El WhatsApp y las fotos de "antes y después" que le han costado 40.000 € a dos clínicas

Un grupo de WhatsApp para avisar de promociones. Una foto de antes y después que ya tenías firmada. Son dos cosas que hace la mayoría de clínicas estéticas en España sin pensarlo dos veces. La Agencia Española de Protección de Datos (AEPD) ya ha sancionado ambas prácticas — con expedientes públicos, no con supuestos.

Caso 1: el grupo de WhatsApp "Medicina Estética 2" — 30.000 €

Expediente PS-00158-2023. Una clínica creó un grupo de WhatsApp llamado "Medicina Estética 2" e incorporó los números de teléfono de decenas de clientas para enviarles promociones. El problema no fue el mensaje: fue el grupo. Cualquier integrante podía ver el número — y por tanto la identidad — del resto.

La AEPD consideró que eso vulnera el artículo 5.1.f del RGPD (confidencialidad) y agravó la sanción porque el dato expuesto no era un teléfono cualquiera: al tratarse de clientas de una clínica de medicina estética, revelar su pertenencia al grupo revela indirectamente un dato de salud, protegido por el artículo 9. Total: 30.000 €, y la agencia ordenó eliminar el grupo y sustituirlo por un sistema que no permita a un destinatario ver los datos de otro.

Caso 2: la foto de antes/después publicada fuera de lo firmado — 10.000 €

Expediente PS/00199/2021. Una paciente firmó, en el momento de su intervención, una autorización para que el equipo médico fotografiara el procedimiento "con fines médicos, científicos y educativos", sin revelar su identidad. Años después, la clínica publicó esas mismas fotos de antes y después en Facebook e Instagram.

La clínica sí tenía un consentimiento firmado. El problema es que ese consentimiento autorizaba un uso distinto al que le dieron. La AEPD impuso dos sanciones de 5.000 € cada una: una por infringir el artículo 6.1 (tratar el dato — publicarlo en redes — sin base legal para ese fin concreto) y otra por el artículo 9 (las imágenes revelaban información sobre una intervención, un dato de salud).

La lección que se repite: consentimiento para un fin no vale para otro

En los dos casos, la clínica tenía algo: un número guardado, una foto firmada. Lo que faltaba era un consentimiento específico para el uso concreto que le dieron después. El RGPD no pide "tener un papel firmado" — pide que ese papel autorice exactamente lo que haces con el dato, y que lo puedas demostrar si te lo piden.

• Consentimiento de tratamiento ≠ consentimiento de difusión: autorizar que te fotografíen durante un procedimiento no autoriza a publicar esa foto en Instagram. Son dos consentimientos distintos, con dos fechas y dos firmas.
• Un dato de salud no es solo el historial clínico: el número de una paciente en un grupo de "Medicina Estética", o una foto de una intervención, cuentan como dato de salud aunque no lo parezcan a simple vista.
• La trazabilidad importa tanto como el consentimiento: en ambos casos, la AEPD pudo reconstruir con exactitud qué se autorizó y cuándo. Si tu clínica no puede hacer lo mismo, el consentimiento no sirve de defensa.

Cómo se evita en la práctica

No hace falta contratar un departamento legal. Hace falta que las herramientas que ya usas no permitan el error:

• WhatsApp por API certificada, no por grupo ni número personal: cada conversación es 1 a 1. Ninguna paciente ve el teléfono de otra, y cada mensaje queda registrado con quién lo autorizó.
• Consentimientos separados y con fecha: uno para el tratamiento, otro específico si vas a usar fotos con fines comerciales o en redes — y que quede archivado, no solo firmado en un papel que nadie vuelve a mirar.
• Registro de quién dio qué permiso: si te lo piden, tienes que poder mostrarlo en minutos, no reconstruirlo de memoria.