Datos de salud en el CRM de una clínica: cuidados extra

Los datos de salud en el CRM de una clínica son una categoría especial del RGPD (artículo 9), y piden más cuidado que un dato cualquiera. Un CRM de clínica es un sistema de gestión de pacientes que debe guardar solo lo necesario para citar y hacer seguimiento, y dejar la historia clínica en el programa de gestión clínica.

Esta guía es orientación general, no asesoramiento legal: tu asesor de protección de datos debe revisar tu caso. Por ejemplo, una clínica con 800 pacientes y WhatsApp Business conectado puede aplicar hoy cinco medidas sencillas, sin cambiar de programa clínico y sin parar la recepción. Primero verás qué se considera dato de salud, después qué guardar y por último qué medidas aplicar, con 5 comprobaciones, la primera en el paso 1 con Excel.

¿Qué se considera datos de salud en un CRM?

Un dato de salud es cualquier información que revele el estado físico o mental de una persona, y el RGPD lo trata como categoría especial. En un CRM, no es solo un diagnóstico: también puede serlo el motivo de una cita, una nota sobre un tratamiento o un mensaje donde el paciente cuenta qué le pasa.

• Un diagnóstico, una prueba o un tratamiento anotados en la ficha.
• El motivo de consulta escrito en una nota interna.
• Un mensaje de WhatsApp donde el paciente describe un síntoma.
• La transcripción de una llamada donde cuenta su situación.

Por ejemplo, un paciente escribe a las 22:30 que le duele una muela desde ayer. Ese mensaje ya contiene un dato de salud, y por eso conviene decidir qué se guarda y quién lo ve. Según el RGPD (2018), cuanto más sensible es el dato, más estrictas son las medidas.

¿Qué conviene guardar y qué no en el CRM de una clínica?

En el CRM conviene guardar solo lo necesario, según el RGPD (2018), para gestionar la relación con el paciente (WhatsApp Business, agenda): contacto, origen, etapa, citas y seguimiento. Los datos clínicos, como radiografías o historia, pertenecen al programa de gestión clínica, y el CRM no los duplica.

1. Guarda el nombre, el teléfono y el origen del paciente.
2. Anota el tipo de cita, no el detalle clínico.
3. Registra la etapa: consulta, primera visita, presupuesto, revisión.
4. Evita pedir más datos de salud de los necesarios para agendar.

Si una nota puede escribirse sin información clínica, escríbela así, durante 2026 y siempre. Un ejemplo de buena práctica es una ficha de 8 campos. En la práctica, «primera visita, interesa tratamiento largo» basta para recepción, mientras que el diagnóstico queda en el programa clínico. Con 300 pacientes activos y 2 minutos por ficha, ese hábito ahorra riesgo y tiempo.

¿Qué medidas de seguridad extra se aplican a los datos de salud?

Las medidas extra son cuatro, y se suman a las generales de cualquier CRM: acceso personal con doble factor, permisos por rol, servidores en la Unión Europea y copias cifradas. Cada una reduce un riesgo concreto y se comprueba en una reunión de 45 minutos.

• Accesos personales y doble factor: una cuenta por persona y un segundo paso al entrar.
• Permisos por rol: recepción ve citas y contactos; el profesional ve lo que necesita.
• Servidores y copias: en la Unión Europea y cifradas. Lo desarrollamos en datos en servidores europeos.
• Registro y baja inmediata: cuando alguien deja el equipo, su acceso se corta ese día.

Más detalle en seguridad en un CRM. Según la AEPD, el responsable debe aplicar medidas adecuadas al riesgo, y los datos de salud elevan ese riesgo.

¿Cuánto tiempo se conservan los datos de pacientes y de quien solo consultó?

El plazo de conservación es el tiempo máximo que guardas una ficha, y no debe ser «para siempre». Define cuánto conservas la ficha de una persona que consultó y no llegó a ser paciente, y revisa cada 12 meses las que llevan años sin actividad.

El plazo concreto debe fijarlo tu asesor, porque depende de obligaciones legales del sector sanitario. Primero separa pacientes, consultas sin continuidad y datos con obligación de conservar. Después asigna a cada grupo un criterio por escrito. Por último, programa la revisión en Google Calendar.

Imagina una clínica con 1.200 fichas, de las que 400 llevan más de 3 años inactivas. Puede archivarlas, limitar el acceso y borrar las que ya no tengan razón de existir. Según el RGPD, la persona puede pedir acceso o borrado, y el CRM debe permitirlo con la ficha localizable en minutos.

¿Qué cambia si hay un agente de IA en el WhatsApp de la clínica?

Un agente de IA es un asistente que contesta por WhatsApp Business (Meta) a cualquier hora, da cita en Google Calendar y recoge datos de contacto, y con datos de salud necesita reglas claras. La persona debe saber que habla con una IA, según la normativa europea de IA.

• Que se presente como asistente virtual desde el primer mensaje.
• Que no dé consejo médico: su función es la cita y la información general, y deriva a una persona si la consulta es clínica.
• Que no pida más datos de salud de los necesarios para agendar.
• Que un profesional pueda entrar en la conversación cuando haga falta.
• Que se revise de vez en cuando lo hablado, para detectar excesos.

Primero se identifica, después ofrece cita y por último avisa a una persona. Por ejemplo, ante «me duele una muela, ¿tenéis hueco?», el asistente responde que es virtual, ofrece las citas libres y deja la nota «consulta por molestia dental» para recepción. Mira normativa europea de IA y IA y protección de datos.

Para ver un CRM de clínica funcionando, en Kairux hacemos una videollamada de 45 minutos sin compromiso. Más en CRM para clínicas con IA y en el CRM a medida con agentes de IA.

Preguntas frecuentes

¿Puedo guardar radiografías o informes en el CRM?

Una radiografía es un dato clínico, y lo recomendable es no guardarla en el CRM, porque pertenece al programa de gestión clínica de la clínica, según el RGPD. El CRM se ocupa de captar, contestar y hacer seguimiento, y se puede construir una conexión para leer las citas o los presupuestos del programa que ya uses. Lo viable depende de ese programa y se ve en la videollamada.

Si alguna vez conviene vincular un documento, guarda solo una referencia, como «informe disponible», y no el contenido. Primero decide qué necesita recepción, después comprueba quién puede abrirlo y por último deja constancia del motivo. Con 10 pacientes de prueba y WhatsApp Business conectado, puedes validar el circuito en una tarde, según el RGPD (2018), y repetirlo cada 6 meses con Google Calendar de recordatorio.

¿Necesito el consentimiento del paciente para hablarle por WhatsApp?

El consentimiento es el permiso expreso de la persona, y para contestar a quien te escribe primero no suele plantearse problema, porque la persona ha iniciado la conversación. Para escribirle tú primero conviene que haya pedido información o dado su permiso, y pasadas 24 horas desde su último mensaje, según Meta, WhatsApp solo permite plantillas aprobadas. Tu asesor concretará la base legal.

Por ejemplo, un recordatorio de revisión se envía con una plantilla aprobada, solo a quien no haya pedido dejar de recibir mensajes. El coste de esos avisos lo asume la clínica, nunca el paciente. Guarda en la ficha, con Meta o formularios como origen, el origen, la fecha y lo que aceptó, para poder responder a cualquier consulta en menos de 1 minuto.

¿Qué hago si un paciente pide que borre su ficha?

Un derecho de supresión es la petición de borrar los datos, y debes atenderla y confirmar el borrado, salvo que otra obligación legal te exija conservar algún dato clínico, algo que concreta tu asesor. El CRM debe permitir localizar la ficha por teléfono o nombre y eliminar o exportar su contenido, incluidas las conversaciones de WhatsApp.

En la práctica, primero identifica a la persona, después busca su ficha y por último confirma por escrito lo hecho. Evita copias sueltas en hojas de Excel o en móviles del equipo. Según el RGPD (2018), el plazo general de respuesta es de un mes, es decir, 30 días. Si dudas, consulta con tu asesor o con la AEPD, y revisa CRM y RGPD.

Página principal: todo lo que un CRM personalizado para empresas, con agentes de IA que trabajan 24/7, puede hacer por tu negocio.