Una multa de 33.000 € por enviar citas de terapia a Google y Meta

Publicado: 15 de octubre de 2026 | Categoría: Tendencias | Lectura: 7 minutos

Una persona entra en la web de un servicio de terapia, busca un terapeuta que trabaje con TDAH, elige a uno y reserva. Mientras lo hace, sin que lo vea, su navegador le cuenta a Google, a Meta y a Microsoft qué ha buscado, con quién ha reservado y qué tipo de terapia ha elegido. Eso es lo que pasó durante un año en Finlandia, y la autoridad de protección de datos acaba de sancionarlo.

Qué pasó

Mindemo Oy (antes Heltti Oy) ofrece terapia online en Finlandia, con reserva de citas desde su web. Entre abril de 2024 y mayo de 2025, su sistema de reservas tenía instaladas herramientas de analítica y publicidad de tres empresas: Google (Analytics y Ads, entre otras), Meta (el píxel de Facebook) y Microsoft (Bing y LinkedIn).

Según la investigación de la autoridad finlandesa, esas herramientas recibían:

• Lo que la persona buscaba: filtros como terapeutas especializados en identidad de género, en TDAH o autismo, o en trastorno bipolar.
• El terapeuta elegido y el momento en que se iniciaba y se confirmaba la reserva.
• El tipo de terapia y si era presencial o en qué ciudad.
• Junto a todo ello, los datos técnicos de siempre: dirección IP, navegador, dispositivo y la dirección completa de la página.

Nada de eso estaba seudonimizado. Llegaba a las tres empresas tal cual, en texto legible, y unido a datos que permiten identificar a quien estaba reservando.

«Pero el usuario había aceptado las cookies»

Esta es la parte que más interesa a cualquier consulta. La empresa se defendió con un argumento que suena razonable: los datos solo se enviaban si el visitante había aceptado las cookies. Si las rechazaba, no se compartía nada.

La autoridad no lo aceptó. Su razonamiento, en resumen: la seguridad de los datos es responsabilidad de quien los trata, y no puede depender de que el usuario pulse un botón en un banner. Que alguien acepte cookies de analítica no autoriza a mandar a una red publicitaria con qué terapeuta ha reservado.

Dicho de otra forma: el banner de cookies resuelve si puedes medir visitas. No resuelve si es seguro llevar esa medición a la página donde alguien pide ayuda psicológica.

La sanción

• 33.000 € de multa y un apercibimiento por infringir los artículos 5.1.f (integridad y confidencialidad), 25 (protección de datos desde el diseño y por defecto) y 32 (seguridad del tratamiento) del RGPD.
• La autoridad consideró que esos datos revelaban la salud mental de las personas, la categoría especial de datos del artículo 9.
• Como atenuantes, valoró que la empresa retirara los rastreadores de la reserva en mayo de 2025, pidiera a los proveedores borrar lo recibido (Meta indicó un plazo de hasta 180 días) y colaborara durante la investigación.
• La resolución es de octubre de 2026 y todavía no es firme.

La cifra no es enorme para una empresa que facturó más de once millones de euros. Lo que pesa es el precedente: una autoridad europea ha dicho por escrito que el consentimiento de cookies no es una carta blanca en un flujo de salud.

Por qué te afecta, aunque tu consulta sea pequeña

Es fácil pensar que esto es cosa de plataformas grandes. Pero la mayoría de webs de consultas de psicología se hacen con plantillas o constructores que traen de serie Google Analytics, el píxel de Meta o el botón de LinkedIn, y muchas tienen un formulario o una página de «reservar cita».

Si esas etiquetas están también en la página de reserva o en la de «gracias por reservar», esa página puede estar contando a una red publicitaria que alguien ha pedido cita contigo, cuándo y, según cómo esté hecha, para qué. Y ante el RGPD, la responsable de esos datos eres tú, no la plantilla.

Cinco comprobaciones para tu web

1. Mira qué carga tu página de reserva. Ábrela en el ordenador, pulsa F12 (en Mac, Cmd + Opción + I), entra en la pestaña «Red» y recarga. Busca en la lista google-analytics, googletagmanager, facebook, bing o linkedin. Haz lo mismo con la página de confirmación.
2. Separa marketing y reserva. La analítica puede vivir en las páginas que explican quién eres. En la reserva, la confirmación y cualquier zona de pacientes, nada que hable con plataformas de anuncios.
3. No confíes en el banner. Aceptar cookies no hace seguro el envío de datos de salud. Si una etiqueta no debe estar en la reserva, no debe estar ni con consentimiento.
4. Cuida lo que dice la dirección de la página. Una URL como /reserva-confirmada/terapia-de-pareja/laura ya cuenta demasiado a cualquier herramienta que la lea.
5. Pregunta a tu proveedor de agenda online qué servicios de terceros se cargan en la página de reserva y en la de confirmación. Si no sabe responder, ya tienes una respuesta.

Si quieres repasar también el ordenador de la consulta (archivos sueltos, nubes compartidas, copias de seguridad), tenemos una lista de once comprobaciones de privacidad en PDF.

Cómo lo hacemos en Terapli

Somos parte interesada, así que vamos a lo comprobable. El 15 de octubre de 2026 revisamos la reserva online, la confirmación de la cita y el portal del paciente: ninguna de esas páginas hace una sola petición a Google, Meta, Microsoft, LinkedIn ni a ningún otro servicio de analítica o publicidad. Tampoco cuando el visitante ha aceptado las cookies en otra parte de la web: al pasar a la reserva, la página se carga de cero, sin nada de lo anterior.

Y no depende solo de no haberlas puesto. La reserva, la confirmación, el portal del paciente y los paneles de trabajo de la terapeuta indican al navegador que bloquee esos dominios, así que aunque alguien añadiera una etiqueta por error, no podría enviar nada. La analítica existe solo en las páginas informativas de terapli.com y solo si el visitante la acepta.

El límite, para que no haya letra pequeña: si activas los recordatorios por WhatsApp, ese mensaje pasa por Meta como servicio de mensajería. Si prefieres evitarlo, el recordatorio por correo hace el mismo trabajo.

Preguntas frecuentes