Depende: una clínica puede grabar llamadas cuando exista una base legal clara, se informe al paciente y se cumplan las obligaciones del RGPD, la LOPDGDD, la Ley 41/2002 y el artículo 197 del Código Penal. Las dos acciones que no admiten demora son informar con una locución adecuada y documentar por escrito la base jurídica elegida antes de activar cualquier grabación.
En resumen:
- La grabación de llamadas en clínicas requiere justificar el tratamiento de datos y documentar la base jurídica antes de activar la grabación.
- Es obligatorio informar mediante locución en cada llamada, identificando al responsable, finalidad, base jurídica y derechos, y mantener constancia del aviso.
- Las grabaciones deben conservarse solo por el tiempo necesario y con registros técnicos que acrediten su eliminación, según políticas documentadas y automatizadas.
- La externalización de servicios de transcripción o secretariado no elimina la responsabilidad del centro, que debe firmar contratos con cláusulas específicas y auditar a los proveedores.
- Grabar sin información previa o con finalidad difusa puede constituir delito contra la intimidad y sanción administrativa si no se cumplen las condiciones legales.
Tabla de contenidos
- Marco legal aplicable en España
- Consentimiento asistencial frente a base jurídica de protección de datos
- Qué debe decir la locución inicial de la llamada
- Riesgos y sanciones si el proceso no está bien planteado
- Externalización del secretariado: qué exigir al encargado del tratamiento
- Cuánto tiempo conservar las grabaciones y cómo purgarlas
- Transcripción con inteligencia artificial: cuándo hace falta una EIPD
- Checklist práctico para implantar la grabación de forma conforme
- Alternativas cuando grabar no es la mejor opción
- Lo que un responsable legal no puede permitirse pasar por alto
- Cómo ClicFone ayuda a implantar estas garantías sin sobrecargar al equipo
- Fuentes
- Preguntas frecuentes
Marco legal aplicable en España
Ninguna norma regula la grabación de llamadas clínicas en solitario. El RGPD fija las bases del tratamiento de datos (artículos 6 y 9, este último para datos de salud), la LOPDGDD adapta esas reglas al contexto español, la Ley 41/2002 gobierna la documentación clínica y su custodia, y el artículo 197 del Código Penal castiga la interceptación de comunicaciones sin consentimiento cuando vulnera la intimidad. Las cuatro normas operan a la vez, no de forma alternativa.
La consecuencia práctica es sencilla de enunciar y más exigente de aplicar: ser parte de la llamada no basta para grabarla legalmente. Una clínica necesita justificar por qué trata esos datos, durante cuánto tiempo y con qué medidas de seguridad, y ese razonamiento debe quedar por escrito antes de que suene el primer aviso grabado. La Ley 41/2002 añade una capa adicional cuando la grabación forma parte de la documentación clínica del paciente, porque entonces exige la misma custodia diligente que cualquier historia clínica.
Consentimiento asistencial frente a base jurídica de protección de datos
Conviene no confundir dos consentimientos distintos. El consentimiento asistencial de la Ley 41/2002 autoriza una intervención o tratamiento médico; el consentimiento de protección de datos, cuando se exige, legitima un tratamiento concreto de información personal. Son compatibles pero no intercambiables.
En la gestión de citas y en la atención telefónica habitual, el centro sanitario no necesita pedir un consentimiento expreso: la AEPD confirma que el tratamiento de datos de salud está amparado por el artículo 6.1.b, c y e junto al artículo 9.2.h del RGPD, siempre que la finalidad sea la asistencia sanitaria o la gestión del servicio. Un «sí» verbal arrancado a mitad de llamada, sin embargo, no legitima usos posteriores ajenos a esa finalidad, como el entrenamiento de un sistema o un análisis comercial.
Qué debe decir la locución inicial de la llamada
El principio de transparencia del artículo 13 del RGPD obliga a identificar al responsable, explicar la finalidad de la grabación, citar la base jurídica y facilitar el modo de ejercer derechos. Informar previamente no equivale a pedir consentimiento, pero sí es obligatorio y debe quedar acreditado.
Una locución sucinta puede resolver estos puntos en pocos segundos:
- Identidad del centro o servicio que atiende la llamada.
- Finalidad concreta de la grabación (gestión de citas, calidad, prueba de la conversación).
- Base jurídica aplicable y referencia a la política de privacidad.
- Vía de contacto del delegado de protección de datos y forma de ejercer derechos.
Dejar constancia de que la locución se reprodujo en cada llamada, mediante registros técnicos y una política interna firmada por el personal, resulta tan importante como el propio contenido del mensaje.
Riesgos y sanciones si el proceso no está bien planteado
Las inspecciones de la AEPD sobre sistemas de cita previa telefónica muestran un patrón de exigencias: análisis de riesgo, justificación de la conservación temporal de la voz y eliminación una vez completada la transcripción cuando ya no es necesaria, según se desprende del procedimiento E/04967/2020. Cuando esas condiciones no se cumplen, la sanción administrativa es el riesgo más inmediato.
El artículo 197 del Código Penal añade un plano distinto: interceptar una comunicación sin la información adecuada puede constituir delito contra la intimidad cuando concurre esa falta de transparencia y una afectación real a la esfera privada del paciente. Inspectores y tribunales valoran criterios similares en ambos frentes: finalidad declarada, proporcionalidad del tratamiento, calidad de la información ofrecida y solidez de las medidas técnicas implantadas.
Externalización del secretariado: qué exigir al encargado del tratamiento
Contratar un servicio externo de secretariado o transcripción no traslada la responsabilidad legal, la reparte. El artículo 28 del RGPD obliga a formalizar un contrato de encargado que describa con precisión los tratamientos autorizados, las medidas de seguridad exigidas y las obligaciones de destrucción de los datos al finalizar el servicio, tal como reflejan los modelos de cláusulas de encargo en el ámbito sanitario.
Las medidas mínimas incluyen cifrado en tránsito y en reposo, control de accesos por perfiles, trazabilidad de quién escuchó o manipuló cada grabación y un protocolo claro de gestión de incidentes. La diligencia debida no termina con la firma: conviene auditar periódicamente al proveedor, comprobar que no reentrena modelos de inteligencia artificial con las grabaciones del cliente y verificar que la eliminación pactada se ejecuta de forma comprobable. Nuestra guía sobre externalización del servicio de secretaría médica detalla estos pasos con más profundidad.
Cuánto tiempo conservar las grabaciones y cómo purgarlas
El principio de minimización obliga a guardar solo lo imprescindible para la finalidad declarada. Una grabación que sirve como prueba de una cita programada no necesita el mismo plazo que un registro interno de calidad del servicio, y esa diferencia debe reflejarse en la política de retención del centro.
Fijar plazos orientativos y justificarlos por escrito ante una eventual inspección de la AEPD reduce buena parte del riesgo documental. La implementación técnica es tan relevante como el criterio: purga automática al vencer el plazo, registros que dejen constancia de cada eliminación y medidas de seguridad mantenidas hasta el último momento de vida del archivo. La AEPD subraya que los logs de purga automatizada constituyen una defensa probatoria clave, porque una política escrita sin rastro técnico no demuestra que la supresión ocurrió realmente. Nuestra plantilla de política de retención de grabaciones ofrece un punto de partida ajustable a cada centro.
Transcripción con inteligencia artificial: cuándo hace falta una EIPD
La transcripción automática o el análisis con IA de llamadas clínicas eleva el nivel de riesgo del tratamiento. La AEPD exige diligencia reforzada en la selección del proveedor, medidas de seguridad más estrictas y, cuando el tratamiento pueda calificarse de alto riesgo, la realización de una evaluación de impacto (EIPD). El regulador es explícito: «grabar por si acaso» nunca es una base legítima, la decisión debe limitarse a finalidades concretas.
El riesgo sube de categoría cuando existe intención de identificar a la persona por su voz, porque entonces se entra en el terreno de los datos biométricos del artículo 9 del RGPD. Elegir un proveedor exige comprobar la soberanía de los datos, cláusulas contractuales que impidan el reentrenamiento de modelos y medidas de pseudonimización, minimización de metadatos y cifrado tanto en tránsito como en reposo.
Checklist práctico para implantar la grabación de forma conforme
- Definir la finalidad exacta de la grabación y documentar la base jurídica elegida.
- Redactar la locución inicial e integrarla en los sistemas de telefonía con registro automático.
- Firmar un contrato de encargado con cláusulas específicas para el ámbito sanitario.
- Configurar plazos de retención diferenciados y activar la purga automática con logs.
- Realizar una EIPD si el tratamiento incluye transcripción por IA o identificación por voz, y mantener actualizado el registro de actividades de tratamiento.
Consejo profesional: revisa el checklist cada vez que cambies de proveedor de telefonía o transcripción, no solo al contratarlo por primera vez.
Alternativas cuando grabar no es la mejor opción
Grabar no siempre es el camino más sencillo ni el más seguro. Un acta telefónica redactada tras la llamada y firmada por el profesional que la atendió deja constancia sin almacenar voz, y reduce buena parte del riesgo de protección de datos. Usar códigos anónimos y limitar el contenido verbal a lo estrictamente necesario para gestionar la cita cumple el mismo propósito con menos exposición.
La supervisión en vivo por un responsable, combinada con grabación selectiva solo cuando el paciente lo autoriza de forma expresa para un fin puntual, ofrece un término medio razonable para centros que prefieren no mantener un archivo de voz permanente.
Lo que un responsable legal no puede permitirse pasar por alto
La tentación de resolver la conformidad con una locución genérica y un aviso legal copiado de otra web es la que más expone a una clínica. Lo que distingue a los centros que superan una inspección sin sobresaltos no es la sofisticación de su sistema de grabación, sino la trazabilidad de sus decisiones: por qué se grabó, quién accedió, cuándo se eliminó.
Auditar al proveedor de secretariado o transcripción con la misma exigencia que a un proveedor sanitario, y no como un simple servicio administrativo, marca la diferencia cuando la AEPD pide explicaciones. La experiencia acumulada por proveedores especializados en secretariado sanitario, que llevan años gestionando este tipo de llamadas, ayuda a anticipar qué preguntas hará un inspector antes de que las haga.
— Rudolph
Cómo ClicFone ayuda a implantar estas garantías sin sobrecargar al equipo
Aplicar todo lo anterior, locución, contrato de encargado, plazos de retención y criterios de EIPD, exige tiempo que la mayoría de consultas no tiene disponible entre pacientes. ClicFone gestiona la recepción telefónica médica y paramédica, la gestión de citas integrada con Doctolib, Maiia, LibreRDV y CalenDoc, y el triaje de llamadas urgentes, con protocolos de privacidad y medidas técnicas ya definidas para el sector sanitario.
Con experiencia en el sector médico y clientes que confían en el servicio, ClicFone ofrece soporte para externalizar la gestión telefónica sin renunciar al control sobre cómo se tratan los datos de los pacientes. Consulta los servicios de tri téléphonique médical y de gestión de citas para valorar qué encaje tiene en tu consulta.
Fuentes
Este artículo se apoya en orientaciones publicadas por la AEPD sobre transcripción de voz con IA, las preguntas frecuentes para profesionales sanitarios y el procedimiento E/04967/2020, junto al texto consolidado de la Ley 41/2002 en el BOE. Estas referencias cubren tanto la interpretación del RGPD en el ámbito sanitario como la práctica inspectora reciente sobre sistemas de cita previa telefónica.
Este artículo es información general y no sustituye el consejo de un médico cualificado. Consulte a un profesional de la salud cualificado sobre su caso particular antes de actuar según este contenido.
- AEPD — Preguntas frecuentes: profesionales sanitarios
- BOE — Ley 41/2002, básica reguladora de la autonomía del paciente
Preguntas frecuentes
¿Es legal grabar una consulta médica en España?
Depende de quién grabe y con qué finalidad: el centro sanitario puede tratar datos de la consulta cuando existe una base jurídica clara, como la gestión asistencial amparada en el artículo 9.2.h del RGPD. Grabar sin informar previamente al paciente o sin justificar la finalidad expone al centro a responsabilidad administrativa y, en ciertos casos, penal bajo el artículo 197 del Código Penal.
¿Es legal grabar llamadas telefónicas en España?
Sí, siempre que al menos una de las partes conozca la grabación y se cumplan las obligaciones de información del artículo 13 del RGPD. En el ámbito clínico, esto se traduce en una locución inicial que identifique al responsable, la finalidad y la forma de ejercer derechos, tal como recogen las interpretaciones sobre legalidad de grabación de llamadas.
¿Es legal grabar al personal de salud?
Grabar a un profesional sanitario durante una llamada de trabajo sigue las mismas reglas de transparencia que grabar a un paciente: debe existir una finalidad legítima, información previa y una base jurídica documentada. El uso posterior de esa grabación para fines distintos, como evaluación de desempeño no anunciada, requiere una base jurídica propia y separada.
¿Cuándo una grabación de voz es legal?
Una grabación de voz es legal cuando se informa de ella conforme al artículo 13 del RGPD, responde a una finalidad concreta y proporcional, y se conserva solo el tiempo necesario para esa finalidad. La AEPD advierte que grabar «por si acaso» nunca constituye una base legítima, con independencia de si la conversación es clínica o administrativa.
Recomendaciones
- TCPA en recordatorios médicos: qué exige la ley a su clínica
- Gestión de autorizaciones por teléfono: guía para clínicas
- Política de retención de grabaciones en consultas médicas
- Consentimiento informado por teléfono: guía práctica y legal
