En Uruguay, la protección de datos personales se rige por la Ley N.º 18.331. Esa ley distingue una categoría especial —los datos sensibles—, y los datos relativos a la salud están dentro de esa categoría (artículo 4). Para esa categoría, el artículo 18 es explícito: “Ninguna persona puede ser obligada a proporcionar datos sensibles. Estos sólo podrán ser objeto de tratamiento con el consentimiento expreso y escrito del titular”. Y el artículo 19 habilita expresamente a los establecimientos sanitarios y a los profesionales de la salud a recolectar y tratar los datos de salud de sus pacientes, respetando el secreto profesional y la normativa específica.
Traducido a la pantalla que nos toca diseñar: una casilla premarcada no es consentimiento, y un texto legal escondido en el pie tampoco. El consentimiento se pide en el momento y en el lugar donde la persona está por entregar el dato, con una casilla que arranca vacía, con la finalidad escrita en castellano común —para qué se usa, quién lo va a ver, hasta cuándo se guarda— y sin bloquear el pedido de hora detrás de una pared de texto. Es una decisión de diseño, no de redacción legal, y es de las pocas que cuestan lo mismo hacerlas bien o mal.
De ahí sale la recomendación más práctica de esta página, y la damos aunque nos complique el formulario: no le pidas el motivo de consulta en la web. Para agendar alcanza con nombre, forma de contacto, especialidad o profesional, y disponibilidad horaria. El motivo lo va a contar igual —en el teléfono, en el mostrador o en la consulta—, pero entonces vive donde tiene que vivir y no en la bandeja de entrada de una casilla compartida. Menos campos, además, es más gente que completa: es de los pocos casos donde lo prudente y lo que más convierte coinciden.
Hay dos obligaciones más que conviene que conozcas y consultes con tu asesor, porque afectan decisiones que se toman al armar el sitio. La primera: las bases de datos personales se inscriben ante la Unidad Reguladora y de Control de Datos Personales (URCDP), un trámite gratuito y en línea. La segunda viene del Decreto N.º 64/020, que exige designar un delegado de protección de datos a quien trate datos sensibles como actividad principal —una clínica lo hace por definición— y fija plazos cortos ante un incidente: mitigar dentro de las 24 horas de constatado y comunicar la vulneración a la URCDP dentro de las 72 horas de conocida. Fuentes: texto de la Ley N.º 18.331 y del Decreto N.º 64/020 en el sistema de información normativa del Estado uruguayo, consultados el 27 de agosto de 2026.