Protección de datos en tu consulta privada: RGPD paso a paso para psicólogos, fisioterapeutas y nutricionistas

Si tienes una consulta privada de psicología, fisioterapia o nutrición, manejas cada día algunos de los datos más delicados que existen: cómo duerme alguien, qué le preocupa, qué lesión arrastra, cuánto pesa, qué medicación toma o qué le pasó en la infancia. Para el Reglamento General de Protección de Datos (RGPD) son datos de salud, una categoría especial con más exigencias que el resto. Y para tus pacientes son, sencillamente, cosas que no quieren que sepa nadie más.

La protección de datos suele vivirse como un papeleo que alguien te vende en un pack y que se queda en un cajón. Pero en una consulta pequeña hay riesgos muy concretos: el WhatsApp con fotos de informes, el portátil sin contraseña que viaja en la mochila, el correo con el informe enviado a la dirección equivocada, la reseña de Google contestada dando detalles del tratamiento o la hoja de citas a la vista en la recepción compartida.

En esta guía vemos, sin tecnicismos innecesarios, qué te exige la normativa siendo un profesional sanitario que trabaja por su cuenta o con un equipo pequeño, qué documentos necesitas de verdad, cómo resolver los casos del día a día (WhatsApp, videollamada, menores, redes sociales, proveedores) y qué hacer si algo sale mal.

Este artículo es informativo y está actualizado a octubre de 2026. No sustituye el asesoramiento de un especialista en protección de datos ni las guías de la Agencia Española de Protección de Datos (AEPD), que conviene consultar ante cualquier duda concreta.

Qué normas se aplican a tu consulta

En España la protección de datos de una consulta sanitaria privada descansa en tres piezas principales:

• RGPD (Reglamento (UE) 2016/679): es la norma europea de referencia. Fija los principios, las bases legales, los derechos de los pacientes y las obligaciones del responsable del tratamiento, que eres tú (o tu sociedad).
• LOPDGDD (Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales): adapta el RGPD a España y añade reglas propias, como el deber de confidencialidad, la edad de consentimiento de los menores o los supuestos en los que es obligatorio el delegado de protección de datos.
• Ley 41/2002, de autonomía del paciente: regula la historia clínica, el acceso del paciente a ella y su conservación. Ya la vimos en detalle en nuestra guía sobre historia clínica, conservación y custodia.

A esto se suman tu código deontológico (el secreto profesional es anterior a cualquier ley de datos) y, si haces marketing por correo, la Ley de Servicios de la Sociedad de la Información (LSSI).

Datos de salud: por qué son «especiales»

El artículo 9 del RGPD prohíbe, como regla general, tratar datos de salud… salvo en una serie de supuestos. Uno de ellos encaja de lleno con tu trabajo: el tratamiento necesario para fines de diagnóstico, asistencia o tratamiento sanitario, realizado por profesionales sujetos a secreto profesional (artículo 9.2.h y 9.3).

Esto tiene una consecuencia práctica que mucha gente no conoce: para atender a tu paciente y llevar su historia no necesitas pedirle un «consentimiento para el tratamiento de datos». La base legal es la propia asistencia sanitaria. Lo que sí necesitas es informarle de cómo vas a tratar sus datos. Otra cosa distinta es el consentimiento informado clínico, que tiene su propia regulación y explicamos en la guía de consentimiento informado.

Donde sí necesitas consentimiento expreso y separado es para todo lo que no es asistencia: enviar una newsletter, publicar una foto del paciente, usar su caso en una formación o grabar una sesión.

Las obligaciones básicas, una a una

1. Registro de actividades de tratamiento

El RGPD exime de llevar un registro de actividades a las organizaciones de menos de 250 trabajadores… salvo que traten categorías especiales de datos. Como tú tratas datos de salud, tienes que llevarlo, aunque trabajes solo.

No es un documento que se presente en ningún sitio: es un inventario interno que debes tener actualizado y enseñar si la AEPD lo pide. Para una consulta típica suele tener tres o cuatro actividades:

Actividad	Qué datos	Base legal	Conservación orientativa
Historia clínica y asistencia	Identificación, contacto, datos de salud, notas de sesión	Asistencia sanitaria (art. 9.2.h RGPD) y Ley 41/2002	Mínimo 5 años desde el alta (más si tu comunidad lo exige)
Gestión de citas	Nombre, teléfono, correo, horarios	Relación con el paciente	Mientras dure la relación y plazos de reclamación
Facturación y contabilidad	Nombre, NIF, importes, concepto	Obligación legal fiscal	Al menos 4 años (fiscal) y 6 (mercantil)
Comunicaciones comerciales	Correo, nombre	Consentimiento	Hasta que se dé de baja

Si tienes videovigilancia en la consulta, añade otra actividad: las imágenes se borran en un mes como máximo, salvo que acrediten un incidente (artículo 22 LOPDGDD), y necesitas el cartel informativo.

2. Informar al paciente

El paciente tiene derecho a saber quién trata sus datos, para qué, con qué base legal, a quién se comunican, cuánto tiempo se guardan y cómo ejercer sus derechos (artículos 13 y 14 RGPD). La LOPDGDD permite hacerlo por capas: una primera capa breve en la ficha o el formulario de reserva y un enlace o anexo con la información completa.

Ejemplo de primera capa para la ficha de alta:

Responsable: [tu nombre y NIF]. Finalidad: prestarte asistencia sanitaria, gestionar tus citas y facturar los servicios. Base legal: asistencia sanitaria y obligaciones legales. Destinatarios: no se cederán datos salvo obligación legal; proveedores tecnológicos que actúan por mi cuenta. Derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad en [correo]. Más información: [enlace a la política completa].

Ojo con un detalle: si usas un formulario de reserva online, la información debe estar ahí antes de que el paciente envíe sus datos, no en un correo posterior.

3. Contratos con tus proveedores (encargados del tratamiento)

Cada empresa que accede a los datos de tus pacientes por tu cuenta es un encargado del tratamiento: el software de gestión y agenda, el proveedor de correo o almacenamiento en la nube, la asesoría que ve tus facturas, el informático que te arregla el ordenador, la plataforma de videollamada o el servicio de recordatorios por SMS. Con todos necesitas un contrato o anexo que cumpla el artículo 28 del RGPD: instrucciones, confidencialidad, medidas de seguridad, subencargados, devolución o borrado de los datos al terminar y ayuda en caso de brecha.

La mayoría de proveedores serios tienen un acuerdo de encargo estándar en sus condiciones o en el panel de cliente. Descárgalo y guárdalo con tu registro de actividades. Comprueba también dónde están los servidores: si los datos salen del Espacio Económico Europeo, el proveedor debe explicar con qué garantías.

4. Medidas de seguridad proporcionadas

El RGPD no da una lista cerrada; pide medidas adecuadas al riesgo (artículo 32). Con datos de salud, el riesgo es alto por definición, así que lo razonable en una consulta pequeña es:

• Contraseña robusta y bloqueo automático en ordenador, tablet y móvil.
• Disco cifrado en el portátil (la mayoría de sistemas actuales lo traen; solo hay que activarlo).
• Doble factor de autenticación en el correo y en el software de la consulta.
• Copias de seguridad automáticas y probadas de vez en cuando.
• Papel bajo llave: archivador cerrado, nada de historias en la mesa entre paciente y paciente.
• Usuarios separados si trabajáis varios, con acceso solo a lo que cada uno necesita.
• Pantalla de recepción orientada para que no se vea desde la sala de espera.

5. Deber de confidencialidad de todo el equipo

El artículo 5 de la LOPDGDD extiende el deber de confidencialidad a cualquiera que intervenga en el tratamiento, y se mantiene cuando termina la relación. Si tienes recepcionista, colaboradores o personal de limpieza que pasa por zonas con documentación, haz que firmen un compromiso de confidencialidad. Si estás pensando en ampliar equipo, en la guía sobre contratar a otro profesional en tu consulta verás que este punto debe ir en el contrato.

¿Necesitas delegado de protección de datos?

Es la pregunta que más se repite, y la respuesta corta es: si trabajas a título individual, normalmente no.

El artículo 34 de la LOPDGDD obliga a designar delegado de protección de datos (DPD) a los centros sanitarios legalmente obligados a mantener historias clínicas, pero excluye expresamente a los profesionales de la salud que ejercen su actividad a título individual. Un psicólogo, fisioterapeuta o dietista-nutricionista con su propia consulta entra en esa excepción.

La situación cambia cuando la consulta crece y se parece más a un centro con varios profesionales, una estructura propia y un volumen relevante de pacientes. En esos casos conviene analizarlo con un especialista, porque la frontera no la marca un número exacto de profesionales. Nombrar un DPD externo de forma voluntaria también es posible y, en centros medianos, suele ser una buena inversión.

¿Y la evaluación de impacto?

La evaluación de impacto (EIPD) es obligatoria cuando un tratamiento entraña un alto riesgo, por ejemplo, datos de salud «a gran escala». El propio RGPD aclara, en su considerando 91, que el tratamiento de datos de pacientes por un médico individual no debe considerarse a gran escala. Para una consulta individual, por tanto, no suele ser obligatoria. Sí puede serlo en un centro grande, si haces seguimiento de pacientes con apps o dispositivos, o si usas herramientas de inteligencia artificial para analizar datos clínicos de forma sistemática.

Casos del día a día

WhatsApp con pacientes

Es el gran clásico. Usarlo para recordar o cambiar una cita es razonable si el paciente te dio ese número y sabe que lo usarás para eso. Los problemas empiezan cuando el chat se convierte en una extensión de la historia clínica:

• Evita enviar o pedir información clínica por WhatsApp (informes, analíticas, fotos de lesiones, registros de comidas). Si el paciente te la manda, pásala a la historia y bórrala del chat.
• Nunca crees grupos con pacientes: cada miembro ve el número de los demás, y eso ya revela que todos van a tu consulta.
• Usa un número profesional separado del personal y protege el móvil con bloqueo y copia de seguridad cifrada.
• Ten cuidado con la vista previa de mensajes en la pantalla bloqueada, sobre todo si dejas el móvil en la mesa durante la sesión.

Lo más limpio es que los recordatorios y confirmaciones salgan del propio sistema de citas, sin que tengas que ir escribiendo a mano a cada paciente desde tu móvil.

Correo electrónico e informes

Enviar un informe a la dirección equivocada es una de las brechas más frecuentes. Comprueba siempre el destinatario, no uses la copia (CC) para escribir a varios pacientes a la vez y, si mandas un informe, protege el PDF con contraseña y envía la clave por otra vía. Si quieres repasar qué informes puedes emitir y a quién entregarlos, lo explicamos en la guía de informes y justificantes.

Videoconsulta

Para sesiones online usa una plataforma con cifrado y contrato de encargo, nunca una videollamada abierta a cualquiera con el enlace. Comprueba la identidad del paciente al empezar, trabaja desde un espacio en el que no te escuchen y no grabes sesiones salvo que haya una razón clínica clara y un consentimiento expreso por escrito.

Menores de edad

La LOPDGDD fija en 14 años la edad para que un menor consienta por sí mismo el tratamiento de sus datos cuando la base legal es el consentimiento. Pero en el ámbito asistencial manda la normativa sanitaria: la Ley 41/2002 sitúa en los 16 años la mayoría de edad sanitaria con carácter general. En la práctica, con menores de 16 trabajarás con los padres o tutores, y entre los 14 y los 16 conviene escuchar al menor y ser especialmente prudente con la información que compartes. En psicología infantil, recuerda que normalmente hace falta el consentimiento de ambos progenitores con patria potestad, y que los dos tienen derecho a la información del menor salvo resolución judicial que diga otra cosa.

Fotos, vídeos y redes sociales

En fisioterapia y nutrición es tentador publicar el antes y después o un vídeo de un ejercicio con un paciente real. Para hacerlo necesitas un consentimiento expreso, específico y por escrito para esa publicación concreta, que el paciente puede retirar en cualquier momento. Aunque la cara no se vea, un tatuaje, la voz o la sala pueden identificarle. Además, la publicidad sanitaria tiene sus propias limitaciones, que repasamos en la guía de publicidad sanitaria en redes sociales.

Responder reseñas en Google

Si un paciente deja una reseña, aunque sea negativa, no confirmes que es paciente ni des detalles del tratamiento en la respuesta. Responde de forma genérica e invita a hablar por privado. Lo contamos con ejemplos en la guía sobre el perfil de empresa en Google.

Newsletter y promociones

Para enviar comunicaciones comerciales por correo necesitas consentimiento, salvo una excepción: la LSSI permite escribir a clientes con los que ya tienes relación sobre productos o servicios similares, siempre que les dieras la opción de oponerse al recoger el correo y en cada envío. En sanidad conviene ir a lo seguro: casilla de consentimiento separada y nunca marcada por defecto, y enlace de baja en cada correo.

Aseguradoras y terceros

Si trabajas con aseguradoras, solo debes comunicarles los datos necesarios para la facturación o la autorización del acto, según el contrato y lo que el paciente sabe. Familiares, empresas o abogados que llamen pidiendo información no tienen derecho a ella sin autorización del paciente o una base legal clara. Si colaboras con compañías, en la guía de mutuas y cuadros médicos verás cómo suele funcionar ese circuito.

Derechos de los pacientes: cómo responder

Tus pacientes pueden ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad. Tienes un mes para responder, ampliable dos meses más en casos complejos avisando al paciente dentro del primer mes (artículo 12 RGPD). La primera copia de sus datos es gratuita.

Dos matices propios de la historia clínica:

• Acceso: el paciente tiene derecho a obtener copia de su historia, pero la Ley 41/2002 permite reservar las anotaciones subjetivas del profesional y los datos de terceros aportados en interés del paciente. En psicología esto es especialmente relevante.
• Supresión: no puedes borrar la historia antes de que pase el plazo mínimo de conservación porque el paciente lo pida. Sí puedes suprimir lo que no sea obligatorio conservar (por ejemplo, su correo de la lista de novedades) y bloquear el resto hasta que venza el plazo.

Deja constancia escrita de cada solicitud y de tu respuesta.

Qué hacer si hay una brecha de seguridad

Una brecha es cualquier incidente que provoque la pérdida, destrucción, alteración o acceso indebido a datos personales: un portátil robado, un correo enviado al paciente equivocado, un ransomware o una caja de historias que desaparece en una mudanza.

Paso	Qué hacer	Plazo
1. Contener	Cambiar contraseñas, bloquear el dispositivo en remoto, pedir al destinatario erróneo que borre el correo	Inmediato
2. Evaluar	Qué datos, de cuántos pacientes, si estaban cifrados y qué consecuencias puede tener	En las primeras horas
3. Notificar a la AEPD	Si hay riesgo para los pacientes, a través de su sede electrónica	Dentro de 72 horas desde que lo conoces
4. Comunicar a los pacientes	Si el riesgo es alto, de forma clara y sin dilación	Lo antes posible
5. Documentar	Registrar el incidente y las medidas, aunque no lo notifiques	Siempre

Con datos de salud, lo prudente es asumir que casi cualquier brecha supone riesgo. Si el portátil robado tenía el disco cifrado y una contraseña robusta, el riesgo baja muchísimo, y esa es una de las mejores razones para cifrar hoy mismo. La AEPD tiene una herramienta en su web, Comunica-Brecha RGPD, que ayuda a decidir si hay que notificar.

Sanciones: el riesgo real

El RGPD prevé multas de hasta 20 millones de euros o el 4 % de la facturación anual mundial para las infracciones más graves, y la LOPDGDD clasifica las infracciones en muy graves, graves y leves, con plazos de prescripción de tres, dos y un año. Para una consulta pequeña esas cifras máximas no son lo realista, pero la AEPD sanciona con frecuencia a pequeños profesionales y centros sanitarios por cosas muy cotidianas: no informar, mandar datos a quien no toca, no atender un derecho de acceso o dejar documentación accesible.

Más allá de la multa, el daño de verdad es otro: perder la confianza de un paciente que te ha contado lo que no le cuenta a nadie, y una posible reclamación ante tu colegio profesional por vulnerar el secreto. Si te preocupa cómo gestionar quejas formales, la guía de hojas de reclamaciones y carteles obligatorios completa este tema.

Diferencias según tu profesión

Profesión	Punto delicado	Recomendación práctica
Psicología	Notas de sesión muy íntimas, terceros mencionados, menores, informes periciales	Separar anotaciones subjetivas, máxima prudencia con lo que se envía por correo, consentimiento de ambos progenitores
Fisioterapia	Fotos y vídeos de lesiones o ejercicios, informes de otros profesionales, trabajo con mutuas y aseguradoras	Guardar imágenes en la historia y no en la galería del móvil, consentimiento específico para cualquier publicación
Dietética y nutrición	Peso, analíticas, fotos corporales, registros de comida por mensajería, apps de seguimiento	Evitar que el paciente envíe registros por WhatsApp, revisar dónde guarda los datos la app que recomiendas

Checklist de protección de datos para tu consulta

• Tengo un registro de actividades de tratamiento actualizado (historia, citas, facturación y, si aplica, marketing y videovigilancia).
• Mis fichas de alta y mi formulario de reserva online incluyen la información básica y un enlace a la política completa.
• Tengo firmado o aceptado el contrato de encargo con mi software de gestión, correo, nube, asesoría y videollamada.
• Sé en qué país están los servidores de mis proveedores.
• Mi portátil tiene el disco cifrado y todos mis dispositivos se bloquean solos.
• Uso doble factor en el correo y en el programa de la consulta.
• Hago copias de seguridad automáticas y he comprobado que se pueden restaurar.
• La documentación en papel está bajo llave.
• Todo el que trabaja conmigo ha firmado un compromiso de confidencialidad.
• No envío información clínica por WhatsApp ni tengo grupos con pacientes.
• Tengo consentimientos específicos para fotos, vídeos y newsletter.
• Sé cómo responder a un derecho de acceso en menos de un mes.
• Tengo anotado qué hacer ante una brecha y el plazo de 72 horas.
• Reviso todo esto al menos una vez al año.

Preguntas frecuentes

¿Tengo que pedir al paciente que firme un consentimiento para tratar sus datos?

No para la asistencia. La base legal para tratar sus datos de salud es la propia prestación sanitaria por un profesional sujeto a secreto. Lo que debes hacer es informarle. El consentimiento solo hace falta para finalidades extra, como publicidad, publicación de imágenes o grabaciones.

¿Tengo que registrarme en algún sitio o «inscribir ficheros» en la AEPD?

No. La inscripción de ficheros desapareció con el RGPD en 2018. Ahora el sistema se basa en la responsabilidad proactiva: tener tu registro de actividades, tus contratos y tus medidas documentados y listos por si te los piden.

¿Necesito un delegado de protección de datos si trabajo solo?

Normalmente no. La LOPDGDD excluye de la obligación a los profesionales sanitarios que ejercen a título individual. Si diriges un centro con varios profesionales, conviene que lo revise un especialista.

¿Puedo usar WhatsApp para recordar las citas?

Sí, si el paciente te ha dado ese número para eso y le has informado. Evita enviar datos clínicos por esa vía, no crees grupos y protege bien el móvil. Lo ideal es que los recordatorios salgan automáticamente de tu agenda.

¿Cuánto tiempo tengo que guardar las historias clínicas?

La Ley 41/2002 fija un mínimo de cinco años desde la fecha del alta de cada proceso asistencial, y algunas comunidades autónomas amplían ese plazo. Los datos de facturación se rigen por los plazos fiscales y mercantiles.

¿Qué hago si un paciente me pide que borre su historia?

Explícale que tienes la obligación legal de conservarla durante el plazo mínimo y que, mientras tanto, la mantendrás bloqueada y protegida. Puedes suprimir los datos que no estés obligado a conservar. Responde por escrito y en menos de un mes.

¿Me sirve una plantilla genérica de protección de datos?

Como punto de partida, sí, pero adáptala: tu registro tiene que reflejar tus tratamientos reales, tus proveedores reales y tus plazos. Un documento genérico que no se corresponde con lo que haces no te protege ante una inspección.

Una consulta organizada protege mejor los datos

Buena parte de los problemas de protección de datos en una consulta pequeña vienen de tener la información repartida: historias en papel, notas en el móvil, citas en un WhatsApp, facturas en una hoja de cálculo y consentimientos en una carpeta del escritorio. Cuantos menos sitios, menos riesgo y más fácil es responder a un paciente que pide sus datos.

Mundoctor Pro reúne en un solo lugar la agenda online con reserva de pacientes, los recordatorios automáticos (sin tener que escribir desde tu móvil), las historias y fichas de pacientes con acceso protegido, los consentimientos, los cobros y la facturación, preparada para Veri*Factu con margen de sobra, ya que las obligaciones se han aplazado a octubre de 2028. Cuesta 39,95 € al mes, tiene 14 días de prueba y no cobra comisión por cita. Puedes verlo en Mundoctor Pro o comparar planes en precios.

Y si ya diriges un centro con varios profesionales y necesitas usuarios separados, permisos por perfil y agendas compartidas, echa un vistazo a Clínicas Pro.