21 de julio de 2026 · Equipo Ordania

LOPDP para psicólogos: qué exige la ley sobre tus historias clínicas

Cada historia clínica que abres contiene lo que la ley ecuatoriana considera el tipo de dato más protegido que existe: información de salud. Desde 2021 hay una ley que regula cómo debes tratarla, y desde 2023 esa ley tiene sanciones económicas reales. La mayoría de profesionales de práctica privada no la ha leído — y “no sabía” no es una defensa. Esta guía explica, sin tecnicismos, qué te exige la Ley Orgánica de Protección de Datos Personales (LOPDP) sobre los datos de tus pacientes y qué puedes hacer esta semana para estar en regla.

Nota: este artículo es informativo y no sustituye asesoría legal. Para una evaluación de tu caso concreto, consulta con un profesional en protección de datos.

Qué es la LOPDP y por qué te aplica a ti

La Ley Orgánica de Protección de Datos Personales se publicó en el Registro Oficial el 26 de mayo de 2021. Dio dos años de transición y su régimen sancionador entró en vigencia el 26 de mayo de 2023 — desde esa fecha, la autoridad puede imponer multas. La autoridad de control es la Superintendencia de Protección de Datos Personales (SPDP), cuyo superintendente fue posesionado en abril de 2024. Es decir: ya no es una ley “en papel”, ya hay quién y cómo sancionar.

Un error común es pensar que esto es cosa de grandes empresas. La ley aplica a cualquiera que trate datos personales de personas naturales, sin importar el tamaño. Un psicólogo que atiende diez pacientes al mes trata datos personales — y, además, datos sensibles. El tamaño de tu práctica no te exime; solo cambia la escala de las medidas que son razonables para ti.

Por qué la historia clínica es “dato sensible”

La LOPDP distingue entre datos personales comunes (nombre, teléfono) y datos sensibles, una categoría con protección reforzada que incluye expresamente los datos relativos a la salud, y a la salud mental en particular. Todo lo que registras en una historia clínica psicológica — diagnósticos, motivo de consulta, evolución, medicación, antecedentes — es dato sensible.

Eso importa por una razón concreta: el tratamiento de datos sensibles exige, como regla general, el consentimiento expreso del titular (tu paciente), salvo las excepciones que la propia ley establece. No basta un “sí” verbal difuso al inicio de la primera sesión. El consentimiento debe ser informado: el paciente tiene que saber qué datos recoges, para qué, y quién puede acceder a ellos.

Los derechos que tus pacientes pueden ejercer

La ley le da a cada paciente un conjunto de derechos sobre sus propios datos. Como responsable del tratamiento, estás obligado a poder responderlos. Los principales:

• Acceso: saber qué datos suyos tienes y cómo los usas.
• Rectificación: corregir datos inexactos o desactualizados.
• Eliminación: pedir que borres sus datos cuando ya no exista una base legal para conservarlos.
• Oposición: oponerse a ciertos usos de sus datos.
• Portabilidad: recibir sus datos en un formato que pueda llevarse.

En la práctica esto significa que, si un paciente te pide una copia de su historia o que corrijas un dato, no puedes ignorarlo ni demorarlo indefinidamente. Necesitas un canal y un procedimiento — aunque sea simple — para atender estas solicitudes.

Qué te exige la ley, en concreto

Más allá del lenguaje legal, tus obligaciones se traducen en cosas verificables. Las que más pesan para una consulta privada:

Base legal y consentimiento. Debes tener una razón legítima para tratar cada dato y, para los datos sensibles, el consentimiento informado del paciente. Un formulario de admisión con una cláusula clara de privacidad cubre buena parte de esto.

Aviso de privacidad. El paciente debe poder conocer qué haces con sus datos: finalidad, conservación, con quién los compartes. Esto va en tu ficha de admisión y, si tienes página de reservas o web, también ahí.

Control de acceso. Solo quien deba ver una historia clínica puede verla. Si trabajas con una secretaria, un colega o un supervisor, el acceso a la información clínica tiene que estar limitado por función — no todos ven todo.

Seguridad de la información. Debes proteger los datos contra pérdida, robo o acceso no autorizado. Una historia clínica en un cuaderno sin llave, o en un chat de WhatsApp, o en un Excel que se sincroniza con quién sabe cuántos dispositivos, es exactamente lo que la ley busca evitar.

Trazabilidad y conservación. Deberías poder saber quién accedió o modificó una historia, y no conservar datos indefinidamente sin criterio.

Los canales informales son el mayor riesgo

Aquí está el punto que más afecta a la práctica privada real. Coordinar pacientes por WhatsApp personal, enviar resultados o notas por chat, guardar la agenda en un cuaderno y las historias en carpetas de papel o en un Excel compartido: cada uno de esos hábitos es un punto débil frente a la LOPDP.

No hace falta una filtración para tener riesgo. Según la propia autoridad, una organización puede exponerse a sanción simplemente por no tener aviso de privacidad, no atender los derechos del titular, no documentar sus bases legales o no aplicar medidas de seguridad — aunque nunca se pierda un solo dato. El riesgo no es solo el hackeo; es la ausencia de un sistema.

Qué pasa si no cumples

La ley clasifica las infracciones en leves y graves, y para entidades privadas las multas se calculan sobre el volumen de negocio del ejercicio económico anterior: las infracciones leves van del 0,1 % al 0,7 %, y las graves del 0,7 % al 1 %. La SPDP aplica una metodología de cálculo (Resolución SPDP-SPD-2025-0022-R) que considera la gravedad, el número de afectados, la reincidencia y la naturaleza de los datos — y tratar datos de salud pesa como agravante.

Las multas no son automáticas: requieren un procedimiento administrativo. Y más allá del dinero, la autoridad puede ordenar medidas correctivas — detener un tratamiento, eliminar datos, cambiar procesos — que pueden obligarte a rehacer tu forma de trabajar. Para una práctica privada, el daño de confianza con los pacientes puede pesar más que la multa misma.

Cómo cumplir sin frenar tu práctica

Cumplir no exige contratar un departamento legal. Exige orden. Lo mínimo que puedes empezar esta semana:

1. Consentimiento informado por escrito en tu ficha de admisión, con una cláusula de privacidad clara.
2. Un aviso de privacidad que el paciente pueda leer: qué datos recoges, para qué y por cuánto tiempo.
3. Sacar las historias clínicas de los canales informales — nada de datos de salud por WhatsApp personal ni en Excel disperso.
4. Limitar quién accede a la información clínica según su función.
5. Un procedimiento simple para responder si un paciente pide acceso, corrección o eliminación de sus datos.

La mayoría de estos puntos se resuelven de golpe cuando la información deja de estar dispersa. Una historia clínica en un sistema con acceso controlado, respaldo y trazabilidad cumple, por diseño, con buena parte de lo que la ley pide — algo imposible de garantizar en papel o en hojas de cálculo. Sobre qué debe contener esa historia clínica en el caso específico de psicología, revisa nuestra guía de historia clínica electrónica para psicólogos. Y si estás dando de alta tu práctica, el artículo sobre requisitos para abrir tu consulta privada en Ecuador cubre los trámites previos.

Si quieres ver cómo se aplica todo esto a tu caso, conoce el software para psicólogos en Ecuador de Ordania: una plataforma integral —agenda, historia clínica, cobros y panel de control— pensada para que cumplir con la ley sea el estado por defecto de tu práctica, no una tarea extra.

---

Fuentes: Ley Orgánica de Protección de Datos Personales, publicada en el Registro Oficial Suplemento 459 del 26 de mayo de 2021 (finanzaspopulares.gob.ec, consejodecomunicacion.gob.ec); Superintendencia de Protección de Datos Personales — SPDP (spdp.gob.ec); Resolución SPDP-SPD-2025-0022-R sobre metodología de cálculo de multas; análisis de sanciones y obligaciones del sector salud en dpoec.com y orizontel.ec (consultadas en julio de 2026). La información es referencial y no constituye asesoría legal.