Datos de salud
Los datos de salud son datos personales relativos a la salud física o mental de una persona física que revelan información sobre su estado de salud: un diagnóstico, una enfermedad pasada, el resultado de una prueba. El artículo 9 del RGPD los incluye entre las categorías especiales de datos personales, cuyo tratamiento está sujeto a condiciones adicionales.
¿Qué son los datos de salud?
El RGPD define los datos relativos a la salud en el artículo 4, punto 15: «datos personales relativos a la salud física o mental de una persona física, incluida la prestación de servicios de atención sanitaria, que revelen información sobre su estado de salud».
La fuente importa poco. Cuenta la carta de un médico, y también el mensaje de un cliente que dice que el año pasado le trataron de la espalda. Ejemplos típicos:
- Enfermedades y tratamientos: diagnósticos, discapacidades, medicamentos y terapias, también de salud mental.
- Resultados de pruebas: informes médicos, análisis y partes de baja.
- Citas: una cita con un especialista también puede revelar una enfermedad.
¿Por qué están especialmente protegidos los datos de salud?
El artículo 9 del RGPD, titulado «Tratamiento de categorías especiales de datos personales», incluye en su apartado 1 los datos relativos a la salud entre los datos cuyo tratamiento queda prohibido, junto con, por ejemplo, los datos genéticos, los biométricos, las convicciones religiosas o la orientación sexual. El apartado 2 recoge las circunstancias en las que esa prohibición no se aplica, entre ellas que «el interesado dio su consentimiento explícito para el tratamiento de dichos datos personales con uno o más de los fines especificados», con la salvedad que el propio texto añade. La razón es el riesgo: un detalle médico que llega a manos equivocadas puede acompañar a una persona durante mucho tiempo, por ejemplo en un empleo o en una futura solicitud de seguro.
Cuál de esas circunstancias se aplica a tus tratamientos es una pregunta para tu asesor jurídico o tu delegado de protección de datos.
Tratar datos de salud pide además una protección acorde con el riesgo: tus propias medidas técnicas y organizativas y, con cada proveedor que trate datos por encargo tuyo, un contrato de encargo del tratamiento (DPA).
¿Con qué datos de salud se encuentra una correduría?
En seguros, los datos de salud aparecen sobre todo en dos momentos: el cuestionario de salud al contratar y el siniestro. Ejemplos típicos:
- Seguro de vida: enfermedades pasadas, tratamientos y terapias, también de salud mental. En un siniestro se suman informes médicos.
- Seguro de salud: preguntas sobre tratamientos y medicamentos. Más adelante, casi cada factura o informe menciona un diagnóstico.
- Seguro de accidentes: tras un accidente, informes médicos, evolución del tratamiento y gravedad de las lesiones.
Para una correduría, esto significa que la información de salud pasa a menudo por la oficina antes de llegar a la aseguradora. Algunos clientes también la envían sin que nadie se la pida, por ejemplo al preguntar si una hernia discal afectaría a su seguro de vida. Cómo organizan las corredurías el resto de la comunicación con sus clientes lo cuenta nuestra guía de comunicación con clientes para corredores de seguros, y qué ofrece SendSeven a las corredurías, la página de seguros.
¿Cuentan los recordatorios de cita?
Pueden contar. Un recordatorio que nombra el tipo de seguro o el motivo de la cita ya dice algo sobre la salud de un cliente. Mantén los recordatorios neutros: fecha, hora y la persona con quien se reúne el cliente, sin el seguro, sin el motivo y sin ningún resultado.
¿Se pueden pedir datos de salud por WhatsApp?
Lo desaconsejamos. Es nuestra regla de uso, no una norma que atribuyamos a Meta ni al RGPD: la información de salud no se pide en el chat. Las circunstancias del artículo 9 y la protección acorde con el riesgo quedan para hablarlas con tu asesor.
La WhatsApp Business Messaging Policy de Meta incluye además un punto sobre identificadores sensibles: las empresas no comparten ni piden a sus clientes que compartan números completos de tarjeta, de cuenta bancaria, de documento de identidad u otros identificadores sensibles.
Nuestra entrada Mensajería conforme al RGPD trata las reglas de mensajería en general. Cómo gestiona tu correduría los datos de salud es algo que acordarás con tu asesor o tu delegado de protección de datos.
¿Cómo mantener la información de salud fuera del chat?
La regla es de proceso, no de técnica. El chat lleva el camino, no el contenido:
- En el chat: propuestas de cita, peticiones de llamada, recordatorios de documentos que faltan y seguimientos sin detalle.
- No en el chat: preguntas de salud, diagnósticos, informes médicos, fotos de partes de baja y números completos de tarjeta, de cuenta o de documento de identidad.
- En su lugar: la conversación en la cita o por teléfono, y los documentos por una vía segura que elija la correduría.
Si un cliente envía igualmente información de salud, no respondas sobre el fondo. Basta una respuesta corta, por ejemplo: Gracias por su mensaje. Prefiero ver con usted sus preguntas de salud en persona o por teléfono. ¿Le viene bien el jueves a las 10:00? Acuerda de antemano con tu delegado de protección de datos cómo trata el equipo estos mensajes.
Un punto más: el opt-in de WhatsApp se refiere al contacto por ese canal. No es un consentimiento para tratar datos de salud.
Ejemplo práctico
Ardanuy Seguros, en Talavera de la Reina, también atiende por WhatsApp las preguntas de sus clientes. Una tarde, Carmen Ortega escribe que quiere revisar su seguro de vida y que hace dos años siguió una terapia. Marta, la asistente de gestión, responde a la mañana siguiente sin entrar en la terapia y propone una cita.
En la cita, Javier Ardanuy y Carmen Ortega repasan juntos las preguntas de salud. Ella entrega el informe del terapeuta por la vía segura que la correduría usa para sus documentos. Después, el chat solo muestra lo necesario para organizarse: la cita, un recordatorio, una confirmación. En SendSeven, el equipo anota en una nota interna que las preguntas de salud se vieron en persona, no su contenido.
Esto es información general, no asesoramiento jurídico. Consulta los detalles con tu asesor jurídico, tu consultor de cumplimiento o tu delegado de protección de datos.