Informes psicológicos por email: un grave error de seguridad

Sin embargo, ese gesto concentra varios riesgos que suelen quedar fuera de la atención clínica: una dirección mal autocompletada, un buzón compartido, una contraseña reutilizada, una copia descargada en un ordenador sin protección o un archivo que permanece durante años en distintos servidores.

El problema no es que el correo electrónico esté prohibido para cualquier comunicación sanitaria. El problema es tratar un informe psicológico como si fuera un documento administrativo sin especial sensibilidad. Un informe clínico, pericial o de evolución puede revelar diagnósticos, síntomas, antecedentes, tratamientos, circunstancias familiares y otros aspectos íntimos de la vida de una persona. Bajo el RGPD, esa información merece una protección reforzada y obliga a revisar no solo el contenido del documento, sino también el canal por el que se entrega.

La pregunta adecuada no es si el profesional puede enviar un email, sino si ha diseñado un procedimiento que reduzca el riesgo, limite el acceso y permita demostrar qué ocurrió si algo sale mal.

La clasificación legal de los datos psicológicos bajo el RGPD

El artículo 9 del Reglamento General de Protección de Datos incluye los datos relativos a la salud entre las categorías especiales de datos personales. En el caso de la psicología, la clasificación no depende de que el documento lleve la palabra «diagnóstico» ni de que se trate de una historia clínica completa. Basta con que la información permita conocer o inferir aspectos relevantes del estado psicológico o de la atención recibida por una persona.

Un informe puede contener, entre otros elementos:

• Motivo de consulta y antecedentes personales.
• Evaluaciones, diagnósticos o hipótesis clínicas.
• Evolución de los síntomas y respuesta al tratamiento.
• Información sobre medicación, cuando aparezca en la documentación.
• Circunstancias familiares, laborales o judiciales.
• Identificadores directos, como nombre, DNI, teléfono o dirección.
• Datos que, combinados, permitan reconocer al paciente aunque no figure su nombre completo.

La protección alcanza tanto al documento principal como a los mensajes que lo acompañan, los nombres de archivo, los asuntos del correo y los registros de acceso. Un asunto como «Informe de depresión de Marta» ya puede revelar información de salud aunque el PDF viaje protegido. La minimización empieza antes del archivo adjunto.

Base jurídica y deber de confidencialidad

El RGPD no establece que todo tratamiento de datos psicológicos dependa siempre del consentimiento explícito del paciente. La base jurídica debe analizarse según el contexto y la relación profesional. En la prestación de asistencia sanitaria pueden entrar en juego las bases previstas para la gestión de la atención y el tratamiento por profesionales sujetos a secreto, además de las obligaciones legales aplicables. En otros casos —por ejemplo, determinados informes solicitados para una finalidad distinta de la asistencia ordinaria— puede ser necesario contar con una autorización específica o con otra base legitimadora válida.

Esto es importante porque consentimiento y seguridad no son intercambiables. Aunque el paciente haya pedido que se le envíe el informe por email, esa petición no convierte automáticamente cualquier canal en adecuado ni elimina la obligación de aplicar medidas proporcionales al riesgo. El consentimiento puede resolver una cuestión de legitimación, pero no autoriza a ignorar la confidencialidad, el control de acceso o la seguridad del dispositivo de destino.

La LOPDGDD complementa el marco europeo en España, pero tampoco funciona como una lista de canales autorizados y canales prohibidos. La responsabilidad consiste en valorar el tratamiento, documentar las decisiones y aplicar medidas razonables para evitar accesos o divulgaciones no autorizados.

Un informe psicológico no es un PDF cualquiera: el riesgo está en el contenido, en el contexto y en todas las copias que aparecen después de pulsar «enviar».

Qué exige realmente el principio de seguridad

El artículo 5.1.f del RGPD exige que los datos se traten garantizando una seguridad adecuada, mientras que el artículo 32 obliga a tener en cuenta el estado de la técnica, los costes de aplicación, la naturaleza del tratamiento y el riesgo para los derechos y libertades de las personas. No impone una solución tecnológica única, pero sí obliga a justificar por qué el procedimiento elegido es razonable.

En una consulta de psicología, esa evaluación debería contemplar al menos:

• Quién prepara y envía el informe.
• Cómo se verifica la identidad y la dirección del destinatario.
• Si el documento se cifra antes de salir de la consulta.
• Dónde se almacenan el correo y el archivo adjunto.
• Qué dispositivos pueden acceder al buzón.
• Si existen cuentas compartidas o reenvíos automáticos.
• Cómo se revocan los accesos cuando cambia el personal.
• Qué registros permiten reconstruir el envío.
• Qué ocurre si el destinatario pierde el dispositivo o la contraseña.

La seguridad, por tanto, no consiste únicamente en activar una casilla de cifrado. También incluye procedimientos, formación, gestión de permisos, copias de seguridad, autenticación reforzada y una respuesta preparada ante incidentes.

Riesgos operativos: el error humano y la vulnerabilidad del correo estándar

El correo electrónico combina facilidad de uso con una cadena técnica que el profesional no controla por completo. Un mensaje puede pasar por varios servidores, almacenarse en distintos buzones y terminar en móviles, ordenadores personales o aplicaciones que sincronizan automáticamente los adjuntos.

Eso no significa que todos los correos viajen sin protección. Muchos proveedores utilizan TLS para cifrar la conexión durante el tránsito y aplican cifrado en reposo en sus sistemas de almacenamiento. También pueden ofrecer autenticación multifactor, registros de actividad, políticas de retención y controles administrativos. Estas medidas son útiles, pero no equivalen por sí solas al cifrado de extremo a extremo.

Tránsito, reposo y extremo a extremo no son lo mismo

Conviene separar tres conceptos que suelen mezclarse:

• Cifrado en tránsito: protege la comunicación entre determinados puntos, por ejemplo, entre el dispositivo y el servidor o entre servidores compatibles con TLS. Su eficacia depende de que las conexiones implicadas negocien y mantengan esa protección.
• Cifrado en reposo: protege los datos almacenados en los sistemas del proveedor o en determinados dispositivos. Reduce el impacto de algunos accesos físicos o técnicos, pero no impide necesariamente que el proveedor procese el contenido en condiciones autorizadas ni que un usuario con acceso legítimo lo lea.
• Cifrado de extremo a extremo: busca que el contenido solo pueda ser descifrado por los extremos autorizados. El proveedor que transporta o almacena el mensaje no debería poder leerlo. Requiere una configuración específica y una gestión cuidadosa de las claves.

El correo estándar puede incorporar las dos primeras capas y seguir sin ofrecer cifrado de extremo a extremo. Por eso no es correcto afirmar que Gmail, Outlook, Yahoo o un servidor corporativo no tienen ninguna medida de seguridad de forma nativa. Tampoco es suficiente concluir que un correo es seguro solo porque aparece el icono de un candado en el navegador o porque el proveedor anuncia cifrado.

La cuestión práctica es qué protección existe en cada tramo y qué ocurre una vez que el destinatario recibe el documento. Un mensaje protegido durante el transporte puede quedar visible en el buzón, descargarse a un móvil sin bloqueo adecuado o reenviarse a una tercera persona sin que el remitente tenga control sobre ello.

El error humano sigue siendo el punto más débil

La mayoría de los incidentes no necesitan una sofisticada intrusión informática. Basta con que el procedimiento permita un error sencillo y que nadie lo detecte a tiempo.

Los fallos más habituales son:

1. Autocompletar una dirección equivocada. Dos pacientes pueden compartir nombre, tener direcciones parecidas o aparecer juntos en la agenda. La revisión visual rápida no siempre detecta la diferencia.

2. Usar el asunto para describir el contenido clínico. El asunto queda expuesto en notificaciones, historiales de actividad y dispositivos sincronizados.

3. Adjuntar una versión incorrecta. Un informe provisional, un documento de otro paciente o un archivo con comentarios internos puede salir junto al mensaje correcto.

4. Enviar a varios destinatarios en copia visible. En una comunicación grupal, las direcciones de correo quedan expuestas entre sí.

5. Confiar en una cuenta personal. Una cuenta particular puede carecer de gestión profesional de accesos, políticas de retención, registro suficiente o garantías contractuales adecuadas.

6. Dejar sesiones abiertas. El acceso desde un ordenador compartido, una tablet familiar o un dispositivo sin bloqueo convierte la bandeja de entrada en un repositorio clínico accesible.

7. Reenviar sin revisar el historial. Las respuestas anteriores pueden contener datos que no debían llegar al nuevo destinatario.

8. Sincronizar automáticamente los adjuntos. El informe puede terminar en una carpeta local, una copia de seguridad o una aplicación de terceros.

La verificación de la dirección tampoco debe depender únicamente de la memoria del profesional. Lo más sólido es contrastarla con un dato previamente validado y, cuando la sensibilidad del documento lo aconseje, utilizar una segunda comprobación antes del envío.

El factor proveedor y el contrato de tratamiento

Cuando una consulta emplea un servicio de correo, almacenamiento o intercambio documental, debe saber qué entidad trata los datos, con qué finalidad, desde dónde y bajo qué condiciones. No basta con que la plataforma sea conocida o tenga una interfaz profesional.

Hay que revisar, como mínimo:

• Si el proveedor actúa como encargado del tratamiento cuando corresponde.
• Si ofrece un acuerdo contractual adecuado.
• Qué subencargados intervienen.
• Dónde se alojan los datos y si existen transferencias internacionales.
• Qué controles de administración y registro proporciona.
• Cómo se eliminan las cuentas y los archivos al terminar el servicio.
• Qué procedimiento aplica ante una brecha de seguridad.
• Si el servicio permite limitar la descarga, establecer caducidad o revocar enlaces.

Un buzón corporativo bien configurado puede ser una herramienta válida para comunicaciones de bajo riesgo y, con medidas adicionales, para determinados documentos sensibles. Pero la responsabilidad no desaparece al contratarlo. El profesional o la clínica siguen teniendo que decidir si la configuración concreta es suficiente para el informe que van a entregar.

El régimen sancionador de la AEPD ante brechas de confidencialidad

Un envío erróneo no conduce automáticamente a una multa ni existe una tabla sencilla que asigne una cantidad fija a cada equivocación. La autoridad de control analiza las circunstancias del caso: el tipo de datos expuestos, el número de afectados, el destinatario, la duración del acceso, la conducta posterior, las medidas preventivas y la posible reincidencia.

El RGPD contempla multas administrativas que pueden alcanzar los límites máximos previstos en su artículo 83, pero esos topes no describen el resultado habitual de un incidente en una consulta pequeña. Presentarlos como una tarifa automática resulta tan poco útil como minimizar el riesgo porque nunca se haya recibido una sanción.

La AEPD puede valorar, entre otros factores:

• Si el responsable había implantado un procedimiento de verificación.
• Si el archivo estaba protegido con una contraseña comunicada por otro canal.
• Si la dirección equivocada pertenecía a un tercero desconocido o a un profesional sujeto a confidencialidad.
• Si el destinatario confirmó la eliminación y no abrió el documento.
• Si el responsable actuó con rapidez al detectar el error.
• Si la brecha fue registrada y, cuando procedía, comunicada.
• Si existían medidas técnicas razonables y se habían aplicado correctamente.

No es lo mismo enviar por error una confirmación de cita sin información clínica que remitir un informe completo con diagnóstico, antecedentes y datos identificativos. La sensibilidad del contenido y la posibilidad real de perjuicio cambian por completo la evaluación.

Cuándo puede existir una obligación de notificar

El artículo 33 del RGPD establece, como regla general, la obligación de notificar a la autoridad de control las violaciones de seguridad que puedan suponer un riesgo para los derechos y libertades de las personas. El plazo de 72 horas empieza cuando el responsable tiene conocimiento de una brecha que entra en ese supuesto, no ante cualquier incidente irrelevante. Si la notificación se realiza fuera de plazo, deben explicarse los motivos del retraso.

Además, cuando la brecha pueda entrañar un alto riesgo, el artículo 34 contempla la comunicación a las personas afectadas. La decisión debe documentarse incluso cuando finalmente se concluya que no era necesario notificar. El registro interno de brechas sirve precisamente para demostrar que el análisis se hizo y que no se ignoró el incidente.

La responsabilidad no se limita a la sanción. Una divulgación de información psicológica puede provocar daño reputacional, conflictos familiares o laborales, perjuicios en procedimientos judiciales y una pérdida de confianza difícil de reparar. En una relación terapéutica, la confidencialidad no es un detalle administrativo: sostiene la posibilidad misma de trabajar con información íntima.

Protocolo de actuación ante un envío erróneo o incidente de seguridad

La peor respuesta es borrar el mensaje de la bandeja de salida y confiar en que nadie lo haya visto. Un incidente debe tratarse como un problema operativo y documentarse desde el primer momento.

1. Contener el incidente

Hay que identificar qué se ha enviado, desde qué cuenta, a qué dirección y en qué momento. Si la plataforma permite cancelar el envío, retirar un enlace o revocar permisos, se debe actuar sin esperar a completar todo el análisis. Estas funciones no garantizan que el destinatario no haya leído o descargado el archivo, pero pueden limitar la exposición.

Si el mensaje ha llegado a una dirección equivocada, conviene contactar con el destinatario por un canal adecuado y solicitar que no acceda al documento, lo elimine y confirme la eliminación. La petición debe formularse con cuidado, sin revelar más información de la necesaria.

2. Preservar la información del incidente

No se deben borrar los registros antes de analizarlos. Hay que conservar, en la medida posible, el mensaje enviado, los encabezados, las confirmaciones, la hora del envío, los intentos de recuperación y las comunicaciones mantenidas. Esta documentación permitirá saber si el archivo se abrió, si se descargó y quién tuvo acceso.

También es útil comprobar si el informe contenía una versión final, si incluía datos de terceros y si había otros destinatarios en copia. En ocasiones, el problema no está solo en la dirección equivocada, sino en un archivo que incorpora más información de la prevista.

3. Valorar el riesgo

La evaluación debe responder a preguntas concretas:

• ¿Qué categorías de datos aparecen en el documento?
• ¿Cuántas personas están afectadas?
• ¿El destinatario era conocido y estaba sujeto a deber de confidencialidad?
• ¿El archivo estaba cifrado o protegido con contraseña?
• ¿La contraseña se envió por un canal separado?
• ¿El documento fue abierto o descargado?
• ¿La cuenta o el dispositivo estaban comprometidos?
• ¿Qué consecuencias puede sufrir la persona afectada?

No existe una fórmula que sustituya al criterio profesional, pero sí una obligación de dejar constancia razonada de la decisión.

4. Consultar al responsable de privacidad

Si la consulta trabaja con una clínica, un centro sanitario o un responsable del tratamiento distinto del psicólogo, el incidente debe escalarse conforme al procedimiento interno. Cuando exista delegado de protección de datos, será el interlocutor natural para analizar la notificación. En una consulta autónoma, puede ser necesario recurrir al asesoramiento especializado para determinar las obligaciones concretas.

5. Notificar y comunicar cuando proceda

Si el análisis concluye que existe riesgo para los derechos y libertades, se notificará a la AEPD dentro del plazo aplicable. Si el riesgo es alto, también se informará a la persona afectada con claridad, explicando qué ocurrió, qué datos estaban implicados y qué medidas puede adoptar.

La comunicación no debe convertirse en una defensa corporativa ni ocultar la gravedad del incidente. Debe ser comprensible y útil para quien ha perdido el control sobre su información.

6. Corregir la causa, no solo el envío

Una vez resuelto el incidente, hay que revisar por qué pudo ocurrir. Si el origen fue el autocompletado, puede ser necesario cambiar la forma de seleccionar destinatarios. Si fue una cuenta compartida, habrá que individualizar accesos. Si el problema fue el almacenamiento sin control, convendrá revisar la política de retención y sincronización.

Registrar el incidente sirve de poco si el mismo procedimiento permanece intacto.

La seguridad de un informe no se demuestra cuando todo sale bien, sino cuando la consulta sabe detectar, contener y explicar lo que salió mal.

Alternativas seguras al correo electrónico para la entrega de informes

La alternativa más adecuada depende del tipo de destinatario, del volumen de documentos y de la capacidad de la consulta para administrar el sistema. No hace falta adoptar una infraestructura compleja, pero sí elegir una solución que permita controlar el acceso y reducir las copias incontroladas.

Portal del paciente

Un portal específico puede permitir que el profesional deposite el informe en un espacio asociado al paciente y que este acceda mediante credenciales, autenticación reforzada o un enlace temporal. Sus ventajas son la trazabilidad, la posibilidad de retirar el acceso y la separación entre el documento clínico y la bandeja de entrada ordinaria.

No todos los portales ofrecen el mismo nivel de protección. Hay que comprobar si el documento se cifra durante la transmisión y mientras permanece almacenado, si se registran los accesos y si el enlace puede caducar. También conviene saber cómo se recupera una cuenta y qué ocurre si el paciente descarga el archivo en un dispositivo personal.

Área privada dentro del software de gestión

Algunas aplicaciones de gestión de consultas incorporan un espacio documental o un portal de comunicación. Puede ser una opción eficiente cuando ya existe un sistema centralizado, siempre que el proveedor ofrezca garantías contractuales y técnicas suficientes.

La ventaja no está en que el programa se anuncie como «seguro», sino en que permita aplicar reglas concretas: permisos por usuario, autenticación, registro de actividad, copias protegidas, separación de funciones y eliminación controlada de documentos.

PDF protegido y contraseña por otro canal

Cuando no existe un portal, puede utilizarse un PDF protegido con una contraseña robusta y comunicar esa contraseña por una vía distinta, como una llamada telefónica o un mensaje independiente. Esta medida no convierte el correo en un canal de extremo a extremo ni elimina todos los riesgos, pero limita la exposición si el mensaje y la clave no viajan juntos.

La contraseña no debe ser el nombre del paciente, su fecha de nacimiento ni una combinación fácil de adivinar. Tampoco debería reutilizarse para varios documentos o pacientes. El procedimiento debe explicar cómo se entrega, cuándo caduca y qué hacer si el destinatario pierde la clave.

Cifrado de extremo a extremo entre profesionales

S/MIME, PGP y otras soluciones de cifrado de extremo a extremo pueden ofrecer una protección sólida cuando emisor y receptor saben gestionar certificados o claves. Son especialmente útiles en comunicaciones entre profesionales que ya comparten una infraestructura compatible.

Su dificultad está en la gestión: una clave perdida puede impedir recuperar documentos; una configuración incorrecta puede hacer que el mensaje se envíe sin protección; y un sistema bien cifrado no resuelve el problema de un dispositivo comprometido. La herramienta debe acompañarse de un procedimiento comprensible y verificable.

Enlace protegido en lugar de archivo adjunto

En algunos entornos es preferible enviar un aviso sin información clínica y facilitar un enlace autenticado a un documento alojado en una plataforma controlada. El enlace debería tener permisos limitados, fecha de caducidad y, si resulta posible, impedir la redistribución indiscriminada.

Los servicios de transferencia o almacenamiento empresarial pueden cifrar los datos durante el tránsito y en reposo, pero esa característica no debe describirse automáticamente como cifrado de extremo a extremo. Antes de utilizarlos hay que revisar quién administra las claves, qué puede hacer el proveedor con el contenido, cuánto tiempo permanece disponible el enlace y si existe un acuerdo de tratamiento adecuado.

Comparación práctica

Ninguna opción evita que el destinatario pueda hacer una captura, descargar el archivo o reenviarlo después de acceder. La seguridad debe concentrarse en reducir accesos indebidos, limitar la exposición y dejar evidencia de las operaciones realizadas.

Cómo enviar un informe clínico de forma segura cuando el email es inevitable

En algunas consultas el paciente no dispone de portal, el profesional trabaja con un sistema limitado o existe una necesidad puntual que hace inviable cambiar de canal de inmediato. En ese caso, el envío debe seguir un procedimiento mínimo:

1. Confirmar previamente con el paciente la dirección y el canal de contacto.

2. Evitar datos clínicos en el asunto y en el nombre del archivo.

3. Revisar el documento antes de adjuntarlo y comprobar que corresponde al paciente correcto.

4. Utilizar una cuenta profesional con autenticación multifactor y dispositivos protegidos.

5. Cifrar o proteger el documento cuando el riesgo lo aconseje.

6. Enviar la contraseña por un canal independiente.

7. Revisar los destinatarios, las copias y el historial de respuestas.

8. Conservar un registro de la entrega sin almacenar más información de la necesaria.

9. Establecer una política de eliminación y evitar copias automáticas sin control.

10. Confirmar la recepción por una vía que no revele el contenido clínico.

Este procedimiento no convierte cualquier correo en una solución perfecta. Sí evita algunos de los fallos más previsibles y ayuda a demostrar que la consulta ha aplicado medidas coherentes con la sensibilidad del tratamiento.

Una decisión de organización clínica, no solo de tecnología

El envío de informes psicológicos por email suele presentarse como un problema de software, pero la tecnología solo es una parte de la solución. Si varias personas utilizan la misma cuenta, si nadie sabe quién puede consultar los documentos o si los informes se guardan indefinidamente en ordenadores personales, cambiar de proveedor no resolverá el problema principal.

La consulta necesita una política sencilla y aplicable: qué canal se utiliza para cada tipo de documento, quién puede enviarlo, cómo se valida al destinatario, qué información se incluye en el asunto, cuánto tiempo se conserva el archivo y cómo se actúa ante un error. También debe informar al paciente de las condiciones de la comunicación y ofrecer una alternativa cuando el canal elegido no sea adecuado.

El correo electrónico seguirá formando parte de la práctica profesional. Lo que debe desaparecer es la idea de que su comodidad equivale a seguridad. TLS, cifrado en reposo, autenticación multifactor y controles de acceso son medidas valiosas, pero cada una protege una parte distinta del recorrido. El cifrado de extremo a extremo añade otra capa, aunque exige configuración y gestión de claves. Y ninguna de ellas sustituye la verificación del destinatario ni la respuesta ante incidentes.

Un informe psicológico merece un circuito propio: acceso limitado, entrega verificable, almacenamiento controlado y un procedimiento claro para corregir los errores. El cambio no consiste necesariamente en abandonar el email de un día para otro, sino en dejar de usarlo por inercia para cualquier documento sensible. Ahí empieza una gestión responsable de la confidencialidad clínica.