CRM para clínicas privadas y la protección de datos de salud

Los datos de salud son una categoría especial: el RGPD prohíbe tratarlos salvo que concurra una excepción, como la asistencia sanitaria. Una clínica que elige agenda o CRM debe comprobar cinco cosas: la base legal, el contrato con el proveedor, la seguridad, la conservación y qué datos de salud entran en la herramienta.

Revisado el 2026-10-10. BAI Business ofrece un CRM y una agenda y publica este artículo. Esta guía no sustituye el consejo de un abogado o de tu delegado de protección de datos.

Los datos de salud son una categoría especial

El artículo 9.1 del Reglamento (UE) 2016/679 (RGPD) prohíbe el tratamiento de datos relativos a la salud, entre otros. El artículo 9.2 lista las circunstancias en que la prohibición no se aplica. Dos son relevantes para una clínica: que el interesado haya dado su consentimiento explícito (letra a) y que el tratamiento sea necesario para fines de diagnóstico médico o de prestación de asistencia o tratamiento de tipo sanitario, sobre la base del Derecho de la Unión o de los Estados miembros o en virtud de un contrato con un profesional sanitario (letra h) (fuente: EUR-Lex, consultado el 2026-10-10).

La asistencia sanitaria al paciente tiene su excepción. Lo que no la tiene automáticamente es todo lo demás que se hace con sus datos: enviarle publicidad, por ejemplo, necesita otra base legal.

Cinco cosas que comprobar antes de elegir

1. Qué datos de salud entran en la herramienta

Decide qué va al CRM o a la agenda y qué se queda en la historia clínica. Una agenda puede funcionar con el nombre, el contacto y la hora de la cita sin que figure el motivo clínico. Cuantos menos datos de salud pasen por la herramienta, menos obligaciones reforzadas arrastra.

2. Contrato con el proveedor

Si el proveedor de la agenda o del CRM trata datos de tus pacientes por tu cuenta, es encargado del tratamiento. El artículo 28.3 del RGPD exige que el tratamiento por un encargado se rija por un contrato u otro acto jurídico. Pídelo antes de empezar y guárdalo.

3. Seguridad

El artículo 32.1 del RGPD obliga al responsable y al encargado a aplicar medidas técnicas y organizativas adecuadas al riesgo, que incluyen, entre otras, la seudonimización y el cifrado de los datos personales (consultado el 2026-10-10). Pregunta al proveedor qué medidas aplica y cómo controla quién accede a qué.

4. Dónde se tratan los datos

El artículo 44 del RGPD solo permite las transferencias de datos personales a un tercer país si el responsable y el encargado cumplen las condiciones del capítulo correspondiente (consultado el 2026-10-10). Pregunta al proveedor dónde se alojan los datos y quién más los trata.

5. Conservación

El artículo 17 de la Ley 41/2002 obliga a los centros sanitarios a conservar la documentación clínica, como mínimo, cinco años contados desde la fecha del alta de cada proceso asistencial (fuente: BOE, consultado el 2026-10-10). La historia clínica tiene su propio sistema; el CRM o la agenda no la sustituyen.

Lo que cuesta incumplir

El artículo 83.5 del RGPD prevé multas de hasta 20 millones de euros o, tratándose de una empresa, del 4 % del volumen de negocio total anual global del ejercicio anterior, optándose por la mayor cuantía, para las infracciones de los principios básicos del tratamiento, entre ellos las condiciones del artículo 9 (consultado el 2026-10-10). Es el máximo; la cuantía real depende de cada caso.

Dónde encaja BAI y dónde no

BAI Business es una plataforma de gestión para autónomos y pymes con CRM, agenda y reservas, facturación y recepcionista. Según la ficha de su solución de agenda, tu página de reservas cuenta tus plazas y el cliente recibe un recordatorio de su cita. Puedes verla en la página de agenda y reservas online.

Para una clínica, la pregunta es qué datos de salud van a la herramienta. BAI encaja como agenda, ficha de contacto y comunicación; no describimos aquí una historia clínica ni su conservación, que corresponde a un programa clínico específico. Antes de contratar cualquier proveedor, el nuestro incluido, pide el contrato de encargado del tratamiento y las medidas de seguridad por escrito.

Preguntas frecuentes

¿Son los datos de un paciente una categoría especial?

Sí. El artículo 9.1 del RGPD prohíbe el tratamiento de datos relativos a la salud salvo que concurra una de las excepciones del artículo 9.2, entre ellas la de prestar asistencia o tratamiento sanitario (letra h) o el consentimiento explícito (letra a).

¿Necesito un contrato con mi proveedor de agenda o CRM?

Sí. Si el proveedor trata datos de tus pacientes por tu cuenta es encargado del tratamiento, y el artículo 28.3 del RGPD exige que el tratamiento se rija por un contrato u otro acto jurídico. Pídelo antes de empezar.

¿Cuánto tiempo debe conservarse la historia clínica?

El artículo 17 de la Ley 41/2002 obliga a los centros sanitarios a conservar la documentación clínica como mínimo cinco años desde el alta de cada proceso asistencial (consultado el 2026-10-10). Un CRM de agenda y comunicación no sustituye a la historia clínica.

¿Cuánto puede costar una infracción?

Las infracciones de los principios básicos del tratamiento, entre ellas las del artículo 9, pueden sancionarse con multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, según el artículo 83.5 del RGPD (consultado el 2026-10-10).

También te puede interesar

• RGPD para tu pyme: qué datos de clientes puedes guardar y cuánto tiempo: los plazos de conservación de los datos de clientes.
• Mejores apps de agenda y citas con CRM: comparativa de apps de reservas.

Fuentes

• Reglamento (UE) 2016/679 (RGPD), texto consolidado, consultada el 10 de octubre de 2026.
• Ley 41/2002, básica reguladora de la autonomía del paciente, BOE, consultada el 10 de octubre de 2026.
• Ley Orgánica 3/2018 (LOPDGDD), BOE, consultada el 10 de octubre de 2026.