Si atiendes a un paciente que vive en otro país por videollamada y algo sale mal con sus datos, la ley que te puede sancionar no es la de tu consulta, es la del sitio donde vive esa persona. No importa lo pequeña que sea tu ciudad ni cuántos kilómetros haya de por medio: el Reglamento Europeo de Protección de Datos se activa por dónde está el paciente, no por dónde está el profesional, y la denuncia nunca la pone un país, la pone una persona.
Por qué el sitio donde vive tu paciente pesa más que el sitio donde tienes la consulta
Porque el Reglamento Europeo de Protección de Datos no protege territorios, protege personas. Si tratas datos de alguien que reside en la Unión Europea, esa norma te alcanza aunque tu consulta esté fuera de la Unión y aunque nunca hayas pisado el país de tu paciente.
A esto se le llama criterio de orientación, y es distinto al criterio de dónde tienes montado tu negocio. Se aplica a cualquier persona que se encuentre en la Unión Europea, no solo a quien tenga su nacionalidad, y da igual si la sesión se cobra o es gratuita.
El artículo 3.2 del Reglamento Europeo lo dice sin rodeos
El texto no deja mucho margen de interpretación. El Reglamento «se aplica al tratamiento de datos personales de interesados que residan en la Unión por parte de un responsable o encargado no establecido en la Unión, cuando las actividades de tratamiento estén relacionadas con la oferta de bienes o servicios a dichos interesados en la Unión, independientemente de si a estos se les requiere su pago», según recoge el análisis del despacho de protección de datos Grupo Adaptalia.
Traducido a una consulta de psicología: ofrecer sesiones online a alguien que vive en Alemania, Francia o Italia ya es «ofrecer un servicio» a esa persona. No hace falta cobrar en euros, tener oficina allí ni anunciarte en ese país. Basta con que la sesión ocurra y que la persona resida en la Unión.
Y si tu paciente vive fuera de Europa, la lógica no desaparece
Europa no es la única que ha construido su protección de datos para que viaje con la persona en vez de quedarse en la frontera. Brasil aprobó su Ley General de Protección de Datos tomando el Reglamento Europeo como modelo directo, con el mismo principio: lo que importa es dónde vive el titular de los datos, no dónde está la empresa o el profesional que los trata.
Esa tendencia crece cada año. Cuantos más países copian ese diseño, menos sentido tiene pensar «como mi consulta está en España, a mí solo me vigila España». Cada paciente de otro país trae, en la práctica, su propia ley pegada a la sesión.
Dónde se cuela el riesgo real, y no es la videollamada
La sesión en sí casi nunca es el problema. El problema llega después, cuando resumes esa sesión, la pegas en un chat de Inteligencia Artificial para que te ayude a redactar el informe y le añades detalles suficientes como para que alguien de la ciudad de tu paciente pudiera reconocerlo.
Ese gesto, hecho con buena intención para ahorrar tiempo, saca el dato de tu control y lo manda al servidor de una empresa sobre la que no tienes ningún poder de decisión. Si el paciente reside en la Unión Europea, esa fuga entra directamente en la categoría más grave del Reglamento: infracciones sobre datos de salud y sobre los principios básicos del tratamiento, sancionables con multas de hasta 20 millones de euros o el 4% de la facturación anual, la cifra que resulte mayor, según recoge el análisis de ILP Abogados sobre el artículo 83 del Reglamento. Es el techo legal, no lo que le va a caer a una consulta pequeña, pero marca en qué liga juega un dato de salud filtrado.
Ya hemos visto qué no se le puede contar nunca a una Inteligencia Artificial sobre un paciente, y esa regla se vuelve más estricta, no menos, cuando quien está al otro lado de la pantalla vive en otro país.
Qué hacer antes de aceptar a un paciente que vive fuera
Preguntar dónde reside, no solo qué idioma habla. Es el primer dato que decide qué ley entra en juego, y casi nadie lo anota en la ficha de acogida.
Explicar en el consentimiento informado, con una frase concreta, qué herramientas usas para gestionar notas e informes y qué no vas a pegar nunca en ellas. No hace falta jerga legal, hace falta que la persona sepa qué pasa con lo que cuenta.
Y sobre todo, separar dos usos que se parecen pero no lo son. La Inteligencia Artificial puede ayudarte con la estructura de un informe, con recordatorios, con la forma de explicar tus servicios. Lo que no puede llevar nunca es el caso con detalles suficientes para identificar a la persona, viva donde viva. Eso, como ya se ha explicado, es un debate que la medicina lleva tiempo teniendo y que a la psicología le ha llegado con la misma fuerza.
Nada de esto va de tenerle miedo a la tecnología. Ya se ha dicho aquí que lo que das en cada sesión sigue siendo insustituible. Va de saber, antes de la primera sesión con alguien de fuera, qué ley te está mirando por encima del hombro.
Si la Inteligencia Artificial te importa de verdad, apúntate a nuestro newsletter gratuito. Solo lo esencial, sin ruido.
