Alojamiento de datos de salud para psicólogos: HDS y RGPD

El sitio web de My International Therapy, su panel para terapeutas y los datos correspondientes están alojados en Amazon Web Services (AWS), en la región Europa (Estocolmo, Suecia). En su página pública, AWS indica que posee la certificación HDS (en francés «hébergeur de données de santé», marco de referencia versión 2) para las seis actividades del marco de referencia, y sitúa Estocolmo entre las regiones cubiertas. La certificación se refiere al proveedor de alojamiento, no a My International Therapy.

Esta página está dirigida a psicólogos, psicoterapeutas y terapeutas que quieren saber cómo se alojan los datos de sus pacientes. HDS es una certificación francesa y no es una obligación en España. La página explica qué es HDS, qué normas cuentan en España en su lugar, qué incluye el alojamiento de My International Therapy y cómo puede usted comprobar un proveedor de alojamiento. Ofrece información general y no sustituye el asesoramiento jurídico.

Qué es la certificación HDS

HDS significa «hébergeur de données de santé», el término francés para un proveedor de alojamiento de datos de salud. El artículo L.1111-8 del Código de Salud Pública francés regula el alojamiento de datos personales de salud recogidos con ocasión de la prevención, el diagnóstico, la atención o el seguimiento social y sociosanitario, cuando se realiza por cuenta de quienes producen esos datos o del paciente. Quien aloja esos datos en soporte digital debe contar con un certificado de conformidad emitido por un organismo certificador acreditado. El marco de referencia vigente, la «versión 2», fue aprobado por la orden de 26 de abril de 2024 y publicado en el Diario Oficial francés el 16 de mayo de 2024. El procedimiento se describe en la web de la Agencia francesa de Salud Digital (ANS).

Las seis actividades del marco de referencia

El marco de referencia distingue seis actividades de alojamiento. Un proveedor de alojamiento está certificado para todas ellas o para una parte:

puesta a disposición y mantenimiento de los emplazamientos físicos;
puesta a disposición y mantenimiento de la infraestructura de hardware;
puesta a disposición y mantenimiento de la infraestructura virtual;
puesta a disposición y mantenimiento de la plataforma de alojamiento de aplicaciones;
administración y explotación del sistema de información que contiene los datos de salud;
copia de seguridad externalizada.

Lo que la certificación no cubre

La certificación se refiere al proveedor de alojamiento y a su ámbito. No certifica un programa informático, una consulta ni a un terapeuta. El operador de una plataforma que se apoya en un proveedor de alojamiento certificado sigue siendo responsable del uso que hace de esa infraestructura, y el terapeuta sigue siendo responsable de los datos de sus pacientes conforme al RGPD. AWS lo recuerda: según su modelo de responsabilidad compartida, cada cliente evalúa sus propias obligaciones.

¿Se exige HDS en España?

HDS es Derecho francés. La normativa española no impone la obligación de elegir un proveedor de alojamiento certificado HDS. Para una consulta en España cuentan el RGPD, la Ley Orgánica 3/2018 (LOPDGDD), el secreto profesional y, en el ámbito sanitario, la Ley 41/2002.

Aun así, el certificado tiene su utilidad: es una prueba verificable públicamente de que un proveedor de alojamiento cumple un marco de referencia exigente para datos de salud. Si atiende a pacientes en Francia o tiene allí su establecimiento, conviene comprobar además si interviene el Derecho francés. Eso pueden aclararlo la ANS, la autoridad francesa de protección de datos (CNIL) o un asesor jurídico. Hasta donde sabemos, ningún organismo oficial ha aclarado expresamente cómo afecta la obligación HDS a psicólogos y psicoterapeutas.

Qué normas cuentan en España

RGPD: datos relativos a la salud (artículos 4 y 9)

Según el artículo 4, punto 15, del RGPD, los datos relativos a la salud son los que se refieren a la salud física o mental de una persona. Una psicoterapia afecta a la salud mental y entra en esa definición. El artículo 9 prohíbe en principio tratar esos datos y lo permite para la asistencia sanitaria o social cuando el tratamiento lo realiza un profesional sujeto a la obligación de secreto profesional (artículo 9, apartado 2, letra h, y apartado 3).

Para su proveedor de alojamiento o su programa de gestión de consulta, eso significa: un contrato de encargado del tratamiento (artículo 28), un registro de las actividades de tratamiento (artículo 30) y medidas de seguridad adecuadas al riesgo (artículo 32).

LOPDGDD: el artículo 9

En España, la Ley Orgánica 3/2018 completa el RGPD. Su artículo 9, apartado 2, indica que los tratamientos de datos de las letras g), h) e i) del artículo 9.2 del RGPD fundados en el Derecho español deben estar amparados en una norma con rango de ley, que puede establecer requisitos adicionales de seguridad y confidencialidad.

Secreto profesional y Ley 41/2002

El secreto profesional del psicólogo no cambia según el proveedor que elija. La Ley 41/2002, básica reguladora de la autonomía del paciente y de los derechos y obligaciones en materia de información y documentación clínica, regula la historia clínica en el ámbito sanitario. Su artículo 14 prevé que la historia clínica se archive cualquiera que sea el soporte, también el informático, y su artículo 17 obliga a los centros sanitarios a conservar la documentación clínica en condiciones que garanticen su seguridad, como mínimo cinco años desde el alta de cada proceso asistencial. Cómo se aplica a su ejercicio concreto, consúltelo con su colegio profesional o con un asesor jurídico.

Dónde se alojan sus datos con My International Therapy

Amazon Web Services, región Europa (Estocolmo)

El sitio web de My International Therapy, el panel de los terapeutas y sus datos están alojados en Amazon Web Services, en la región Europa (Estocolmo), en Suecia, es decir, dentro de la Unión Europea. En su página pública sobre HDS, AWS indica que posee la certificación HDS versión 2 para las seis actividades y sitúa Estocolmo entre las regiones del Espacio Económico Europeo elegibles para las seis. Precisa que las actividades 1, 2 y 6 (emplazamientos físicos, infraestructura de hardware, copia de seguridad externalizada) exigen un almacenamiento exclusivamente dentro de ese espacio. El aviso legal del sitio indica la entidad contratante del proveedor de alojamiento.

Qué incluye el alojamiento

la base de datos y los discos están cifrados en reposo, y la base de datos no es accesible públicamente;
el sitio y el panel se sirven por HTTPS;
se realizan copias de seguridad automáticas cada noche y se conservan siete días;
las acciones de administración de la cuenta de alojamiento se registran;
los terapeutas inician sesión con una contraseña y pueden añadir, de forma opcional, una llave de seguridad (WebAuthn).

Qué hace el panel

El panel reúne el perfil público del terapeuta, la agenda y la disponibilidad, la reserva en línea por parte del paciente, la videoconsulta con un enlace de sesión firmado y sin grabación, una ficha por paciente con notas privadas que el paciente nunca ve, mensajería, pagos y facturas. Los pacientes disponen de su propio espacio para reservar, seguir sus citas y comunicarse con su terapeuta. Para conocer la plataforma, consulte el directorio de terapeutas o únase como terapeuta.

Lo que esta página no dice

La certificación HDS se refiere al proveedor de alojamiento. My International Therapy no se presenta como «certificado HDS».
Algunos servicios complementarios, como la videoconsulta, el pago en línea o el envío de correos de notificación, dependen de otros proveedores. No están cubiertos por la certificación del proveedor de alojamiento y esta página no describe dónde se alojan.
El alojamiento está en Suecia, no en Francia, y AWS pertenece a un grupo estadounidense. Según la página pública de AWS, la versión 2 del marco de referencia refuerza las exigencias de transparencia sobre los subencargados y sobre la posible exposición a legislaciones no europeas.

Cómo comprobar un proveedor de alojamiento

Tanto si elige My International Therapy como otra herramienta, la comprobación lleva unos minutos.

Pida al editor de la herramienta el nombre exacto del proveedor de alojamiento, la entidad que contrata con usted y el lugar donde se almacenan los datos.
Exija un contrato de encargado del tratamiento conforme al artículo 28 del RGPD y pida la lista de subencargados.
Compruebe que el contrato prevé una obligación de confidencialidad para el personal del editor y del proveedor de alojamiento.
Si la herramienta se anuncia como HDS, busque la entidad indicada en la lista pública de proveedores de alojamiento certificados de la ANS. Compruebe la versión del marco de referencia (versión 2.0), las actividades cubiertas y el organismo certificador. Si el nombre de su contrato no figura, pregunte qué entidad del grupo es la certificada.
Una mención como «conforme a HDS» en un programa solo significa algo si el proveedor de alojamiento o el editor figura en la lista de la ANS.

Preguntas frecuentes

¿Qué es la certificación HDS?

Es el certificado de conformidad que en Francia necesita todo proveedor de alojamiento de datos personales de salud recogidos con ocasión de la prevención, el diagnóstico, la atención o el seguimiento social y sociosanitario en soporte digital (artículo L.1111-8 del Código de Salud Pública francés). Lo emite un organismo certificador acreditado con arreglo a un marco de referencia aprobado por orden ministerial.

¿Necesito un proveedor de alojamiento con certificación HDS si ejerzo como psicólogo en España?

HDS es Derecho francés y la normativa española no impone esa obligación. En su consulta cuentan el RGPD, la Ley Orgánica 3/2018, el secreto profesional y, en el ámbito sanitario, la Ley 41/2002. Si atiende a pacientes en Francia o tiene allí su establecimiento, aclare además la situación con la ANS, la CNIL o un asesor jurídico.

¿Qué normas se aplican a los datos de salud en España?

El RGPD, en particular sus artículos 4, 9, 28, 30 y 32, y la Ley Orgánica 3/2018 (LOPDGDD), cuyo artículo 9 exige que ciertos tratamientos de datos de salud se amparen en una norma con rango de ley. La Ley 41/2002 regula la historia clínica en el ámbito sanitario.

¿Dónde están alojados los datos de My International Therapy?

En Amazon Web Services, región Europa (Estocolmo), en Suecia. AWS indica en su página pública que posee la certificación HDS versión 2 para las seis actividades, y Estocolmo figura entre las regiones elegibles.

¿Tiene My International Therapy la certificación HDS?

La certificación HDS se refiere al proveedor de alojamiento, Amazon Web Services, no a My International Therapy. La plataforma utiliza ese alojamiento y no se presenta como certificada HDS.

¿Cómo compruebo un proveedor de alojamiento de datos de salud?

Pida el nombre exacto del proveedor de alojamiento y el lugar de almacenamiento, exija un contrato de encargado del tratamiento conforme al artículo 28 del RGPD y compruebe la obligación de confidencialidad. Si la herramienta se anuncia como HDS, busque al proveedor de alojamiento en la lista pública de la ANS.

¿Sustituye la certificación HDS al RGPD?

No. HDS se refiere al proveedor de alojamiento. El RGPD se aplica además al terapeuta como responsable del tratamiento: la excepción del artículo 9 para la asistencia sanitaria, el contrato de encargado del tratamiento (artículo 28), las medidas de seguridad (artículo 32) y el registro de actividades de tratamiento (artículo 30).

¿Existe una certificación equivalente fuera de Francia?

HDS es una particularidad francesa. En los demás países de la Unión Europea se aplica el RGPD con normas nacionales. En España, esas normas son principalmente la Ley Orgánica 3/2018 y, en el ámbito sanitario, la Ley 41/2002.

Fuentes oficiales

Para terapeutas

¿Es usted terapeuta y quiere saber más sobre la plataforma? Consulte el directorio de terapeutas o únase a My International Therapy.

Alojamiento de datos de salud para psicólogos y terapeutas: HDS, RGPD y normativa en España