Publicar el antes y después de una clínica estética en Instagram, en Facebook o en la web sin el consentimiento específico del paciente es una infracción de protección de datos. La AEPD ya ha multado por ello: 10.000 € a un centro estético por difundir en redes las fotos de una paciente (procedimiento PS/00130/2024) y 5.000 € a otra clínica por subir a Instagram la foto del rostro de una paciente sin poder probar su consentimiento. El motivo es que una foto así no es solo una imagen: para la AEPD es un dato de salud.
En este artículo verás por qué las fotos de antes y después se consideran datos de salud, qué ocurrió en los dos casos sancionados, qué errores exponen a una clínica estética, qué límites añade la publicidad sanitaria, qué se juega el centro con una publicación mal planteada y por qué este asunto no se gestiona a ojo.
Por qué las fotos de antes y después de una clínica estética son datos de salud
En uno de los casos que verás más abajo, la AEPD entendió que la fotografía de una paciente antes y después de un procedimiento facial revela información sobre su estado de salud. Por eso la trató como un dato de salud, una de las categorías especiales del Reglamento General de Protección de Datos, cuyo tratamiento prohíbe con carácter general su artículo 9.1 salvo que se cumpla alguna de las excepciones previstas, entre ellas el consentimiento explícito.
Los casos sancionados trataban de un procedimiento facial y de una cirugía, pero la lógica es la misma para cualquier tratamiento estético cuyo resultado se vea en la imagen: inyectables, láser, bioestimuladores o tratamientos corporales. Si la foto permite relacionar la imagen con una persona, publica que esa persona se ha sometido a un tratamiento.
El consentimiento del tratamiento no cubre la publicación
El paciente firma un consentimiento informado para que la clínica le realice el tratamiento, y es habitual que además se tomen fotografías para su historial. Pero publicar esas fotografías en redes sociales o en la web es otra finalidad distinta, y el RGPD exige que cada finalidad cuente con su propia base legal. En el caso de las multas de 10.000 €, la paciente había autorizado las fotos «con fines médicos, científicos o educativos» y con la condición de que no se revelara su identidad: la publicidad no estaba incluida.
La imagen de la persona también está protegida por ley
Aparte de la protección de datos, la Ley Orgánica 1/1982 sobre el derecho a la propia imagen considera una intromisión ilegítima la utilización de la imagen de una persona con fines publicitarios o comerciales (artículo 7.6). Esa ley solo admite la intromisión cuando hay consentimiento expreso del titular (artículo 2.2). Un antes y después que sirve para vender tratamientos es, precisamente, un uso publicitario.
El caso de la AEPD: 10.000 € por publicar un antes y después en Facebook e Instagram
En septiembre de 2024 se conoció la sanción impuesta al propietario de un centro estético, una clínica privada de cirugía plástica, por publicar en Facebook e Instagram fotografías del antes y después de la intervención de una paciente. La resolución, tramitada como procedimiento PS/00130/2024, fue recogida por Economist & Jurist, Infobae y Salud y Medicina, entre otros medios.
La multa total fue de 10.000 €, repartidos en dos sanciones de 5.000 €: una por infringir el artículo 6.1 del RGPD, al no contar con una base jurídica válida para tratar los datos de la paciente, y otra por infringir el artículo 9, porque las imágenes revelaban datos de salud sobre una intervención quirúrgica.
Lo que decía el consentimiento y lo que no decía
La paciente había autorizado a la doctora a tomar fotografías «con fines médicos, científicos o educativos», con la condición de que su identidad no apareciera en las imágenes. No había autorizado su uso promocional, y las fotos se publicaron sin pixelar. El permiso existía, pero no cubría lo que se hizo con él.
Quién respondió por la publicación
Las fotos las había hecho la doctora y fue ella quien las envió al propietario del centro. La sanción cayó sobre el propietario, que fue quien las difundió. Que las imágenes procedieran de un profesional y no del equipo de marketing no libró a la clínica de la responsabilidad por publicarlas.
Segundo caso: el consentimiento verbal de un antes y después no se puede probar
La AEPD sancionó también a una clínica estética por publicar en Instagram una fotografía del rostro de una paciente, antes y después de un procedimiento facial (expediente EXP202300161, analizado por la consultora Prodat). La clínica sostuvo que contaba con el consentimiento de la paciente, pero no aportó una prueba documental: afirmó que había sido verbal.
La sanción total fue de 5.000 €: 3.000 € por infringir el artículo 9 del RGPD, por tratar datos de salud sin base legal, y 2.000 € por infringir el artículo 6.1, por la falta de una base jurídica legítima para el tratamiento.
Quién tiene que demostrar el consentimiento
El artículo 7.1 del RGPD establece que, cuando el tratamiento se basa en el consentimiento, el responsable debe poder demostrar que el interesado lo dio. La carga de la prueba es de la clínica, no del paciente. Un permiso que solo existe en la memoria de quien lo recibió no sirve ante una reclamación.
Lo que enseñan los dos casos juntos
Son dos fallos distintos con el mismo resultado. En el primero el consentimiento existía, pero estaba limitado a otros fines. En el segundo se afirmaba que existía, pero no se podía demostrar. En los dos, la clínica tenía fotos de pacientes reales que estaban en su poder y que acabó publicando sin la cobertura necesaria.
Errores al publicar el antes y después de una clínica estética que ponen en riesgo al centro
Ningún caso exige mala intención. Estos son los patrones que exponen a una clínica estética cuando publica fotos de antes y después:
- Dar por válido el consentimiento informado del tratamiento. Cubre la intervención y, como mucho, el uso clínico de las fotos. No cubre su difusión pública.
- Reutilizar un consentimiento «para fines médicos, científicos o educativos». Es justo el consentimiento que había en el caso de los 10.000 €. Una finalidad docente no equivale a una finalidad publicitaria.
- Apoyarse en un permiso verbal. Sin constancia, la clínica no puede demostrar nada si el paciente reclama, como ocurrió en el segundo caso.
- Dejar que las fotos pasen del profesional al marketing sin revisar qué autorizó el paciente. Es el recorrido que siguieron las imágenes del primer caso.
- Publicar fotos antiguas sin comprobar de nuevo qué se autorizó. Con el paso del tiempo puede haber cambiado la voluntad del paciente, y el consentimiento puede retirarse.
- Creer que sin rostro no hay problema. Una cicatriz, un tatuaje o el contexto pueden identificar a la persona, y la imagen sigue mostrando un tratamiento.
- Acompañar la foto con el relato del paciente. Los testimonios de pacientes tienen su propio límite en la publicidad sanitaria, como verás más abajo.
- No poder retirar una foto cuando el paciente lo pide. El RGPD reconoce al paciente el derecho a retirar su consentimiento en cualquier momento (artículo 7.3), y la clínica tiene que poder atenderlo en todas las publicaciones.
Publicidad sanitaria: los límites que se suman al antes y después
El consentimiento resuelve la parte de protección de datos, pero no la de publicidad. La publicidad de las clínicas que ofrecen servicios con finalidad sanitaria está regulada por el Real Decreto 1907/1996, y una foto de resultados es, ante todo, un anuncio. Hay tres límites que se suman a los anteriores.
La publicidad debe ajustarse a la autorización sanitaria
El artículo 6.1 exige que la publicidad y la información de los centros sanitarios se ajusten al contenido de su autorización sanitaria. El artículo 6.2 añade que cualquier otro tipo de publicidad requiere autorización previa y expresa. El procedimiento y el organismo que lo gestiona dependen de la comunidad autónoma, por lo que una clínica debería conocer cómo lo regula la suya antes de lanzar una campaña con resultados.
Los testimonios de pacientes están prohibidos
El artículo 4.7 prohíbe la publicidad que pretenda aportar testimonios de pacientes reales o supuestos. Una foto de resultados acompañada de una frase del paciente celebrando el resultado puede acercarse a ese territorio, así que es un punto que merece revisión antes de publicar.
Las promesas de resultado pueden chocar con la norma
El mismo artículo 4 prohíbe la publicidad que proporcione seguridades de alivio o curación cierta, y el artículo 7.1 exige criterios de transparencia, exactitud y veracidad. Un pie de foto que garantice que el resultado será el mismo para cualquier persona puede entrar en conflicto con esos principios.
Qué se juega una clínica estética con un antes y después mal publicado
Una publicación de fotos de pacientes mal planteada no tiene una sola consecuencia, sino tres que pueden llegar a la vez: una sanción administrativa, una reclamación civil y un daño de reputación que cualquiera puede ver en la ficha de Google. Cada una sigue su propio camino y su propio calendario, y ninguna depende de que la clínica tuviera mala intención.
Una sanción de la AEPD, y por partida doble
Para las infracciones de los principios básicos del tratamiento, el RGPD (artículo 83.5) permite multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial. Las clínicas pequeñas están lejos de ese techo, como muestran los casos de 5.000 € y 10.000 €. Pero en los dos la AEPD sancionó por separado la falta de base jurídica y el tratamiento de datos de salud, de modo que una misma foto genera dos infracciones.
Una reclamación civil por la imagen
Además de la vía de la AEPD, la Ley Orgánica 1/1982 prevé que el paciente acuda a la jurisdicción civil. Entre las medidas que recoge su artículo 9 están el cese de la intromisión y la indemnización por el daño moral. Es una vía distinta, con sus propios plazos y costes, que puede abrirse al mismo tiempo que la reclamación por protección de datos.
Una crisis de reputación
Un paciente que descubre su foto en Instagram sin haberla autorizado tiene a mano la reseña pública. Y si la clínica responde a esa reseña con datos del paciente, añade otro problema: así lo explicamos en el artículo sobre las reseñas negativas y la multa por responder con datos del paciente. Dos errores seguidos convierten una publicación en una crisis.
Señales de que tu clínica estética está expuesta con sus fotos de antes y después
Estas situaciones indican que la clínica gestiona las fotos de sus pacientes sin un criterio claro:
- No existe un documento de consentimiento distinto para la publicación. Solo se firma el consentimiento del tratamiento.
- Nadie sabe qué autorizó cada paciente. Para comprobarlo habría que revisar historial por historial.
- Las fotos están repartidas en móviles personales, carpetas compartidas y aplicaciones de mensajería. No hay un sitio único donde estén controladas.
- Cualquier miembro del equipo puede publicar. Las redes se llevan sin que nadie revise antes qué hay detrás de cada imagen.
- La web y las redes tienen casos antiguos sin fecha. Nadie sabe de cuándo son ni con qué permiso se subieron.
- No hay forma rápida de retirar una foto. Si un paciente la pidiera hoy, habría que buscarla en todos los sitios donde esté.
- Los pies de foto prometen resultados o incluyen frases de pacientes. Se redactan sin pasar por un criterio legal.
Si se repiten tres o más de estas señales, la clínica depende de que ningún paciente reclame.
Por qué los antes y después de una clínica estética no se gestionan a ojo
Publicar bien fotos de resultados cruza tres terrenos a la vez: la protección de datos, la publicidad sanitaria y el marketing. Quien lleva las redes de una clínica suele dominar el tercero, pero no los otros dos, y quien conoce la norma no siempre sabe cómo se traduce en publicaciones que vendan. Las dos cosas tienen que ir juntas desde el primer día.
Además, el problema no empieza en la publicación, sino mucho antes: en cómo llegan las fotos a la clínica, dónde se guardan y quién decide usarlas. Los pacientes envían fotos por mensajería y los profesionales las hacen con el móvil, de modo que pueden acabar dispersas en dispositivos que la clínica no controla. Tener una sola bandeja para todos los mensajes ayuda a que lo que llega de los pacientes esté en un sitio y no en el móvil de cada persona, aunque no sustituye el criterio legal de quien decide qué se publica.
Una clínica estética que quiere usar resultados reales como argumento de venta sin asumir el riesgo de una sanción necesita a alguien que domine a la vez el marco legal, el marketing y la forma en que su equipo trabaja con las fotos.
Preguntas frecuentes sobre el antes y después en una clínica estética
Estas son las dudas más habituales de los dueños de clínicas estéticas sobre los antes y después y la ley. Las respuestas resumen el marco legal y los dos casos de la AEPD; no sustituyen el asesoramiento jurídico que cada clínica necesita según su situación.
¿Es legal publicar fotos de antes y después en una clínica estética?
No está prohibido en sí mismo, pero exige que el paciente haya dado un consentimiento explícito y específico para esa publicación, y que el anuncio respete las normas de publicidad sanitaria. Sin ambas cosas, la clínica se expone a sanciones de la AEPD y de la autoridad sanitaria.
¿Basta con el consentimiento informado del tratamiento?
No. Ese consentimiento autoriza la intervención y, como mucho, el uso clínico de las fotos. La difusión en redes o en la web es otra finalidad que necesita su propia autorización. En el caso de los 10.000 €, la paciente solo había autorizado fines médicos, científicos o educativos.
¿Se pueden publicar fotos de antes y después sin cara?
Es una zona de riesgo. Una imagen sin rostro puede seguir identificando a la persona por rasgos, cicatrices, tatuajes o contexto, y además sigue mostrando que se ha sometido a un tratamiento, que es lo que la AEPD protege como dato de salud. Que no se vea la cara no elimina por sí solo la necesidad de consentimiento, así que antes de publicar conviene valorar cada caso con asesoramiento.
¿Puede un paciente retirar su consentimiento después de publicar la foto?
Sí. El artículo 7.3 del RGPD reconoce el derecho a retirar el consentimiento en cualquier momento, y debe ser tan fácil retirarlo como darlo. A partir de entonces, la clínica tiene que poder dejar de usar la imagen en todos los lugares donde la haya publicado: la web, cada red social y cualquier anuncio en circulación. Si no sabe dónde está cada foto, no puede cumplir.
¿Quién responde si el profesional pasa las fotos al propietario?
En el procedimiento PS/00130/2024 la sanción recayó sobre el propietario del centro, que fue quien publicó las fotos, aunque las hubiera hecho la doctora y se las hubiera enviado ella. Quien decide difundir las imágenes responde de esa difusión, de modo que cada clínica debería tener claro quién puede autorizar una publicación y con qué comprobaciones.
¿Qué multa puede imponer la AEPD por publicar un antes y después sin consentimiento?
Depende de las circunstancias. En los dos casos citados fueron de 10.000 € y de 5.000 €. El RGPD fija un techo de hasta 20 millones de euros o el 4 % del volumen de negocio anual para las infracciones de los principios básicos, aunque no es lo habitual en clínicas pequeñas.
Fuentes consultadas: Reglamento (UE) 2016/679, Ley Orgánica 1/1982, Real Decreto 1907/1996, resolución PS/00130/2024 de la AEPD, Economist & Jurist, Infobae, Salud y Medicina y Prodat.
