Turnos online y recordatorios por WhatsApp en consultorios: cómo cuidar los datos de salud

¿Por qué los datos de salud son datos sensibles?

Porque así los define la ley. La Ley 25.326 de Protección de los Datos Personales llama datos sensibles a los que revelan, entre otras cosas, información referente a la salud o a la vida sexual de una persona (artículo 2), y les pone reglas más estrictas que al resto: por ejemplo, nadie puede ser obligado a proporcionarlos (artículo 7).

Para la salud, la misma ley prevé que los establecimientos sanitarios y los profesionales de la salud pueden recolectar y tratar los datos sobre la salud física o mental de sus pacientes, respetando el secreto profesional (artículo 8). Y la Ley 26.529 de Derechos del Paciente agrega que toda actividad médico-asistencial que obtenga, clasifique, use, administre, custodie o transmita información y documentación clínica tiene que respetar la dignidad y la autonomía del paciente, y resguardar su intimidad y la confidencialidad de sus datos sensibles (artículo 2, inciso c).

En un consultorio, la información de salud no está solo en la historia clínica. Un turno con una especialidad, un mensaje en el que el paciente cuenta qué le pasa o una lista de espera para un tratamiento también pueden decir algo sobre su salud. Por eso conviene tratar toda la agenda con el mismo cuidado.

¿Y las veterinarias? La Ley 26.529 regula los derechos del paciente en su relación con los profesionales e instituciones de la salud, así que no se aplica a las veterinarias; pero los datos de sus clientes, como el nombre y el teléfono, son datos personales y se rigen por la Ley 25.326.

¿Qué va en el sistema de turnos y qué en la historia clínica?

Son dos cosas distintas, con reglas distintas. La Ley 26.529 define la historia clínica como el documento obligatorio, cronológico, foliado y completo en el que consta toda actuación realizada al paciente por profesionales y auxiliares de la salud (artículo 12). Es inviolable, y su guarda y custodia está a cargo de los establecimientos asistenciales y de los profesionales de la salud titulares de consultorios privados, como depositarios: deben poner los medios necesarios para evitar que personas no autorizadas accedan a su información (artículo 18).

La historia clínica se puede llevar en formato digital, siempre que se asegure la integridad, autenticidad, inalterabilidad, perdurabilidad y recuperabilidad de sus datos; para eso, la ley pide usar accesos restringidos con claves de identificación, medios de almacenamiento no reescribibles, control de modificación de campos o cualquier otra técnica idónea para asegurar su integridad (artículo 13). El decreto reglamentario agrega que la historia clínica informatizada tiene que adaptarse a la Ley 25.506, de firma digital (artículo 13 del decreto).

El sistema de turnos, en cambio, es una agenda. La Ley 25.326 pide que los datos que se recogen sean ciertos, adecuados, pertinentes y no excesivos en relación con la finalidad para la que se obtienen (artículo 4). Para dar un turno y recordarlo alcanza con saber quién viene, con qué profesional, cuándo y cómo avisarle.

Por eso conviene mantenerlos separados: la agenda, con lo necesario para organizar la atención, y la historia clínica, con lo clínico, cada una con sus propios permisos. Si el formulario de reserva pide un motivo de consulta, mejor que sea una opción general, como «primera consulta» o «control», y no un campo libre donde el paciente termine contando sus síntomas.

Deslizá la tabla hacia el costado para ver todas las columnas.

¿Qué hay que informarle al paciente y cuándo hace falta su consentimiento?

La Ley 25.326 pide que, cuando se recaben datos personales, se le informe antes a la persona, de forma expresa y clara (artículo 6):

• para qué se van a usar sus datos y quiénes pueden recibirlos;
• que existe la base de datos y quién es el responsable, con su domicilio;
• qué preguntas son obligatorias y cuáles opcionales, en especial las que piden datos sensibles;
• qué pasa si da los datos, si se niega a darlos o si son inexactos;
• que puede pedir acceder a sus datos, rectificarlos o suprimirlos.

Sobre el consentimiento, la regla general de la ley es que tratar datos personales sin el consentimiento libre, expreso e informado de la persona es ilícito, y ese consentimiento tiene que constar por escrito o por otro medio que se le equipare; si se da junto con otras declaraciones, tiene que figurar de forma expresa y destacada (artículo 5). La misma ley prevé excepciones (artículo 5, inciso 2), por ejemplo cuando los datos derivan de una relación profesional con la persona y son necesarios para su desarrollo o cumplimiento. Si tu caso entra en una excepción es una pregunta para tu abogado. El artículo 6 no hace esa distinción: pide informar cuando se recaben datos personales.

No hay que confundirlo con el consentimiento informado de la Ley 26.529, que es la declaración de voluntad del paciente después de recibir información clara sobre su estado de salud y el procedimiento que se le propone, entre otros puntos (artículo 5). Se refiere a la atención, no a los datos de la agenda.

La Ley 25.326 también pide que los particulares que formen archivos o bancos de datos que no sean para un uso exclusivamente personal los registren (artículo 24) en el registro que habilita el organismo de control (artículo 21).

En la práctica, conviene que el formulario de reserva muestre esa información antes del botón para confirmar, con un enlace a tu política de privacidad, que la política de WhatsApp exige mantener publicada a quien usa WhatsApp para su negocio. Y que el permiso para recibir recordatorios por WhatsApp sea una casilla aparte, sin marcar de antemano.

¿Qué medidas de seguridad hacen falta?

La Ley 25.326 pide adoptar las medidas técnicas y organizativas necesarias para garantizar la seguridad y la confidencialidad de los datos personales, de modo de evitar su adulteración, pérdida, consulta o tratamiento no autorizado, y que permitan detectar desviaciones de información, intencionales o no (artículo 9). También prohíbe registrar datos personales en archivos que no reúnan condiciones técnicas de integridad y seguridad.

La ley no enumera esas medidas. La Agencia de Acceso a la Información Pública (AAIP), autoridad de aplicación de la ley, aprobó en la Resolución 47/2018 una lista de medidas de seguridad recomendadas, que presenta como referencia para facilitar su cumplimiento. Para los sistemas informáticos, las agrupa en recolección de datos, control de acceso (con mecanismos de autenticación y segregación de roles y funciones), control de cambios, respaldo y recuperación, gestión de vulnerabilidades, destrucción de la información con borrado seguro, incidentes de seguridad y entornos de desarrollo. Otro anexo cubre la información que no está en un sistema, como una agenda en papel.

Como mínimo, conviene:

• un usuario y una contraseña para cada persona del equipo, nunca compartidos, y un segundo factor de autenticación si el sistema lo permite;
• respaldos automáticos y una prueba de que se pueden recuperar;
• un registro de quién vio o cambió cada turno;
• bloqueo con clave en las computadoras y los celulares del consultorio, sobre todo en el que tiene la cuenta de WhatsApp;
• un procedimiento escrito para saber qué hacer si se pierde un equipo o alguien accede sin permiso.

¿Qué deber de confidencialidad tiene el equipo?

Alcanza a todos, no solo a los profesionales. La Ley 25.326 obliga al secreto profesional al responsable de la base y a todas las personas que intervengan en cualquier fase del tratamiento de los datos, y esa obligación sigue aun después de terminada su relación con el responsable (artículo 10). En un consultorio, eso abarca también a quien da los turnos o responde el WhatsApp.

La Ley 26.529 reconoce al paciente el derecho a que toda persona que participe en la elaboración o manipulación de la documentación clínica, o que tenga acceso a su contenido, guarde la debida reserva, salvo disposición en contrario de una autoridad judicial competente o autorización del propio paciente (artículo 2, inciso d). El decreto reglamentario extiende el deber de confidencialidad a toda persona que acceda a la documentación clínica y aclara que por la confidencialidad no responde solo el profesional tratante, sino también la máxima autoridad del establecimiento (artículo 2, inciso d, del decreto).

Además, la ley solo permite dar a terceros la información sanitaria, la que informa sobre el estado de salud, los estudios y los tratamientos del paciente, con su autorización, y regula aparte los casos en que el paciente no puede comprenderla (artículos 3 y 4 de la Ley 26.529). Conviene que el equipo lo tenga presente cuando un familiar llama para preguntar por un paciente, y sumar una cláusula de confidencialidad en los acuerdos con el equipo y con quien le da soporte al sistema.

¿Quién del equipo tiene que ver cada dato?

Cada persona, lo que necesita para su tarea. La ley no arma los perfiles por vos, pero pide evitar la consulta no autorizada de los datos (artículo 9 de la Ley 25.326) y el acceso de personas no autorizadas a la historia clínica (artículo 18 de la Ley 26.529). Y entre las medidas que recomienda la AAIP está la segregación de roles y funciones.

Un reparto posible, que conviene adaptar a tu equipo:

• Recepción: la agenda, los datos de contacto y el estado de cada turno. No necesita la historia clínica.
• Profesionales: su propia agenda y la historia clínica de sus pacientes.
• Administración: lo necesario para cobrar y facturar, sin el contenido clínico.
• Quien administra el sistema: las altas y bajas de usuarios y sus permisos.

Conviene revisar los permisos cada tanto y dar de baja el usuario el mismo día en que alguien deja el consultorio.

¿Qué no hay que mandar por WhatsApp?

La política de WhatsApp pone límites que valen para cualquier conversación de una empresa, en la app o en la plataforma:

• No se pueden pedir ni compartir números completos de tarjetas de pago, números de cuentas bancarias, números de documentos de identidad ni otros identificadores confidenciales.
• No se puede usar WhatsApp para ofrecer telemedicina ni para enviar o pedir información sobre salud si las regulaciones aplicables prohíben que esos datos circulen por sistemas que no cumplen requisitos más estrictos.
• No se puede reenviar ni compartir la información del chat de un cliente con otro cliente.

La política no dice cuáles son esas regulaciones en cada país, y esta guía no puede responderlo por vos. Lo que sí dicen las leyes es que la información de salud es un dato sensible (Ley 25.326) y que, al transmitir información clínica, hay que resguardar la confidencialidad de esos datos (Ley 26.529). Por eso conviene que por WhatsApp no viajen diagnósticos, resultados de estudios ni detalles de tratamientos, y que esa información se entregue por el canal que tu consultorio defina para la documentación clínica.

En el día a día, también conviene:

• no pedir el DNI ni el número de afiliado por chat: si los necesitás, que se carguen en el formulario de reserva o en la consulta;
• si un paciente cuenta sus síntomas por WhatsApp, no repetirlos en la respuesta y llevar el tema a la consulta;
• no reenviar capturas de conversaciones con pacientes a grupos de WhatsApp del equipo;
• cuando se libera un horario y se le ofrece a la lista de espera, no decir quién canceló.

¿Cómo tienen que ser los recordatorios por WhatsApp?

Un sistema de turnos online suele mandar la confirmación al reservar y un recordatorio el día anterior para confirmar o cancelar. Hay tres cosas que cuidar: el permiso, el contenido y la forma de darse de baja.

El permiso

La política de WhatsApp solo te permite escribirle a una persona si te dio su número y aceptó recibir tus mensajes o llamadas. Las instrucciones de Meta agregan que tiene que quedar claro que la persona acepta recibir comunicaciones de tu negocio y que figure el nombre del negocio. El permiso se puede pedir en tu sitio web, por SMS, en una llamada con respuesta de voz automatizada o en persona, incluso en papel.

En un consultorio, el momento natural para pedirlo es la reserva. Conviene una casilla aparte, sin marcar, que diga que la persona acepta recibir por WhatsApp la confirmación y los recordatorios de sus turnos, con el nombre de tu consultorio. Y confirmar de quién es el número: si es el de un familiar, los mensajes le llegan a esa persona.

El contenido

Conviene que el recordatorio diga lo mínimo para que el paciente llegue al turno: el nombre del consultorio, el día, la hora, la dirección y cómo confirmar o cancelar. Sin el motivo de la consulta, sin diagnósticos ni estudios, y sin la especialidad cuando dice mucho sobre la salud del paciente. El mensaje puede verse en la pantalla bloqueada del celular o leerlo otra persona.

Con la plataforma de WhatsApp Business, un recordatorio que sale el día anterior suele llegar cuando ya pasaron más de 24 horas desde el último mensaje del paciente, y fuera de esa ventana la política solo permite escribir con plantillas aprobadas. Lo explicamos en cómo automatizar la atención por WhatsApp.

La baja

La política de WhatsApp exige respetar cualquier pedido de una persona para bloquearte, dejar de recibir tus mensajes o darse de baja, lo haga por WhatsApp o por otro medio, y sacarla de tu lista de contactos. Meta recomienda, además, dar instrucciones claras para darse de baja y que los pasos para aceptar y rechazar los mensajes sean claros e intuitivos.

Conviene separar dos cosas: cancelar un turno, que tiene que poder hacerse con un toque, y dejar de recibir recordatorios, que también tiene que ser simple y quedar registrado en el sistema. Y si después querés mandar novedades o promociones, pedí un permiso aparte: la Ley 25.326 no permite usar los datos para finalidades distintas o incompatibles con las que motivaron su obtención (artículo 4), y Meta recomienda pedir el permiso por categoría de mensaje.

¿Cuánto tiempo se guardan los datos y qué hacer si un paciente pide borrarlos?

Depende del dato. Para la historia clínica, la Ley 26.529 fija la obligación de guarda y custodia por un plazo mínimo de diez años, que se cuenta desde la última actuación registrada (artículo 18). El decreto reglamentario regula qué puede hacer el depositario cuando vence ese plazo y pide a los efectores de salud avisarle al paciente, al menos seis meses antes del vencimiento, que la historia clínica está a su disposición (artículo 18 del decreto). El paciente, además, es el titular de la historia clínica y puede pedir una copia autenticada, que se le tiene que entregar dentro de las 48 horas, salvo emergencia (artículo 14 de la ley).

Para el resto de los datos, la Ley 25.326 pide destruirlos cuando dejan de ser necesarios o pertinentes para los fines con que se recolectaron (artículo 4), y conservarlos durante los plazos que fijen las normas aplicables o, en su caso, el acuerdo con la persona (artículo 16).

Si un paciente pide rectificar, actualizar o suprimir sus datos, la ley da un plazo máximo de cinco días hábiles desde el reclamo (artículo 16). Pero la supresión no procede cuando puede perjudicar derechos o intereses legítimos de terceros, o cuando existe una obligación legal de conservar los datos.

Por eso conviene que la agenda y la historia clínica tengan reglas de conservación distintas. Definí cuánto tiempo guardás los turnos pasados y los datos de quienes reservaron y nunca se atendieron, tené un canal claro para recibir estos pedidos y anotá cada uno con su respuesta. Si alguien pide dejar de recibir recordatorios, sacalo de la lista de inmediato.

¿Qué preguntarle a un proveedor de software de turnos?

Si el sistema lo da un tercero, ese proveedor trata los datos de tus pacientes por cuenta tuya. La Ley 25.326 dice que quien presta servicios de tratamiento de datos por cuenta de terceros no puede usarlos con un fin distinto al que figura en el contrato ni cederlos a otras personas, ni siquiera para conservarlos, y que al terminar el servicio tiene que destruirlos. La excepción es que lo autorices expresamente porque se esperan nuevos encargos: en ese caso puede guardarlos, con las debidas condiciones de seguridad, hasta dos años (artículo 25).

Antes de elegir, conviene preguntar:

• ¿Qué dice el contrato sobre para qué puede usar los datos y con quién los comparte?
• ¿En qué país se guardan? La ley prohíbe transferir datos personales a países u organismos que no proporcionen niveles de protección adecuados, con algunas excepciones (artículo 12).
• ¿Puedo crear un usuario por persona, con permisos según su rol, y ver quién hizo cada cambio?
• ¿Cómo se hacen y se prueban los respaldos?
• ¿Cómo me avisan si hay un incidente de seguridad?
• ¿Los recordatorios salen por la plataforma de WhatsApp Business, con plantillas aprobadas? ¿Cómo quedan registrados el permiso de cada paciente y las bajas?
• ¿La agenda está separada de la historia clínica? Si el sistema también lleva la historia clínica, ¿cómo cumple lo que piden la Ley 26.529 y su decreto para la historia clínica informatizada?
• ¿Puedo exportar mis datos, y qué pasa con ellos cuando termina el contrato?

Si estás evaluando un sistema de turnos online para tu consultorio, llevá estas preguntas a la primera conversación, también si es con nosotros.

¿Por dónde empezar?

Una lista para revisar cómo da turnos hoy tu consultorio:

• Listá qué datos pide hoy tu formulario o tu recepción para dar un turno y sacá los que no hacen falta.
• Separá la agenda de la historia clínica, con permisos distintos para cada una.
• Cambiá el campo libre de motivo de consulta por opciones generales, o sacalo.
• Sumá al formulario de reserva la información que pide el artículo 6 de la Ley 25.326 y un enlace a tu política de privacidad.
• Pedí el permiso para los recordatorios por WhatsApp en una casilla aparte, sin marcar, con el nombre de tu consultorio.
• Redactá el recordatorio con lo mínimo: consultorio, día, hora, dirección y cómo confirmar, cancelar o darse de baja.
• Dejá por escrito qué no se manda por WhatsApp: diagnósticos, resultados, documentos ni números de afiliado.
• Creá un usuario por persona, con permisos según su rol, y dalo de baja el día que alguien deja el equipo.
• Revisá los respaldos, el bloqueo de las computadoras y el celular que tiene la cuenta de WhatsApp.
• Definí cuánto tiempo guardás los datos de la agenda y cómo respondés un pedido de acceso, corrección o supresión.
• Consultá si tu base de datos tiene que inscribirse en el registro del organismo de control.
• Preguntale a tu proveedor qué hace con los datos y qué pasa con ellos cuando termina el contrato.
• Revisá tu caso con un abogado especializado en derecho de la salud y protección de datos personales.

Si querés ver cómo funciona una agenda con reservas desde el celular, recordatorios por WhatsApp y lista de espera, mirá el sistema de turnos online para consultorios.

Preguntas frecuentes

¿Puedo mandar recordatorios de turnos por WhatsApp?

Sí, si el paciente te dio su número y aceptó recibir mensajes de tu consultorio. La política de WhatsApp lo exige, y Meta pide que el permiso diga con claridad que la persona acepta recibir comunicaciones de tu negocio y que figure el nombre del negocio. Conviene que el recordatorio diga solo lo necesario, como el consultorio, el día, la hora y la dirección, y que explique cómo confirmar, cancelar o dejar de recibir mensajes.

¿Puedo pedir el DNI o la obra social para dar un turno?

En el formulario de reserva, solo si lo necesitás para atender: la Ley 25.326 pide que los datos sean adecuados, pertinentes y no excesivos para la finalidad con que se piden. Por WhatsApp, no: la política de WhatsApp no permite pedir ni compartir números de documentos de identidad ni otros identificadores confidenciales, y conviene tratar igual el número de afiliado.

¿Puedo mandar resultados de estudios por WhatsApp?

La política de WhatsApp prohíbe enviar o pedir información sobre salud cuando las regulaciones aplicables no permiten que circule por sistemas que no cumplen requisitos más estrictos. Los resultados son datos sensibles para la Ley 25.326 y los estudios forman parte de la historia clínica según la Ley 26.529, así que conviene entregarlos por el canal que tu consultorio defina para la documentación clínica y consultar tu caso con un abogado.

¿Qué hago si un paciente me pide que borre sus datos?

Respondé dentro de los cinco días hábiles que fija la Ley 25.326. Los datos de la agenda que ya no necesitás conviene suprimirlos, pero la supresión no procede cuando existe una obligación legal de conservar los datos: por ejemplo, la Ley 26.529 obliga a guardar la historia clínica durante al menos diez años desde la última actuación registrada. Si lo que pide es dejar de recibir recordatorios, sacalo de la lista de inmediato.

Fuentes

1. Ley 25.326 de Protección de los Datos Personales, artículos 2, 4, 5, 6, 7, 8, 9, 10, 12, 16, 21, 24 y 25. Argentina.gob.ar, Información Legislativa. https://www.argentina.gob.ar/normativa/nacional/ley-25326-64790/texto Consultado el 11 de noviembre de 2026.
2. Ley 26.529 de Derechos del Paciente en su Relación con los Profesionales e Instituciones de la Salud, texto actualizado, artículos 1, 2, 3, 4, 5, 12, 13, 14, 16 y 18. Argentina.gob.ar, Información Legislativa. https://www.argentina.gob.ar/normativa/nacional/ley-26529-160432/actualizacion Consultado el 11 de noviembre de 2026.
3. Decreto 1089/2012, reglamentario de la Ley 26.529, artículos 2, 13 y 18. Argentina.gob.ar, Información Legislativa. https://www.argentina.gob.ar/normativa/nacional/norma-199296/texto Consultado el 11 de noviembre de 2026.
4. Resolución 47/2018 de la Agencia de Acceso a la Información Pública: medidas de seguridad recomendadas para el tratamiento y conservación de los datos personales, anexos I y II. Argentina.gob.ar, Información Legislativa. https://www.argentina.gob.ar/normativa/nacional/resolucion-47-2018-312662/texto Consultado el 11 de noviembre de 2026.
5. Política de mensajes de WhatsApp Business, última actualización del 23 de septiembre de 2026. WhatsApp Business, de Meta. https://whatsappbusiness.com/es-la/policy/ Consultado el 11 de noviembre de 2026.
6. Get opt-in for WhatsApp. Meta for Developers, documentación de la plataforma de WhatsApp Business. https://developers.facebook.com/documentation/business-messaging/whatsapp/getting-opt-in Consultado el 11 de noviembre de 2026.