¿Es legal un chatbot que maneja datos de salud?
Sí, con condiciones. Y la condición más importante no es técnica: es diseñar el asistente para que no recoja datos de salud en primer lugar.
Es la primera pregunta que nos hace cualquier clínica, consulta o centro sanitario cuando le planteamos un asistente. Y es la pregunta correcta, porque aquí la respuesta de "sí, no pasa nada" sale carísima.
La respuesta corta: sí es legal, con condiciones. Y la condición más importante no es técnica ni contractual: es de diseño.
Esto es lo que sabemos por montar estos sistemas, no asesoramiento jurídico. Para tu caso concreto, cualquier abogado especializado en protección de datos te lo cerrará en una consulta.
Por qué los datos de salud son otra categoría
El RGPD no trata todos los datos igual. Su artículo 9 crea una lista de "categorías especiales" —salud, origen étnico, orientación sexual, convicciones— y establece algo fuerte: su tratamiento está prohibido por defecto, salvo que encaje en una de las excepciones que el propio artículo enumera.
Eso cambia la conversación. Con un dato normal, la pregunta es "¿tengo base para tratarlo?". Con un dato de salud, la pregunta es "¿encaja mi caso en una excepción?".
Y hay un detalle que casi nadie tiene en cuenta: el dato de salud no es solo el diagnóstico. Que una persona identificable haya contactado con una consulta de psicología ya revela información sobre su salud. No hace falta que escriba sus síntomas: el contexto los implica.
La solución no es legal, es de diseño
Aquí está lo que de verdad resuelve el problema, y es más sencillo de lo que parece: que el asistente no recoja datos de salud.
Un asistente bien planteado para una consulta hace tres cosas:
- Informa: precios, horarios, duración de la sesión, si es online o presencial.
- Recoge lo mínimo para una cita: nombre y una forma de contacto.
- Deja la cita puesta.
Y hay una cosa que no hace: preguntar por el motivo de consulta. No pregunta qué te pasa, no pide que describas síntomas y no abre ese camino.
Esto es el principio de minimización del artículo 5 llevado a la práctica: lo que no se recoge no hay que proteger, no hay que conservar, no puede filtrarse y no hay que borrar. Reduce tu obligación legal y tu riesgo al mismo tiempo, y no te quita nada: la conversación clínica empieza en sesión, que es donde debe empezar.
En los asistentes que montamos para consultas de psicología, si alguien insiste en contar su problema al chat, el asistente lo reconduce con educación: dice que eso se lo contará al profesional y sigue con la cita.
El contrato que casi nadie firma
Esta parte no es opcional y es donde vemos más incumplimientos.
Cuando contratas un asistente a un proveedor, ese proveedor trata datos por cuenta tuya. Tú eres el responsable del tratamiento y él es el encargado. El artículo 28 del RGPD exige un contrato por escrito entre los dos que regule qué puede hacer, qué no, durante cuánto, con qué medidas de seguridad y qué pasa al terminar.
Si tu proveedor no te lo ha ofrecido, tienes un problema con independencia de lo bien que funcione el chatbot. Y el responsable ante la Agencia Española de Protección de Datos eres tú, no él.
Nosotros lo firmamos antes de poner nada en marcha. No porque seamos especialmente virtuosos, sino porque sin eso el proyecto no es viable para el cliente.
Las otras cuatro cosas que hay que mirar
Informar al principio. El artículo 13 obliga a decir quién trata los datos y para qué, en el momento de recogerlos. En un chat eso es un mensaje inicial claro, no un enlace diminuto a la política de privacidad. Y decir que es un asistente, no una persona.
Dónde está el modelo. Si el asistente funciona sobre un proveedor con servidores fuera del Espacio Económico Europeo, hay una transferencia internacional y necesita su cobertura. Es resoluble, pero hay que mirarlo, no suponerlo.
Cuánto se conserva. Una conversación de "hola, quiero cita el martes" no tiene por qué guardarse meses. Se define un plazo corto y se cumple.
Quién puede leerlo. Dentro de un centro con varios profesionales, no todo el mundo tiene por qué ver todas las conversaciones. Eso se configura.
Lo que sí nos parece una mala idea
Un asistente que intente orientar clínicamente. Y no por un tema legal, sino porque es peligroso: un sistema que opina sobre síntomas o sugiere qué puede tener alguien está haciendo algo para lo que no está capacitado, con una persona que puede estar en un momento muy malo.
En los nuestros esa línea está cerrada por configuración. Y hay un protocolo concreto para cuando aparece una señal de riesgo: el asistente no intenta contener nada, facilita los teléfonos de emergencia —incluido el 024 de atención a la conducta suicida— y avisa al profesional de inmediato.
Resumiendo
Un asistente para una consulta sanitaria es perfectamente legal si:
- No recoge datos de salud, porque está diseñado para no preguntarlos.
- Tienes firmado el contrato de encargado del tratamiento con tu proveedor.
- Informas al usuario al empezar la conversación.
- Tienes claro dónde se procesa y cuánto se conserva.
- No orienta clínicamente y tiene protocolo ante señales de riesgo.
Lo caro no es cumplir. Lo caro es montar un chatbot genérico de los que se configuran en una tarde, dejarlo preguntando "¿en qué puedo ayudarte?" y descubrir seis meses después qué ha ido recogiendo.
En IA Reactiva montamos asistentes de chat para consultas de psicología con todo esto resuelto de serie: minimización, contrato firmado antes de arrancar y protocolo de riesgo acordado contigo.
Si quieres que revisemos cómo está planteada la atención de tu consulta, la ⭐ consultoría es gratuita y sin compromiso ⭐.