Datos de salud en el formulario de presupuesto: qué exige el RGPD

Qué te llevas

Los datos de salud son categoría especial del RGPD: el artículo 9 prohíbe tratarlos salvo excepciones, y una de ellas es el consentimiento explícito, que además hay que poder demostrar.
Corredor y agente exclusivo no ocupan el mismo papel en protección de datos, y eso cambia quién decide el formulario.
Un formulario por pasos permite pedir primero lo mínimo para presupuestar y dejar el cuestionario de salud para cuando el cliente avanza.

Imagina una correduría que lanza en su web un presupuesto de Salud. Para afinar el precio, el formulario pregunta de una vez por la edad, la profesión, las enfermedades previas y los medicamentos que toma el cliente. Convierte bien, pero el mismo día alguien en marketing se pregunta si pueden guardar esos datos de personas que nunca llegarán a contratar.

Este artículo ordena esa duda. No es asesoramiento jurídico: explica qué dicen las normas que conviene tener a mano y te propone un criterio de diseño para no recoger de más. Para tu caso concreto, consulta con tu delegado de protección de datos o con un especialista.

Por qué un dato de salud no es un dato más

El RGPD define los datos de salud como los relativos a la salud física o mental de una persona, incluida la prestación de servicios sanitarios, que revelan información sobre su estado de salud. Según el artículo 9 del RGPD en EUR-Lex, el tratamiento de estos datos está prohibido de entrada, y el apartado 2 enumera las excepciones. Una de ellas es el consentimiento explícito del interesado.

Por eso la casilla marcada no basta por sí sola. Hay que encadenar varias cosas: recoger solo lo necesario (artículo 5.1.c), contar con una base del artículo 6 y, para la salud, con una excepción del 9.2, y poder demostrar el consentimiento si esa es la base. El artículo 7.1 exige al responsable ser capaz de demostrar que el interesado consintió, y el 5.2 le hace responsable de demostrar el cumplimiento de los principios. El 7.4 añade que, al valorar si el consentimiento es libre, se tiene en cuenta si un servicio se supedita a consentir datos que no son necesarios para prestarlo. Y retirarlo ha de ser tan fácil como darlo (art. 7.3).

La LOPDGDD, en su artículo 9, añade que los tratamientos de las letras g), h) e i) del artículo 9.2 del RGPD, cuando se fundan en Derecho español, deben estar amparados en una norma con rango de ley. También señala que esa norma puede amparar el tratamiento de datos de salud cuando lo exija la ejecución de un contrato de seguro del que el afectado sea parte. Fíjate en la condición: contrato del que el afectado sea parte. En nuestra lectura, quien solo pide un presupuesto todavía no lo es; es una interpretación editorial, no un criterio que hayamos localizado en una guía o resolución, así que contrástala antes de apoyarte en ella.

Corredor y agente exclusivo: quién decide el formulario

El artículo 203 del Real Decreto-ley 3/2020 distingue dos papeles. Los agentes de seguros tienen la condición de encargados del tratamiento de la aseguradora con la que han firmado el contrato de agencia. Los corredores son responsables del tratamiento respecto de los datos de las personas que acuden a ellos.

En la práctica:

Si eres agente exclusivo o vinculado, tu formulario depende de las instrucciones de tu compañía. El artículo 204.2 del mismo texto limita el tratamiento a lo que se desprenda del contrato de agencia y a hacerlo en nombre y por cuenta de la aseguradora. Antes de añadir un campo de salud, pregúntale a tu compañía. El artículo 203 habla de «agentes de seguros» sin distinguir entre exclusivos y vinculados; si eres vinculado y trabajas con varias aseguradoras, lo prudente (lectura nuestra) es que el formulario encaje con las instrucciones de cada una.
Si eres corredor, decides tú qué recoges y por qué, y respondes de ello. El mismo artículo 204.3 dice que puedes tratar los datos de quienes se dirigen a ti amparándote en alguno de los supuestos del artículo 6.1 del RGPD; para los datos de salud, además, hace falta una excepción del artículo 9.2.

Un departamento de marketing que construye el formulario para cualquiera de los dos debe saber de qué lado está antes de diseñar nada. Los datos que la web debe mostrar sobre el mediador los explicamos en qué debe incluir la publicidad de un mediador de seguros.

Aspecto	Criterio
Agente	Encargado del tratamiento de la aseguradora.
Corredor	Responsable respecto a quienes acuden a él.

Qué pedir en cada paso

El artículo 5.1.c) del RGPD pide que los datos sean adecuados, pertinentes y limitados a lo necesario para los fines del tratamiento. Es el principio que ordena el diseño. Además, el artículo 13 del RGPD obliga al responsable, cuando obtiene los datos del propio interesado, a darle la información en el momento en que los obtiene: su identidad y contacto, los fines y la base jurídica, los destinatarios, el plazo de conservación, los derechos (incluido retirar el consentimiento), el derecho a reclamar ante la autoridad de control y si facilitar los datos es obligatorio. El artículo 11 de la LOPDGDD permite cumplir ese deber por capas: información básica (identidad del responsable, finalidad y posibilidad de ejercer los derechos de los artículos 15 a 22 del RGPD) y una dirección electrónica u otro medio sencillo e inmediato para acceder al resto. Si la tarificación del presupuesto implica decisiones automatizadas, incluida la elaboración de perfiles, de las del artículo 22 (apartados 1 y 4), el artículo 13.2.f exige informar de su existencia, de la lógica aplicada y de la importancia y consecuencias previstas para la persona; si encaja tu caso, confírmalo con tu delegado de protección de datos. Sea cual sea la forma de darla, si el primer paso ya recoge datos personales, esa información no puede esperar al segundo. La secuencia que sigue es una propuesta de criterio editorial, no una exigencia que hayamos localizado en una norma:

Primer paso: información y solo lo necesario para una cifra orientativa. Muestra la información del artículo 13 (o un acceso claro a ella) antes del primer envío. Qué datos exige tarificar un seguro de Salud depende de la aseguradora y del producto; confírmalo con ella antes de decidir los campos. Evita aquí preguntas sobre diagnósticos, tratamientos o medicación.
Segundo paso: datos de contacto. Nombre, teléfono o correo para enviar el presupuesto, con la información sobre el tratamiento a la vista. Es una obligación distinta de la anterior: el artículo 173.1.d) del Real Decreto-ley 3/2020 obliga al mediador a informar, antes de celebrar el contrato, del tratamiento de los datos personales.
Tercer paso, solo si el cliente avanza: cuestionario de salud. Aquí sí cabe recoger datos de salud, con consentimiento explícito expresado en una casilla propia y separada de la aceptación de otras condiciones (art. 7.2). Nuestro criterio es dejarla sin marcar de antemano. Conserva una prueba de lo que aceptó (fecha, hora y versión del texto) y ofrece una vía sencilla para retirarlo.

Esa secuencia sirve igual en Vida Riesgo, donde el estado de salud también pesa en la suscripción.

Ejemplo: secuencia editorial para un formulario de Salud.

Lo que no puedes dar por supuesto

Podría tentarte citar el artículo 99 de la LOSSEAR para justificar que no hace falta consentimiento. Léelo bien. El artículo 99 de la Ley 20/2015 habla de las entidades aseguradoras y de sus supuestos; la ley regula a las entidades, no a los mediadores. El texto que hemos leído remite además a la Ley Orgánica 15/1999, así que no lo uses como base de un formulario nuevo ni lo extiendas a tu web sin consultarlo con un especialista.

Tampoco conviertas el presupuesto en una lista de correo. El artículo 21.1 de la LSSI prohíbe enviar comunicaciones publicitarias por correo electrónico u otro medio de comunicación electrónica equivalente que no hayan sido solicitadas o expresamente autorizadas. El texto no enumera esos medios equivalentes; SMS o mensajería son los casos que conviene valorar.

La excepción del artículo 21.2 exige una relación contractual previa, que los datos de contacto se hayan obtenido de forma lícita y que el envío se refiera a productos o servicios similares de tu propia empresa. Aun así, hay que ofrecer una oposición sencilla y gratuita al recoger los datos y en cada comunicación. En nuestra lectura, un presupuesto sin contratar no es una relación contractual previa; es una interpretación y no un criterio que hayamos visto confirmado, así que no te apoyes en esa excepción sin consultarlo.

El artículo 204.1 del Real Decreto-ley 3/2020 remite a los artículos 21 y 22.1 de la LSSI para la publicidad electrónica de los mediadores. El 22.1 permite al destinatario revocar su consentimiento en cualquier momento con una simple notificación, con procedimientos sencillos y gratuitos y, en el correo, una dirección válida donde ejercerlo. Si quieres enviar novedades, pide esa autorización en una casilla distinta y facilita la baja desde el primer correo. Para ordenar a quién puedes contactar y por qué canal, consulta llamadas comerciales y WhatsApp en seguros.

Qué hacer con los datos de quien no contrata

El artículo 203.3 del Real Decreto-ley 3/2020 dice que las aseguradoras no podrán conservar los datos que les faciliten los mediadores si no derivan en un contrato, salvo que exista otra base jurídica. Esa regla se dirige a las aseguradoras, no fija un plazo para tu propio archivo. El artículo 5.1.e) del RGPD pide mantener los datos identificables no más tiempo del necesario para los fines, y el 13.2.a) te obliga a informar del plazo o de los criterios para fijarlo. Define con tu delegado de protección de datos cuánto conservas y cuándo borras, y deja el criterio por escrito.

Para llevarte

Antes de lanzar el formulario, revisa cuatro cosas: si eres encargado o responsable, qué datos son imprescindibles en cada paso, que la información del artículo 13 aparezca desde el primer paso, y dónde está el consentimiento explícito y cómo lo demostrarías. Después, haz que lo revise quien lleve la protección de datos de tu empresa o un especialista en la materia.

Preguntas frecuentes

¿Puedo pedir en el formulario web si el cliente tiene alguna enfermedad para hacer un presupuesto de Salud?

Los datos de salud son categoría especial y el RGPD prohíbe tratarlos salvo excepciones, entre ellas el consentimiento explícito del interesado (art. 9). Antes de incluir esa pregunta en un primer presupuesto, consulta con la aseguradora qué necesita realmente para tarificar y con tu delegado de protección de datos o un especialista si procede.

Soy agente exclusivo: ¿decido yo el contenido del formulario?

El Real Decreto-ley 3/2020 (art. 203) dice que los agentes de seguros son encargados del tratamiento de la aseguradora con la que tienen contrato de agencia. Por eso conviene partir de las instrucciones y cláusulas de tu compañía antes de añadir o quitar campos.

¿Puedo usar los datos de un presupuesto no contratado para enviar ofertas por email?

No sin base adecuada. La LSSI (art. 21) prohíbe las comunicaciones publicitarias por correo electrónico que no hayan sido solicitadas o expresamente autorizadas, salvo la excepción de relación contractual previa. En nuestra lectura, un presupuesto no contratado no es una relación contractual previa, aunque es una interpretación y no un criterio que hayamos visto en una resolución; pide una autorización específica y separada, y consulta a un especialista.