Secretaria médica a distancia: qué comprobar antes de delegar el secretariado de la consulta

El artículo L1110-4 del Código de Salud Pública francés (Code de la santé publique) establece el derecho de toda persona atendida al respeto de su vida privada y al secreto de la información que le concierne. Según el texto, este secreto abarca toda la información que haya llegado a conocimiento del profesional, de cualquier miembro del personal de los establecimientos, servicios u organismos afectados y de cualquier otra persona relacionada con ellos por sus actividades, y se impone a todos los profesionales que intervienen en el sistema de salud. Una secretaria a distancia oye el nombre de un paciente, el motivo de su consulta o el nombre de su médico, aunque no trabaje en sus instalaciones: la cuestión de si está sujeta al secreto se plantea, por tanto, de lleno.

El código deontológico médico francés va más allá en el caso del médico. Su artículo 72 (artículo R4127-72 del Código de Salud Pública) le obliga a velar por que las personas que le asisten conozcan sus obligaciones en materia de secreto profesional y las cumplan. El comentario publicado por el Conseil national de l'Ordre des médecins (el colegio nacional de médicos de Francia) cita expresamente a las secretarias entre las personas sujetas al secreto profesional y recuerda que el médico es responsable de cualquier indiscreción procedente de su entorno.

En la práctica, pregunte al proveedor cómo forma a sus operadoras en el secreto profesional, si firman un compromiso de confidencialidad y quién, en su empresa, puede escuchar o leer los intercambios con sus pacientes.

Los datos relativos a la salud forman parte de las categorías especiales de datos cuyo tratamiento prohíbe el artículo 9 del RGPD, salvo en las excepciones que enumera de forma taxativa. Cuando un secretariado externo los trata por cuenta de usted, el artículo 28 exige recurrir únicamente a un encargado del tratamiento que ofrezca garantías suficientes y regular la relación mediante un contrato por escrito.

Este contrato debe definir, entre otras cosas, el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados. Establece que el encargado solo trata los datos siguiendo instrucciones documentadas, que las personas autorizadas están sujetas a confidencialidad, que no se recurre a otro encargado sin autorización previa por escrito y que, al término del servicio, los datos se suprimen o se devuelven, según lo que usted elija.

Antes de firmar, revise estas cláusulas una por una. Pida también la lista de subencargados (telefonía, alojamiento, herramienta de agenda) y el país donde se almacenan los datos.

En Francia, el artículo L1111-8 del Código de Salud Pública regula el alojamiento de los datos de salud. La plataforma G_NIUS, editada por la Délégation au numérique en santé (la delegación francesa de salud digital) y dinamizada por la Agence du numérique en santé (la agencia francesa de salud digital), resume la norma: toda persona que aloje datos de salud por cuenta de quienes los producen o recogen, o por cuenta del paciente, debe garantizar su seguridad. Los datos afectados son los recogidos con ocasión de actividades de prevención, diagnóstico, atención o seguimiento social y sociosanitario (artículo R1111-8-8).

El artículo R1111-9 define la actividad de alojamiento como el hecho de asegurar, por cuenta del responsable del tratamiento, la totalidad o parte de seis actividades: puesta a disposición de las instalaciones físicas, de la infraestructura material, de la infraestructura virtual y de la plataforma de alojamiento de aplicaciones; administración y explotación del sistema de información que contiene los datos de salud; y copia de seguridad de esos datos. El proveedor de alojamiento que realiza estas actividades en soporte digital debe disponer de un certificado HDS (Hébergeur de données de santé, la certificación francesa de alojamiento de datos de salud), expedido por un organismo de certificación.

La pregunta que hay que hacer al proveedor es, por tanto, precisa: ¿dónde se almacenan las grabaciones de llamadas, las notas, los mensajes y la agenda, quién los almacena y ese proveedor de alojamiento está certificado HDS para las actividades en cuestión? Si el análisis no está claro, el servicio «Mon diagnostic réglementaire» (autodiagnóstico normativo) de G_NIUS o su delegado de protección de datos pueden ayudarle a calificar la situación.

El artículo 5 del RGPD exige que los datos se limiten a lo necesario en relación con la finalidad: es el principio de minimización. En un secretariado telefónico, la finalidad es esencialmente administrativa: identificar al paciente, poder contactarle, proponerle una cita y transmitirle a usted su solicitud.

Redacte una consigna que fije lo que el secretariado pregunta (identidad, teléfono, tipo de cita, primera consulta o seguimiento) y lo que no pregunta, como el detalle de los síntomas más allá de lo necesario para orientar. Fije también lo que no comunica por teléfono: resultados de pruebas, información médica, presencia de un paciente en la consulta. Esas respuestas corresponden al profesional sanitario.

Un secretariado no evalúa una urgencia. Service-public.fr, el portal oficial de información de la Administración francesa, recuerda los números que deben marcarse en Francia: el 15 (Samu, el servicio francés de urgencias médicas) para una urgencia médica, el 112, número de emergencia europeo, y el 114 para las personas sordas, con discapacidad auditiva o afásicas, accesible por aplicación, internet o SMS. El 15 también da acceso al servicio de acceso a la atención (SAS, service d'accès aux soins) cuando el médico de cabecera (médecin traitant) no está disponible.

Redacte con el proveedor la lista de situaciones que activan la derivación inmediata al 15 y la frase exacta que debe pronunciarse. Esa lista depende de su criterio médico, no del secretariado. Prevea por último un registro sistemático de estas llamadas para poder revisarlas.

Las mismas preguntas se aplican a un agente de voz: quién trata los datos, dónde se almacenan, qué recoge el agente, qué responde y cómo orienta una urgencia. Alyas contesta al teléfono las 24 horas a partir de la información que usted le facilita, anuncia al inicio de la llamada que es una IA y que la llamada se graba, puede fijar citas una vez conectado a Google Calendar o a Cal.com, y deja una transcripción y un resumen de cada llamada en su área de cliente. Las grabaciones, transcripciones y resúmenes se alojan en la Unión Europea, pero Alyas no ofrece alojamiento certificado HDS: es un criterio que debe integrar en su propio análisis antes de cualquier uso por parte de una consulta.