Videoconferencia para terapeutas: HIPAA, RGPD y cómo elegir plataforma

La terapia por videollamada crece sin parar: cada vez más personas buscan apoyo psicológico cómodo y accesible. Pero no vale cualquier herramienta. Como terapeuta, tienes que proteger los datos de tus pacientes y cumplir la normativa que te corresponda.

¿Cuál? Depende de dónde trabajes. En Estados Unidos, la referencia es la HIPAA. En España y el resto de la Unión Europea, es el RGPD (Reglamento General de Protección de Datos). Y una plataforma solo cumple la HIPAA si firma un acuerdo concreto (el BAA), cifra los datos y controla quién accede a ellos. Si ejerces en Europa, salta directamente a la sección del RGPD; si atiendes a pacientes en EE. UU., sigue por aquí.

Índice de contenidos

1. Qué es la HIPAA en el contexto de la videoterapia
2. Requisitos para que una plataforma cumpla la HIPAA
3. HIPAA vs RGPD: ¿cuál se te aplica?
4. Plataformas que se promocionan como compatibles con la HIPAA
5. Si ejerces en Europa: qué pide el RGPD
6. Cómo elegir tu plataforma: lista rápida
7. Preguntas frecuentes

Qué es la HIPAA en el contexto de la videoterapia

La HIPAA (Health Insurance Portability and Accountability Act, de 1996) es una ley federal estadounidense que fija estándares para proteger la información sanitaria sensible de los pacientes. Su Regla de Privacidad regula el uso y la divulgación de la información sanitaria protegida (PHI), y su Regla de Seguridad protege esa misma información en formato electrónico.

En telemedicina y salud digital, donde los datos viajan por internet, cumplirla es especialmente importante: incumplirla puede acarrear sanciones civiles y económicas serias. Pero ojo con un matiz que casi nadie aclara: la HIPAA es una norma de Estados Unidos. Se aplica a las entidades sanitarias de EE. UU. y a sus proveedores (aunque estén fuera del país, si manejan datos de un paciente estadounidense). Si tu consulta está en Europa, lo más probable es que no te aplique la HIPAA, sino el RGPD.

Requisitos para que una plataforma cumpla la HIPAA

Una herramienta de videoconferencia cumple la HIPAA cuando reúne a la vez estos tres requisitos:

• Firma de un BAA (Business Associate Agreement). El proveedor del software firma un acuerdo legal por el que asume su parte de responsabilidad sobre los datos de salud. Sin BAA, no hay cumplimiento, por muy segura que sea la herramienta.
• Cifrado de los datos. La información va cifrada tanto en tránsito (mientras viaja por internet) como en reposo (mientras está almacenada).
• Controles de acceso y registros. La plataforma limita quién entra a las sesiones y guarda un registro (audit trail) de quién accede a la información y cuándo.

A estos tres requisitos conviene sumar buenas prácticas: cifrado de extremo a extremo cuando sea posible, permisos por rol y auditorías periódicas.

HIPAA vs RGPD: ¿cuál se te aplica?

Las dos normas protegen datos sensibles, pero no son lo mismo ni se aplican igual. Esta es la diferencia:

Si atiendes a pacientes internacionales, puede que tengas que cumplir las dos. La HIPAA alcanza sobre todo a entidades y proveedores vinculados a EE. UU.; el RGPD se aplica a cualquier organización que trate datos de residentes de la UE, esté donde esté. Para la mayoría de terapeutas que ejercen en España, la pregunta importante no es si la herramienta cumple la HIPAA, sino si cumple el RGPD.

Plataformas que se promocionan como compatibles con la HIPAA

Si trabajas con pacientes en Estados Unidos y necesitas HIPAA, estas son algunas de las plataformas que se presentan como compatibles (verifica siempre el BAA y la configuración con el proveedor):

• Doxy.me: muy usada por terapeutas, funciona desde el navegador sin que el paciente descargue nada; se promociona con BAA, incluso en su versión gratuita.
• Zoom for Healthcare: la versión sanitaria de Zoom, que según el proveedor firma el BAA necesario (el Zoom gratuito estándar no incluye ese acuerdo).
• SimplePractice: se presenta como plataforma de gestión de consulta, con agenda, facturación y vídeo.
• TheraPlatform: software orientado a la teleterapia, con notas clínicas y gestión de citas.
• Google Meet y Microsoft Teams: según Google y Microsoft, pueden ser compatibles con una configuración concreta y un BAA firmado; las cuentas personales gratuitas no lo incluyen.
• GoTo: ofrece, según el proveedor, cifrado, controles de acceso y registros de auditoría orientados al sector sanitario.

Cada una tiene su enfoque: unas son solo para videollamadas y otras integran toda la gestión de la consulta (notas, cobros, citas). Elige según necesites solo vídeo o también administración.

Un aviso importante: que una plataforma cumpla la HIPAA no significa que sirva para el RGPD. La mayoría de estas herramientas son estadounidenses, así que, para un terapeuta europeo, entra en juego la transferencia internacional de datos: las reglas que controlan el envío de datos personales fuera de la UE (la sentencia Schrems II, las cláusulas contractuales tipo y el Data Privacy Framework). Compatible con la HIPAA y adecuada para el RGPD no es lo mismo.

Si ejerces en Europa: qué pide el RGPD

Aquí está el punto que la mayoría de listados en inglés pasa por alto. Si tu consulta está en España o en la UE, tu obligación legal es el RGPD, no la HIPAA. Y los datos de una sesión de terapia no son datos personales cualesquiera: son datos de salud, una categoría especial (artículo 9 del RGPD) con protección reforzada. Esto es lo que deberías tener en cuenta:

• Firma un contrato de encargo del tratamiento (DPA, artículo 28 del RGPD) con la plataforma. Es el equivalente europeo al BAA.
• Usa una base jurídica adecuada para tratar datos de salud (en la práctica clínica suele ser el artículo 9.2.h, no un consentimiento genérico).
• Comprueba dónde se alojan los datos y bajo qué jurisdicción opera el proveedor.
• Ten presente la normativa española: la LOPDGDD (Ley Orgánica 3/2018), el deber de secreto profesional y la Ley 41/2002 sobre la historia clínica. La AEPD (Agencia Española de Protección de Datos) es la autoridad que vigila su cumplimiento.

Para casos concretos, consulta con tu delegado de protección de datos o con un especialista.

Aquí es donde encaja Digital Samba. No se comercializa como solución HIPAA: su enfoque es el cumplimiento europeo. Ofrece una API y un SDK de videoconferencia que embebes en tu web o en tu plataforma de teleterapia, con cifrado y opción de cifrado de extremo a extremo (E2EE). Funciona sobre infraestructura europea y está diseñada para cumplir el RGPD. Puedes ver cómo trata los datos en su página de protección de datos.

Cómo elegir tu plataforma: lista rápida

Antes de decidirte, repasa estos puntos:

• ¿Qué normativa se te aplica? HIPAA si atiendes a pacientes en EE. UU.; RGPD si ejerces en la UE; ambas si atiendes a pacientes internacionales.
• ¿Firma el contrato que te toca? El BAA para la HIPAA; el contrato de encargo del tratamiento (DPA) para el RGPD.
• ¿Cómo cifra los datos? En tránsito y en reposo; mejor si ofrece cifrado de extremo a extremo.
• ¿Dónde se alojan los datos y bajo qué jurisdicción? Determinante para el RGPD.
• ¿Tiene controles de acceso y registros de auditoría?
• ¿Se integra con tu sistema? Agenda, notas clínicas o tu propia web, según cómo trabajes.

Preguntas frecuentes

¿Es Zoom compatible con la HIPAA?

El Zoom gratuito estándar no incluye el BAA necesario, así que no está pensado para datos de salud. Zoom ofrece una versión sanitaria (Zoom for Healthcare) que, según el proveedor, firma ese acuerdo. Sin un BAA firmado, ninguna versión se considera compatible.

¿Qué es un BAA?

El BAA (Business Associate Agreement) es un contrato en el que el proveedor del software asume por escrito su responsabilidad sobre los datos de salud que maneja. Es imprescindible para cumplir la HIPAA: sin BAA firmado, la herramienta no es compatible, aunque sea segura. Su equivalente europeo es el contrato de encargo del tratamiento (DPA) del RGPD.

¿Qué necesito para cumplir el RGPD como terapeuta en España?

Firma un contrato de encargo del tratamiento (DPA) con la plataforma, trata los datos de salud como categoría especial (artículo 9 del RGPD) y elige un proveedor que aloje los datos en la UE. Ten en cuenta, además, la LOPDGDD, el deber de secreto profesional y la Ley 41/2002. Ante la duda, consulta con tu delegado de protección de datos.

¿Necesito cumplir la HIPAA si soy terapeuta en España?

Lo más probable es que no. La HIPAA es una norma estadounidense. Si ejerces en España o en la UE, tu obligación es el RGPD. Solo tendrías que mirar la HIPAA si atiendes a pacientes vinculados a Estados Unidos.

¿Google Meet y Microsoft Teams cumplen la HIPAA?

Según Google y Microsoft, pueden hacerlo, pero no de serie: requieren una configuración concreta por parte de la organización y la firma previa de un BAA. Las cuentas personales gratuitas no lo incluyen.

¿Cuál es la diferencia entre la HIPAA y el RGPD?

La HIPAA es una ley estadounidense que protege la información sanitaria y se aplica a entidades y proveedores vinculados a EE. UU. El RGPD es la norma europea que protege cualquier dato personal y se aplica a quien trate datos de residentes de la UE, esté donde esté. Si atiendes a pacientes a ambos lados del Atlántico, debes cumplir las dos.

¿Hay plataformas gratuitas que cumplan la normativa?

Para la HIPAA, algunas ofrecen BAA en su plan gratuito (Doxy.me se promociona así), pero muchas lo reservan para los planes de pago. Para el RGPD, existen proveedores europeos con plan gratuito. En ambos casos, comprueba el contrato (BAA o DPA) antes de tratar datos de pacientes.

Elige con la ley en la mano

Elegir plataforma para tus sesiones no es solo una cuestión técnica: es proteger a tus pacientes y cumplir la ley. Define primero qué normativa se te aplica (HIPAA, RGPD o ambas), exige el contrato que corresponda y el cifrado, y comprueba dónde se alojan los datos.

Si ejerces en Europa y quieres videollamadas seguras y conformes al RGPD, integradas en tu propia consulta online, habla con el equipo de Digital Samba o echa un vistazo a su solución para telesalud.