En abril de 2025, la Agencia Española de Protección de Datos (AEPD) cerró un expediente contra el titular de una farmacia que guardaba datos de salud de sus clientes en archivos Excel: en el escritorio de los ordenadores del mostrador, sin copias de seguridad y con una única contraseña que conocía todo el personal. La sanción propuesta era de 16.000 € por tres infracciones, 3.000 de ellos solo por la falta de seguridad. Reconoció su responsabilidad, pagó pronto y la dejó en 9.600 €.
La parte más cara, 10.000 €, fue por usar esos datos de salud sin una base legal que lo permitiera. Pero los 3.000 € de la seguridad no tenían nada que ver con para qué los usaba, sino con cómo los guardaba. Y eso se arregla en diez minutos.
Si llevas a tus pacientes en un Excel, tienes un fichero de datos de salud. Aunque solo haya nombres y teléfonos. Y no pasa nada: empezar así es lo normal cuando tienes cinco pacientes y ningún presupuesto. Lo que sale caro es llevarlo como si fuera la lista de la compra.
Esta guía es para el psicólogo autónomo que lleva, o va a llevar, su registro de pacientes en Excel. Aquí tienes una plantilla gratuita con las columnas justas, lo que no debe entrar nunca en ella y cómo protegerla en diez minutos. Y, para el día que se te quede pequeña, cómo pasarla a un programa sin volver a teclear un solo nombre.
Registro de pacientes en Excel: la plantilla gratuita
Un registro de pacientes en Excel para una consulta de psicología necesita pocas columnas: identificación (nombre, apellidos y fecha de nacimiento), contacto (teléfono y email), los datos que pide una factura completa (DNI y dirección), el estado del paciente y las fechas en que firmó la cláusula de protección de datos y el consentimiento informado. Si atiendes a menores, añade el tutor y el parentesco. Nada más.
Sin registro y sin email. Trae dos hojas: «Pacientes», con desplegables en las columnas que solo admiten unos valores, y «Léeme», con las instrucciones. Esto es lo que lleva cada columna:
| Columna | Para qué la necesitas | ¿La necesitas? |
|---|---|---|
| Nombre y Apellidos | Identificar al paciente sin confusiones | Sí |
| Fecha de nacimiento | Saber si es menor y quién tiene que firmar | Recomendable |
| Teléfono y Email | Cambios de cita, recordatorios, envío de facturas y documentos | Recomendable |
| DNI y Dirección | Solo para la factura completa: bonos, mutuas o quien te la pida | Solo si facturas así |
| Estado | Activo, inactivo o alta (tratamiento terminado). Con el alta empiezan a contar los plazos de conservación | Sí |
| Fecha LOPD y Fecha consentimiento | Poder demostrar qué firmó y cuándo | Muy recomendable: es tu prueba |
| Tipo de ficha, Tutor y Parentesco | Terapia de pareja y menores de edad | Solo si aplica |
El DNI y la dirección no son caprichos de la plantilla: el artículo 6 del Real Decreto 1619/2012 los exige en la factura completa. Si a ese paciente solo le das factura simplificada, déjalos vacíos. Lo explicamos con detalle en qué factura darle a cada paciente.
Un detalle que no es casualidad: los nombres de las columnas son exactamente los que reconoce el importador de Psicofactu. El día que el Excel se te quede corto, lo subes tal cual. Más abajo te cuento cómo.
Lo que nunca debe ir en tu Excel de pacientes
Diagnóstico. Motivo de consulta. Notas de sesión. Resultados de cuestionarios. Medicación. Nada de eso va en el registro.
No es una manía. Es que eso ya no es un registro de pacientes: es historia clínica. Y la historia clínica tiene reglas propias en la Ley 41/2002 de autonomía del paciente: un contenido mínimo, un deber de custodia y un plazo de conservación. Una hoja de cálculo no sabe quién la ha abierto ni qué ha leído, y cualquiera que tenga el archivo puede cambiar una celda sin dejar rastro. La guía de la AEPD para profesionales sanitarios pone como ejemplo de medida justo lo contrario: guardar de cada intento de acceso quién fue, el día y la hora.
La cosa es que cada columna que añades es una columna más que puede filtrarse. El RGPD lo llama minimización (artículo 5.1.c): tratar solo los datos adecuados, pertinentes y limitados a lo necesario. Para dar citas y facturar no necesitas saber por qué viene nadie. Para tratarle sí, y eso va en otro sitio. Si estás montando ese otro sitio, empieza por qué exige la historia clínica digital.
¿Es un dato de salud si solo hay nombres y teléfonos?
Sí, por el contexto. Un nombre y un teléfono, solos, son datos identificativos. Dentro de la lista de pacientes de un psicólogo revelan algo más: que esa persona recibe atención psicológica. El Reglamento (UE) 2016/679 (RGPD) define los datos relativos a la salud en su artículo 4.15 incluyendo la prestación de servicios de atención sanitaria, su considerando 35 añade la información recogida con ocasión de esa asistencia, y la AEPD considera dato de salud saber qué personas reciben asistencia psicológica.
El Tribunal de Justicia de la Unión Europea fue en la misma dirección en octubre de 2024 (asunto C-21/23): el nombre, la dirección y el producto que da un cliente al pedir un medicamento de farmacia por internet son datos de salud, porque permiten deducir algo sobre su estado. Con una lista de pacientes de psicología ni siquiera hace falta deducir.
Y eso tiene consecuencias concretas. Son datos de categoría especial (artículo 9), así que la seguridad tiene que estar a la altura: el artículo 32 cita el cifrado como ejemplo de medida apropiada. Tienes que anotar ese tratamiento en tu registro de actividades (artículo 30), porque la excepción para quien tiene menos de 250 empleados no se aplica cuando hay datos de salud. Y si pierdes el portátil con el Excel dentro, tienes que notificarlo a la AEPD sin dilación y, si es posible, en 72 horas, salvo que sea improbable que suponga un riesgo (artículo 33).
Aquí es donde el cifrado cambia el final de la historia. Si el archivo estaba bien cifrado y la contraseña a salvo, es improbable que la pérdida suponga un riesgo: puede no hacer falta notificarla a la AEPD y, por el artículo 34.3.a, tampoco comunicarla a cada paciente. Lo que no desaparece nunca es documentarla (artículo 33.5). Entre escribir una nota interna y escribir a todos tus pacientes para decirles que su nombre anda suelto hay mucha diferencia.
El tamaño de tu consulta no cambia nada de esto. Lo que cuenta es el tipo de dato. Si quieres el cuadro completo, lo tienes en nuestra guía de RGPD en la consulta de psicología.
Cómo proteger tu registro de pacientes en Excel, en cinco pasos
- Cifra el archivo, no la hoja. En Excel: Archivo > Información > Proteger libro > Cifrar con contraseña. En un .xlsx, Microsoft usa por defecto AES con clave de 256 bits. «Proteger hoja» no cifra nada: la propia Microsoft dice que no está pensada como medida de seguridad. Guarda el archivo como .xlsx, no como el .xls antiguo, que usa un cifrado más débil. Y apunta la contraseña en un gestor de contraseñas: si la olvidas, Microsoft no puede recuperarla.
- Cifra el disco del ordenador. En Mac, FileVault. En Windows, BitLocker en las ediciones Pro, Enterprise o Education, o el «Cifrado de dispositivo» en Windows Home si tu equipo lo admite. Si te roban el portátil apagado o bloqueado, se llevan el aparato, no a tus pacientes.
- No lo mandes por email ni por WhatsApp. Ni a la gestoría: lo que necesita tu gestor son las facturas, no la lista de pacientes.
- Cuidado con la nube personal. Google Sheets no permite poner contraseña a una hoja, y con una cuenta gratuita de Gmail no consta un contrato de encargo del tratamiento, que el artículo 28 del RGPD exige a cualquier proveedor que guarde datos de tus pacientes.
- Haz copia de seguridad cifrada y comprueba que se abre. Una copia que nunca has restaurado es una esperanza, no una copia.
Diez minutos, una vez. Y apunta en tu registro de actividades dónde está el archivo y cómo lo proteges: si un día alguien te lo pregunta, la respuesta ya estará escrita.
No es solo el RGPD. El Código Deontológico del Psicólogo somete a secreto profesional toda la información que recoges en el ejercicio de tu profesión (artículo 40), y saber que alguien es tu paciente ya es esa información. Su artículo 46 pide además que los registros de datos psicológicos se guarden bajo tu responsabilidad personal, en condiciones que impidan el acceso de personas ajenas. Un Excel abierto en el ordenador de una consulta compartida no protege ese secreto, por mucho que nadie lo haya mirado todavía.
Cuándo dejar el Excel (y cómo pasar tus pacientes a un programa)
No hay un número mágico de pacientes. Hay señales. La primera, las facturas: si las haces en el mismo Excel con sumas por trimestre, esa hoja puede acabar siendo un sistema de facturación a efectos de VeriFactu. Lo contamos en facturar en Excel o Word con VeriFactu.
Las otras tres: estás mandando recordatorios a mano, guardas los consentimientos firmados en una carpeta aparte y ya no sabes cuál es la última versión, o va a entrar otra persona a trabajar contigo. A partir de ahí, el Excel ya no te ahorra trabajo. Te lo da.
Si das el salto a Psicofactu, la mudanza de pacientes funciona así:
- Entra en Ajustes > Importar datos y elige «Pacientes».
- Sube tu archivo en XLSX, CSV o Word con una tabla, de hasta 5.000 filas por hoja. Si usas otro programa de hoja de cálculo, guárdalo antes como .xlsx o .csv.
- Revisa el emparejamiento de columnas. Con nuestra plantilla, las trece se reconocen solas; con un Excel propio, eliges a mano las que no reconozca.
- Decide qué hacer con los pacientes que ya existan: saltarlos, actualizarlos o crearlos igualmente.
- Importa. Si algo no te convence, puedes deshacer la importación durante 30 días.
Si vienes de otro programa y no de un Excel, la mudanza tiene dos detalles más (la numeración de las facturas y tu derecho a que te devuelvan los datos), y los tienes en cómo cambiar de software sin perder datos ni numeración.
Preguntas frecuentes sobre el registro de pacientes en Excel
¿Puede un psicólogo llevar el registro de pacientes en Excel?
Sí. Ninguna norma prohíbe usar una hoja de cálculo para el registro administrativo de pacientes. Lo que exige el RGPD es que la seguridad sea adecuada al riesgo (artículo 32), y una lista de pacientes de un psicólogo contiene datos de salud. En la práctica: archivo cifrado con contraseña, disco cifrado, copias de seguridad cifradas y nada clínico dentro del Excel.
¿Tengo que registrar mi Excel de pacientes en la AEPD?
No. La inscripción de ficheros en la Agencia Española de Protección de Datos desapareció con el RGPD en mayo de 2018. Lo que sí tienes que tener es un registro de actividades de tratamiento (artículo 30 del RGPD), un documento interno que describe qué datos tratas, para qué, cuánto tiempo los guardas y cómo los proteges. La lista de pacientes es una de esas actividades.
¿Puedo usar Google Sheets para mi lista de pacientes?
Con cuidado. Google Sheets no permite poner contraseña a una hoja, y su propia ayuda dice que proteger una hoja no sirve como medida de seguridad. Además, con una cuenta gratuita de Gmail no consta un contrato de encargo del tratamiento (artículo 28 del RGPD); los planes de pago de Google Workspace, incluidos los individuales, sí lo incorporan. Si lo usas para pacientes, que sea con un plan que lo incluya y con verificación en dos pasos.
¿Cuánto tiempo tengo que guardar los datos de un paciente que ya no viene?
Si ejerces como psicólogo sanitario, la historia clínica se conserva como mínimo cinco años desde el alta de cada proceso asistencial (artículo 17.1 de la Ley 41/2002); algunas comunidades fijan plazos más largos para ciertos documentos, como Cataluña, que exige 15 años para los consentimientos informados. Las facturas, como mínimo cuatro años, el plazo de prescripción tributaria. Por eso la plantilla tiene la columna Estado: marcar el alta te recuerda que el plazo ya corre. Apunta aparte la fecha del alta.
¿Cómo paso mi Excel de pacientes a un programa de gestión?
En Psicofactu, desde Ajustes, en Importar datos: subes el archivo en XLSX, CSV o Word con una tabla (hasta 5.000 filas por hoja), el asistente empareja las columnas y te enseña el resultado antes de importar. Si usas nuestra plantilla, las trece columnas se reconocen solas. Puedes elegir qué hacer con los duplicados y deshacer la importación durante 30 días.
Empieza con Excel, pero empieza bien
Un Excel de pacientes no es un error. Un Excel de pacientes sin cifrar, con diagnósticos y en el escritorio de un portátil compartido, sí lo es. La diferencia son diez minutos y una plantilla.
Descarga la plantilla, cífrala hoy y, cuando el Excel te pida más de lo que te da, prueba Psicofactu 14 días gratis y súbela tal cual: así es el importador, paso a paso. ¿Cuántas columnas de tu Excel actual sobran?
Fuentes y referencias
- Reglamento (UE) 2016/679 (RGPD): artículos 4.15, 5.1.c, 9, 28, 30, 32, 33 y 34 y considerando 35 — EUR-Lex
- Ley 41/2002, de 14 de noviembre, básica reguladora de la autonomía del paciente: artículos 14, 15 y 17 — BOE
- Real Decreto 1619/2012, de 30 de noviembre, por el que se aprueba el Reglamento de facturación: artículos 6 y 7 — BOE
- AEPD — Resolución del procedimiento sancionador PS/00187/2025 (registro de clientes en Excel, 23 de abril de 2025)
- AEPD — Preguntas frecuentes, FAQ-1618: asistencia psicológica y datos de salud
- AEPD — Guía para profesionales del sector sanitario (revisada en octubre de 2024)
- Tribunal de Justicia de la UE — Sentencia de 4 de octubre de 2024, asunto C-21/23, Lindenapotheke (comunicado de prensa 159/24)
- Consejo General de la Psicología — Código Deontológico del Psicólogo vigente, artículos 40 y 46
- Microsoft — Cryptography and encryption in Office (AES de 256 bits en archivos Open XML)
- Microsoft — Protección y seguridad en Excel
- Google — Proteger contenido en Hojas de cálculo de Google
- Microsoft — Cifrado de dispositivo en Windows
