Blog
🚨 Caída masiva de Redsys: ¿por qué tus clientes no pueden pagar hoy?
Durante las últimas horas, Redsys, la principal pasarela de pagos con tarjeta en España (utilizada por la mayoría de bancos
Las sesiones de psicología online se han convertido en una forma habitual de prestar asistencia, facilitar la continuidad terapéutica y atender a personas que no pueden desplazarse. Sin embargo, trasladar una consulta psicológica a Internet no consiste simplemente en enviar un enlace de videollamada.
Durante una sesión pueden revelarse datos sobre la salud física y mental, diagnósticos, tratamientos, circunstancias familiares, sexualidad, relaciones personales o situaciones de especial vulnerabilidad. Se trata de información íntima que merece la máxima protección técnica, organizativa y humana.
Por eso, en Induscomp implantamos soluciones de videoconferencia basadas en Jitsi, alojadas y administradas específicamente para cada organización. Pero nuestro trabajo no termina al instalar el programa. Realizamos un análisis completo del servicio: revisamos la infraestructura, los accesos, la página web, los formularios, los consentimientos, los proveedores, las copias de seguridad, la gestión de incidencias, la documentación y la forma real en la que trabaja el centro.
Nuestro objetivo no es colocar una herramienta y marcar una casilla. Es construir un servicio coherente con la normativa, con el secreto profesional y con nuestra forma de entender la tecnología: ética, responsable, sostenible, transparente y respetuosa con los derechos humanos.
El Reglamento General de Protección de Datos considera los datos relativos a la salud una categoría especial de datos personales. El artículo 9 del RGPD establece una protección reforzada y limita los supuestos en los que pueden tratarse.
La imagen y la voz también son datos personales cuando permiten identificar a una persona. Además, en una consulta psicológica el propio contexto de la comunicación puede revelar que alguien recibe atención sanitaria, incluso aunque la conversación no se grabe.
Esto significa que el profesional o el centro debe analizar, entre otras cuestiones:
No existe una aplicación que resuelva por sí sola todas estas obligaciones. El cumplimiento depende de la herramienta, pero también de su configuración, del proveedor, de los contratos, de los procedimientos internos y del uso cotidiano que hagan los profesionales.
El Reglamento (UE) 2016/679, conocido como RGPD, es la norma europea principal. Entre sus exigencias se encuentran los principios de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.
La responsabilidad proactiva es especialmente importante: no basta con actuar correctamente. La organización debe poder demostrar que ha analizado los tratamientos, identificado los riesgos y adoptado medidas apropiadas.
En una consulta psicológica son particularmente relevantes:
En España, el RGPD se completa con la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, conocida como LOPDGDD.
Esta ley desarrolla aspectos como el deber de confidencialidad, el tratamiento de datos de menores, el ejercicio de derechos, el régimen sancionador y la designación del delegado de protección de datos.
Los centros sanitarios legalmente obligados a mantener historias clínicas deben valorar especialmente la obligación de designar un delegado de protección de datos. La ley contempla una excepción para los profesionales de la salud que ejercen individualmente. No obstante, cada caso debe revisarse según la estructura y actividad real del responsable.
La Ley 41/2002, básica reguladora de la autonomía del paciente, regula derechos y obligaciones relacionados con la información asistencial, la intimidad, el consentimiento y la documentación clínica.
La modalidad online no elimina estas obligaciones. El centro debe determinar cómo identifica al paciente, cómo proporciona la información asistencial, cómo obtiene y documenta los consentimientos que resulten necesarios y cómo incorpora a la historia clínica la información relevante del proceso.
También deben considerarse la normativa sanitaria de cada comunidad autónoma, las reglas de conservación de documentación clínica y las obligaciones profesionales o deontológicas aplicables.
Si la consulta utiliza una web para captar pacientes, solicitar citas, recoger información o cobrar servicios, también deben revisarse la Ley 34/2002 de servicios de la sociedad de la información y comercio electrónico, los textos legales de la web, los formularios, las comunicaciones comerciales y, cuando corresponda, el uso de cookies.
La protección de la sesión no sirve de mucho si el formulario de contacto solicita información clínica innecesaria, la agenda externa transmite datos sin garantías suficientes o los correos se envían sin medidas de seguridad adecuadas.
Uno de los errores más frecuentes consiste en afirmar que todo tratamiento de datos sanitarios se basa necesariamente en el consentimiento del paciente.
El consentimiento informado para una intervención sanitaria y el consentimiento como base jurídica de protección de datos son conceptos relacionados, pero diferentes. Según el tipo de profesional, la finalidad del tratamiento y la relación asistencial, pueden resultar aplicables otras bases previstas en los artículos 6 y 9 del RGPD, como la prestación de asistencia o tratamiento sanitario por profesionales sujetos al deber de secreto.
La base jurídica debe determinarse y documentarse para cada actividad: asistencia psicológica, gestión de citas, facturación, comunicaciones, envío de recordatorios, grabación excepcional, marketing o publicación de testimonios no tienen por qué apoyarse en la misma legitimación.
Además, aplicar una base jurídica no elimina el deber de informar al paciente de forma clara y accesible.
La atención psicológica a menores requiere un análisis específico. Deben coordinarse la normativa de protección de datos, la legislación sanitaria, la capacidad del menor para comprender la intervención, la patria potestad o representación legal y su interés superior.
No debe aplicarse automáticamente la edad prevista para consentir determinados tratamientos de datos como si resolviera por sí sola el consentimiento sanitario. También hay que prever situaciones de conflicto familiar, progenitores separados, posibles riesgos para el menor y límites de acceso a la información clínica.
En el entorno tecnológico se deben revisar los enlaces de acceso, la identidad de las personas presentes, la privacidad del espacio desde el que se conecta el menor y el canal utilizado para enviar comunicaciones o documentación.
Jitsi Meet es una solución de videoconferencia de código abierto que puede instalarse en una infraestructura controlada por la propia organización o por un proveedor elegido expresamente. Esa capacidad de autoalojamiento permite reducir dependencias, conocer mejor el recorrido de la información y aplicar configuraciones adaptadas al riesgo.
La documentación oficial de Jitsi recuerda que el despliegue propio requiere infraestructura, dominio, certificados y una configuración adecuada. No es equivalente utilizar una instancia pública gratuita que disponer de una instalación privada, administrada y documentada.
Entre las medidas que pueden configurarse se encuentran:
La propia guía de seguridad de Jitsi recomienda utilizar nombres de sala fuertes, emplear salas diferentes, añadir contraseña y controlar la creación de reuniones en instalaciones propias.
Que Jitsi sea software libre y de código abierto aporta transparencia y control, pero no convierte cualquier instalación en segura ni garantiza automáticamente el cumplimiento del RGPD.
Una instalación desactualizada, una sala pública, una contraseña reutilizada, una política de registros excesiva o una mala gestión de usuarios pueden generar riesgos importantes. Del mismo modo, alojar un servidor en Europa no soluciona por sí solo la protección de datos si intervienen otros servicios externos ubicados fuera del Espacio Económico Europeo.
Tampoco deben utilizarse expresiones absolutas como “cifrado total” sin analizar la arquitectura concreta. Jitsi protege las comunicaciones en tránsito mediante las tecnologías propias de HTTPS y WebRTC; la disponibilidad y alcance del cifrado de extremo a extremo dependen de la modalidad, los clientes y la configuración utilizada. Nuestro informe describe las medidas efectivamente implantadas, sin convertir una característica técnica en una promesa publicitaria engañosa.
En Induscomp defendemos un servicio de hosting ético, responsable y sostenible. Nuestros principios no se quedan en seleccionar un centro de datos o reducir el impacto ambiental. También influyen en las decisiones técnicas que tomamos.
Para nosotros, una tecnología ética aplicada a la psicología implica:
La ética también consiste en reconocer los límites. No prometemos que instalar un programa convierta automáticamente a un centro en conforme con todas sus obligaciones. Analizamos el contexto, documentamos lo que existe, indicamos qué debe corregirse y diferenciamos con claridad las medidas técnicas de las decisiones jurídicas o clínicas que corresponden a otros profesionales.
Este enfoque es coherente con la identidad de Induscomp como servicio de hosting ético: tecnología gestionada por personas accesibles, transparencia, sostenibilidad y rechazo de actividades contrarias a los derechos humanos.
Una videoconferencia segura es solo una pieza dentro del tratamiento completo de los datos. Por eso analizamos el conjunto del servicio y la manera real en la que trabaja cada consulta o centro.
Identificamos qué información se recoge desde el primer contacto hasta el cierre o conservación de la historia clínica: web, formularios, teléfono, correo, agenda, videoconferencia, facturación, documentación, mensajería, almacenamiento y copias.
También revisamos quién recibe o puede acceder a esos datos y a través de qué sistemas circulan.
Determinamos los papeles de las partes: responsable, encargado, corresponsable o proveedor sin acceso a datos personales. Revisamos los contratos de encargo del tratamiento, las obligaciones de confidencialidad, la subcontratación y la ubicación de los servicios.
No se analiza únicamente el servidor de Jitsi. También pueden intervenir el hosting, el correo electrónico, la agenda, el proveedor web, el sistema de facturación, el soporte remoto, las copias de seguridad o las aplicaciones utilizadas por los profesionales.
Comprobamos si algún proveedor o subencargado trata información fuera del Espacio Económico Europeo. Cuando existe una transferencia internacional, deben analizarse el mecanismo jurídico utilizado, las garantías disponibles y las posibles medidas complementarias.
Decir “el servidor está en Europa” no basta si la autenticación, los registros, las copias, el soporte o las herramientas asociadas dependen de terceros países.
Revisamos las cláusulas informativas, los formularios y el modo en que se proporciona la información. Se debe explicar, de forma comprensible, quién trata los datos, para qué, con qué legitimación, durante cuánto tiempo, a quién pueden comunicarse y cómo ejercer los derechos.
También estudiamos qué consentimientos son realmente necesarios y cómo deben documentarse, evitando solicitar consentimientos genéricos que mezclen asistencia, publicidad, grabaciones o finalidades distintas.
Analizamos la política de privacidad, el aviso legal, las cookies, los formularios, el sistema de reservas y los mensajes automáticos. Revisamos si se solicitan datos excesivos y si los canales utilizados son adecuados para la sensibilidad de la información.
Definimos quién puede crear sesiones, administrar salas, acceder al servidor o prestar soporte. Revisamos contraseñas, cuentas compartidas, bajas de usuarios, privilegios, autenticación y trazabilidad.
Los permisos deben responder a las funciones reales de cada persona. Una recepcionista, un psicólogo, un administrador técnico y la dirección del centro no necesitan el mismo nivel de acceso.
Revisamos el sistema operativo, los servicios expuestos, el cortafuegos, los certificados, las actualizaciones, el acceso administrativo, la protección frente a intentos de intrusión y la configuración específica de Jitsi.
Eliminamos o desactivamos funciones que no sean necesarias y documentamos las decisiones adoptadas.
Como criterio de minimización, recomendamos no grabar las sesiones salvo que exista una necesidad real, una legitimación adecuada, información específica y medidas reforzadas de almacenamiento y acceso.
También deben establecerse normas claras sobre capturas de pantalla, transcripciones, asistentes automáticos y herramientas de inteligencia artificial. La facilidad técnica para grabar no equivale a autorización jurídica o deontológica para hacerlo.
Los registros pueden ser necesarios para detectar errores, investigar incidentes o acreditar accesos. Sin embargo, deben limitarse a lo necesario, protegerse y conservarse durante un plazo definido.
Revisamos qué se registra, dónde se almacena, quién puede consultarlo y cuándo se elimina.
Analizamos qué información necesita copia, con qué frecuencia, dónde se almacena, cómo se cifra, quién puede restaurarla y cuánto tiempo se conserva. También comprobamos que exista un procedimiento de recuperación y que las copias no multipliquen datos innecesarios.
La disponibilidad es parte de la seguridad: un servicio sanitario debe prever fallos, pérdida de acceso, averías y alternativas de comunicación.
Preparamos o revisamos el procedimiento para detectar, registrar, evaluar y resolver incidentes. Una brecha de datos personales puede requerir notificación a la autoridad de control en un plazo máximo de 72 horas desde que se tiene constancia y, en determinados casos, comunicación a las personas afectadas.
No toda incidencia requiere notificación, pero todas deben poder evaluarse y documentarse.
Elaboramos o revisamos el registro de actividades de tratamiento y realizamos un análisis de riesgos adaptado a la organización. La AEPD explica que las medidas deben partir de la identificación y evaluación de los riesgos para los derechos y libertades de las personas.
No utilizamos una plantilla idéntica para todos. Una consulta individual, un gabinete con varios profesionales y un centro sanitario con múltiples sedes tienen tratamientos y riesgos diferentes.
La evaluación de impacto relativa a la protección de datos, o EIPD, es obligatoria cuando sea probable que el tratamiento entrañe un alto riesgo. Deben valorarse el volumen de pacientes, la escala, las tecnologías utilizadas, la combinación de datos, la observación sistemática, los colectivos vulnerables y otros criterios.
La AEPD dispone de listas y criterios para determinar cuándo es necesaria una EIPD. Tratar datos de salud no significa automáticamente que toda consulta individual deba realizar una EIPD, pero sí exige efectuar y documentar esa valoración.
La mejor configuración técnica puede quedar anulada por una contraseña compartida, un enlace enviado a la persona equivocada o una sesión realizada en un espacio sin privacidad.
Por eso incluimos instrucciones para profesionales y administradores: creación de salas, identificación de participantes, uso de contraseñas, permisos de cámara y micrófono, finalización de sesiones, comunicación de incidencias y atención a pacientes con dificultades técnicas.
Nuestro informe no se limita a afirmar que “se utiliza Jitsi”. Recoge el sistema analizado, las decisiones tomadas y las evidencias disponibles. Su alcance se adapta a cada proyecto, pero puede incluir:
El resultado es un documento útil para la dirección, los profesionales, el personal técnico y, cuando exista, el delegado de protección de datos. También permite demostrar que la organización ha abordado la seguridad y la privacidad de forma consciente y documentada.
Es importante ser transparentes: ningún proveedor tecnológico puede garantizar por sí solo el cumplimiento permanente de una organización. El RGPD exige una responsabilidad continua. Cambian los profesionales, las aplicaciones, los proveedores, los tratamientos y los riesgos.
Nuestro informe técnico y de adecuación documenta el estado analizado, las medidas implantadas y las recomendaciones. Cuando una cuestión requiere interpretación jurídica especializada, coordinación con el delegado de protección de datos o decisiones clínicas, lo indicamos expresamente y colaboramos con los profesionales correspondientes.
Esta transparencia también forma parte de nuestro compromiso ético.
La forma correcta de implantar una consulta online no consiste en instalar primero y revisar después. La privacidad debe incorporarse desde el inicio:
Este enfoque reduce riesgos, evita correcciones costosas y facilita que el sistema sea comprensible para los profesionales.
Jitsi es una herramienta que puede formar parte de una solución conforme, pero el cumplimiento depende del alojamiento, la configuración, los proveedores, los contratos, los procedimientos y el uso. No existe una respuesta responsable basada únicamente en el nombre del programa.
Una instalación propia ofrece más control sobre la configuración, los usuarios, los registros y la ubicación de la infraestructura. Sin embargo, también exige administración, actualizaciones, supervisión y documentación. Tener el servidor bajo control no sirve si nadie lo mantiene.
En general, la minimización aconseja no grabarlas salvo que exista una necesidad justificada. Si se graban, deben analizarse específicamente la base jurídica, la información al paciente, el acceso, el almacenamiento, la conservación y la eliminación.
Depende de las características y escala del tratamiento. Siempre debe realizarse un análisis de riesgos y documentarse la valoración sobre la necesidad de una EIPD. Si el tratamiento puede entrañar un alto riesgo, la evaluación será obligatoria.
La LOPDGDD exceptúa de la obligación automática prevista para centros sanitarios a los profesionales de la salud que ejercen individualmente. Una organización con varios profesionales, un centro sanitario o una estructura más compleja debe analizar su situación concreta.
No. Es una medida relevante, pero deben revisarse todos los proveedores y flujos asociados: soporte, correo, agenda, analítica, autenticación, copias y subencargados.
La atención psicológica online necesita herramientas que protejan a las personas y permitan a los profesionales trabajar con confianza. En Induscomp combinamos implantación técnica, análisis de seguridad, documentación y acompañamiento.
Configuramos Jitsi en infraestructura europea, controlamos los accesos, reducimos funciones innecesarias y revisamos el ecosistema completo del centro. Después elaboramos un informe detallado con las medidas implantadas, los riesgos, las evidencias y el plan de mejora.
Lo hacemos desde la misma filosofía con la que gestionamos nuestros servicios: tecnología ética, responsable, sostenible, transparente y respetuosa con los derechos humanos.
Si eres profesional de la psicología, diriges una consulta o gestionas un centro sanitario y quieres ofrecer sesiones online con una infraestructura propia, segura y correctamente documentada, puedes contactar con Induscomp. Estudiaremos tu caso real, no una plantilla genérica.
Solicita una revisión de tu sistema de videoconsulta o pregúntanos por la implantación de Jitsi y nuestro informe completo de seguridad y adecuación.
Durante las últimas horas, Redsys, la principal pasarela de pagos con tarjeta en España (utilizada por la mayoría de bancos
¡Oye usuarios de Elementor Pro! ¡Tenemos una situación seria aquí! Se ha detectado un problema grave en las versiones 3.19.2
Hola a todos, Recientemente, Google ha actualizado sus criterios para evaluar la reputación del correo electrónico. Es fundamental ajustar nuestras
