En Colombia, una clínica estética es responsable del tratamiento de los datos de sus pacientes y debe pedir autorización para tratarlos, con autorización explícita para los datos de salud, que la Ley 1581 de 2012 clasifica como sensibles. El software que usa para agenda, WhatsApp o CRM suele ser encargado del tratamiento, y esa relación debe quedar en un contrato de transmisión de datos. Esta guía explica qué significa cada cosa y trae una lista de preguntas para hacerle a tu proveedor.
Aviso: este artículo es informativo y no constituye asesoría legal. Lo escribe el equipo de Daity, un software para clínicas estéticas.
¿Qué normas aplican?
- Ley Estatutaria 1581 de 2012: régimen general de protección de datos personales.
- Decreto 1377 de 2013: la reglamenta parcialmente. Hoy está compilado en el Decreto 1074 de 2015, Decreto Único Reglamentario del Sector Comercio, Industria y Turismo.
- Decreto 090 de 2018: delimita quién debe inscribir sus bases de datos en el Registro Nacional de Bases de Datos.
- La autoridad de control es la Superintendencia de Industria y Comercio (SIC), a través de su Delegatura para la Protección de Datos Personales.
Conceptos que necesitas tener claros
| Concepto | Qué significa | En tu clínica |
|---|---|---|
| Titular | La persona a quien se refieren los datos | El paciente |
| Responsable | Quien decide sobre la base de datos y su tratamiento | Tu clínica |
| Encargado | Quien trata los datos por cuenta del responsable | Tu software de agenda, WhatsApp o CRM, tu contador externo |
| Autorización | Consentimiento previo, expreso e informado del titular | El formulario que firma o acepta el paciente |
| Dato sensible | Dato que afecta la intimidad o cuyo uso indebido puede discriminar | Datos de salud, fotos clínicas, antecedentes |
| Transmisión | Comunicación de datos al encargado para que los trate por cuenta del responsable | Cuando tu software guarda los datos de tus pacientes |
¿Por qué los datos de una clínica estética son sensibles?
El artículo 5 de la Ley 1581 de 2012 incluye entre los datos sensibles los relativos a la salud. En una clínica estética eso abarca, entre otros:
- Antecedentes médicos, alergias y medicamentos.
- Tratamientos y procedimientos realizados.
- Fotos clínicas, incluidas las de antes y después.
- Notas del profesional sobre el estado del paciente.
El artículo 6 prohíbe tratar datos sensibles salvo excepciones, la principal de ellas la autorización explícita del titular. Y la reglamentación, hoy en el Decreto 1074 de 2015, exige además:
- Informar al titular que no está obligado a autorizar el tratamiento de datos sensibles.
- Informarle cuáles de los datos son sensibles y para qué se van a usar.
- No condicionar ninguna actividad a que entregue datos sensibles.
En la práctica, el formulario de autorización de tu clínica debería separar los datos sensibles y decir claramente que su entrega es facultativa.
¿Qué debe hacer la clínica como responsable?
- Tener una política de tratamiento de datos publicada y accesible.
- Pedir la autorización antes de recoger los datos, informando finalidades, derechos y canales de contacto, y conservar prueba de ella.
- Pedir autorización explícita para los datos de salud, informando que es facultativa.
- Atender consultas y reclamos de los pacientes dentro de los plazos legales.
- Elegir encargados que ofrezcan garantías y firmar con ellos un contrato de transmisión.
- Aplicar medidas de seguridad para evitar acceso no autorizado, pérdida o uso indebido.
- Inscribir las bases de datos en el Registro Nacional de Bases de Datos si la clínica está obligada.
- Reportar a la SIC los incidentes de seguridad que afecten los datos.
¿Qué derechos tiene el paciente?
Según el artículo 8 de la Ley 1581 de 2012, el titular puede:
- Conocer, actualizar y rectificar sus datos.
- Pedir prueba de la autorización que dio.
- Saber qué uso se les ha dado.
- Presentar quejas ante la SIC.
- Revocar la autorización y pedir la supresión de sus datos, cuando no exista un deber legal o contractual de conservarlos.
- Acceder gratis a sus datos.
Plazos de respuesta: consultas, 10 días hábiles prorrogables por 5; reclamos, 15 días hábiles prorrogables por 8. En ambos casos, si necesitas la prórroga, debes informar el motivo al titular.
¿Qué es el contrato de transmisión y por qué lo necesitas?
Cuando tu software guarda los datos de tus pacientes, hay una transmisión de datos de la clínica (responsable) al proveedor (encargado). La reglamentación compilada en el Decreto 1074 de 2015 prevé un contrato de transmisión en el que el encargado se compromete, entre otras cosas, a:
- Tratar los datos solo según las instrucciones del responsable y para las finalidades autorizadas.
- Guardar confidencialidad.
- Salvaguardar la seguridad de las bases de datos.
Si tu proveedor aloja los datos fuera de Colombia, la transmisión es internacional y el contrato toma aún más importancia.
Lista de preguntas para tu proveedor de software
Copia esta lista y pídele respuesta por escrito:
| Pregunta | Qué respuesta buscas |
|---|---|
| ¿Firman contrato de transmisión de datos? | Sí, con las obligaciones del encargado por escrito |
| ¿Dónde se alojan los datos y con qué proveedores? | Nombres de proveedores y países |
| ¿Usan los datos de mis pacientes para algo distinto a prestarme el servicio? | No |
| ¿Cada persona de mi equipo entra con su propio usuario? | Sí, sin cuentas compartidas |
| ¿Puedo limitar lo que ve cada rol? | Sí, con roles y permisos |
| ¿Queda registro de quién hizo qué? | Sí, con un registro de auditoría |
| ¿Cómo borro los datos de un paciente que lo pide? | Un procedimiento claro, desde el panel o con soporte |
| ¿Cómo se protegen las fotos y documentos que mandan los pacientes? | Almacenamiento de acceso restringido, no enlaces públicos |
| Si uso WhatsApp, ¿es por la API oficial de Meta? | Sí; las herramientas no oficiales ponen en riesgo el número y los datos |
| ¿Qué pasa con los datos si dejo de usar el servicio? | Entrega y eliminación según lo pactado |
| ¿Cómo me avisan si hay un incidente de seguridad? | Un compromiso de aviso oportuno |
Errores comunes en clínicas
- Pedir datos de salud en el formulario de reserva en línea sin explicar que son facultativos ni para qué se usan.
- Escribir antecedentes médicos en notas comerciales del CRM o en el chat de WhatsApp, donde los ve todo el equipo comercial.
- Compartir el celular de la clínica entre varias personas sin control de quién vio qué.
- Usar fotos de pacientes en redes sin autorización específica para ese uso.
- No tener un canal para que los pacientes ejerzan sus derechos.
- Usar herramientas no oficiales de WhatsApp que simulan un celular.
¿Cómo lo maneja Daity?
En Daity tu clínica es la responsable y Daity actúa como encargado. Firmamos con cada clínica un contrato de transmisión de datos. Cada persona de tu equipo entra con su propio usuario, el acceso se controla por roles y permisos, y las acciones relevantes quedan en un registro de auditoría con los datos de contacto enmascarados. Las fotos, audios y documentos de las conversaciones se guardan en almacenamiento de acceso restringido. El WhatsApp se conecta por la API oficial de Meta. Cada paciente tiene preferencias de notificación por tipo y canal, y la clínica puede borrar conversaciones y retirar datos de contacto cuando un paciente lo pide. Daity no es un software de historia clínica: te recomendamos llevarla en un sistema destinado a ella.
Más detalle en seguridad y habeas data.