No responda con datos clínicos: responda solo hechos públicos y ofrezca un canal privado para resolver el conflicto. Los datos de salud son «categoría especial» según el RGPD, así que revelarlos en una respuesta pública abre la puerta a una sanción de la AEPD. Ante cualquier reseña con contenido sensible, derive el caso al responsable de tratamiento o a su asesoría legal antes de escribir una sola palabra.
En resumen:
- La respuesta a reseñas médicas debe limitarse a lo publicado por el paciente y evitar datos clínicos, diagnósticos o identificativos, para no infringir el RGPD.
- Solo un responsable de tratamiento aprobado debe redactar o validar las respuestas y siempre ofrecen un canal privado sin revelar información sensible públicamente.
- Las respuestas públicas breves y neutras, que demuestran empatía, evitan confusiones legales y protegen frente a sanciones como la multa de 7.000 euros por divulgar datos sanitarios.
- La gestión interna de reseñas debe documentarse en archivos y establecer niveles de clasificación para responder en función del riesgo, con aprobación previa del responsable.
- Las clínicas deben obtener consentimiento explícito para usar testimonios o imágenes en materiales promocionales y comunicar claramente su política de privacidad para reducir riesgos.
Tabla de contenidos
- Protocolo operativo rápido para responder reseñas sin exponer datos médicos
- Qué sí y qué no publicar en una respuesta a una reseña médica
- Marco legal esencial que todo responsable de clínica debe conocer
- Checklist y plantillas para auditar cada respuesta antes de publicarla
- Consentimiento informado para usar datos de pacientes en reseñas médicas
- Cómo comunicar a los pacientes su política de reseñas y privacidad
- Reseñas en plataformas públicas frente a canales privados de reclamación
- Casos que muestran el conflicto entre reseñas médicas y protección de datos
- Perspectiva de YellowRock sobre cumplimiento y reputación online
- Cómo ayuda YellowRock a gestionar reseñas sin poner en riesgo a su clínica
- Fuentes
- Preguntas frecuentes
Protocolo operativo rápido para responder reseñas sin exponer datos médicos
Gestionar reseñas médicas y privacidad de forma segura exige un flujo con pasos fijos, no reacciones improvisadas. Cuanto más rápido detecte una reseña problemática, menos margen hay para que alguien del equipo responda por impulso y complique la situación.
- Monitorización diaria. Revise cada mañana el perfil de Google Business Profile y los portales sanitarios donde su clínica tenga presencia. Cinco minutos bastan si se hace todos los días.
- Clasificación por niveles. Separe las reseñas en tres grupos: informativa (sin datos personales), reclamación simple (queja de servicio sin datos médicos) y riesgo legal (menciona diagnósticos, tratamientos, nombres de terceros o insinúa negligencia).
- Derivación interna. Solo una persona designada, idealmente el responsable de tratamiento o alguien formado por él, redacta o aprueba la respuesta. Nadie del equipo clínico debe contestar por su cuenta.
- Respuesta pública corta. Agradezca el comentario, exprese disposición a resolverlo y ofrezca un canal privado. Nada más.
- Reporte y escalado. Si la reseña contiene datos de otro paciente, difamación o acusaciones falsas, use la herramienta de reporte de la plataforma y, en paralelo, consulte con su asesoría jurídica si procede una reclamación formal.
Los niveles de clasificación funcionan como un semáforo: verde se responde en el momento, ámbar necesita revisión antes de publicar y rojo va directo a legal sin pasar por redes sociales.
- Reseñas de una estrella sin detalles: responder siempre, sin excepción.
- Reseñas con nombres, fechas de cita o alusiones a un diagnóstico: nunca responder sin validación previa.
- Reseñas que acusan de mala praxis: documentar internamente y evaluar con el asesor legal antes de cualquier respuesta pública.
Consejo profesional: Cree una carpeta compartida solo accesible para el responsable de tratamiento donde se archive cada reseña sensible junto con la respuesta enviada y la fecha. Esa trazabilidad es la primera prueba que pedirá un inspector de la AEPD si abre expediente.
Qué sí y qué no publicar en una respuesta a una reseña médica
La regla de oro es sencilla: solo puede confirmar públicamente lo que el propio paciente ya publicó, nunca añadir información que provenga de su historia clínica. Cualquier dato adicional, por mínimo que parezca, se considera tratamiento indebido según el criterio que aplica la AEPD en sus procedimientos sancionadores.
Nunca incluya en una respuesta pública:
- Fechas concretas de citas, tratamientos o intervenciones.
- Diagnósticos, patologías o nombres de fármacos.
- Datos identificativos: DNI, número de historia clínica, dirección o teléfono.
- Referencias a terceros (familiares, acompañantes, otros pacientes).
- Confirmación o negación de que la persona fue paciente de la clínica.
- Capturas de conversaciones privadas o partes del expediente clínico.
Una plantilla segura para el nivel informativo o de reclamación simple podría ser: «Gracias por su comentario. Lamentamos que su experiencia no cumpliera sus expectativas. Le invitamos a escribirnos a [correo/teléfono de contacto] para revisar el caso con más detalle». Para reseñas de riesgo legal, la respuesta se limita a: «Nos tomamos muy en serio cualquier comentario sobre nuestra atención. Le rogamos que se ponga en contacto con nosotros de forma privada para poder ayudarle».
El caso sancionado por la AEPD contra un instituto oftalmológico ilustra el error típico: el centro respondió a una reseña negativa confirmando que la persona había sido paciente y detallando aspectos de su atención. Eso bastó para una multa de 7.000 €, porque la respuesta reveló, sin necesidad, que esa persona había recibido asistencia sanitaria allí.
El tono debe ser breve, empático y neutro: nunca defensivo ni técnico. Dos o tres frases son suficientes; una respuesta larga casi siempre acaba filtrando algún dato de más.
Consejo profesional: Si duda si una frase revela información sensible, pregúntese: ¿podría esta respuesta confirmar que la persona ha estado en tratamiento aquí? Si la respuesta es sí, reescriba la frase.
Marco legal esencial que todo responsable de clínica debe conocer
El artículo 9 del RGPD clasifica los datos de salud como categoría especial, con una prohibición general de tratamiento salvo excepciones tasadas. El artículo 5.1.f añade el principio de integridad y confidencialidad: los datos deben protegerse frente a cualquier acceso o difusión no autorizada, incluida una respuesta pública mal redactada. La AEPD explica en su guía sobre derechos de salud que estos principios se aplican con independencia del canal donde se publique la información.
A nivel nacional, la Ley 41/2002 regula el acceso y custodia de la historia clínica y fija el deber de secreto profesional para el personal sanitario y administrativo. Ese deber no desaparece porque el paciente haya publicado una reseña: la clínica sigue obligada a proteger la información que conoce por la relación asistencial.
Dato clave: la sanción al instituto oftalmológico ascendió a 7.000 € por una sola respuesta pública mal gestionada, no por un ciberataque ni una filtración masiva.
Las consecuencias no se limitan a la vía administrativa. El artículo 197 del Código Penal contempla penas de prisión para quien revele datos personales o secretos ajenos conocidos por razón de su oficio, un escenario que puede activarse en casos graves de divulgación deliberada de datos de salud. Entre inspecciones de la AEPD, sanciones económicas y responsabilidad penal, el margen de error en una respuesta pública es prácticamente nulo.
Checklist y plantillas para auditar cada respuesta antes de publicarla
Antes de pulsar «publicar», repase estos puntos:
- ¿La respuesta confirma, aunque sea indirectamente, que la persona fue paciente?
- ¿Contiene fechas, diagnósticos, tratamientos o nombres de terceros?
- ¿La ha revisado la persona designada como responsable de tratamiento?
- ¿Ofrece un canal privado en lugar de extenderse en detalles?
- ¿Queda registrada en el archivo interno de reseñas sensibles?
Para ese registro interno, guarde como mínimo: fecha de la reseña, plataforma, nivel asignado (informativa, reclamación, riesgo legal), texto de la respuesta publicada, persona que la aprobó y, si aplica, fecha de contacto privado con el paciente. Ese historial es la prueba de diligencia que pedirá cualquier inspección.
Complete el control interno con dos medidas organizativas: firmar un contrato de encargado de tratamiento (DPA) con cualquier proveedor que gestione sus reseñas o su ficha de Google, y formar al personal de recepción y comunicación al menos una vez al año sobre qué se puede y qué no se puede publicar. La herramienta GESTIONA_RGPD de la AEPD sirve como punto de partida gratuito para mantener el registro de actividades de tratamiento y evaluar riesgos, algo especialmente útil si su clínica no dispone aún de un delegado de protección de datos. Complemente el protocolo con nuestra guía para generar reseñas locales de forma legal, que detalla cómo pedir opiniones sin invadir la privacidad del paciente.
Consentimiento informado para usar datos de pacientes en reseñas médicas
Publicar un testimonio, una fotografía de un resultado clínico o un caso de éxito en su web o en redes exige un consentimiento específico, distinto del consentimiento para el tratamiento médico en sí. El paciente debe saber exactamente qué se va a mostrar, dónde y durante cuánto tiempo, y debe poder retirar ese consentimiento cuando quiera.
Un error frecuente es asumir que porque el paciente dejó una reseña positiva voluntaria, la clínica puede reutilizar ese texto en su web, en un folleto o en un anuncio sin pedir permiso adicional. No es así: una reseña en Google tiene una finalidad (informar a otros usuarios de la plataforma), y usarla con otro propósito, como material promocional, requiere autorización explícita para ese nuevo uso.
El consentimiento debe ser específico, informado y revocable en cualquier momento. Para casos con imágenes de antes y después, especialmente en especialidades como dermatología, cirugía estética o traumatología, la clínica necesita un documento firmado que detalle el uso exacto de esas imágenes, no una autorización genérica incluida en el contrato de servicios. Guardar ese consentimiento firmado, con fecha y alcance definido, forma parte de la misma responsabilidad proactiva que exige el RGPD en cualquier tratamiento de datos de categoría especial.
Consejo profesional: Cuando un paciente ofrezca espontáneamente compartir su experiencia en sus redes o en la web de la clínica, pídale que lo confirme por escrito, aunque sea por correo electrónico, antes de publicar nada con su nombre o imagen.
Cómo comunicar a los pacientes su política de reseñas y privacidad
La transparencia reduce fricciones antes de que aparezca el problema. Informar a los pacientes, desde el primer contacto, sobre cómo gestiona la clínica las reseñas y qué tipo de información nunca aparecerá en una respuesta pública evita malentendidos y reclamaciones posteriores.
Una buena práctica es incluir una nota breve en la política de privacidad de la clínica, visible en la web y en el consentimiento informado general, que explique: la clínica puede recibir y responder a reseñas públicas, pero nunca confirmará ni negará datos relacionados con la atención sanitaria de una persona concreta en ese canal. Esa frase, sencilla, protege a la clínica y también tranquiliza al paciente sobre cómo se gestionará su información si algún día decide dejar una opinión.
Cuando un paciente se queja directamente por un tema que también aparece en una reseña pública, la comunicación privada debe ser más completa que la respuesta pública, no al revés. Ahí sí puede entrar en detalles, siempre por un canal verificado (llamada, correo desde el email registrado, o cita presencial), nunca por mensaje directo en redes sociales donde la identidad del interlocutor no está confirmada.
Explicar este criterio a la plantilla evita que alguien, con buena intención, intente «arreglar» una reseña negativa dando explicaciones clínicas por escrito en un canal público. La transparencia con el paciente no exige exponer datos médicos: exige explicar el procedimiento, no el contenido.
Reseñas en plataformas públicas frente a canales privados de reclamación
No todas las plataformas exigen el mismo nivel de prudencia. Una reseña en Google Business Profile es pública, indexable por buscadores y visible para cualquier persona que busque la clínica, incluidos motores de inteligencia artificial que hoy resumen opiniones sanitarias. Una queja recibida por correo electrónico, teléfono o un formulario de contacto es un canal cerrado donde la clínica puede, y debe, dar una respuesta con más detalle porque solo la ve el interesado.
Esa diferencia cambia por completo la estrategia de respuesta. En lo público, la clínica se limita a hechos ya conocidos y ofrece derivar la conversación a un canal privado. En lo privado, puede confirmar datos, explicar el proceso asistencial y ofrecer una solución concreta, siempre documentando esa comunicación en el registro interno de incidencias.
Los portales sanitarios especializados (comparadores de médicos, directorios de especialistas) suelen funcionar como plataformas públicas equivalentes a Google, con el mismo riesgo: cualquier respuesta institucional queda visible para todo el que consulte el perfil. Trate esas reseñas con el mismo protocolo de niveles que aplica a Google Business Profile, sin relajar el criterio solo porque el tráfico sea menor.
La consecuencia práctica es doble: forme a su equipo para identificar en qué canal está respondiendo antes de escribir, y nunca traslade a un canal privado información que ya haya expuesto en uno público sin haberla revisado antes.
Casos que muestran el conflicto entre reseñas médicas y protección de datos
El expediente sancionador contra el instituto oftalmológico sigue siendo el ejemplo de referencia en España porque muestra el patrón exacto que se repite en otros sectores sanitarios: un paciente insatisfecho publica una reseña negativa, el centro responde confirmando detalles de la atención recibida para «defenderse», y esa respuesta se convierte en la prueba de la infracción. La AEPD no sancionó la reseña del paciente, sino la reacción de la clínica.
Este tipo de conflicto no es exclusivo de la oftalmología. Clínicas dentales, centros de fisioterapia, consultas de psicología y clínicas estéticas afrontan el mismo dilema cada vez que alguien deja una valoración negativa que ellos consideran injusta o inexacta. La tentación de «poner los hechos claros» respondiendo con detalles clínicos es comprensible, pero jurídicamente es exactamente el error que castiga el RGPD.
Otro patrón habitual, menos documentado en resoluciones públicas pero frecuente en auditorías internas, es el de empleados que responden reseñas desde cuentas personales sin autorización, sin plantilla aprobada y sin conocer el protocolo de la clínica. Ahí el problema no es solo la respuesta en sí, sino la ausencia de control de accesos y de formación, dos de las medidas organizativas que la AEPD exige como parte de la responsabilidad proactiva.
La lección que se repite en todos los casos es la misma: el riesgo no nace de recibir una reseña negativa, sino de cómo se responde a ella. Un protocolo claro, con niveles y aprobación previa, elimina la mayoría de estos incidentes antes de que ocurran.
Perspectiva de YellowRock sobre cumplimiento y reputación online
La reputación online de una clínica y el cumplimiento normativo no son objetivos en tensión: son la misma tarea vista desde dos ángulos. Trabajamos la gestión de reseñas como un proceso por fases, donde cada plantilla de respuesta pasa primero por un filtro de validación legal antes de convertirse en flujo de aprobación operativo. Eso evita el error más común que vemos en clínicas: dejar la respuesta a reseñas en manos de quien tiene menos formación sobre protección de datos, normalmente el equipo de recepción o marketing. Cuando ese flujo está bien diseñado, las clínicas con las que trabajamos reducen tanto los incidentes de exposición de datos como el desgaste reputacional de dejar reseñas sin respuesta. La reputación se construye con constancia, no con respuestas improvisadas bajo presión.
— YellowRock
Cómo ayuda YellowRock a gestionar reseñas sin poner en riesgo a su clínica
Yellowrockmarketing es la alternativa a montar este proceso desde cero con recursos internos limitados: nuestro servicio de marketing digital local para clínicas incluye optimización de la ficha de Google, gestión activa de reseñas con plantillas de respuesta ya validadas y protocolos de derivación por niveles, además de apoyo para formalizar los contratos de encargado de tratamiento con proveedores digitales.
Desde 2022 acompañamos a clínicas y otros negocios locales en España a mejorar su posicionamiento en Google y Google Maps sin descuidar el cumplimiento normativo, con planes escalables y garantía contractual de estar en el top 3 de Google Maps. No se trata solo de conseguir más reseñas, sino de gestionarlas con un protocolo que proteja tanto la reputación como los datos de sus pacientes. Si quiere una evaluación rápida del riesgo actual de las reseñas de su clínica, conozca nuestro servicio de marketing digital local para clínicas y solicite una valoración inicial de su perfil.
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.
Fuentes
- Zabía-Abogados — La AEPD impone una sanción de 7.000 euros a un instituto oftalmológico
- BOE — Ley 41/2002, reguladora de la autonomía del paciente
Preguntas frecuentes
¿Se puede responder a una reseña negativa mencionando el diagnóstico del paciente?
No. Los datos de salud son categoría especial según el artículo 9 del RGPD, y mencionarlos en una respuesta pública puede acarrear sanción de la AEPD, como ocurrió en el caso del instituto oftalmológico.
¿Qué sanción puede imponer la AEPD por publicar datos de un paciente en una reseña?
La AEPD ya ha impuesto sanciones de hasta 7.000 € por una sola respuesta que vulneró la confidencialidad de un paciente, además de la responsabilidad penal que puede derivarse del artículo 197 del Código Penal en casos graves.
¿Qué debe hacer una clínica si una reseña contiene datos de otro paciente?
Debe reportar la reseña a través de las herramientas de la plataforma y, en paralelo, valorar con su asesoría legal si procede una reclamación formal por vulneración de datos de terceros.
¿Sirve la herramienta GESTIONA_RGPD para gestionar reseñas médicas?
Sí, aunque no está diseñada específicamente para reseñas: la herramienta GESTIONA_RGPD de la AEPD ayuda a mantener el registro de actividades y a evaluar riesgos, un punto de partida útil para auditar cómo su clínica gestiona los datos vinculados a reseñas y reclamaciones.
¿Puede una clínica pedir reseñas a sus pacientes sin infringir el RGPD?
Sí, siempre que la solicitud sea genérica, sin vincularla a datos de la historia clínica que identifiquen el tipo de asistencia recibida; nuestra guía sobre cómo generar reseñas locales explica cómo hacerlo de forma legal y efectiva.
