RGPD para la web de tu clínica: lo que necesitas sí o sí

La web de una clínica no es un folleto: en cuanto tiene un formulario de contacto, un botón de WhatsApp o unas cookies de analítica, ya está tratando datos personales y te obliga a cumplir el RGPD y la LOPDGDD. Y si además hablas de dolencias, tratamientos o pacientes, entras en el terreno del dato de salud, que la ley protege de forma reforzada. Esta guía repasa, sin tecnicismos, lo que la web de un centro sanitario necesita sí o sí: aviso legal, política de privacidad, cookies conformes y formularios bien montados.

Por qué el dato de salud es especial

El RGPD (Reglamento UE 2016/679) y la LOPDGDD (Ley Orgánica 3/2018) protegen cualquier dato personal, pero los datos de salud reciben una protección reforzada: son una categoría especial de datos (el conocido artículo 9 del RGPD), junto a los relativos a la vida sexual, los datos genéticos o los biométricos. En la práctica, esto significa que su tratamiento está prohibido por defecto y solo es lícito si se cumple una de las condiciones que la propia norma prevé, como el consentimiento explícito del paciente o la finalidad de asistencia sanitaria.

Para una clínica hay una capa más: el deber de secreto profesional, que existe con independencia del RGPD y afecta a todo lo que sabes de tus pacientes. Por eso una web sanitaria se trata con más cuidado que la de un comercio cualquiera: un formulario que pregunta “¿qué le ocurre?” o una reseña que menciona un diagnóstico ya mueven información sensible.

Los tres textos legales que tu web necesita

Casi ninguna web de clínica está completa sin estos tres documentos, y no valen las plantillas genéricas copiadas de otro sector:

• Aviso legal: identifica quién está detrás de la web (titular, datos de contacto, colegiado y número de colegiado cuando proceda). Lo exige la normativa de servicios de la sociedad de la información para cualquier web con actividad, y en sanidad ayuda además a transmitir confianza.
• Política de privacidad: explica qué datos recoges, con qué finalidad, con qué base jurídica, cuánto los conservas, con quién los compartes (por ejemplo, tu software de gestión o tu hosting) y cómo el paciente ejerce sus derechos. Debe estar redactada en lenguaje claro y ser accesible desde cualquier formulario.
• Política de cookies: obligatoria si usas cookies o tecnologías similares que no sean estrictamente necesarias (analítica, píxeles publicitarios, mapas incrustados, vídeos). Debe describir qué cookies usas y para qué, y enlazarse desde el banner de consentimiento.

Formularios: consentimiento y minimización

El formulario de contacto o de “pide cita” es donde más webs incumplen sin saberlo. Dos principios rigen aquí. El primero es la minimización: pide solo lo que necesitas para responder. Un nombre, un teléfono o un correo y un mensaje bastan para devolver una llamada; no necesitas la fecha de nacimiento ni el historial en un primer contacto web.

El segundo es el consentimiento informado. La casilla de aceptación no puede estar premarcada, debe enlazar a tu política de privacidad y conviene que sea granular: una cosa es consentir que le respondas y otra distinta que le mandes comunicaciones comerciales. Si en el formulario el paciente puede acabar describiendo su dolencia, estás recogiendo datos de salud, así que trátalo con el mismo cuidado que la ficha clínica y evita animar a que cuenten detalles sensibles por un canal web.

Cookies y analítica sin sustos

Las cookies que no son estrictamente necesarias (analítica como Google Analytics, píxeles de Meta o Google Ads, mapas o vídeos incrustados) requieren el consentimiento previo del usuario. En la práctica: un banner que permita aceptar, rechazar y configurar con la misma facilidad, sin muros ni casillas premarcadas, y que no cargue esas cookies hasta que el visitante acepte. La AEPD publica una guía sobre cookies que conviene tener como referencia porque marca cómo debe comportarse ese banner.

Un detalle que se pasa por alto: si haces publicidad de pago, esos píxeles dependen del consentimiento de cookies, y eso afecta a la medición de tus campañas. Merece la pena montarlo bien desde el principio, como explicamos en Google Ads y Meta Ads para clínicas.

Encargados del tratamiento: tus proveedores

Tu web y tu clínica no operan solas: el hosting, la herramienta de formularios, el software de citas o el gestor de reseñas acceden a datos de tus pacientes. Cada uno de esos proveedores es un encargado del tratamiento y el RGPD exige un contrato que regule esa relación. Cuando el proveedor está fuera de la Unión Europea, hay que asegurarse de que existen garantías adecuadas para esa transferencia internacional. No es papeleo por gusto: si un proveedor sufre una brecha, la responsabilidad frente a tus pacientes empieza siendo tuya.

Testimonios, reseñas y fotos de pacientes

Publicar la cara, el nombre o el caso de un paciente en tu web es tratar datos personales y, muchas veces, datos de salud. Necesitas su consentimiento explícito y por escrito, específico para esa finalidad, y recordar que puede revocarlo. Un “antes y después” o un testimonio agradecido que revele un diagnóstico entra de lleno en la categoría especial y, además, roza los límites de la publicidad sanitaria: lo aterrizamos en publicidad sanitaria en España. Con las reseñas de Google pasa algo parecido a la hora de responder sin desvelar que alguien es paciente tuyo, y lo tratamos en reseñas de Google para clínicas.

Cumplir el RGPD no va de miedo, va de orden. Con los textos bien redactados, formularios que piden lo justo, un banner de cookies correcto y contratos con tus proveedores, tu web deja de ser un riesgo y pasa a transmitir la seriedad que un paciente espera de un centro sanitario. Es parte de lo que dejamos montado cuando hacemos la web de una clínica.

Preguntas frecuentes

Sigue leyendo: Publicidad sanitaria en España · Reseñas de Google para clínicas · Cómo conseguir más pacientes para tu clínica.