Registro de actividades de tratamiento: qué es y cómo funciona

Es la pieza que permite saber qué datos estamos recogiendo, para qué los utilizamos, quién puede acceder a ellos, cuánto tiempo necesitamos conservarlos y qué medidas hemos dispuesto para protegerlos.

Cuando trabajamos con historias clínicas, informes de evaluación, notas de seguimiento, correos electrónicos o datos relacionados con la salud mental, no estamos gestionando información ordinaria. Tratamos categorías especiales de datos personales, y eso exige que la organización de la consulta esté a la altura de la confianza que depositan en nosotros las personas atendidas. El Registro de Actividades de Tratamiento, conocido habitualmente como RAT, ayuda a convertir esa obligación general de proteger la información en un mapa concreto de nuestra práctica diaria.

Dicho de otro modo: si no podemos explicar con claridad qué ocurre con los datos de un paciente desde que solicita una cita hasta que finaliza la relación terapéutica, probablemente tampoco estamos protegiéndolos con el nivel de rigor necesario.

Qué es el RAT y por qué afecta a una consulta de psicología

El Registro de Actividades de Tratamiento es un documento interno en el que describimos las operaciones que realizamos con datos personales. Su base se encuentra en el artículo 30 del Reglamento General de Protección de Datos, y en España se aplica junto con la Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales.

La palabra registro puede llevar a confusión. El RAT no es, en condiciones ordinarias, un formulario que tengamos que enviar periódicamente a la Agencia Española de Protección de Datos ni una inscripción pública de nuestra consulta. Sustituyó al antiguo sistema de inscripción de ficheros y debe mantenerse a disposición de la autoridad de control si esta lo solicita.

Para quienes ejercemos la psicología, la obligación no desaparece por trabajar solos, tener una consulta pequeña o atender a un número reducido de pacientes. La razón es que la actividad implica tratar de manera continuada datos relativos a la salud y datos de historia clínica, que pertenecen a categorías especialmente protegidas. El tamaño de la consulta puede influir en la complejidad del documento, pero no convierte la protección de datos en un asunto opcional.

En la práctica, el RAT nos obliga a mirar la consulta como un conjunto de procesos. No solo existe el tratamiento de datos que tiene lugar durante la sesión. También tratamos información cuando:

• Una persona nos escribe para pedir disponibilidad o preguntar por nuestras condiciones.
• Recogemos sus datos para concertar una primera cita.
• Enviamos recordatorios por correo electrónico, SMS o mensajería.
• Elaboramos notas clínicas, informes o documentos de evaluación.
• Gestionamos pagos, facturas y datos fiscales.
• Coordinamos, cuando procede y con la base adecuada, información con otros profesionales.
• Atendemos una solicitud de acceso, rectificación o supresión.
• Conservamos documentación después de que termine la intervención.

El valor del registro está precisamente en no reducir la privacidad al historial clínico. Una consulta puede tener un expediente bien protegido y, al mismo tiempo, dejar expuestos datos sensibles en la agenda, en el correo electrónico o en un ordenador compartido.

El RAT no sirve para aparentar que la consulta cumple: sirve para que podamos demostrar, y sobre todo saber, cómo protegemos la información de nuestros pacientes.

Qué debe contener el Registro de Actividades de Tratamiento

El RGPD establece una información mínima que debemos recoger. No se trata de copiar una fórmula genérica y cambiar el nombre de la consulta, porque el documento tiene que reflejar lo que hacemos realmente. Una consulta que solo atiende por videollamada y otra que realiza evaluaciones psicométricas, elabora informes para terceros o trabaja con centros educativos no tendrán exactamente el mismo registro.

Como punto de partida, cada actividad de tratamiento debería describirse con estos elementos:

Responsable del tratamiento

Debemos identificar quién decide sobre los fines y los medios del tratamiento. En una consulta individual, normalmente será el profesional autónomo o la entidad titular del centro. Si existe un delegado de protección de datos, sus datos también deben constar cuando proceda.

Esta identificación parece sencilla, pero conviene revisar que coincida con la realidad. El nombre comercial de la consulta, la persona que factura y la entidad que firma los contratos con proveedores no siempre son exactamente lo mismo. El RAT debe permitir saber quién asume la responsabilidad sobre los datos, no solo qué marca aparece en la web.

Finalidad de cada tratamiento

Hay que explicar para qué utilizamos la información. En una consulta de psicología pueden existir finalidades diferentes, aunque se desarrollen alrededor del mismo paciente:

• Prestar asistencia psicológica y realizar el seguimiento clínico.
• Gestionar la agenda y las comunicaciones relacionadas con las citas.
• Elaborar informes o documentación clínica cuando exista una finalidad legítima y una base adecuada.
• Gestionar la relación económica, la facturación y las obligaciones fiscales.
• Atender el ejercicio de derechos de las personas interesadas.
• Mantener la seguridad de los sistemas y prevenir accesos no autorizados.

Separar las finalidades nos ayuda a evitar una práctica frecuente: reunir todos los datos bajo una explicación demasiado amplia. Cuanto más general es la descripción, menos útil resulta para comprobar si estamos recogiendo información que realmente necesitamos.

Categorías de personas interesadas

El registro debe indicar de quién son los datos. En una consulta podemos tratar información de:

• Pacientes actuales y antiguos.
• Personas que solicitan información antes de iniciar terapia.
• Representantes legales, cuando la situación lo requiera.
• Familiares u otras personas de contacto, si sus datos son necesarios para una finalidad concreta.
• Profesionales sanitarios u otros colaboradores con los que exista una relación legítima y documentada.

No debemos incluir categorías de personas por costumbre. Si una consulta no recoge datos de familiares ni trabaja con representantes, no tiene sentido añadirlos como una lista decorativa.

Categorías de datos personales

Aquí debemos ser específicos. No basta con escribir datos identificativos y clínicos si el funcionamiento real de la consulta es más amplio. Podemos encontrar, entre otros:

• Nombre, apellidos y datos de contacto.
• Información de facturación y datos fiscales.
• Datos relacionados con la salud y la historia clínica.
• Información sobre antecedentes, síntomas, evolución y objetivos terapéuticos.
• Datos incluidos en cuestionarios o pruebas de evaluación.
• Información técnica necesaria para una sesión en línea, como determinados datos de conexión.
• Datos de contacto de emergencia, únicamente cuando estén justificados y sean necesarios.

La descripción no debe convertirse en una transcripción de todos los campos de una aplicación. La pregunta útil es otra: ¿qué tipo de información personal entra en este proceso y qué nivel de protección necesita?

Destinatarios y proveedores

El RAT también debe reflejar quién puede recibir los datos o tener acceso a ellos. En este apartado entran los proveedores tecnológicos que utilizamos para organizar la consulta: alojamiento del correo, agenda digital, almacenamiento en la nube, plataforma de videoterapia, programa de facturación o servicios de mantenimiento informático.

Esto no significa que todos los proveedores sean destinatarios en el mismo sentido ni que podamos tratarlos de cualquier manera. Debemos distinguir qué empresa presta un servicio por nuestra cuenta y revisar si existe el contrato de encargo del tratamiento correspondiente. También hay que comprobar si los datos se alojan o se transfieren fuera del Espacio Económico Europeo y qué garantías se aplican en ese caso.

Una herramienta muy cómoda puede seguir siendo una mala elección si no sabemos dónde almacena la información, quién administra las cuentas o qué ocurre con los datos cuando dejamos de utilizarla.

Plazos de supresión o conservación

El documento debe indicar cuánto tiempo prevemos conservar cada categoría de información o, al menos, los criterios utilizados para determinar ese plazo. No todos los datos tienen que mantenerse durante el mismo periodo.

Por ejemplo, la información necesaria para organizar una cita que finalmente no se produce puede seguir una lógica distinta de la documentación clínica o de los datos que debemos conservar por obligaciones fiscales. El plazo tampoco debería fijarse únicamente por la capacidad de almacenamiento de la herramienta que utilicemos.

Esta parte del RAT suele revelar una dificultad importante: muchas consultas acumulan correos, archivos descargados, copias de informes y conversaciones antiguas sin una política clara de revisión. La carga mental crece porque cada dato antiguo parece exigir una decisión que nunca llega. Definir los criterios de conservación no solo mejora el cumplimiento; también devuelve orden al trabajo.

Medidas técnicas y organizativas

El registro debe recoger las medidas de seguridad aplicables. No necesitamos convertirlo en un manual informático, pero sí describir cómo protegemos la información.

Entre las medidas que pueden formar parte de esta descripción se encuentran:

• Control de acceso individual mediante contraseñas robustas y, cuando esté disponible, doble factor de autenticación.
• Equipos actualizados y protegidos frente a programas maliciosos.
• Cifrado de dispositivos o de la información especialmente sensible.
• Copias de seguridad con acceso restringido y un procedimiento de recuperación.
• Bloqueo automático de pantalla y separación de cuentas personales y profesionales.
• Uso prudente del correo electrónico y comprobación de los destinatarios antes de enviar documentación.
• Procedimientos para comunicar y gestionar incidentes de seguridad.
• Formación y pautas internas para cualquier persona que colabore en la consulta.

No se trata de afirmar que existe cifrado, control de accesos o copia de seguridad porque así lo recomienda una guía. Debemos anotar las medidas que están implantadas y señalar qué aspectos necesitan una mejora. Un RAT honesto es más útil que un documento perfecto sobre el papel y desconectado de la práctica.

Cómo organizar el RAT de una consulta de psicología

El registro puede estructurarse por actividades de tratamiento, no necesariamente por cada programa o archivo que utilizamos. Esta distinción es importante. La agenda, el correo y la plataforma de videollamada pueden intervenir en una misma actividad de gestión de citas, aunque cada herramienta tenga sus propias condiciones de seguridad.

Una estructura práctica podría incluir actividades como estas:

Esta tabla no es una plantilla universal. Es una forma de pensar el documento. Cada profesional debe adaptarla a su modelo de trabajo, a las herramientas que utiliza y a los servicios que ofrece.

La diferencia entre actividad, finalidad y herramienta

Una fuente habitual de desorden consiste en confundir tres niveles distintos:

1. La actividad de tratamiento: por ejemplo, la gestión de citas.

2. La finalidad: organizar la disponibilidad y mantener la comunicación necesaria con el paciente.

3. La herramienta: una aplicación de agenda, una cuenta de correo o un calendario.

Si registramos únicamente las herramientas, el documento quedará obsoleto cada vez que cambiemos de proveedor. Si describimos solo la finalidad, puede faltar información sobre los accesos, las transferencias o las medidas de seguridad. El RAT debe conectar los tres niveles.

También conviene evitar el movimiento contrario: crear decenas de registros minúsculos que nadie va a mantener. El objetivo es conseguir una descripción suficientemente precisa para gobernar la información sin convertir la gestión en una segunda profesión.

El RAT no sustituye al consentimiento informado ni a la política de privacidad

El documento rat protección de datos cumple una función interna y no reemplaza otras obligaciones o documentos de la consulta. Esta separación evita malentendidos que, en la práctica, terminan generando más carga administrativa.

El consentimiento informado clínico explica la intervención y permite que el paciente conozca el proceso terapéutico. La información sobre protección de datos explica, entre otros aspectos, quién trata la información, con qué finalidad, qué derechos existen y cómo pueden ejercerse. El RAT, en cambio, describe internamente las operaciones que realizamos.

Son piezas relacionadas, pero no intercambiables. Firmar un consentimiento no convierte automáticamente en correcta cualquier práctica de almacenamiento o comunicación. Del mismo modo, tener un RAT actualizado no elimina la necesidad de informar adecuadamente a las personas atendidas.

Qué ocurre con las comunicaciones digitales

La agenda y la mensajería suelen ser el punto donde el encuadre terapéutico se encuentra con la vida cotidiana. Un mensaje para confirmar una cita puede parecer inocuo, pero conviene decidir de antemano:

• Qué canal utilizaremos para contactar.
• Qué información aparecerá en el mensaje.
• Si el paciente ha facilitado ese medio y para qué finalidad.
• Cómo actuaremos cuando otra persona responda o tenga acceso al dispositivo.
• Qué tipo de documentación puede enviarse por correo y con qué medidas adicionales.
• Qué haremos si el paciente remite información clínica por un canal no previsto.

No tenemos que convertir cada comunicación en un trámite frío. Sí necesitamos establecer límites comprensibles. Esos límites protegen al paciente y también a nosotros, porque reducen la improvisación cuando la agenda se llena, aparecen mensajes fuera de horario o llega un archivo sensible al canal equivocado.

Cómo mantener el registro actualizado sin aumentar la carga mental

El RAT no se prepara una vez para cumplir y se archiva. Debe actualizarse cuando cambia de forma relevante la manera en que tratamos los datos. Eso puede ocurrir al incorporar una plataforma de videoterapia, contratar una asesoría, abrir una nueva vía de contacto, empezar a trabajar con otros profesionales o modificar los procedimientos de conservación.

Para que la actualización sea sostenible, podemos integrarla en los momentos en que ya revisamos la organización de la consulta. No hace falta esperar a una inspección ni reservar una jornada completa cada semana. Una revisión periódica y razonable permite detectar cambios antes de que se acumulen.

Una secuencia útil sería la siguiente:

1. Haz inventario de los procesos reales. Recorre mentalmente una semana de trabajo: solicitudes, citas, sesiones, informes, pagos, incidencias y cierre de expedientes.

2. Anota las herramientas utilizadas en cada proceso. Incluye aplicaciones, correo, almacenamiento, dispositivos y proveedores externos.

3. Describe los accesos. Pregúntate quién puede ver cada información y si ese acceso sigue siendo necesario.

4. Revisa las condiciones de los proveedores. Comprueba su papel, sus garantías y la ubicación o posible transferencia de los datos.

5. Contrasta los plazos de conservación. Separa los criterios clínicos, fiscales y organizativos; no guardes todo indefinidamente por inercia.

6. Registra las medidas de seguridad existentes. Diferencia entre lo que ya haces y lo que todavía debes implantar.

7. Documenta los cambios. Incluye una fecha de revisión y una breve explicación de las modificaciones relevantes.

Este proceso puede realizarse con una hoja de cálculo protegida, un documento interno o una herramienta especializada, siempre que el sistema elegido permita mantener la información bajo control. La herramienta no garantiza por sí sola el cumplimiento. Lo decisivo es que el contenido sea fiel, esté actualizado y pueda consultarse cuando necesitemos tomar una decisión.

Errores que reducen la utilidad del RAT

Algunos fallos aparecen de manera repetida en las consultas pequeñas, precisamente porque intentamos resolver la privacidad con documentos genéricos o decisiones aisladas.

Copiar una plantilla sin adaptarla. Un modelo puede servir como punto de partida, pero no conoce nuestras plataformas, colaboradores, canales de contacto ni flujos de trabajo.

Describir solo la historia clínica. La agenda, los correos, las facturas y las videollamadas también contienen datos personales y deben formar parte del análisis.

Mantener herramientas que ya no utilizamos. Si seguimos mencionando un proveedor antiguo, el documento deja de representar la realidad y puede inducir a errores.

No retirar accesos. Cuando termina la relación con una persona colaboradora o cambiamos de plataforma, las cuentas y permisos deben revisarse.

Confundir almacenamiento con seguridad. Guardar un archivo en la nube no explica quién accede a él, cómo se autentica, si existe cifrado o cómo se recuperaría la información tras un incidente.

Redactar medidas que todavía no existen. La documentación debe ayudarnos a mejorar, no obligarnos a sostener una ficción administrativa.

No relacionar el RAT con las brechas de seguridad. Si enviamos un informe al destinatario equivocado, perdemos un dispositivo o detectamos un acceso no autorizado, necesitamos saber qué datos estaban implicados y qué procedimiento seguir.

Qué hacer ante una brecha de seguridad

Una brecha puede ser un acceso no autorizado, una pérdida, una destrucción accidental o una divulgación indebida de datos personales. No hace falta que exista un ataque sofisticado para que se produzca: un correo enviado a la dirección equivocada o un ordenador sin protección también pueden generar un incidente relevante.

El RAT facilita la respuesta porque permite localizar qué actividad se ha visto afectada, qué categorías de datos estaban implicadas, quién podía acceder a ellos y qué proveedores participan. Sin ese mapa, los primeros momentos se convierten en una búsqueda desordenada de archivos y conversaciones.

Ante un incidente, debemos:

• Contener el problema y evitar que continúe el acceso o la difusión.
• Identificar qué información se ha visto afectada.
• Registrar cuándo ocurrió o cuándo tuvimos conocimiento.
• Valorar el riesgo para las personas afectadas.
• Documentar las decisiones adoptadas y las medidas correctoras.
• Determinar si procede notificar la brecha a la autoridad de control.

Cuando la notificación a la Agencia Española de Protección de Datos sea necesaria, el plazo máximo indicado en la normativa es de 72 horas desde que se tiene constancia de la brecha. No todas las incidencias producen la misma obligación, pero ninguna debería desaparecer sin dejar rastro. La ausencia de consecuencias visibles no significa que el incidente no deba analizarse.

La respuesta también tiene una dimensión clínica. Una persona puede sentirse especialmente expuesta si la información comprometida se refiere a su salud mental, a una situación familiar o a un proceso terapéutico. Por eso, la gestión técnica debe acompañarse de una comunicación clara y proporcionada, evitando minimizar lo ocurrido o trasladar al paciente una incertidumbre que deberíamos haber ordenado previamente.

Qué puede revisar la AEPD y por qué la documentación importa

La Agencia Española de Protección de Datos puede requerir información para comprobar cómo se están tratando los datos. En ese contexto, disponer de un RAT actualizado permite demostrar que la consulta ha identificado sus tratamientos y ha pensado en sus riesgos y medidas de protección.

La documentación no impide una incidencia ni garantiza que nunca vayamos a cometer un error. Su función es más concreta: mostrar que existe un sistema de responsabilidad activa y que las decisiones sobre los datos no dependen únicamente de la memoria o de la buena voluntad del profesional.

Las infracciones graves del RGPD pueden conllevar sanciones de hasta 20 millones de euros o el 4 % de la facturación anual global del ejercicio anterior, en los términos previstos por la normativa. Son límites máximos y no una predicción de lo que ocurrirá en cada consulta, pero expresan la relevancia que tiene la protección de los datos personales, especialmente cuando hablamos de información de salud.

Más allá del importe de una sanción, una deficiencia en privacidad puede afectar al vínculo terapéutico. La confianza se construye con la escucha, el encuadre y la continuidad, pero también con detalles organizativos que el paciente quizá no ve hasta que algo falla. Un documento enviado sin protección, una cuenta compartida o una aplicación escogida sin revisar sus condiciones pueden quebrar en pocos minutos una seguridad que ha costado meses construir.

Una forma más sostenible de entender el cumplimiento

Para nosotros, los terapeutas, el cumplimiento del RGPD no debería convertirse en una colección de textos que aumenta la carga mental sin mejorar la consulta. El registro de actividades de tratamiento tiene sentido cuando nos ayuda a ordenar decisiones que ya forman parte de la práctica: qué recogemos, quién lo necesita, dónde lo guardamos y cuándo dejamos de necesitarlo.

El primer paso no es buscar el documento más extenso, sino describir con honestidad cómo funciona hoy la consulta. Después podremos corregir lo que no encaja: una plataforma con accesos excesivos, un correo utilizado para todo, copias sin control o plazos de conservación que nadie ha definido.

El RAT de una consulta de psicología debe ser suficientemente completo para demostrar responsabilidad y suficientemente claro para ser utilizado. Si solo lo entiende quien lo redactó, no protege bien. Si nadie lo revisa cuando cambia la organización, se convierte en una fotografía antigua de una consulta que ya no existe.

La privacidad también forma parte del encuadre terapéutico. Poner límites a los canales, reducir la exposición innecesaria y cuidar el recorrido de la información no es burocracia separada de la clínica: es una manera concreta de sostenerla.