Plataformas de telepsicología: claves para no equivocarse

No lo hace.

En psicología se tratan datos relativos a la salud. El artículo 9 del Reglamento General de Protección de Datos (RGPD) los clasifica como categorías especiales de datos. La plataforma elegida debe protegerlos mediante controles técnicos, contractuales y organizativos verificables. Si además se produce una brecha de seguridad, el responsable puede tener que notificarla a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas.

Las plataformas de telepsicología requieren, por tanto, un análisis más estricto que el de una aplicación para reuniones. El criterio no es que la imagen sea nítida o que el enlace funcione. El criterio es si el sistema permite prestar atención psicológica a distancia sin vulnerar la confidencialidad, la integridad y la trazabilidad de la información clínica.

El marco legal: una videollamada no es una consulta protegida

La consulta psicológica online combina dos tratamientos de riesgo: la comunicación audiovisual y la gestión de información sanitaria. Durante una sesión pueden circular datos identificativos, antecedentes clínicos, diagnósticos, tratamientos, información familiar y valoraciones sobre riesgo suicida o violencia. La plataforma no solo transporta audio y vídeo. Puede registrar cuentas, direcciones IP, horarios, metadatos, grabaciones, transcripciones y datos de soporte.

Ese conjunto determina las obligaciones del profesional. El RGPD y la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), exigen identificar la base jurídica del tratamiento, limitar los datos, aplicar medidas de seguridad y controlar a los proveedores que intervienen en el proceso.

El consentimiento informado del paciente es necesario en determinados contextos, pero no sustituye las obligaciones de seguridad. Tampoco convierte en adecuada una herramienta que no ofrece garantías suficientes. Si el proveedor conserva grabaciones por defecto, comparte datos con terceros o impide determinar dónde se almacenan los registros, el problema no desaparece porque el paciente haya aceptado la sesión.

La primera distinción debe ser esta:

DPA significa Data Processing Agreement, es decir, contrato de encargado del tratamiento. No es una casilla de marketing. Define qué datos trata el proveedor, con qué finalidad, durante cuánto tiempo, con qué subencargados y bajo qué medidas de seguridad.

El profesional sigue siendo responsable de seleccionar el proveedor y configurar el servicio. Delegar la infraestructura no delega la responsabilidad normativa.

El consentimiento del paciente autoriza un tratamiento concreto. No corrige una plataforma mal configurada ni reemplaza el deber de seguridad.

Seguridad técnica: qué debe demostrar una plataforma

El Colegio Oficial de la Psicología identifica cuatro dimensiones que deben mantenerse en cualquier servicio de telepsicología: disponibilidad, integridad, confidencialidad y autenticidad. No son conceptos intercambiables.

• Disponibilidad: la consulta debe poder realizarse cuando está programada. Las caídas, los bloqueos de cuenta y la dependencia de un único canal afectan a la continuidad asistencial.
• Integridad: el contenido no debe alterarse durante la transmisión ni durante su almacenamiento. Esto afecta a documentos, notas, formularios y cualquier registro asociado a la sesión.
• Confidencialidad: solo deben acceder las personas autorizadas. Una contraseña compartida o un enlace reutilizado destruyen este control.
• Autenticidad: el sistema debe permitir verificar quién accede a la consulta. No basta con que alguien tenga el enlace.

Cifrado en tránsito y en reposo

El cifrado en tránsito protege los datos mientras circulan entre el dispositivo del profesional, el del paciente y la infraestructura del proveedor. Las plataformas deberían utilizar protocolos TLS/SSL actualizados. El navegador puede mostrar que la conexión es segura, pero ese indicador no demuestra por sí solo cómo se gestionan las claves, qué componentes intervienen o si existen grabaciones sin cifrar.

El cifrado en reposo protege la información almacenada. En la documentación técnica puede aparecer el estándar AES-256. La cifra, sin embargo, no basta para cerrar la auditoría. Hay que saber qué se cifra, quién administra las claves, qué copias de seguridad se generan y cuándo se eliminan.

El cifrado de extremo a extremo, o E2EE, añade otra capa: el contenido se cifra en el origen y solo debería descifrarse en los extremos autorizados. No todos los servicios que utilizan la expresión E2EE aplican el mismo modelo. Algunas funciones pueden quedar fuera: grabación, subtítulos, transcripción, moderación o integración con terceros. El profesional debe analizar la configuración real, no el nombre comercial de la función.

Autenticación de doble factor

La autenticación de doble factor (2FA) exige dos elementos para acceder a la cuenta. Normalmente combina una contraseña con una aplicación de generación de códigos, una clave de seguridad o un mecanismo equivalente.

Debe activarse como mínimo para:

1. La cuenta del psicólogo o psicóloga.

2. Las cuentas administrativas.

3. Los usuarios con acceso a historiales, documentos o grabaciones.

4. Cualquier integración que pueda consultar información clínica.

La 2FA no compensa una contraseña expuesta, pero reduce el impacto de su reutilización o filtración. También conviene revisar las sesiones activas, revocar dispositivos antiguos y retirar de inmediato los accesos de colaboradores que ya no trabajan en la consulta.

Servidores europeos y transferencias internacionales

El almacenamiento en servidores europeos puede simplificar el análisis del tratamiento, pero no constituye una garantía autónoma. Un proveedor puede utilizar subencargados fuera del Espacio Económico Europeo, prestar soporte desde terceros países o transferir metadatos a otros territorios.

Antes de contratar, deben localizarse en la documentación del proveedor:

• Países donde se almacenan los datos principales.
• Países desde los que se presta soporte técnico.
• Identidad de los subencargados.
• Mecanismos utilizados para las transferencias internacionales.
• Plazos de conservación y eliminación.
• Procedimiento para recuperar los datos al finalizar el contrato.
• Tratamiento de copias de seguridad y registros técnicos.

La certificación ISO 27001 del centro de datos puede aportar evidencia de un sistema de gestión de seguridad de la información. No demuestra que toda la configuración de la consulta sea correcta ni que la plataforma sea adecuada para cualquier uso clínico. Una certificación debe interpretarse dentro de su alcance, fecha, entidad certificadora y servicios cubiertos.

El DPA: el documento que no debe quedar sin revisar

El contrato de encargado del tratamiento formaliza la relación entre el profesional, que decide para qué se tratan los datos, y el proveedor, que los procesa siguiendo sus instrucciones. El documento debe cumplir las exigencias del RGPD y describir de forma concreta las operaciones realizadas.

Un contrato genérico, redactado para cualquier tipo de cliente, puede ser insuficiente si no identifica el tratamiento de datos de salud o si concede al proveedor facultades amplias para reutilizar la información.

El análisis debe centrarse en estas cláusulas:

Objeto y duración

El DPA debe indicar qué servicio se presta, durante cuánto tiempo y qué operaciones se ejecutan. No es lo mismo alojar una agenda que transmitir una sesión de vídeo, almacenar documentos clínicos o generar transcripciones automáticas.

Categorías de datos y personas afectadas

Deben identificarse los datos de pacientes y profesionales. La descripción debe incluir, cuando corresponda, datos de salud, datos de contacto, información de facturación, credenciales, registros de acceso y metadatos de la sesión.

Instrucciones del profesional

El proveedor debe tratar los datos siguiendo instrucciones documentadas. Si utiliza la información para entrenar modelos, personalizar publicidad, elaborar perfiles o desarrollar productos propios, ese uso requiere un análisis independiente. No debe quedar oculto en una política general de privacidad.

Subencargados

El proveedor debe informar de los subencargados que intervienen. También debe establecer un mecanismo para comunicar cambios y permitir la oposición en los términos aplicables. Si una empresa externa gestiona la grabación, la transcripción, el almacenamiento o el soporte, forma parte del perímetro de riesgo.

Confidencialidad y acceso

El personal del proveedor solo debería acceder a los datos cuando exista una necesidad operativa justificada. El DPA debe exigir deber de confidencialidad, control de permisos y medidas para evitar accesos internos no autorizados.

Incidentes y asistencia

El contrato debe regular cómo comunica el proveedor una brecha, qué información entrega y en qué plazo. El profesional necesita conocer el alcance, los datos afectados, las medidas aplicadas y las evidencias disponibles para valorar la notificación a la AEPD.

Devolución y supresión

Al terminar la relación, el proveedor debe devolver o eliminar los datos según las instrucciones del responsable, incluyendo copias y réplicas cuando sea técnicamente posible. Una cuenta cancelada no equivale necesariamente a una eliminación completa.

Un DPA no es una garantía de cumplimiento. Es la base documental para exigir responsabilidades y verificar cómo opera el proveedor.

Protocolo de selección para una plataforma de telepsicología

La elección no debe hacerse comparando únicamente precio, número de participantes o calidad de vídeo. El proceso debe dejar un registro de decisiones. Esto permite justificar por qué se escogió un proveedor y detectar cambios posteriores en el servicio.

1. Delimitar el tratamiento

Antes de solicitar demostraciones, el profesional debe describir el flujo real de trabajo:

• Cómo se agenda la sesión.
• Cómo se identifica al paciente.
• Cómo se envía el enlace.
• Si se comparten documentos.
• Si se utilizan formularios de consentimiento.
• Si se graban sesiones.
• Si se generan transcripciones.
• Dónde se guardan las notas clínicas.
• Quién puede acceder a cada elemento.
• Qué ocurre si la sesión se interrumpe.

Sin este mapa, se contratan funciones que después amplían el tratamiento sin control.

2. Desactivar funciones innecesarias

Cada función adicional crea una superficie de exposición. La grabación automática, la transcripción, los subtítulos, el almacenamiento de contactos o la sincronización con calendarios externos deben activarse solo cuando exista una finalidad clara.

Si una función no es necesaria para la atención, debe permanecer desactivada. La minimización de datos no se consigue con una declaración general. Se consigue evitando que el sistema capture información que después habrá que proteger y eliminar.

3. Verificar la identidad del paciente

El enlace de la sesión no debería ser el único control. Debe existir un procedimiento para confirmar que la persona conectada es quien corresponde a la cita. El método dependerá del contexto, pero puede incluir cuenta individual, código temporal, sala de espera y comprobación verbal de datos previamente definidos.

No conviene reutilizar enlaces permanentes para todos los pacientes. Tampoco publicar enlaces en canales abiertos ni enviarlos junto con información clínica identificable cuando no sea necesario.

4. Configurar el acceso del profesional

La cuenta debe utilizar una contraseña única, 2FA y dispositivos actualizados. El acceso administrativo debe separarse del acceso clínico si la plataforma lo permite. Las cuentas compartidas impiden atribuir acciones y dificultan investigar un incidente.

También deben revisarse:

• Permisos de administradores.
• Dispositivos autorizados.
• Sesiones abiertas.
• Aplicaciones conectadas.
• Notificaciones que muestran nombres de pacientes.
• Exportaciones de datos.
• Registros de actividad.

5. Revisar la documentación contractual

No debe contratarse el servicio hasta localizar el DPA, la política de subencargados, la información sobre transferencias y las condiciones de eliminación. Si el proveedor no entrega esta documentación o la presenta de forma ambigua, el riesgo contractual aumenta.

Una plataforma puede tener cifrado y 2FA y seguir sin ser adecuada si el proveedor reutiliza los datos o no permite determinar quién accede a ellos.

6. Probar la salida

La portabilidad suele ignorarse hasta que el profesional decide cambiar de proveedor. Debe comprobarse antes de contratar si se pueden exportar agendas, documentos, registros y configuraciones. También debe definirse cómo se eliminan los datos tras la migración.

La dependencia técnica no es solo un inconveniente operativo. Puede impedir responder a una solicitud de acceso, rectificación o supresión, o dificultar la continuidad de la atención.

Errores frecuentes que invalidan una buena configuración

La plataforma puede incluir controles sólidos y aun así quedar expuesta por el uso diario. La mayoría de incidentes no empiezan con un ataque sofisticado. Empiezan con una configuración cómoda.

Enviar el mismo enlace a todos los pacientes

Un enlace permanente facilita la agenda, pero reduce la capacidad de autenticar a cada participante. Si se filtra, el acceso deja de estar vinculado a una cita concreta.

Grabar por costumbre

La grabación contiene la conversación clínica completa. No debe activarse para resolver problemas de memoria, supervisión o documentación sin una finalidad definida, una base jurídica adecuada, información clara al paciente y controles de conservación. Si no existe una necesidad concreta, la opción más segura es no grabar.

Utilizar cuentas personales

Una cuenta personal puede mezclar contactos, calendarios, copias de seguridad y aplicaciones de terceros. La separación entre el entorno profesional y el personal permite controlar mejor los accesos y responder ante una pérdida o compromiso del dispositivo.

Guardar capturas de pantalla o archivos descargados

El cifrado de la plataforma no protege una captura guardada en el escritorio, una descarga en una carpeta sincronizada o un documento enviado por correo sin control. El ciclo de vida del dato continúa después de la sesión.

Permitir notificaciones visibles

El nombre del paciente o el asunto de una cita puede aparecer en la pantalla bloqueada, en un reloj inteligente o en una ventana emergente. La configuración de notificaciones forma parte de la confidencialidad.

No actualizar los dispositivos

Un servicio seguro no compensa un sistema operativo obsoleto, un navegador vulnerable o una aplicación modificada. El profesional debe mantener actualizados el equipo, el navegador, el antivirus cuando proceda y las aplicaciones utilizadas para acceder a la consulta.

Confundir disponibilidad con idoneidad clínica

Que la plataforma funcione no significa que la terapia online sea apropiada para ese paciente o para ese momento. La seguridad técnica es necesaria. No es suficiente.

Brechas de seguridad: qué hacer durante las primeras horas

Una brecha puede consistir en una intrusión, pero también en un correo enviado al destinatario equivocado, una grabación compartida, una cuenta tomada por terceros, un dispositivo perdido o una exposición accidental de enlaces y documentos.

El profesional necesita un protocolo escrito. La reacción improvisada suele destruir evidencias y retrasar la evaluación.

Contener

El primer objetivo es detener la exposición. Hay que revocar enlaces, cerrar sesiones, bloquear cuentas, cambiar credenciales y desactivar integraciones comprometidas. Si el incidente afecta a un dispositivo, debe aislarse sin borrar información que pueda ser necesaria para investigar.

Registrar

Debe documentarse la hora de detección, la persona que la comunicó, los sistemas afectados, los pacientes potencialmente implicados y las medidas adoptadas. No conviene basarse en la memoria. Un registro temporal permite reconstruir la secuencia.

Notificar al proveedor

El proveedor debe confirmar qué ocurrió, qué datos estuvieron expuestos, durante cuánto tiempo, qué usuarios accedieron y qué medidas aplicó. Si responde con una descripción comercial o genérica, la información es insuficiente para valorar el riesgo.

Evaluar

El análisis debe determinar si se han visto afectados datos identificativos, datos de salud, grabaciones, credenciales o metadatos. También debe valorar el número de personas, la posibilidad de identificación, la duración de la exposición y las consecuencias previsibles.

Decidir la comunicación

Cuando exista riesgo para los derechos y libertades de las personas, el RGPD establece la obligación de notificar la brecha a la AEPD sin dilación indebida y, cuando sea posible, en un plazo máximo de 72 horas desde que se tenga constancia. Si el riesgo es elevado, puede ser necesario comunicar el incidente a las personas afectadas.

La obligación no desaparece porque el proveedor haya causado el incidente. El profesional debe coordinarse con él y conservar la evidencia de sus comunicaciones.

Límites clínicos: cuándo la consulta online no basta

La telepsicología amplía el acceso, pero no elimina la evaluación de idoneidad. El canal debe adaptarse al estado clínico, al contexto y a la capacidad del paciente para mantener una sesión privada y estable.

Las guías institucionales desaconsejan el tratamiento exclusivamente online en situaciones de riesgo inminente o patologías agudas. Entre ellas se encuentran la ideación suicida u homicida, los trastornos psicóticos agudos y determinadas situaciones de violencia de género sin contención presencial.

Esto no significa que una videollamada sea inútil en todos esos contextos. Significa que no debe tratarse como único recurso sin evaluar el riesgo y sin una red de respuesta presencial. La decisión clínica debe incluir un plan de emergencia antes de iniciar el tratamiento.

El protocolo debería recoger:

• Ubicación física del paciente al comienzo de la sesión.
• Teléfono y contacto alternativo.
• Persona de apoyo autorizada, cuando proceda.
• Servicios de emergencia disponibles en su zona.
• Procedimiento si se pierde la conexión durante una situación crítica.
• Señales que obligan a interrumpir la modalidad exclusivamente online.
• Criterios para derivar a atención presencial o urgente.

La ubicación no es un dato accesorio. Si el profesional no sabe dónde se encuentra el paciente, puede no saber qué recursos activar ante una emergencia. La dirección debe solicitarse con una finalidad clara y protegerse como cualquier otro dato sensible.

También debe comprobarse la privacidad del entorno. El paciente puede estar acompañado, grabado por otra persona o conectado desde un lugar donde no puede hablar libremente. La sesión técnica puede ser estable y clínicamente inservible.

Cómo mantener la plataforma bajo control

La selección inicial no termina con la firma del contrato. Los proveedores cambian funciones, subencargados, ubicaciones de almacenamiento y condiciones de servicio. El riesgo debe revisarse de forma periódica.

Una revisión razonable debería incluir:

1. Cambios contractuales: comprobar nuevas versiones del DPA y de la política de subencargados.

2. Permisos: eliminar cuentas inactivas y revisar privilegios administrativos.

3. Configuración: verificar que la grabación, la transcripción y las integraciones siguen desactivadas si no son necesarias.

4. Actualizaciones: instalar parches en dispositivos y navegadores.

5. Incidentes: registrar interrupciones, accesos anómalos y comunicaciones del proveedor.

6. Pruebas de recuperación: confirmar que los datos pueden exportarse y que existe un canal alternativo para una caída del servicio.

7. Protocolo clínico: revisar los contactos de emergencia y los criterios de derivación.

La revisión también debe cubrir al personal. Cada colaborador necesita instrucciones sobre enlaces, contraseñas, documentos, grabaciones y comunicación con pacientes. La formación no requiere discursos extensos. Requiere procedimientos concretos y repetibles.

Una política eficaz puede reducirse a reglas operativas: no compartir cuentas, no reutilizar enlaces, no grabar sin autorización y finalidad documentadas, no descargar datos en dispositivos personales, activar 2FA y comunicar cualquier acceso extraño de inmediato.

La decisión correcta no depende de la marca

Las plataformas de telepsicología no se eligen por popularidad ni por el número de funciones. Se eligen por la capacidad de demostrar controles técnicos, contractuales y clínicos alineados con el tratamiento de datos de salud.

El mínimo exigible incluye cifrado en tránsito y en reposo, autenticación de doble factor, gestión individual de accesos, documentación sobre almacenamiento y transferencias, DPA con el proveedor, control de subencargados y un protocolo de incidentes. La consulta debe añadir sus propias medidas: configuración restrictiva, dispositivos actualizados, consentimiento informado, verificación de identidad y plan de emergencias.

La pregunta final no es si una herramienta permite hacer videollamadas. Casi todas lo permiten. La pregunta es si el profesional puede explicar qué datos entran en el sistema, quién puede acceder a ellos, dónde se almacenan, cuánto tiempo permanecen y qué procedimiento se activa cuando algo falla.

Si esas respuestas no están documentadas, la plataforma todavía no está preparada para una videoconsulta psicológica.