Software para psicólogos: qué debe garantizar antes de llevar tu consulta ahí

¿Qué datos estás moviendo cuando metes tu consulta en un software?

Este artículo no habla de facturación electrónica ni de IVA. Habla de lo que de verdad se juega un psicólogo cuando mete su consulta en un software: protección de datos, documentación clínica y secreto profesional.

Las notas de sesión, los informes y la historia clínica no son datos personales cualquiera. Son datos de salud, una de las categorías especiales que el artículo 9.1 del RGPD prohíbe tratar salvo que concurra una excepción concreta (gdpr-text.com, 2024). Para la asistencia psicológica, esa excepción es el artículo 9.2.h: el tratamiento es lícito cuando es necesario para la prestación de asistencia o tratamiento de tipo sanitario o social, por un profesional sujeto a secreto profesional o bajo su responsabilidad (gdpr-text.com, 2024). En España, la LOPDGDD añade que ese tratamiento tiene que estar amparado por una norma con rango de ley, que puede fijar requisitos adicionales de seguridad y confidencialidad (Ley Orgánica 3/2018, art. 9.2).

Dicho en llano: no necesitas pedirle a cada cliente que firme un consentimiento de protección de datos para poder atenderlo, porque la propia asistencia ya es la base legal. El consentimiento entra en juego para otras cosas, como usar un caso con fines de investigación o de divulgación. Lo que sí tienes, siempre, es la obligación de tratar esos datos con el nivel de cuidado que la ley exige a algo tan sensible, y ahí es donde el software que elijas empieza a importar de verdad.

La historia clínica tiene reglas propias, uses software o no

Si ejerces como psicólogo sanitario, aquí no manda solo el RGPD. La Ley 41/2002, la norma básica sobre autonomía del paciente y documentación clínica, obliga a conservar la documentación clínica como mínimo cinco años desde la fecha del alta de cada proceso asistencial (Ley 41/2002, art. 17.1). Y los profesionales sanitarios que trabajan de manera individual son responsables de la gestión y la custodia de la documentación que generan (Ley 41/2002, art. 17.5), lo diga o no el contrato del software que uses. Si tu actividad no es sanitaria, esta ley no te aplica tal cual, pero el código deontológico y la protección de datos sí, y conservar con un criterio claro sigue siendo buena práctica.

La buena noticia es que la ley no exige papel: el archivo de la historia clínica puede estar en soporte «papel, audiovisual, informático o de otro tipo», siempre que queden garantizadas su seguridad, su correcta conservación y la recuperación de la información (Ley 41/2002, art. 14.2). Digitalizar no es un problema legal en sí mismo. El problema aparece cuando confundes «lo tengo en una app» con «ya está resuelto»: la obligación de conservarlo con seguridad sigue siendo tuya, pase lo que pase con el proveedor.

Y esto no aplica solo al informe final. Si usas plantillas de trabajo como la de un registro de conducta dentro de tu consulta, ese documento también forma parte de la documentación del caso y merece la misma custodia, aunque parezca «solo una plantilla de seguimiento».

El secreto profesional no desaparece porque los datos estén en la nube

El Código Deontológico del Psicólogo es anterior al RGPD y no entra en detalles técnicos de almacenamiento, pero su artículo 46 ya habla de «registros escritos y electrónicos» de datos psicológicos conservados bajo la responsabilidad personal del psicólogo, en condiciones de seguridad y secreto que impidan el acceso a personas ajenas. El artículo 19 va en la misma línea: el material psicológico queda reservado a los psicólogos, que deben gestionar o garantizar la debida custodia de los documentos. El artículo 40 fija el principio general: toda la información recogida está sujeta a un deber y un derecho de secreto profesional, del que solo exime el consentimiento expreso del cliente. Y ese deber no termina cuando el caso se cierra: el artículo 49 aclara que ni el fallecimiento del cliente libera al psicólogo de esa obligación (Consejo General de la Psicología de España, texto vigente). Si quieres el repaso completo del código, está en el artículo sobre el código deontológico del psicólogo.

Traducido a software: si un proveedor externo guarda tus historiales, tú sigues siendo quien responde de que ese secreto se mantenga. En mi experiencia, esto es lo primero que miro antes de probar cualquier herramienta nueva para el gabinete: no lo bonita que es la interfaz, sino dónde van a parar los datos si algún día cierro esa cuenta.

Tu proveedor también tiene una responsabilidad legal: qué es un encargado de tratamiento

Cuando contratas un software que guarda datos de tus clientes, el proveedor no es un simple vendedor de herramientas: es lo que el RGPD llama un «encargado de tratamiento», y eso exige un contrato específico bajo el artículo 28 (Legiscope, 2026). Antes de confiarle tu consulta a cualquier plataforma, tiene sentido preguntar directamente: ¿dónde están los servidores? ¿hay subencargados, y quiénes son? ¿qué cifrado usa? Un error frecuente, por ejemplo, es hacer teleconsulta con una herramienta de videollamada gratuita de uso general sin revisar dónde se alojan los datos ni si el proveedor firma un contrato de encargado (Legiscope, 2026), y es justo el tipo de detalle que no se nota hasta que hay un problema.

Si además estás valorando meter inteligencia artificial en el día a día del gabinete, para redactar borradores u organizar notas, ya hablamos de qué mirar antes de adoptar ese tipo de herramienta: las preguntas sobre dónde se alojan los datos son, básicamente, las mismas. El RGPD también obliga a aplicar medidas de seguridad como el control de accesos (artículo 32) y, cuando el tratamiento de datos de salud es sistemático o se incorporan plataformas nuevas, conviene valorar una evaluación de impacto (artículo 35) (Legiscope, 2026). Una consulta individual normalmente no está obligada a nombrar un delegado de protección de datos, pero eso no la libera del resto de obligaciones (Legiscope, 2026).

Consentimiento informado: cuándo hace falta de verdad

Como ya hemos visto, atender a alguien no exige, por sí mismo, un consentimiento de protección de datos. El consentimiento informado del código deontológico es otra cosa, más amplia: el artículo 25 exige informar, al hacerte cargo de una intervención, sobre sus características esenciales, los problemas que se abordan, los objetivos y el método, y en el caso de menores hacérselo saber a sus padres o tutores. El artículo 39 limita la recogida de información a lo estrictamente necesario (Consejo General de la Psicología de España, texto vigente).

Con menores hay dos edades distintas que conviene no mezclar. Cuando un tratamiento de datos se basa en el consentimiento (por ejemplo, para usar una app o un portal del paciente que lo pida), un menor puede darlo por sí mismo a partir de los catorce años (Ley Orgánica 3/2018, art. 7). Para consentir la intervención en el ámbito sanitario, la Ley 41/2002 fija otra regla: a partir de los dieciséis años no cabe el consentimiento por representación, salvo excepciones como una actuación de grave riesgo (Ley 41/2002, art. 9.4).

Infocop lo resumía bien a principios de este año: las historias clínicas, las evaluaciones, los informes periciales y las notas de sesión contienen información especialmente protegida, y su tratamiento inadecuado puede tener consecuencias graves para las personas atendidas y para el propio profesional; entre las buenas prácticas, pedía extremar las precauciones con las plataformas y aplicaciones de gestión de consultas (Infocop, 2026). Dicho de otra forma: el software que elijas no es un detalle administrativo, es parte de cómo cuidas a quien atiendes.

Checklist antes de elegir un software para psicólogos (o de seguir usando el que tienes)

Antes de dar el paso, o de quedarte donde ya estás por pura inercia, estas son las preguntas que de verdad importan:

• ¿Dónde están los servidores? Dentro de la Unión Europea, o con garantías adecuadas si están fuera. No es un matiz técnico: condiciona si puedes cumplir la ley.
• ¿Existe un contrato de encargo de tratamiento? Si la respuesta es «no lo sé», pídelo antes de subir el primer historial.
• ¿Qué pasa con tus datos si dejas de pagar la suscripción? Tienes que poder exportar y conservar la documentación durante el tiempo que te toque, pase lo que pase con la herramienta.
• ¿Quién tiene acceso, y cómo se controla? El cifrado y el control de accesos no son un extra de la versión de pago: son una obligación de seguridad.
• ¿El proveedor subcontrata a terceros? Si hay subencargados, tienes derecho a saber quiénes son y dónde operan.
• ¿Informas con claridad a tus clientes sobre dónde van sus datos? No hace falta un documento de diez páginas; sí una explicación honesta y breve.

Ninguna de estas preguntas tiene que convertirse en un proyecto de meses. Son el filtro mínimo para no descubrir el problema el día que ya es tarde.

Para llevarlo a la práctica

No hace falta ser experto en protección de datos para elegir bien un software para psicólogos: hace falta saber qué preguntar, y a quién. Si el proveedor no puede responder con claridad dónde están tus datos, quién más los toca y qué pasa si te vas, esa falta de respuesta ya es la respuesta. Y si nunca te has hecho estas preguntas sobre lo que usas ahora, quizá sea buen momento para hacértelas, sin esperar a que una herramienta nueva te obligue.