Salud digital en Valencia: qué implica la nueva normativa para las consultas de psicología

Según Información, Sanidad ha creado en Valencia la Oficina Autonómica del Dato de Salud y la Oficina Autonómica de Ciberseguridad Sanitaria. La medida se presenta como parte del impulso y la coordinación de la salud digital, un ámbito que también afecta a la gestión de información clínica en las consultas de psicología. Para los profesionales, el dato relevante no es el anuncio en sí, sino qué estándares, controles y obligaciones acabarán aplicándose a las herramientas que almacenan historias y comunicaciones con pacientes.

Dos oficinas, sin cambios operativos anunciados

La información disponible no concreta todavía procedimientos, calendarios, requisitos técnicos ni alcance sobre consultas privadas de psicología.

La Oficina Autonómica del Dato de Salud queda vinculada, por su propia denominación, a la gestión de la información sanitaria. La de Ciberseguridad Sanitaria se orienta a la protección de los sistemas digitales del ámbito sanitario. No hay base suficiente para afirmar que estas oficinas vayan a certificar programas de gestión, imponer una plataforma concreta o modificar de forma inmediata el trabajo de un gabinete privado.

Ese límite importa. Un anuncio institucional no equivale a una especificación técnica. Tampoco sustituye al análisis del responsable del tratamiento, al registro de actividades ni a la evaluación de proveedores que manejen datos de salud.

Qué debe comprobar una consulta de psicología

Mientras no se publiquen criterios concretos, la revisión debe centrarse en controles verificables. No en promesas comerciales.

• Alojamiento y acceso. Identificar dónde se almacenan las historias clínicas y quién puede acceder a ellas. La cuenta profesional debe estar separada de las cuentas personales.
• Autenticación. Activar 2FA, autenticación de doble factor, para las cuentas con acceso a expedientes, facturación o agenda.
• Cifrado. Comprobar si la herramienta cifra las comunicaciones y los datos almacenados. Si el proveedor utiliza cifrado de extremo a extremo (E2EE), debe explicar qué funciones siguen disponibles y quién conserva las claves.
• Trazabilidad. Verificar si el sistema registra accesos, exportaciones, modificaciones y eliminaciones. Sin logs no se puede auditar una consulta indebida.
• Proveedores. Revisar el contrato de encargado del tratamiento, las subcontratas y las transferencias internacionales. La etiqueta “cumple el RGPD” no demuestra nada por sí sola.
• Eliminación y portabilidad. Confirmar cómo se recuperan los datos y cómo se eliminan al terminar el contrato. Una exportación incompleta puede bloquear un cambio de plataforma.
• Inteligencia artificial. No introducir notas clínicas en funciones de IA si el proveedor no documenta finalidad, conservación, reutilización y controles de acceso. La disponibilidad de una función no prueba que su uso sea adecuado.

La noticia tampoco confirma que exista una nueva obligación específica para psicoterapeutas. Por tanto, no procede cambiar de software, migrar historiales o contratar servicios de ciberseguridad únicamente por este anuncio.

La señal que conviene seguir

La creación de las oficinas apunta a una futura ordenación institucional de los datos y la seguridad sanitaria, pero los detalles determinarán su impacto real. El seguimiento debe concentrarse en documentos oficiales que concreten estándares, órganos competentes, procedimientos de supervisión y relación con los proveedores tecnológicos.

Para una consulta, el protocolo es sencillo: conservar el inventario de tratamientos, documentar los accesos, limitar permisos, mantener copias de seguridad y exigir evidencias técnicas al proveedor. Si una aplicación no puede explicar cómo cifra, registra, exporta y elimina los datos, el problema ya existe aunque la administración todavía no haya publicado nuevas instrucciones.

La transformación digital no se valida por el número de oficinas creadas. Se valida cuando el profesional puede demostrar quién accedió a un expediente, con qué autorización, durante cuánto tiempo y bajo qué controles.