Este artículo no es asesoramiento jurídico y no sustituye a tu asesor. Es la lista de comprobación que usamos nosotros antes de encender nada en una clínica, después de haber apagado un sistema propio justamente por no tener esto cerrado.

Por qué una clínica no es un negocio cualquiera

Los datos de salud son categoría especial en el RGPD (artículo 9). Eso significa que la regla por defecto es la prohibición de tratarlos, y que hay que apoyarse en una excepción concreta. No basta con «el paciente aceptó las cookies».

Y ojo, porque el perímetro es más ancho de lo que parece: el simple hecho de que alguien llame a una clínica dental y pida cita ya revela información sobre su salud. No hace falta que cuente el diagnóstico.

Las cinco cosas que tienen que estar

1. Base jurídica identificada

Normalmente la prestación de asistencia sanitaria o el consentimiento explícito, según para qué. La cita es una cosa; mandarle publicidad de blanqueamiento es otra muy distinta y necesita su propio permiso.

2. Información previa, antes de que hable

Si la llamada la atiende un sistema automático, el paciente tiene que saberlo. Si además se graba, tiene que saberlo antes de empezar a hablar y con una vía para negarse. Una cuña de dos frases al descolgar resuelve esto.

3. Contrato de encargado del tratamiento con cada proveedor

Este es el que más se olvida. La plataforma de voz, el proveedor de telefonía, el modelo de IA, el CRM: cada uno que toque el dato necesita su contrato firmado (artículo 28). Si alguno está fuera de la UE, hay que revisar además las transferencias internacionales.

4. Política de conservación

«Lo guardamos todo por si acaso» no es una política. Hay que decidir cuánto se guardan grabaciones y transcripciones, y que se borren solas al cumplirse el plazo.

5. Registro de actividades actualizado

El nuevo tratamiento tiene que aparecer en el registro. Y si el sistema perfila o toma decisiones sobre pacientes a escala, toca valorar una evaluación de impacto.

La decisión que más simplifica todo esto

Preguntarse: ¿de verdad necesito grabar?

En la mayoría de clínicas, no. El agente necesita saber quién llama, para qué y cuándo puede venir. Con eso ya coge la cita. Si no guardas el audio ni la transcripción literal, y solo conservas el dato estructurado mínimo, el perímetro se reduce muchísimo y el papeleo se vuelve manejable.

Grabar es útil para mejorar el sistema. Pero es una decisión que se toma con el asesor delante, no por defecto porque la plataforma lo trae activado.

La señal de alarma

Si un proveedor te ofrece encender un agente esta misma semana y no te ha preguntado por tu responsable de protección de datos, ni te ha mandado un contrato de encargado, ni te ha preguntado si quieres grabar: no está siendo rápido, está saltándose la parte que te expone a ti.

La multa y la reclamación del paciente van contra la clínica, que es la responsable del tratamiento. El proveedor es encargado. Ese reparto no se negocia.

Preguntas frecuentes