Tengo una clínica de fisioterapia y me preocupa que un asistente automático gestione los datos de salud de mis pacientes por WhatsApp: ¿necesito algo especial de protección de datos para no arriesgarme a una sanción?
Sí: los datos de salud son categoría especial del artículo 9 del RGPD, así que necesitas consentimiento explícito de cada paciente y un contrato de encargado de tratamiento con cualquier herramienta que procese esos mensajes. Sin ese contrato, las sanciones pueden llegar hasta 20 millones de euros o el 4% de la facturación anual, lo que sea mayor.
- Los datos de salud son categoría especial según el artículo 9 del RGPD
- El RGPD prevé sanciones de hasta 20 millones de euros o el 4% de la facturación anual
- El contrato de encargado de tratamiento se regula en el artículo 28 del RGPD
- La evaluación de impacto relativa a la protección de datos está prevista en el artículo 35 del RGPD
Por qué la fisioterapia no es como una peluquería
Un centro de estética no sanitaria trata datos de contacto normales: nombre, teléfono, qué servicio pidió. Una clínica de fisioterapia, en cambio, maneja información sobre el estado de salud del paciente —una lumbalgia, una lesión, un diagnóstico— y el RGPD la clasifica como categoría especial en su artículo 9. Eso cambia las obligaciones, no las convierte en imposibles de cumplir.
Qué tienes que tener firmado
Dos piezas son innegociables:
- Consentimiento explícito del paciente para que sus datos de salud se traten por este canal, no un consentimiento genérico de "acepto la política de privacidad" perdido en la letra pequeña.
- Contrato de encargado de tratamiento (artículo 28 RGPD) con cualquier proveedor que procese esos mensajes en tu nombre: el WhatsApp Business API, el asistente automático, el servidor donde se guarda la conversación. Sin ese contrato firmado, tú sigues siendo responsable de cómo se traten esos datos, aunque el fallo sea del proveedor.
Qué mirar antes de contratar una herramienta
No todas las soluciones que "leen WhatsApp" están preparadas para esto. Pide por escrito:
- Que el proveedor te ofrezca el contrato de encargado de tratamiento, no que lo tengas que redactar tú.
- Dónde se almacenan los datos (dentro del Espacio Económico Europeo simplifica mucho las cosas) y durante cuánto tiempo.
- Si cifran los mensajes en tránsito y en reposo.
- Si tienen un registro de actividades de tratamiento que puedas incorporar al tuyo.
El paso que mucha gente se salta
Si el volumen de pacientes es alto y el tratamiento es sistemático, el artículo 35 del RGPD puede obligarte a hacer una evaluación de impacto relativa a la protección de datos (EIPD) antes de poner en marcha el sistema, no después. No es un trámite decorativo: documenta los riesgos y las medidas, y es lo primero que pide la AEPD si hay una inspección o una reclamación.
Lo que no cambia aunque automatices
El paciente conserva sus derechos de acceso, rectificación, supresión y portabilidad sobre esos datos estén donde estén, incluida la conversación de WhatsApp. Tienes que poder localizarlos y borrarlos si te lo piden, lo que significa que el historial del asistente automático no puede ser una caja negra que ni tú mismo puedas auditar.