La primera suposición que hace la mayoría de las clínicas sobre los datos de pacientes en marketing es la equivocada: que caen bajo la ley general de protección de datos de los EAU, la misma ley que rige la lista de correo de un comercio minorista. No es así. Los datos de salud ya regulados por su propia legislación sectorial quedan explícitamente excluidos del alcance de la ley general, lo que significa que las normas realmente aplicables son más estrictas y específicas de lo que asume la mayoría de los equipos de marketing — y alcanzan más profundamente la pila de marketing habitual de lo que sugeriría una exportación del CRM o un píxel de remarketing.
La ley que realmente rige esto
El Decreto-Ley Federal n.º 45 de 2021 sobre la Protección de Datos Personales es la ley general de protección de datos de los EAU, y excluye de su alcance los datos de salud personales ya sujetos a su propia legislación sectorial. Para una clínica, el instrumento operante es la Ley Federal n.º 2 de 2019 sobre el Uso de las TIC en los Campos de la Salud, que establece obligaciones de confidencialidad y seguridad específicas para los datos de salud y exige consentimiento antes de que esos datos se compartan con otras partes o sean accedidos por ellas. Donde los datos de marketing quedan realmente fuera del ámbito de los datos de salud — el nombre, el teléfono y el correo electrónico de una consulta general, no vinculados a un diagnóstico o tratamiento —, siguen aplicándose las reglas de marketing directo de la ley general: el consentimiento debe ser libre, específico, informado e inequívoco, sin casillas premarcadas, y con un mecanismo de baja tan fácil de usar como el de alta.
El dato que debería cambiar cómo evalúas cualquier plataforma de marketing
El estándar vigente de la Autoridad de Salud de Dubái (DHA) sobre conducta profesional establece con claridad que los centros de salud deben garantizar que los datos de salud se almacenen dentro de los EAU y no se transfieran, procesen ni almacenen fuera del país salvo autorización específica de la autoridad sanitaria competente en coordinación con el ministerio correspondiente. Ese único requisito es lo más comercialmente relevante de este artículo, porque implica directamente la pila de marketing que la mayoría de las clínicas ya utiliza: un CRM, una plataforma de correo electrónico o un proveedor de píxeles publicitarios alojado en servidores fuera de los EAU opera fuera de este estándar si almacena o procesa datos identificables del paciente sin esa autorización. Antes de adoptar o seguir usando cualquier herramienta de marketing que toque datos de pacientes, vale la pena preguntar claramente dónde almacena realmente esos datos ese proveedor.
El marketing cuenta como un uso independiente, que necesita consentimiento independiente
La política de protección y confidencialidad de datos de la DHA trata el marketing explícitamente como un "uso secundario" de los datos del paciente, distinto del consentimiento que el paciente da para su tratamiento — la investigación, la salud pública, la auditoría clínica y el marketing se mencionan como usos secundarios que necesitan su propio consentimiento separado del paciente. Un paciente que consintió el tratamiento no consintió, por ese solo acto, ser añadido a una lista de marketing, incorporado a un flujo de solicitud de reseñas o incluido en una audiencia de remarketing. Ese consentimiento debe recogerse en sus propios términos.
Por qué no puedes simplemente subir una lista de pacientes como audiencia publicitaria
Ambas grandes plataformas publicitarias restringen, cada una por su cuenta, lo que una clínica puede hacer con datos relacionados con pacientes en publicidad, y esto es tanto una restricción técnica como de política. Meta clasifica los sitios de salud y bienestar y limita qué datos de conversión y de audiencia pueden regresar a través de su píxel y la API de conversiones para esos sitios. La política de publicidad personalizada de Google va más allá: para contenido sobre afecciones crónicas, problemas de salud de partes íntimas del cuerpo, procedimientos invasivos, discapacidades o asesoramiento de salud mental, las audiencias creadas por el propio anunciante — coincidencia de clientes, listas cargadas, remarketing basado en CRM — no están permitidas en absoluto, y solo pueden usarse las categorías de audiencia predefinidas de Google. Subir una lista de pacientes como audiencia personalizada para este tipo de contenido no es solo un riesgo de política; para una parte real del marketing de clínicas, está técnicamente restringido a nivel de plataforma.
Qué mantiene este límite claro en la práctica
Unos pocos hábitos, tratados como higiene operativa y no como cita legal, hacen la mayor parte del trabajo: segmentar el CRM para que los campos clínicos como diagnóstico, tratamiento e historial de visitas nunca se exporten a una lista general de marketing o remarketing; capturar el consentimiento de marketing por separado del consentimiento clínico, en el momento en que se capta el contacto, en lugar de asumir que uno cubre al otro; y auditar periódicamente qué herramientas de terceros — CRM, plataforma de correo, herramienta de solicitud de reseñas, píxeles publicitarios — reciben realmente datos identificables del paciente, para luego reducir esa lista a lo genuinamente necesario.
Esta es la recomendación propia de HEYA sobre cómo gestionar esto en el día a día, no la cita de una normativa concreta — la ley te dice qué requiere consentimiento y dónde deben residir los datos; cómo organizas tu pila de marketing en torno a eso es una decisión de criterio. También vale la pena señalar que una clínica que opera dentro de una zona franca con su propio régimen de datos, como DIFC o ADGM, puede estar sujeta a un marco distinto al de las normas de los EAU continentales, y este artículo no asume que un único marco se aplique de manera universal.
Nada de esto es asesoramiento legal. Confirma las obligaciones actuales de protección de datos y datos de salud — y qué régimen se aplica a tu centro concreto — con un asesor legal o de protección de datos en los EAU antes de finalizar cualquier política de manejo de datos, ya que estas obligaciones son exactamente el tipo de cosa que debe verificarse contra el texto vigente, no contra un artículo de marketing.
Esto se enmarca en la cuestión más amplia de cómo una práctica se posiciona por especialidad en lugar de por el descuento — la disciplina de datos descrita aquí es lo que hace que el marketing de captación de pacientes de una especialidad sea sostenible, en lugar de una lista de nombres de un solo uso que nadie puede volver a utilizar legalmente.
