Habeas data para psicólogos: la Ley 1581 aplicada a tu consulta
La Ley 1581 de 2012, la de habeas data, regula cómo cualquier persona u organización en Colombia trata datos personales. Para un psicólogo no es una norma más de fondo: casi todo lo que produce una consulta es dato sensible, la categoría que la ley protege con más fuerza.
Esto es lo que significa en concreto, sin traducirlo a abogado.
Datos sensibles: tu materia prima diaria
El artículo 5 define como sensibles los datos que afectan la intimidad o cuyo uso indebido puede generar discriminación, y nombra expresamente los datos relativos a la salud. En tu consulta eso cubre:
- El diagnóstico y las notas de sesión, obviamente.
- Los resultados de pruebas y escalas.
- El motivo de consulta.
- El dato de que alguien es tu paciente. Sí, la sola relación terapéutica ya es información sensible.
La regla general del artículo 6 es que el tratamiento de datos sensibles está prohibido, con excepciones. La que te habilita a ti es la autorización explícita del titular, y en ciertos casos la protección de un interés vital.
La autorización: cómo se ve bien hecha
Para datos sensibles la ley exige autorización previa, expresa e informada. En la práctica clínica esto se resuelve integrándola al consentimiento informado del inicio del proceso, con estos elementos:
- Qué datos vas a recoger (identificación, contacto, información clínica).
- Para qué (prestación del servicio, historia clínica, recordatorios de cita si aplica).
- Quién es el responsable del tratamiento y cómo contactarlo.
- Que el paciente puede conocer, actualizar y rectificar sus datos.
- Que responder preguntas sobre datos sensibles es facultativo.
Un consentimiento genérico de “autorizo el tratamiento de mis datos” sin finalidades no cumple el estándar. Y la autorización se conserva: es de las primeras cosas que pide la SIC si hay una queja.
Los derechos del paciente sobre sus datos
El titular puede conocer sus datos, pedir corrección, pedir prueba de la autorización y, en principio, pedir supresión. En psicología los tres primeros fluyen normal. El cuarto choca con otra norma.
La historia clínica debe conservarse mínimo 15 años (Resolución 1995 de 1999, modificada por la 839 de 2017). Cuando un paciente pide borrar todo, el deber legal de conservación prevalece sobre el derecho de supresión: así lo reconoce la propia Ley 1581, que excluye la supresión cuando existe un deber legal de permanencia del dato.
La respuesta correcta no es un no seco: es explicar el deber de conservación, suprimir o dejar de usar lo que sí se puede (datos de contacto para fines no clínicos, por ejemplo) y documentar la solicitud y la respuesta.
Seguridad: el principio que más incumple la práctica real
La ley exige medidas técnicas, humanas y administrativas para evitar acceso no autorizado. Contra eso, el inventario típico de un consultorio:
- Historias en Word en un portátil sin cifrar que también usa la familia.
- Notas en Google Docs con la cuenta personal.
- Audios de sesión en el WhatsApp del teléfono.
- Excel de pacientes compartido con la secretaria, con diagnósticos incluidos.
Cada uno de esos es una brecha esperando fecha. El estándar razonable para datos de salud hoy incluye: cifrado de la información clínica, acceso con usuario propio y por rol (la persona que agenda no necesita leer notas), respaldo, y registro de quién accedió a qué.
Chapni nace de tomarse este punto en serio: la historia clínica se cifra con una llave única por paciente, el personal administrativo no ve contenido clínico y cada acceso queda auditado. No es un requisito de la ley usar un software específico; sí lo es poder demostrar que protegiste los datos.
Checklist corto
- ¿Tu consentimiento informado incluye la autorización de datos con finalidades concretas?
- ¿Podrías mostrar la autorización firmada de cualquier paciente activo?
- ¿Tus notas clínicas están cifradas o al menos fuera de cuentas personales?
- ¿Quién más tiene acceso a tus archivos, y lo necesita?
- ¿Tienes una respuesta escrita preparada para una solicitud de supresión?
Esta guía es informativa y no constituye asesoría legal. Para casos concretos consulta a un abogado especializado en protección de datos.
Preguntas frecuentes
¿Los datos de mis pacientes son datos sensibles?
Sí. La Ley 1581 de 2012 clasifica los datos de salud como sensibles, la categoría con mayor protección. Todo lo que registras en una consulta psicológica (diagnósticos, notas, incluso el solo hecho de ser paciente) entra ahí.
¿Necesito autorización del paciente para tratar sus datos?
Sí, explícita y previa. En la práctica se integra al consentimiento informado de inicio del proceso: qué datos recoges, para qué, quién los custodia y qué derechos tiene. Para datos sensibles la autorización debe ser expresa, no tácita.
Un paciente me pidió borrar su historia clínica. ¿Debo hacerlo?
No puedes borrarla: la normativa de historia clínica exige conservarla mínimo 15 años y ese deber legal prevalece sobre el derecho de supresión. Lo que sí procede es dejar de usar sus datos de contacto para fines no clínicos y documentar la solicitud.
¿Debo registrarme en el RNBD de la SIC?
El Registro Nacional de Bases de Datos aplica hoy a sociedades y entidades sin ánimo de lucro con activos superiores a cierto umbral, y a entidades públicas. La mayoría de consultorios de persona natural quedan fuera, pero verifica tu caso: el alcance ha cambiado por decreto más de una vez.