En una clínica, el encargado del tratamiento es la persona o la empresa externa que trata datos de pacientes por cuenta de la clínica y siguiendo sus instrucciones: una gestoría, un proveedor de software, un servicio de secretaría telefónica. La clínica, o el médico que decide para qué y cómo se usan esos datos, es el responsable. Y la responsabilidad no se delega: aunque externalice, usted sigue respondiendo. Lo que sí puede y debe hacer es formalizar la relación con un contrato escrito que cumpla el artículo 28 del RGPD.
Esta guía explica la distinción entre responsable y encargado, qué cláusulas debe tener el contrato, qué verificar antes de elegir un proveedor y qué cambia cuando lo que se externaliza es la secretaría médica.
Puntos clave
- El responsable (médico, clínica o casa de salud) decide los fines y los medios del tratamiento. El encargado (por ejemplo, un secretariado externo) solo actúa según instrucciones documentadas.
- Todo encargo debe constar en un contrato escrito con el contenido del artículo 28 del RGPD. Una remisión genérica a la ley no basta.
- Contratar a un tercero no traslada la responsabilidad: debe elegir un encargado que ofrezca garantías suficientes y supervisarlo.
- Si el proveedor usa los datos para fines propios o se aparta de sus instrucciones, pasa a ser responsable de ese tratamiento.
- En la secretaría externa rige el acceso por necesidad: solo los datos imprescindibles para gestionar llamadas y citas, nunca la historia clínica completa.
Tabla de contenidos
- Responsable y encargado: dos papeles distintos
- Quién suele ser encargado del tratamiento en una clínica
- El contrato de encargo: qué debe contener
- Elegir bien: la diligencia que se le exige al responsable
- DPD y tamaño de la estructura
- Secretaría médica externa: el caso en que más se pregunta
- Nuestra perspectiva
- Cómo trabajamos esta relación con las consultas
- Lista de comprobación antes de firmar
- Preguntas frecuentes
- Fuentes
Responsable y encargado: dos papeles distintos
El RGPD reparte los papeles según quién decide. La AEPD explica en sus preguntas frecuentes que el responsable determina los fines y los medios del tratamiento, mientras que el encargado trata los datos por cuenta de aquel. Traducido a una consulta:
| Situación | Quién decide | Papel del proveedor |
|---|---|---|
| El médico define qué datos se recogen al dar una cita y para qué | El médico o la clínica | Encargado, si solo ejecuta |
| Un servicio de secretaría atiende llamadas y agenda citas siguiendo un protocolo escrito | El médico o la clínica | Encargado |
| Un proveedor reutiliza los datos de pacientes para sus propios estudios o marketing | El proveedor | Responsable de ese tratamiento |
La tercera fila es la que más conviene recordar. Las directrices del Comité Europeo de Protección de Datos sobre los conceptos de responsable y encargado señalan que el prestador que se desvía de las instrucciones y trata datos para sus propios fines deja de ser encargado y asume la condición de responsable, con las consecuencias sancionadoras que ello implica.
También conviene separar la figura del encargado de otras dos que se confunden con frecuencia:
- El personal propio de la clínica (recepcionista, enfermera, administrativo) no es encargado: actúa bajo la autoridad del responsable y está sujeto a su deber de confidencialidad.
- El delegado de protección de datos (DPD) no es un encargado ni un proveedor de servicios: es una figura de supervisión del cumplimiento. Puede ser interno o externo.
Para una visión más amplia del marco, la guía de la AEPD para profesionales del sector sanitario dedica su primer apartado a los conceptos básicos de datos de salud, responsable y encargado.
Quién suele ser encargado del tratamiento en una clínica
En la práctica, casi toda clínica trabaja con varios encargados sin pensarlo así. Los más habituales:
- Proveedores de software de historia clínica o de gestión de la agenda, que alojan los datos.
- Servicios de secretaría y atención telefónica externos, que contestan llamadas, dan y mueven citas, y ven datos identificativos y administrativos de pacientes.
- Gestorías y asesorías que acceden a facturas con datos de pacientes.
- Empresas de mantenimiento informático con acceso remoto a equipos.
- Servicios de mensajería o recordatorios por SMS o correo electrónico.
Cada una de estas relaciones necesita su contrato. Es habitual tenerlo resuelto con el software y olvidarlo con el servicio que, sin embargo, está en contacto diario con los pacientes. Si quiere revisar el conjunto, nuestra guía sobre LOPDGDD y datos de salud recoge derechos y obligaciones en España.
El contrato de encargo: qué debe contener
El artículo 28 del RGPD exige que el encargo conste en un contrato u otro acto jurídico vinculante. La AEPD publica un modelo de cláusulas para contratos de encargo del tratamiento que sirve de referencia. En términos prácticos, el contrato debe fijar al menos:
- Objeto y duración del encargo: qué servicio se presta y durante cuánto tiempo.
- Naturaleza y finalidad del tratamiento: por ejemplo, atender llamadas y gestionar citas, y nada más.
- Tipos de datos y categorías de pacientes afectados. Si incluye datos de salud, debe decirse.
- Instrucciones documentadas: el encargado solo trata los datos según lo que usted ordena por escrito.
- Confidencialidad: compromiso firmado del personal que accede a los datos.
- Medidas de seguridad técnicas y organizativas, por ejemplo el cifrado de las comunicaciones y el control de accesos.
- Subencargados: condiciones para que el proveedor subcontrate, con su autorización previa y las mismas obligaciones.
- Asistencia al responsable en el ejercicio de derechos de los pacientes y en la notificación de brechas.
- Devolución o supresión de los datos al terminar el servicio.
- Auditoría: el derecho del responsable a verificar el cumplimiento y a recibir la información necesaria.
La AEPD advierte, en el mismo apartado de sus preguntas frecuentes, de que las remisiones genéricas a la ley no cumplen: hay que detallar el objeto, la duración, las medidas de seguridad y las condiciones de cualquier subcontratación. Es el error más frecuente al externalizar el secretariado.
Un ejemplo práctico
Imagine una consulta de dermatología que contrata atención telefónica. El contrato debería decir que el proveedor atiende llamadas entrantes, consulta y modifica la agenda, y registra el motivo administrativo de la cita. Debería prohibirle grabar o conservar datos clínicos fuera de la herramienta acordada, y obligarle a avisar de cualquier incidente. Si el proveedor quiere usar un subencargado, por ejemplo un servicio de alojamiento, debe pedir su autorización.
Elegir bien: la diligencia que se le exige al responsable
La guía del RGPD para responsables de tratamiento de la AEPD dedica un apartado a las relaciones entre responsable y encargado y subraya que el responsable debe escoger encargados que ofrezcan garantías suficientes. La Ley Orgánica 3/2018 incluye, además, entre las infracciones graves la contratación de un encargado que no ofrezca esas garantías.
Antes de firmar, pida y compruebe:
- Certificaciones de seguridad o adhesión a códigos de conducta, que son una forma de acreditar garantías.
- Dónde se alojan los datos y quiénes son los subencargados.
- Quién atiende realmente al paciente: cómo se forma, se selecciona y se vincula por confidencialidad a ese personal.
- Cómo se gestionan las brechas: plazos de aviso y persona de contacto.
- Qué pasa al terminar: devolución o borrado documentado.
- Cómo se accede a la agenda: integración directa con su software o copias en hojas sueltas. La primera opción deja menos datos circulando.
DPD y tamaño de la estructura
El DPD es otro asunto que suele surgir al mismo tiempo. Según la AEPD, la LOPDGDD obliga a los centros sanitarios a designar un delegado, mientras que los profesionales que ejercen a título individual quedan exentos de esa obligación específica, aunque deban llevar historias clínicas. La designación debe comunicarse a la AEPD en un plazo máximo de diez días. Si trabaja en una casa de salud o en un grupo, consulte con su DPD antes de incorporar un nuevo encargado: le ayudará a revisar el contrato y a anotar el tratamiento en el registro de actividades.
El tamaño no le libera, en cualquier caso, de las obligaciones del RGPD: un autónomo que externaliza su secretaría debe igualmente firmar el contrato de encargo.
Secretaría médica externa: el caso en que más se pregunta
La secretaría telefónica es un encargo muy particular, porque el proveedor habla con pacientes en nombre de la consulta. Tres principios orientan cualquier contrato.
Acceso por necesidad
La CNIL francesa, en su guía para profesionales de la salud, recuerda que ni siquiera el personal administrativo tiene derecho automático a toda la historia clínica: solo debe acceder a lo que necesita para su función, como la gestión de citas. Aplicado al secretariado externo: nombre, teléfono, motivo administrativo del contacto y disponibilidad. La historia clínica queda fuera.
Seguridad que no se transfiere
Según esa misma fuente, contratar un servicio externo no exime de la responsabilidad de seguridad. El prestador debe aplicar medidas técnicas y organizativas, como el cifrado y la confidencialidad firmada del personal. Usted, como responsable, debe verificar que existen. Para profundizar, tenemos una guía sobre seguridad y conformidad de datos en el tele-secretariado médico y otra sobre normas de confidencialidad en el secretariado médico.
Protocolos escritos
Un buen encargo se apoya en instrucciones claras: qué se pregunta al paciente, cuándo se pasa la llamada a un profesional, qué constituye una urgencia y a quién se avisa. Esas instrucciones forman parte de las «instrucciones documentadas» del contrato. Cuanto más precisas, menos margen hay para que el proveedor improvise con datos sensibles. Si necesita orden en la agenda, la checklist de organización de citas médicas puede ayudarle a definirlos.
Nuestra perspectiva
Desde ClicFone llevamos más de 15 años como servicio de telesecretariado médico externalizado, y hay una conclusión que repetimos a cada profesional que nos consulta: la tranquilidad en protección de datos no llega con una promesa comercial, sino con un contrato claro y un perímetro de acceso bien definido.
Nuestro trabajo consiste en gestionar llamadas, citas y coordinación administrativa. Para ello trabajamos con personal humano cualificado, herramientas digitales seguras y la integración directa con plataformas de agenda, de modo que los datos circulan en el entorno que usted ya utiliza y no en papeles sueltos. Nuestros clientes más veteranos llevan más de diez años con nosotros, y creemos que se debe, en parte, a que cada instrucción queda por escrito y a que hablan con un responsable que conoce su consulta.
Nuestro consejo a quien está valorando externalizar es sencillo. Defina por escrito qué datos necesita ver su secretaría y cuáles no. Exija un contrato de encargo con las cláusulas del artículo 28, y no se quede tranquilo con una mención genérica. Y revise ese acuerdo cuando cambie algo: una nueva plataforma, un nuevo servicio, un nuevo centro. Un contrato que se archiva y no se vuelve a mirar es un riesgo, no una protección.
— Thierry Rudolph
Cómo trabajamos esta relación con las consultas
Si busca un servicio que atienda las llamadas de su consulta, la secretaría telefónica a distancia con gestión de citas de ClicFone se integra con las plataformas de agenda más habituales, entre ellas LibreRDV y CalenDoc, y puede complementarse con triaje telefónico médico y triaje de citas urgentes. Las tarifas, mensuales o por volumen de servicio, se presentan de forma transparente al solicitar información. También disponemos de una guía específica de acuerdo de tratamiento de datos de salud para clínicas, y podemos explicarle el modelo de encargo con el que trabajamos.
Lista de comprobación antes de firmar
Use estas preguntas como filtro final. Si alguna no tiene respuesta clara, aplace la firma.
- ¿Hay un contrato escrito con el contenido del artículo 28, o solo condiciones generales?
- ¿Están definidos los tipos de datos y el propósito exacto del tratamiento?
- ¿Puede el proveedor usar los datos para fines propios? La respuesta debe ser no.
- ¿Se conoce la lista de subencargados y existe un mecanismo de autorización?
- ¿El personal ha firmado un compromiso de confidencialidad?
- ¿Está previsto el plazo de aviso ante una brecha y el contacto responsable?
- ¿Qué ocurre con los datos al terminar el contrato?
- ¿Se ha informado al DPD, si lo hay, y se ha incluido el tratamiento en el registro de actividades?
Además, puede resultar útil comparar el encargo con otras formas de organización: una guía sobre externalización del servicio de secretaría médica detalla las opciones y los criterios de decisión.
Preguntas frecuentes
¿Quién es el encargado del tratamiento en una clínica?
Es la persona física o jurídica que trata datos personales por cuenta de la clínica, siguiendo sus instrucciones. Puede ser un proveedor de software, una gestoría o un servicio de secretaría externo. No lo es el personal propio de la clínica, que actúa bajo la autoridad del responsable.
¿Es obligatorio firmar un contrato con el servicio de secretaría externo?
Sí. El artículo 28 del RGPD exige que todo encargo conste en un contrato u otro acto jurídico vinculante, con objeto, duración, naturaleza, finalidad y obligaciones de seguridad. La AEPD ofrece cláusulas modelo que pueden servir de base.
¿Sigo siendo responsable si externalizo la secretaría?
Sí. La responsabilidad última recae en el médico o la clínica, que debe elegir encargados con garantías suficientes y supervisarlos. Externalizar reparte las tareas, no la responsabilidad frente al paciente y frente a la autoridad de control.
¿Un médico autónomo necesita delegado de protección de datos?
Según la AEPD, los profesionales que ejercen a título individual están exentos de la obligación específica de designar un DPD, a diferencia de los centros sanitarios. Aun así, deben cumplir el resto del RGPD, incluido el contrato de encargo con sus proveedores. Si tiene dudas sobre su caso, consulte con un delegado o un asesor especializado en protección de datos.
Fuentes
- AEPD: Responsable y encargado del tratamiento
- AEPD: Modelo de cláusulas para contratos de encargo del tratamiento
- AEPD: Guía del RGPD para responsables de tratamiento
- AEPD: Guía para profesionales del sector sanitario
- AEPD: ¿Cuándo se debe nombrar un delegado de protección de datos?
- CEPD: Directrices 07/2020 sobre los conceptos de responsable y encargado
- CNIL: RGPD y profesionales de la salud liberales
Recomendaciones
- Gestión de autorizaciones por teléfono: guía para clínicas
- Secretariado médico vs asistente médico: guía 2026
- Manejo de pacientes difíciles por teléfono: guía práctica
- Atención telefónica bilingüe en salud: cómo subcontratar
