Un aviso antes de empezar: soy diseñadora web y trabajo con consultas y centros de salud. Vengo del sector: soy enfermera colegiada y dietista. No soy abogada. Lo que viene son las cosas que veo mal una y otra vez y que conviene que consultes con quien lleve tu protección de datos. Si tu consulta trata datos de salud, esto no es opcional.
Por qué en salud es distinto
El RGPD distingue entre datos normales y categorías especiales. Los datos de salud están en el segundo grupo, junto con los datos genéticos y biométricos.
Traducido: un formulario de contacto de una tienda de ropa y el de una consulta de fisioterapia no pueden ser iguales, aunque los dos pidan nombre y teléfono. En cuanto alguien escribe «me duele la lumbar desde la operación», eso ya es un dato de salud, y a partir de ahí las exigencias suben.
Qué puedes preguntar y qué no
La regla que más ayuda: en la web se pide lo mínimo para poder devolver la llamada. Todo lo demás se recoge en consulta, en tu software sanitario.
Sí
- Nombre
- Teléfono o correo
- Motivo de consulta en una línea, o mejor una lista cerrada de servicios
- Preferencia de horario
No, en un formulario web
- Historial clínico o antecedentes
- Medicación
- Diagnósticos previos
- Informes o pruebas adjuntas
- Cuestionarios de síntomas largos
El error más común
Poner el cuestionario de primera visita entero en la web «para ahorrar tiempo en consulta». Se entiende la intención, pero estás recogiendo historia clínica por un canal que casi nunca está preparado para eso. Ese cuestionario va en tu software de gestión sanitaria, que sí lo está, o se rellena en consulta. La web solo pide la cita.
La casilla de consentimiento
Tiene que cumplir cuatro cosas, y suele fallar en la segunda:
- Sin marcar por defecto. Si viene marcada, no vale.
- Separada del botón de enviar. No sirve un «al enviar aceptas».
- Con enlace a la política de privacidad, que se pueda leer antes.
- Específica. Si además quieres mandarle promociones, eso es otra casilla aparte. Un consentimiento no cubre dos finalidades.
Redacción que funciona: «He leído y acepto la política de privacidad», con el enlace, y debajo, si procede: «Quiero recibir información sobre servicios y novedades», sin marcar.
Los textos que necesitas
| Documento | Para qué | ¿Obligatorio? |
|---|---|---|
| Aviso legal | Quién eres: nombre fiscal, NIF, dirección, colegiado | Sí |
| Política de privacidad | Qué datos recoges, para qué, cuánto los guardas y cómo se ejercen los derechos | Sí |
| Política de cookies + banner | Si usas analítica o cualquier cosa de terceros | Sí, si las usas |
| Condiciones de contratación | Solo si vendes o cobras por la web | Si cobras |
Y una cosa que se olvida siempre: si tu profesión exige colegiación, el número de colegiado va en el aviso legal, y conviene que se vea también en la web.
Dónde acaban esos datos
Esta es la pregunta que casi nadie hace y la que más importa. Cuando alguien rellena tu formulario, ese dato viaja a algún sitio. Necesitas saber a cuál.
- Si llega a tu correo: ese correo pasa a contener datos de salud. Con contraseña fuerte, doble factor y sin reenviarlo a terceros.
- Si lo guarda la plataforma: esa empresa es encargada del tratamiento y necesitas un contrato con ella. Casi todas lo tienen publicado.
- Si va a un servicio fuera de la UE: hay que comprobar las garantías de transferencia internacional.
- Si lo ve alguien más —tu diseñadora web, por ejemplo— eso también debe estar regulado.
Y una que se pasa por alto: cuánto tiempo los guardas. Los mensajes de contacto de hace tres años de gente que nunca vino no deberían seguir en tu bandeja.
Fotos de pacientes y antes y después
En estética y en fisioterapia es donde más se incumple, y con diferencia.
Las reglas, sin rodeos
- Consentimiento escrito y firmado de cada persona, específico para publicar la imagen en internet. Que te lo diga de palabra no vale.
- Específico para ese uso. Un consentimiento para el historial no cubre publicarlo en Instagram.
- Revocable. Si mañana te pide que la quites, la quitas. Y de todos los sitios donde la subiste.
- Anonimizada siempre que se pueda: sin cara, sin tatuajes reconocibles, sin fondo identificable.
Y un detalle que casi nadie tiene en cuenta: una foto de antes y después es también publicidad sanitaria, y ahí hay normativa autonómica además del RGPD. En algunas comunidades hay restricciones específicas para determinados tratamientos.
Cuando monto una web sanitaria estas cosas van resueltas de serie, porque he trabajado los dos lados. Si quieres ver cómo queda, tienes ejemplos en la página de ejemplos.