Usar WhatsApp para clínicas es legal, pero la clínica responde de todo lo que ocurre en ese canal: quién lo atiende, qué datos viajan por él, en qué teléfonos queda guardado y qué pasa cuando alguien se va de la plantilla. La Agencia Española de Protección de Datos (AEPD) admite que una clínica use el teléfono del paciente para recordarle una cita por mensajería, pero avisa de que, cuando hay datos sensibles de por medio, es probable que no sea aconsejable comunicarse por estas aplicaciones. Y ya ha sancionado el uso descontrolado de WhatsApp con datos de salud.
En este artículo verás qué es WhatsApp para clínicas cuando hay datos de salud de por medio, qué dicen la AEPD, el Reglamento General de Protección de Datos (RGPD) y la propia política de WhatsApp Business, tres sanciones reales, los puntos donde una clínica pierde el control del canal y cuánto puede costar no tenerlo. Todas las afirmaciones se apoyan en textos oficiales o en resoluciones publicadas, con el enlace correspondiente.
Qué es WhatsApp para clínicas y por qué los datos de salud lo cambian todo
WhatsApp para clínicas es el uso de la mensajería de WhatsApp para hablar con los pacientes: pedir cita, confirmarla, resolver una duda, recibir una foto o un documento. Es el canal que el paciente ya tiene en el bolsillo, y por eso se ha convertido en la recepción informal de muchas clínicas dentales y estéticas. Lo que lo distingue del uso que hace cualquier otro negocio es el contenido de los mensajes: en una clínica, lo que se escribe suele hablar de la salud de quien escribe.
Un mensaje de paciente puede ser ya un dato de salud
El RGPD define los datos relativos a la salud como los datos personales relativos a la salud física o mental de una persona, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud (artículo 4.15). Un «me duele una muela desde ayer», la foto de una encía inflamada o una consulta sobre un tratamiento concreto dicen algo del estado de salud de quien escribe, aunque el mensaje parezca cotidiano. La propia AEPD advierte de que, por la naturaleza de la relación clínica, es posible que algunos mensajes enviados por estas aplicaciones contengan datos de salud.
WhatsApp, WhatsApp Business y la plataforma para empresas no son lo mismo
WhatsApp diferencia en su política entre la aplicación WhatsApp Business, que se usa desde el teléfono, y la plataforma de WhatsApp Business, a la que se conectan los sistemas de las empresas. Conviene tenerlo presente cuando se habla de WhatsApp Business para clínicas: las dos opciones son WhatsApp, las dos están sujetas a su política de mensajería y ninguna de ellas traslada a Meta la responsabilidad de la clínica sobre los datos de sus pacientes, como se verá más abajo con el texto de la propia política.
Qué dice la AEPD sobre atender pacientes por WhatsApp
La referencia es la Guía para profesionales del sector sanitario de la AEPD, publicada en junio de 2022 y revisada por última vez en octubre de 2024. Incluye un apartado específico sobre si es recomendable usar redes sociales y aplicaciones de mensajería para gestionar citas o comunicarse con los pacientes. No prohíbe WhatsApp para clínicas, pero pone condiciones que muchas clínicas no han valorado nunca.
La clínica responde del canal que elige
Según la guía, gestionar citas o comunicaciones por redes sociales o aplicaciones de mensajería instantánea lleva vinculado un tratamiento adicional por parte de un tercero. De ahí que el responsable tenga un grado de responsabilidad específico en la selección de esos canales, incluida la diligencia necesaria para elegir los más apropiados. Dicho de otro modo: elegir WhatsApp es una decisión de la clínica, y la AEPD espera que esa decisión esté pensada desde la protección de datos.
Recordar una cita sí, pero solo al paciente
La AEPD admite que el responsable use el número de teléfono del paciente para notificarle o recordarle una cita, sea cual sea la aplicación, siempre que se haga por teléfono y la comunicación no llegue a la vez a personas no autorizadas. Para WhatsApp pide asegurarse de que el mensaje se ha dirigido solo al paciente y no a un grupo del que forma parte, aunque la clínica tenga acceso al grupo. Los recordatorios de cita por WhatsApp están, por tanto, permitidos con esa condición, algo que ya se analizó en el artículo sobre el recordatorio de citas por WhatsApp.
Información mínima y un medio alternativo siempre
La guía pide aplicar el principio de minimización, revelando por estos cauces la mínima información necesaria, y exige ofrecer siempre medios alternativos de comunicación. También recuerda que conviene valorar si el sistema tiene contraseñas débiles que faciliten suplantar al usuario y si los mensajes se cifran o no. Su conclusión es que, ante las debilidades de unos u otros sistemas, es probable que no sea aconsejable comunicarse con el paciente por estos medios, especialmente cuando se trate de datos sensibles.
WhatsApp y RGPD en una clínica: las obligaciones que no desaparecen
El RGPD es el marco con el que la AEPD evalúa cualquier uso de WhatsApp en una clínica, y WhatsApp y RGPD van juntos desde el primer mensaje que un paciente escribe. El texto del Reglamento no menciona ninguna aplicación concreta, y justamente por eso la responsabilidad recae en quien decide cómo se tratan los datos: la clínica.
Los datos de salud parten de una prohibición con excepciones
El artículo 9.1 prohíbe el tratamiento de datos relativos a la salud, y el 9.2 enumera las excepciones. Dos de ellas interesan a una clínica: el consentimiento explícito del interesado y que el tratamiento sea necesario para el diagnóstico médico o la prestación de asistencia o tratamiento sanitario. La asistencia sanitaria es la base que ampara a la clínica, pero tener base para tratar el dato no resuelve cómo se protege, y la guía de la AEPD recuerda que las medidas de seguridad tampoco suplen una falta de legitimación.
La seguridad adecuada al riesgo
El artículo 32 obliga a aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, y menciona entre otras la seudonimización y el cifrado, la capacidad de garantizar la confidencialidad y la de restaurar el acceso a los datos tras un incidente. Al evaluar el riesgo se deben tener en cuenta la pérdida o alteración de datos y la comunicación o el acceso no autorizados. Una conversación enviada a quien no debía, o que se pierde con el teléfono, encaja en esos riesgos.
Quien gestiona los mensajes por cuenta de la clínica es un encargado
Cuando un proveedor trata los mensajes por cuenta de la clínica, el artículo 28 lo trata como encargado del tratamiento: la clínica debe elegir uno que ofrezca garantías suficientes y debe existir un contrato que fije el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos y las obligaciones de cada parte. Con WhatsApp para clínicas montado sobre herramientas de terceros, esto significa una cadena de proveedores que la clínica tiene que poder justificar ante la AEPD.
Lo que la política de WhatsApp Business dice sobre la información de salud
La política de mensajería de WhatsApp Business es la norma de uso que acepta cualquier empresa que escribe a sus clientes por ese canal. La versión consultada el 7 de octubre de 2026 indica como última actualización el 23 de septiembre de 2026. Contiene una cláusula que afecta de lleno a WhatsApp para clínicas y que casi nadie lee antes de abrir una línea para pacientes.
No usar WhatsApp para información de salud si la ley lo prohíbe a sistemas sin garantías reforzadas
En su apartado sobre protección de datos y cumplimiento de la ley, la política indica que no se use WhatsApp para telemedicina ni para enviar o solicitar información relacionada con la salud cuando la normativa aplicable prohíba distribuirla a sistemas que no cumplan requisitos reforzados para tratar ese tipo de datos. La cláusula es condicional: no dice que en España esté prohibido ni que esté permitido, sino que devuelve la pregunta a la clínica, que es quien debe saber qué exige su normativa.
Los avisos, permisos y consentimientos son de la empresa
La misma política establece que la empresa es responsable de obtener los avisos, permisos y consentimientos necesarios para recoger, usar y compartir la información de las personas, y de mantener una política de privacidad publicada. También prohíbe usar los datos obtenidos de WhatsApp sobre una persona con la que se escribe, salvo el contenido de las conversaciones, para fines distintos de los razonablemente necesarios para mantener esa comunicación. En resumen, WhatsApp Business para clínicas no libera a la clínica de nada: se lo exige por escrito.
Sanciones por usar WhatsApp con datos de salud: tres casos reales
Las resoluciones de la AEPD sobre WhatsApp no son todas de clínicas dentales o estéticas, y conviene decirlo con claridad. Lo que sigue es el criterio de la autoridad cuando ve datos de salud o datos de clientes circulando por mensajería sin control, y es el que aplicaría a un centro sanitario. Los importes son los que recogen las fuentes enlazadas.
1.000 euros por difundir en grupos de WhatsApp un problema de salud
En el expediente EXP202316101, la AEPD impuso a una mancomunidad residencial 1.000 euros por difundir en grupos de WhatsApp información que identificaba a una residente y revelaba un problema de salud, con 500 euros por infringir el artículo 9 del RGPD y otros 500 por el artículo 5.1.f), el de integridad y confidencialidad. La Agencia rechazó que el carácter informal del grupo excluyera la responsabilidad y recordó que la función de eliminar un mensaje para todos caduca con el tiempo, según el resumen de Iberley.
6.000 euros a un médico por enviar imágenes de pacientes
En el procedimiento PS/00094/2018, la AEPD sancionó con 6.000 euros a un médico pediatra por enviar por WhatsApp imágenes y datos personales de sus pacientes a su expareja. La Agencia consideró que, como responsable del tratamiento, debía haber obtenido el consentimiento para enviarlas a terceros y que además se incumplió el deber de secreto profesional. No hubo posibilidad de apercibimiento por tratarse de imágenes de menores, según el análisis de Adaptación RGPD.
5.000 euros a una empresa por usar el WhatsApp personal de un empleado
Una asesoría fue sancionada con 2.500 euros por infringir el artículo 6.1 y otros 2.500 por el artículo 32 al enviarse datos de clientes desde el WhatsApp personal de un empleado, pese a su oposición expresa, según el resumen de Prodat. La Agencia tuvo en cuenta como agravante que la actividad de la empresa está ligada a tratar datos personales, algo que una clínica cumple de sobra.
Dónde se pierde el control en WhatsApp para clínicas
Ninguna clínica pierde el control de WhatsApp para clínicas de golpe. Se pierde en puntos concretos del día a día que, mirados uno a uno, parecen inofensivos, y que son los que aparecen en la guía de la AEPD y en las resoluciones anteriores.
Teléfonos personales y cuentas compartidas
En el caso de la asesoría, la AEPD apreció falta de seguridad al enviarse datos de clientes a través de una aplicación que la empresa no controlaba. Es una situación que se da con facilidad en una clínica: un teléfono personal de la recepcionista o de la doctora, una única cuenta que usan varias personas, una sesión abierta en un ordenador compartido. Cuando el canal vive en dispositivos que la clínica no gestiona, no puede demostrar qué medidas de seguridad hay detrás.
Grupos donde el paciente comparte conversación con otras personas
La guía de la AEPD pide que el mensaje se dirija solo al paciente y no a un grupo, y el caso de la mancomunidad muestra lo que ocurre cuando un dato de salud acaba en un grupo: la resolución rechazó que el carácter informal del grupo excluyese la responsabilidad. En una clínica, los grupos de WhatsApp con pacientes se crean por comodidad, para tratamientos largos o comunicaciones de varios familiares, y cada integrante ve lo que escribe el resto.
Fotos, audios y documentos clínicos en la galería
La guía pide revelar por mensajería solo la mínima información necesaria, y el caso del pediatra muestra qué ocurre cuando las imágenes de pacientes salen del entorno clínico. Una radiografía, la foto de un tratamiento o un presupuesto con el diagnóstico quedan guardados en la galería de un teléfono personal, y de ahí pueden acabar en una copia de seguridad o en otro dispositivo. Además, las fotos de tratamientos tienen su propio riesgo legal, que se explica en el artículo sobre el antes y después en una clínica estética.
Conversaciones que dependen de un solo teléfono
El artículo 32 menciona la capacidad de restaurar el acceso a los datos de forma rápida tras un incidente. Una conversación con un paciente que solo existe en un teléfono, que se pierde, se rompe o cambia de manos cuando alguien deja la clínica, no cumple esa idea. Tampoco permite saber quién contestó qué ni cuándo, y sin ese rastro la clínica no puede demostrar lo que dijo si el paciente reclama.
Cuánto cuesta no controlar WhatsApp para clínicas
Una sanción no es la única consecuencia de no controlar WhatsApp para clínicas, pero es la más medible. Conviene distinguir entre lo que el reglamento permite imponer, que es mucho, y lo que la AEPD ha impuesto en los casos publicados, que es bastante menos.
El techo del reglamento y los importes reales
El artículo 83 del RGPD fija multas de hasta 20 millones de euros o el 4 % del volumen de negocio global para infracciones de los principios básicos, incluidos los artículos 5, 6, 7 y 9, y de hasta 10 millones o el 2 % para las obligaciones de los artículos 25 a 39, entre las que está la seguridad del artículo 32. Esos son los máximos. Los casos citados en este artículo se saldaron con importes entre 500 y 6.000 euros por infracción, y la AEPD gradúa cada sanción según la gravedad y las circunstancias.
La brecha de seguridad y el plazo de 72 horas
Un mensaje con datos de un paciente enviado a la persona equivocada o a un grupo puede ser una violación de seguridad. El artículo 33 obliga al responsable a notificarla a la autoridad de control sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tuvo constancia, salvo que sea improbable que suponga un riesgo para los derechos de las personas. La guía de la AEPD añade que hay que notificarla también al paciente si el riesgo es grave.
La queja de una sola persona basta para abrir el expediente
En el caso de la mancomunidad fue la propia residente afectada quien acreditó con una captura de pantalla que el mensaje seguía visible. En el del pediatra, la reclamación la presentó su expareja, y en el de la asesoría un trabajador, el 11 de agosto de 2023. La AEPD no necesita una filtración masiva para actuar: le basta una persona que se sienta afectada por un uso inadecuado de WhatsApp con sus datos. En una clínica, esa persona puede ser un paciente, un familiar o un empleado que se marcha.
Por qué la costumbre no protege el uso de WhatsApp en una clínica
La razón más repetida para seguir usando WhatsApp para clínicas como hasta ahora es que siempre ha funcionado. Las resoluciones citadas muestran que la AEPD no acepta ese argumento: lo que protege a la clínica no es la antigüedad de la práctica sino lo que puede demostrar.
«Siempre se ha hecho así» no es una defensa
En el caso de la asesoría, la empresa alegó que usaba WhatsApp desde hacía décadas y que los trabajadores lo aceptaban por comodidad. La AEPD rechazó la justificación de la «costumbre inveterada» y recordó el principio de responsabilidad proactiva: el responsable debe adaptarse a la normativa y ser capaz de demostrar que la cumple, con independencia de su tamaño o de cuánto tiempo lleve haciéndolo así.
Contratar una herramienta no traslada la responsabilidad
Un chatbot, un CRM o un servicio de mensajes automáticos son proveedores, y la política de WhatsApp Business deja claro que los avisos y consentimientos son de la empresa. El artículo 28 del RGPD exige además el contrato con quien trata los datos por cuenta de la clínica. Lo explicado en los artículos sobre el chatbot para WhatsApp y el mensaje automático de WhatsApp Business se mueve en ese marco: la herramienta no es quien responde ante la AEPD.
La ausencia de un daño visible no elimina la infracción
La empresa sancionada sostuvo que no había difundido nada a terceros ni causado un perjuicio apreciable. El análisis de ese caso apunta justo lo contrario: basta con que haya un tratamiento sin base legal o sin garantías suficientes para que exista infracción. Para una clínica, esto significa que no hace falta que un paciente haya sufrido un daño para que el uso descontrolado de WhatsApp para clínicas sea sancionable.
Preguntas frecuentes sobre WhatsApp para clínicas y RGPD
Estas son las dudas sobre WhatsApp para clínicas que más se repiten entre dueños de clínicas dentales y estéticas. Las respuestas se limitan a lo que dicen la AEPD, el RGPD y la política de WhatsApp Business, y no sustituyen la valoración de un delegado de protección de datos o de un abogado sobre cada caso.
¿Es legal usar WhatsApp para hablar con los pacientes?
Usar WhatsApp para clínicas no está prohibido. La AEPD admite que la clínica use el teléfono del paciente para notificarle o recordarle una cita u otra particularidad de la asistencia, pero sitúa en el responsable la decisión de si ese canal es adecuado y le pide minimizar la información y ofrecer siempre una alternativa. Lo que sí puede ser ilegal es la forma de usarlo: grupos, teléfonos personales, fotos sin control o datos de salud sin las garantías que exige el RGPD.
¿Se pueden enviar recordatorios de cita por WhatsApp?
Sí, con la condición que fija la guía de la AEPD: que el mensaje llegue solo al paciente y no a un grupo ni a personas no autorizadas, y que contenga la mínima información necesaria. Que la aplicación sea WhatsApp es indiferente para la AEPD, siempre que se use el teléfono que el paciente facilitó para la relación asistencial. La minimización implica que el recordatorio no revele más de lo imprescindible, por ejemplo el tratamiento.
¿Se pueden crear grupos de WhatsApp con pacientes?
La guía de la AEPD pide que los mensajes sobre citas se dirijan solo al paciente y no a un grupo del que forma parte. El caso de la mancomunidad muestra además que un dato de salud difundido en grupos se sanciona aunque el grupo sea informal. En la práctica, los grupos de WhatsApp con pacientes multiplican el número de personas que ven cada mensaje, y con ello el riesgo de comunicación no autorizada.
¿Basta con el cifrado de WhatsApp para cumplir el RGPD?
No. El cifrado es una de las medidas que cita el artículo 32, y la guía de la AEPD lo menciona como un factor a valorar, junto con la fortaleza de las contraseñas. Pero el cifrado protege el trayecto del mensaje, no quién tiene acceso al teléfono, qué se escribe, dónde quedan las copias ni qué ocurre cuando alguien se va de la clínica. La seguridad que pide el RGPD es del conjunto, no de una sola función.
¿Qué pasa si un paciente escribe datos de salud sin que la clínica los pida?
Desde ese momento la clínica tiene esos datos en su canal y es responsable de protegerlos. La AEPD reconoce que, por la propia naturaleza de la relación clínica, es posible que los mensajes contengan datos de salud, y por eso exige que el responsable valore la conveniencia de usar estas aplicaciones. Que el dato lo escriba el paciente no elimina la obligación de custodiarlo, solo cambia quién dio el primer paso.
