Aviso previo: este artículo es divulgativo y describe cómo está diseñado nuestro sistema. No es asesoramiento jurídico. Cada clínica tiene su propia realidad y debe validar su cumplimiento con un profesional en protección de datos antes de tomar decisiones.
En una clínica conviven dos mundos de datos que se parecen y no lo son: los que sirven para atender una consulta comercial y los que documentan la salud de un paciente. Confundirlos es el error que convierte una herramienta de captación en un problema.
Por qué los datos de salud son una categoría especial
El Reglamento General de Protección de Datos trata los datos relativos a la salud como una categoría especial, sujeta a una protección reforzada respecto a los datos personales ordinarios. Su tratamiento está sometido a condiciones y garantías más estrictas, y no basta con el consentimiento genérico que sirve para otros fines.
La consecuencia práctica es sencilla de enunciar y difícil de aplicar: un dato de salud no se recoge por si acaso, no viaja por canales pensados para otra cosa y no se almacena donde no toca. Cuanto menos dato clínico circule fuera del entorno preparado para él, menor es la exposición.
Además, en España el tratamiento de datos de salud convive con la normativa de autonomía del paciente y con la publicidad sanitaria, que impone sus propios límites a lo que una clínica puede comunicar. No hablamos aquí de normativa estadounidense: HIPAA no aplica a una clínica que opera en España.
La consulta a las fuentes concretas es imprescindible. Este artículo no cita artículos ni apartados del Reglamento a propósito, porque una cita imprecisa en materia legal es peor que ninguna cita. La referencia buena es el texto oficial y la guía de la autoridad de control.
Dónde está la frontera entre dato comercial y dato clínico
La frontera está en la finalidad y en el contenido. Es dato comercial el que sirve para contactar y organizar una visita: nombre, teléfono, email, canal de entrada, servicio de interés genérico y estado de la gestión. Es dato de salud todo lo que describe el estado, el diagnóstico o el tratamiento de una persona.
El matiz que suele pasarse por alto es que un dato aparentemente inocente puede convertirse en dato de salud según el contexto. En una clínica generalista, saber que alguien pide información no revela nada. En una consulta muy especializada, el simple hecho de figurar como interesado puede revelar una condición.
Por eso la regla que aplicamos en el diseño es de mínimos. En la fase de captación se registra el interés en un servicio en términos generales, y el detalle clínico se recoge en la consulta, en el entorno preparado para ello y por el profesional correspondiente. La conversación previa lleva a la visita, no la sustituye.
Un ejemplo ilustrativo de esa frontera: registrar que un contacto pregunta por una primera visita es gestión comercial. Registrar por qué la pide, con qué síntomas y con qué antecedentes, es historia clínica. Lo primero cabe en un sistema de captación; lo segundo pertenece al programa de gestión clínica de la clínica.
Qué datos maneja un sistema de captación bien diseñado
Un sistema de captación bien diseñado maneja datos de contacto y de proceso comercial, no información clínica. Guarda quién ha escrito, por qué canal, qué pidió en términos generales, cuándo se le respondió, qué cita tiene y en qué punto del proceso está. Nada más.
En concreto, el inventario de lo que se registra queda así:
- Identificación y contacto: nombre, teléfono, email.
- Trazabilidad de origen: canal de entrada y campaña, para saber de dónde vienen los contactos.
- Conversaciones: los mensajes intercambiados por los canales de atención.
- Agenda: fecha y hora de la cita, confirmación, asistencia o ausencia.
- Estado comercial: la etapa del embudo y el motivo de cierre.
Y el inventario de lo que no se pide, que importa igual o más: síntomas, diagnósticos, antecedentes, medicación, informes, radiografías, fotografías clínicas y cualquier documento sanitario. El asistente automático está instruido para no solicitar nada de eso y para retirarse en cuanto la conversación entra en terreno clínico.
Queda un flanco que no se puede evitar por diseño: que sea el propio paciente quien escriba información clínica por iniciativa propia. Ahí lo que se puede controlar es la reacción. La conversación se deriva a una persona, no se comenta el contenido y la clínica decide, según su procedimiento, qué hace con ese mensaje. Conviene tener ese procedimiento escrito antes de que ocurra, no después.
La cadena de responsabilidad: responsable, encargado y subencargados
La clínica es la responsable del tratamiento: decide qué datos se tratan y para qué. El proveedor que le presta el servicio actúa como encargado y trata los datos siguiendo sus instrucciones. Y los proveedores que ese encargado utiliza para prestar el servicio son subencargados.
Esa cadena tiene implicaciones que conviene entender antes de firmar nada. La responsabilidad frente al paciente no se delega: sigue siendo de la clínica. Lo que hace el contrato entre responsable y encargado es fijar por escrito qué puede hacer el proveedor, con qué finalidad, durante cuánto tiempo y con qué medidas de seguridad.
La existencia de subencargados es normal en cualquier servicio en la nube, e incluye la infraestructura donde se aloja el sistema y los canales de comunicación que se integran. Lo relevante no es que existan, sino que estén identificados, que haya contrato con ellos y que el responsable esté informado de los cambios.
Hay un punto que afecta a las clínicas de forma particular: las transferencias internacionales de datos. Si algún proveedor de la cadena trata datos fuera del Espacio Económico Europeo, tiene que existir una base válida para esa transferencia. Es una de las preguntas que debe hacerse antes de contratar, no después.
[PENDIENTE VALIDACION LEGAL] La documentación contractual de Creativ Flow, incluido el contrato de encargado del tratamiento, la relación de subencargados y el régimen de transferencias internacionales, está pendiente de revisión y validación legal. Este artículo no afirma que dicha documentación esté firmada ni describe su contenido. Se actualizará cuando la validación esté cerrada.
Qué preguntar a un proveedor antes de firmar
Las preguntas útiles son las que tienen respuesta documental, no comercial. Un proveedor serio contesta con documentos: contrato, anexos, política de seguridad y lista de subencargados. Uno que responde con tranquilizaciones genéricas y sin papel es, por sí mismo, la respuesta.
- ¿Existe contrato de encargado del tratamiento y puedo verlo antes de firmar? Debe poder facilitarse el documento completo, no un resumen.
- ¿Quiénes son los subencargados y dónde están? Interesa la lista con nombre, función y ubicación del tratamiento.
- ¿Se tratan datos fuera del Espacio Económico Europeo? Si la respuesta es sí, hay que ver con qué garantías.
- ¿Qué datos concretos se almacenan y cuáles no? Conviene pedir el inventario por escrito, como el de la sección anterior.
- ¿Qué ocurre con los datos si termina el contrato? Plazo de devolución, formato de exportación y plazo de supresión.
- ¿Cómo se controla el acceso del personal? Usuarios nominativos, permisos por rol y registro de accesos.
- ¿Cómo se notifica una brecha de seguridad y en qué plazo? El responsable tiene obligaciones de notificación y necesita que el encargado le avise a tiempo.
- ¿Qué apoyo hay si un paciente ejerce sus derechos? Acceso, rectificación, supresión, oposición y portabilidad tienen que poder atenderse.
Estas preguntas sirven igual para un CRM, para un software de gestión de citas o para una herramienta de marketing. Si estás en la fase previa de decidir qué necesitas, te ayudará leer qué es un CRM y en qué momento lo necesita de verdad una pyme y, para las cuestiones de coste, cuánto cuesta un CRM para una pyme en España.
El detalle de qué información no se solicita nunca por chat está en el artículo sobre cuándo el bot de WhatsApp pasa la conversación a una persona, y el inventario funcional completo, en las funciones de Creativ Flow.
Preguntas frecuentes
¿Puede una clínica usar WhatsApp con pacientes?
Puede usarlo para gestión: responder consultas generales, confirmar citas y enviar recordatorios. Lo que no debe hacerse es convertirlo en el canal donde circula información clínica. La historia clínica vive en el programa de gestión de la clínica, no en un canal de mensajería.
¿Es lo mismo un CRM que un programa de gestión clínica?
No, y esa distinción es la clave del artículo. El programa de gestión clínica custodia la historia del paciente. El sistema de captación gestiona el contacto y el proceso comercial previo. Cada uno guarda lo suyo y no se solapan.
¿Qué pasa si un paciente manda una foto de su boca por WhatsApp?
Es el caso que más se repite. La conversación deja de ser automática y pasa a una persona, que actúa según el procedimiento interno de la clínica. Ese procedimiento debe estar escrito de antemano y decidir si el contenido se conserva, se traslada al entorno clínico o se elimina.
¿Hace falta consentimiento para enviar recordatorios de cita?
Un recordatorio de una cita ya concertada y una comunicación comercial no son lo mismo, y su tratamiento tampoco. La base que ampara cada envío debe analizarse con un profesional, porque depende de la relación concreta con el paciente y de cómo se hayan recogido los datos.
¿HIPAA afecta a una clínica española?
No. HIPAA es normativa de Estados Unidos y no resulta de aplicación a una clínica que opera en España. El marco aplicable es el Reglamento General de Protección de Datos junto con la normativa española de protección de datos y la sanitaria.
Aviso final: el contenido anterior es información general con fines divulgativos y no constituye asesoramiento jurídico ni sustituye la revisión de un profesional en protección de datos. Antes de implantar cualquier sistema que trate datos de pacientes, valida tu caso concreto con un especialista.
