El habeas data es el derecho de cualquier paciente a saber qué datos tiene tu clínica sobre él, para qué los usa y a pedir que se corrijan o se borren. En Colombia lo regula la Ley 1581 de 2012. Aplica a tu web desde el primer formulario de contacto o de agendamiento que guarde un nombre, un teléfono o un motivo de consulta. No es un trámite solo para hospitales grandes. Una clínica de un consultorio con un formulario en Wix o WordPress ya está tratando datos personales. Y si ese formulario pregunta el motivo de la consulta, está tratando datos de salud, que la ley trata distinto a los demás.
Esta guía explica qué exige la ley para el formulario de tu web, qué hace diferentes a los datos de salud y qué puede reclamar un paciente si algo falta. Al final hay una revisión de 10 minutos para hacer hoy mismo sobre tu propia web.
Qué es el habeas data y de dónde sale esa obligación
El artículo 15 de la Constitución dice que toda persona tiene derecho a conocer, actualizar y rectificar las informaciones que se hayan recogido sobre ella en bancos de datos y en archivos de entidades públicas y privadas. Ese derecho se desarrolla con detalle en la Ley 1581 de 2012, la norma general de protección de datos personales en Colombia. Su objeto, en el artículo 1, es justamente ese: garantizar ese derecho constitucional a cualquier persona cuyos datos estén en una base de datos, sea de un banco, una red social o la web de una clínica.
La ley no distingue por tamaño de empresa. El artículo 4 fija el principio de libertad: el tratamiento de datos personales solo puede hacerse con el consentimiento previo, expreso e informado del titular. Esos datos no pueden obtenerse ni divulgarse sin esa autorización, salvo que una ley o una orden judicial releve ese consentimiento. Piensa en una clínica con un solo consultorio en Laureles, Medellín. Si recoge el nombre y el teléfono de quien escribe "botox cerca de mí" y llena un formulario, ya está tratando datos personales bajo esa misma ley.
Por qué los datos de un paciente no son datos personales comunes
El artículo 5 de la Ley 1581 de 2012 crea una categoría aparte: los datos sensibles. Son los que afectan la intimidad del titular o cuyo uso indebido puede generar discriminación. La ley nombra expresamente los datos relativos a la salud, junto con el origen racial o étnico, la orientación política, las convicciones religiosas y los datos biométricos. El motivo de consulta, el diagnóstico o el tratamiento que escribe un paciente en tu formulario entran directo en esa lista.
El artículo 6 del Decreto 1377 de 2013, que reglamenta la ley, es tajante: el tratamiento de datos sensibles está prohibido, salvo las excepciones que la propia ley señala, entre ellas que el titular haya dado su autorización explícita. El mismo decreto agrega dos reglas que afectan directo a tu formulario. Hay que informarle al titular, de forma explícita y previa, que no está obligado a autorizar el tratamiento de esos datos. Y ninguna actividad puede condicionarse a que el titular los entregue.
| Tipo de dato | Ejemplo en tu web | Qué exige la ley |
|---|---|---|
| Dato personal común | Nombre y teléfono en el formulario de contacto | Autorización previa, expresa e informada (Ley 1581, art. 4 y 9) |
| Dato sensible (salud) | Motivo de consulta, diagnóstico, tratamiento | Prohibido salvo autorización explícita; avisar que es opcional (Decreto 1377, art. 6) |
Lo que debe decir tu formulario antes de que alguien lo llene
El artículo 12 de la Ley 1581 de 2012 pone la obligación en el momento exacto en que pides la autorización: ahí mismo debes informarle a la persona, de manera clara y expresa, para qué vas a usar sus datos, que las preguntas sobre datos sensibles son de respuesta voluntaria, cuáles son sus derechos como titular, y cómo contactar a tu clínica. El Decreto 1377 de 2013 le pone nombre a la pieza que cumple buena parte de eso: el aviso de privacidad, el mensaje breve que le avisa al paciente que existe una política de tratamiento de datos y le dice dónde consultarla completa.
En la práctica, esto se traduce en tres piezas concretas para el formulario de contacto o de agendamiento de tu web:
- Un texto corto junto al botón de enviar, del tipo "al enviar este formulario autorizas el tratamiento de tus datos según nuestra política de privacidad", con el enlace a esa política.
- Una casilla que la persona marque ella misma para autorizar, nunca premarcada por defecto: si ya viene marcada, no hubo un consentimiento expreso, que es justo lo que exige la definición de autorización del artículo 3 de la ley.
- Una política de tratamiento de datos publicada en una página aparte, con el nombre de tu clínica como responsable, la finalidad del tratamiento y cómo ejercer los derechos del artículo 8.
Esto mismo aplica al chat de WhatsApp de tu clínica, no solo al formulario web. Si ahí alguien escribe sus síntomas antes de la primera cita, ya entregó un dato sensible por ese canal, con la misma obligación de informarle para qué se usa.
Qué puede pedir un paciente sobre sus datos
El artículo 8 de la Ley 1581 de 2012 lista los derechos del titular frente a tu clínica. Puede conocer, actualizar y rectificar sus datos cuando estén incompletos o sean inexactos. Puede pedir prueba de que dio su autorización. Puede revocarla o pedir que se supriman sus datos cuando ya no haya una razón legal para conservarlos. Y puede acceder a ellos de forma gratuita cuando quiera, no solo una vez al año.
Si tu clínica no responde a una de esas solicitudes, o responde fuera del plazo que fija la propia política que publicaste, el siguiente paso del paciente es presentar la queja ante la Superintendencia de Industria y Comercio. Es la entidad que vigila el cumplimiento de esta ley en Colombia. No hace falta llegar ahí casi nunca: la mayoría de estos reclamos empiezan porque a alguien le cuesta encontrar a quién escribirle para pedir que corrijan su número de teléfono o borren un dato viejo.
Un error frecuente en formularios de clínicas
Un error frecuente es el formulario de agendamiento que pide, además del nombre y el teléfono, una descripción detallada del motivo de consulta ("llevo tres meses con dolor en las piernas, creo que son várices"), sin ningún aviso de privacidad ni casilla de autorización cerca. El dato se guarda igual, casi siempre en la bandeja de un correo o en una hoja de cálculo compartida con todo el equipo. Nadie cumplió ahí el deber de informar del artículo 12.
La corrección no exige rehacer el formulario entero. Basta con agregar la casilla de autorización y el enlace a la política. Si se puede, cambia también la pregunta abierta por una más corta ("¿qué tratamiento te interesa?") que deje el detalle clínico para la consulta real, no para un campo de texto que cualquiera con acceso al correo puede leer.
Haz esto hoy en 10 minutos
- Abre el formulario de contacto o de citas de tu web desde el celular, como lo ve un paciente.
- Busca la casilla de autorización. Si no existe, o si viene premarcada, anótalo como la primera corrección pendiente.
- Haz clic en el enlace a la política de tratamiento de datos. Si no hay enlace, o si lleva a una página que no existe, es la segunda corrección.
- Revisa qué campo pide el motivo de consulta. Si es un campo de texto libre, decide si lo dejas así con el aviso correspondiente o lo cambias por una pregunta más corta.
Con esos cuatro puntos revisados ya sabes si el formulario que más usan tus pacientes nuevos cumple lo mínimo de la ley, o si necesita una corrección esta semana. Esto se conecta con el resto de la confianza que tu web necesita mostrar: lo explicamos en la guía sobre YMYL en salud. También está cerca de lo que no puedes prometer en tus anuncios, cubierto en la guía sobre publicidad de servicios de salud en Colombia. Si quieres ver cómo entra esto dentro del resto del SEO de tu clínica, la guía completa de SEO para clínicas cubre cada parte, y si prefieres que alguien del equipo revise tu formulario junto con el resto de tu web, puedes preguntar por el método de Visibla.