Datos de clientes y normas · Para dueños de negocio
Datos sensibles en la agenda: lo que un spa o consultorio no anota
Un nombre de servicio o una nota en la cita pueden revelar la salud o la vida íntima de tu cliente. Qué dice la Ley 1581 de 2012 sobre los datos sensibles y reglas prácticas para que tu agenda no se convierta en un riesgo.
Por Equipo de Tecnotics · · 7 min de lectura
En 30 segundos
- Son sensibles, entre otros, «los datos relativos a la salud, a la vida sexual y los datos biométricos» (Ley 1581 de 2012, art. 5).
- Su tratamiento está prohibido salvo excepciones, como la autorización explícita del titular (art. 6).
- Debes informar que el cliente no está obligado a darlos, y ninguna actividad puede condicionarse a que los entregue (Decreto 1074 de 2015, art. 2.2.2.25.2.3).
- La SIC puede ordenar el cierre inmediato y definitivo de operaciones con datos sensibles (Ley 1581, art. 23, lit. d).
- En 2025, la SIC multó con $214.405.120 a una empresa que exigía reconocimiento facial para acceder a la cuenta.
¿Qué son los datos sensibles y por qué importan en una agenda?
La Ley 1581 de 2012 llama sensibles a los datos que afectan la intimidad o cuyo uso indebido puede generar discriminación. Su artículo 5 da ejemplos: origen racial o étnico, orientación política, convicciones religiosas, pertenencia a sindicatos y «los datos relativos a la salud, a la vida sexual y los datos biométricos». La base general, para cualquier negocio, está en protección de datos de clientes.
Una agenda parece inofensiva: nombre, hora, servicio. El problema es que en spas, centros de estética, consultorios y gimnasios, el servicio reservado ya dice algo de la persona. Y las notas que agrega el equipo pueden decir mucho más.
¿Cómo se cuela un dato sensible en la agenda?
Por el nombre del servicio
| Servicio en la agenda | Qué puede revelar |
|---|---|
| Sesión de psicología | Salud mental |
| Tratamiento para la caída del cabello | Condición de salud |
| Depilación íntima | Vida íntima |
| Masaje prenatal | Embarazo |
| Control posoperatorio | Cirugía reciente |
| Fisioterapia de rodilla | Lesión |
Ese nombre aparece en el correo de confirmación, en el recordatorio, en el historial de citas y en la pantalla de la recepción.
Por las notas de la cita
Aquí está el riesgo más grande. Un campo de notas con «alérgica a la penicilina», «diabético, cuidado con la pedicura» o «viene por ansiedad» convierte la agenda en una base de datos de salud. Esa base la ve todo el equipo y no tiene las protecciones que exige la ley para este tipo de datos.
Por la biometría
La huella o el reconocimiento facial para registrar asistencia o entrar a un gimnasio son datos biométricos, también sensibles.
¿Qué reglas prácticas seguir?
- Nombra los servicios por formato, no por condición. «Masaje de 60 minutos» en lugar de «masaje prenatal»; «consulta de 50 minutos» en lugar de «terapia de pareja».
- Nada clínico en las notas de la cita. Ni síntomas, ni diagnósticos, ni medicamentos, ni alergias.
- Si necesitas un dato de salud, que sea en una ficha aparte, con acceso solo para quien atiende.
- Pide autorización explícita para ese dato, informando para qué lo usas y que responder es facultativo.
- Pide solo lo necesario. Si para un masaje de relajación basta preguntar por contraindicaciones el día de la cita, no lo pidas al reservar.
- Restringe accesos por rol. La recepción no necesita ver lo que anota la terapeuta.
- Revisa los recordatorios. Que digan día, hora y lugar, no el detalle del servicio.
Cuando sí necesitas el dato
Hay casos razonables. Antes de un peeling, una depilación con cera o un masaje, preguntar por alergias o contraindicaciones protege al cliente. La forma correcta:
| Paso | Qué hacer |
|---|---|
| 1. Informar | Qué dato pides, para qué y que responder es facultativo |
| 2. Autorizar | Autorización explícita, que puedas probar después |
| 3. Guardar | Ficha aparte, con acceso restringido, no en la agenda ni en chats |
| 4. Usar | Solo para la finalidad informada |
| 5. Depurar | Elimina lo que ya no necesitas según tu política |
Cómo redactar y guardar la autorización está en autorización de tratamiento de datos. Si el cliente es menor de edad, revisa datos de menores de edad.
Ejemplo con supuestos explícitos
Supuestos ilustrativos: un spa de Barranquilla con cuatro terapeutas y una recepcionista que ofrece masajes, faciales y depilación. Hoy la recepción anota en la cita «embarazada», «alergia a frutos secos» o «várices».
- Antes: los cuatro terapeutas, la recepcionista y el administrador ven esas notas en la agenda. Los recordatorios dicen «masaje prenatal».
- Después: los servicios se llaman «masaje de 60 minutos» y «facial de 45 minutos»; las contraindicaciones se preguntan en un formulario con autorización explícita, guardado en una ficha que solo ve la terapeuta asignada.
¿Y los mensajes, los chats y los correos?
La agenda no es el único lugar donde se escapan datos sensibles. Muchos negocios confirman citas por chat desde el celular de la recepción, y ahí terminan fotos de lesiones, fórmulas médicas o preguntas íntimas que el cliente envió de buena fe.
Tres cuidados básicos:
- No pidas por chat lo que no necesitas. Si el cliente envía una foto de una lesión o una fórmula, pásala a la ficha restringida y bórrala del chat compartido.
- No reenvíes. Un pantallazo de un chat con un dato de salud que circula en el grupo del equipo es un tratamiento sin autorización.
- Cuida el celular del negocio. Contraseña, sesión cerrada en computadores compartidos y nada de copias en cuentas personales.
Las reglas específicas están en protección de datos en WhatsApp.
Lista de chequeo rápida
| Pregunta | Sí / No |
|---|---|
| ¿Los nombres de tus servicios evitan condiciones de salud o de la vida íntima? | |
| ¿El campo de notas de la cita está libre de síntomas, alergias y diagnósticos? | |
| ¿Puedes reservar sin decir el motivo? | |
| ¿Los datos de salud que sí pides tienen autorización explícita? | |
| ¿Solo quien atiende ve esos datos? | |
| ¿Hay alternativa a la huella o al reconocimiento facial? |
Cada «no» es un ajuste pendiente.
¿Qué dice la ley si algo sale mal?
La Ley 1581 de 2012, art. 23, permite a la Superintendencia de Industria y Comercio (SIC) imponer multas de hasta 2.000 salarios mínimos, suspender actividades de tratamiento hasta seis meses, ordenar el cierre temporal y, en el caso de datos sensibles, el cierre inmediato y definitivo de la operación.
En su noticia del 14 de agosto de 2025, la SIC informó una multa de $214.405.120 a una empresa de comercio electrónico que condicionaba el acceso a la cuenta al reconocimiento facial. La SIC no dio el nombre de la empresa. El caso muestra cómo trata la autoridad la biometría obligatoria.
¿Quién responde por los datos de la agenda?
El negocio. Según la Ley 1581 de 2012 (art. 3), el responsable es quien decide sobre la base de datos y su tratamiento; el software que uses es una herramienta para organizarla. La autorización, la política de tratamiento y la atención de consultas y reclamos siguen siendo tuyas, uses agenda en papel, Excel o un programa en línea.
Si atiendes consultorios, la guía de agenda para psicólogos aplica estas reglas a la consulta psicológica. Si tienes un spa, la de software para spa las aplica a cabinas y terapeutas.
Organiza tu agenda en línea con un portafolio de servicios bien nombrados y reservas que no piden el motivo de la visita. Prueba MiTurno un mes gratis, sin tarjeta.
Fuentes
- Ley 1581 de 2012, Secretaría del Senado (consultada el 26/10/2026)
- Decreto 1074 de 2015, cap. 2.2.2.25, Función Pública (consultada el 26/10/2026)
- SIC, noticia del 14/08/2025 sobre investigaciones y multas por datos personales (consultada el 26/10/2026)
Verificado el 26/10/2026.
Preguntas frecuentes
¿El número de cédula de un cliente es un dato sensible?
No. El número de documento, el nombre, el correo y el celular son datos personales, pero no están en la lista de sensibles del artículo 5 de la Ley 1581 de 2012. Igual necesitas autorización para tratarlos y debes protegerlos. Lo que los vuelve delicados es combinarlos con información de salud, vida sexual, biometría u otras categorías sensibles en la misma ficha.
¿Una foto del antes y después de un tratamiento es un dato sensible?
Una foto que permite identificar a la persona es un dato personal, y si muestra una condición de la piel, del cuerpo o un procedimiento puede revelar información de salud o de la vida íntima. Trátala con autorización explícita, guárdala con acceso restringido y pide un permiso aparte y por escrito si quieres usarla en redes o en publicidad.
¿Qué hago si un empleado se lleva la base de clientes?
Revisa qué datos se llevó y si hay datos sensibles entre ellos. La Ley 1581 de 2012 obliga al responsable a informar a la Superintendencia de Industria y Comercio cuando se presenten violaciones a los códigos de seguridad. Documenta lo ocurrido, cambia contraseñas y accesos, y busca asesoría jurídica, porque además puede haber temas laborales y penales de por medio.
¿Puedo guardar alergias de mis clientes en el celular del negocio?
Es una mala idea. Las alergias son datos de salud, y un celular compartido, sin contraseña o con copias en la nube personal de alguien expone esa información. Si de verdad necesitas el dato para atender con seguridad, guárdalo en una ficha con acceso restringido, con la autorización explícita del cliente, y no en chats ni notas sueltas.