RGPD para clínicas: qué exigir a tu chatbot de citas

La respuesta corta: ¿puede una clínica usar un chatbot de citas sin saltarse el RGPD?

Sí, pero no por defecto. Un asistente que recoge el nombre y el teléfono de un paciente ya es un tratamiento de datos personales, y en cuanto se cuela el motivo de la consulta pasa a ser un dato de salud de categoría especial (art. 9 RGPD). El checklist que hay que cubrir cabe en nueve puntos: consentimiento explícito en el primer contacto, política de privacidad accesible por enlace, no preguntar datos de salud que no necesitas, saber dónde se almacenan los datos y con qué garantías si salen de la UE, no conservar el audio de las llamadas (o, si lo grabas, avisar al inicio y borrarlo en un plazo corto), contrato de encargado firmado con tu proveedor (art. 28), un procedimiento interno para responder a los derechos del paciente en el plazo de un mes, que el bot se identifique como IA (art. 50 del AI Act) y que el paciente siempre pueda pasar a hablar con una persona.

Casi todos se resuelven con decisiones de configuración y de contrato, no con desarrollo a medida.

Si tu chatbot recoge datos de pacientes, el RGPD te afecta

No hay excusa: si un asistente virtual —con IA o sin ella— recoge el nombre, teléfono o cualquier dato de salud de un paciente, estás haciendo un tratamiento de datos personales sujeto al Reglamento General de Protección de Datos (RGPD) y a la LOPDGDD española.

Y si el dato es de salud (por ejemplo, "necesito cita para dermatología" o "vengo por la analítica de colesterol"), entras en la categoría de datos especialmente protegidos (art. 9 RGPD), que exige garantías adicionales.

Este artículo es un checklist práctico para que evalúes si tu chatbot de citas cumple la normativa o si tienes una brecha de cumplimiento que puede costarte una sanción.

1. Base legal: ¿por qué puedes tratar los datos?

El RGPD exige que todo tratamiento tenga una base legal. Para un chatbot de citas de clínica, las bases aplicables son:

• Consentimiento del paciente (art. 6.1.a): la más habitual. El paciente debe aceptar explícitamente que sus datos se usen para gestionar la cita.
• Ejecución de un contrato (art. 6.1.b): si el paciente ya es cliente de la clínica y la cita es parte del servicio contratado.
• Interés legítimo (art. 6.1.f): discutible para datos de salud. No lo recomendamos como base única.

En la práctica: el primer mensaje del bot debe incluir una frase tipo: "Soy un asistente virtual de [Clínica]. Para gestionar tu cita necesito tu nombre y teléfono. ¿Me los das? Puedes ver nuestra política de privacidad en [enlace]."

2. Información al paciente: ¿qué debes decirle?

El art. 13 RGPD exige que el responsable informe al interesado, como mínimo, de:

• Identidad del responsable (nombre de la clínica, CIF, contacto DPO si existe).
• Finalidad del tratamiento ("gestionar citas y enviar recordatorios").
• Base legal ("tu consentimiento").
• Plazo de conservación ("los datos se eliminan 12 meses después de la última cita").
• Derechos del paciente (acceso, rectificación, supresión, limitación, portabilidad).
• Existencia de decisiones automatizadas ("un asistente virtual gestiona tu cita; puedes pedir hablar con una persona").

No hace falta soltar todo esto en el primer mensaje de WhatsApp. Basta con un resumen breve y un enlace a la política de privacidadcompleta. ClinicSmart incluye una página de privacidad por cada clínica que cubre estos puntos.

3. Datos de salud: la categoría especial

Cuando un paciente dice "quiero cita para revisión de mi diabetes" o "necesito que me vea el traumatólogo por la rodilla", está revelando un dato de salud. El art. 9 RGPD prohíbe el tratamiento de estas categorías salvo excepciones. La aplicable aquí es elconsentimiento explícito (art. 9.2.a).

Qué hacer:

• Diseñar el flujo del bot para que no pregunte por el motivo de la consulta si no es estrictamente necesario. Basta con el tratamiento ("limpieza dental", "revisión anual") sin entrar en detalles clínicos.
• Si el paciente revela un dato de salud espontáneamente, el sistema debe tratarlo con las mismas garantías que el resto de datos y eliminarlo cuando ya no sea necesario.

4. Dónde se almacenan los datos

El RGPD no exige que los datos estén en la UE, pero sí que el nivel de protección sea equivalente. Si tu proveedor de IA o de WhatsApp procesa datos en EE. UU., necesitas garantías adicionales (cláusulas estándar, Binding Corporate Rules, etc.).

Recomendación: elige proveedores que almacenen y procesen datos dentro de la UE. ClinicSmart aloja su base de datos en la UE (Fráncfort, Alemania); los proveedores de IA, telefonía y mensajería que tratan datos en EE. UU. lo hacen con cláusulas contractuales tipo.

5. Grabaciones de voz: ¿se almacenan?

Si tu asistente atiende llamadas de voz, la pregunta es inevitable: ¿se graban las conversaciones?

La respuesta correcta es: no. Las grabaciones de voz son datos biométricos (categoría especial, art. 9) y su almacenamiento requiere una justificación muy sólida. Un sistema bien diseñado procesa la voz en tiempo real, extrae la información necesaria (nombre, fecha solicitada) y descarta el audio inmediatamente.

Si por algún motivo técnico necesitas almacenar grabaciones (por ejemplo, control de calidad), debes:

• Informar al paciente al inicio de la llamada ("esta llamada puede ser grabada para mejorar el servicio").
• Establecer un plazo de eliminación automático (máximo 30 días).
• Restringir el acceso solo al personal autorizado.

6. Encargados del tratamiento: ¿quién procesa tus datos?

Si usas un chatbot de terceros, ese tercero es unencargado del tratamiento (art. 28 RGPD). Necesitas:

• Un contrato de encargado firmado que especifique qué hace con los datos, cómo los protege y qué pasa al terminar la relación.
• Que el encargado no subcontrate el procesamiento sin tu autorización.
• Que el encargado te ayude a cumplir con los derechos de los pacientes (acceso, supresión, etc.).

7. Derechos del paciente: ¿cómo los ejercita?

Todo paciente tiene derecho a:

• Acceder a los datos que tienes sobre él.
• Rectificar datos incorrectos (un teléfono mal anotado, un nombre mal transcrito).
• Suprimir sus datos ("derecho al olvido").
• Limitar el tratamiento (por ejemplo, dejar de recibir recordatorios).
• Portabilidad (recibir sus datos en formato estructurado).

En la práctica: el paciente puede ejercer estos derechos por WhatsApp, por email o en persona. La clínica debe tener un procedimiento interno para responder en el plazo legal (1 mes). Un buen sistema de chatbot permite al paciente decir "borra mis datos" y la clínica recibe una alerta para actuar.

8. AI Act: transparencia con la IA

Desde agosto de 2026, el Art. 50 del AI Act exige que las personas sean informadas cuando interactúan con un sistema de IA. Esto significa que tu chatbot debe:

• Identificarse como IA al inicio de la conversación.
• No hacerse pasar por un humano.
• Ofrecer la opción de hablar con una persona real.

ClinicSmart cumple esto por defecto: en voz, el bot se presenta como "asistente virtual"; en WhatsApp, el nombre y el tono dejan claro que es un sistema automático.

Checklist rápido de cumplimiento

Preguntas frecuentes

¿Necesito el consentimiento del paciente para que un chatbot gestione sus citas?

En la práctica, sí. La base legal más habitual para un chatbot de citas es el consentimiento del paciente (art. 6.1.a RGPD): tiene que aceptar de forma explícita que sus datos se usen para gestionar la cita. La ejecución de un contrato (art. 6.1.b) sirve cuando el paciente ya es cliente de la clínica y la cita forma parte del servicio contratado. El interés legítimo (art. 6.1.f) es discutible con datos de salud y no lo recomendamos como base única. Y si aparece un dato de salud, la excepción aplicable del art. 9 es el consentimiento explícito (art. 9.2.a).

¿Se graban las llamadas del asistente de voz de una clínica?

La respuesta correcta es que no se almacenan. Una grabación de voz es un dato biométrico de categoría especial (art. 9 RGPD) y guardarla exige una justificación muy sólida: un sistema bien diseñado procesa la voz en tiempo real, extrae lo que necesita (nombre, fecha solicitada) y descarta el audio. En ClinicSmart el audio no se almacena; solo quedan la transcripción y el resumen. Si aun así necesitas grabar por control de calidad, tienes que informar al paciente al inicio de la llamada, fijar un borrado automático (máximo 30 días) y restringir el acceso al personal autorizado.

¿Los datos del chatbot tienen que estar alojados en la UE?

El RGPD no exige que los datos estén físicamente en la UE, pero sí que el nivel de protección sea equivalente. Si tu proveedor de IA o de WhatsApp procesa datos en EE. UU., necesitas garantías adicionales, como las cláusulas contractuales tipo. ClinicSmart aloja su base de datos en la UE (Fráncfort, Alemania); los proveedores de IA, telefonía y mensajería que tratan datos en EE. UU. lo hacen con cláusulas contractuales tipo.

¿Tengo que firmar un contrato con el proveedor del chatbot?

Sí. Si el chatbot es de un tercero, ese tercero es encargado del tratamiento (art. 28 RGPD) y necesitas un contrato de encargado firmado que especifique qué hace con los datos, cómo los protege y qué pasa al terminar la relación. Ese contrato debe impedir que subcontrate el procesamiento sin tu autorización y obligarle a ayudarte cuando un paciente ejerza sus derechos de acceso o supresión. La responsable del tratamiento sigue siendo la clínica.

¿El chatbot tiene que decir que es una IA?

Sí. Desde agosto de 2026, el art. 50 del AI Act exige que las personas sean informadas cuando interactúan con un sistema de IA: el chatbot debe identificarse como IA al inicio de la conversación, no hacerse pasar por un humano y ofrecer la opción de hablar con una persona real. En ClinicSmart el asistente de voz se presenta como asistente virtual y, en WhatsApp, el nombre y el tono dejan claro que es un sistema automático.

¿Tu chatbot cumple? Te ayudamos a comprobarlo

ClinicSmart está diseñado desde el primer día con el RGPD en mente: base de datos en la UE (Fráncfort, Alemania), consentimiento en el primer contacto, sin almacenamiento de voz, política de privacidad por clínica y cumplimiento del AI Act. Si quieres ver cómo funciona con los datos de tu clínica, te preparamos una demo sin compromiso.