Respuesta corta: Si HIPAA cubre a tu clínica, la foto, el nombre o la historia de un paciente solo pueden ir a redes sociales con su autorización por escrito. Las fotos de la cara completa están entre los datos que identifican a un paciente. La FTC suma reglas sobre resultados y sobre empleados que publican.
Antes de leer: esta guía explica lo que publican el HHS, la FTC y Meta sobre las publicaciones de una clínica. Es información general, no asesoría legal. Para tu caso concreto, consulta a tu abogado o a tu responsable de cumplimiento.
Cuándo aplica HIPAA a una clínica
Las reglas de HIPAA aplican a las entidades cubiertas y a sus socios comerciales, dice el HHS. Entre las entidades cubiertas están los proveedores de salud, como médicos y clínicas.
Un proveedor cuenta solo si transmite información por vía electrónica en relación con una transacción para la que el HHS adoptó un estándar. Si una clínica no cumple esa definición, no tiene que cumplir las reglas de HIPAA.
El HHS tiene una herramienta de preguntas y respuestas para comprobarlo. Según nuestra lectura, una clínica estética que cobra directamente a sus pacientes debería usarla, o consultar a su abogado, antes de dar por hecho que HIPAA no aplica.
Las reglas de la FTC que verás más abajo funcionan distinto. «La veracidad en la publicidad es importante en todos los medios», dice la FTC, y eso incluye las redes sociales. Según nuestra lectura, aplican tanto si HIPAA cubre a tu clínica como si no.
Las fotos y los testimonios de pacientes necesitan autorización por escrito
Salvo excepciones limitadas, HIPAA exige la autorización por escrito del paciente antes de usar o divulgar su información de salud para marketing. El HHS define el marketing como una comunicación sobre un producto o servicio que anima a comprarlo o usarlo.
Las fotos pueden identificar a un paciente. Entre los datos que lo hacen, el HHS incluye las fotografías de la cara completa y cualquier imagen comparable, los nombres y cualquier otra característica que identifique a alguien.
El HHS llegó a un acuerdo con una clínica de fisioterapia del área de Los Ángeles que había publicado testimonios de pacientes en el sitio web de la clínica. Incluían nombres completos y fotos de la cara completa, y la clínica no tenía autorizaciones válidas según HIPAA.
Lo que una clínica podría publicar y lo que dicen las reglas
| Publicación | Lo que dicen las reglas | Nuestro consejo |
|---|---|---|
| Fotos de antes y después | El marketing con datos de salud exige la autorización escrita del paciente (HHS) | Pídela al tomar las fotos, no después del resultado |
| Testimonios de pacientes | Un caso del HHS trató testimonios con nombres y fotos publicados sin autorización | Guarda cada formulario firmado con la fecha de la publicación |
| Un resultado en el texto | «Resultados no típicos» no cambia cómo se lee un resultado concreto (FTC) | Di qué resultados suelen obtener los pacientes |
| Empleados que comparten | Los empleados que promocionan tus servicios deben decir que trabajan para ti (FTC) | Dales una frase corta para copiar, como «de mi empresa» |
| Publicaciones promocionadas | Los anuncios de procedimientos estéticos deben dirigirse a mayores de 18 años (Meta) | Fija la edad antes de promocionar |
La columna del medio resume lo que dicen el HHS, la FTC y Meta; los consejos son nuestros.
Cómo conseguir la autorización de un paciente para una publicación
- Pregúntale al paciente, antes de tomar fotos para marketing, si está de acuerdo con que se usen en internet.
- Escribe la autorización en lenguaje sencillo.
- Describe de forma concreta las fotos y la información que vas a usar.
- Indica quién puede usarlas y quién puede recibirlas, y describe cada propósito, como las publicaciones en la cuenta de Instagram de tu clínica.
- Fija una fecha o un evento de vencimiento.
- Pide al paciente que la firme y le ponga fecha, y explícale que puede revocarla por escrito.
- Guarda el formulario firmado y publica solo lo que cubre.
Los pasos 2 a 6 vienen de la regla de HIPAA sobre autorizaciones, 45 CFR 164.508, y los pasos 1 y 7 son nuestros. La regla pide más declaraciones obligatorias, así que tu abogado o tu responsable de cumplimiento debería revisar tu formulario.
Resultados, testimonios y publicaciones de empleados
Una publicación que muestra el resultado concreto de un paciente suele leerse como lo que pueden esperar los demás. Frases como «Resultados no típicos» o «Los resultados pueden variar» no cambian eso, dice la FTC.
O tienes pruebas de que los resultados que muestras son los típicos, o indicas con claridad los resultados que los pacientes suelen obtener en esas circunstancias.
Las publicaciones de los empleados también cuentan. Cuando comparten una publicación que promociona tus servicios, deben decir que trabajan para ti. La FTC dice que «#employee» solo no se entiende, y que palabras como «de mi empresa» son más claras.
Ten una política por escrito y recuérdasela al equipo de vez en cuando. Si animas activamente a tus empleados a escribir reseñas, la FTC dice que te toca vigilarlas. Los familiares y amigos que publican también deben decirlo.
Respuestas, creadores y publicaciones promocionadas
Las respuestas a comentarios y reseñas necesitan el mismo cuidado. Nuestra guía del perfil de Google para médicos explica cómo responder reseñas de pacientes, con los casos del HHS sobre respuestas.
Si le pagas a un creador por hablar de la clínica, el creador debe decir que le pagaste, según la FTC. Nuestra guía de colaboraciones en Instagram explica cómo publicar juntos en una cuenta.
Una publicación promocionada es un anuncio. Meta exige que los anuncios de productos, cirugías o procedimientos estéticos se dirijan a mayores de 18 años. Con esa segmentación, pueden mostrar imágenes del antes y el después.
Nuestra guía para promocionar una publicación en Facebook muestra dónde se fija el público. Meta además prohíbe en estos anuncios las frases que atacan el aspecto de una persona, partes del cuerpo o la higiene. Nuestra guía de textos para anuncios de Facebook explica el resto de lo que puede decir un anuncio.
Revisa esto antes de que un paciente aparezca en una publicación
- Sabes si HIPAA cubre a tu clínica.
- El paciente firmó y fechó una autorización que cubre esta publicación.
- El texto no presenta como típico un resultado que no lo es.
- Los empleados y familiares que la comparten dicen qué relación tienen.
- Ninguna respuesta confirma que alguien es paciente.
- Toda promoción se dirige a mayores de 18 años.
RecuerdaSi HIPAA cubre a tu clínica, la autorización por escrito del paciente va antes de que su foto o su historia se publiquen. La FTC te pide mostrar resultados típicos y que tu equipo diga su relación con la clínica.
Para delegar las publicaciones, nuestro servicio de redes sociales planea, diseña y publica en tu Facebook, tu Instagram y tu TikTok, en español y en inglés, para negocios de Miami-Dade.
Preguntas frecuentes sobre HIPAA y redes sociales
¿Una clínica puede publicar fotos de antes y después en Instagram?
Sí, con cuidado. Si HIPAA cubre a tu clínica, necesitas la autorización por escrito del paciente antes de usar sus fotos en marketing. La FTC espera además que la publicación muestre los resultados que los pacientes suelen obtener. Si la promocionas, Meta exige un público de mayores de 18 años.
¿Una foto sin la cara sigue protegida?
Puede estarlo. El HHS incluye las fotografías de la cara completa y cualquier imagen comparable entre los datos que identifican a un paciente. También cuentan los nombres, fechas como la de nacimiento (salvo el año) y cualquier otra característica que identifique a alguien. Nuestro consejo es pedir la autorización para cada foto de un paciente que publiques.
¿HIPAA aplica a una clínica estética que cobra directamente a sus pacientes?
Depende. Un proveedor de salud es una entidad cubierta solo si transmite información por vía electrónica en relación con una transacción para la que el HHS adoptó un estándar. El HHS tiene una herramienta para comprobarlo, y tu abogado puede confirmarlo. Según nuestra lectura, las reglas de la FTC aplican en cualquier caso.
¿Los empleados pueden publicar sobre la clínica en sus propias cuentas?
Sí, pero deben decir que trabajan para ti cuando la publicación promociona tus servicios. La FTC dice que «#employee» solo no se entiende, y que palabras como «de mi empresa» en el texto sí. Ponlo en una política por escrito y recuérdasela al equipo de vez en cuando.
¿Basta con «Los resultados pueden variar» debajo de un resultado?
No. La FTC dice que frases como «Resultados no típicos» o «Los resultados pueden variar» no cambian cómo se lee un resultado concreto. O tienes pruebas de que los resultados que muestras son los típicos, o indicas con claridad los resultados que los pacientes suelen obtener.
Fuentes
Fuentes consultadas el 6 de noviembre de 2026, en inglés salvo la de Meta. Del HHS: Marketing, Covered Entities and Business Associates, Guidance Regarding Methods for De-identification of Protected Health Information y Physical therapy provider settles violations that it impermissibly disclosed patient information. Del eCFR: 45 CFR 164.508, Uses and disclosures for which an authorization is required. De la FTC: FTC’s Endorsement Guides: What People Are Asking. De las Normas de publicidad de Meta: Salud y bienestar.