Una auditoría de seguridad telefónica seria debe comprobar que existe contrato conforme al artículo 28 del RGPD, control de accesos con mínima información necesaria y un procedimiento claro de notificación de brechas. El resultado mínimo aceptable es un informe que identifique los riesgos críticos encontrados y proponga medidas correctoras verificables, no una simple declaración de conformidad.
En resumen:
- La auditoría debe verificar la existencia de un contrato por escrito con cláusulas del artículo 28 del RGPD y protocolos específicos de eliminación de datos.
- Es fundamental solicitar evidencias concretas como registros de actividades, políticas de seguridad y certificaciones, evitando solo declaraciones verbales.
- La revisión del proceso de grabación de llamadas y la base legal para ello debe ser exhaustiva, junto con el plazo de retención y protocolo de eliminación de grabaciones.
- La gestión de incidentes requiere un plan de respuesta con plazos claros y documentos que acrediten simulacros o revisiones previas.
- La supervisión del cumplimento y las revisiones periódicas son clave, especialmente en la transferencia final de datos al terminar el contrato para reducir riesgos residuales.
Tabla de contenidos
- Alcance y objetivos de la auditoría en el secretariado telefónico médico
- Checklist práctica para auditar a un proveedor de secretariado telefónico
- Cómo revisar el contrato: cláusulas clave y señales de alerta
- Gestión de incidentes y grabación de llamadas: qué documentación pedir
- Evidencias y pruebas de confianza que debe aportar el proveedor
- Lo que la mayoría de clínicas pasa por alto en esta auditoría
- Cómo le ayudamos a cubrir estas garantías en la práctica
- Preguntas frecuentes
- Fuentes
Alcance y objetivos de la auditoría en el secretariado telefónico médico
Cuando una clínica externaliza la atención telefónica, delega también el tratamiento de datos de salud de sus pacientes. La auditoría de seguridad telefónica evalúa si ese tratamiento cumple con las garantías exigidas, no si la red del proveedor resiste un ataque informático. Son dos auditorías distintas con objetivos distintos.
El alcance práctico cubre tres bloques. Primero, la revisión contractual: verificar que existe un contrato por escrito que obligue al encargado a aplicar medidas técnicas y organizativas adecuadas, tal como exige el artículo 28 del RGPD. Segundo, el registro de actividades de tratamiento (RAT) y su correspondencia con las instrucciones reales dadas al proveedor. Tercero, las evidencias operativas: controles de acceso, formación del personal y procedimientos documentados.
Los objetivos de fondo son los mismos que persigue el RGPD para cualquier tratamiento de datos sanitarios: confidencialidad, integridad, disponibilidad y resiliencia de los sistemas que gestionan citas y llamadas. A esto se suma un objetivo propio del secretariado médico: preservar el secreto profesional cuando personal externo al equipo clínico maneja información de pacientes.
El responsable del tratamiento, es decir, la clínica o el profesional sanitario, conserva la obligación de supervisión y debe poder inspeccionar al encargado cuando lo considere necesario. Antes de auditar un servicio de secretariado telefónico externo, conviene tener claro este reparto de responsabilidades, porque condiciona qué se puede exigir contractualmente y qué queda fuera del alcance razonable de la revisión.
Checklist práctica para auditar a un proveedor de secretariado telefónico
Una auditoría ordenada avanza por bloques de evidencias, no por intuición. Esta secuencia funciona como guion de trabajo frente al proveedor o como material previo a entregar al delegado de protección de datos.
- Documentación contractual: solicitar el contrato con cláusulas del artículo 28, anexos de medidas de seguridad, condiciones de subcontratación y protocolo de fin de contrato.
- Evidencias técnicas: pedir el RAT, confirmar cifrado en tránsito y en reposo, política de copias de seguridad y registros de acceso con usuario, fecha y fichero consultado.
- Controles de personal: verificar formación en protección de datos, cláusulas de confidencialidad en los contratos laborales y lista actualizada de personas autorizadas a acceder a datos de pacientes.
- Grabación de llamadas: comprobar base legal, mecanismo de consentimiento, plazo de retención y procedimiento de eliminación segura, siguiendo los criterios recogidos sobre grabación de llamadas y privacidad.
- Gestión de incidentes: exigir el protocolo de notificación de brechas, los plazos comprometidos y evidencia de simulacros o bitácoras de incidentes anteriores.
- Fin de contrato: confirmar que existe un procedimiento documentado de supresión o devolución de datos, con actas o registros que acrediten su ejecución.
Consejo profesional: pida siempre evidencia escrita, nunca una afirmación verbal. Un proveedor serio entrega documentos, no promesas.
La verificación de identidad del paciente por teléfono y el cifrado de las comunicaciones clínicas son dos puntos que conviene revisar con detalle técnico, porque suelen quedar descritos de forma vaga en los contratos genéricos.
Cómo revisar el contrato: cláusulas clave y señales de alerta
El contrato es la pieza que convierte una buena intención en una obligación exigible. Debe recoger, como mínimo, las instrucciones del responsable sobre el tratamiento, las condiciones de subcontratación, las medidas de seguridad aplicables, el compromiso de asistencia en una evaluación de impacto (EIPD) cuando proceda y el procedimiento de notificación de brechas.
Conviene que el contrato remita a un anexo con medidas técnicas concretas, en línea con lo descrito en el Anexo III del Reglamento europeo: seudonimización, cifrado, copias de seguridad en ubicación separada y registros de acceso. Un contrato que solo dice “se garantiza la seguridad adecuada” sin detallar nada es una señal de alerta, no una garantía.
El derecho a auditoría o inspección debe constar explícitamente, con preaviso razonable. También conviene revisar las cláusulas del acuerdo de tratamiento de datos antes de firmar. Entre las señales de alerta más frecuentes están la ausencia de protocolo de eliminación de datos al terminar el servicio, la falta de registro de accesos y los plazos de notificación de brechas que quedan indefinidos o genéricos.
Gestión de incidentes y grabación de llamadas: qué documentación pedir
El encargado del tratamiento debe notificar al responsable sin dilación indebida cualquier violación de la seguridad que detecte, y cooperar en la notificación a la Agencia Española de Protección de Datos cuando el caso lo requiera. El plan de respuesta a incidentes que presente el proveedor debe fijar un plazo concreto de aviso, no una fórmula abierta como “lo antes posible”.
Sobre la grabación de llamadas, la auditoría debe confirmar que existe una base legal clara para grabar conversaciones con pacientes y que el consentimiento se recoge de forma informada, siguiendo los criterios señalados en la guía sobre grabación de llamadas telefónicas y privacidad. Grabar sin base legal adecuada puede vulnerar tanto la privacidad del paciente como el secreto profesional del facultativo.
También hay que revisar el plazo de retención de las grabaciones y el procedimiento de supresión segura una vez cumplido ese plazo.
Evidencias y pruebas de confianza que debe aportar el proveedor
Un proveedor que cumple de verdad no tiene problema en mostrar evidencia documental. La auditoría debe pedir, como mínimo, estas pruebas concretas:
- Registro de actividades de tratamiento (RAT) actualizado y coherente con las instrucciones dadas.
- Políticas de seguridad escritas y registros de acceso con trazabilidad por usuario.
- Certificaciones o adhesión a códigos de conducta del sector, cuando existan.
- Protocolos operativos de triaje telefónico y evidencia de integración con plataformas de agenda como Doctolib, Maiia, LibreRDV o CalenDoc.
Contamos con experiencia trabajando con consultas médicas y mantenemos relaciones estables con clientes desde hace varios años, lo que permite contrastar estas evidencias con un historial real de servicio, no solo con una promesa comercial.
Lo que la mayoría de clínicas pasa por alto en esta auditoría
La mayoría de responsables sanitarios revisan el precio del servicio de secretariado telefónico y asumen que la seguridad “viene incluida” sin preguntar nada más. Esa es la parte donde más falla el proceso de contratación: se audita el coste, no el cumplimiento.
El error más común es tratar la auditoría como un trámite puntual previo a la firma, cuando debería ser un ejercicio recurrente. Un contrato impecable el primer año no garantiza que el proveedor siga aplicando las mismas medidas tres años después, sobre todo si cambia de personal o de infraestructura.
Si solo puede priorizar un punto, que sea el destino de los datos al finalizar la relación contractual. Es el aspecto que menos se revisa y el que genera más riesgo residual: datos de pacientes que quedan en sistemas de un proveedor con el que ya no hay relación activa, sin que nadie lo haya verificado nunca.
— Rudolph
Cómo le ayudamos a cubrir estas garantías en la práctica
Revisar cada uno de estos puntos con un proveedor nuevo lleva tiempo que un equipo médico rara vez tiene de sobra. Por eso construimos nuestro servicio de secretariado telefónico a distancia sobre integraciones directas con Doctolib, Maiia, LibreRDV y CalenDoc, con protocolos documentados de acceso y triaje que facilitan precisamente el tipo de evidencia que una auditoría como esta exige.
Ofrecemos también recepción telefónica médica y paramédica y triaje telefónico médico con protocolos de priorización ante urgencias. Si está evaluando externalizar su secretariado o quiere revisar las garantías de su proveedor actual, puede consultar nuestro servicio en español y pedir una revisión inicial del contrato.
Preguntas frecuentes
¿Qué debe incluir obligatoriamente el contrato con el secretariado telefónico?
Debe incluir instrucciones claras del responsable, medidas de seguridad detalladas, condiciones de subcontratación y el procedimiento de notificación de brechas, conforme al artículo 28 del RGPD. Sin estas cláusulas por escrito, el contrato no cumple el mínimo legal exigido.
¿Es obligatorio informar al paciente si se grava la llamada?
Sí, grabar una llamada con un paciente exige una base legal clara y, en la mayoría de los casos, informar y recabar su consentimiento antes o al inicio de la conversación, según los criterios recogidos sobre grabación de llamadas y privacidad. Grabar sin esa base puede vulnerar tanto la privacidad como el secreto profesional.
¿Qué pasa con los datos de pacientes cuando termina el contrato con el proveedor?
Debe existir un protocolo documentado de supresión o devolución de los datos, con evidencia escrita de que se ha ejecutado correctamente. La guía de la AEPD sobre contratos de encargados señala este punto como un elemento clave para evitar retención residual de información sensible.
¿Puede el responsable auditar al proveedor en cualquier momento?
El derecho a inspección o auditoría debe constar explícitamente en el contrato, normalmente con un preaviso razonable pactado entre ambas partes. El responsable conserva en todo momento la obligación final de supervisión, aunque delegue la ejecución operativa del tratamiento.
Fuentes
- Guía: Directrices sobre contratos de encargados (AEPD)
- DOUE L 199/18 Anexo III: Medidas técnicas y organizativas (Unión Europea)
- Grabación de llamadas telefónicas y privacidad (Masip)
Recomendaciones
- Normas de confidencialidad en el secretariado médico
- Seguridad y conformidad de datos en el tele-secretariado médico
- Cómo evaluar la calidad del servicio de secretaría médica
