Custodia legal de historiales clínicos en psicología: quién es responsable y qué ocurre cuando un terapeuta se va

1. ¿De quién es el historial clínico?

1.1. Derechos del paciente, custodia del centro

La Ley 41/2002 es clara: la historia clínica pertenece al paciente en términos de derechos —acceso, copia, rectificación— pero su custodia corresponde al centro sanitario que la ha generado. El historial no es propiedad del terapeuta que lo elaboró: es un documento del centro, generado en el ejercicio de su actividad para ese centro.

1.2. Lo que esto implica cuando un terapeuta se va

Un terapeuta que deja un centro no puede llevarse los historiales de los pacientes que ha atendido, ni puede acceder a ellos una vez que ya no tiene relación laboral o colaboradora con el centro, salvo que el paciente haya solicitado expresamente la transferencia. Esta distinción —derecho del paciente frente a custodia del centro— es la que ordena todo lo demás en este artículo.

2. El responsable del tratamiento: el centro, no el terapeuta

El centro guarda la llave principal; cada terapeuta tiene la suya, pero ninguna abre más de lo que le corresponde.

2.1. Quién es responsable bajo el RGPD

El responsable del tratamiento es quien determina los fines y los medios del tratamiento de los datos. En un centro de psicología con terapeutas colaboradores, el responsable es el centro —el director o la entidad jurídica—, no cada terapeuta individualmente.

2.2. Qué son los terapeutas ante la ley

Los terapeutas tienen acceso autorizado a los datos de sus pacientes en el contexto de su trabajo para el centro: son usuarios autorizados del sistema, pero no responsables del tratamiento en el sentido del RGPD. Si hay un problema con los datos —brecha, reclamación de un paciente, inspección de la AEPD—, la responsabilidad recae sobre el centro.

2.3. Lo que eso obliga a asegurar al director

• Los terapeutas solo acceden a los historiales de sus propios pacientes asignados, no a todos los del centro.
• El acceso a los historiales queda registrado en un log de auditoría.
• Cuando un terapeuta deja el centro, su acceso se revoca de inmediato.

El detalle de cómo se registra ese acceso está en auditoría de acceso de empleados a la historia clínica.

3. Qué ocurre cuando un terapeuta deja el centro

Cuando un terapeuta se va, su acceso se retira — el historial de sus pacientes se queda, bajo custodia del centro.

3.1. El paciente se queda en el centro con otro terapeuta

El historial permanece en el centro. Se reasigna el acceso al nuevo terapeuta, que recibe el registro completo de las sesiones anteriores. Si hay que corregir algo de lo ya cerrado, se hace dejando el dato original a la vista, nunca sobrescribiéndolo. El terapeuta que se va pierde el acceso en el momento de su baja, no antes ni después.

3.2. El paciente quiere seguir con el mismo terapeuta en otro sitio

Tiene derecho a solicitar una copia de su historial —portabilidad RGPD más Ley 41/2002— y el centro debe facilitarla en un plazo de 30 días. La copia se entrega al paciente, no directamente al terapeuta que se fue: es el paciente quien decide después qué hacer con ella. La copia entregada no libera al centro de la obligación de conservación del original, cuyos plazos específicos por tipo de dato se cuentan en retención de la historia clínica por tipo de dato.

3.3. El paciente no toma ninguna decisión

El historial permanece archivado en el centro hasta que se cumpla el plazo de conservación legal —mínimo 5 años desde la última atención—. No se elimina, no se transfiere al terapeuta que se fue y no es accesible a terceros sin autorización.

4. La portabilidad: el paciente que quiere llevarse su historial

4.1. Qué debe incluir la copia

Todos los datos de identificación, el historial de sesiones, los documentos clínicos —el consentimiento firmado, notas de sesión si el psicólogo decide compartirlas, informes—, las escalas de evaluación aplicadas y sus resultados. El terapeuta puede excluir sus notas de proceso interno si considera que divulgarlas podría perjudicar al paciente (art. 18 Ley 41/2002), pero debe justificarlo.

4.2. Formato y plazo

El RGPD (art. 20) exige un formato estructurado, de uso común y lectura mecánica; PDF cumple ese requisito y es el más habitual en psicología privada. El plazo es de 30 días desde la solicitud, y la primera copia debe ser gratuita — copias adicionales pueden tener un coste razonable.

4.3. Cuando el destino es otro sistema clínico

Para la interoperabilidad con otro software clínico, formatos como HL7 o XML son más completos que un PDF, aunque raramente necesarios en la práctica de psicología privada, donde el receptor casi siempre es el propio paciente o su nuevo terapeuta, no otro sistema informático.

5. Qué debe llevar el contrato de colaboración sobre historiales

5.1. Las cláusulas mínimas

Que los historiales generados en el ejercicio de la actividad para el centro son propiedad del centro; la obligación de confidencialidad sobre los datos de los pacientes, que persiste tras el fin de la relación; la prohibición de acceder a los historiales o extraer datos una vez finalizada la colaboración; el encargo de tratamiento interno que regula el acceso del terapeuta mientras colabora; y las consecuencias de incumplimiento.

5.2. Por qué conviene que lo revise un abogado

Estas cláusulas cruzan derecho laboral y RGPD a la vez, y un contrato genérico de colaboración rara vez las cubre bien las dos. Revisarlo con un abogado especializado antes de firmarlo cuesta menos que renegociarlo después de un conflicto con un terapeuta que se va. Lo mismo aplica al reparto económico de la colaboración, que suele negociarse en el mismo documento: el detalle de cómo se calcula y liquida está en liquidación de psicólogos colaboradores y porcentajes.

5.3. Qué pasa si el contrato no lo recoge

La ley sigue aplicando aunque el contrato calle: la custodia es del centro y la confidencialidad no caduca por no estar escrita. Pero sin la cláusula explícita, el centro pierde el argumento contractual claro si el terapeuta discute la titularidad al irse — y esa discusión, sin papel que la resuelva, se alarga.

6. Cómo obeliOmed gestiona la custodia y los accesos

6.1. Acceso segmentado y revocación instantánea

Cada terapeuta solo ve los historiales de sus pacientes asignados; el director tiene visibilidad completa con registro de todos sus propios accesos. Cuando un terapeuta se da de baja del sistema, su acceso se revoca de inmediato y todos los historiales que tenía asignados quedan bajo custodia exclusiva del centro.

6.2. Exportación y log de auditoría

Cuando un paciente solicita una copia, el director puede exportar el expediente completo en PDF desde el panel de administración en pocos minutos. El log de auditoría registra de forma permanente quién accedió a qué historial, cuándo y desde dónde — disponible ante cualquier inspección o reclamación.

6.3. Plazos de conservación

El sistema avisa cuando un expediente alcanza el plazo mínimo de conservación y puede iniciar el proceso de supresión con registro del acto, para que ese plazo no dependa de que alguien se acuerde de revisarlo a mano. El detalle de esos plazos está en plazos de conservación de la historia clínica bajo el RGPD. Ver también cómo coordinar terapeutas en un centro de psicología.

7. El psicólogo autónomo: cuando no hay centro como entidad separada

7.1. Tres papeles en una sola persona

Cuando el psicólogo es autónomo y no hay centro como entidad separada, él mismo es simultáneamente el profesional sanitario, el responsable del tratamiento de datos y el custodio de los historiales. Todas las obligaciones de custodia, conservación y acceso recaen sobre él, sin que haya nadie más a quien delegarlas.

7.2. Qué pasa si cesa la actividad

Cuando el psicólogo autónomo se jubila, fallece o cesa su actividad, tiene la obligación de comunicar el cese a sus pacientes activos y de garantizar que los historiales se conserven durante el plazo legal — la obligación no desaparece con el cese de la consulta.

7.3. Quién puede ayudar a resolverlo

En la práctica, varios colegios profesionales de psicología ofrecen servicios de archivo de historiales pensados justo para estas situaciones, para que la custodia no quede sin nadie a cargo cuando el propio profesional ya no puede ejercerla. Y aunque no haya un centro como entidad separada, las mismas obligaciones de acceso segmentado, registro y plazos de conservación aplican igual — el marco general está en software para clínicas de psicología y salud mental.

8. El seguro de responsabilidad civil y las brechas de datos

8.1. Lo que cubre una póliza estándar

Las pólizas de responsabilidad civil profesional estándar cubren los daños derivados del ejercicio de la actividad, lo que puede incluir una brecha de datos que cause daño al paciente. Pero el alcance varía mucho entre pólizas, y no todas incluyen protección de datos de forma explícita.

8.2. Qué conviene revisar con el asegurador

Si la póliza cubre sanciones de la AEPD por incumplimiento del RGPD, si cubre indemnizaciones a pacientes por daños derivados de una brecha, y si cubre los gastos de defensa legal ante reclamaciones relacionadas con datos clínicos. Son tres coberturas distintas y una póliza puede tener unas sin las otras.

8.3. Cuando la póliza actual no cubre estos supuestos

Existen seguros de ciberriesgo específicos para el sector sanitario que sí los incluyen. No sustituyen a la responsabilidad civil profesional — la complementan en el terreno específico de los datos, que es donde una póliza genérica suele quedarse corta. Vale la pena revisarlo antes de que ocurra un incidente, no después: en ese momento ya no hay margen para descubrir que la cobertura que se daba por hecha nunca estuvo ahí, y la diferencia entre tenerla y no tenerla se nota justo cuando más falta hace.

9. Digitalizar historiales en papel sin perder validez

9.1. El proceso y su validez legal

Los historiales en papel pueden escanearse en PDF y adjuntarse al expediente digital del paciente. Desde el punto de vista legal, el documento escaneado tiene la misma validez como medio de prueba que el original si el escaneo es fiel a él — la digitalización no rebaja su valor probatorio, y evita además el riesgo físico de un archivo en papel: humedad, incendio, pérdida en una mudanza de consulta. El resto de obligaciones RGPD sobre esos documentos ya digitalizados —acceso, conservación, brechas— son las mismas que para cualquier otro dato clínico, y están desarrolladas en RGPD en psicología: cómo proteger las historias clínicas.

9.2. Lo que exigen algunas comunidades autónomas

Algunas normativas autonómicas requieren que el original en papel no se destruya durante un período mínimo tras la digitalización. Conviene verificarlo con el colegio profesional de la comunidad correspondiente antes de destruir cualquier original, porque el plazo no es el mismo en todo el territorio nacional.

9.3. Dónde queda el documento digitalizado

Una vez adjuntado al expediente en obeliOmed, el documento escaneado hereda las mismas garantías de custodia, acceso segmentado y registro de auditoría que cualquier otro documento clínico del sistema — no vive aparte, en una carpeta distinta con reglas propias, ni requiere que nadie recuerde aplicarle un tratamiento diferente al del resto del expediente.