Volver al Blog
Actualizado el

Consentimiento informado del psicólogo: qué exige la ley

Qué es el consentimiento informado del psicólogo, qué exige la Ley 41/2002 y el RGPD, cómo tratar datos de salud y menores e informar del uso de IA.

Publicado por

Paciente y psicólogo firmando el consentimiento informado en consulta

El consentimiento informado del psicólogo no es un papel para cubrirte las espaldas. Es lo único que separa tu consulta de una sanción de la AEPD y de una reclamación deontológica. Y la mayoría de los que tienes en tu cajón no aguantarían una inspección.

Una psicóloga me escribió hace unas semanas. Ocho años de consulta con un consentimiento de media página descargado de internet. Nunca nadie se lo pidió. Hasta que un paciente reclamó y la inspección preguntó una sola cosa: ¿con qué base jurídica tratas sus datos de salud? No supo responder. El papel no decía nada de eso.

La cosa es que un consentimiento bien hecho responde a dos leyes a la vez, y casi nadie las distingue. Vamos a separarlas.

Qué es el consentimiento informado y por qué te protege a ti

El consentimiento informado es la conformidad libre, voluntaria y consciente de un paciente para que se actúe sobre su salud, prestada después de recibir la información adecuada. Lo define la Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente, en su artículo 8.

Ese artículo dice algo simple: toda actuación en el ámbito de la salud necesita el consentimiento del afectado, una vez que ha valorado las opciones del caso. Sin información previa no hay consentimiento válido. Y la información previa la regula el artículo 4 de la misma ley.

Aquí está lo que nadie te cuenta: el consentimiento no protege al paciente. Protege al profesional. El paciente ya tiene derecho a decidir sobre su salud lo firme o no. El documento existe para que tú puedas demostrar que cumpliste tu deber de informar. La carga de la prueba es tuya, no suya.

El consentimiento informado no es burocracia. Es tu coartada legal. Puedes leer el texto completo en el BOE.

¿Verbal o por escrito? Cuándo firmarlo es obligatorio

El artículo 8.2 de la Ley 41/2002 lo dice claro: el consentimiento será verbal por regla general. Solo exige forma escrita en tres supuestos. Intervención quirúrgica. Procedimientos diagnósticos y terapéuticos invasores. Y procedimientos con riesgos de notoria y previsible repercusión negativa sobre la salud.

La psicoterapia no es una intervención quirúrgica ni un procedimiento invasor. Leído al pie de la letra, la ley no te obliga a poner tu consentimiento por escrito en terapia.

Y aquí viene la trampa. Que la ley no te obligue no significa que te convenga el verbal. Si un paciente reclama dentro de tres años, ¿cómo demuestras qué le explicaste en la primera sesión? No puedes. Un consentimiento verbal no es un consentimiento: es tu palabra contra la suya.

Por eso el escrito no es opcional en la práctica. No porque la salud lo exija, sino porque la prueba lo exige. Firma siempre. Te cuesta una hoja y te ahorra un procedimiento.

Qué debe incluir un consentimiento informado: el checklist

Un modelo de consentimiento informado en psicología que de verdad te proteja tiene que cubrir lo clínico y lo de datos en el mismo documento, o en dos documentos enlazados. Esto es lo mínimo que no puede faltar:

  • Identificación del profesional: nombre completo, número de colegiado, titulación, centro o consulta y datos de contacto.
  • Naturaleza y finalidad de la intervención: enfoque, qué incluye la terapia y qué se espera de ella.
  • Riesgos, molestias razonables y alternativas disponibles.
  • Encuadre: número estimado de sesiones, duración, honorarios y política de cancelación.
  • Límites de la confidencialidad y sus excepciones: riesgo grave para el paciente o terceros, menores en peligro, requerimiento judicial.
  • Tratamiento de datos: responsable, base jurídica, finalidad, plazo de conservación, encargados de tratamiento y derechos del paciente.
  • Usos específicos si los hay: grabaciones (con autorización expresa), supervisión clínica y herramientas de inteligencia artificial (qué hacen, quién procesa los datos y cómo negarse).
  • Derecho a revocar el consentimiento en cualquier momento.
  • Fecha, firma del paciente (o representante legal) y firma del profesional.

Si tu documento actual no menciona la base jurídica del tratamiento de datos ni los encargados, no es un consentimiento completo. Es la mitad de uno.

Datos de salud: consentimiento explícito o asistencia sanitaria

Los datos de salud son categoría especial. El artículo 9.1 del Reglamento (UE) 2016/679 (RGPD) prohíbe tratarlos por defecto. Para levantar esa prohibición necesitas una base del artículo 9.2, y en consulta privada se usan dos: el consentimiento explícito del paciente (artículo 9.2.a) y la asistencia sanitaria prestada por un profesional sujeto a secreto (artículos 9.2.h y 9.3).

Si tu base es el consentimiento, explícito significa más que un «de acuerdo». Tiene que ser una manifestación clara, específica y para fines concretos. Un consentimiento informado válido bajo el RGPD no se presume ni se deduce de un silencio. Se afirma. Lo confirma la propia AEPD.

Cuidado con confundir los dos consentimientos. El consentimiento clínico de la Ley 41/2002 autoriza la intervención. El consentimiento del RGPD autoriza el tratamiento de datos de salud. Son distintos y conviven en el mismo expediente. La Ley Orgánica 3/2018 (LOPDGDD) matiza además que para datos de salud el consentimiento explícito sí sirve como base, salvo finalidades discriminatorias.

La del artículo 9.2.h es la base propia de un psicólogo sanitario, y con ella, recuerda la AEPD, por lo general no hace falta pedir el consentimiento para tratar los datos; sí informar al paciente. Muchas consultas combinan ambas bases: lo importante es saber cuál usas para cada cosa. Si quieres profundizar en cómo se aplica esto a una consulta de psicología, lo desarrollo en RGPD en la consulta psicológica.

Menores de 14 años: quién firma de verdad

Para tratar los datos personales de un menor, el artículo 7 de la LOPDGDD fija la edad en 14 años. Por debajo de 14, el consentimiento lo presta el titular de la patria potestad o tutela. Por encima, el menor puede consentir por sí mismo el tratamiento de sus datos.

Pero ojo, porque hay un segundo umbral que no coincide. Para la decisión sanitaria, la Ley 41/2002 sitúa la mayoría de edad sanitaria en los 16 años. Es decir: con un paciente de 15, él consiente sus datos pero la decisión clínica todavía implica a los representantes legales.

En la práctica, con un menor de 14 firman los padres o tutores. Y aun así debes escuchar al menor y dejar constancia de su opinión según su grado de madurez. Si la patria potestad es compartida, necesitas el consentimiento de ambos progenitores: uno solo no basta para iniciar terapia salvo urgencia.

IA con datos del paciente: informar sí, pedir permiso no siempre

Si eres psicólogo sanitario y usas la inteligencia artificial para documentar —ordenar tus notas, resumirlas o redactar borradores que después revisas— sin grabar al paciente, ninguna norma vinculante, española o europea, te exige pedirle un consentimiento específico. Lo que sí te exige es informarle antes del primer uso y respetar su negativa si no la quiere.

Hasta octubre de 2026 este artículo decía lo contrario: que un uso nuevo pedía un consentimiento nuevo. Lo hemos revisado contra las fuentes primarias, y esto es lo que sostienen.

Qué dice la norma

Documentar con IA no es un tratamiento nuevo. Es la misma historia clínica, con la misma finalidad, escrita con otra herramienta. Su base jurídica es la que ya tienes para la historia: la asistencia sanitaria prestada por un profesional sujeto a secreto (artículos 9.2.h y 9.3 del RGPD). A esa base hay que sumarle una del artículo 6, porque el Tribunal de Justicia de la UE exige las dos (sentencia C-667/21, de 21 de diciembre de 2023): normalmente, el contrato asistencial con el paciente (artículo 6.1.b) o la obligación legal de llevar su historia clínica (artículo 6.1.c).

El proveedor de IA no es un tercero al que le cuentas nada. Es un encargado del tratamiento: trata los datos por tu cuenta y bajo tus instrucciones, con el contrato del artículo 28 del RGPD, y el artículo 4.10 lo excluye expresamente de la definición de «tercero». La LOPDGDD lo remata en su artículo 33.1: el acceso de un encargado a los datos que necesita para prestar el servicio «no se considerará comunicación de datos».

La AEPD lo dice con todas las letras. En su guía para profesionales del sector sanitario: «Generalmente, no es necesario solicitar el consentimiento al paciente para tratar sus datos personales en el ámbito de la atención sanitaria». Y en sus orientaciones sobre IA agéntica, de febrero de 2026: si la IA no implica tratamientos adicionales más allá del original, «no será necesario buscar legitimaciones para su inclusión en el tratamiento».

Lo que sí te piden: informar antes y respetar un no

Que no haga falta consentimiento no te autoriza a callar. El artículo 13 del RGPD te obliga a informar al paciente de los destinatarios de sus datos, y un encargado lo es (artículo 4.9). La misma guía sanitaria de la AEPD, justo después de decir que no hace falta consentimiento, añade que «sí será necesario informarle». Y sus orientaciones sobre IA agéntica piden informar de la identidad de cualquier destinatario nuevo que traiga la IA.

Las autoridades que se han ocupado de la IA en la consulta añaden la segunda pieza: si el paciente no quiere, no se usa. Las orientaciones del Ministerio de Sanidad hablan del «derecho del paciente a rechazar el uso de la IA sin que esto pueda afectar su atención médica». Y la guía del NHS England sobre asistentes de IA que escuchan la consulta va todavía más lejos: ni siquiera para eso pide consentimiento explícito; pide informar al empezar y respetar a quien se niega.

En la práctica: una cláusula por escrito que diga qué hace la IA, quién procesa los datos y dónde, que no se graba nada, y una forma sencilla de decir que no. Antes del primer uso, no después. Y dos papeles que no dependen del paciente: el contrato de encargo de tratamiento con el proveedor y, según el riesgo, una evaluación de impacto (EIPD) antes de empezar.

Cuándo sí necesitas la autorización expresa

Hay tres situaciones en las que toca pedir la autorización expresa del paciente, es decir, su consentimiento explícito del artículo 9.2.a del RGPD:

  • No eres sanitario. El artículo 9.2.h cubre la asistencia sanitaria, y en España la psicología sanitaria la ejercen el Psicólogo General Sanitario (disposición adicional séptima de la Ley 33/2011) y el especialista en Psicología Clínica. Sin esa habilitación, esa base no es la tuya.
  • Quieres la máxima cautela. Pedir la autorización va más allá de lo que exige la norma, y es una opción legítima si prefieres no depender de ninguna interpretación (las verás abajo). El precio: el paciente puede retirarla cuando quiera, y entonces la IA se para.
  • Grabas o transcribes la sesión. Grabar la voz del paciente y transcribir todo lo que dice ya no es documentar lo que tú anotas: es un tratamiento adicional, y la AEPD recuerda que un tratamiento adicional necesita su propia base y, con datos de salud, una excepción que levante la prohibición. En el Reino Unido lo resuelven informando; en España, lo seguro es la autorización expresa y por escrito.

Los riesgos interpretativos, contados sin maquillaje

Lo anterior es lo que dicen las normas que obligan. Pero hay textos que apuntan en otra dirección, y es mejor que los conozcas por aquí que por una reclamación:

  • Las orientaciones del Ministerio de Sanidad. Sus «Orientaciones para profesionales sanitarios en el uso de la IA» (2026) piden informar siempre que la IA trate datos sensibles, dicen que esa información «se puede traducir en un consentimiento informado» y que no informar «constituye una vulneración del consentimiento informado». El propio documento advierte que «únicamente ofrece recomendaciones orientativas». Léelo así: informar es innegociable; el formato, no.
  • El artículo 41 del Código Deontológico vigente. Dice que la información del paciente «sólo puede comunicarse a terceras personas, con expresa autorización previa del interesado». Hay quien lo lee como una exigencia de consentimiento para cualquier proveedor. Pero el artículo 40 ya cuenta con tus «eventuales colaboradores», obligados al mismo secreto, y la LOPDGDD dice que el acceso de un encargado no es una comunicación de datos. Que un encargado con contrato y deber de confidencialidad no sea un «tercero» es una interpretación sólida, pero es una interpretación, no una resolución del Colegio.
  • Colegios y asociaciones de otros países. La American Psychological Association habla de una obligación ética de obtener el consentimiento informado al usar herramientas de IA. Es una buena referencia de práctica, pero el propio documento aclara que no fija estándares obligatorios, y en España no te vincula.

Si alguno de estos textos te pesa más que la norma, la salida es sencilla: elige la autorización expresa. Cubre de sobra todo lo anterior.

Cómo lo resuelve Psicofactu

En Psicofactu la IA documenta: ordena la nota, la resume y redacta borradores que tú revisas. No diagnostica y no graba al paciente. Antes de enviar nada se eliminan su nombre y sus datos de contacto (es seudonimización, no anonimización: siguen siendo datos personales), y el texto se procesa en la Unión Europea, con Azure OpenAI (Microsoft) como subencargado y sin usarse para entrenar modelos.

Si eres sanitario, la IA funciona en modo asistencial. La cláusula informativa va dentro del consentimiento de tratamiento que firma el paciente, con una casilla para negarse: «Prefiero que no se use inteligencia artificial con mis datos». Si la marca, o te lo dice en consulta y lo anotas en su ficha, la IA queda bloqueada con ese paciente en el servidor, no solo en la pantalla, y queda registrado. Solo se reabre si es el paciente quien cambia de opinión. Con un paciente al que todavía no has informado, la IA tampoco se usa: puedes enviarle el documento o dejar constancia de que se lo explicaste en consulta.

Si no eres sanitario, la IA espera a la autorización expresa del paciente, que la da con una casilla aparte; y si lo eres pero prefieres la máxima cautela, eliges ese mismo modo en Ajustes. Sin esa marca, la IA no toca sus datos.

La decisión es tuya, porque el responsable del tratamiento eres tú: Psicofactu es tu encargado, con el contrato de encargo y la evaluación de impacto publicados. Cómo encaja cada pieza con la norma lo explico entero en IA y ley.

Conservación y revocación: cinco años y marcha atrás

El consentimiento no caduca cuando termina la terapia. El artículo 17.1 de la Ley 41/2002 obliga a conservar la documentación clínica un mínimo de cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas amplían ese plazo, así que comprueba el de la tuya.

Y el paciente puede revocar. El artículo 8.5 le reconoce el derecho a retirar libremente su consentimiento por escrito y en cualquier momento, sin dar explicaciones. La revocación opera hacia delante: no borra lo que trataste de forma lícita, pero te obliga a parar el tratamiento futuro.

Documenta la fecha y el alcance de cada revocación. Conservar lo justo y demostrar cuándo te dijeron basta son las dos caras de la misma protección.

No tengo ninguna prueba, pero tampoco ninguna duda: el día que te llegue una reclamación, no te van a pedir tu buena fe. Te van a pedir el papel. Revisa tus consentimientos antes de necesitarlos. Empieza con Psicofactu y ten el consentimiento, el contrato de encargo y el registro de datos en un solo sitio. ¿Cuántos de los tuyos aguantarían la pregunta que esa psicóloga no supo responder?

Preguntas frecuentes sobre el consentimiento informado

¿El consentimiento informado en psicología tiene que ser por escrito?

La Ley 41/2002 exige forma escrita para intervenciones quirúrgicas y procedimientos invasores. La psicoterapia no entra ahí, así que el consentimiento podría ser verbal. Pero la carga de probar que informaste es tuya. Sin firma, no tienes prueba. Por eso, en la práctica, el escrito no es opcional: es tu única defensa ante una reclamación.

¿Quién firma el consentimiento de un menor en psicología?

Depende de qué consientas. Para tratar los datos personales, la LOPDGDD fija los 14 años: por debajo, firma el representante legal. Para la decisión sanitaria, la Ley 41/2002 sitúa el umbral en los 16. Con un menor de 14, firman padres o tutores, pero debes escuchar y dejar constancia de la opinión del menor según su madurez.

¿Puede el paciente revocar el consentimiento informado?

Sí, en cualquier momento y sin justificarlo. El artículo 8.5 de la Ley 41/2002 reconoce el derecho a revocar libremente por escrito. La revocación afecta a partir de ese momento: no anula lo que ya trataste lícitamente, pero te obliga a detener el tratamiento futuro. Documenta la fecha y el alcance de la retirada para protegerte.

¿Necesito un consentimiento específico para usar IA con los datos del paciente?

No, si eres psicólogo sanitario y la usas para documentar sin grabar al paciente. Es la misma historia clínica y tiene la misma base: la asistencia sanitaria (artículos 9.2.h y 9.3 del RGPD) más una del artículo 6, como exige la sentencia C-667/21 del Tribunal de Justicia de la UE. El proveedor es un encargado con contrato, y su acceso «no se considerará comunicación de datos» (artículo 33.1 de la LOPDGDD). Lo obligatorio es informar al paciente antes del primer uso y respetar su negativa. Pide autorización expresa si no eres sanitario, si prefieres la máxima cautela o si grabas la sesión.

¿Qué pasa si trabajo sin consentimiento informado firmado?

Te expones por dos vías. Una reclamación deontológica ante tu Colegio por incumplir el deber de informar, y una sanción de la AEPD por tratar datos de salud sin base jurídica acreditada. Las multas por categorías especiales de datos están en el tramo alto del RGPD. Y sin documento, la palabra del paciente pesa más que la tuya.

Fuentes y referencias