Datos de salud por teléfono: lo que una recepción no debe decir ni preguntar

La guía práctica del Conseil national de l'Ordre des médecins (el Consejo Nacional de la Orden de Médicos de Francia, CNOM) y de la CNIL (la autoridad francesa de protección de datos), edición de junio de 2018, recuerda que incluso el simple conocimiento de una consulta con un especialista puede dar una indicación sobre el estado de salud de la persona, por ejemplo cuando consulta regularmente a un cardiólogo. Una llamada rutinaria para cambiar una cita no es, por tanto, inocua.

El artículo L1110-4 del Código de Salud Pública francés (Code de la santé publique) garantiza a toda persona atendida el respeto de su vida privada y del secreto de las informaciones que le conciernen. Salvo excepción expresamente prevista por la ley, este secreto abarca todas las informaciones relativas a la persona que hayan llegado a conocimiento del profesional, de cualquier miembro del personal de los establecimientos, servicios u organismos de que se trate y de cualquier otra persona en relación con ellos por razón de sus actividades. La recepción actúa por cuenta del profesional: la lleve una persona o una herramienta, aplica las consignas que el profesional ha fijado.

Un cónyuge, un empleador, una aseguradora o un allegado que pregunta «¿La señora X es paciente suya?» busca una información sobre la persona. Responder, tanto con un sí como con un no, comunica un dato que le concierne. La consigna razonable es una respuesta neutra, por ejemplo: «No puedo ni confirmarlo ni desmentirlo; la persona interesada puede contactarnos directamente». Las posibles excepciones, como un allegado designado por el paciente, corresponden al profesional y no a la recepción.

Para los médicos de Francia, el Código de Deontología (Code de déontologie, artículo R4127-4) precisa que el secreto abarca todo lo que ha llegado a su conocimiento en el ejercicio de su profesión, incluido lo que han visto, oído o comprendido, y el artículo R4127-72 les exige velar por que las personas que los asisten estén instruidas en sus obligaciones en materia de secreto profesional. Las consignas escritas y la formación del equipo son su traducción práctica. Las demás profesiones sanitarias se rigen por sus propias normas deontológicas.

Distinga dos tipos de solicitudes. Las preguntas generales (horarios, dirección, acceso, documentos que hay que llevar) no se refieren a nadie y no requieren identificación. Las solicitudes que conciernen a un expediente, una cita o un resultado afectan a una persona concreta: antes de responder, la recepción se asegura de que quien llama es la persona interesada o está autorizado para actuar en su nombre, según el procedimiento que el profesional haya definido.

El RGPD (artículo 5, apartado 1, letra f) exige que los datos se traten de forma que se garantice una seguridad adecuada, incluida la protección contra el tratamiento no autorizado o ilícito. Dar una información a la persona equivocada es precisamente lo que este principio busca evitar. En caso de duda, la respuesta prudente es proponer que el profesional devuelva la llamada en lugar de responder en el acto.

Los datos relativos a la salud forman parte de las categorías especiales del artículo 9 del RGPD: su tratamiento está prohibido en principio, salvo las excepciones del apartado 2, por ejemplo el consentimiento explícito o las necesidades de la atención sanitaria y de la medicina, cuando los datos son tratados por un profesional sujeto al secreto profesional o bajo su responsabilidad (apartado 2, letra h, y apartado 3). A ello se suma el principio de minimización del artículo 5, apartado 1, letra c: datos adecuados, pertinentes y limitados a lo necesario. La guía del CNOM y la CNIL precisa que, si la consulta no requiere preparación ni material específico, no hace falta consignar el motivo, y, para el expediente del paciente, que es legítimo recoger el número de la seguridad social únicamente para emitir las hojas de asistencia (feuilles de soins) y para la transmisión electrónica a las cajas del seguro de enfermedad.

En la práctica, la recepción no pide diagnóstico, síntomas detallados ni antecedentes, y no da consejo médico. Si quien llama se confía por iniciativa propia, la nota que se transmite conserva solo lo mínimo útil para dar curso a la solicitud.

El artículo L1111-8 del Código de Salud Pública francés regula el alojamiento de los datos de salud de carácter personal recogidos con ocasión de actividades de prevención, diagnóstico, atención o seguimiento social y médico-social: el alojador digital debe disponer de un certificado de conformidad expedido por un organismo certificador acreditado (certificación HDS, de hébergeur de données de santé, «alojador de datos de salud»), y la prestación es objeto de un contrato. Antes de confiar grabaciones, transcripciones, resúmenes o una agenda de citas a un proveedor, sea cual sea, pida la prueba de la certificación HDS de quien aloja los datos, el propio proveedor o su subcontratista, y haga que su jurista o su delegado de protección de datos comprueben si su uso entra en el ámbito de este régimen.

La guía del CNOM y la CNIL añade que el proveedor de un servicio de atención telefónica actúa como encargado del tratamiento, en el marco de un contrato de subcontratación, y que el profesional sigue siendo el responsable del tratamiento. Las demás obligaciones del secretariado médico a distancia se tratan en un artículo específico de este blog.

Esta vigilancia vale también para un agente de voz. Alyas responde a partir de la información que usted le facilita, anuncia desde el inicio de la llamada que es una IA y que la conversación se graba y, cuando no sabe, lo dice y propone transmitir la solicitud. Para un uso relacionado con la salud, aplíquele, como a cualquier proveedor, las comprobaciones descritas arriba. La prueba es gratuita durante 10 días, sin tarjeta.