Claves rápidas
- El RGPD no se cumple eligiendo software, se cumple decidiendo. Por cada campo que pides en un formulario de cita tienes que poder decir por qué lo pides, con qué base jurídica, cuánto lo guardas y quién más lo ve. Ningún proveedor toma esas decisiones por ti.
- La base jurídica de una cita casi nunca es el consentimiento. Reservar una consulta es una medida precontractual o la ejecución de un contrato, el artículo 6.1.b. Pedir un consentimiento que no necesitas te deja peor: el cliente lo retira y te quedas sin base.
- El registro de actividades de tratamiento te toca aunque seas pequeño. La excepción para menos de 250 personas solo vale si el tratamiento es ocasional, y agendar clientes cada semana no lo es.
- Un campo de texto libre puede convertir tu agenda en un fichero de salud. Si en «motivo de la consulta» el paciente escribe su diagnóstico, pasas al artículo 9 y cambian las reglas.
- La AEPD regala las herramientas que muchos pagan a una consultora. Facilita RGPD, Gestiona RGPD y Asesora Brecha son gratuitas y públicas.
La pregunta «qué es el RGPD» suele contestarse con un resumen de la norma que nadie puede aplicar el lunes por la mañana. Esta guía la contesta al revés: parte de un formulario de reserva de citas, el trozo de software por el que entran los datos personales en casi cualquier negocio pequeño, y saca de ahí cada obligación.
El hilo que la recorre es una distinción que las páginas legales mezclan todo el tiempo. Hay decisiones que son tuyas por ley y no se delegan, y hay funciones técnicas que un proveedor te da o no te da. Confundirlas es lo que lleva a creer que contratando una herramienta europea ya está hecho el trabajo. Esto no es asesoramiento jurídico, es el mapa de qué decidir y dónde está escrito.
Qué es el RGPD, en una frase y sin rodeos
El RGPD es el Reglamento (UE) 2016/679, aplicable desde mayo de 2018, que regula cómo se tratan los datos personales de las personas que están en la Unión Europea. En España lo completa la Ley Orgánica 3/2018 (LOPDGDD) y lo supervisa la Agencia Española de Protección de Datos.
Te afecta si estás establecido en la UE, si ofreces bienes y servicios a personas que están en la UE o si monitorizas su comportamiento, según el resumen de ámbito que publica INCIBE para empresas y autónomos. No hay umbral de tamaño: un autónomo con una agenda online está dentro igual que un hospital.
Dos palabras que vas a necesitar. Dato personal es cualquier información que permita identificar a alguien, incluido un correo, un teléfono o la IP desde la que te reservaron. Tratamiento es cualquier cosa que hagas con ellos: recogerlos, guardarlos, enviarlos a tu CRM, borrarlos.
Las multas del artículo 83 llegan a 10 millones de euros o el 2% del volumen de negocio anual global por obligaciones como el registro de tratamientos, y a 20 millones o el 4% por vulnerar los principios, las bases de licitud o los derechos. El riesgo real para una pyme, de todas formas, no es la multa máxima: es la reclamación de un cliente. La AEPD recibió más de 30.000 reclamaciones en 2025, un 64% más que el año anterior.
El formulario de reserva, campo por campo
Aquí está el ejercicio que ordena todo lo demás. Coge tu formulario de citas y rellena esta tabla para cada campo. Si no sabes rellenar una celda, ahí tienes trabajo pendiente.
| Campo | Para qué lo necesitas | Base jurídica probable | Plazo razonable |
|---|---|---|---|
Nombre y apellidos | Identificar a quién atiendes | Contrato o medida precontractual (6.1.b) | La relación, más los plazos fiscales si facturas |
CampoNombre y apellidos Para qué lo necesitasIdentificar a quién atiendes Base jurídica probableContrato o medida precontractual (6.1.b) Plazo razonableLa relación, más los plazos fiscales si facturas | |||
Correo electrónico | Confirmación y recordatorio | Contrato o medida precontractual (6.1.b) | Igual que el anterior |
CampoCorreo electrónico Para qué lo necesitasConfirmación y recordatorio Base jurídica probableContrato o medida precontractual (6.1.b) Plazo razonableIgual que el anterior | |||
Teléfono | Aviso de última hora por SMS o llamada | Contrato, si el aviso es parte del servicio | Igual que el anterior |
CampoTeléfono Para qué lo necesitasAviso de última hora por SMS o llamada Base jurídica probableContrato, si el aviso es parte del servicio Plazo razonableIgual que el anterior | |||
Motivo de la consulta (texto libre) | Preparar la sesión | Depende: puede caer en el artículo 9 | El más corto que te deje trabajar |
CampoMotivo de la consulta (texto libre) Para qué lo necesitasPreparar la sesión Base jurídica probableDepende: puede caer en el artículo 9 Plazo razonableEl más corto que te deje trabajar | |||
Casilla de marketing | Enviarle novedades después | Consentimiento, separado y voluntario | Hasta que lo retire |
CampoCasilla de marketing Para qué lo necesitasEnviarle novedades después Base jurídica probableConsentimiento, separado y voluntario Plazo razonableHasta que lo retire | |||
IP y hora de la reserva | Prueba de que la cita se solicitó | Interés legítimo u obligación legal | Lo que necesites para defenderte |
CampoIP y hora de la reserva Para qué lo necesitasPrueba de que la cita se solicitó Base jurídica probableInterés legítimo u obligación legal Plazo razonableLo que necesites para defenderte | |||
Tres cosas saltan en cuanto la rellenas. La mayoría de los campos no necesita consentimiento. El marketing es un tratamiento distinto, con su propia base y su propia casilla, nunca un añadido a la reserva. Y el campo de texto libre es el que causa más problemas.
Si atiendes pacientes y dejas una caja abierta donde alguien escribe «revisión de mi ansiedad», acabas de recoger un dato de salud. El artículo 9 prohíbe tratar esas categorías especiales salvo que encaje una excepción, como el consentimiento explícito o la asistencia sanitaria prestada por un profesional sujeto a secreto. Es gestionable, y por eso el software de citas para clínicas y médicos en España y el de terapeutas y psicólogos parten de esa premisa. Lo que no se gestiona es recoger datos de salud sin saberlo, porque entonces tampoco has puesto las medidas que corresponden. Arreglo de diez minutos: cambia el texto libre por opciones cerradas de tipo de servicio y pide el detalle clínico dentro de la consulta, no en el formulario público.
Las seis bases jurídicas y la que casi siempre te toca
El artículo 6 dice que un tratamiento solo es lícito si encaja en una de estas seis condiciones. No se apilan: eliges una por finalidad y la documentas.
| Base jurídica | Cuándo aplica a una agenda de citas |
|---|---|
Consentimiento (6.1.a) | Marketing, cookies no necesarias, grabar una sesión |
Base jurídicaConsentimiento (6.1.a) Cuándo aplica a una agenda de citasMarketing, cookies no necesarias, grabar una sesión | |
Contrato o medida precontractual (6.1.b) | La reserva, la confirmación y el recordatorio |
Base jurídicaContrato o medida precontractual (6.1.b) Cuándo aplica a una agenda de citasLa reserva, la confirmación y el recordatorio | |
Obligación legal (6.1.c) | Conservar facturación, llevar historia clínica |
Base jurídicaObligación legal (6.1.c) Cuándo aplica a una agenda de citasConservar facturación, llevar historia clínica | |
Intereses vitales (6.1.d) | Urgencias sanitarias, no tu caso habitual |
Base jurídicaIntereses vitales (6.1.d) Cuándo aplica a una agenda de citasUrgencias sanitarias, no tu caso habitual | |
Interés público (6.1.e) | Administraciones y servicios públicos |
Base jurídicaInterés público (6.1.e) Cuándo aplica a una agenda de citasAdministraciones y servicios públicos | |
Interés legítimo (6.1.f) | Prevención del fraude, pruebas de que la cita se pidió |
Base jurídicaInterés legítimo (6.1.f) Cuándo aplica a una agenda de citasPrevención del fraude, pruebas de que la cita se pidió | |
El error más repetido es pedir consentimiento para todo porque suena a lo más prudente. Es lo contrario: el consentimiento se retira cuando el interesado quiera, y si era tu única base, al retirarlo te quedas sin poder gestionar la cita que esa misma persona te pidió. Quien ocupa un hueco en tu agenda está solicitando un servicio, y eso es 6.1.b.
El marketing tiene en España una capa más. El artículo 21 de la Ley 34/2002 (LSSI) prohíbe la publicidad por correo electrónico sin solicitud o autorización expresa previa, salvo que exista relación contractual previa, hayas obtenido los datos de forma lícita y promociones servicios similares a los contratados. Siempre tienes que ofrecer una vía sencilla y gratuita de oposición, en la recogida y en cada envío. Si montas una secuencia de email marketing sobre tu base de clientes, esa es la norma que la gobierna.
Responsable y encargado: quién responde de qué
Esta es la distinción que el discurso comercial de las herramientas tiende a difuminar. El responsable del tratamiento decide para qué y cómo se tratan los datos, y ese eres tú. El encargado los trata siguiendo tus instrucciones: tu proveedor de agenda, tu CRM, tu pasarela de pago, tu servicio de correo.
El artículo 28 obliga a poner esa relación por escrito en un contrato de encargo, lo que casi todas las páginas llaman DPA. Tiene que fijar objeto, duración, naturaleza y finalidad del tratamiento, tipo de datos, categorías de interesados y obligaciones del encargado. Dos cláusulas que conviene leer antes de firmar: el encargado no puede subcontratar a otro sin tu autorización previa por escrito, y debe permitirte auditorías.
Un proveedor puede darte alojamiento en la UE, cifrado, registros de auditoría y un DPA firmado. No puede elegir tu base jurídica, redactar tu información de privacidad, decidir cuánto guardas los datos ni contestar por ti a quien ejerza sus derechos. Cualquier mensaje comercial que sugiera que una suscripción te deja cumpliendo describe la mitad del problema.
Los principios, traducidos a decisiones de tu agenda
El artículo 5 fija los principios. Puestos en forma de decisión concreta, se leen así.
- Minimización. Quita del formulario todo campo que no uses. El DNI en una primera llamada de 30 minutos sobra, y si sobra es ilícito pedirlo.
- Limitación del plazo. Fija un número y escríbelo. Lo que no tiene número se guarda para siempre, que es justo lo que el principio prohíbe.
- Exactitud. Deja que el cliente corrija o anule su cita sin escribirte un correo.
- Integridad y confidencialidad. Doble factor en las cuentas del equipo, permisos por persona, cifrado en tránsito y en reposo.
- Responsabilidad proactiva. Tienes que poder demostrarlo, no solo hacerlo. Sin documentar, a efectos de una inspección no ocurrió.
- Limitación de la finalidad. Los datos de una cita sirven para la cita. Pasarlos a una lista de difusión es una finalidad nueva con su propia base.
El último se rompe el día que alguien exporta la agenda a una hoja de cálculo para una campaña.
Derechos: lo que te van a ejercer y el plazo que tienes
Los artículos 15 a 22 dan a tus clientes acceso, rectificación, supresión, limitación, portabilidad y oposición, más el derecho a no ser objeto de decisiones automatizadas con efectos jurídicos. El plazo del artículo 12 es un mes desde la recepción, prorrogable dos meses más en solicitudes complejas si avisas dentro del primero.
En la práctica te llegarán dos: acceso y supresión. Para el primero necesitas saber dónde están los datos. Para el segundo, qué puedes borrar y qué no, porque una factura emitida tiene plazos fiscales que no desaparecen porque el cliente lo pida, y conviene explicárselo así en lugar de negarse sin más. Si los contactos están además en el CRM y en la facturación, una supresión implica tres sistemas: documenta la cadena antes de la primera solicitud.
Lo que tienes que tener por escrito
| Documento | ¿Te toca? |
|---|---|
Registro de actividades de tratamiento (RAT) | Sí, si el tratamiento no es ocasional, aunque tengas menos de 250 empleados |
DocumentoRegistro de actividades de tratamiento (RAT) ¿Te toca?Sí, si el tratamiento no es ocasional, aunque tengas menos de 250 empleados | |
Información de privacidad en el punto de recogida | Siempre, artículo 13 |
DocumentoInformación de privacidad en el punto de recogida ¿Te toca?Siempre, artículo 13 | |
Contrato de encargo con cada proveedor | Siempre que un tercero trate datos por ti, artículo 28 |
DocumentoContrato de encargo con cada proveedor ¿Te toca?Siempre que un tercero trate datos por ti, artículo 28 | |
Delegado de protección de datos (DPD) | Solo en los supuestos del artículo 37.1 y del artículo 34 de la LOPDGDD |
DocumentoDelegado de protección de datos (DPD) ¿Te toca?Solo en los supuestos del artículo 37.1 y del artículo 34 de la LOPDGDD | |
Evaluación de impacto (EIPD) | Cuando el tratamiento sea de alto riesgo, artículo 35 |
DocumentoEvaluación de impacto (EIPD) ¿Te toca?Cuando el tratamiento sea de alto riesgo, artículo 35 | |
Procedimiento de brechas | Sí, porque el plazo de notificación es de 72 horas |
DocumentoProcedimiento de brechas ¿Te toca?Sí, porque el plazo de notificación es de 72 horas | |
Dos filas se interpretan mal casi siempre. El RAT: el artículo 30.5 exime a las organizaciones de menos de 250 personas, pero retira la exención si el tratamiento entraña riesgo para los derechos de los interesados, no es ocasional, o incluye categorías especiales. Una agenda que recoge clientes nuevos cada semana no es ocasional en ningún sentido, así que la exención casi nunca te cubre.
El DPD: no depende del número de empleados, por mucho que lo repitan los artículos de blog. El artículo 34 de la LOPDGDD lista los casos obligatorios en España, entre ellos los colegios profesionales, los centros docentes, las aseguradoras, las entidades de prospección comercial que elaboren perfiles y los centros sanitarios obligados a mantener historias clínicas. Esa última letra exceptúa de forma expresa a los profesionales de la salud que ejercen a título individual: un psicólogo con consulta propia no necesita DPD por esa vía, una clínica con varios profesionales sí.
Y las brechas: notificación a la autoridad sin dilación indebida y, de ser posible, en un máximo de 72 horas desde que tienes constancia, salvo que el riesgo sea improbable. Setenta y dos horas no dan para improvisar un procedimiento.
Las herramientas gratuitas de la AEPD
Esta es la parte que casi ninguna guía menciona y que sustituye bastante consultoría de primer nivel. La AEPD publica un conjunto de asistentes gratuitos que generan documentación y orientan sobre las decisiones (consultado el 28-10-2026).
| Herramienta | Para qué sirve |
|---|---|
Facilita RGPD | Asistente para pymes con tratamientos de escaso riesgo: te dice qué tienes que hacer |
HerramientaFacilita RGPD Para qué sirveAsistente para pymes con tratamientos de escaso riesgo: te dice qué tienes que hacer | |
Facilita EMPRENDE | La versión para personas emprendedoras y startups tecnológicas |
HerramientaFacilita EMPRENDE Para qué sirveLa versión para personas emprendedoras y startups tecnológicas | |
Gestiona RGPD | RAT, inventario, análisis y gestión del riesgo, soporte a la evaluación de impacto |
HerramientaGestiona RGPD Para qué sirveRAT, inventario, análisis y gestión del riesgo, soporte a la evaluación de impacto | |
Evalúa-Riesgo RGPD v2 | Si necesitas o no una evaluación de impacto |
HerramientaEvalúa-Riesgo RGPD v2 Para qué sirveSi necesitas o no una evaluación de impacto | |
Asesora Brecha | Si tienes que notificar una brecha a la autoridad |
HerramientaAsesora Brecha Para qué sirveSi tienes que notificar una brecha a la autoridad | |
Comunica-Brecha RGPD | Si además tienes que comunicarla a las personas afectadas |
HerramientaComunica-Brecha RGPD Para qué sirveSi además tienes que comunicarla a las personas afectadas | |
ValidaCripto RGPD | Evaluación de tus sistemas de cifrado |
HerramientaValidaCripto RGPD Para qué sirveEvaluación de tus sistemas de cifrado | |
Con un negocio pequeño y tratamientos sencillos, Facilita RGPD más Gestiona RGPD dejan la base documental hecha en una tarde. No cubren un tratamiento complejo ni sustituyen a un jurista cuando el riesgo es alto, pero resuelven el punto de partida que mucha gente aplaza durante años.
Qué parte puede cubrir tu herramienta de reservas
Las decisiones de los apartados anteriores son tuyas. Lo que cambia según el proveedor es cuántas puedes aplicar de verdad en el producto y con qué pruebas te quedas después. Esa es la lista corta que conviene comprobar antes de firmar, con meetergo como ejemplo de cómo se ve cuando está documentado.
Según su página de seguridad (consultada el 28-10-2026), meetergo almacena los datos en servidores de Núremberg, cifra en tránsito con TLS 1.3 y en reposo con AES-256, ofrece doble factor en todos los planes incluido el gratuito, borra las grabaciones de vídeo según el plan (180 días en Suite, un año en Premium, dos en Enterprise), no instala cookies en las páginas de reserva y firma contratos de encargo. La empresa es europea y sin matriz estadounidense, lo que evita la discusión sobre la CLOUD Act y la FISA 702 que ella misma desarrolla en su análisis de las leyes de privacidad de datos de EE. UU..
Dos funciones encajan con lo que has decidido arriba. El doble opt-in de reservas crea la cita solo cuando el invitado confirma con un clic y exporta un registro de auditoría en JSON con marcas de tiempo, comparación de IP y suma SHA-256, la prueba de solicitud que te falta cuando alguien niega haber reservado. Y las preguntas al invitado dejan cerrar las opciones en lugar de abrir texto libre, el arreglo del artículo 9 del que hablábamos.
Lo que ninguna de ellas hace: elegir tu base jurídica, redactar tu información de privacidad, decidir tus plazos o contestar a un derecho de acceso. La configuración por defecto tampoco está pensada para tu caso. Si dejas los flujos de recordatorios tal como vienen y nunca revisas qué datos salen en cada correo, el producto hará lo que le pediste, no lo que necesitabas. El reparto por plan está en la página de precios y lo que meetergo trata como encargado, en su política de privacidad.
Para hacer el ejercicio de la tabla sobre un formulario real en vez de sobre papel, crea un tipo de cita en el plan gratuito y mira qué campos pide por defecto.
Errores que se repiten
- Pedir consentimiento para gestionar la cita. Convierte una obligación contractual en algo revocable. Usa 6.1.b y reserva el consentimiento para el marketing.
- Dar por hecho que no hace falta RAT por ser pequeño. La excepción del artículo 30.5 se cae en cuanto el tratamiento deja de ser ocasional.
- Meter la casilla de marketing dentro de la aceptación de las condiciones. Un consentimiento agrupado no es libre ni específico, y además choca con el artículo 21 de la LSSI.
- Grabar o transcribir reuniones sin avisar. Si usas transcripción de audio a texto sobre llamadas con clientes, es un tratamiento nuevo con su base y su aviso.
- Firmar sin leer la subcontratación. El artículo 28.2 exige tu autorización previa por escrito para que el encargado contrate a otro. Si el contrato te hace renunciar a eso en genérico, pregunta.
- No poner plazos de borrado en el CRM. El sistema que recibe los datos de la reserva suele ser donde se quedan para siempre.
Por dónde empezar esta semana
Tres pasos, en este orden. Rellena la tabla campo por campo de tu formulario actual y borra lo que no puedas justificar, que es lo que reduce más riesgo por unidad de esfuerzo. Pasa por Facilita RGPD y Gestiona RGPD y deja el RAT y la información de privacidad escritos. Y pide a cada proveedor su contrato de encargo, con las cláusulas de subcontratación y de plazos leídas.
Cuando eso esté, la conversación con un proveedor cambia de tono: ya no preguntas si una herramienta «cumple el RGPD», preguntas si soporta las decisiones que tú has tomado. Los requisitos concretos que exigirle a una agenda están en nuestra guía de RGPD y software de reservas online.
Acaba con el acceso de EE.UU. a tus datos. Elige RGPD.
Acaba con el acceso de EE.UU. a tus datos. Elige RGPD.
Preguntas frecuentes
¿El RGPD se aplica a un autónomo con una sola agenda online?
Sí. No hay umbral de facturación ni de empleados. Con el tamaño y el riesgo varía la intensidad de la documentación, no las obligaciones de fondo: bases jurídicas, información y derechos aplican igual.
¿Puedo usar una herramienta estadounidense y seguir cumpliendo?
Es una transferencia internacional y necesita su propio fundamento del capítulo V, más un análisis de las garantías. Es terreno con historia judicial: Safe Harbor cayó en 2015 y el Privacy Shield en 2020 con la sentencia Schrems II. Un proveedor europeo sin matriz estadounidense te ahorra ese análisis.
¿Cuánto tiempo puedo guardar los datos de una cita?
El reglamento no da un número, te obliga a fijarlo y justificarlo. La referencia práctica son los plazos legales que ya te aplican: si de la cita sale una factura, manda la normativa fiscal y mercantil. Si no sale nada, el plazo debería ser corto.
¿Una casilla de «acepto la política de privacidad» vale como consentimiento?
No para finalidades distintas. Informar y pedir consentimiento son actos diferentes: el deber de informar del artículo 13 se cumple siempre, y el consentimiento tiene que ser libre, específico, informado e inequívoco para cada finalidad.
¿Qué hago si pierdo datos de clientes?
Valora el riesgo, notifícalo a la AEPD en un máximo de 72 horas desde que tienes constancia salvo que el riesgo sea improbable, y comunícalo a las personas afectadas si el riesgo es alto. Asesora Brecha y Comunica-Brecha están hechas para esa decisión.
¿Los recordatorios por SMS necesitan consentimiento aparte?
Si el recordatorio es parte del servicio que te han pedido, va con la misma base contractual que la cita. Un recordatorio automático por SMS o correo que solo confirma una cita no es publicidad. En cuanto incluye una promoción cambia de naturaleza y entra el artículo 21 de la LSSI.
