Cómo cumplir la Ley 81 usando WhatsApp en una clínica
No se trata de dejar de usar WhatsApp. Se trata de tratarlo como lo que es: un canal por donde entran datos de salud, que la ley protege de forma reforzada.
RESPUESTA CORTA
La Ley 81 de 2019, reglamentada por el Decreto Ejecutivo 285 de 2021, aplica a toda empresa panameña que trate datos personales — incluidas las clínicas. Si tu equipo atiende pacientes por WhatsApp, ese canal necesita finalidad declarada, consentimiento demostrable, control de acceso por rol, trazabilidad de quién respondió qué, política de retención y un camino para los derechos ARCO. Usar WhatsApp Business en el celular personal de una recepcionista no cumple ninguna de las seis.
B/.8,000
Es la multa que la ANTAI le impuso a una clínica en Panamá por publicar imágenes de una paciente sin un consentimiento válido para ese uso.
Autoridad Nacional de Transparencia y Acceso a la Información · caso sancionatorio publicado
Lo que la ley exige, en concreto
Seis obligaciones que un canal de WhatsApp clínico debe poder demostrar. No son recomendaciones: son la base sobre la que la ANTAI evalúa.
Finalidad declarada y mínima
Solo se piden y se usan los datos necesarios para el fin concreto: agendar, recordar, dar seguimiento. Si el paciente autorizó recordatorios de cita, ese canal no sirve para mandarle promociones sin una autorización aparte.
Consentimiento que se pueda demostrar
No basta con que el paciente haya escrito primero. Hace falta evidencia: una cláusula específica sobre WhatsApp en el formulario de admisión, o una confirmación explícita registrada en el sistema.
Control de acceso por rol
Recepción, enfermería, médicos y administración no deberían ver lo mismo. Y cuando alguien deja la clínica, su acceso se revoca — algo imposible si las conversaciones viven en su teléfono.
Trazabilidad de cada intercambio
Quién respondió, cuándo, y qué se le dijo al paciente. Sin registro no hay forma de responder a un reclamo, ni de demostrar que se actuó bien.
Política de retención
Cuánto tiempo se conservan las conversaciones y qué pasa después. Los respaldos y las exportaciones siguen la misma regla; si no, la política es papel mojado.
Un camino real para los derechos ARCO
Acceso, rectificación, cancelación y oposición. El paciente tiene que poder pedir sus datos, corregirlos, o dejar de recibir mensajes — y la clínica tiene que poder ejecutarlo y dejar constancia.
Trazabilidad en la práctica: cada respuesta queda con su autor, fecha y hora. Captura real, datos de demostración.
Lo que ningún software resuelve por ti
Conviene decirlo antes que después: el cumplimiento es de la clínica, no del proveedor. Instalar una plataforma no te vuelve cumplidor, igual que comprar una caja fuerte no te vuelve prudente.
Lo que una plataforma aporta es la infraestructura que la ley da por supuesta — roles, registro, retención, un lugar donde los datos no sean el celular de nadie. Las decisiones siguen siendo tuyas: qué se envía por WhatsApp y qué no, quién puede ver qué, cuánto se guarda, y cómo se atiende a un paciente que ejerce sus derechos.
Cualquiera que te venda "cumplimiento garantizado" en una caja te está vendiendo algo que no existe.
Checklist para una clínica en Panamá
Si puedes marcar las diez casillas, tu canal de WhatsApp está en orden. Si fallas en tres o más, empieza por las primeras: son las que la ANTAI mira primero.
- Procedimiento escrito de qué se envía por WhatsApp y qué no
- Aviso de privacidad publicado, con cláusula específica sobre WhatsApp
- Consentimiento del paciente registrado y recuperable
- Número institucional, nunca el celular personal del personal
- Accesos por rol, revocables al salir un colaborador
- Registro de quién respondió cada conversación
- Política de retención definida, incluidos respaldos
- Canal para ejercer derechos ARCO, con constancia
- Nada de resultados ni imágenes clínicas sin consentimiento específico
- Acuerdo de tratamiento de datos firmado con cada proveedor
Esta guía es orientación práctica, no asesoría legal. Para una evaluación formal de cumplimiento, consulta con un abogado especializado en protección de datos en Panamá.
Dónde encaja Eficore
Eficore cubre la parte de infraestructura del checklist — los puntos 4 al 7 — y firma el acuerdo del punto 10 como contraparte panameña.
- Número institucional sobre la API oficial de WhatsApp Business, no el celular de nadie
- Accesos por rol, revocables cuando alguien deja la clínica
- Historial completo: quién respondió, cuándo y qué se dijo
- Notas internas separadas de lo que ve el paciente
- En campañas, la baja del paciente se respeta sola y de inmediato
- Contraparte panameña: contrato local y política de privacidad publicada con nuestro rol de encargado del tratamiento
Los puntos 1, 2, 3, 8 y 9 son decisiones y procedimientos de la clínica. Podemos ayudarte a montarlos, pero no los podemos firmar por ti.
Preguntas frecuentes
¿Se puede usar WhatsApp con pacientes en Panamá?
Sí. La Ley 81 no prohíbe ningún canal; exige que el tratamiento de datos tenga finalidad legítima, consentimiento, seguridad y trazabilidad. Lo que no cumple es usar WhatsApp desde el celular personal de un empleado, sin roles, sin registro y sin política de retención.
¿Puedo enviar resultados de laboratorio por WhatsApp?
Es la práctica de mayor riesgo. Los datos de salud son especialmente sensibles y el criterio prudente es limitar el chat a información básica: confirmación de cita, indicaciones generales, recordatorios. Para resultados e imágenes clínicas conviene un canal más controlado o, como mínimo, un consentimiento específico para ese envío.
¿Qué pasa si un paciente pide que borren sus datos?
Está ejerciendo un derecho ARCO y la clínica debe poder atenderlo y dejar constancia. Eso implica saber dónde están los datos — cosa imposible si viven repartidos en los teléfonos del personal — y tener un procedimiento escrito de cómo se responde y en cuánto tiempo.
¿La ANTAI ha sancionado a clínicas de verdad?
Sí. Hay un caso publicado de una multa de B/.8,000 a una clínica en Panamá por publicar imágenes de una paciente sin un consentimiento válido para ese uso. El riesgo no es teórico.
¿Basta con que el paciente me escriba primero para tener su consentimiento?
No. Que alguien inicie la conversación no equivale a una autorización informada para tratar sus datos con una finalidad determinada, y sobre todo no equivale a autorización para usos distintos, como enviarle promociones. El consentimiento debe ser informado y demostrable.
¿Necesito firmar algo con el proveedor del software?
Sí. Si un tercero trata datos de tus pacientes por encargo tuyo, corresponde un acuerdo de tratamiento de datos que defina finalidad, medidas de seguridad, retención y qué pasa al terminar la relación. Contratar con un proveedor extranjero no elimina tu responsabilidad ante la ANTAI, y complica ejercerla.
¿Sirve WhatsApp Business normal o hace falta la API?
La aplicación de WhatsApp Business no ofrece roles, ni bitácora de accesos, ni control sobre las exportaciones: la conversación vive en el dispositivo. La API oficial permite bandeja compartida con permisos, historial centralizado y registro de actividad, que es lo que la ley da por supuesto.
¿Cuántas casillas te faltan?
Si quieres, revisamos juntos cómo maneja tu clínica el WhatsApp hoy y qué tan lejos está del checklist. Sin compromiso y sin presentación de ventas.