Videollamada segura en psicología: guía de configuración

Basta con utilizar una cuenta personal, dejar activada la grabación automática o aceptar las condiciones de una plataforma gratuita sin comprobar si existe un Contrato de Encargo del Tratamiento. El problema no está en hacer una videollamada. Está en tratar datos de salud sin controlar el tratamiento.

La telepsicología exige una configuración técnica y documental específica. El RGPD y la LOPDGDD consideran los datos tratados durante una sesión psicológica como datos de salud. Son datos de categoría especial. La plataforma, el dispositivo, la conexión, la cuenta profesional y el consentimiento del paciente deben formar parte del mismo protocolo de seguridad.

Una videollamada segura en psicología no se define por la calidad de imagen. Se define por la capacidad de impedir accesos no autorizados, limitar la exposición de la información y demostrar que el tratamiento se realiza bajo condiciones legales verificables.

El marco legal: los datos de salud no admiten configuraciones genéricas

Durante una videoconsulta psicológica no se procesa únicamente una imagen. Se pueden tratar la voz, la identidad, los datos de contacto, la información clínica, las manifestaciones emocionales, los antecedentes personales y cualquier dato que aparezca durante la sesión. La plataforma también puede generar metadatos: dirección IP, hora de acceso, duración de la llamada, dispositivo utilizado o registros de actividad.

El RGPD, Reglamento General de Protección de Datos 2016/679, clasifica la información relativa a la salud como categoría especial de datos. La LOPDGDD desarrolla este marco en España. La Ley 41/2002, de Autonomía del Paciente, añade las obligaciones relacionadas con la información y el consentimiento en el ámbito asistencial.

Esto no significa que toda herramienta de videoconferencia esté prohibida. Significa que la herramienta debe poder integrarse en un tratamiento documentado. El profesional debe saber:

• Qué datos recoge la plataforma.
• Con qué finalidad los procesa.
• Dónde se almacenan.
• Durante cuánto tiempo se conservan.
• Qué subencargados intervienen.
• Qué medidas de cifrado aplica.
• Qué ocurre cuando termina la relación con el proveedor.
• Qué procedimiento existe ante una brecha de seguridad.

La respuesta no se encuentra en el nombre comercial del servicio. Tampoco en que la aplicación sea conocida o tenga millones de usuarios. Una aplicación de consumo puede estar diseñada para comunicaciones personales y no ofrecer las garantías contractuales necesarias para una consulta clínica.

La base mínima para configurar una videoconsulta psicológica

Antes de contratar o activar una plataforma de telepsicología, el profesional debe documentar estos elementos:

1. Finalidad del tratamiento. La plataforma se utilizará para prestar atención psicológica a distancia. No para publicidad, análisis de comportamiento, entrenamiento de modelos ni finalidades incompatibles.

2. Responsable del tratamiento. Normalmente será el profesional o la entidad que presta el servicio psicológico.

3. Encargado del tratamiento. Será el proveedor que aloja, transmite o procesa los datos por cuenta del profesional.

4. Categorías de datos. Deben incluirse los datos de salud y cualquier otra información tratada en la sesión.

5. Ubicación de los servidores. La plataforma debe garantizar el almacenamiento y tratamiento en territorio de la Unión Europea o en un país que ofrezca garantías adecuadas conforme al RGPD.

6. Medidas técnicas. Deben describirse el cifrado, el control de accesos, la autenticación y la gestión de registros.

7. Conservación y eliminación. El proveedor debe explicar qué se conserva y cómo se elimina.

8. Gestión de incidentes. Debe existir un procedimiento para comunicar accesos indebidos, pérdidas o filtraciones.

Si estos datos no aparecen en la documentación contractual o técnica del proveedor, no se pueden sustituir por una promesa comercial. La ausencia de información también es un resultado de la auditoría.

Una plataforma no es adecuada para terapia online porque sea popular. Es adecuada cuando permite demostrar quién trata los datos, dónde los trata y con qué controles.

El Contrato de Encargo del Tratamiento es una condición operativa

El Contrato de Encargo del Tratamiento, conocido como DPA por sus siglas en inglés, no es un documento decorativo. Regula la relación entre el profesional, que decide para qué se tratan los datos, y el proveedor, que presta la infraestructura tecnológica necesaria.

En una videoconsulta, el proveedor puede tratar datos aunque no los utilice para leer el contenido de la sesión. La transmisión, el alojamiento temporal, los registros de acceso y la gestión de la cuenta ya implican tratamiento. Por eso no basta con revisar la política de privacidad general de la aplicación.

El DPA debe identificar, como mínimo:

• El objeto y la duración del tratamiento.
• La naturaleza y la finalidad del servicio.
• Los tipos de datos personales tratados.
• Las categorías de personas afectadas.
• Las instrucciones del profesional.
• La obligación de confidencialidad del proveedor.
• Las medidas de seguridad aplicadas.
• Las condiciones para recurrir a subencargados.
• La asistencia en el ejercicio de derechos.
• La notificación de brechas de seguridad.
• La devolución o eliminación de los datos al finalizar el servicio.

El profesional debe conservar una copia del contrato aceptado o firmado. También debe guardar la versión de las condiciones vigente en el momento de la contratación y cualquier actualización relevante. Las páginas comerciales cambian. La evidencia contractual debe permanecer.

Cómo auditar el DPA antes de aceptar una plataforma

El siguiente protocolo permite descartar rápidamente servicios que no ofrecen información suficiente:

1. Localiza el documento específico. Busca el acuerdo de tratamiento para clientes profesionales. La política de privacidad dirigida a usuarios particulares no lo sustituye.

2. Comprueba el papel del proveedor. Debe quedar claro si actúa como encargado del tratamiento o si utiliza los datos para sus propias finalidades.

3. Revisa los subencargados. Comprueba qué empresas intervienen en alojamiento, soporte, analítica, transcripción o mensajería.

4. Verifica las transferencias internacionales. La ubicación de una empresa no demuestra por sí sola dónde se procesan los datos.

5. Exige información sobre los servidores. La documentación debe permitir confirmar que la infraestructura se encuentra en la Unión Europea o bajo un mecanismo legal aplicable.

6. Analiza la eliminación. El proveedor debe explicar qué sucede con las cuentas, registros y archivos cuando se cancela el servicio.

7. Comprueba la notificación de incidentes. El contrato debe establecer cómo y cuándo se comunica una brecha.

8. Guarda la prueba. Descarga el DPA, las condiciones y la documentación técnica. No dependas de una página que puede modificarse mañana.

Un error frecuente consiste en interpretar que un servicio cumple el RGPD solo porque menciona el reglamento en su página web. Esa mención no acredita la existencia de un DPA específico, la ubicación de los servidores ni la aplicación real de controles de seguridad.

No mezcles cuentas personales y profesionales

La cuenta empleada para las sesiones debe ser profesional y estar separada de cualquier cuenta personal. Esta separación reduce los errores de destinatario, evita la sincronización accidental con dispositivos domésticos y facilita la revocación de accesos.

La cuenta profesional debe disponer de:

• Una dirección asociada al dominio o sistema de trabajo de la consulta.
• Una contraseña única y no reutilizada.
• Autenticación de doble factor.
• Recuperación de cuenta controlada por el profesional o la entidad.
• Registro de dispositivos conectados.
• Revisión periódica de sesiones activas.
• Permisos limitados para colaboradores y personal administrativo.

La autenticación de doble factor, o 2FA, combina la contraseña con un segundo elemento de verificación. Puede ser una aplicación autenticadora, una llave de seguridad u otro mecanismo admitido por el proveedor. No elimina todos los riesgos, pero reduce el impacto de una contraseña robada.

Configuración técnica: cifrado, sala de espera y control de acceso

La seguridad de la videollamada se decide antes de abrir el enlace. Una configuración por defecto suele estar pensada para facilitar el acceso, no para proteger una sesión clínica. El profesional debe modificarla de forma deliberada.

Cifrado en tránsito, cifrado en reposo y E2EE

El cifrado protege la información durante su transmisión y, cuando procede, durante su almacenamiento. Hay que distinguir varios conceptos.

El cifrado en tránsito protege los datos mientras viajan entre el dispositivo del profesional, el del paciente y la infraestructura del proveedor. El cifrado en reposo protege los datos almacenados en servidores, grabaciones, registros o copias de seguridad.

El cifrado de extremo a extremo, o E2EE, busca que el contenido solo pueda ser descifrado por los participantes autorizados. Sin embargo, no debe utilizarse el acrónimo como certificación automática. La aplicación concreta puede limitar funciones cuando se activa E2EE. Además, el cifrado no resuelve por sí solo una mala gestión de cuentas, una grabación local o un dispositivo comprometido.

La auditoría debe responder a preguntas concretas:

• ¿El contenido de audio y vídeo se cifra durante la transmisión?
• ¿Los archivos y registros se cifran cuando están almacenados?
• ¿La plataforma ofrece E2EE real para el tipo de reunión contratado?
• ¿Qué funciones dejan de estar disponibles con E2EE?
• ¿El proveedor conserva claves o puede acceder al contenido?
• ¿Se generan transcripciones automáticas?
• ¿Se utilizan datos de la sesión para analítica o mejora del servicio?

Si el proveedor no explica estos puntos con precisión, no se debe presentar la plataforma como una herramienta de videollamada segura para psicología.

Protocolo de configuración de cada sesión

La configuración recomendada debe aplicarse como política general de la cuenta, no como una decisión improvisada minutos antes de la consulta.

1. Crea reuniones con identificadores únicos. No reutilices un enlace permanente para todos los pacientes. Un enlace compartido puede permitir accesos no previstos.

2. Activa la sala de espera. El profesional debe admitir manualmente a cada participante. Esta medida impide que alguien entre antes de ser identificado.

3. Exige autenticación cuando sea viable. Si la plataforma permite validar la identidad del paciente mediante una cuenta previamente registrada, utiliza esa función.

4. Protege la reunión con código de acceso. El código debe enviarse por un canal controlado y no publicarse junto al enlace en un mismo espacio abierto.

5. Desactiva la entrada antes del profesional. El paciente no debe quedar solo en una sala sin supervisión.

6. Desactiva la grabación automática. La grabación solo debe existir si responde a una finalidad concreta, con base legal y consentimiento específico cuando sea necesario.

7. Bloquea la grabación local de participantes. Si la plataforma ofrece ese control, actívalo. No sustituye la prohibición o el consentimiento documentado, pero limita una función disponible.

8. Desactiva la transcripción automática. Una transcripción crea un nuevo conjunto de datos clínicos. Debe gestionarse como tal.

9. Restringe el uso de chat y archivos. El chat puede contener información clínica que queda almacenada en un lugar distinto de la historia o del sistema de gestión.

10. Cierra la reunión para nuevos accesos. Una vez identificados los participantes, bloquea la entrada.

11. Elimina la reunión al terminar cuando corresponda. Evita que permanezcan enlaces activos sin finalidad.

El entorno físico también forma parte del control

La plataforma puede estar correctamente configurada y la sesión seguir expuesta. El micrófono de un dispositivo inteligente, una pantalla visible desde el exterior o una conversación audible en la habitación pueden vulnerar la confidencialidad.

El profesional debe trabajar desde un espacio donde:

• No puedan oír la sesión personas no autorizadas.
• La pantalla no sea visible para terceros.
• Los documentos clínicos no queden expuestos sobre la mesa.
• El dispositivo esté actualizado y protegido con bloqueo automático.
• El sistema operativo disponga de cifrado del disco cuando sea posible.
• No se utilicen ordenadores compartidos con otros miembros del hogar.
• Las redes inalámbricas domésticas utilicen una contraseña robusta y firmware actualizado.
• No se conecten dispositivos de almacenamiento desconocidos.

El paciente también debe recibir instrucciones previas sobre privacidad. No es necesario convertirlas en un documento técnico. Basta con indicar que debe elegir un espacio privado, utilizar auriculares si conviene y evitar redes o dispositivos compartidos.

El cifrado protege la transmisión. No protege una pantalla abierta, una contraseña reutilizada ni una grabación guardada en el ordenador equivocado.

El consentimiento informado debe ser específico para la telepsicología

El consentimiento para recibir atención psicológica no debe confundirse con la aceptación de las condiciones de uso de una plataforma. Son actos distintos.

Antes de iniciar las sesiones virtuales, el paciente debe recibir información comprensible sobre la modalidad telemática. El consentimiento informado escrito y específico debe explicar, al menos:

• Que la atención se realizará mediante videollamada.
• Qué tecnología se utilizará.
• Qué datos personales y de salud se tratarán.
• Qué medidas de confidencialidad se han configurado.
• Qué riesgos técnicos no pueden eliminarse por completo.
• Que no se grabarán las sesiones por defecto.
• Qué ocurrirá si se interrumpe la conexión.
• Cómo se verificará la identidad de las personas participantes.
• Cómo puede contactar con el profesional si se produce un incidente.
• Qué alternativas existen cuando la atención telemática no sea adecuada.

El documento debe indicar también las condiciones prácticas de la sesión: dispositivo recomendado, espacio privado, necesidad de informar si hay otra persona presente y procedimiento para reconectar.

El consentimiento no debe redactarse como una autorización general para cualquier tratamiento futuro. Debe describir la atención concreta y la tecnología empleada. Si se cambia de plataforma, se introduce grabación, se activa transcripción o se modifica sustancialmente el tratamiento, hay que revisar la información y el registro del consentimiento.

Registro y trazabilidad

La consulta debe poder demostrar cuándo se informó al paciente y qué versión del documento aceptó. El registro puede mantenerse en el sistema de gestión clínica o en otro repositorio controlado. Lo relevante es que:

• Solo accedan las personas autorizadas.
• Se conserve la fecha del consentimiento.
• Se identifique el documento entregado.
• Se registren las modificaciones posteriores.
• Se pueda retirar o actualizar cuando proceda.
• No se envíe el documento clínico mediante canales inseguros.

El consentimiento verbal puede formar parte de la relación asistencial en determinados contextos, pero no debe utilizarse como sustituto automático del consentimiento informado escrito y específico exigible para organizar una atención telepsicológica documentada. La consulta necesita una evidencia clara.

Por qué las herramientas de consumo masivo comprometen la práctica clínica

Las aplicaciones domésticas suelen priorizar la facilidad de uso. Permiten crear una cuenta en minutos, compartir un enlace y comenzar una llamada. Ese diseño resulta insuficiente cuando la conversación contiene datos de salud.

Una cuenta gratuita de consumo puede presentar varios problemas:

• No ofrece DPA para el uso profesional requerido.
• No permite controlar la ubicación de los datos.
• Usa subencargados que el profesional no puede identificar con claridad.
• Activa funciones de grabación, transcripción o análisis.
• No permite gestionar con precisión los permisos.
• Mantiene registros durante periodos que el profesional desconoce.
• Mezcla comunicaciones personales y profesionales.
• No ofrece trazabilidad suficiente ante un incidente.

Esto no implica que una marca concreta incumpla automáticamente en todos los escenarios. Implica que el profesional no debe asumir conformidad sin auditar el contrato y la configuración vigente. Una aplicación personal de mensajería o una cuenta ordinaria de videollamadas no se convierte en plataforma clínica por utilizarse desde una consulta.

Comparación operativa de las opciones

La tabla no sustituye la revisión jurídica y técnica del servicio. Sirve para ordenar el análisis. El resultado depende de la documentación real del proveedor y de la configuración aplicada por la consulta.

Protocolo de mitigación para una consulta ya operativa

Si la consulta ya realiza terapia online, no es necesario esperar a cambiar toda la infraestructura para reducir riesgos. La revisión puede ejecutarse por fases.

Primera fase: cerrar exposiciones inmediatas

En primer lugar, desactiva la grabación automática, la transcripción, el almacenamiento de chat y cualquier función de análisis que no sea imprescindible. Activa 2FA. Cambia las contraseñas reutilizadas. Revisa los dispositivos conectados y revoca los que ya no se utilicen.

Después, configura la sala de espera, exige la admisión manual y utiliza códigos de acceso distintos. Deja de enviar enlaces permanentes. Establece un procedimiento para verificar la identidad del paciente al comienzo de cada sesión.

Segunda fase: revisar proveedor y contratos

Descarga el DPA y la documentación sobre subencargados. Confirma la ubicación de los servidores. Comprueba si el proveedor trata los datos para finalidades propias. Revisa los plazos de conservación y la eliminación de la cuenta.

Si la plataforma no ofrece información suficiente, no la presentes como conforme. Documenta la incidencia y evalúa una migración a un servicio que permita cumplir las obligaciones del tratamiento.

Tercera fase: normalizar el consentimiento

Entrega un documento específico de telepsicología. Registra su aceptación antes de iniciar las sesiones. Si ya existen pacientes atendidos sin ese registro, regulariza la documentación con un procedimiento ordenado y sin enviar datos clínicos a través de canales no controlados.

El documento debe corresponder a la plataforma realmente utilizada. No sirve conservar un consentimiento que menciona una herramienta distinta, una grabación inexistente o unas condiciones técnicas que han cambiado.

Cuarta fase: preparar la respuesta ante incidentes

La consulta debe saber qué hacer si se produce un acceso no autorizado, una reunión interceptada, una cuenta comprometida o una grabación almacenada por error.

El protocolo debe incluir:

1. Cerrar la sesión y revocar los accesos activos.

2. Cambiar las credenciales comprometidas.

3. Conservar los registros disponibles.

4. Identificar qué pacientes y datos pueden haberse visto afectados.

5. Contactar con el proveedor y solicitar información técnica.

6. Documentar la fecha, la causa y las medidas aplicadas.

7. Valorar las obligaciones de notificación derivadas del RGPD.

8. Informar a las personas afectadas cuando corresponda.

No borres los registros antes de analizarlos. Eliminar evidencias puede impedir determinar el alcance del incidente.

Errores técnicos que se repiten en las consultas

La mayoría de las deficiencias no requieren conocimientos avanzados para aparecer. Se producen por configuraciones iniciales que nunca se revisan.

Mantener un enlace permanente para todos los pacientes

Un enlace único facilita la agenda, pero también facilita el acceso de quien lo obtenga. Utiliza reuniones independientes o enlaces con controles de acceso. Si la plataforma ofrece una sala personal permanente, protégela con sala de espera, código y bloqueo de reunión.

Confiar en el icono del candado

El candado del navegador solo indica que existe una conexión protegida con el sitio web. No demuestra que el proveedor no acceda a los datos, que los servidores estén en la Unión Europea ni que exista un DPA.

La seguridad debe evaluarse con documentación técnica y contractual. Un indicador visual no es una auditoría.

Grabar para tomar notas

La grabación crea una copia completa de la sesión. Esa copia amplía el riesgo, exige una finalidad concreta y debe almacenarse y eliminarse bajo control. Para tomar notas, utiliza el sistema clínico autorizado. No conviertas el vídeo en un archivo permanente por comodidad.

Usar el chat como historia clínica

El chat de una videollamada puede quedar almacenado en los servidores del proveedor, en el dispositivo del profesional o en el del paciente. Si contiene información clínica, forma parte del tratamiento. Desactívalo o limita su uso a indicaciones operativas sin datos de salud.

Compartir pantalla sin revisar el escritorio

Antes de compartir, cierra el correo, la historia clínica, las notificaciones y cualquier documento de otro paciente. Utiliza una ventana concreta en lugar de compartir todo el escritorio. Una exposición de segundos puede revelar más información que la propia sesión.

Permitir que varias personas utilicen la misma cuenta

Las credenciales compartidas impiden atribuir acciones. También dificultan revocar el acceso cuando una persona deja de colaborar con la consulta. Cada usuario debe tener una cuenta propia, permisos proporcionales y 2FA.

Considerar suficiente el consentimiento general de la consulta

El paciente debe conocer la modalidad telemática y sus condiciones. Un aviso genérico de privacidad no explica qué ocurre durante una videoconsulta. La información debe corresponder al tratamiento real.

Cómo debe funcionar una videollamada segura en psicología

La configuración correcta no depende de una única función. Es el resultado de varias capas coordinadas:

• Un proveedor con DPA aplicable.
• Servidores ubicados en la Unión Europea o bajo garantías legales adecuadas.
• Cifrado durante la transmisión y, cuando exista almacenamiento, en reposo.
• E2EE cuando la plataforma y la sesión lo permitan.
• 2FA para la cuenta profesional.
• Sala de espera y admisión manual.
• Enlaces únicos y códigos de acceso.
• Grabación y transcripción desactivadas por defecto.
• Dispositivos actualizados y protegidos.
• Espacio físico privado.
• Consentimiento informado escrito y específico.
• Registro de accesos, cambios e incidentes.
• Procedimiento de eliminación y respuesta ante brechas.

Ninguna de estas medidas compensa por completo la ausencia de las demás. Un DPA no protege una contraseña expuesta. El cifrado no corrige una grabación innecesaria. El consentimiento no convierte una herramienta sin garantías en un sistema adecuado.

La prioridad debe ser reducir el tratamiento a lo necesario. Si una función no aporta valor clínico claro, desactívala. Si un dato no necesita conservarse, no lo almacenes. Si un proveedor no puede explicar su arquitectura contractual, no le confíes una sesión psicológica.

Una consulta de telepsicología segura se construye con decisiones verificables. Audita el proveedor. Configura la cuenta. Controla la sesión. Documenta el consentimiento. Revisa los cambios. La tecnología solo cumple su función cuando el profesional puede demostrar que los datos de salud permanecen bajo control.