Radiografía digital de los centros de sanidad privada en España

El tamaño real del mercado: 77.294 empresas del grupo CNAE 862 que compiten cada vez más en digital

El Directorio Central de Empresas del INE registra 77.294 empresas activas en actividades médicas y odontológicas (CNAE 862) a 1 de enero de 2025.¹ No es una estimación sectorial ni una proyección de directorio comercial: es el censo estadístico oficial del Estado. Una advertencia antes de nada: el CNAE no separa los centros de sanidad privada dentro de ese grupo — la cifra cuenta también otras especialidades, y el universo específico del nicho es una fracción de ella. La referencia sectorial más ajustada disponible: 440 hospitales privados (centros con internamiento; NO incluye clínicas ambulatorias ni policlínicas sin camas) (Fundación IDIS, 2024). Sobre esa base construimos este observatorio, y sobre ella conviene fijar la primera conclusión: el sector sanitario español es un mercado masivo, atomizado y geográficamente concentrado.

La concentración es el dato que ordena todo lo demás. La Comunidad de Madrid, con 15.158 empresas del grupo CNAE 862, Cataluña, con 14.944, y Andalucía, con 12.939, reúnen más de la mitad del sector (figura 1). Para un centro medio esto significa que la competencia relevante no es nacional sino metropolitana, y que la primera página de Google en su ciudad es, en la práctica, su escaparate comercial más disputado.

El resto del mapa autonómico está enlazado más abajo y disponible en los datos descargables. A nivel provincial, el INE no publica empresas del grupo 862: el desglose más fino cuenta locales de la división 86 y así lo advertimos en cada página provincial.²

El estado técnico de la muestra: correcto en lo visible, flojo en lo que no se ve

Para pasar del censo al diagnóstico, auditamos una muestra propia de 29 centros del sector con presencia web, seleccionados por búsqueda web sobre criterios de actividad y presencia comercial en búsqueda. El resultado agregado es un score digital medio de 78,1 sobre 100 (±3,0, IC 95 %): webs que cumplen en lo visible —cargan, se leen, posicionan su marca— y fallan en lo que no se ve.

Lo que no se ve es notable por su consistencia (figura 2). Ni un solo sitio de los 29 auditados sirve una Content-Security-Policy, la cabecera que limita qué código puede ejecutarse en la página; el 96,6 % presenta objetivos táctiles insuficientes en móvil, y el 79,3 % no fuerza HSTS, de modo que la conexión puede degradarse a HTTP sin que el visitante lo advierta. Para un sector que capta clientes en internet, la distancia entre el escaparate y la cabecera HTTP es, cuanto menos, un argumento comercial para quien decida cerrarla.

Un score medio de 78,1 con fallos estructurales compartidos dibuja un mercado donde la excelencia técnica es barata en términos relativos: ningún competidor la tiene, luego cuesta poco destacar. Los controles de la figura 2 se corrigen en horas, no en meses, y son verificables por cualquier cliente que compare proveedores antes de decidir: la ventaja es medible y casi nadie la está ocupando.

Convenios de empresa: el modelo de ingresos que convierte la ventaja técnica en recurrencia

Un convenio de empresa lleva plantillas enteras a tu centro: reconocimientos, chequeos y cuadro médico concertado, renovado cada año. Un solo convenio vale por cientos de pacientes sueltos y no depende de la publicidad del mes.

La lectura conjunta de las dos secciones anteriores no es cosmética sino de posicionamiento: en un grupo CNAE de 77.294 empresas — del que tu nicho es una fracción —, las señales objetivas y medibles —seguridad, rendimiento móvil, datos estructurados— son de los pocos ejes donde un centro mediano puede dominar a un grande sin gastar más que él. En la guía de convenios de empresa está el método completo, canal a canal.

Qué significa esto en euros

Tres conclusiones a partir de nuestra muestra de 29 centros auditados (muestra propia, no censo). Cada una lleva el dato con su tamaño de muestra, la consecuencia con fuente externa enlazada, y un ejemplo modelado con todos los supuestos declarados. Ninguna cifra de estas es una promesa ni una amenaza: son órdenes de magnitud para decidir con cabeza.

1. Velocidad y móvil: conversión que no llega

El dato:El 72,4% de la muestra (21 de 29 centros auditados) carga scripts que bloquean el primer renderizado de la página, y el 96,6% (28 de 29) tiene botones táctiles que fallan en móvil.

La consecuencia:En el estudio "Milliseconds Make Millions" (Deloitte con Google: 37 marcas europeas y americanas, más de 30 millones de sesiones), una mejora de solo 0,1 s en la velocidad móvil se asoció a un +8,4% de conversión en retail y a un −8,3% de rebote en páginas de captación de leads. Fuentes: Deloitte × Google, "Milliseconds Make Millions" (2020) · resumen del estudio en web.dev (Google).

En euros:Un centro que aspire a 60.000 €/año en en nueva facturación de convenios de empresa captada vía web dejaría del orden de ~5.000 €/año sobre la mesa si su web convierte un 8,4% por debajo de su potencial (8,4% de 60.000 € ≈ 5.040 €).

Supuestos del modelo:que toda la captación nueva del año pasa por la web; que la elasticidad medida en retail y lead-gen sirve como orientación para el sector sanidad privada (no existe un estudio equivalente del sector sanidad privada español); y que la mejora de 0,1 s es técnicamente alcanzable — lo es en las webs auditadas con scripts bloqueantes. Es un orden de magnitud, no una promesa.

2. Seguridad: la asimetría más barata de corregir

El dato:El 100,0% de la muestra (29 de 29) sirve su web sin Content-Security-Policy, el 89,7% (26 de 29) sin protección anti-clickjacking (X-Frame-Options) y el 79,3% (23 de 29) sin HSTS.

La consecuencia:El art. 32 del RGPD exige "medidas técnicas y organizativas apropiadas" para proteger los datos personales — y el formulario de contacto de un centro los recoge. Su incumplimiento puede sancionarse con hasta 10 M€ o el 2% de la facturación global anual (art. 83.4.a), y la AEPD ya sanciona por seguridad insuficiente: 500.000 € a Air Europa por el art. 32 (resolución PS/00179/2020, confirmada por la Audiencia Nacional en 2024). Fuentes: RGPD, arts. 32 y 83.4.a (texto consolidado, EUR-Lex) · AEPD, resolución PS/00179/2020 (Air Europa: 500.000 € por el art. 32).

En euros:Aquí no modelamos una multa, porque unas cabeceras ausentes no bastan, por sí solas, para que te sancionen — y decir lo contrario sería vender miedo. Lo objetivo es la asimetría: configurar estas cabeceras se mide en horas de un técnico; el riesgo que ayudan a cubrir se mide, en el peor caso documentado, en cientos de miles de euros.

Supuestos del modelo:el riesgo sancionador es "de hasta" según los arts. 32 y 83.4.a del RGPD y depende siempre del caso concreto; la referencia de 500.000 € corresponde a una brecha real con datos de 489.000 clientes, no a la mera falta de cabeceras.

3. Sin píxel no hay remarketing (y el CAC lo nota)

El dato:Solo 7 de 29 centros muestran Meta Pixel verificable en la carga inicial de su web, y solo 0 de 29 el LinkedIn Insight Tag — el canal natural de remarketing B2B. En el resto no consta o no es verificable (puede cargar tras el consentimiento de cookies; no afirmamos que no lo tengan).

La consecuencia:Sin píxel no se pueden construir audiencias de remarketing, así que cada visitante que no contacta a la primera se pierde. Los visitantes reimpactados con retargeting convierten de media un 70% más que los nuevos (benchmark agregado por Invesp, medido en retail). Fuentes: Invesp, benchmarks de ad retargeting.

En euros:Un centro con 500 visitas/mes que convierte el 1% genera 5 consultas al mes. Si el remarketing recupera una sola consulta adicional mensual y 1 de cada 10 consultas acaba en convenio de empresa con valor anual de 6.000 €, son ~7.200 €/año de facturación que hoy no llega (12 consultas × 10% de cierre × 500 €/mes × 12 meses).

Supuestos del modelo:tráfico, conversión, tasa de cierre y duración del contrato son supuestos declarados del modelo, no datos medidos del sector; el benchmark del 70% procede de e-commerce y se usa como orientación, no como garantía.