RGPD y WhatsApp: qué puede enviar una clínica estética a sus pacientes

WhatsApp es el canal favorito de los pacientes, y eso hace que muchas clínicas lo usen para todo: confirmar citas, enviar cuidados, felicitar cumpleaños y mandar la promoción del mes. El problema es que no todos esos mensajes tienen la misma base legal, y una clínica maneja además datos de salud, que la normativa protege especialmente.

Esta guía resume qué puedes enviar, qué necesita consentimiento y cómo organizarlo.

Este artículo es informativo y no sustituye el asesoramiento de un profesional en protección de datos. Si tienes dudas sobre un caso concreto, consúltalo con tu delegado de protección de datos o tu asesoría.

Las dos normas que importan

• RGPD (Reglamento General de Protección de Datos) y la LOPDGDD española: regulan cómo tratas los datos personales de tus pacientes. Los datos de salud (qué tratamiento se ha hecho alguien) son una categoría especial y exigen más cuidado.
• LSSI (Ley de Servicios de la Sociedad de la Información): regula las comunicaciones comerciales por medios electrónicos, como email, SMS o WhatsApp.

Mensajes de servicio: relacionados con la cita o el tratamiento

Los mensajes necesarios para prestar el servicio que el paciente ha contratado no son publicidad. Por ejemplo:

• Confirmación de una cita reservada.
• Recordatorio de esa cita.
• Indicaciones previas al tratamiento.
• Cuidados después del tratamiento y preguntas sobre cómo está.
• Aviso de la siguiente sesión de un bono que ha comprado.

Estos mensajes se apoyan en la relación que ya existe con el paciente. Aun así, informa en tu política de privacidad de que usarás WhatsApp para estas comunicaciones y respeta a quien prefiera no recibirlas por ese canal.

Y cuidado con mezclar: un recordatorio de cita que incluye "¡y este mes, 20% en mesoterapia!" ya contiene publicidad.

Mensajes comerciales: necesitan consentimiento

Todo lo que busca vender algo nuevo es comunicación comercial:

• Promociones y descuentos.
• Lanzamiento de tratamientos nuevos.
• Campañas de temporada (verano, Navidad, San Valentín…).
• Mensajes de "te echamos de menos" con una oferta.

Para estos mensajes, la regla general es contar con el consentimiento previo del paciente para recibir comunicaciones comerciales por ese canal. La LSSI prevé una excepción cuando ya existe una relación con el cliente y le ofreces productos o servicios similares a los que contrató, siempre que se le haya dado la opción de oponerse al recoger sus datos y en cada envío. Como la interpretación de "similar" puede dar problemas, lo más seguro es pedir el consentimiento de forma expresa.

Cómo pedir el consentimiento bien

• Por separado. Una casilla específica para recibir comunicaciones comerciales, no incluida en la aceptación de la política de privacidad ni en el consentimiento informado del tratamiento.
• Por canal. Es buena práctica registrar por separado WhatsApp, email y SMS: hay pacientes que aceptan emails pero no quieren promociones en su WhatsApp.
• Sin casillas marcadas por defecto. El consentimiento tiene que ser una acción del paciente.
• Guardando la prueba. Cuándo lo dio, por qué medio y para qué. Si algún día hay una reclamación, tendrás que demostrarlo.

Las bajas: al momento y para siempre

Cualquier paciente puede retirar su consentimiento cuando quiera, y tiene que ser tan fácil como darlo. En la práctica:

• Incluye en tus mensajes comerciales una forma sencilla de darse de baja (por ejemplo, responder "BAJA").
• Aplica la baja al momento en todos tus envíos. El error típico: la baja se apunta en un papel y en la siguiente campaña el paciente vuelve a recibir el mensaje.
• La baja de publicidad no impide seguir enviando los mensajes de servicio (recordatorios, cuidados…).

El problema de las listas de difusión del móvil

Muchas clínicas envían promociones con listas de difusión montadas con todos los contactos del teléfono de recepción. Es la forma más rápida de meterse en problemas:

• No sabes quién dio su consentimiento y quién no.
• Las bajas dependen de que alguien se acuerde de quitar el contacto.
• Los datos de pacientes quedan en un móvil personal o compartido, a veces sin bloqueo.

Si usas WhatsApp para campañas, hazlo desde una herramienta que solo envíe a quien ha dado permiso y que registre las bajas automáticamente. Encontrarás más detalle en WhatsApp Business app o API: qué necesita una clínica estética.

Otros puntos a tener en cuenta

• Datos alojados en la UE. Comprueba dónde guardan los datos de tus pacientes las herramientas que usas y que tengas firmado un contrato de encargado del tratamiento con cada proveedor.
• Fotos de antes y después. Enviarlas o publicarlas requiere un consentimiento específico. No las mandes por WhatsApp a terceros ni las uses en redes sin autorización expresa.
• Mínima información sensible. En los mensajes, evita detalles clínicos innecesarios: el móvil puede verlo otra persona.

En resumen

Separar bien ambos tipos de mensaje, pedir el consentimiento por canal y aplicar las bajas al momento es lo que permite usar WhatsApp con tranquilidad.