Seguridad en telepsicología: cómo proteger los datos clínicos de tus pacientes
Varios medios estadounidenses —entre ellos Audacy— han coincidido en una misma jornada al alertar de que las compañías de telesalud mantienen un patrón de exposición de datos sanitarios de sus clientes.
Plataformas de telesalud siguen exponiendo datos clínicos: auditoría rápida para la consulta
Para una consulta de psicología, este aviso es accionable: cualquier proveedor de videollamada, agenda online o almacenamiento de historiales forma parte de la cadena de tratamiento de datos clínicos y exige una auditoría inmediata. Conviene revisar con criterio técnico qué garantías son innegociables y qué medidas operativas aplicar esta misma semana.
Controles técnicos innegociables
La auditoría del proveedor debe verificar cuatro controles objetivos antes de renovar o contratar cualquier plataforma:
- Cifrado en tránsito: TLS 1.2 o superior entre cliente, servidor y cualquier integración externa.
- Cifrado en reposo: E2EE (cifrado de extremo a extremo) en grabaciones, notas de sesión y ficheros de historiales.
- Acceso: 2FA (autenticación de doble factor) obligatoria en toda cuenta administrativa, sin excepciones por perfil.
- Acuerdo de encargo de tratamiento firmado (art. 28 RGPD) con sede, corresponsables y subencargados identificados, política de retención documentada y procedimiento de notificación de brechas con plazo de 72 horas.
Si el proveedor no certifica estos cuatro controles con auditoría externa —SOC 2, ISO 27001— y no con cuestionarios de autoevaluación, la consulta asume un riesgo que ninguna cláusula contractual mitiga.
Protocolo de actuación inmediata
Tres medidas a ejecutar esta semana:
- Activar 2FA en todas las cuentas administrativas de la plataforma de telesalud.
- Eliminar el reenvío de grabaciones o resúmenes de sesión a cuentas personales del terapeuta.
- Archivar el contrato de encargo de tratamiento junto al registro de actividades de tratamiento.
Próximo ciclo de revisión
El patrón de brechas en proveedores sanitarios se ha vuelto reiterado, según los medios que han publicado la alerta. Esto sitúa a la consulta, y no al proveedor, como responsable último ante una inspección en caso de incidente. Si la plataforma no aporta garantías técnicas verificables, el siguiente paso no es renovar el contrato: es sustituirla.