Protección de datos de los leads de una clínica: consentimiento, bases de datos y anuncios

Los leads de una clínica son datos personales y, a menudo, datos de salud: en cuanto el formulario dice «me interesa un implante», revela algo sobre la salud de la persona. Puedes captar y medir, pero con base legal clara, información transparente, los datos justos, plazos de conservación y nada de información de salud hacia Google o Meta.

Una tarde cualquiera, recepción llama a un lead y la respuesta es: «¿Y vosotros de dónde habéis sacado mi teléfono?». Si la recepcionista no sabe contestar en una frase, tienes un problema de confianza y, posiblemente, uno legal. Aquí tienes las pautas prácticas para formularios, CRM, WhatsApp y anuncios. No es asesoramiento legal: valida tu caso con tu delegado o asesor de protección de datos.

Es parte de la guía de leads de calidad para clínicas.

El marco, en corto

En España se aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales. Las comunicaciones comerciales por medios electrónicos tienen además reglas propias en la Ley 34/2002 de servicios de la sociedad de la información. La Agencia Española de Protección de Datos publica guías específicas para el sector sanitario que conviene leer.

Tres preguntas que recepción tiene que saber contestar

La protección de datos en captación no se juega en la política de privacidad, sino en el teléfono. Estas son las tres preguntas que más oímos, con una respuesta que debería saberse cualquiera que llame a leads:

Si un lead viene de un proveedor externo y recepción no puede contestar a la primera pregunta con fecha y origen, para ahí. Lo vemos más abajo.

Las bases legales que suelen aplicar

El formulario

• Información básica visible junto al botón: quién es el responsable, para qué se usan los datos, cómo ejercer derechos y enlace a la política completa.
• Casilla de aceptación del tratamiento de los datos de salud que facilita (el tratamiento que le interesa), sin premarcar.
• Casilla separada y opcional para recibir comunicaciones comerciales.
• Indicar el canal por el que contactaréis: «Te llamaremos o escribiremos por WhatsApp para darte cita».
• Solo los campos necesarios. Las preguntas de formularios que filtran sirven para cualificar; no pidas datos clínicos detallados.

En los formularios de Meta y Google

Los formularios nativos de las plataformas permiten añadir el enlace a tu política de privacidad y preguntas personalizadas. Aplica lo mismo: información clara, enlace a la política y preguntas que no revelen más información de salud de la necesaria. Meta, además, restringe las preguntas sobre condiciones de salud. Ver calidad de los leads en Meta Ads.

El CRM

• Acceso limitado a quien lo necesita, con usuario propio.
• Contrato de encargado del tratamiento con el proveedor del CRM y de cualquier herramienta que trate los datos.
• Proveedores con garantías, preferiblemente con servidores en la Unión Europea o con las garantías adecuadas para transferencias internacionales.
• Notas clínicas fuera del CRM de marketing. La historia clínica va en el software clínico, no en las notas del lead.
• Plazos de conservación. Define cuánto tiempo guardas un lead que no se hizo paciente (por ejemplo, uno o dos años para seguimiento) y bórralo o anonimízalo después.

WhatsApp

Úsalo para citas, dudas generales y recordatorios. Evita tratar por WhatsApp diagnósticos, resultados de pruebas o detalles de la historia clínica. Si el paciente envía fotos por su cuenta (habitual en capilar o estética), define cómo se tratan, quién las ve y cuándo se borran. Lo ampliamos en WhatsApp para cualificar leads.

Lo que se envía a Google y Meta

Devolver a las plataformas qué leads acabaron en paciente es la A de nuestro Método C.I.T.A., y es lo que más mejora la calidad de las campañas. La medición de conversiones es clave para la calidad de los leads, como explicamos en conversiones offline en Google Ads y API de conversiones de Meta. Para hacerlo con cuidado:

• Solo email y teléfono, cifrados con hash, más estado genérico, fecha y valor.
• Nunca tratamiento, especialidad, diagnóstico ni notas.
• Nombres de eventos genéricos: «Cita presentada», no «Cita implantes».
• Informar en la política de privacidad del uso de datos para medición publicitaria.
• Respetar la elección de cookies del usuario en la web: los píxeles de las plataformas solo se cargan si acepta.

Leads comprados y bases de datos de terceros

Si compras leads a una plataforma, el riesgo de protección de datos también es tuyo. Antes de llamar, debes poder demostrar que la persona aceptó que una clínica como la tuya la contactara, para qué y por qué canal. Pide al proveedor la prueba del consentimiento y el texto informativo que vio el usuario. Lo comentamos en leads baratos frente a leads caros.

Derechos de los pacientes

Ten un procedimiento sencillo para atender peticiones de acceso, rectificación, supresión u oposición. La más frecuente en captación es «no me llaméis más»: se atiende de inmediato, se marca en el CRM y se excluye de cualquier campaña de reactivación.

Cinco descuidos que vemos en recepción y en la agencia

• El Excel de leads que se pasa por email entre la agencia, recepción y el gerente, con nombre, teléfono y tratamiento. Cada copia es un riesgo.
• El móvil personal de la recepcionista con el WhatsApp de los pacientes. Si se va de la clínica, se lleva las conversaciones.
• Usuarios compartidos en el CRM («recepcion@») sin saber quién ha visto o exportado qué.
• Formularios con la casilla comercial premarcada o fundida con la de privacidad.
• Eventos de conversión con nombres como «Lead_Implantes» o «Cita_Botox» enviados a Meta.

Si algo sale mal

Un portátil robado con la base de leads, un envío masivo con todos los emails en copia visible, un acceso indebido al CRM. Son brechas de seguridad, y el RGPD obliga a notificarlas a la autoridad de control en un máximo de 72 horas desde que se conocen, salvo que sea improbable que supongan un riesgo para las personas. Con datos que revelan salud, ese riesgo rara vez es improbable. Ten claro quién decide y quién notifica antes de que pase; la AEPD tiene un formulario y guías para hacerlo. Para el resto de obligaciones de la clínica, más allá de la captación, tienes protección de datos en una clínica.

Checklist rápido

En Henry Cove montamos las campañas, los formularios y la medición pensando en esto desde el principio, y trabajamos con el asesor de la clínica cuando hace falta. Si quieres que revisemos cómo captas hoy, pide una consulta.

Preguntas frecuentes

¿Necesito consentimiento para llamar a un lead?

Si la persona ha pedido que la contactéis para una cita, la base suele ser la aplicación de medidas precontractuales a petición del interesado. Para enviarle comunicaciones comerciales después necesitas su consentimiento, recogido en una casilla separada y no premarcada. Documenta la base que eliges y valídala con tu asesor.

¿Los datos de un lead son datos de salud?

Pueden serlo si incluyen el tratamiento o el motivo de consulta, que revela información de salud. Eso exige más cuidado: consentimiento explícito para esos datos, pedir solo lo necesario, limitar quién accede y no enviarlos nunca a plataformas de anuncios, ni siquiera en el nombre de un evento.

¿Cuánto tiempo puedo guardar un lead que no se hizo paciente?

El necesario para la finalidad informada. Fija un plazo, por ejemplo uno o dos años para seguimiento, infórmalo en tu política de privacidad y bórralo o anonimízalo después. Lo que no vale es guardarlo indefinidamente «por si acaso».