La terapia por videollamada crece sin parar: cada vez más personas buscan apoyo psicológico cómodo y accesible. Pero no vale cualquier herramienta. Como terapeuta, tienes que proteger los datos de tus pacientes y cumplir la normativa que te corresponda.
¿Cuál? Depende de dónde trabajes. En Estados Unidos, la referencia es la HIPAA. En España y el resto de la Unión Europea, es el RGPD (Reglamento General de Protección de Datos). Y una plataforma solo cumple la HIPAA si firma un acuerdo concreto (el BAA), cifra los datos y controla quién accede a ellos. Si ejerces en Europa, salta directamente a la sección del RGPD; si atiendes a pacientes en EE. UU., sigue por aquí.
Índice de contenidos
La HIPAA (Health Insurance Portability and Accountability Act, de 1996) es una ley federal estadounidense que fija estándares para proteger la información sanitaria sensible de los pacientes. Su Regla de Privacidad regula el uso y la divulgación de la información sanitaria protegida (PHI), y su Regla de Seguridad protege esa misma información en formato electrónico.
En telemedicina y salud digital, donde los datos viajan por internet, cumplirla es especialmente importante: incumplirla puede acarrear sanciones civiles y económicas serias. Pero ojo con un matiz que casi nadie aclara: la HIPAA es una norma de Estados Unidos. Se aplica a las entidades sanitarias de EE. UU. y a sus proveedores (aunque estén fuera del país, si manejan datos de un paciente estadounidense). Si tu consulta está en Europa, lo más probable es que no te aplique la HIPAA, sino el RGPD.
Una herramienta de videoconferencia cumple la HIPAA cuando reúne a la vez estos tres requisitos:
A estos tres requisitos conviene sumar buenas prácticas: cifrado de extremo a extremo cuando sea posible, permisos por rol y auditorías periódicas.
Las dos normas protegen datos sensibles, pero no son lo mismo ni se aplican igual. Esta es la diferencia:
| HIPAA | RGPD | |
|---|---|---|
| Dónde aplica | Estados Unidos | Unión Europea (y a quien trate datos de residentes de la UE) |
| A quién | Entidades sanitarias y sus proveedores (business associates) | Cualquier organización que trate datos personales de residentes de la UE |
| Qué protege | La información sanitaria protegida (PHI) | Cualquier dato personal (los de salud, con protección reforzada) |
| Mecanismo central | La firma de un BAA | El contrato de encargo del tratamiento (DPA) y la base jurídica |
Si atiendes a pacientes internacionales, puede que tengas que cumplir las dos. La HIPAA alcanza sobre todo a entidades y proveedores vinculados a EE. UU.; el RGPD se aplica a cualquier organización que trate datos de residentes de la UE, esté donde esté. Para la mayoría de terapeutas que ejercen en España, la pregunta importante no es si la herramienta cumple la HIPAA, sino si cumple el RGPD.
Si trabajas con pacientes en Estados Unidos y necesitas HIPAA, estas son algunas de las plataformas que se presentan como compatibles (verifica siempre el BAA y la configuración con el proveedor):
Cada una tiene su enfoque: unas son solo para videollamadas y otras integran toda la gestión de la consulta (notas, cobros, citas). Elige según necesites solo vídeo o también administración.
Un aviso importante: que una plataforma cumpla la HIPAA no significa que sirva para el RGPD. La mayoría de estas herramientas son estadounidenses, así que, para un terapeuta europeo, entra en juego la transferencia internacional de datos: las reglas que controlan el envío de datos personales fuera de la UE (la sentencia Schrems II, las cláusulas contractuales tipo y el Data Privacy Framework). Compatible con la HIPAA y adecuada para el RGPD no es lo mismo.
Aquí está el punto que la mayoría de listados en inglés pasa por alto. Si tu consulta está en España o en la UE, tu obligación legal es el RGPD, no la HIPAA. Y los datos de una sesión de terapia no son datos personales cualesquiera: son datos de salud, una categoría especial (artículo 9 del RGPD) con protección reforzada. Esto es lo que deberías tener en cuenta:
Para casos concretos, consulta con tu delegado de protección de datos o con un especialista.
Aquí es donde encaja Digital Samba. No se comercializa como solución HIPAA: su enfoque es el cumplimiento europeo. Ofrece una API y un SDK de videoconferencia que embebes en tu web o en tu plataforma de teleterapia, con cifrado y opción de cifrado de extremo a extremo (E2EE). Funciona sobre infraestructura europea y está diseñada para cumplir el RGPD. Puedes ver cómo trata los datos en su página de protección de datos.
Antes de decidirte, repasa estos puntos:
El Zoom gratuito estándar no incluye el BAA necesario, así que no está pensado para datos de salud. Zoom ofrece una versión sanitaria (Zoom for Healthcare) que, según el proveedor, firma ese acuerdo. Sin un BAA firmado, ninguna versión se considera compatible.
El BAA (Business Associate Agreement) es un contrato en el que el proveedor del software asume por escrito su responsabilidad sobre los datos de salud que maneja. Es imprescindible para cumplir la HIPAA: sin BAA firmado, la herramienta no es compatible, aunque sea segura. Su equivalente europeo es el contrato de encargo del tratamiento (DPA) del RGPD.
Firma un contrato de encargo del tratamiento (DPA) con la plataforma, trata los datos de salud como categoría especial (artículo 9 del RGPD) y elige un proveedor que aloje los datos en la UE. Ten en cuenta, además, la LOPDGDD, el deber de secreto profesional y la Ley 41/2002. Ante la duda, consulta con tu delegado de protección de datos.
Lo más probable es que no. La HIPAA es una norma estadounidense. Si ejerces en España o en la UE, tu obligación es el RGPD. Solo tendrías que mirar la HIPAA si atiendes a pacientes vinculados a Estados Unidos.
Según Google y Microsoft, pueden hacerlo, pero no de serie: requieren una configuración concreta por parte de la organización y la firma previa de un BAA. Las cuentas personales gratuitas no lo incluyen.
La HIPAA es una ley estadounidense que protege la información sanitaria y se aplica a entidades y proveedores vinculados a EE. UU. El RGPD es la norma europea que protege cualquier dato personal y se aplica a quien trate datos de residentes de la UE, esté donde esté. Si atiendes a pacientes a ambos lados del Atlántico, debes cumplir las dos.
Para la HIPAA, algunas ofrecen BAA en su plan gratuito (Doxy.me se promociona así), pero muchas lo reservan para los planes de pago. Para el RGPD, existen proveedores europeos con plan gratuito. En ambos casos, comprueba el contrato (BAA o DPA) antes de tratar datos de pacientes.
Elegir plataforma para tus sesiones no es solo una cuestión técnica: es proteger a tus pacientes y cumplir la ley. Define primero qué normativa se te aplica (HIPAA, RGPD o ambas), exige el contrato que corresponda y el cifrado, y comprueba dónde se alojan los datos.
Si ejerces en Europa y quieres videollamadas seguras y conformes al RGPD, integradas en tu propia consulta online, habla con el equipo de Digital Samba o echa un vistazo a su solución para telesalud.