1. Qué dice el artículo 9 del RGPD
1.1 El art. 9 del RGPD prohíbe, con carácter general, el tratamiento de datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos para identificar de forma unívoca a una persona física, los datos relativos a la salud, los datos relativos a la vida sexual o la orientación sexual de una persona.
1.2 En el contexto de un servicio de atención telefónica, los datos de salud son los más habituales: un paciente que llama a una clínica para pedir cita ya está revelando, por el hecho de llamar, que tiene o puede tener un problema de salud. Eso convierte esa llamada en un tratamiento de datos de categoría especial.
1.3 El incumplimiento del art. 9 es una de las infracciones más graves del RGPD: las multas pueden alcanzar el 4 % de la facturación anual mundial o 20 millones de euros, lo que sea mayor.
2. Cuándo aplica a tu negocio
2.1 El art. 9 aplica si tu negocio recibe o realiza llamadas en las que el interlocutor comparte o puede compartir información sobre su estado de salud. Ejemplos típicos:
- Clínicas médicas, dentales, veterinarias y centros de estética médica.
- Consultas de psicólogos, psiquiatras, fisioterapeutas y nutricionistas.
- Farmacias que toman pedidos de medicamentos con receta.
- Centros de atención a personas mayores o con discapacidad.
- Laboratorios de análisis clínicos.
- Seguros médicos y mutuas de salud.
2.2 Si tu negocio no está en ninguno de esos sectores y las llamadas no tratan temas de salud, el art. 9 probablemente no aplica y el Modo Clínica de Asístelo no es necesario para tu caso.
3. Bases jurídicas permitidas para tratar datos de salud
3.1 El art. 9.2 enumera las excepciones a la prohibición general. Las más relevantes para negocios que usan Asístelo son:
- 3.1 a) Consentimiento explícito: el interesado da su consentimiento de forma libre, específica, informada e inequívoca para el tratamiento de esos datos con una o varias finalidades concretas. Este es el mecanismo que activa el Modo Clínica de Asístelo (ver sección 4).
- 3.1 b) Prestación de asistencia sanitaria: el tratamiento es necesario para fines de medicina preventiva o laboral, diagnóstico médico, prestación de asistencia sanitaria y gestión de los sistemas de salud. En este caso, el consentimiento verbal sigue siendo recomendable como capa adicional de seguridad.
- 3.1 c) Interés vital del interesado: aplica en situaciones de emergencia donde el interesado no puede dar su consentimiento. Es el menos habitual en una atención telefónica ordinaria.
3.2 El consentimiento del art. 9 debe ser explícito: no basta con que el usuario no proteste. Debe existir una acción afirmativa clara del interesado. Por eso Asístelo recoge la respuesta verbal de la persona y la registra como evidencia.
4. Cómo ayuda Asístelo: el Modo Clínica
4.1 Asístelo incluye el Modo Clínica, un mecanismo diseñado específicamente para cumplir el art. 9 del RGPD en llamadas telefónicas. Cuando está activado, el asistente de voz:
- Solicita el consentimiento verbal explícito antes de atender cualquier solicitud relacionada con la salud.
- Informa al llamante de que la conversación puede tratar datos de salud y de que será grabada y tratada conforme al RGPD.
- Si el llamante dice que no da su consentimiento, el bot ofrece alternativas (dejar un mensaje, llamar más tarde, hablar con un humano) sin continuar con datos de salud.
- Registra la respuesta del llamante (consentimiento dado o denegado) como evidencia en los registros de la llamada, cumpliendo el principio de responsabilidad proactiva (accountability) del RGPD.
4.2 El Modo Clínica se activa desde el panel de configuración del Cerebro (sección Voz → Modo Clínica). Solo debe activarse si el negocio trata datos de salud. Activarlo en un negocio que no trata datos de salud añade fricción innecesaria a las llamadas.
5. Obligaciones adicionales para negocios del sector salud
5.1 El Modo Clínica cubre el consentimiento verbal, pero el cumplimiento del art. 9 del RGPD para negocios del sector salud implica también:
- 5.1 a) Contrato de encargo del tratamiento (DPA): Asístelo actúa como encargado del tratamiento al gestionar las llamadas en nombre del cliente. El RGPD (art. 28) exige un DPA entre ambas partes. Asístelo firma este contrato con todos sus clientes del sector salud. Si no lo has firmado aún, escríbenos a info@asistelotodo.com.
- 5.1 b) Registro de actividades de tratamiento: el responsable del tratamiento (tu negocio) debe mantener un registro de las actividades de tratamiento que incluya la base jurídica, las categorías de datos, los destinatarios y los plazos de conservación (art. 30 RGPD).
- 5.1 c) Evaluación de impacto (EIPD): si el tratamiento de datos de salud es a gran escala, puede ser obligatorio realizar una Evaluación de Impacto en la Protección de Datos antes de comenzar el tratamiento (art. 35 RGPD).
- 5.1 d) Minimización de datos: solo se deben tratar los datos estrictamente necesarios para la finalidad. Las transcripciones de llamadas que contengan datos de salud deben conservarse el mínimo tiempo posible y eliminarse cuando ya no sean necesarias.
5.2 Esta página es informativa y no constituye asesoramiento jurídico. Para una valoración específica de tu situación, te recomendamos consultar con un asesor en protección de datos (DPO) o con un abogado especializado en RGPD.
6. Preguntas frecuentes
P: ¿Tengo que activar el Modo Clínica si soy fisioterapeuta?
Sí. La fisioterapia implica tratar datos de salud (lesiones, diagnósticos, historial de tratamiento). Activa el Modo Clínica para que el asistente solicite consentimiento verbal al inicio de cada llamada.
P: ¿Y si solo gestiono citas sin hablar de la lesión?
El hecho de llamar a una clínica de fisioterapia ya revela implícitamente un dato de salud (el llamante tiene o puede tener una lesión o dolencia). La AEPD (Agencia Española de Protección de Datos) ha interpretado que la mera asociación entre persona y especialidad médica puede ser suficiente para activar la protección del art. 9. En caso de duda, activa el Modo Clínica.
P: ¿La grabación de llamadas requiere siempre el art. 9?
No en todos los casos. Si la grabación es de una llamada de reserva de mesa en un restaurante o de consulta de horarios de una tienda, el art. 9 no aplica. Aplica cuando el contenido de la llamada trata o puede tratar datos de las categorías especiales del art. 9.
P: ¿Puedo ver las grabaciones de las llamadas de mis pacientes?
Sí. Desde el panel de Asístelo (sección Llamadas) puedes acceder a las transcripciones. Las grabaciones de audio y transcripciones se almacenan cifradas con AES-256 y solo son accesibles para ti y las personas de tu equipo que hayas autorizado. Para el sector salud, aplican plazos de conservación específicos que debes revisar con tu asesor legal.
7. Contacto
Si tienes preguntas sobre cómo Asístelo cumple el art. 9 del RGPD o necesitas el contrato DPA para tu negocio del sector salud, escríbenos a info@asistelotodo.com. Atendemos en un plazo de 2 días hábiles.
Para consultas con la autoridad de control española, puedes dirigirte a la Agencia Española de Protección de Datos (AEPD).