidad y relación de la persona adulta que presta el consentimiento.
• La información facilitada al menor.
• La explicación adaptada a su capacidad de comprensión.
• La modalidad de intervención y los canales de comunicación autorizados.
• Las condiciones de acceso a la información clínica.
• Las situaciones en las que puede ser necesario compartir información para proteger al menor.

La participación del menor no debería reducirse a una formalidad. Explicarle qué ocurrirá en las sesiones, qué puede preguntar, cómo se gestionará la confidencialidad y qué límites existen favorece el encuadre terapéutico y reduce malentendidos con la familia.

También debemos evitar que un formulario digital envíe automáticamente toda la información a una única dirección de correo sin comprobar quién la controla. En una consulta online, la seguridad del acceso forma parte del consentimiento: no tiene sentido explicar con detalle la privacidad de la historia clínica y después remitirla a un buzón compartido por varias personas.

6. Custodia de la historia clínica y retirada del consentimiento

Una vez firmado el consentimiento, comienza la parte menos visible y más exigente de la gestión: mantener la documentación ordenada, accesible para quien corresponda y protegida frente a accesos no autorizados.

La historia clínica debe conservarse durante el plazo mínimo legal de cinco años desde el alta o la última visita. Para cumplirlo sin aumentar innecesariamente la carga mental, es útil definir desde el principio:

• Qué documentos forman parte de la historia clínica.
• Qué información administrativa se conserva por otra razón.
• En qué sistema se archiva cada documento.
• Quién puede consultarlo.
• Cómo se registra una modificación.
• Cuándo empieza el cómputo del periodo de conservación.
• Qué procedimiento se seguirá para eliminar la información cuando ya no exista obligación de conservarla.

La retirada del consentimiento tampoco significa que todos los datos deban desaparecer de inmediato. Si determinados documentos deben conservarse por obligación legal o para acreditar la asistencia prestada, esa obligación puede mantenerse. Lo que sí debemos hacer es revisar qué tratamientos dependían realmente del consentimiento retirado y detenerlos cuando proceda.

Por ejemplo, un paciente puede retirar su autorización para recibir recordatorios por mensajería, y la consulta debe dejar de utilizar ese canal para esa finalidad. Esa decisión no implica necesariamente borrar la historia clínica que deba conservarse legalmente. Cada tratamiento debe analizarse según su finalidad y su base jurídica.

7. Qué hacer ante una brecha de seguridad

Una brecha puede ser un acceso no autorizado, una pérdida, un robo, una publicación accidental o un envío a la persona equivocada. No hace falta que exista una intrusión sofisticada para que tengamos que activar un procedimiento: enviar un informe clínico al destinatario incorrecto también puede comprometer datos personales.

La respuesta debe ser rápida y ordenada. En cuanto tengamos constancia del incidente:

1. Contener el problema.

Revocar enlaces, cambiar contraseñas, cerrar sesiones abiertas, recuperar un correo si es posible y limitar el acceso al documento afectado.

2. Registrar lo ocurrido.

Anotar cuándo se detectó, qué sistema estaba implicado, qué datos podían estar afectados y quién tuvo acceso.

3. Valorar el riesgo.

No es lo mismo perder una agenda sin información clínica que exponer un informe de salud mental junto con los datos identificativos del paciente.

4. Consultar el procedimiento interno y el asesoramiento especializado.

La valoración debe tener en cuenta la naturaleza de los datos, el número de personas afectadas y las posibilidades de daño.

5. Notificar a la AEPD cuando proceda.

Si la brecha debe notificarse, el plazo máximo es de 72 horas desde que se tiene constancia de ella.

6. Informar a las personas afectadas cuando exista un riesgo alto.

La comunicación debe ser comprensible y explicar qué ha ocurrido y qué medidas puede adoptar el paciente.

7. Revisar la causa y corregir el sistema.

El objetivo no es buscar culpables, sino evitar que la misma combinación de prisa, permisos excesivos o falta de formación vuelva a producirse.

Un procedimiento de brechas no tiene que ocupar decenas de páginas. Puede ser un documento breve, con responsables, teléfonos, pasos de contención y criterios de escalado. Lo importante es que esté preparado antes del incidente, cuando todavía podemos pensar con calma.

La revisión final antes de poner en marcha el formulario

Antes de utilizar un consentimiento informado digital en nuestra consulta, merece la pena hacer una prueba completa como si fuéramos un paciente nuevo. No únicamente para comprobar si el botón funciona, sino para verificar si el proceso respeta el encuadre clínico y la privacidad que queremos ofrecer.

Comprobación del contenido

• ¿Se distingue el consentimiento terapéutico de la información de protección de datos?
• ¿Se explica la finalidad de cada tratamiento?
• ¿Se informa sobre conservación, derechos y posibles accesos?
• ¿Se describen los canales de comunicación realmente utilizados?
• ¿Se han eliminado finalidades que no son necesarias o que la consulta no puede justificar?
• ¿El lenguaje se entiende desde un teléfono móvil?

Comprobación de la voluntad

• ¿Todas las casillas aparecen inicialmente sin marcar?
• ¿Las autorizaciones opcionales están separadas?
• ¿El paciente realiza una acción afirmativa?
• ¿Puede retirar una autorización concreta sin tener que rechazar toda la intervención?
• ¿Queda registrada la versión exacta que aceptó?

Comprobación de la seguridad

• ¿La plataforma ofrece garantías suficientes para el tipo de datos tratados?
• ¿Existe contrato de encargado del tratamiento cuando el proveedor accede a información de pacientes?
• ¿La cuenta tiene autenticación multifactor?
• ¿Las copias de seguridad están protegidas?
• ¿Sabemos quién puede consultar los documentos?
• ¿Tenemos un procedimiento para responder ante una brecha?

Comprobación del archivo

• ¿El consentimiento firmado se incorpora a la historia clínica?
• ¿Se puede localizar sin conservar copias desordenadas en varios dispositivos?
• ¿Se registra cualquier renovación o modificación?
• ¿Está definido el periodo mínimo de conservación?
• ¿La consulta podrá demostrar qué ocurrió aunque cambie de plataforma?

El resultado no debería ser un sistema perfecto e imposible de mantener. En la práctica, la sostenibilidad también es una medida de seguridad. Un proceso demasiado complejo acaba generando atajos: documentos enviados por canales improvisados, firmas que se posponen o consentimientos que se reutilizan aunque las condiciones hayan cambiado.

La mejor organización es la que podemos aplicar de forma constante, incluso en una semana con sobrecarga de pacientes, cancelaciones de última hora y poca energía administrativa.

Un consentimiento válido también protege el vínculo terapéutico

El consentimiento informado digital no es una barrera entre el paciente y la terapia ni un trámite añadido para cubrirse las espaldas. Bien diseñado, ayuda a construir un encuadre más claro desde el primer contacto. Permite hablar de los límites de la comunicación, de la confidencialidad, de los honorarios, de la tecnología y de la custodia de la información antes de que aparezca un conflicto.

Para nosotros, los terapeutas, esto tiene un valor adicional: reduce la carga mental de tener que explicar lo mismo de manera improvisada cada vez que incorporamos a una persona nueva. El documento no sustituye la conversación clínica, pero sostiene sus aspectos esenciales y deja espacio para que la primera sesión se centre en lo que el paciente necesita.

La pregunta final no es solo si tenemos una firma digital archivada. Es si podemos responder con serenidad a estas cuestiones: qué aceptó la persona, qué información recibió, cómo protegemos sus datos, quién puede acceder a ellos y qué haremos si algo sale mal.

Cuando esas respuestas están documentadas y el procedimiento se puede mantener sin añadir desgaste innecesario, la digitalización deja de ser una fuente más de riesgo. Se convierte en una forma concreta de cuidar el encuadre, la privacidad y la sostenibilidad de nuestra práctica.