Datos biométricos y foto del paciente

Ámbito: Estètica Catalunya (Barcelona y Girona). Clase: NETNEW · dueño canónico Tier F (datos y consentimiento). Estado normativo: vigente a julio 2026 · fuente primaria RGPD (Reglamento UE 2016/679), LOPDGDD (LO 3/2018), criterio AEPD, Ley 41/2002 y Llei 21/2000.

1. Para qué es este capítulo

En estética haces fotos todo el día: es tu prueba objetiva del antes y el después, tu defensa ante una reclamación y, cada vez más, la materia prima de simuladores con IA. Este capítulo resuelve tres preguntas que casi todo el mundo confunde:

1. ¿Qué es legalmente una foto clínica? (dato de salud, categoría especial).
2. ¿Cuándo esa foto se convierte además en dato biométrico? (no es automático).
3. ¿Qué necesitas para pasar la foto por una IA de simulación o comparación?

Aquí vive el régimen de la imagen del paciente. El régimen general RGPD/LOPDGDD está en la Guía de cumplimiento (documento 48); el consentimiento de datos e imagen que firma el paciente, en el Consentimiento de datos e imagen (documento 51); la ficha de toma fotográfica, en la Ficha de valoración y registro fotográfico (documento 57). Aquí no se duplican: se afinan los conceptos de biometría e IA.

2. La foto clínica es dato de salud, no biométrico por defecto

Punto de partida, y es contraintuitivo: una fotografía NO es un dato biométrico solo por ser una cara.

• La foto clínica de una zona a tratar (arruga, surco, lesión, evolución) es dato de salud, categoría especial del art. 9.1 RGPD. Forma parte de la historia clínica y se trata con la doble base art. 6.1.b + art. 9.2.h (asistencia sanitaria por profesional sujeto a secreto). No se pide autorización para poder tratar al paciente con ella: se informa (deber del art. 13). No es revocable como si fuera marketing, porque la historia clínica hay que conservarla.
• El art. 4.14 RGPD define dato biométrico como el que resulta de un tratamiento técnico específico, relativo a características físicas, que permite o confirma la identificación unívoca de una persona (por ejemplo, una plantilla facial). El considerando 51 lo dice expreso: las fotografías no son con carácter general datos biométricos; solo lo son cuando se someten a ese tratamiento técnico.

Regla operativa: una foto guardada, mostrada o archivada NO es biométrica. Se vuelve biométrica cuando un sistema extrae de ella una plantilla facial para identificar o verificar a la persona.

Esto lo confirma la propia AEPD en su nota técnica 14 equívocos con relación a la identificación y autenticación biométrica: una simple imagen no es dato biométrico salvo que se apliquen medios técnicos que permitan la identificación o autenticación única.

3. Cuándo tu foto SÍ cruza a dato biométrico

La línea la cruza la finalidad y la técnica, no el contenido de la imagen. Cruzas cuando algún sistema hace identificación o verificación unívoca a partir de rasgos faciales:

Traducción para tu clínica: el archivo fotográfico normal no te mete en biometría. Te mete el día que introduces reconocimiento facial (control de acceso, fichaje del personal, apertura automática de fichas) o una IA que construye una plantilla del rostro para identificar.

4. El caso de la IA de simulación estética

Los simuladores de resultado (morphing facial, "así quedarías") son el punto gris más frecuente. Clasificación caso a caso según lo que haga el sistema por dentro:

• Si el simulador solo deforma píxeles de la imagen para ilustrar un resultado y no crea una plantilla que identifique unívocamente a la persona, sigue siendo dato de salud (art. 9), no biométrico. Aun así es tratamiento de categoría especial y de alto riesgo.
• Si el sistema extrae una plantilla facial (malla de puntos, embedding) que permite reconocer o verificar a esa persona, entra en biométrico (art. 4.14) y por tanto en categoría especial (art. 9.1).
• Añade el factor proveedor externo: si la IA corre en la nube de un tercero, ese tercero es encargado de tratamiento y necesitas contrato del art. 28 (documento 52), verificar dónde están los servidores (EEE o transferencia internacional con garantías) y prohibir que reutilice las imágenes para entrenar sus modelos.

No subas la cara de un paciente a una IA de terceros sin contrato de encargado, sin base de licitud específica y sin cláusula que prohíba el reentrenamiento con sus datos.

Prudencia recomendada (no obligación automática): por combinar categoría especial, tecnología nueva y posible perfilado, trata la simulación con IA como un tratamiento de alto riesgo y haz y documenta una evaluación de impacto (EIPD, art. 35) antes de implantarla. El detalle de cuándo la EIPD es exigible está en la Guía RGPD (documento 48) y en el Análisis de riesgos (documento 55).

5. Las dos capas de consentimiento, aplicadas a la imagen

No confundas nunca estos dos papeles distintos (esto es lo más sancionado del sector):

Reglas que vienen de sanciones reales:

• Granularidad por finalidad. Consentir una foto "con fin médico" no habilita a publicarla ni a pasarla por una IA. Cada finalidad, su casilla.
• El consentimiento no puede ser condición para recibir el tratamiento.
• Anonimizar de verdad. Tapar los ojos puede no anonimizar (tatuajes, marcas, contexto). Y ojo con la paradoja: si aplicas un sistema que "reidentifica" la cara pixelada, estás justamente haciendo tratamiento biométrico.
• Menores: consentimiento de los titulares de la patria potestad.
• Guarda prueba del consentimiento y de la versión informada que firmó.

El formulario que materializa todo esto es el Consentimiento de datos e imagen (documento 51) y el registro de la toma, la Ficha de valoración y registro fotográfico (documento 57).

6. Quién te supervisa: AEPD, no APDCAT

Importa para saber a quién notificas una brecha y quién puede sancionarte:

• Una clínica estética privada tiene como autoridad de control a la AEPD (estatal).
• La APDCAT supervisa solo el sector público de Catalunya (Generalitat, entes locales, universidades públicas y privados que prestan servicios públicos). No sanciona a una consulta privada ordinaria.

Base: LOPDGDD (LO 3/2018) y arts. 51-55 RGPD. No dirijas a la APDCAT lo que corresponde a la AEPD.

7. Catalán en el consentimiento de imagen

El Codi de consum de Catalunya (Llei 22/2010, art. 128-1) da al paciente el derecho a ser atendido y a recibir la documentación en la lengua oficial que elija. En la práctica: ten el consentimiento de imagen y datos disponible en catalán y entrégalo en catalán si el paciente lo pide. El desarrollo lingüístico completo (retolació, fulls de reclamació) vive en Tier F, no aquí; aquí basta con tener el formulario bilingüe listo.

8. Tabla de normas

⚠️ verificar: no existe una resolución específica de la AEPD sobre simuladores estéticos con IA; la clasificación biométrico/no biométrico es caso por caso según la finalidad técnica del sistema. Ante duda, consulta con especialista o con la AEPD antes de implantar la herramienta.

9. Decisión rápida y qué no hacer

Árbol de tres preguntas antes de tratar una imagen:

1. ¿La uso solo para documentar y seguir el tratamiento? → Dato de salud. Informa y guárdala en la HC con cifrado y acceso restringido.
2. ¿La paso por un sistema que identifica o verifica la cara (reconocimiento, plantilla facial, IA de simulación con embedding)? → Dato biométrico y categoría especial: consentimiento explícito + contrato de encargado + EIPD.
3. ¿La voy a publicar o difundir? → Consentimiento específico y separado por finalidad + derecho a la propia imagen. Nunca condicionado al tratamiento.

Lo que no debes hacer nunca:

• [ ] Subir caras de pacientes a una IA de terceros sin contrato de encargado ni cláusula anti-reentrenamiento.
• [ ] Reutilizar la foto clínica (fin asistencial) para redes sin un consentimiento nuevo y específico.
• [ ] Montar reconocimiento facial de acceso o fichaje sin EIPD y sin alternativa no biométrica.
• [ ] Presentar una queja o brecha ante la APDCAT cuando tu autoridad es la AEPD.
• [ ] Guardar imágenes de salud en claro en portátiles o móviles.

El botiquín, las complicaciones y la responsabilidad civil viven en Tier I; los derechos de acceso, brechas y seguridad, en la Guía RGPD (documento 48). Aquí termina el régimen de la imagen.

Estètica Catalunya · Vigencia normativa: julio 2026. Contrasta con tu gestoría, el COMB/COMG y la Administración antes de cualquier trámite.