Protección de datos en estética: guía RGPD práctica

La protección de datos en estética es el conjunto de obligaciones del RGPD que tienes al tratar datos de tus clientas, y se resume en cuatro tareas prácticas: pedir consentimiento informado, guardar las fichas de forma segura, no publicar fotos sin autorización por escrito y usar WhatsApp con criterio.

El RGPD es un reglamento que se aplica a cualquier negocio, trabajes sola o con equipo. Por ejemplo, una autónoma con 300 clientas y un tratamiento de 45 euros tiene las mismas obligaciones básicas que una cadena. La AEPD, que es la Agencia Española de Protección de Datos, aplica los mismos criterios a ambas.

Este artículo es divulgativo y no es asesoría legal. La normativa se actualiza y cada negocio tiene particularidades. Para tu caso concreto, consulta a un profesional especializado, según el caso y según los datos que trates. Con 30 minutos de revisión puedes detectar lo que falta.

¿Qué datos maneja un negocio de estética?

Un negocio de estética maneja más datos de los que parece, y algunos son especialmente delicados. Un dato personal es cualquier información que identifica a una persona, y se agrupan en cuatro familias:

• Datos identificativos: nombre, teléfono, correo y fecha de nacimiento.
• Datos de salud: alergias, medicación, patologías de la piel y embarazo. Son una categoría especial, según el RGPD, y exigen más protección y un consentimiento explícito.
• Imágenes: fotos de antes y después y vídeos para redes.
• Historial comercial: tratamientos, bonos, gastos y preferencias.

Por ejemplo, una ficha de peeling de 60 euros con alergias y medicación incluye datos de salud, y una foto de la cara incluye una imagen identificable. Que el negocio sea pequeño no exime de nada: el RGPD y la ley española aplican igual a la autónoma con 50 clientas al mes que a la cadena con 20 locales y 2.000 clientas.

¿Qué consentimientos necesitas de tus clientas?

La regla de oro es un consentimiento por finalidad, informado y demostrable, que se pide una vez por cada uso de los datos. En la práctica, un negocio de estética suele necesitar cuatro:

1. Datos básicos para gestionar citas y facturación.
2. Datos de salud, cuando el tratamiento lo requiere (aparatología o peelings): consentimiento explícito.
3. Comunicaciones comerciales: enviar promociones por WhatsApp o correo requiere su propio consentimiento; no vale «como ya es clienta, le escribo».
4. Uso de imagen: publicar fotos en redes exige autorización específica y por escrito. Este tema tiene su guía: fotos de antes y después en estética.

Marca casillas separadas para cada finalidad y guarda el documento. Por ejemplo, si una de tus 100 clientas nuevas contrata un peeling de 60 euros y acepta la cita pero no las promociones, solo recibe avisos de su cita, y anotarlo lleva 1 minuto. Si un día te lo piden, tienes que poder demostrar quién consintió qué y cuándo.

¿Cómo guardas las fichas de clienta de forma segura?

Una ficha segura es la que solo ve quien debe verla, tiene copia y permite atender los derechos de la clienta. El clásico cuaderno con nombres, teléfonos y anotaciones de salud encima del mostrador no cumple ninguna de las tres cosas. Un sistema digital con contraseña, como un CRM para estéticas, las resuelve.

Los principios básicos valen para cualquier sistema:

• Minimización: guarda solo lo que necesitas para el servicio.
• Acceso limitado: cada persona del equipo ve lo que le corresponde.
• Derechos de las personas: si una clienta pide ver, corregir o borrar sus datos, debes poder hacerlo, con las excepciones legales de facturación.
• Contrato de encargado: tus proveedores de software deben firmar contigo un contrato de encargado de tratamiento y, preferiblemente, alojar los datos en la Unión Europea.

Por ejemplo, con 300 clientas, una búsqueda por nombre en 5 segundos resuelve una petición de acceso, algo imposible con 3 cuadernos, y un sistema sencillo cuesta menos que 2 tratamientos de 45 euros al mes.

¿Puedes usar WhatsApp con datos de clientas?

Sí, con criterio. Para el negocio conviene usar WhatsApp Business, o su versión con API, y separar lo profesional de lo personal. Estas pautas ordenan el uso diario:

• Confirmar y recordar citas: recomendable, porque es gestión del servicio que la clienta ha pedido.
• Resolver dudas de tratamientos: recomendable, forma parte de la atención normal.
• Enviar promociones sin consentimiento: no, porque requiere un consentimiento comercial previo.
• Comentar datos de salud en grupos: nunca, porque expone datos de categoría especial.
• Usar el WhatsApp personal para el negocio: mejor no, porque mezcla datos personales y profesionales.

Por ejemplo, un grupo de 8 personas del equipo no es el sitio para comentar la medicación de una clienta. Además, pasadas 24 horas desde el último mensaje de la clienta, WhatsApp solo deja escribirle con plantillas aprobadas por Meta, según el caso.

¿Es legal conectar una IA a tu WhatsApp?

Conectar una IA a tu WhatsApp es legal si el proveedor cumple cuatro condiciones, según el caso: tiene contrato de encargado de tratamiento, aloja los datos en la Unión Europea, informa a la clienta de que habla con una IA y no usa tus conversaciones para otros fines. La normativa europea de IA pide esa transparencia.

En Kairux construimos agentes de IA con servidores en la Unión Europea, copias diarias cifradas y acceso con doble factor. La conexión usa la vía oficial de Meta, la coexistencia de WhatsApp Business: escaneas un QR, mantienes tu número y tu app, y puedes intervenir en cualquier conversación. Por ejemplo, un agente que atiende 40 conversaciones al día se presenta como asistente virtual en las 40. Para ver los criterios con detalle, lee si es seguro conectar WhatsApp con IA según el RGPD. Además, pide el contrato por escrito.

¿Qué checklist mínimo de cumplimiento puedes seguir?

Un checklist mínimo es una lista de seis comprobaciones que puedes revisar en una tarde de 2 horas. Ordénalo de menor a mayor esfuerzo:

1. Textos legales al día en la web y en los formularios.
2. Consentimientos por escrito y por finalidad, archivados.
3. Fichas de clienta en un sistema seguro con contraseña, no en papel a la vista.
4. Contratos de encargado firmados con cada proveedor: agenda, CRM, IA y gestoría.
5. Registro de actividades de tratamiento, aunque sea sencillo.
6. Procedimiento claro si una clienta ejerce sus derechos o si hay una brecha de seguridad.

Por ejemplo, con 5 proveedores, necesitas 5 contratos firmados, y 2 horas bastan para revisarlos. Además, revisa la normativa vigente y apóyate en un profesional para auditar tu caso, porque las sanciones existen, según el caso y según el tamaño del tratamiento.

Preguntas frecuentes

¿El RGPD se aplica a un negocio de estética pequeño?

Sí. El RGPD aplica a cualquier negocio que trate datos personales, sin importar su tamaño. Una autónoma que trabaja sola tiene las mismas obligaciones básicas que una cadena: informar, pedir consentimiento cuando haga falta, proteger los datos y atender los derechos de las personas.

Lo que cambia con el tamaño es el esfuerzo. Por ejemplo, una autónoma con 200 clientas puede cumplir con 4 documentos y un sistema con contraseña en 2 semanas, mientras que una cadena de 10 locales necesita procedimientos más formales. Además, los datos de salud, como alergias o embarazo, piden más cuidado en cualquier caso. Según el caso y según lo que trates, un profesional de protección de datos puede revisar tu situación en 1 sesión de 60 minutos y decirte qué te falta.

¿Necesito consentimiento para enviar promociones por WhatsApp?

Sí. Las comunicaciones comerciales requieren un consentimiento específico, distinto del de gestión de citas. Lo correcto es recogerlo por escrito, con una casilla propia, y poder demostrarlo después. Además, ofrece siempre la opción de dejar de recibirlas.

Por ejemplo, un formulario con dos casillas, una para tu cita y otra para las ofertas, resuelve el problema en 2 minutos. Si una de tus 80 clientas no marca la segunda, solo le escribes por su cita. Además, guarda la fecha y el canal en la ficha. En España, las personas tienen derecho a no recibir comunicaciones comerciales no deseadas, y puedes contactar a quien ha dado su consentimiento o ha pedido información. Con 100 clientas, una lista bien etiquetada en WhatsApp Business te evita errores en 30 minutos de trabajo, según el caso, y una promoción de 15 euros llega solo a quien la aceptó.

¿Puedo guardar las fichas de clientas en papel?

El papel no está prohibido, pero exige las mismas garantías: archivo bajo llave, acceso restringido y posibilidad de atender derechos como la supresión. En la práctica, un sistema digital seguro lo pone mucho más fácil.

Si prefieres papel, sigue tres reglas, según el caso. Primero, guarda las 200 fichas en un armario cerrado con llave. Después, limita quién tiene la llave. Por último, destruye las fichas cuando acabe el plazo legal de conservación. Por ejemplo, una ficha con datos de salud no debe quedarse en el mostrador a la vista de las 8 clientas de la tarde, ni de una sesión de 60 euros. Además, hacer una copia digital protegida con contraseña te cubre ante una pérdida o un robo. Consulta con tu asesoría los plazos de conservación según el caso y según la factura asociada.

Guía principal: descubre todo lo que un agente de IA para WhatsApp puede hacer por tu negocio.