RGPD y WhatsApp en clínicas: cómo comunicarte con pacientes cumpliendo la ley

¿Puede una clínica usar WhatsApp con sus pacientes?

Sí. Ni el RGPD ni la LOPDGDD prohíben usar WhatsApp con pacientes; lo que exigen es hacerlo con una base legal, informando al paciente, con proveedores que ofrezcan garantías y con medidas de seguridad adecuadas. El problema no es el canal, sino cómo se usa.

Esto importa especialmente en clínicas dentales y de estética, porque todo lo que rodea a una cita (el tratamiento, el profesional, a veces el motivo de la visita) puede revelar datos de salud, que el RGPD considera una categoría especial (artículo 9).

Esta guía es informativa y no sustituye el asesoramiento de un profesional en protección de datos.

¿Qué base legal permite escribir a un paciente por WhatsApp?

Para gestionar las citas, la base legal es la propia prestación de la asistencia sanitaria que el paciente ha solicitado: el artículo 9.2.h del RGPD permite tratar datos de salud para fines de diagnóstico y prestación de asistencia, bajo secreto profesional. Recordar, confirmar o cambiar una cita forma parte de esa asistencia.

Aun así, que la base legal exista no exime de informar al paciente. Lo recomendable es indicarle, en la ficha de primera visita o en el formulario de alta, que la clínica utilizará WhatsApp para comunicarse con él sobre sus citas, y recoger su número con esa finalidad.

Las promociones y comunicaciones comerciales son otra cosa: se rigen por la LSSI (artículo 21) y, como regla general, requieren consentimiento previo del paciente, separado del que cubre la gestión de las citas, y una forma sencilla de darse de baja.

¿Qué debe saber el paciente antes de recibir mensajes?

El artículo 13 del RGPD obliga a informar, como mínimo, de:

• Quién es el responsable del tratamiento (la clínica) y cómo contactar con él.
• Para qué se usará su número: gestión de citas, recordatorios, respuestas a sus consultas.
• Quién más interviene: los proveedores que procesan los mensajes (por ejemplo, la plataforma de WhatsApp y la herramienta de gestión que use la clínica).
• Si hay transferencias internacionales de datos y con qué garantías.
• Cuánto tiempo se conservan las conversaciones.
• Sus derechos: acceso, rectificación, supresión, oposición, limitación y portabilidad, y la posibilidad de reclamar ante la AEPD.

Una cláusula breve en la ficha del paciente y una política de privacidad completa en la web suelen ser suficientes.

¿WhatsApp personal, WhatsApp Business o la API oficial?

No es lo mismo usar el WhatsApp del móvil de la recepcionista que una solución profesional.

La API oficial (a la que se accede a través de proveedores autorizados por Meta) es la opción más sólida: los datos no viven en el móvil de nadie, se puede controlar quién accede a las conversaciones y existen términos específicos de tratamiento de datos para empresas.

¿Qué contratos necesita la clínica con sus proveedores?

Cada proveedor que trate datos de pacientes por cuenta de la clínica es un encargado del tratamiento y, según el artículo 28 del RGPD, necesita un contrato que regule qué puede hacer con esos datos. En un flujo típico de WhatsApp intervienen:

1. Meta, como proveedor de WhatsApp Business.
2. El proveedor de la API (el socio oficial a través del que se conecta el número).
3. La herramienta de gestión que usa la clínica: la agenda, el CRM o el asistente de IA.

Pide a cada uno su acuerdo de tratamiento de datos (DPA), comprueba dónde alojan la información y, si hay transferencias fuera del Espacio Económico Europeo, con qué garantías se hacen (por ejemplo, el Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo).

¿Qué se puede y qué no se debe enviar por WhatsApp?

La regla práctica es el principio de minimización: envía solo lo necesario para gestionar la cita.

Adecuado:

• Recordatorios con día, hora y profesional.
• Confirmaciones, cancelaciones y cambios de cita.
• Indicaciones logísticas: dirección, cómo llegar, «trae tu informe» o «ven en ayunas».
• Respuestas a dudas generales sobre tratamientos y precios.

Mejor evitarlo:

• Diagnósticos, resultados de pruebas, radiografías o informes clínicos.
• Datos de un paciente enviados a otro (cuidado con los reenvíos).
• Grupos de WhatsApp con pacientes: exponen los números de teléfono de todos los participantes.

Si un paciente envía por iniciativa propia una foto o un informe, respóndele con normalidad y, si esa información debe constar en su historia clínica, incorpórala al sistema de la clínica en lugar de dejarla solo en el chat.

¿Cuánto tiempo hay que guardar las conversaciones?

Las conversaciones de gestión de citas deben conservarse solo el tiempo necesario para su finalidad. Si una conversación contiene información que forma parte de la historia clínica, se aplican los plazos de la Ley 41/2002, de autonomía del paciente, que obliga a conservar la documentación clínica al menos cinco años desde el alta de cada proceso asistencial.

Define un plazo, refléjalo en tu política de privacidad y en tu registro de actividades de tratamiento, y aplícalo.

Checklist de RGPD para usar WhatsApp en tu clínica

• Usas WhatsApp Business o, mejor, la API oficial, nunca un WhatsApp personal.
• Informas al paciente de que usarás WhatsApp para sus citas (ficha y política de privacidad).
• Tienes consentimiento separado si envías promociones.
• Has firmado contratos de encargado con todos los proveedores que tratan los mensajes.
• Conoces dónde se alojan los datos y las garantías de las transferencias internacionales.
• Limitas el contenido a la gestión de citas y no envías información clínica.
• Controlas quién del equipo accede a las conversaciones.
• Tienes un plazo de conservación definido.
• Has incluido el tratamiento en tu registro de actividades y, si tu centro está obligado a llevar historias clínicas, cuentas con delegado de protección de datos (artículo 34 de la LOPDGDD).

Cómo lo resuelve Nayla

Nayla se conecta a WhatsApp a través de la API oficial de WhatsApp Business, mediante YCloud, proveedor oficial de Meta, y cada clínica usa su propia cuenta: el número y las conversaciones son de la clínica. Nayla actúa como encargado del tratamiento y está diseñada para gestionar citas (agendar, confirmar, recordar y reprogramar), no para enviar información clínica. Además, la clínica puede descargar copias de seguridad de sus pacientes, citas y conversaciones desde el panel.

Si estás valorando automatizar la atención por WhatsApp, te puede interesar nuestra comparativa entre WhatsApp con IA y recepción telefónica.