Guía RGPD para VR clínica
Las 7 dudas reales del psicólogo español sobre RGPD/AEPD aplicado a realidad virtual clínica. Respuestas operativas, no marketing. Con plantillas y checklist de autoauditoría.
Revisado por nuestra asesoría legal externa. Material base para llevar a tu DPO o asesoría de cabecera.
- Plantilla consentimiento informado VR sesión por sesión
- Procedimiento brecha 72h con modelo notificación AEPD
- Plantillas ARCO respuesta acceso/rectificación/supresión
- Checklist 28 ítems autoauditoría pre-AEPD
- 5 sanciones públicas reseñadas con lección operativa
Las 7 dudas reales que cubre la guía
Cada sección contiene respuesta operativa, referencia al artículo RGPD aplicable, ejemplo concreto y, donde aplica, plantilla descargable.
- 1
¿Dónde están los servidores que procesan los datos de mis pacientes?
Servidores en UE no es opcional para datos de salud. Cualquier transferencia a EE.UU. requiere garantías adicionales (cláusulas contractuales tipo + análisis de equivalencia). Cómo verificarlo en tu proveedor.
- 2
¿Las grabaciones VR son datos especiales del art. 9 RGPD?
Sí. Son datos relativos a la salud y, posiblemente, datos biométricos. Aplica el régimen reforzado del art. 9: prohibición salvo consentimiento explícito (informado y específico) o base legal del art. 9.2.h (asistencia sanitaria por profesional sujeto a secreto).
- 3
¿Cómo redacto el consentimiento informado para sesión VR?
Tres bloques obligatorios: (1) finalidad clínica concreta, (2) tratamiento de datos (qué, dónde, cuánto tiempo, quién accede), (3) derechos ARCO + portabilidad + retirada. Plantilla completa con cada bloque.
- 4
Si hay brecha de seguridad, ¿qué hago en las primeras 72 horas?
Procedimiento operativo paso a paso: detección → evaluación de gravedad → notificación AEPD (modelo oficial) → notificación al paciente si alto riesgo → mitigación → registro interno. Errores comunes que sancionan.
- 5
¿Qué derechos tienen mis pacientes sobre sus grabaciones VR?
Acceso (copia legible), rectificación, supresión (con límites por obligación de conservación clínica), oposición y portabilidad (export en formato usable). Plantillas de respuesta a solicitud ARCO en <30 días.
- 6
¿Tengo que firmar DPA con cada proveedor que ve datos de paciente?
Sí, art. 28 RGPD obliga. Software clínico, gestor de citas, email marketing, contabilidad si tiene acceso, todos. La AEPD sanciona la ausencia de DPA con multas significativas. Plantilla DPA gratuita disponible en /recursos.
- 7
¿Necesito DPO si soy psicólogo autónomo?
Depende del tratamiento a gran escala de datos especiales. Para consulta privada típica (<200 pacientes activos), normalmente no es obligatorio pero sí recomendable. Para clínica con 5+ terapeutas tratando datos especiales, casi siempre obligatorio.
Preguntas frecuentes sobre la guía
¿Esta guía sustituye a un asesor RGPD?
No. Es un primer mapa para que sepas qué preguntar y qué exigir a tu proveedor. Para consulta con datos especiales, decisiones automatizadas o tratamientos complejos, contrata DPO externo o asesoría especializada. Esta guía te ayuda a hacer ese contrato más eficiente.
¿Está actualizada al RGPD post-Brexit / Schrems II?
Sí. Considera el régimen actual de transferencias internacionales (cláusulas contractuales tipo 2021), Schrems II y la decisión de adecuación EE.UU.-UE (Data Privacy Framework 2023). Si tu proveedor es estadounidense y tu DPO es estricto, las salvaguardas adicionales son clave.
¿VRET cumple lo que la guía exige?
Sí. Servidores Supabase EU, RLS por tenant, encriptación at-rest + in-transit, DPA firmable en Clinic+, registro de sub-encargados público, procedimiento de brecha documentado, export ARCO en formato JSON/CSV. Detalle técnico en /seguridad.
¿Puedo usar esta guía para auditarme antes de una posible inspección AEPD?
Sí. La guía incluye checklist de autoauditoría (28 ítems): qué tener documentado, dónde archivarlo, cuánto tiempo conservarlo. Es la base más útil para preparar una respuesta rápida si recibes requerimiento de la AEPD.
¿La AEPD ha sancionado a clínicas privadas españolas por incumplimientos similares?
Sí, casos documentados públicamente: ausencia de DPA con proveedores tecnológicos, brechas no notificadas en plazo, consentimientos genéricos en lugar de específicos, retención excesiva. La guía reseña 5 sanciones públicas con la lección operativa de cada una.
Esta guía es informativa, no asesoramiento jurídico individualizado. Para casos concretos consulta con tu DPO o asesoría legal.