Terapia a distancia: checklist de privacidad para el despacho

Cuando abrimos la puerta del despacho a la consulta virtual, no solo cambiamos de soporte técnico: estamos ampliando el encuadre terapéutico hacia un escenario donde los datos de salud circulan por redes que, por defecto, no están pensadas para proteger la intimidad del paciente. Y aquí es donde a nosotros, los terapeutas, nos toca detenernos un momento antes de pulsar el botón de "unirse a la reunión". La privacidad en telepsicología no es un complemento opcional, sino la base que sostiene la confianza clínica y, además, un requisito legal que en España arranca en los 40.000 € de sanción mínima cuando la Agencia Española de Protección de Datos considera que hemos infringido la normativa grave.

Este material está pensado como una checklist ordenada, es decir, un mapa de comprobaciones que puedas revisar antes, durante y después de cada sesión online, para que la gestión documental y técnica de tu consulta virtual deje de ser una fuente de carga mental y se convierta, dicho de otro modo, en un automatismo de cuidado profesional.

Marco normativo: qué dice la ley sobre los datos de salud mental

Antes de hablar de plataformas, conviene tener claro el suelo que pisamos. Los datos relativos a la salud mental tienen la consideración de categorías especiales de datos personales tanto en el Reglamento General de Protección de Datos como en la Ley Orgánica 3/2018, conocida como LOPDGDD. Esto significa que, en la práctica, no basta con un consentimiento genérico: necesitamos un consentimiento explícito del paciente para tratar esa información, y ese consentimiento debe estar registrado de forma trazable.

A este marco europeo se suma la Ley 41/2002 de autonomía del paciente, que regula el consentimiento informado y el contenido mínimo de la historia clínica. La telepsicología, por tanto, no se mueve en un vacío legal: hereda las mismas obligaciones que la consulta presencial y, además, añade las derivadas del tratamiento electrónico de datos sensibles. La Guía de TelePsicología del Consejo General de la Psicología de España, publicada en 2017, ya adelantaba buena parte de estas pautas; lo que ha cambiado desde entonces es el endurecimiento de las sanciones y la proliferación de plataformas que se anuncian como "seguras" sin serlo para nuestro ámbito.

La privacidad no es un ajuste técnico, sino una decisión clínica. Cada clic que damos en una plataforma deja huella en el encuadre.

Requisitos técnicos que debe cumplir tu plataforma de videollamada

Aquí es donde solemos atascarnos, porque el mercado ofrece decenas de opciones y todas se presentan como "cumplen con el RGPD". En realidad, no todas sirven para psicología. Veamos los requisitos mínimos que deberías comprobar antes de incorporar una herramienta a tu práctica diaria.

En primer lugar, el cifrado de extremo a extremo (E2EE). Este tipo de cifrado garantiza que solo el emisor y el receptor —es decir, tú y tu paciente— pueden leer el contenido de la comunicación. Si la plataforma solo ofrece cifrado en tránsito o del servidor al cliente, los datos quedan expuestos en los servidores del proveedor, lo que rompe la confidencialidad que el encuadre terapéutico nos exige.

En segundo lugar, la ubicación de los servidores. Aunque el RGPD permite transferencias internacionales bajo ciertas garantías, lo más prudente para datos de salud es que la información se almacene en la Unión Europea. Esto reduce la superficie de riesgo y simplifica la documentación de cumplimiento.

En tercer lugar, el contrato de encargado del tratamiento. Cuando una plataforma trata datos personales por cuenta del psicólogo, la ley exige un contrato específico entre las partes que delimite finalidades, medidas de seguridad y obligaciones. No basta con una política de privacidad genérica: necesitamos un acuerdo que acredite quién responde ante una brecha de seguridad.

Una plataforma sin contrato de encargado del tratamiento no es una herramienta de telepsicología, sino una zona gris que acabará pasando factura.

Un apunte importante: las aplicaciones de uso general —WhatsApp, Zoom en su configuración estándar, Google Meet sin ajustes específicos— no cumplen por defecto con los requisitos del RGPD sanitario. Esto no significa que sean "malas" en abstracto, sino que no están diseñadas para tratar categorías especiales de datos. En la práctica, si las utilizas con pacientes sin haber firmado un contrato de encargado del tratamiento y sin haber configurado medidas adicionales, estás asumiendo un riesgo que puede traducirse en una sanción de la AEPD.

Verificación de identidad y geolocalización: dónde está tu paciente

Uno de los aspectos que más se descuidan cuando empezamos a trabajar online es la comprobación de la identidad del paciente. En la consulta presencial, el cara a cara y el documento de identidad en la primera visita nos aportan una seguridad casi inmediata. En la virtual, ese momento requiere un protocolo explícito.

Te recomendamos, como mínimo, solicitar al paciente:

• Documento de identidad oficial mostrado en cámara al inicio de la primera sesión, o bien verificación mediante sistemas habilitados por la propia plataforma.
• Confirmación de su ubicación geográfica actual, sobre todo si reside fuera de la Unión Europea o si se encuentra temporalmente en otro país. Esto determina la jurisdicción aplicable y los recursos de urgencia locales a los que podrías derivar en caso de necesidad.

Parece un detalle menor, pero en la práctica determina dos cosas fundamentales: por un lado, bajo qué legislación estás prestando el servicio, porque no es lo mismo atender a alguien en su domicilio en Madrid que a alguien de viaje en un país tercero; por otro, qué servicios de emergencia puedes activar si la sesión lo requiere. Si tu paciente está en otra comunidad autónoma o en el extranjero, los teléfonos de urgencias y los recursos comunitarios cambian, y necesitas tenerlos localizados antes de que la situación se presente.

Gestión documental: consentimiento informado y registro de sesiones

La documentación clínica no desaparece con el formato online; de hecho, se vuelve más exigente. Hay dos pilares que sostienen esta área: el consentimiento informado específico para telepsicología y el registro de cada sesión.

El consentimiento informado para terapia online

El consentimiento informado en telepsicología debe recoger, como mínimo:

• La explicación clara de cómo funciona la plataforma, qué medidas de seguridad aplica y qué riesgos residuales asume el paciente, por ejemplo, la posibilidad de un fallo técnico durante la sesión.
• La confirmación de que el paciente comprende que la grabación de las videoconferencias está prohibida sin el consentimiento expreso e informado de ambas partes. Este punto conviene redactarlo con especial claridad, porque a veces los pacientes dan por hecho que se puede grabar para repasar o que el terapeuta guarda un registro audiovisual. No es así: la grabación solo es legal si hay un acuerdo explícito y, aun así, debe almacenarse con las mismas garantías que cualquier otro dato de salud.
• Los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) y el derecho de portabilidad de los datos, tal como establece el RGPD. El paciente debe saber cómo ejercerlos y ante quién.
• El procedimiento a seguir en caso de interrupción técnica o emergencia.

El registro de cada sesión

Cada sesión online debe documentarse en la historia clínica con, al menos, los siguientes datos:

• Fecha y hora de inicio y fin.
• Duración real de la sesión.
• Resumen del contenido tratado, con el mismo nivel de detalle que en la consulta presencial.
• Incidencias técnicas, si las hubo, y cómo se resolvieron.

Este registro no es solo una buena práctica clínica: es la prueba que demuestra, ante una eventual auditoría de la AEPD o una reclamación del paciente, que la atención se ha prestado con la diligencia debida. Aquí, el orden documental es directamente proporcional a la tranquilidad del profesional.

Límites de la atención virtual y planes de contingencia

Hay una pregunta que conviene hacerse antes de empezar cualquier proceso online: ¿es este caso apto para telepsicología? La respuesta no siempre es sí.

Los documentos de referencia desaconsejan el uso exclusivo de la telepsicología en situaciones como:

• Ideación suicida activa o con plan estructurado.
• Ideación homicida.
• Brotes psicóticos agudos o descompensaciones que requieran evaluación presencial.
• Fases maníacas del trastorno bipolar, donde el juicio de realidad puede estar alterado.
• Situaciones de violencia de género, donde la seguridad física de la paciente exige un abordaje presencial y coordinado con recursos específicos.

En estos casos, la atención virtual puede formar parte del plan terapéutico —por ejemplo, como seguimiento entre sesiones presenciales—, pero no puede sustituir la evaluación cara a cara ni la coordinación con servicios de urgencia.

El protocolo de emergencia local

Antes de empezar a atender online, te recomendamos tener por escrito, y a mano durante cada sesión:

• El servicio de urgencias de la zona donde se encuentra el paciente (112 en territorio español, o el equivalente local si está en el extranjero).
• Un contacto de referencia que el paciente haya autorizado previamente para ser avisado en caso de crisis, ya sea familiar, allegado o profesional de referencia.
• El centro de salud mental o servicio de urgencias psiquiátricas más cercano a la ubicación del paciente.
• Un plan alternativo de comunicación, por ejemplo, un teléfono de respaldo, si la plataforma falla en un momento crítico.

Atender online no significa atender solo, sino atender con red.

Este protocolo no es un trámite burocrático, sino la red de seguridad que te permite sostener la intervención cuando la sesión se tuerce. Saber que tienes los recursos localizados cambia tu manera de estar en la sesión, y eso lo percibe el paciente.

Cierre: ordenar la consulta para sostener la clínica

Aterrizar todos estos puntos en una checklist operativa no es un capricho administrativo, sino, en realidad, una forma de cuidarte como profesional. Cuando los requisitos legales, técnicos y clínicos están interiorizados, dejas de gastar energía en decidir si esto es seguro y la inviertes en lo que de verdad importa: estar presente en la sesión con la atención puesta en el paciente.

En la práctica, lo que te recomiendo es que conviertas esta lista en una rutina de inicio y cierre de cada jornada online. Al comenzar la mañana, comprueba que la plataforma está actualizada y que el contrato de encargado del tratamiento sigue vigente; al terminar la jornada, revisa que has registrado cada sesión y que no quedan documentos sensibles en dispositivos compartidos. Esa pequeña disciplina, repetida en el tiempo, es la que sostiene una consulta virtual sostenible a largo plazo y previene el desgaste que aparece cuando la improvisación se cronifica.

Dicho de otro modo: la privacidad del despacho online no se construye con una aplicación, sino con una arquitectura de cuidados que abarca la elección de la herramienta, el consentimiento informado, el registro clínico y los protocolos de emergencia. Cuando esas cuatro patas están firmes, la terapia a distancia deja de ser un salto al vacío y se convierte en una extensión coherente de tu encuadre terapéutico, donde la confidencialidad deja de preocuparte porque ya forma parte del ritual de cada sesión.