Respuesta corta: si HIPAA cubre a tu clínica, el servicio que guarda las respuestas de tu formulario necesita un acuerdo de socio comercial (BAA) contigo. Antes de que la etiqueta de un proveedor de seguimiento lea esas respuestas, el HHS pide un BAA con ese proveedor y un permiso de la Regla de Privacidad. Si no, primero hace falta la autorización HIPAA de cada paciente. Google no ofrece un BAA para Google Analytics, y sus formularios de clientes potenciales no admiten anuncios de salud. Los formularios instantáneos de Meta no pueden hacer preguntas de salud sin su permiso por escrito.
Antes de leer: esta guía recoge lo que publican el HHS, la FTC, Google y Meta sobre el seguimiento y sobre los formularios en las webs de clínicas y en los anuncios. Google aplica sus políticas según la versión en inglés. Es información general, no asesoría legal. Si HIPAA cubre a tu clínica, y cómo debe funcionar cada formulario, lo decide tu abogado o tu asesor de privacidad.
Cuándo un formulario recoge información de salud protegida
El HHS pone el ejemplo de una página donde la gente reserva una cita sin iniciar sesión. Un rastreador en esa página podría recoger el correo de la persona, o el motivo de la consulta que escribió o eligió.
En ese caso, dice el HHS, la clínica está divulgando información de salud protegida (PHI, por sus siglas en inglés) al proveedor de seguimiento. Por eso se aplican las Reglas de HIPAA.
Otro ejemplo del HHS es una clínica cubierta cuya web usa rastreadores de terceros. Cuando un paciente reserva ahí, los datos de la cita y su dirección IP pueden llegar al proveedor de seguimiento. Según el HHS, ese proveedor pasa a ser un socio comercial y hace falta un BAA.
Las páginas con inicio de sesión, como un portal de pacientes, son el caso más claro. El HHS dice que los rastreadores en ellas suelen tener acceso a información de salud protegida.
La página del HHS empieza con su propia nota sobre una orden judicial. En junio de 2024, un tribunal federal de Texas declaró ilegal y anuló una parte de esta guía.
Según esa nota, el tribunal anuló la guía en la medida en que decía que HIPAA se aplica en una situación: cuando un rastreador une una dirección IP con la visita a una página pública sin autenticar sobre afecciones de salud concretas o proveedores de salud.
El HHS dice que está evaluando sus próximos pasos, y la página del HHS sigue mostrando los ejemplos de reservas de arriba.
A nuestro juicio, trata como formulario con información de salud protegida cualquiera con preguntas sobre un tratamiento, un síntoma o el motivo de una consulta.
El servicio detrás del formulario necesita un BAA
El HHS permite que una clínica cubierta guarde o procese información de pacientes con un servicio en línea solo con un BAA conforme a HIPAA firmado con ese servicio. Su guía sobre la nube añade que la clínica también debe cumplir el resto de las Reglas de HIPAA.
A nuestro juicio, eso incluye el creador de formularios, el hosting que guarda las entradas de tu web y el servicio de correo que entrega cada envío. Nuestra guía de HIPAA en los mensajes a pacientes trata el correo.
El cifrado solo no lo resuelve. El HHS dice que el cifrado reduce mucho el riesgo de que personas no autorizadas vean los datos. Pero por sí solo no protege su confidencialidad, su integridad y su disponibilidad como exige la Regla de Seguridad.
Google incluye Formularios de Google, como parte de Google Drive, entre los servicios de Google Workspace que cubre su BAA. Su página de ayuda dice que un administrador debe revisar y aceptar ese BAA antes de usar información de salud protegida en los servicios de Google.
A nuestro juicio, consigue el BAA firmado de cada uno de esos servicios antes de publicar un formulario, y guarda una copia con tus registros de HIPAA.
Las etiquetas de seguimiento en las páginas con formularios
Una política de privacidad no basta para compartir esos datos. El HHS dice que la Regla de Privacidad no permite divulgarlos a un proveedor de seguimiento solo porque tu política, tu aviso o tus condiciones digan que lo harás.
Según el HHS, un proveedor de seguimiento tiene que haber firmado un BAA antes de recibir información de salud protegida. Además, la divulgación necesita un permiso de la Regla de Privacidad. Sin eso, primero hace falta la autorización HIPAA de cada paciente.
Un aviso que pide aceptar o rechazar las cookies no es una autorización HIPAA válida, añade el HHS. Tampoco basta con que el proveedor prometa quitar o desidentificar los datos cuando le lleguen.
El HHS menciona otra opción: un proveedor, como una plataforma de datos de clientes, firma un BAA, desidentifica los datos y solo pasa esos datos a los rastreadores cuyos proveedores no firman.
Google no afirma que Google Analytics cumpla los requisitos de HIPAA, y no ofrece un BAA para este servicio. Pide a los clientes regulados por HIPAA que no pongan etiquetas de Analytics en las páginas autenticadas, que probablemente estén cubiertas.
Google añade que las páginas sin autenticar relacionadas con la atención médica tienen más probabilidades de estar cubiertas. Las páginas cubiertas tampoco deben llevar esas etiquetas.
Las reglas de Meta para sus herramientas empresariales, entre ellas el píxel de Meta, prohíben compartir información sobre salud. Sus ejemplos incluyen intervenciones, tratamientos y análisis médicos, y características corporales. Los nombres de tus eventos, conversiones y públicos personalizados no deben reflejar ni insinuar esa información.
Los sistemas de Meta están diseñados para bloquear y eliminar la información prohibida que detectan, pero Meta dice que el responsable de los datos que compartes eres tú. Su configuración básica restringe los parámetros personalizados y cualquier parte de una URL que sigue al dominio. Meta aclara que eso no sustituye tus propios mecanismos de cumplimiento.
Google Ads tiene una regla parecida para sus propias etiquetas. Su política de recopilación de datos no permite compartir información de identificación personal mediante etiquetas de remarketing o de seguimiento de conversiones. Un ejemplo es una URL que lleva el correo del usuario y tiene una etiqueta de remarketing.
Esa regla no se aplica a los servicios de Google Ads sujetos a sus Condiciones del Tratamiento de Datos, como las conversiones avanzadas y la segmentación por clientes. A nuestro juicio, esa excepción es una política de Google, no un permiso de HIPAA.
A nuestro juicio, si una página lleva etiquetas de anuncios o de analítica, el formulario de esa página no debería preguntar nada sobre la salud: pregunta por el tratamiento en la llamada. Nuestra guía del formulario de contacto explica qué campos pedir.
Los formularios dentro de los anuncios de Meta y Google
Meta tiene una lista de preguntas que un formulario instantáneo no puede hacer. Incluye información sobre salud: dolencias físicas o mentales actuales o previas, propias o familiares, tratamientos médicos, efectos secundarios de medicamentos y afecciones médicas o discapacidades.
La información del seguro está en la misma lista, desde el nombre de la aseguradora hasta los detalles del plan y los números de póliza. Si una pregunta infringe estas reglas, Meta dice que el anuncio no se pondrá en circulación. Según sus Normas de publicidad, estas preguntas necesitan un permiso previo por escrito de Meta.
Los requisitos de Google para los formularios de clientes potenciales no los permiten en anuncios de contenido relacionado con la salud. Remiten a la política de Google Ads sobre cuidado de la salud y medicamentos.
A nuestro juicio, a un formulario instantáneo de un med spa le basta con un nombre, un teléfono y una buena hora para llamar. En Google, lleva el anuncio a un formulario de tu web que siga las reglas de arriba.
Si HIPAA no cubre a tu clínica
Según el HHS, HIPAA cubre a los proveedores de salud que hacen por vía electrónica ciertas transacciones de facturación y pago. Nuestra guía de HIPAA en redes sociales explica cómo comprobar si eso incluye a tu clínica.
Para una clínica fuera de ese grupo, cuenta lo que dice la FTC. Las empresas que HIPAA no cubre siguen siendo responsables de evitar que se divulgue sin autorización información de salud personal. Eso vale aunque un tercero haya creado la web o la app.
En 2023, la FTC y el HHS enviaron una carta conjunta a unos 130 sistemas hospitalarios y proveedores de telesalud sobre rastreadores como el píxel de Meta y Google Analytics. La FTC añadió que divulgar sin autorización información de salud a través de esos rastreadores puede infringir la Ley de la FTC.
A nuestro juicio, la misma configuración de formularios y etiquetas protege a tus pacientes en cualquier caso, así que móntala como si HIPAA se aplicara.
Cómo preparar los formularios de tu clínica
- Haz una lista de cada formulario de tu web y de tus anuncios, con lo que pregunta cada uno.
- Consigue un BAA firmado de cada servicio que guarda o envía las respuestas, o pasa el formulario a uno que lo firme.
- Quita las etiquetas de analítica y de anuncios de toda página cuyo formulario pida datos de salud, salvo con un BAA firmado y el visto bueno de tu abogado.
- Quita las preguntas de salud y de seguros de los formularios instantáneos de Meta, salvo que Meta te haya dado permiso por escrito. Lleva los anuncios de Google a un formulario de tu web.
- Revisa las páginas de agradecimiento y las URL por si llevan nombres, correos o tratamientos que una etiqueta pueda recoger.
Los pasos 2, 3 y 4 salen de las reglas del HHS, de Google y de Meta citadas arriba. El 1 y el 5 los aconsejamos nosotros, con esas mismas páginas como base.
Antes de publicar un formulario
- Cada servicio que guarda o envía las respuestas firmó un BAA contigo.
- Ninguna etiqueta de Google Analytics funciona tras un inicio de sesión ni en una página cuyo formulario pregunta por la salud.
- Los eventos del píxel, las conversiones y los públicos tienen nombres que no dicen nada de salud ni de tratamientos.
- Ningún formulario instantáneo pregunta por la salud o el seguro sin permiso por escrito de Meta.
- Ninguna URL de tu web lleva un nombre, un correo o un tratamiento.
- Tu abogado o tu asesor de privacidad revisó los formularios y las etiquetas.
RecuerdaUn formulario que pregunta por la salud necesita un servicio que firme un BAA, y cualquier rastreador que pueda leerlo necesita otro, con un permiso de la Regla de Privacidad. Google no ofrece un BAA para Analytics y no admite formularios de clientes potenciales en anuncios de salud. Los formularios instantáneos de Meta no pueden hacer preguntas de salud sin su permiso por escrito.
Nuestro marketing para med spas lleva anuncios de Facebook e Instagram que terminan en un chat de WhatsApp, y campañas de búsqueda en Google en una cuenta a tu nombre.
Preguntas sobre los formularios y HIPAA
¿Puedo usar Formularios de Google para datos de pacientes?
Google incluye Formularios de Google, como parte de Google Drive, entre los servicios de Google Workspace que cubre su BAA. Según Google, los clientes sujetos a HIPAA deben firmar ese BAA para usar esos servicios con información de salud protegida, y un administrador tiene que aceptarlo antes.
¿Puedo usar Google Analytics en la web de una clínica?
Google no afirma que Google Analytics cumpla los requisitos de HIPAA, y no ofrece un BAA para este servicio. Los clientes sujetos a HIPAA no deben usarlo de ninguna forma que dé a Google acceso a información de salud protegida. Solo pueden usarlo en páginas que HIPAA no cubre.
¿Puedo usar el píxel de Meta en una página con un formulario?
A nuestro juicio, solo donde el formulario no pueda revelar nada sobre la salud. Meta prohíbe compartir información sobre salud, tratamientos médicos incluidos, con sus herramientas empresariales. El HHS dice que un proveedor de seguimiento que recibe los datos de la cita de un paciente es un socio comercial, y hace falta un BAA.
¿Un aviso de cookies cuenta como consentimiento del paciente?
No según HIPAA. El HHS dice que un aviso que pide aceptar o rechazar tecnologías de seguimiento, como las cookies, no es una autorización HIPAA válida. Sin un permiso de la Regla de Privacidad y un proveedor que sea tu socio comercial, primero hace falta la autorización HIPAA de cada paciente.
¿Un formulario instantáneo de Facebook puede preguntar por el historial médico?
No sin un permiso previo por escrito de Meta. Su lista de preguntas prohibidas incluye dolencias actuales o previas, tratamientos médicos, efectos secundarios de medicamentos y afecciones médicas o discapacidades. Si una pregunta infringe esas reglas, el anuncio no se pondrá en circulación.
Fuentes
Consultadas el 7 de noviembre de 2026. Del Departamento de Salud y Servicios Humanos de EE. UU. (HHS), en inglés: Use of Online Tracking Technologies by HIPAA Covered Entities and Business Associates y Guidance on HIPAA & Cloud Computing. De la Comisión Federal de Comercio (FTC), en inglés: FTC and HHS Warn Hospital Systems and Telehealth Providers about Privacy and Security Risks from Online Tracking Technologies. En la Ayuda de Google Analytics y en la de Políticas de Google Ads: HIPAA y Google Analytics, Requisitos del formulario de clientes potenciales y Recopilación y uso de datos. En la documentación de Google Workspace y Google Cloud: Cumplimiento de la ley HIPAA con Google Workspace y Cloud Identity y Cumplimiento de la HIPAA en Google Cloud y Google Workspace. De Meta: Qué es la información prohibida, Preguntas prohibidas en el formulario instantáneo y Introducción a las Normas de publicidad. De este sitio también usamos la página de med spas y nuestras guías sobre HIPAA en los mensajes a pacientes, HIPAA en redes sociales y el formulario de contacto.