Respuesta corta: Cuando tu clínica está bajo HIPAA, los correos y los mensajes de texto a pacientes sobre su atención están permitidos con medidas de protección razonables. Todo servicio que guarde esos mensajes por ti necesita un acuerdo de socio comercial. La propia política de WhatsApp dice que no se envíe información de salud donde las reglas exigen sistemas más seguros.
Antes de leer: esta guía resume lo que el HHS y WhatsApp publican sobre los mensajes a pacientes. Es información general, no asesoría legal. Pregunta por tu propio caso a tu abogado o a tu responsable de cumplimiento.
Cuándo cubre HIPAA tus mensajes
Médicos y clínicas quedan bajo HIPAA cuando envían información por vía electrónica como parte de una transacción con un estándar fijado por el HHS. Una herramienta del sitio del HHS te guía en la pregunta.
Según nuestra lectura, si tus pacientes te pagan directamente, compruébalo con esa herramienta o con tu abogado antes de dar por hecho que HIPAA no aplica a tus mensajes.
El correo con pacientes
La Regla de Privacidad permite a los proveedores cubiertos comunicarse con sus pacientes por vía electrónica, como el correo, si aplican medidas de protección razonables, dice el HHS.
Sus ejemplos: revisa la dirección de correo antes de enviar, o manda un aviso para que el paciente confirme la dirección primero.
El correo sin cifrar no está prohibido para los mensajes sobre el tratamiento. Aun así, el HHS pide otras medidas, como limitar la cantidad o el tipo de información del correo.
La Regla de Seguridad tampoco prohíbe el correo de forma expresa. Te pide evaluar cómo envías información por redes abiertas, elegir una forma de protegerla y dejar esa decisión por escrito.
Si automatizas correos de seguimiento, según nuestra lectura las mismas medidas valen para cada mensaje de la secuencia. Nuestra guía de secuencias de emails explica cómo funciona una.
Los pacientes eligen cómo los contactas
Un paciente puede pedirte que lo contactes por otros medios o en otros lugares, y debes atender una petición razonable. El HHS pone un ejemplo: recordatorios por correo en vez de una postal.
Si un paciente que pide comunicaciones confidenciales no acepta el correo sin cifrar, ofrécele otra vía, como un medio electrónico más seguro, el correo postal o el teléfono.
Cuando un paciente te escribe primero por correo, puedes asumir que el correo le parece bien, salvo que haya dicho lo contrario, según el HHS. También puedes avisarle de los riesgos y dejar que decida.
Los servicios que guardan tus mensajes
Un servicio en la nube que crea, recibe, mantiene o transmite información de pacientes por ti es un socio comercial según HIPAA, dice el HHS. Necesitas un acuerdo de socio comercial (BAA) con él.
Eso vale aunque el servicio solo guarde datos cifrados y no pueda descifrarlos. La excepción de los conductos cubre solo la transmisión, con un almacenamiento como mucho temporal.
El HHS incluye entre sus ejemplos de socios comerciales a los desarrolladores de apps que gestionan la mensajería con pacientes para un proveedor. Guardar información de pacientes en un servicio en la nube sin BAA infringe las reglas de HIPAA.
Los teléfonos también sirven, dice el HHS, con medidas físicas, administrativas y técnicas, y con BAA con los servicios que hay detrás.
Mensajes de texto y WhatsApp
El HHS habla del correo. Según nuestra lectura, un mensaje de texto a un paciente pide el mismo cuidado: el número correcto, pocos detalles y un BAA con el servicio que lo guarde.
La política comercial de WhatsApp solo te deja contactar a personas que te dieron su número o su nombre de usuario y aceptaron recibir tus mensajes.
La misma política dice que no envíes ni pidas información de salud por WhatsApp si las regulaciones que aplican exigen sistemas con requisitos más estrictos. También prohíbe pedir números de tarjetas u otros identificadores confidenciales.
Nuestra guía de WhatsApp Business explica la configuración. Según nuestra lectura, úsalo para preguntas generales y lleva los detalles de salud a un canal cubierto por un BAA.
Los mensajes de texto de marketing tienen sus propias reglas de consentimiento, que explica nuestra guía de las reglas de la TCPA para mensajes de texto.
Las respuestas públicas son otro caso. Cómo contestar una reseña sin decir que quien la escribe es paciente está en nuestra guía sobre los perfiles de Google para médicos.
Cada canal, las reglas y nuestro consejo
| Canal | Lo que permiten las reglas | Nuestro consejo |
|---|---|---|
| Correo | Permitido con medidas razonables; el correo sin cifrar no está prohibido para mensajes del tratamiento (HHS) | Confirma la dirección y reduce los detalles al mínimo |
| Mensaje de texto | El HHS habla del correo; según nuestra lectura, valen las mismas medidas | Envía horarios e indicaciones, no detalles de salud |
| Solo a quien aceptó tus mensajes; sin datos de salud donde se exigen sistemas más seguros (WhatsApp) | Deja la salud fuera del chat | |
| Un paciente que escribe primero | Puedes asumir que el correo le sirve, salvo que diga lo contrario (HHS) | Responde y ofrece un canal más seguro |
| Servicio de correo o mensajes | Si guarda información de pacientes por ti, necesita un BAA (HHS) | Pide el BAA antes del primer mensaje |
La segunda columna resume las guías del HHS y de WhatsApp, y la última es nuestro consejo.
Cómo organizar los mensajes a pacientes en tu clínica
- Averigua si tu clínica está bajo HIPAA, con la herramienta del HHS o con tu abogado.
- Haz una lista de los canales que tu equipo usa con pacientes: correo, mensajes de texto, WhatsApp y cualquier herramienta de mensajería.
- Firma un BAA con cada servicio que guarde o maneje información de pacientes por ti.
- Confirma el correo o el número de cada paciente antes del primer mensaje.
- Reduce al mínimo los detalles de salud de cada mensaje.
- Anota el canal que prefiere cada paciente y ofrécele otro si te lo pide.
- Deja por escrito cómo proteges los mensajes y por qué elegiste esa forma.
Los pasos 1, 3, 4, 5 y 7 siguen las guías del HHS, y los pasos 2 y 6 son nuestros, basados en ellas.
Revisa esto antes de escribir a un paciente
- Comprobaste si tu clínica está bajo HIPAA.
- La dirección o el número están confirmados.
- El mensaje lleva solo los detalles que necesita.
- El servicio que lo guarda firmó un BAA contigo.
- En WhatsApp, el paciente aceptó tus mensajes y el chat no tiene detalles de salud.
- Tienes un canal más seguro listo si el paciente lo pide.
RecuerdaCon HIPAA, el correo y los mensajes de texto a pacientes están permitidos con medidas razonables. Cada servicio que guarda esos mensajes necesita un BAA, y la política de WhatsApp deja fuera los detalles de salud donde se exigen sistemas más seguros.
Nuestro marketing para clínicas de cirugía estética ayuda a las clínicas a aparecer en Google y en las respuestas de IA, y nada sale sin el visto bueno del cirujano.
Preguntas frecuentes sobre HIPAA y los mensajes a pacientes
¿El correo cumple HIPAA?
Puede cumplirla si tu clínica aplica medidas de protección razonables, dice el HHS. El correo sin cifrar no está prohibido para mensajes sobre el tratamiento, pero limita lo que escribes y confirma antes la dirección. Todo servicio de correo que guarde información de pacientes por ti necesita un BAA.
¿Una clínica puede enviar mensajes de texto a sus pacientes?
El HHS habla del correo, y según nuestra lectura las mismas medidas valen para un mensaje de texto: el número correcto, pocos detalles de salud y un BAA con el servicio que guarde los mensajes. Los textos de marketing tienen además sus propias reglas de consentimiento.
¿WhatsApp cumple HIPAA?
La política comercial de WhatsApp dice que no envíes ni pidas información de salud si las regulaciones que aplican exigen sistemas con requisitos más estrictos. También solo te deja escribir a quien aceptó tus mensajes. Según nuestra lectura, úsalo para preguntas generales y deja los detalles de salud para otro canal.
¿El paciente tiene que aceptar el correo?
Un paciente puede pedirte otro medio u otro lugar, y debes atender una petición razonable. Cuando un paciente te escribe primero por correo, el HHS dice que puedes asumir que el correo le parece bien, salvo que haya dicho lo contrario. También puedes avisarle de los riesgos.
¿Necesito un BAA con mi servicio de correo o de mensajes?
Sí, si crea, recibe, mantiene o transmite información de pacientes por ti. El HHS lo trata como un socio comercial, aunque solo guarde datos cifrados que no puede descifrar. Solo la transmisión con un almacenamiento temporal entra en la estrecha excepción de los conductos.
Fuentes
Fuentes consultadas el 6 de noviembre de 2026, en inglés salvo la de WhatsApp. Del HHS: Does the HIPAA Privacy Rule permit health care providers to use e-mail to discuss health issues and treatment with their patients? y Does the Security Rule allow for sending electronic PHI (e-PHI) in an email or over the Internet? If so, what protections must be applied? También del HHS: Business Associates Frequently Asked Questions (FAQs), Guidance on HIPAA & Cloud Computing y Covered Entities and Business Associates. De WhatsApp: Política comercial.