RGPD en tu centro de estética: qué datos tratas y qué tienes que hacer

¿Qué datos trata un centro de estética?

Más de los que parece. Cada clienta deja en tu centro datos de varios tipos, y no todos pesan igual. Esta tabla te ayuda a ordenarlos:

Si tu centro es sanitario, como una clínica de medicina estética o de fisioterapia, la historia clínica tiene además sus propias reglas. Lo explicamos en software para medicina estética , en software para fisioterapeutas y, si compartes centro con una consulta de psicología, cuyas notas clínicas piden aún más reserva, en el programa para psicólogos.

¿Necesito el permiso de la clienta para guardar sus datos?

No siempre. La Agencia Española de Protección de Datos (AEPD) recuerda que todo tratamiento necesita una base que lo legitime: el consentimiento es una, pero también lo son la relación contractual, una obligación legal o el interés legítimo, entre otras. En la práctica:

• Para darle el servicio que ha pedido (su cita, su tratamiento, su factura) te basta la propia relación con ella. No hace falta un «acepto» aparte para apuntar su teléfono en la agenda.
• Para los datos de salud, el RGPD prohíbe tratarlos salvo excepciones. En la asistencia sanitaria, la guía de la AEPD para el sector sanitario explica que no hace falta pedir el consentimiento al paciente, porque los tratan profesionales sujetos al secreto. En un centro de estética que no es sanitario, la excepción habitual es el consentimiento explícito de la clienta: pídelo por escrito y solo para los datos que necesitas para tratarla con seguridad.
• Para todo lo demás (promociones, publicar su foto, un sorteo en Instagram) necesitas una base específica, que casi siempre es su consentimiento.

Menores. Según la Ley Orgánica 3/2018 de protección de datos, una menor solo puede consentir por sí misma el tratamiento de sus datos a partir de los catorce años. Por debajo, decide quien tenga la patria potestad o la tutela.

¿Qué tengo que contarle a la clienta y cómo?

Aunque no necesites su permiso, siempre tienes que informarle. La Ley Orgánica 3/2018 permite hacerlo por capas: una información básica en el momento de recoger los datos y un enlace o un documento con el resto. La primera capa debe incluir, como mínimo, quién es el responsable, para qué usas los datos y cómo puede ejercer sus derechos.

Ponla donde la clienta deja sus datos: en la ficha de alta en recepción, en tu página de reservas online y en tu web. Es un ejemplo para orientarte, no un texto legal: adáptalo con tu asesor. La AEPD tiene una herramienta gratuita, Facilita RGPD, que te ayuda a preparar las cláusulas informativas, el registro de actividades de tratamiento, los contratos con proveedores y las medidas de seguridad.

¿Puedo enviar promociones a mis clientas?

Sí, con condiciones. Las promociones por email, SMS o mensajería son comunicaciones comerciales y se rigen por la Ley de servicios de la sociedad de la información (LSSI). Un informe del Gabinete Jurídico de la AEPD lo resume así:

1. La regla general es pedir permiso antes. Un consentimiento expreso: una casilla sin marcar o un «sí» que quede registrado. No vale darlo por hecho.
2. Si ya es clienta, hay una excepción. Puedes enviarle promociones de tus propios servicios, similares a los que ya contrató contigo, si obtuviste su contacto de forma lícita.
3. Siempre con la opción de darse de baja. En cada comunicación tiene que haber un medio sencillo y gratuito para oponerse.

Un recordatorio de su cita forma parte del servicio que ha pedido; una oferta de un tratamiento nuevo, no. Ten las dos cosas separadas en tu cabeza y en tu programa. Si estás preparando una campaña para recuperar clientas, tienes una plantilla de mensaje con la baja incluida en la guía para conseguir clientas.

Con los mensajes de móvil, cuidado. La guía de la AEPD para el sector sanitario pide ofrecer siempre otros medios de comunicación, no usar las redes sociales del paciente y evitar que los mensajes lleguen a grupos. En la práctica: nunca metas a tus clientas en un grupo, escribe a cada una por separado y no envíes por mensaje datos de salud. Si quieres que dejen de faltar a sus citas sin perseguirlas por el móvil, mira la guía para reducir ausencias.

¿Puedo publicar fotos de antes y después?

Solo con un permiso expreso de la clienta, pedido aparte y que pueda retirar. Hay dos normas que se suman:

• Protección de datos. La imagen de una persona es un dato personal, como recuerda el Ministerio de Consumo con información de la AEPD. Si la foto muestra el resultado de un tratamiento sanitario, además puede revelar datos de salud.
• Derecho a la propia imagen. La Ley Orgánica 1/1982 considera intromisión usar la imagen de una persona con fines publicitarios sin su consentimiento expreso, y ese consentimiento se puede revocar en cualquier momento.

Una forma ordenada de hacerlo:

1. Separa el uso interno de la publicación. Hacer fotos para seguir la evolución del tratamiento es una cosa; enseñarlas en Instagram o en tu web es otra, y necesita su propio permiso.
2. Concreta dónde y cómo. En qué canales se publicará, si se le verá la cara o solo la zona tratada, y durante cuánto tiempo.
3. Que lo firme aparte del consentimiento del tratamiento, para que pueda aceptar una cosa y no la otra.
4. Si lo retira, retira la foto de tus perfiles y de tu web, y anótalo en su ficha.

Guarda las fotos en un sistema con acceso restringido, no en la galería del móvil de una profesional. Y si dudas sobre un caso concreto, consúltalo antes de publicar.

¿Puedo tener cámaras en el centro?

Puedes tener videovigilancia por seguridad, cumpliendo lo que marca el artículo 22 de la Ley Orgánica 3/2018:

• Un cartel visible que avise de la zona vigilada, diga quién es el responsable y cómo ejercer los derechos. Con eso se entiende cumplido el deber de informar.
• Las grabaciones se borran en un mes como máximo desde que se graban, salvo que tengas que conservarlas para acreditar un hecho contra personas, bienes o instalaciones.
• Graba solo lo necesario. La entrada o la caja, sí; las cabinas, donde la clienta se desviste y recibe el tratamiento, no son lugar para una cámara.

Si las cámaras graban también a tu equipo, hay reglas laborales adicionales: pregunta a tu asesor antes de instalarlas.

¿Qué pasa con mi programa de gestión y mis proveedores?

Tú eres la responsable del tratamiento: decides qué datos recoges y para qué. Las empresas que tratan esos datos por encargo tuyo son encargadas del tratamiento: tu programa de gestión y reservas, tu gestoría, tu proveedor de email o el servicio de copias de seguridad.

Con cada una necesitas un contrato por escrito. La guía de la AEPD para el sector sanitario explica que ese contrato debe identificar los datos y las instrucciones que das, prever qué pasa con los datos cuando termina el servicio y que el proveedor no subcontrate sin tu autorización.

Antes de elegir programa, pregunta tres cosas: si firma contigo el contrato de encargado del tratamiento, si los datos van cifrados y si puedes exportarlos cuando quieras. En el software para clínicas estéticas tienes la lista completa de lo que conviene revisar al elegir.

¿Cuánto tiempo guardo los datos y qué borro?

La regla de fondo es guardar cada dato mientras lo necesites para lo que lo recogiste, y ni un día más sin motivo. Algunos plazos y pautas:

• Historia clínica en centros sanitarios: como mínimo cinco años desde el alta de cada proceso asistencial, según la Ley 41/2002 que cita la guía de la AEPD. Tu comunidad autónoma puede fijar plazos más largos.
• Facturas y datos contables: el plazo que marque la normativa fiscal y mercantil. Pregúntale a tu gestoría.
• Grabaciones de cámaras: un mes como máximo, salvo incidencias.
• Permisos de promociones y de imagen: guarda la prueba de que los dio mientras uses ese permiso.
• Clientas que ya no vienen: decide un plazo con tu asesor, escríbelo en tu registro de actividades y aplícalo.

Cuando una clienta pide que borres sus datos, la Ley Orgánica 3/2018 obliga a bloquearlos: se apartan para que nadie los use y solo quedan disponibles para jueces, administraciones o para atender posibles responsabilidades durante el plazo en que puedan exigirse. Pasado ese plazo, se eliminan.

¿Qué hago si una clienta pide sus datos o si pierdo información?

Si una clienta ejerce sus derechos (pedir una copia de sus datos, corregirlos, que los borres o que dejes de enviarle promociones), tienes que responder en el plazo de un mes desde que recibes la solicitud. La AEPD permite alargarlo dos meses más si la petición es compleja, avisándole dentro del primer mes y explicando por qué.

Si hay una fuga de datos (un portátil robado, un email con datos enviado a quien no era, alguien que entra en tu cuenta), es una brecha de seguridad. La AEPD explica que hay que notificarla a la Agencia sin dilación y, a más tardar, en las 72 horas siguientes a conocerla, salvo que sea improbable que suponga un riesgo para las personas. Si el riesgo es alto, además hay que comunicárselo a las clientas afectadas con lenguaje claro.

Prepárate antes de que pase: contraseñas personales para cada persona del equipo, bloqueo de pantalla en tablets y móviles, nada de fichas en papel a la vista y una persona que sepa qué hacer si algo falla.

Lista para ponerte al día en una tarde

Es una lista para orientarte, no una auditoría. Para tu caso concreto, cuenta con un asesor en protección de datos.

Cómo te ayuda Citanic

Un programa no cumple el RGPD por ti, pero puede ponértelo mucho más fácil. En Citanic:

• Los datos van cifrados en tránsito y en reposo, y cumplimos el RGPD.
• Firmamos contigo el contrato de encargado del tratamiento, también si tu clínica trata datos de salud.
• El equipo trabaja con permisos por rol, y en las clínicas sanitarias la historia clínica tiene permisos para restringir los datos médicos.
• Los consentimientos se firman en digital, con verificación por código de un solo uso, y quedan archivados en PDF en la ficha de cada clienta, no en una carpeta.
• La ficha reúne el historial de citas, los bonos, los documentos firmados y las notas internas en un único sitio.
• Puedes exportar tus datos cuando lo necesites.

Tenerlo todo en un sitio también evita que los datos acaben repartidos por libretas, hojas de cálculo y chats del móvil. Para saber cuándo vino una clienta o cuándo tiene su próxima cita, se lo preguntas al asistente con IA, y las notas de la sesión las dictas directamente en su ficha. Tus clientas, por su parte, ven sus citas, sus bonos y lo que tienen pendiente de pago en la app de tu centro, con tu marca.

Mira todo lo que incluye Citanic para centros de estética o repasa el resto de guías para centros de estética.

Pedir demo gratis