RGPD y LOPDGDD en tu centro de estética: guía práctica de protección de datos
Respuesta corta
Un centro de estética en España debe cumplir el RGPD y la LOPDGDD, y como trata datos de salud de sus clientas (alergias, medicación, embarazo, fotos de tratamientos) tiene que aplicar medidas reforzadas. Lo básico es informar a la clienta, tener una base legal para cada uso de sus datos, llevar un registro de actividades de tratamiento, firmar contratos con los proveedores que acceden a los datos y proteger la información con acceso restringido y sistemas seguros.
Puntos clave
- Las fichas de anamnesis contienen datos de salud: son categoría especial según el art. 9 del RGPD.
- Necesitas cláusula informativa, registro de actividades, contratos de encargado y un procedimiento para atender derechos.
- Para usar fotos en redes sociales necesitas un consentimiento específico y aparte.
- Las promociones por email, SMS o WhatsApp requieren consentimiento o relación previa (LSSI).
- Ante una brecha de seguridad grave tienes 72 horas para notificarla a la AEPD.
Muchos centros de estética creen que la protección de datos es cosa de grandes empresas o de hospitales. Pero piensa en lo que guardas: nombre, teléfono, alergias, medicación, embarazos, fotos de la cara o del cuerpo. Son datos muy personales, y la ley los protege con especial cuidado.
Esta guía resume, en lenguaje claro, lo que el RGPD y la LOPDGDD esperan de un centro de estética, una clínica de medicina estética o un centro de depilación láser. No sustituye al asesoramiento jurídico, pero te ayuda a saber qué tienes que revisar.
¿Qué normas de protección de datos se aplican a un centro de estética?
En España se aplican dos normas principales: el Reglamento General de Protección de Datos (RGPD), común a toda la Unión Europea, y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo concreta. La autoridad de control es la Agencia Española de Protección de Datos (AEPD).
Si envías comunicaciones comerciales por medios electrónicos, también entra en juego la LSSI. Y si tienes una clínica de medicina estética, la Ley 41/2002 de autonomía del paciente regula la historia clínica y el consentimiento informado.
Si tu centro está en Latinoamérica, aplica la ley de protección de datos de tu país. Muchos principios son parecidos (informar, pedir consentimiento, proteger los datos), pero los requisitos concretos cambian.
¿Son datos de salud los que recoges en la ficha de clienta?
Sí, en buena parte. Alergias, medicación, enfermedades de la piel, embarazo o tratamientos previos son datos relativos a la salud, una categoría especial del artículo 9 del RGPD. Su tratamiento está prohibido salvo excepciones, como el consentimiento explícito de la clienta o, en el ámbito sanitario, la prestación de asistencia sanitaria.
En la práctica, para un centro de estética lo habitual es pedir el consentimiento explícito de la clienta para tratar esos datos con la finalidad del tratamiento estético, y recoger solo lo que realmente necesitas.
¿Qué documentos necesita tu centro para cumplir el RGPD?
Esta es la lista mínima que deberías tener preparada:
- Cláusula informativa para clientas: quién eres, qué datos tratas, para qué, cuánto tiempo los guardas y cómo ejercer sus derechos.
- Registro de actividades de tratamiento: clientas, empleadas, proveedores, videovigilancia si la tienes.
- Consentimientos separados: datos de salud para el tratamiento, uso de fotos en redes, comunicaciones comerciales.
- Contratos de encargado del tratamiento con tu software, tu gestoría, tu proveedor de email o SMS.
- Compromiso de confidencialidad firmado por cada persona del equipo.
- Procedimiento para atender derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad) en el plazo de un mes.
- Procedimiento ante brechas de seguridad y un registro de incidentes.
- Política de privacidad y de cookies en tu web.
La AEPD ofrece en su web guías y herramientas gratuitas para pequeñas empresas que tratan datos de bajo riesgo. Con datos de salud, conviene además revisar tu documentación con una asesoría.
¿Necesitas un delegado de protección de datos (DPD)?
Depende de tu actividad. La LOPDGDD obliga, entre otros, a los centros sanitarios legalmente obligados a mantener historias clínicas, con excepción de los profesionales sanitarios que ejercen a título individual. Una clínica de medicina estética con varios profesionales puede estar en este caso.
Un centro de estética no sanitario normalmente no está obligado, aunque puede nombrar uno de forma voluntaria. Si no estás segura, consúltalo: el coste de un DPD externo suele ser asumible y te quita dudas.
¿Puedes hacer y publicar fotos de antes y después?
Hacer fotos para documentar el tratamiento es razonable y forma parte de la ficha, siempre que la clienta esté informada. Publicarlas en Instagram, en tu web o en un anuncio es otra finalidad y necesita un consentimiento específico, aparte y revocable.
- Guarda las fotos en la ficha de la clienta, no en el móvil personal ni en chats.
- Pide el consentimiento para redes por separado, nunca escondido en el consentimiento del tratamiento.
- Si la clienta lo retira, deja de usar las fotos y retíralas de tus canales.
- Evita que se vean rasgos identificables si no son necesarios.
¿Puedes enviar recordatorios y promociones por WhatsApp o email?
Los recordatorios de cita y los mensajes sobre un servicio contratado forman parte de la relación con la clienta. Infórmale del canal que usas en tu cláusula informativa.
Las promociones son otra cosa. Según la LSSI, necesitas su consentimiento previo, salvo que ya sea clienta y le ofrezcas productos o servicios similares a los que contrató, y siempre con una forma fácil y gratuita de darse de baja en cada mensaje. Usa una cuenta de empresa, no tu WhatsApp personal, y no compartas contactos en grupos donde todas ven los números de todas.
¿Qué hacer si sufres una brecha de seguridad?
Un móvil robado con fotos de clientas, un email enviado a la persona equivocada o un acceso indebido al programa son brechas de seguridad. Actúa así:
- Contén el problema: cambia contraseñas, bloquea el dispositivo o retira el acceso.
- Valora el riesgo para las clientas afectadas: qué datos, cuántas personas, si incluye datos de salud.
- Si hay riesgo para sus derechos, notifícalo a la AEPD en un máximo de 72 horas desde que lo conoces.
- Si el riesgo es alto, informa también a las clientas afectadas.
- Documenta la brecha y las medidas tomadas, aunque no tengas que notificarla.
¿Qué debe ofrecer tu software para ayudarte con el RGPD?
El software no te hace cumplir por sí solo, pero puede ponértelo mucho más fácil:
| Requisito | Qué buscar en el software |
|---|---|
| Seguridad | Conexión cifrada (SSL), copias de seguridad, acceso con contraseña personal |
| Ubicación de los datos | Servidores en la Unión Europea |
| Contrato de encargado | Contrato disponible y claro |
| Acceso restringido | Permisos por rol para el equipo |
| Consentimientos | Formularios con firma digital guardados en la ficha |
| Derechos de la clienta | Exportar, corregir y borrar datos fácilmente |
Treatflow aloja los datos en servidores de la UE (Frankfurt), con SSL y copias de seguridad diarias, y guarda fichas, consentimientos firmados y fotos en la ficha de cada clienta. El centro sigue siendo el responsable y el propietario de los datos.
Preguntas frecuentes
¿Tengo que registrar mi centro en la AEPD?
No. Desde el RGPD ya no existe la inscripción de ficheros en la AEPD. En su lugar debes llevar internamente un registro de actividades de tratamiento y tener tu documentación al día por si te la solicitan.
¿Puedo guardar las fichas de clientas en papel?
Sí, el RGPD también se aplica al papel. Deben estar en un armario cerrado con llave, con acceso solo para quien las necesita, y destruirse de forma segura cuando venza el plazo de conservación.
¿Cuánto tiempo puedo guardar los datos de una clienta?
El necesario para la finalidad y para cumplir obligaciones legales. En centros sanitarios, la documentación clínica se conserva al menos cinco años desde el alta según la Ley 41/2002, y algunas comunidades exigen más. Define tus plazos por escrito y aplícalos.
¿Qué pasa si una clienta pide que borre sus datos?
Debes atender la solicitud en el plazo de un mes. Borra lo que ya no necesites y conserva, bloqueado, solo lo que estés obligada a guardar por ley, explicándoselo a la clienta.
¿Puedo usar WhatsApp para enviar la ficha de anamnesis?
Es mejor no enviar ni recibir datos de salud por chat. Envía por WhatsApp o email un enlace a un formulario seguro, para que las respuestas se guarden directamente en la ficha de la clienta.
¿Qué multas puede imponer la AEPD?
El RGPD prevé multas que dependen de la gravedad y del tamaño de la empresa, además de apercibimientos. Para un centro pequeño, más que la cuantía, preocupa el daño a la confianza de las clientas: por eso merece la pena tener lo básico en orden.
Funciones de Treatflow relacionadas
Fuentes
Gestiona tu centro desde un solo lugar
Agenda, fichas de clientes, formularios y recordatorios en una sola app. 14 días gratis, sin tarjeta.
Probar gratis