Cada llamada que entra en tu consulta contiene datos de salud: un motivo de visita, un síntoma, el nombre de un medicamento. El RGPD se aplica a esa conversación igual que a la historia clínica. En la práctica, cumplirlo se reduce a cinco decisiones: con qué base jurídica tratas los datos, cómo informas al paciente, cómo compruebas quién llama, si grabas o no, y a quién confías la atención telefónica. Esta guía las recorre una a una, con las fuentes oficiales españolas, para que puedas revisar tu protocolo esta misma semana.
Puntos clave
- En la atención sanitaria, tratar los datos de una llamada generalmente no requiere pedir consentimiento si existe una base legítima prevista en la ley, pero la obligación de informar al paciente sigue en pie.
- La información puede darse de viva voz en una llamada: quién es el responsable, para qué se usan los datos, a quién se comunican, cuánto se conservan y qué derechos tiene el paciente.
- Si grabas, define un protocolo, avisa antes y protege el archivo con cifrado y accesos restringidos.
- Si externalizas el secretariado telefónico, el proveedor actúa como encargado del tratamiento: necesitas elegirlo con diligencia y formalizar el encargo por escrito.
- Dar información de salud por teléfono exige un protocolo de identificación del interlocutor, para no ceder datos a terceros no autorizados.
Tabla de contenidos
- Qué cambia cuando los datos viajan por teléfono
- Base jurídica: ¿hace falta el consentimiento del paciente?
- Qué información dar al paciente durante la llamada
- Grabar llamadas: qué se puede hacer y cómo
- Identificar a quien llama antes de dar información de salud
- Externalizar el teléfono: la consulta sigue siendo responsable
- Inteligencia artificial y transcripción de llamadas
- Conservación de datos y derechos del paciente
- Lista de revisión para tu consulta
- Nuestra perspectiva
- Un secretariado que trabaja con tu protocolo
- Preguntas frecuentes
- Fuentes
Qué cambia cuando los datos viajan por teléfono
Una llamada es un tratamiento de datos personales como cualquier otro, con dos particularidades. La primera es que ocurre en tiempo real y sin documento escrito: nadie firma nada, y el riesgo de dar o recoger más información de la necesaria es alto. La segunda es que quien atiende suele ser personal administrativo, no sanitario, de modo que el protocolo debe estar pensado para quien contesta el teléfono, no solo para quien pasa consulta.
Por eso conviene separar tres momentos de la llamada: el inicio (identificación e información), el desarrollo (qué datos se piden y se facilitan) y el cierre (qué se anota, dónde y durante cuánto tiempo). Cada uno tiene su propia exigencia del RGPD, y los apartados siguientes siguen ese orden.
Si quieres una visión más amplia de la norma española, tenemos una guía sobre LOPDGDD y datos de salud: derechos y obligaciones.
Base jurídica: ¿hace falta el consentimiento del paciente?
Es la duda más frecuente, y la respuesta tranquiliza. La guía de la AEPD para profesionales del sector sanitario indica que, por lo general, no es necesario solicitar el consentimiento para tratar datos personales en la atención sanitaria cuando el tratamiento se ampara en una base legítima prevista en la ley.
En términos prácticos, cuando un paciente llama para pedir cita, consultar una indicación o avisar de un empeoramiento, el tratamiento de esos datos forma parte de su asistencia. No necesitas una casilla ni un «¿me autoriza?» al principio de cada llamada.
Lo que sí necesitas es no confundir las dos cosas. Que no haya que pedir consentimiento no significa que puedas callar: la transparencia es obligatoria. Y si un tratamiento sale del marco asistencial (por ejemplo, usar los números de teléfono para campañas ajenas a la atención), la base jurídica ya no sería la misma y habría que analizarla aparte.
También existe el consentimiento informado en el sentido clínico, que es otra cosa y tiene su propia regulación. Lo tratamos en consentimiento informado por teléfono.
Qué información dar al paciente durante la llamada
Los artículos 13 y 14 del RGPD obligan a informar al paciente, tal como recoge el Servicio Andaluz de Salud en su guía sobre protección de datos. Según la guía de la AEPD, esa información incluye:
- la identidad y los datos de contacto del responsable y, si existe, del delegado de protección de datos;
- los fines del tratamiento y su base legítima;
- los destinatarios de los datos;
- el plazo de conservación;
- los derechos del paciente.
La misma guía precisa que la información debe ser veraz y fácil de comprender, y que en la atención telefónica puede darse verbalmente. Cuando los datos no proceden del propio paciente (por ejemplo, llama un familiar), hay que informar además de las fuentes y las categorías de datos recogidas.
Un mensaje corto que funciona
Nadie va a escuchar un minuto de texto legal al inicio de cada llamada. La solución habitual es una capa corta de información oral y una segunda capa accesible:
- Mensaje inicial breve: el nombre de la consulta como responsable y el aviso de que se tratan los datos para gestionar su atención (y, si procede, de que la llamada se graba).
- Segunda capa: remitir a la política de privacidad en la web, en el correo de confirmación de cita o en la sala de espera, con el detalle de destinatarios, plazos y derechos.
- Respuesta a demanda: quien atiende debe saber contestar con claridad si el paciente pregunta a quién se comunican sus datos o cuánto tiempo se guardan.
Este último punto es donde más fallan los protocolos: el mensaje existe, pero la persona que contesta no sabe ampliarlo. Un guion de una página, con las respuestas a las cinco preguntas anteriores, lo resuelve.
Grabar llamadas: qué se puede hacer y cómo
Grabar no está prohibido, pero exige método. El Servicio Andaluz de Salud señala que los profesionales sanitarios pueden grabar consultas si siguen un protocolo definido y informan antes al paciente conforme a los artículos 13 y 14 del RGPD.
Hay un matiz jurídico que conviene conocer. Según el análisis publicado en Medicina Clínica, las grabaciones de una conversación hechas por uno de los interlocutores gozan de protección legal en España, incluso sin avisar, y pueden usarse como prueba, a partir de la sentencia 114/1984 del Tribunal Constitucional. Eso explica que un paciente pueda grabar su propia llamada, pero no equivale a que la consulta pueda hacerlo sin avisar: la consulta, además de ser interlocutora, es responsable de un tratamiento de datos de salud y tiene deberes de transparencia.
El mismo artículo recuerda algo que no es jurídico y sí decisivo: la relación médico-paciente se apoya en la confianza, y una grabación sin aviso previo la daña, aunque la ley sea permisiva con las conversaciones internas. Avisar siempre es, además de obligatorio para la consulta, una buena práctica.
Protocolo mínimo para grabar
- Finalidad concreta: formación del personal, resolución de reclamaciones o constancia de instrucciones clínicas. Evita el «por si acaso».
- Aviso previo al inicio de la llamada, antes de que el paciente diga nada sensible.
- Cifrado y acceso restringido: la guía de buenas prácticas para la atención sanitaria no presencial indica que las grabaciones deben estar encriptadas y ser accesibles solo a usuarios autorizados.
- Plazo de conservación definido y borrado cuando se cumpla.
Te detallamos el marco en grabación de llamadas clínicas legal en España.
Identificar a quien llama antes de dar información de salud
El riesgo más cotidiano no es la grabación, es la cesión indebida: alguien que llama diciendo ser el paciente, o un familiar que pregunta por un resultado. La AEPD, en su respuesta sobre información telefónica a pacientes, indica que facilitar información de salud por teléfono debe hacerse mediante protocolos estrictos de identificación del solicitante, para evitar cesiones a terceros no autorizados.
Un protocolo razonable tiene tres reglas:
- Preguntas de verificación que solo el paciente pueda responder y que no revelen datos al preguntarlas (no «¿es usted Ana García, nacida el…?», sino pedir que sea el interlocutor quien las diga).
- Niveles de información: confirmar una cita requiere menos verificación que comunicar un resultado. Los resultados clínicos, mejor reservarlos al personal sanitario.
- Alternativa segura: si la identidad no queda clara, ofrecer una cita o una llamada de vuelta al número que consta en la ficha.
Hemos desarrollado el procedimiento paso a paso en verificación de identidad del paciente por teléfono.
Externalizar el teléfono: la consulta sigue siendo responsable
Contratar un telesecretariado no traslada la responsabilidad. Según la guía de la AEPD, el responsable debe elegir con diligencia un encargado que ofrezca garantías y formalizar por escrito las instrucciones y las medidas de seguridad, incluida la protección de la confidencialidad, la integridad, la disponibilidad y la resiliencia. La propia AEPD ha resuelto casos en los que el proveedor externo actúa como encargado del tratamiento.
Además, la misma guía recuerda que los facultativos de ejercicio individual responden de la custodia y gestión de la documentación asistencial que generan.
Qué pedir a un proveedor de secretariado
| Punto a revisar | Qué debería constar |
|---|---|
| Contrato de encargado | Por escrito, con instrucciones, objeto, duración y tipo de datos |
| Confidencialidad | Compromiso del personal que atiende las llamadas |
| Medidas de seguridad | Acceso por perfiles, cifrado de grabaciones, trazabilidad |
| Subencargados | Quién más accede a los datos y bajo qué condiciones |
| Fin del contrato | Devolución o supresión de los datos y de las grabaciones |
| Protocolos de la consulta | Guion de identificación, qué se puede decir y a quién derivar |
Un buen proveedor no se molesta por estas preguntas: las responde con documentos. Si no puede, es una señal. Más detalle en seguridad y conformidad de datos en el telesecretariado médico y en voz y datos en sanidad: seguridad y cumplimiento.
Inteligencia artificial y transcripción de llamadas
Cada vez más servicios transcriben o resumen llamadas con IA. La AEPD, en su análisis sobre transcripción de voz con IA, recuerda que al elegir estos sistemas o encargados el responsable debe garantizar la seguridad de la voz y de los metadatos conforme al artículo 28 del RGPD, y que la diligencia alcanza tanto a la tecnología como a las garantías adicionales de privacidad y seguridad del encargado.
Antes de activar una función de este tipo, pregúntate:
- ¿Dónde se procesa la voz y quién tiene acceso a ella?
- ¿Está recogida en el contrato de encargo y en la información que das al paciente?
- ¿Qué pasa con la transcripción: se incorpora a la historia clínica o se descarta?
Conservación de datos y derechos del paciente
La guía de la AEPD recuerda que la historia clínica debe conservarse al menos cinco años desde el alta de cada proceso asistencial, según la Ley 41/2002. Lo que se incorpora a esa historia (una indicación clínica dada por teléfono, por ejemplo) sigue ese plazo. Los datos meramente logísticos y las grabaciones deberían tener un plazo propio, más corto y justificado. Tenemos un desarrollo específico en política de retención de grabaciones.
En cuanto a derechos, según la AEPD, el paciente puede dirigirse al responsable para ejercer el acceso y pedir rectificación, supresión, limitación u oposición, y puede reclamar ante la AEPD si se le deniega el acceso. La supresión tiene un límite: la obligación de conservar la historia clínica prevalece, por su función de garantía asistencial y legal.
Para la consulta, eso significa tener un canal claro para recibir estas solicitudes, también por teléfono, y saber a quién pasarlas dentro del equipo.
Lista de revisión para tu consulta
- Mensaje de inicio de llamada con identidad del responsable y, si graba, aviso de grabación.
- Política de privacidad de segunda capa, accesible y actualizada.
- Guion de identificación del interlocutor, con niveles de información.
- Finalidad, plazo y acceso definidos para las grabaciones.
- Contrato de encargado con cada proveedor que toque llamadas o agendas.
- Procedimiento interno para derechos de acceso, rectificación y demás.
- Formación breve para quien contesta el teléfono, repetida cuando cambie el equipo.
Nuestra perspectiva
Tras más de 15 años gestionando llamadas para médicos, especialistas y paramédicos, vemos que los fallos de protección de datos casi nunca vienen de una gran brecha. Vienen de una llamada normal un martes a las once: un familiar que insiste, una secretaria que quiere ayudar y da un dato de más, un mensaje de buzón que alguien escucha en voz alta.
Por eso entendemos el cumplimiento como una cadena, no como un documento: un filtro que cualifica la llamada, una verificación antes de dar información, una agenda sincronizada que solo muestra lo necesario y un responsable de la consulta que sabe quién hace qué. Combinamos personal humano con un asistente de inteligencia artificial disponible 24/7, y tratamos cada herramienta como una pieza que la consulta debe poder explicar a sus pacientes y documentar en su contrato.
Nuestro consejo a quien está pensando en externalizar: pide el protocolo de identificación por escrito antes que cualquier promesa de ahorro de tiempo. Si el protocolo es sólido, el resto es organización.
— Thierry Rudolph
Un secretariado que trabaja con tu protocolo
Si prefieres que otro equipo cubra el teléfono sin perder el control sobre cómo se trata cada llamada, ofrecemos secretariado telefónico a distancia y gestión de citas, con integración con Doctolib, Maiia, LibreRDV y CalenDoc, y tomamos las llamadas siguiendo las instrucciones de tu consulta. Para consultas que necesitan un filtro previo, también disponemos de triaje telefónico médico. Puedes conocer el servicio completo en nuestra página principal y consultarnos las condiciones y tarifas.
Preguntas frecuentes
¿Tengo que pedir consentimiento al paciente al inicio de cada llamada?
Por lo general no, porque el tratamiento de datos en la atención sanitaria suele apoyarse en una base legítima prevista en la ley, según la AEPD. Lo que sí debes hacer es informar al paciente de forma comprensible, y en una llamada puede hacerse de viva voz. Si el uso de los datos excede la asistencia, analiza la base jurídica con tu delegado de protección de datos o un asesor especializado.
¿Puedo grabar las llamadas de mi consulta?
Sí, si sigues un protocolo definido y avisas previamente al paciente conforme a los artículos 13 y 14 del RGPD. Define una finalidad concreta, cifra las grabaciones, limita el acceso y fija un plazo de conservación. Avisar protege además la confianza con el paciente.
¿Qué responsabilidad tengo si un proveedor atiende mis llamadas?
Sigues siendo el responsable del tratamiento. Debes elegir un encargado que ofrezca garantías y formalizar por escrito sus instrucciones y las medidas de seguridad, incluida la confidencialidad. Si el proveedor usa IA para transcribir, la seguridad de la voz y de los metadatos entra en esa revisión.
¿Puedo dar resultados o información clínica por teléfono?
Solo con un protocolo estricto de identificación del solicitante, según la AEPD, para evitar cesiones a terceros. Lo prudente es limitar el personal administrativo a información logística y reservar lo clínico a un profesional sanitario, o citar al paciente si la identidad no está clara.
¿Puede un paciente pedir que borre los datos de sus llamadas?
Puede ejercer el derecho de supresión, pero tiene un límite: lo incorporado a la historia clínica debe conservarse al menos cinco años desde el alta de cada proceso asistencial. Los datos que no formen parte de la historia deberían tener un plazo propio y justificado.
Fuentes
- Guía para profesionales del sector sanitario, AEPD
- Protección de datos y consentimiento, Servicio Andaluz de Salud
- Abordaje jurídico y medicolegal de las grabaciones en la consulta, Medicina Clínica
- Guía de buenas prácticas para la atención sanitaria no presencial
- Información telefónica a un paciente sobre su estado de salud, AEPD
- Resolución AEPD sobre el encargado del tratamiento
- Transcripción de voz con IA, AEPD
- Tus derechos en relación con tus datos de salud, AEPD
Recomendaciones
- LOPDGDD y datos de salud: derechos y obligaciones en España
- Grabación de llamadas clínicas legal en España: qué exige la normativa
- Verificación de identidad del paciente por teléfono: protocolo práctico
- Scripts de atención telefónica médica: guía práctica
