Chatbot de PsicologíaDatos de salud y RGPD: qué significa «categoría especial»
Qué son las categorías especiales de datos
Aviso: esta guía es información general, no sustituye la atención profesional y no es consejo clínico. No estás solo/a. Si necesitas apoyo emocional por ideación suicida, llama al 024. En caso de emergencia contacta con el 112. También puedes acudir a tu médico de familia o centro de salud, o a un psicólogo colegiado.
El Reglamento General de Protección de Datos (RGPD) reserva un trato reforzado a ciertos datos personales por su especial impacto en la vida de las personas. Su artículo 9.1 prohíbe en principio tratar los que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas o afiliación sindical, además de los genéticos, los biométricos dirigidos a identificar de forma unívoca, los datos relativos a la salud y los relativos a la vida u orientación sexual.
Es una prohibición con excepciones: tratarlos es posible solo si concurre alguna de las condiciones del artículo 9.2.
Cuándo una conversación contiene datos de salud
Si describes síntomas, diagnósticos, medicación, ingresos, tu estado de ánimo o tu historial emocional, estás aportando información que puede considerarse dato de salud. No toda frase suelta lo es, y la cualificación concreta de una conversación requiere asesoramiento jurídico, pero el riesgo es real: mucha gente cuenta a un chatbot más de lo que le contaría a un desconocido.
Por eso la prudencia razonable es suponer que lo que escribes puede quedar registrado y tratarse con otros fines. Antes de contar algo íntimo, pregúntate si te sentirías cómodo con que esa información se almacenara, y evita incluir nombres, direcciones o datos identificativos innecesarios. Pregunta qué se guarda, por cuánto tiempo y con quién se comparte, y fíjate en si la respuesta cabe en un párrafo claro o se pierde en términos legales.
El consentimiento explícito
Una de las excepciones es el artículo 9.2.a: la prohibición no se aplica si la persona dio su consentimiento explícito para el tratamiento con uno o más fines especificados, salvo que el Derecho de la Unión o de un Estado miembro establezca que no puede levantarse así.
«Explícito» exige más que aceptar a ciegas unas condiciones largas al instalar algo. Debe ser claro, referido a fines concretos y distinguible de otros consentimientos. Si un servicio te hace aceptar todo de golpe, sin explicar para qué usará lo que le cuentas, no es una buena señal. Puedes negarte, y revisar o retirar el consentimiento cuando quieras. Si te piden aceptar a la vez términos, publicidad y uso de tus conversaciones para entrenar el sistema, tienes motivo para pedir que se separen o para no continuar.
Evaluación de impacto
El RGPD, en su artículo 35, obliga al responsable a realizar una evaluación de impacto antes del tratamiento cuando este entrañe probablemente un alto riesgo para los derechos y libertades de las personas. Se exige en particular en el tratamiento a gran escala de las categorías especiales de datos del artículo 9.1.
Es un ejercicio interno de análisis de riesgos que el responsable debe hacer, y no un documento que te den. Pero puedes preguntar si existe, y la respuesta es reveladora: un servicio que maneja información sensible a gran escala y no sabe qué es una evaluación de impacto no está dando muestras de seriedad con tu privacidad. Cuanto más sensible es la información y mayor la escala, más obligada está una organización a pensar antes en los riesgos que corre quien confía en ella.
Qué debería decirte la política de privacidad
La Agencia Española de Protección de Datos recomienda comprobar que el chatbot ofrezca una política de privacidad que identifique al responsable, informe conforme al RGPD sobre cómo ejercer tus derechos e indique si el sistema sigue aprendiendo de las conversaciones. Esto último es clave: si tus mensajes sirven para entrenar el modelo, quedan en manos de la empresa más allá de la charla.
Busca también quién accede a la información, durante cuánto tiempo se guarda, si se comparte con terceros y si hay transferencias fuera de la Unión. Si la política es confusa, genérica o inexistente, trátalo como un motivo para no compartir información delicada. Guarda una captura de pantalla de la política de privacidad vigente cuando empieces a usar un servicio, porque estos textos cambian y puede ser útil comparar lo que aceptaste.
Tus derechos
El RGPD te reconoce derechos sobre tus datos, entre ellos acceder a ellos, rectificarlos, suprimirlos y oponerte a ciertos tratamientos. Para ejercerlos debes saber a quién dirigirte, y por eso es tan importante que el servicio identifique a su responsable. La Agencia Española de Protección de Datos es el organismo ante el que puedes acudir si no se respetan.
En la práctica, conserva el correo o la fecha en que pediste la información o la supresión, y no te conformes con respuestas vagas. Si la herramienta no ofrece ninguna vía clara para ejercer tus derechos, ese es en sí mismo un dato sobre su fiabilidad. Si la respuesta tarda o no llega, no es obligatorio rendirse: existen vías formales de reclamación, y conocerlas ya es parte de tener derechos reales.
Reglas prácticas para compartir menos
Comparte lo mínimo necesario. Evita nombres propios, centros, fechas exactas y detalles que permitan identificarte a ti o a terceros. No cuentes información de otras personas sin que lo sepan. Usa, si existe, una opción para no guardar historial ni usar tus conversaciones para entrenar.
Y recuerda lo esencial: un chatbot no es una consulta con secreto profesional. Lo que necesitas hablar con confidencialidad profesional debe tratarse con tu médico de familia o un psicólogo colegiado. Si estás en crisis, el 024 es gratuito, confidencial y funciona las 24 horas. Antes de escribir, un truco útil es redactar mentalmente la frase como si la fuese a leer un desconocido; si te incomoda, cámbiala o no la envíes.
Información general, no consejo clínico: esta página no sustituye a un profesional ni valora tu caso. Si estás en crisis o piensas en hacerte daño, llama al 024 (gratuito, 24 h) o al 112 en una emergencia. Para valorar cómo te sientes, acude a tu médico de familia o centro de salud o a un psicólogo colegiado. Las normas cambian: más en Normativa y evidencia.
Preguntas frecuentes
¿Lo que cuento a un chatbot es siempre un dato de salud?
No siempre. Depende del contenido y del contexto. Hablar de síntomas, diagnósticos o estado de ánimo puede serlo, y su cualificación exacta exige asesoramiento jurídico.
¿Qué es el consentimiento explícito?
Es una aceptación clara y específica para fines concretos, más exigente que aceptar condiciones generales. Debes poder negarte y retirarlo, y el servicio tiene que explicar para qué usará los datos.
¿Puedo pedir que borren mis conversaciones?
El RGPD reconoce el derecho de supresión en determinados supuestos. Debes dirigirte al responsable del servicio y, si no responde, puedes acudir a la Agencia Española de Protección de Datos.
Explicaciones relacionadas
- Chatbots, adolescentes y consentimiento: qué dice la norma: A qué edad puede consentir un menor el uso de sus datos en España y qué recomiendan la AEPD y la Comisión Europea sobre chatbots y menores.
- El Reglamento europeo de IA y los chatbots que hablan contigo: Qué exigen el artículo 50 y las prácticas prohibidas del Reglamento (UE) 2024/1689 a un chatbot, y por qué el calendario exige cautela con el Omnibus.
Datos con fuente relacionados
Hechos verificados del tema que se relacionan con esta pieza; cada uno tiene su fuente, su fecha y su cautela.
- RGPD, art. 9.1: quedan prohibidos el tratamiento de datos que revelen origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas o afiliación sindical, y el tratamiento de datos genéticos, biométricos dirigidos a identificar de forma unívoca, datos relativos a la salud o a la vida u orientación sexual, salvo que concurra alguna excepción del art. 9.2. (ver el dato psi-034 · Reglamento (UE) 2016/679 RGPD (texto oficial en español))
- RGPD, art. 9.2.a: la prohibición no se aplica si el interesado dio su consentimiento explícito para el tratamiento de esos datos con uno o más fines especificados, salvo que el Derecho de la Unión o de los Estados miembros establezca que no puede levantarse así. Cautela: Una conversación sobre síntomas o estado de ánimo puede contener datos de salud; la cualificación concreta requiere asesoramiento jurídico. (ver el dato psi-035 · Reglamento (UE) 2016/679 RGPD (texto oficial en español))
- RGPD, art. 35.1 y 35.3.b: cuando un tratamiento entrañe probablemente un alto riesgo para los derechos y libertades, el responsable realizará antes del tratamiento una evaluación de impacto; se requiere en particular en el tratamiento a gran escala de categorías especiales de datos del art. 9.1. (ver el dato psi-036 · Reglamento (UE) 2016/679 RGPD (texto oficial en español))
Fuentes para profundizar
- OMS - WHO releases AI ethics and governance guidance for large multi-modal models
- OMS - Over a billion people living with mental health conditions
- JMIR Mental Health (2026), Generative AI in Youth Mental Health Apps: Rapid Review
- BOE - Ley Orgánica 3/2018 (LOPDGDD)
- Normativa y evidencia de esta web, con su fecha de revisión y su cautela
- Ayuda urgente: recursos de crisis
Más: guías prácticas · situaciones · normativa y evidencia.