El formulario de tu web y el RGPD: datos de salud

El formulario de contacto de la web de un gimnasio y el de una consulta de psicología se parecen en pantalla y no tienen nada que ver por detrás. En cuanto alguien escribe por qué quiere pedir cita, deja de ser un dato de contacto y pasa a ser un dato de salud.

Eso lo cambia todo: dónde se puede guardar, cuánto tiempo, quién lo ve y qué pasa si se pierde.

Qué dice exactamente la norma

El artículo 9 del Reglamento General de Protección de Datos define unas «categorías especiales» y las prohíbe tratar por defecto. Entre ellas están los datos relativos a la salud, y ahí entra cualquier información sobre el estado psicológico de una persona.

Prohibido por defecto significa que necesitas una excepción para poder tratarlos. Para una consulta privada, las dos que suelen aplicar son el consentimiento explícito de la persona y el tratamiento para la asistencia sanitaria por un profesional sujeto a secreto.

La diferencia práctica con un formulario normal es que aquí no basta con un interés legítimo ni con un consentimiento implícito. Tiene que ser explícito, informado y separado.

Qué convierte un formulario en dato de salud

No hace falta un diagnóstico. Basta con el contexto.

Un campo libre que dice «cuéntanos brevemente qué te ocurre» en la web de una psicóloga produce datos de salud aunque la persona escriba dos líneas vagas. Y de hecho, el simple hecho de solicitar cita en una consulta de psicología ya revela algo sobre la salud de quien escribe.

Por eso la respuesta no es quitar el campo libre: es tratar todo el formulario con el cuidado que ese campo exige.

Cómo se monta bien

Pide lo mínimo. Nombre, una forma de contacto y poco más. Cada campo de más es dato que tienes que custodiar. Y si el campo libre no te hace falta para responder, quítalo y pregunta por teléfono.

Consentimiento explícito y separado. Una casilla sin marcar, que la persona marca activamente, con un texto claro. No vale una casilla premarcada ni un «al enviar aceptas». Y va separada de cualquier otra: la de recibir el boletín es otra casilla distinta.

Di quién eres y para qué. Tu nombre, tu NIF, para qué usas los datos, cuánto tiempo los guardas y cómo se ejercen los derechos. Puede ser un resumen corto con enlace a la política completa.

Que no llegue por correo sin más. El correo electrónico ordinario no es un canal adecuado para datos de salud. Si el formulario te manda el contenido a Gmail, ese dato está ahí para siempre y en un sitio que no controlas. Es mejor que el aviso diga solo que hay una consulta nueva y que el contenido se lea en un panel con acceso propio.

Contrato con quien te aloja la web. Quien guarda tus datos es un encargado del tratamiento y hace falta un contrato firmado. Casi todos los proveedores serios lo tienen disponible; el problema es no haberlo firmado.

Borra. Un formulario que no acabó en cita no tiene por qué seguir en el servidor dos años después. Fija un plazo y cúmplelo.

Los errores que más se repiten

Los datos del formulario van también a herramientas de publicidad. Es lo más grave y lo más habitual. Si el formulario envía lo que se ha escrito a una plataforma de anuncios, has cedido datos de salud a un tercero sin base legal. Se corrige mandando solo la señal de que hubo una conversión, sin contenido ni identidad.

Una política de privacidad copiada. La de una tienda no describe el tratamiento de datos de salud. Es el documento que se mira primero si alguien reclama.

Las notas de las primeras llamadas en un cuaderno. El RGPD también aplica al papel cuando forma parte de un fichero.

El aviso de cookies mal montado, que carga analítica antes de que nadie acepte. Es otro asunto, pero cae en la misma inspección.

Lo que no exige la norma

No hace falta cifrar el formulario con nada exótico ni contratar un servidor especial. Con el certificado de seguridad de la web, un alojamiento con contrato firmado, consentimiento explícito y un plazo de borrado, una consulta pequeña cumple.

Lo que no vale es la mezcla que se ve a menudo: un formulario de plantilla, la política de otro sector y los avisos llegando a un correo personal.

Por dónde empezar si ya tienes web

Abre tu formulario y mira tres cosas: si la casilla de consentimiento está sin marcar y es explícita, si el aviso te llega con el contenido dentro por correo, y si tu política de privacidad menciona los datos de salud. Si falla alguna, esa es la primera.

Cómo debe estar montado el resto de la web está en qué páginas necesita la web de un psicólogo, y el resto de límites de este sector, en ¿puede un psicólogo hacer publicidad?.

Si quieres que lo montemos ya conforme desde el principio, es como lo hacemos en marketing para psicólogos.