Correo seguro para psicólogos: criterios de elección

Los datos de salud mental pertenecen a las categorías especiales de datos del artículo 9 del Reglamento General de Protección de Datos (RGPD). Su tratamiento exige medidas reforzadas.

El problema no se resuelve contratando una cuenta con una marca conocida. Tampoco basta con que el proveedor anuncie que utiliza cifrado. La seguridad depende de varios elementos: contrato con el proveedor, ubicación y régimen de las transferencias internacionales, cifrado durante el envío y almacenamiento, control de accesos, autenticación y protocolo de actuación ante incidentes.

Un correo electrónico seguro para psicólogos debe reducir el riesgo técnico y demostrar que el responsable del tratamiento ha aplicado medidas proporcionales. Si solo existe una contraseña y el transporte se realiza mediante TLS, el sistema queda incompleto.

La naturaleza jurídica de los datos de salud mental

Un correo de una consulta psicológica puede contener mucho más que una dirección electrónica. Puede incluir un diagnóstico, una hipótesis clínica, información sobre medicación, antecedentes familiares, informes de evolución, datos de contacto de personas allegadas o referencias a situaciones de violencia.

Todo eso puede identificar directa o indirectamente a un paciente. El contenido no pierde su carácter sensible porque se envíe desde una cuenta profesional o porque el destinatario sea el propio paciente.

El artículo 9 del RGPD clasifica los datos relativos a la salud como categorías especiales. Los historiales clínicos y los registros de psicoterapia quedan dentro de este ámbito. La consecuencia práctica es clara: la consulta debe justificar la base jurídica del tratamiento y aplicar medidas de seguridad adecuadas al riesgo.

El correo electrónico añade varios puntos de exposición:

• El mensaje puede almacenarse en el servidor del remitente.
• Puede replicarse en servidores del proveedor.
• Puede permanecer en las copias de seguridad durante un periodo prolongado.
• Puede descargarse en varios dispositivos.
• Puede reenviarse sin control.
• El archivo adjunto puede quedar almacenado en la carpeta de descargas del destinatario.
• Las notificaciones pueden mostrar parte del contenido en la pantalla bloqueada.
• Una cuenta comprometida puede revelar años de comunicaciones clínicas.

El transporte mediante TLS protege la conexión entre determinados servidores durante una parte del recorrido. No garantiza que el contenido permanezca inaccesible en todos los nodos intermedios ni que el proveedor no pueda leerlo cuando el mensaje se almacena en su infraestructura.

Por eso conviene distinguir tres capas:

1. Seguridad de la conexión. El canal utiliza TLS u otro mecanismo equivalente durante la transmisión.

2. Seguridad del almacenamiento. El proveedor cifra los datos en reposo y controla las copias, los accesos y las claves.

3. Confidencialidad del contenido. El mensaje o el documento se cifra de extremo a extremo o mediante un mecanismo adicional que impide el acceso a terceros no autorizados.

TLS protege una conexión. No convierte por sí solo un informe clínico en un documento confidencial de extremo a extremo.

El correo convencional no es un sistema clínico

Una cuenta gratuita o personal puede incluir funciones de seguridad razonables para comunicaciones ordinarias. Eso no demuestra que sea adecuada para tratar datos psicológicos.

El error habitual consiste en evaluar el correo por la interfaz. Si tiene calendario, almacenamiento, filtros antispam y autenticación en dos pasos, parece suficiente. Pero la auditoría no empieza en la pantalla de entrada. Empieza en la arquitectura y en las obligaciones del proveedor.

Para valorar un servicio de correo compatible con el RGPD en psicología, hay que identificar al menos estos componentes:

• Responsable del tratamiento: normalmente, el psicólogo autónomo o la entidad que gestiona la consulta.
• Encargado del tratamiento: el proveedor que almacena, procesa o facilita la infraestructura para gestionar los mensajes.
• Subencargados: empresas que intervienen en el alojamiento, copias de seguridad, soporte, análisis antispam u otros servicios.
• Ubicación del tratamiento: países desde los que se accede a los datos y territorios donde se almacenan.
• Medidas técnicas: cifrado, gestión de claves, registro de accesos, autenticación y recuperación de cuentas.
• Medidas organizativas: permisos internos, conservación, borrado, respuesta ante incidentes y formación.

Si el proveedor trata datos por cuenta de la consulta, el artículo 28 del RGPD exige formalizar un Contrato de Encargado del Tratamiento, conocido habitualmente como DPA. No es una casilla de aceptación genérica ni una mención en la política de privacidad. Debe definir el objeto, la duración, la naturaleza, la finalidad, el tipo de datos, las categorías de interesados y las obligaciones del encargado.

Qué debe cubrir el DPA

El contrato debe permitir comprobar cómo se tratarán los datos y qué control conserva la consulta. Como mínimo, debe revisar estos puntos:

• Instrucciones documentadas del responsable.
• Confidencialidad de las personas autorizadas.
• Medidas de seguridad aplicadas por el proveedor.
• Lista o mecanismo de autorización de subencargados.
• Asistencia en el ejercicio de derechos.
• Ayuda en la gestión de brechas de seguridad.
• Eliminación o devolución de los datos al finalizar el servicio.
• Disponibilidad de información para demostrar el cumplimiento.
• Régimen de auditorías y verificaciones.
• Tratamiento de las transferencias internacionales.

Un DPA no corrige una configuración insegura. Solo formaliza la relación y asigna obligaciones. Si el proveedor no ofrece cifrado suficiente, mantiene accesos administrativos opacos o no informa de sus subencargados, el contrato no elimina el riesgo.

Tampoco debe confundirse el cumplimiento de una normativa extranjera con el cumplimiento del RGPD. Una certificación HIPAA puede aportar información sobre controles de seguridad, pero no exime a una consulta española de cumplir el RGPD, la LOPDGDD ni las reglas aplicables a las transferencias internacionales.

Cifrado: qué debe ofrecer un email cifrado para psicólogos

El cifrado transforma la información legible en datos que requieren una clave para ser interpretados. Pero existen diferentes tipos de cifrado y no ofrecen la misma protección.

Cifrado en tránsito

El cifrado en tránsito protege la comunicación entre sistemas compatibles. TLS es el mecanismo habitual. Es necesario, pero tiene límites:

• No asegura todos los tramos del recorrido.
• No impide que el proveedor almacene el mensaje en texto accesible.
• No protege una cuenta ya comprometida.
• No evita que el destinatario reenvíe o descargue el contenido.
• No cifra necesariamente los metadatos.
• No garantiza que el servidor del destinatario aplique las mismas medidas.

TLS debe formar parte de la configuración. No debe presentarse como la solución completa.

Cifrado en reposo

El proveedor cifra los datos almacenados en sus servidores. Esta medida reduce el riesgo ante la pérdida o retirada física de un disco, pero la protección depende de quién controla las claves y en qué condiciones se descifra la información.

Si el proveedor administra las claves y puede acceder al contenido, el cifrado en reposo no equivale a cifrado de extremo a extremo. Es una barrera contra determinados incidentes. No es una garantía de confidencialidad frente al propio operador.

Cifrado de extremo a extremo

El cifrado de extremo a extremo, o E2EE, protege el contenido desde el dispositivo del remitente hasta el dispositivo del destinatario. La finalidad es impedir que los intermediarios lean el mensaje durante el transporte y el almacenamiento intermedio.

En el correo electrónico convencional, el E2EE presenta problemas de interoperabilidad. El destinatario necesita un sistema compatible, una clave o un portal seguro. Si se fuerza el envío a una dirección ordinaria, el sistema puede degradar la protección.

Por eso, en muchas consultas se utiliza una combinación operativa:

1. Redactar el mensaje sin incluir información clínica innecesaria.

2. Crear el informe en un archivo protegido mediante cifrado.

3. Compartir la contraseña por un canal diferente.

4. Evitar que la clave viaje en el mismo correo.

5. Registrar qué documento se ha enviado y a quién.

6. Establecer una fecha de caducidad o retirar el acceso cuando el sistema lo permita.

La contraseña no debe enviarse en el mismo mensaje que el archivo. Si un atacante obtiene ambos elementos en una única cuenta comprometida, la protección queda anulada.

Comparativa de mecanismos

El término “cifrado” debe concretarse. La consulta debe preguntar qué se cifra, cuándo se cifra, quién controla las claves y qué ocurre cuando el proveedor necesita recuperar una cuenta.

Protocolo de envío diario

La seguridad falla con frecuencia en acciones rutinarias. Un sistema bien diseñado no compensa un destinatario equivocado, un asunto revelador o un documento enviado sin protección.

El protocolo debe ser breve. Si exige demasiadas decisiones en cada envío, el personal terminará ignorándolo.

1. Minimizar el contenido

El asunto no debe incluir diagnósticos, síntomas, nombres de tratamientos ni información que revele la condición del paciente. Un asunto como “Informe sobre trastorno de ansiedad de…” expone datos sensibles antes de abrir el mensaje.

Debe utilizarse una referencia interna o una fórmula neutra. El cuerpo del correo también debe contener solo la información necesaria para la finalidad concreta.

La minimización no significa ocultar información al paciente. Significa evitar que un dato clínico aparezca en una capa de comunicación que no necesita contenerlo.

2. Verificar el destinatario

La dirección debe comprobarse antes de pulsar enviar. El autocompletado introduce errores previsibles: selecciona una dirección parecida, una cuenta antigua o un contacto profesional distinto.

Para los documentos clínicos, el protocolo debe exigir una segunda revisión de:

• Nombre del destinatario.
• Dirección completa.
• Identidad del paciente.
• Nombre del archivo.
• Tipo de documento.
• Permisos del enlace, si se utiliza un portal.
• Canal elegido para comunicar la contraseña.

Un envío erróneo puede constituir una brecha de seguridad incluso cuando se produce por accidente. La ausencia de intención no elimina la obligación de evaluar el incidente.

3. Proteger los adjuntos

Un informe psicológico no debe adjuntarse sin cifrar cuando el riesgo del contenido exige una medida adicional. El archivo debe protegerse antes de incorporarlo al mensaje.

La contraseña debe ser robusta y no debe basarse en el nombre, la fecha de nacimiento o el teléfono del paciente. Esos datos son fáciles de deducir.

El canal alternativo puede ser una llamada telefónica verificada o un sistema de mensajería que la consulta haya autorizado y evaluado. Enviar la clave por otro correo del mismo proveedor no aporta una separación real si ambas cuentas dependen de la misma credencial o sesión comprometida.

4. Aplicar 2FA

La autenticación de doble factor, o 2FA, exige un segundo elemento además de la contraseña. Puede ser una aplicación de autenticación, una llave física o un código temporal.

El SMS ofrece una protección limitada frente a determinados ataques de sustitución de tarjeta y secuestro de línea. Cuando sea posible, debe priorizarse una aplicación autenticadora o una llave de seguridad.

La 2FA no sustituye a una contraseña única. Tampoco protege si el usuario aprueba solicitudes de acceso fraudulentas o si deja abierta la sesión en un dispositivo compartido.

5. Controlar dispositivos y sesiones

El correo profesional no debe configurarse sin protección en ordenadores de uso común. Cada dispositivo debe utilizar bloqueo automático, sistema actualizado y cifrado del almacenamiento cuando sea posible.

La consulta debe revisar periódicamente:

• Dispositivos con sesión activa.
• Aplicaciones autorizadas.
• Reglas de reenvío automático.
• Filtros creados por terceros.
• Métodos de recuperación de cuenta.
• Aplicaciones que acceden al buzón.
• Registros de actividad disponibles.
• Cuentas de antiguos colaboradores.

Una regla de reenvío desconocida puede copiar todos los mensajes entrantes a una dirección externa. Es uno de los indicadores que deben revisarse después de cualquier sospecha de compromiso.

Consentimiento informado digital y correo electrónico

El consentimiento informado digital no consiste en enviar un documento y recibir una respuesta afirmativa. La consulta debe poder demostrar qué se explicó, qué finalidad se aceptó y cómo se registró la decisión.

Además, el consentimiento para recibir comunicaciones por correo no convierte cualquier envío en seguro. Son cuestiones distintas:

• La legitimación para tratar los datos.
• La autorización o preferencia del paciente respecto al canal.
• La seguridad técnica del canal.
• El contenido concreto de cada comunicación.
• La conservación del registro.

El paciente puede solicitar recibir un informe por correo. La consulta debe valorar el riesgo y aplicar medidas adecuadas. La preferencia del paciente no elimina las obligaciones del responsable del tratamiento.

El documento de información debe explicar, con lenguaje comprensible, qué comunicaciones se enviarán, qué riesgos presenta el canal y qué alternativas existen. No debe esconder esa información en una política extensa que el paciente no pueda relacionar con el tratamiento psicológico.

También conviene registrar:

• Fecha de la solicitud o autorización.
• Dirección de correo confirmada.
• Tipo de comunicaciones permitidas.
• Limitaciones acordadas.
• Método utilizado para verificar la identidad.
• Cambios posteriores en las preferencias.

El consentimiento debe poder retirarse o modificarse. Si el paciente cambia de dirección, solicita otro canal o pide dejar de recibir documentos por correo, el sistema debe reflejarlo. Una hoja aislada o una nota informal no ofrece el mismo control que un registro integrado en el procedimiento de la consulta.

Cómo seleccionar un proveedor de correo seguro

No existe una lista oficial única de marcas homologadas por la AEPD para psicólogos. La responsabilidad no se transfiere por contratar un proveedor que se anuncie como privado, sanitario o compatible con el RGPD.

La elección debe basarse en evidencias contractuales y técnicas. El proveedor debe responder de forma concreta. Las respuestas comerciales genéricas no permiten auditar el servicio.

Revisión legal

Solicita y conserva la documentación siguiente:

1. DPA o contrato de encargado del tratamiento.

2. Lista de subencargados y procedimiento de notificación de cambios.

3. Información sobre transferencias internacionales.

4. Política de conservación y borrado.

5. Procedimiento de devolución o eliminación al cancelar la cuenta.

6. Compromisos de confidencialidad del personal con acceso.

7. Canal y plazo de notificación de incidentes.

8. Información sobre auditorías y certificaciones relevantes.

La existencia de un DPA no basta. Hay que leerlo. Algunas condiciones reservan al proveedor facultades amplias para modificar subencargados, utilizar datos técnicos o conservar copias durante periodos indeterminados.

Revisión técnica

Comprueba, como mínimo:

• TLS correctamente configurado.
• Cifrado de los datos almacenados.
• 2FA disponible para todas las cuentas.
• Gestión de roles y permisos.
• Registro de accesos y actividad.
• Alertas ante inicios de sesión anómalos.
• Recuperación segura de cuentas.
• Restricción de sesiones y dispositivos.
• Posibilidad de revocar enlaces compartidos.
• Protección de archivos adjuntos.
• Separación entre entorno profesional y uso personal.
• Copias de seguridad con control de acceso.

El proveedor debe explicar si el contenido se analiza para publicidad, entrenamiento de modelos, personalización u otros fines. Si la plataforma usa el contenido más allá de la prestación del servicio, hay que revisar la base jurídica y la compatibilidad con las instrucciones del responsable.

Revisión operativa

La seguridad técnica fracasa si el procedimiento interno no acompaña. La consulta debe definir quién puede:

• Leer mensajes.
• Descargar informes.
• Crear reglas de reenvío.
• Añadir dispositivos.
• Recuperar contraseñas.
• Administrar cuentas.
• Exportar información.
• Eliminar comunicaciones.

No todos los colaboradores necesitan acceso al buzón completo. El principio de mínimo privilegio reduce el impacto de una cuenta comprometida.

La cuenta de recepción administrativa tampoco debe mezclar solicitudes de cita con informes clínicos si no existe una separación clara. Cuantas más personas acceden a un buzón, mayor es la superficie de exposición y más difícil resulta atribuir acciones.

Errores habituales que invalidan una buena elección

Confundir HTTPS con confidencialidad del correo

El acceso web mediante HTTPS protege la conexión entre el navegador y el servicio. No demuestra que el correo esté cifrado de extremo a extremo ni que el destinatario lo reciba bajo las mismas garantías.

Usar una cuenta personal para la consulta

Una dirección personal mezcla comunicaciones privadas y profesionales. Complica la gestión de permisos, la conservación, la recuperación de cuenta y la respuesta ante una brecha.

Enviar el informe y la contraseña juntos

El archivo cifrado pierde gran parte de su utilidad si la clave se transmite en el mismo mensaje o queda visible en el mismo dispositivo sin protección.

Incluir el diagnóstico en el asunto

El asunto puede aparecer en notificaciones, registros, listas de mensajes, copias de seguridad y pantallas bloqueadas. No es el lugar adecuado para información clínica.

Confiar en el proveedor sin firmar el DPA

La marca y el precio no sustituyen al contrato del artículo 28 del RGPD. Sin documentación, la consulta no puede demostrar adecuadamente la relación con el encargado.

Compartir enlaces sin caducidad

Un enlace abierto puede reenviarse. Debe limitarse el acceso al destinatario, exigir autenticación cuando sea posible y establecer una caducidad razonable.

Mantener cuentas de antiguos profesionales

Una cuenta que conserva acceso después de la salida de un colaborador es una vulnerabilidad administrativa. Hay que revocar credenciales, sesiones, tokens y dispositivos autorizados.

Mantener todos los informes en el buzón

El correo no debe convertirse en el archivo clínico principal. La consulta necesita una política de conservación y un sistema específico para el historial, con controles de acceso, trazabilidad y borrado conforme a las obligaciones aplicables.

Protocolo ante una brecha de seguridad

Un envío a la dirección incorrecta, una cuenta robada o un archivo expuesto exige actuar con rapidez. No hay que esperar a confirmar todos los detalles para iniciar la evaluación.

El primer objetivo es contener el incidente:

1. Revoca sesiones activas y cambia la contraseña.

2. Desactiva reglas de reenvío desconocidas.

3. Retira enlaces compartidos.

4. Bloquea la cuenta o el dispositivo comprometido.

5. Contacta con el proveedor y solicita preservación de registros.

6. Identifica qué pacientes y documentos pueden estar afectados.

7. Determina el periodo de exposición.

8. Registra todas las decisiones y horas de actuación.

Después hay que valorar el riesgo para los derechos y libertades de las personas afectadas. En el caso de datos de salud mental, el impacto potencial puede ser elevado por la naturaleza de la información.

Cuando exista obligación de notificar la brecha, la comunicación a la AEPD debe realizarse en un plazo máximo de 72 horas desde que la consulta tiene conocimiento del incidente. Si la notificación se produce después, deben explicarse los motivos del retraso.

El análisis debe documentar:

• Naturaleza de la brecha.
• Categorías de datos afectadas.
• Número aproximado de personas.
• Consecuencias previsibles.
• Medidas aplicadas para contenerla.
• Medidas previstas para evitar su repetición.
• Decisión sobre la comunicación a los pacientes.

Las sanciones dependen de la infracción y de las circunstancias. La documentación entregada sitúa las infracciones graves por transmisión de datos de salud sin cifrar entre 40.001 y 300.000 euros. Las infracciones leves, como determinados envíos erróneos o el uso incorrecto de copia oculta, pueden alcanzar hasta 40.000 euros. En supuestos muy graves, las multas pueden llegar a 20 millones de euros o al 4 % del volumen de negocio anual.

La cifra no debe ser el único criterio. El coste operativo de una brecha incluye investigación, comunicación, interrupción de la actividad, pérdida de confianza y reconstrucción de los sistemas. La prevención suele ser menos compleja que la respuesta improvisada.

Qué configuración mínima debería adoptar una consulta

Una consulta pequeña no necesita reproducir la arquitectura de un hospital. Sí necesita aplicar controles coherentes con el riesgo de los datos que maneja.

La configuración mínima razonable incluye:

• Cuenta profesional separada de las cuentas personales.
• DPA firmado con el proveedor.
• Revisión de subencargados y transferencias internacionales.
• 2FA activa en todas las cuentas.
• Contraseñas únicas y gestor de contraseñas.
• Dispositivos actualizados y protegidos con bloqueo.
• TLS habilitado.
• Cifrado de informes antes de enviarlos cuando el canal no proporcione E2EE.
• Contraseña comunicada por un canal independiente.
• Asuntos neutros.
• Verificación de destinatarios.
• Registro de accesos y cambios relevantes.
• Procedimiento escrito ante incidentes.
• Revisión periódica de cuentas, sesiones y permisos.
• Política de conservación y eliminación.

El sistema también debe probarse. Enviar un correo de prueba no demuestra seguridad. Hay que verificar quién puede acceder, qué aparece en las notificaciones, si los enlaces caducan, cómo se recupera una cuenta y qué información puede obtener el proveedor.

Un auditor no pregunta solo si el servicio cifra. Pregunta si la consulta puede demostrarlo, si el cifrado cubre el contenido correcto y qué ocurre cuando una credencial queda expuesta.

La elección correcta no depende de la marca

El mejor email para una consulta de psicología no es necesariamente el más conocido ni el que incluye más funciones. Es el que permite controlar el tratamiento de los datos, formalizar la relación con el proveedor, cifrar el contenido sensible y aplicar un procedimiento estable sin depender de decisiones improvisadas.

El correo seguro para psicólogos debe evaluarse como un componente del sistema clínico. No como una bandeja de entrada aislada.

Si el servicio solo ofrece TLS, falta una capa. Si no existe DPA, falta una base contractual. Si no hay 2FA, falta control de acceso. Si el personal puede reenviar informes sin restricciones, falta gobierno interno. Si nadie sabe qué hacer durante las primeras horas de una brecha, falta capacidad de respuesta.

La posición prudente es sencilla: minimizar el contenido, cifrar los documentos sensibles, separar los canales, verificar al destinatario y conservar evidencias de las medidas aplicadas. El RGPD no exige confiar. Exige gestionar el riesgo y poder demostrar cómo se ha gestionado.