El RGPD lleva en vigor desde 2018 y la LOPDGDD desde 2018 también. Sin embargo, el sector sanitario privado en España es probablemente uno de los que peor lo cumple a nivel de presencia digital. La paradoja es interesante: profesionales que siguen al milímetro el secreto profesional en consulta tienen webs con errores básicos de protección de datos.
Hay un motivo: la web la suele construir un proveedor genérico que aplica una plantilla, y nadie revisa después si lo que esa plantilla pide al paciente cuadra con la sensibilidad real de los datos sanitarios. Vamos a los siete errores más frecuentes.
Error 1 — Política de privacidad copiada de otra web
Es probablemente el más común. Política de privacidad genérica, descargada de un generador, que cita actividades de tratamiento que no se hacen, o que omite las que sí se hacen. La AEPD ha sancionado expresamente este patrón.
Cómo evitarlo: la política tiene que reflejar exactamente quién es el responsable del tratamiento (con razón social, NIF y domicilio reales), qué datos se recogen, con qué finalidad, durante cuánto tiempo y a quién se ceden. Una sola línea genérica del tipo "podremos ceder sus datos a terceros con quienes mantengamos relación" ya es problemática.
Error 2 — Formulario de cita sin doble consentimiento
El formulario que pide nombre, email, teléfono y "motivo de la consulta" debe tener dos casillas separadas y desmarcadas por defecto:
- Una para el tratamiento de los datos para gestionar la cita (consentimiento informativo).
- Otra, completamente distinta, para envío de comunicaciones comerciales o newsletter.
Mezclarlas en una sola casilla, o dejar la casilla pre-marcada, es contrario al artículo 7 del RGPD y a las directrices del CEPD. Es además uno de los errores más fáciles de detectar en una inspección automatizada.
Error 3 — "Motivo de la consulta" como campo de texto libre
Aquí está el error más sutil y, a la vez, el más serio. Cuando un paciente escribe en un formulario web "tengo un bulto en el pecho" o "sospecho que tengo TDAH", ese texto es dato de salud según el artículo 9 RGPD. Y los datos de salud requieren consentimiento explícito reforzado, almacenamiento cifrado y, en muchos casos, evaluación de impacto.
Recomendación práctica: elimina el campo "motivo de consulta" del formulario web. Sustitúyelo por opciones cerradas (especialidad, urgencia sí/no). El motivo concreto se recoge en la primera llamada o en consulta, donde sí se aplica el secreto profesional habitual.
Error 4 — Banner de cookies sin opción de rechazar
El banner que solo da opción de "Aceptar" o "Configurar" — sin botón claro de "Rechazar" igual de visible — es contrario al criterio de la AEPD desde 2022. Y, en sanidad, el riesgo es doble: cualquier cookie de seguimiento publicitario que se cargue antes del consentimiento puede estar transmitiendo a Meta o Google la huella de un paciente que visita la página de un procedimiento sensible.
Solución: banner con tres botones equivalentes (Aceptar, Rechazar, Configurar), bloqueo real de cookies opcionales hasta el consentimiento, y registro auditable de la elección.
Error 5 — Google Analytics sin anonimización ni DPA
Tener Analytics en una web sanitaria sin haber firmado el Data Processing Agreement con Google y sin haber configurado la anonimización de IP es un error frecuente. Tras las sentencias austríacas y francesas de 2022 sobre Google Analytics y transferencias internacionales, el escenario se ha vuelto más complejo todavía.
Alternativas que están ganando terreno: herramientas de analítica europea (Matomo self-hosted, Plausible, Fathom) que no transfieren datos fuera del EEE y no requieren consentimiento granular.
Error 6 — Reseñas y testimonios sin autorización por escrito
Publicar en la web la opinión de un paciente — aunque sea con su consentimiento verbal o sin nombre completo — sin un documento firmado de cesión de imagen y datos es problemático. Y si el testimonio menciona un diagnóstico, una intervención o un tratamiento, estás publicando dato de salud asociado a una persona identificable.
Solución: formulario específico de cesión de testimonio, con consentimiento informado claro, separado del formulario clínico, archivado por escrito, y revocable en cualquier momento.
Error 7 — Plazo de conservación de leads no convertidos sin definir
Los datos de un lead que pidió información y no llegó a ser paciente no pueden conservarse "para siempre por si vuelve". El RGPD exige plazo de conservación definido y proporcional a la finalidad. La práctica razonable en sanidad es mantenerlos entre 6 y 12 meses con anonimización automática después.
Implementación: automatización en el CRM que, pasado el plazo, anonimice (no borre, anonimice) los datos. Eso te permite mantener estadísticas agregadas sin retener identificación personal.
Bonus: tres errores menos visibles pero igual de importantes
Más allá de los siete principales, hay tres detalles que hacen la diferencia entre una web razonable y una web realmente sólida en cumplimiento:
- Aviso legal incompleto. Sin razón social, NIF, número de colegiado y dirección física, la web incumple la LSSI-CE en su artículo 10.
- Cifrado HTTPS sin HSTS. El certificado TLS es lo mínimo. HSTS evita ataques de degradación. En sanidad debería ser estándar.
- Hosting fuera del EEE. Si la web está alojada en EEUU, tienes una transferencia internacional que documentar. Mover a hosting europeo es más simple.
Cuánto puede costar no hacerlo
Las sanciones de la AEPD a profesionales sanitarios privados en los últimos cinco años han ido típicamente de 3.000 € a 50.000 €, dependiendo de la gravedad. Una multa de 5.000 € no es la peor parte: la peor es que la sanción es pública y aparece en los listados de la propia AEPD durante años. Para una clínica privada cuya marca depende de la confianza, ese daño reputacional pesa más que el económico.
Checklist de los próximos 30 días
- Revisa tu política de privacidad. Si fue redactada por un generador genérico, encárgala a un especialista.
- Comprueba que tu formulario de cita tiene casillas separadas y sin pre-marcar.
- Elimina el campo "motivo de consulta" como texto libre.
- Verifica que tu banner de cookies tiene botón de rechazar igual de visible que aceptar.
- Revisa qué herramientas de analítica tienes activas y bajo qué consentimiento.
- Documenta autorizaciones por escrito de los testimonios visibles en web.
- Define plazo de conservación de leads y automatiza la anonimización.
En Vínculo trabajamos cumplimiento normativo desde el primer día — no como anexo legal, sino como parte de la arquitectura. Si quieres una auditoría rápida de tu web actual, hablamos en la primera consulta.