Expediente clínico digital para psicólogos en Costa Rica: qué exige la Ley 8968

Pasar el expediente de sus pacientes de un cuaderno o una carpeta a un sistema digital es, casi siempre, una mejora. Pero trae una pregunta legítima: ¿qué le exige la ley costarricense sobre cómo guarda esos datos? Esto es lo que pudimos verificar sobre la Ley 8968 y qué significa para su consultorio.

La Ley 8968 y la PRODHAB, en corto

La Ley N.° 8968, Ley de Protección de la Persona frente al Tratamiento de sus Datos Personales, está vigente en Costa Rica desde 2011. Le da a cada persona el derecho a saber qué datos suyos se guardan, con qué propósito y por cuánto tiempo — el llamado derecho a la autodeterminación informativa. La agencia encargada de vigilar su cumplimiento es la PRODHAB (Agencia de Protección de Datos de los Habitantes), adscrita al Ministerio de Justicia y Paz, que además mantiene el registro de bases de datos del país.

Bajo esta ley, cualquier persona (incluidos sus pacientes) tiene cuatro derechos concretos sobre sus propios datos, conocidos como derechos ARCO: acceso (saber qué se guarda de ella), rectificación (corregir un dato erróneo), cancelación (pedir que se elimine cuando ya no sea necesario) y oposición (negarse a un uso concreto).

Los datos de salud son datos sensibles

La ley costarricense clasifica los datos relacionados con la salud como datos sensibles, con un nivel de protección más alto que un dato común como un correo o un teléfono. El expediente de un paciente de psicología —antecedentes, notas de sesión, diagnóstico, cualquier señal de riesgo— entra directamente en esa categoría. Esto no es un tecnicismo: significa que la forma en que usted almacena esa información importa tanto como el contenido clínico en sí.

Esto importa todavía más ahora que algunos consultorios empiezan a apoyarse en herramientas de inteligencia artificial para tareas del día a día. Antes de pegar una nota de sesión en un asistente genérico, vale la pena leer nuestra guía sobre qué papel puede jugar la IA en su consulta, y qué no.

¿Debo registrar mi consultorio ante la PRODHAB?

Qué debe tener un expediente clínico digital para tomarse en serio esto

• Cifrado en tránsito y en reposo — que los datos viajen y se guarden protegidos, no como texto plano en un archivo compartido.
• Aislamiento por cuenta — que el expediente de un consultorio no sea técnicamente accesible desde otro.
• Copias de seguridad automáticas — para no depender de que alguien recuerde hacer un respaldo.
• Exportación y borrado a solicitud — para poder atender el derecho de acceso o cancelación de un paciente sin fricción.
• Registro de quién accede — especialmente relevante si en su consultorio trabaja más de un profesional.

Esto describe, en buena medida, lo que ya hace un sistema de gestión clínica bien construido — no una hoja de cálculo compartida por correo ni un documento en una carpeta sin cifrar.

Dos piezas que completan este cumplimiento

Un expediente bien guardado es solo una parte. Antes de que exista ese expediente, necesita el consentimiento informado firmado por el paciente; y una vez que exista, tiene un tiempo mínimo durante el cual el Código de Ética del CPPCR le exige conservarlo. Los tres puntos —consentimiento, almacenamiento y conservación— son distintos y conviene tenerlos resueltos juntos, no por separado.