El RGPD lleva años entre nosotros y sigue provocando la misma reacción en las clínicas: una carpeta con documentos que firmó un consultor, y la sensación difusa de que probablemente algo no se esté haciendo bien. Normalmente es cierto, y casi siempre son las mismas tres cosas.
Esta guía no sustituye a un asesor. Sirve para saber qué preguntarle y para arreglar por tu cuenta lo que no necesita a nadie.
Lo primero: qué datos manejas realmente
Una clínica estética maneja datos de categoría especial. No es una interpretación estricta: en cuanto registras antecedentes médicos, alergias, medicación, patologías o fotografías clínicas, estás tratando datos de salud, que tienen protección reforzada.
Eso significa dos cosas prácticas: que no puedes tratarlos «porque el paciente vino», sino que necesitas una base legal clara, y que las medidas de seguridad tienen que estar a la altura. Un Excel compartido en una carpeta de Drive con enlace abierto no lo está.
Los tres fallos que vemos casi siempre
1. El WhatsApp del móvil personal
Es, con diferencia, el más común y el que más cuesta arreglar porque es cómodo y funciona.
El problema no es usar WhatsApp para decir «te esperamos mañana». Es que en esas conversaciones acaban circulando fotos de tratamientos, dudas sobre medicación y datos que son historia clínica. Y viven en el dispositivo personal de alguien, con copia en su nube personal, fuera de tu control.
El día que esa persona deja la clínica, se va con una base de datos de tus pacientes en el bolsillo. No por mala fe: simplemente nadie pensó en ello.
La solución realista no es prohibirlo, porque se seguirá usando. Es separar los canales: un número de la clínica para coordinación, y que todo lo clínico —fotos incluidas— viva en la ficha del paciente y no en un chat.
2. Las fotos
Las fotografías de evolución son datos de salud, y publicarlas exige un consentimiento específico para ese uso. El consentimiento del tratamiento no cubre publicarlas en Instagram.
Tres detalles que casi nadie tiene:
- El consentimiento de publicación tiene que poder revocarse, y tú tienes que poder retirar la imagen de todos los sitios donde esté.
- Las fotos hechas con el móvil llevan metadatos con fecha y ubicación. Si las subes tal cual, publicas más de lo que crees.
- Si las fotos están en el carrete del móvil de la profesional, están fuera de tu control y probablemente sincronizadas con una nube personal.
3. Los accesos que nadie cierra
Recepcionistas que ya no trabajan contigo y siguen con usuario activo. Contraseñas compartidas del tipo «clinica2024» que conoce todo el mundo. Un solo usuario que usan cuatro personas.
Ese último es especialmente malo: si todos entran con el mismo usuario, no puedes saber quién consultó qué historia. Y el registro de accesos es justo lo que te van a pedir si alguna vez hay una consulta indebida.
Qué papeles necesitas tener
| Documento | Para qué sirve |
|---|---|
| Registro de actividades de tratamiento | Qué datos tratas, para qué y cuánto los guardas. Es lo primero que se pide. |
| Contratos con proveedores | Cualquiera que toque datos de tus pacientes: software, gestoría, laboratorio, servicio de destrucción. |
| Cláusulas informativas | En el formulario de alta, en la web y en los formularios de captación. |
| Consentimientos | Separados: el del tratamiento no vale para publicar fotos ni para enviar publicidad. |
| Confidencialidad del personal | Firmado por todo el mundo, incluidas prácticas y sustituciones. |
| Procedimiento ante brechas | Hay plazos muy cortos para notificar. Improvisar ese día sale caro. |
Cuando alguien ejerce sus derechos
Cualquier paciente —y también cualquier persona que solo dejó su teléfono en un formulario— puede pedirte acceso a sus datos, rectificación, supresión u oposición a recibir comunicaciones. Tienes plazos concretos para responder.
La prueba de fuego es sencilla: si mañana alguien te pide todo lo que tienes sobre ella, ¿podrías reunirlo? Historia, citas, fotos, facturas, consentimientos y conversaciones. Si están repartidos entre el software, dos móviles y una carpeta compartida, la respuesta es que no.
Ese ejercicio, hecho en frío una tarde, es el mejor diagnóstico de protección de datos que puedes hacerte.
Cinco preguntas a tu proveedor de software
- ¿Dónde están alojados físicamente los datos?
- ¿Hay contrato de encargado del tratamiento firmado?
- ¿Se cifran los datos y las copias de seguridad?
- ¿Queda registro de quién accede a cada historia?
- Si me voy, ¿puedo exportarlo todo y en qué formato?
La quinta es la más reveladora. Un proveedor que se pone nervioso con la portabilidad te está diciendo algo importante sobre la relación.
Cómo lo abordamos nosotros
ClinicMate se diseñó con datos sanitarios en mente: usuarios individuales con roles y permisos, historia clínica y fotos de evolución dentro de la ficha —no en un chat—, consentimientos firmados asociados al paciente y exportación completa de tus datos cuando quieras, sin condiciones.
En los formularios públicos de captación se guarda además la fecha del consentimiento, la versión del texto aceptado y la IP, que es lo que convierte una casilla en una prueba. Lo contamos con más detalle en cómo montar una campaña de captación.
Y si estás revisando cumplimiento, el otro frente que conviene mirar el mismo día es cómo nombras los tratamientos de cara al público: está en por qué el nombre del tratamiento puede costarte una multa.
Preguntas frecuentes
¿Los datos de una clínica estética son datos de salud?
En la mayoría de los casos sí. Si registras antecedentes, alergias, medicación, patologías o fotografías clínicas, estás tratando datos de salud, que son categoría especial y tienen protección reforzada. No depende de si te consideras centro sanitario: depende del dato.
¿Puedo usar WhatsApp con mis pacientes?
Para coordinar citas, con precaución. El problema aparece cuando por ahí circulan fotos clínicas o información de tratamientos, y cuando esa conversación vive en el móvil personal de alguien del equipo. Ese móvil sale de la clínica cada tarde y un día deja de trabajar contigo.
¿Cuánto tiempo tengo que guardar la historia clínica?
Hay plazos mínimos legales de conservación y varían según la comunidad autónoma. Antes de borrar nada por iniciativa propia, consúltalo: borrar antes de tiempo puede ser peor que conservar de más.
Pruébalo 30 días gratis, sin tarjeta y sin permanencia. La web profesional entra en el precio.
Se ocupa de que lo que promete ClinicMate en materia fiscal y de protección de datos se sostenga delante de un inspector. Antes, ocho años en asesoría fiscal para pymes sanitarias.
