Datos de salud y RGPD en el salón: registrar el artículo 9 con seguridad
Una alergia a un producto de coloración, anticoagulantes antes de una pedicura, una afección de la piel antes de un peeling o un embarazo que decide qué productos se pueden usar y cuáles no: son datos que necesitas como salón para tratar con seguridad. Pero también son datos de salud, y esos caen bajo un régimen estricto del RGPD: el artículo 9, sobre las "categorías especiales de datos personales".  Los datos de cliente habituales (nombre, número de teléfono, historial de tratamientos) se conservan con bastante sencillez - todo eso lo encuentras en nuestra guía más amplia sobre [el RGPD para salones de belleza](/blog/rgpd-para-salones-de-belleza). Este artículo va un nivel más allá y se ciñe estrictamente a esa única categoría sensible: los datos de salud. Qué los hace especiales, cuándo puedes tratarlos y - lo más importante - cómo registrarlos de forma que tu clienta esté protegida y tú cumplas las reglas.
¿Qué son las categorías especiales de datos según el artículo 9?
El RGPD reserva una categoría aparte y más estricta: las "categorías especiales de datos personales" (artículo 9). Son datos tan sensibles que su tratamiento está en principio prohibido. Esta categoría incluye datos sobre origen racial o étnico, religión, opiniones políticas, orientación sexual - y, lo más relevante para un salón, datos relativos a la salud de una persona.
Para un centro de belleza, una peluquería, un salón de uñas, una pedicura o una especialista en piel, se trata de datos de salud en cuanto anotas lo siguiente:
- Alergias e hipersensibilidades - a productos de coloración, pegamento, látex o ciertos ingredientes. - Medicación - anticoagulantes, medicamentos que sensibilizan la piel, tratamientos hormonales. - Afecciones de la piel - eccema, psoriasis, rosácea, cicatrices, acné. - Embarazo - relevante porque entonces se desaconsejan ciertos tratamientos y productos. - Otras circunstancias médicas - diabetes antes de una pedicura, problemas de circulación, operaciones recientes.
El punto de partida del RGPD es claro: en principio no puedes tratar estos datos. "No tratar" significa no recopilar, no anotar y no conservar. Sin embargo, hay excepciones, y una de ellas es crucial para el salón: el consentimiento explícito de la clienta.
Por qué un salón necesita estos datos de todos modos
Si el tratamiento está en principio prohibido, ¿por qué registrar datos de salud? Porque sin esa información no puedes garantizar un tratamiento seguro. Constituyen las contraindicaciones: las razones por las que no debes realizar un tratamiento, o debes adaptarlo.
Algunos ejemplos de la práctica:
- Una clienta con una alergia conocida a un producto de coloración corre riesgo de una reacción grave si se aplica una coloración inadecuada. - Los anticoagulantes pueden provocar más sangrado durante una pedicura o ciertos tratamientos de la piel. - Un embarazo implica que ciertos aceites esenciales, peelings químicos o productos es mejor evitarlos. - La diabetes exige un cuidado extra en los pies por la cicatrización más lenta y el riesgo de infección.
En resumen, no se trata de curiosidad ni de crear un expediente, sino de un oficio responsable. El RGPD también lo reconoce: puedes tratar estos datos, siempre que lo hagas con cuidado. La clave está en ese "con cuidado". Pedir el consentimiento es el primer paso, pero igual de importante es cómo almacenas después los datos, quién puede verlos y cuánto tiempo los conservas.
Los cinco requisitos para los datos de salud
Para tratar los datos de salud de forma correcta y lícita, se juntan cinco principios. Se aplican en toda la UE y forman el hilo conductor de cualquier buena política de RGPD en torno al artículo 9.
1. Consentimiento explícito. Para los datos de cliente habituales, "la ejecución del contrato" suele bastar, pero para los datos de salud el listón es más alto: necesitas un consentimiento explícito. Debe ser específico, informado y darse de forma activa - piensa en una casilla aparte o una firma en una ficha de consulta donde se indique qué datos registras y para qué. Un consentimiento escondido en las condiciones generales no cuenta.
2. Minimización de datos. Registra solo lo que sea relevante para el tratamiento. Anotar una alergia a un producto concreto, sí; crear un expediente médico completo, no. Pregúntate ante cada dato: ¿de verdad necesito esto para tratar a esta clienta con seguridad?
3. Almacenamiento cifrado y separado. Los datos de salud no van sueltos en el campo de notas general, entre "le gusta el café" y "siempre aparca en la puerta". Deben almacenarse cifrados y aparte, para que no se filtren en una exportación, una captura de pantalla o la mirada de una compañera que no tiene nada que ver. El RGPD menciona expresamente el cifrado como medida de seguridad adecuada.
4. Restringir el acceso. Solo el personal que realiza efectivamente el tratamiento necesita ver las notas de salud. Una persona en recepción que solo planifica citas no las necesita. Los permisos por miembro del personal (según roles) mantienen la información sensible en las manos adecuadas.
5. Plazo de conservación. Conserva los datos de salud el menor tiempo posible. Si una clienta lleva años sin venir, no hay razón para guardar sus alergias o su medicación. Un plazo de conservación fijo con eliminación automática evita que, sin darte cuenta, construyas un archivo creciente de datos sensibles.
Por qué un campo de notas normal no basta
La mayoría del software de salón tiene un campo de notas en la clienta. Práctico para "siempre quiere la misma estilista" o "quedó contenta con el nuevo color". Pero esa misma comodidad hace que el campo no sea apto para datos de salud.
Un campo de notas general es, en efecto:
- Visible para todos los que abren la ficha de cliente, sea cual sea su rol. - No cifrado por separado - está en la misma fila que el resto de los datos de cliente. - Parte de exportaciones y copias de seguridad sin protección aparte. - Sin registro de consentimiento - en ningún sitio dejas constancia de que la clienta aceptó conservar precisamente estos datos sensibles. - Sin plazo de conservación - la alergia de hace cinco años simplemente sigue ahí.
Para comentarios normales está bien. Para una alergia, el uso de medicación o un embarazo, no cumple el artículo 9. Lo que necesitas es un lugar aparte y protegido - una bóveda - que ya lleve integrados los cinco requisitos anteriores.
La bóveda de salud cifrada de Salonnare
Salonnare se diseñó a propósito para esto. Junto al campo de notas de cliente habitual hay una bóveda de salud aparte y cifrada, específica para los datos del artículo 9. Así mantienes la información sensible estrictamente separada de las notas del día a día.
Lo que ofrece esa bóveda:
- Cifrado AES-256. Las notas de salud se almacenan con cifrado de sobre AES-256-GCM, separadas de los datos de cliente habituales. Ni siquiera dentro del sistema son legibles sin más. - Consentimiento registrado. Cada nota de salud lleva un registro del consentimiento de la clienta (consent events), de modo que puedes demostrar que aceptó - un requisito central del RGPD. - Permisos según roles. Solo el personal con la autorización adecuada ve las notas de salud. Quien no la tenga, simplemente no ve la bóveda. - Servidores en la UE. Todos los datos de cliente, incluida la bóveda de salud, están en servidores dentro de la UE. - Plazo de conservación automático. La bóveda aplica una conservación automática (por defecto en torno a 12 meses tras la última actividad), para que los datos sensibles no permanezcan indefinidamente.
Así tratas los datos de salud como pretende el artículo 9: con consentimiento, cifrados, protegidos y temporales - sin que tengas que construir tú mismo un plan de seguridad técnico.
Bien configurado en unos pocos pasos
Pasar a una forma de trabajar limpia con los datos de salud lleva menos tiempo del que crees. Estos pasos lo mantienen claro.
Paso 1 - Crea una ficha de consulta con una casilla de consentimiento aparte. Pon las preguntas de salud (alergias, medicación, afecciones de la piel, embarazo) en una ficha de consulta digital con una casilla explícita: la clienta da su consentimiento para registrar estos datos con vistas a un tratamiento seguro.
Paso 2 - Registra las respuestas en la bóveda de salud, no en el campo de notas normal. Así permanecen cifradas y protegidas.
Paso 3 - Configura los permisos por miembro del personal. Determina quién puede ver las notas de salud. Normalmente, quien realiza el tratamiento, no la recepción.
Paso 4 - Mantenlo mínimo. Anota solo lo que de verdad necesitas para el tratamiento, en formulaciones breves y objetivas.
Paso 5 - Confía en el plazo de conservación automático. Deja que el sistema elimine los datos obsoletos en lugar de hacerlo a mano.
Paso 6 - Vincúlalo a tu [gestión de clientes](/features/gestion-clientes). Así ves de un vistazo, en cada clienta, si hay puntos de atención relevantes para el tratamiento, sin que el contenido sensible sea visible para todos.
Conclusión: los datos sensibles van en una bóveda, no en una nota
Los datos de salud son la información más sensible que pasa por tu salón. Por eso el RGPD los trata aparte: el tratamiento está en principio prohibido, salvo que tengas consentimiento explícito y conserves los datos de forma mínima, cifrada, protegida y temporal. Una alergia o el uso de medicación no van en el campo de notas normal, sino en un lugar aparte y seguro.
Salonnare lleva ese lugar integrado: una bóveda de salud cifrada con registro de consentimiento, permisos por miembro del personal, almacenamiento en la UE y un plazo de conservación automático. Empiezas gratis - el plan gratuito permanente (Free, 0 € al mes, para 1 miembro del personal y 50 reservas al mes) te deja probarlo todo. Cuando tu salón crece, pasas a Starter (29 €) o Pro (59 €) al mes, con un precio fijo sin comisión por reserva, pagos mediante métodos locales a tu propia cuenta, una interfaz en cinco idiomas y tanto una aplicación web como una aplicación instalable.
¿Quieres registrar los datos de salud de forma limpia y segura desde hoy? Crea una cuenta gratuita y configura la bóveda de salud antes de recibir a tu próxima clienta.
Preguntas frecuentes
¿Qué son las categorías especiales de datos según el artículo 9 del RGPD?
Las categorías especiales de datos son datos especialmente sensibles para los que el RGPD prevé un régimen estricto en el artículo 9. Incluyen datos sobre salud, origen racial o étnico, religión, opiniones políticas y orientación sexual. Para un salón, lo más relevante son los datos de salud: alergias, medicación, afecciones de la piel y embarazo. El tratamiento de esta categoría está en principio prohibido, salvo que tengas una excepción válida - para un salón, normalmente el consentimiento explícito de la clienta.
¿Puedo, como salón, anotar las alergias y la medicación de las clientas?
Sí, pero solo con consentimiento explícito y si es relevante para el tratamiento. Una alergia, un anticoagulante o una afección de la piel puede determinar si un tratamiento es seguro, así que puedes registrarlo como contraindicación. La condición es que la clienta haya consentido activamente (por ejemplo, con una casilla en una ficha de consulta), que no anotes más de lo necesario y que almacenes los datos cifrados y protegidos.
¿Puedo ponerlo sin más en el campo de notas de la clienta?
No, no es recomendable. Un campo de notas general es visible para todos los que abren la ficha de cliente, no está cifrado por separado, se incluye en exportaciones y copias de seguridad, y no tiene registro de consentimiento ni plazo de conservación. Los datos de salud van en una bóveda aparte y cifrada, con acceso restringido. En Salonnare, esa bóveda de salud está separada del campo de notas normal, con cifrado AES-256, permisos según roles y un plazo de conservación automático.
¿Cuánto tiempo puedo conservar los datos de salud de las clientas?
El menor tiempo posible. El RGPD no prescribe un plazo exacto para los datos de salud en un salón, pero el principio de limitación del plazo de conservación implica eliminarlos en cuanto ya no sean necesarios. Si una clienta lleva mucho sin venir, no hay razón para guardar sus alergias o su medicación. Un plazo de conservación automático - en Salonnare, por defecto en torno a 12 meses tras la última actividad - evita que, sin querer, construyas un archivo creciente de datos sensibles.
¿Qué es exactamente el "consentimiento explícito"?
El consentimiento explícito es una forma más exigente de consentimiento que el RGPD requiere para las categorías especiales de datos. Debe ser libre, específico, informado y darse de forma activa: la clienta sabe exactamente qué datos de salud registras y para qué, y dice que sí de forma consciente. Eso puede hacerse, por ejemplo, con una casilla aparte o una firma en una ficha de consulta. Un consentimiento escondido en las condiciones generales o marcado de antemano no cuenta.