Telepsicología: los requisitos legales y deontológicos en España

1. Cuatro marcos que se aplican a la vez

No hay una «ley única» que resolverlo todo de una vez, y esa es la primera fuente de confusión. Lo que hay son cuatro cuerpos normativos que ya existían y que se aplican también a la modalidad online, cada uno por su lado.

1.1. Por qué la psicología tiene requisitos propios

Porque el contenido de una sesión es distinto. Lo que se dice en psicoterapia incluye información íntima, relacional y familiar cuya difusión tiene consecuencias inmediatas en la vida del paciente, más allá del dato clínico.

Y porque el propio ejercicio profesional está sujeto a un código deontológico con artículos específicos sobre medios tecnológicos, que van más allá de lo que exige la normativa general.

1.2. Ninguno sustituye a los demás

Es el error más común: dar por resuelto el conjunto porque se ha resuelto el más visible. Firmar un contrato con el proveedor de la plataforma no cubre la obligación de documentar la sesión, ni la de conocer los recursos de urgencia del paciente.

Cada marco responde ante alguien distinto: el colegio profesional, la autoridad de protección de datos, y en su caso un juzgado.

1.3. Qué se comprueba primero

Por orden de coste de arreglar: primero el consentimiento y la documentación, que son gratis y se resuelven en una tarde. Después el contrato con el proveedor, que puede obligar a cambiar de herramienta.

Y por último la colegiación, que rara vez es un problema pero conviene tener resuelta antes de aceptar al primer paciente de fuera del territorio habitual.

2. El Código Deontológico del COP

El Código Deontológico del Consejo General de la Psicología no prohíbe la atención a distancia, y conviene decirlo porque circula lo contrario. Lo que hace es imponer condiciones al ejercicio profesional que la modalidad no relaja.

2.1. Lo que exige al usar medios tecnológicos

Garantizar técnicamente la confidencialidad de la comunicación; obtener consentimiento explícito para el uso de medios digitales; no grabar sin consentimiento específico; y mantener el control sobre el acceso a los datos del paciente.

Son obligaciones del profesional, no del proveedor. Contratar una herramienta no las traslada a nadie.

«Garantizar técnicamente la confidencialidad» tiene además un contenido concreto: saber qué cifrado usa la herramienta y sobre qué, dónde se alojan los datos, y qué queda registrado de cada sesión aunque no se grabe. No es una declaración de intenciones que se firma: es información que hay que poder repetir si alguien la pregunta.

2.2. La identidad y el entorno

Dos cosas que en consulta se dan por supuestas y a distancia hay que verificar: que quien está al otro lado es quien dice ser, y que está en un espacio donde puede hablar.

Se resuelve en el encuadre —se acuerda al empezar y se comprueba al inicio de cada sesión—, no con tecnología. La guía del propio Consejo desarrolla ambos puntos.

2.3. La grabación, que es la excepción

El código es explícito: no se graba sin consentimiento del paciente para esa grabación concreta. No basta el consentimiento de la modalidad, ni el del tratamiento.

Y como la finalidad tiene que ser determinada, grabar «por si acaso» no encaja en ninguna de las dos normativas: ni en la deontológica ni en la de protección de datos.

3. La Ley 41/2002: documentar y conservar

Es la que suele olvidarse, porque no habla de tecnología. Pero es la que fija qué tiene que quedar escrito de cada sesión, y no distingue entre modalidades.

3.1. La sesión online se documenta igual

Misma historia clínica, mismos contenidos. La Ley 41/2002 obliga a documentar la asistencia con independencia de cómo se preste, y añadir la constancia de la modalidad es información clínica, no burocracia.

En la nota entra lo mismo de siempre —lo trabajado, lo acordado, lo observado— y dos datos que la modalidad añade: que la sesión fue a distancia y si participó alguien más. Cómo se organiza en la práctica está en qué queda documentado de una sesión online.

3.2. Las anotaciones subjetivas siguen siendo reserva del profesional

La misma ley reconoce al profesional la posibilidad de oponer reserva sobre sus anotaciones subjetivas frente al derecho de acceso del paciente. La modalidad no cambia ese régimen.

Lo que sí cambia es la facilidad de perderlo: si las notas acaban mezcladas con la evolución estructurada, la distinción existe en la ley y no en el expediente.

3.3. Los plazos, que cuentan desde el alta

La conservación se cuenta desde el alta de cada proceso asistencial, no desde la última visita al centro, y ese matiz decide cuándo empieza a correr el plazo en un proceso largo.

Quién responde de esa custodia cuando un profesional deja el centro está en la custodia legal de la historia clínica en psicología.

4. RGPD y LOPDGDD: qué exige el nivel de riesgo

Los datos de salud mental son categoría especial. De ahí no sale una lista de medidas concretas, sino una obligación de adecuarlas al riesgo — y este es de los altos.

4.1. Categoría especial y base jurídica

El artículo 9 del RGPD prohíbe con carácter general tratar datos de salud, salvo excepciones, entre ellas la asistencia sanitaria. La Ley Orgánica 3/2018 lo desarrolla en España.

Conviene tener identificada la base que ampara cada tratamiento, porque no es la misma para atender que para enviar un recordatorio comercial.

4.2. El proveedor de la plataforma es un encargado

Trata datos de salud por cuenta del profesional, así que hace falta un contrato con el contenido del artículo 28, firmado antes del primer uso, y conocer su cadena de subencargados.

Del anexo de subencargados interesan dos cosas: quiénes son y en qué países están, y si el contrato obliga al proveedor a avisar cuando esa lista cambie. Una cadena que se modifica sin aviso convierte un tratamiento conforme en otro que ya no lo es, sin que nadie del centro lo sepa.

Qué exigirle exactamente y cómo comprobarlo está desarrollado en cómo evaluar una plataforma antes de firmar.

4.3. Minimizar, que también es una obligación

El artículo 25 impone protección de datos por defecto: solo lo necesario para la finalidad. Aplicado aquí significa no conservar grabaciones sin necesidad acreditada, ni registros de conversación, ni metadatos que nadie va a usar.

Guardar de más no es una medida de prudencia: es una obligación nueva de custodia que hay que poder justificar.

5. La colegiación y el ámbito territorial

Es el marco que menos se mira y el único que puede afectar a la habilitación para ejercer. No es un asunto de software y no lo resuelve ningún proveedor.

Cuando el profesional está en un territorio y el paciente en otro, de dónde se entiende prestado el servicio deja de ser una pregunta retórica.

5.1. Dónde se entiende prestado el servicio

Cuando el profesional está en un territorio y el paciente en otro, la pregunta de en cuál se presta el servicio no tiene una respuesta evidente, y de ella depende qué colegio es el competente.

La respuesta la da el colegio, no un artículo, y conviene pedirla por escrito si la atención a otras comunidades va a ser habitual.

5.2. Pacientes de otra comunidad autónoma

Es la situación más frecuente y la más sencilla, porque existen mecanismos de reconocimiento entre colegios. Aun así, la comprobación es previa: se hace antes de aceptar al paciente, no cuando surge un problema.

Y conviene revisar de paso la cobertura del seguro de responsabilidad civil, que puede tener límites territoriales propios.

El caso inverso aparece más de lo que parece: el profesional que atiende desde fuera de su territorio habitual —de vacaciones, en un traslado temporal— con pacientes que siguen donde estaban. La pregunta es la misma y la respuesta puede no serlo.

5.3. Pacientes fuera de España

Aquí la complejidad sube: la habilitación para ejercer depende de cada país y no todos aceptan la atención prestada desde el extranjero. Además, el protocolo de crisis se complica, porque los recursos de urgencia son los del lugar donde está la persona.

No es un caso raro —pacientes desplazados temporalmente— y por eso conviene tener decidido de antemano si se atiende o no.

6. El consentimiento como documento

Aparece en tres de los cuatro marcos, así que merece tratarse como lo que es: el documento que acredita buena parte del cumplimiento. Y como documento, tiene requisitos de forma.

6.1. Qué debe contener

En qué consiste la modalidad y qué limitaciones tiene; qué herramienta se usa y quién la presta; qué ocurre si la comunicación se interrumpe; qué datos quedan registrados; y que puede revocarse en cualquier momento volviendo a presencial.

Y algo que conviene no incluir: promesas de seguridad absoluta. Un consentimiento que afirma que la comunicación es «totalmente segura» no protege a nadie y compromete a quien lo firma, porque ninguna herramienta puede sostener esa afirmación.

El detalle y las cláusulas habituales están en el consentimiento informado digital en psicología.

6.2. Cuándo se firma, y con qué versión

Antes de la primera sesión a distancia. Un consentimiento fechado después no ampara lo anterior, por conforme que estuviera el paciente.

Y se registra qué versión del documento firmó cada persona, porque el texto se actualiza y años después hay que poder decir qué aceptó exactamente.

6.3. Menores y representación

Con menores la documentación se duplica: consentimiento del representante legal y, según la edad, la manifestación del propio menor, cada uno con su fecha.

Conviene dejar constancia de quién ejerce la representación. En situaciones de custodia compartida es la pregunta que aparece en el peor momento.

7. El protocolo de crisis, visto como obligación

El código deontológico obliga a conocer los recursos de atención urgente del paciente. Dicho así suena a recomendación; en la práctica es un requisito documental que se prepara antes y no se improvisa.

7.1. Qué hay que tener preparado antes

La dirección desde la que el paciente se conecta habitualmente, un contacto de emergencia acordado con él, y los recursos de urgencia de su zona. Tres datos, recogidos en el encuadre y revisados cuando cambian.

Sin ellos, la capacidad de actuar depende de lo que el paciente pueda decir en el peor momento posible.

Si el paciente prefiere no facilitar un contacto de emergencia, eso también se registra, junto con lo que se le explicó al respecto. La negativa es una decisión suya y legítima; lo que no puede quedar es sin constancia de que se planteó.

7.2. Por qué se acuerda con el paciente

Porque recoger un contacto de emergencia y pactar cuándo se usaría forma parte del encuadre terapéutico, no de un formulario administrativo.

Hacerlo al principio, cuando no hay urgencia, convierte una intromisión en un acuerdo, y es lo que lo hace utilizable el día que haga falta.

7.3. Qué se documenta si se activa

La decisión y su ejecución: qué se valoró, qué se indicó, a quién se contactó y qué respuesta hubo. La valoración clínica es del profesional; lo que aquí importa es que quede rastro.

Y que se distinga de una interrupción por fallo técnico, que es otra cosa y se anota distinto.

8. Qué pasa si falta alguno

Conviene saberlo, no para asustar sino porque explica por qué los cuatro marcos no son intercambiables: cada incumplimiento se ventila en un sitio distinto y con consecuencias distintas.

8.1. El plano deontológico

Lo conoce la comisión deontológica del colegio, normalmente a raíz de la queja de un paciente. No depende de que haya habido daño: basta con que la actuación se aparte de lo que el código exige.

Es el plano que más se subestima y el que antes se activa, porque el paciente sabe a quién dirigirse.

Y es también el que peor se defiende sin documentación. Ante una comisión deontológica, lo que sostiene la actuación del profesional no es su versión de lo ocurrido, sino lo que estaba escrito antes de que ocurriera: el consentimiento, el encuadre pactado y la nota de cada sesión.

8.2. El plano de protección de datos

Aquí el responsable es el profesional o el centro, y la obligación de acreditar el cumplimiento recae en él. No basta con haber actuado bien: hay que poder demostrarlo con documentos.

De ahí que el contrato con el proveedor y el registro de lo que se conserva no sean papeleo: son la prueba. Es lo que significa la responsabilidad proactiva del RGPD: la carga de acreditar no está en quien reclama, sino en quien trata los datos.

8.3. El plano civil y la carga de la prueba

Ante una reclamación, lo no documentado es difícil de sostener. Una historia clínica escueta no demuestra mala praxis, pero deja sin defensa a quien actuó bien y no lo escribió.

Es el argumento más práctico para documentar la modalidad: no protege frente a un error, protege frente a la duda.

9. Cómo se acredita el cumplimiento

Todo lo anterior se resume en una pregunta útil: si mañana alguien lo pidiera, ¿qué se podría enseñar? La respuesta debería ser una carpeta, no una explicación.

La prueba práctica es sencilla: si mañana alguien lo pidiera, ¿podrías enseñarlo, o tendrías que explicarlo?

9.1. Los documentos que hay que poder enseñar

El consentimiento de cada paciente con su fecha y su versión; el contrato de encargado con el proveedor y su anexo de subencargados; la política de conservación; y el registro de qué se guarda y durante cuánto.

Y las historias clínicas, con la constancia de la modalidad en las sesiones que se prestaron a distancia.

Conviene revisarla una vez al año, que es cuando se descubren las tres cosas de siempre: consentimientos de una versión que ya no se usa, un proveedor que cambió de condiciones sin que nadie lo leyera, y material guardado del que ya nadie recuerda para qué se conserva.

9.2. Dónde encaja el software, y dónde no

Un programa de gestión puede sostener la parte documental: el tipo de cita con su modalidad, el consentimiento con fecha y versión, la nota de sesión, la separación de las anotaciones y el registro de accesos.

Lo que ningún programa resuelve es el marco profesional: la colegiación, el criterio clínico y el protocolo de crisis son del profesional.

9.3. Qué hace obeliOmed con esto, y qué no

obeliOmed no incluye un canal de vídeo propio: ni módulo de vídeo, ni sala propia, ni enlace de sesión. El canal lo pone la herramienta que el centro elija, con los criterios del artículo enlazado más arriba.

Sí cubre el rastro documental: la cita con su modalidad, el consentimiento firmado y fechado, la nota de evolución, las anotaciones del terapeuta con su propio acceso, el bono descontado y la factura. Cómo encaja en el conjunto del centro está en software para clínicas de psicología.