Casi todas las clínicas españolas están obligadas por ley a tener delegado de protección de datos. El artículo 34.1 de la LOPDGDD incluye expresamente a los centros sanitarios obligados a mantener historias clínicas, con la única excepción de los profesionales que ejercen a título individual.
Eso significa que la decisión de contratar un asistente de voz no la toma solo el gerente. Pasa por el DPO. Y el DPO tiene una primera pregunta que decide el resto de la conversación.
Una cita es un dato de salud. No es discutible
El considerando 35 del RGPD incluye entre los datos de salud la información recogida «con ocasión de la inscripción a efectos de asistencia sanitaria». Eso es literalmente lo que ocurre cuando alguien llama para pedir cita.
El Tribunal de Justicia de la Unión Europea reforzó ese criterio en la sentencia del asunto C-21/23, de 4 de octubre de 2024, fijando un umbral deliberadamente bajo: basta con que los datos permitan extraer conclusiones sobre el estado de salud con cierto grado de probabilidad. El caso iba de pedidos de farmacia en una tienda online, no de historias clínicas.
Aplicado a tu clínica: el simple hecho de que un número de teléfono tenga cita en una consulta de traumatología ya es un dato del artículo 9, aunque nadie mencione ningún síntoma. No existe la opción de tratar esto como dato ordinario.
La pregunta: ¿dónde se procesa el audio?
Si el audio de esa llamada se transcribe en un servidor de Estados Unidos, hay una transferencia internacional de datos de categoría especial que hay que justificar, documentar y defender.
Se puede hacer legalmente. El marco de adecuación entre la Unión Europea y Estados Unidos está en vigor: el Tribunal General desestimó el recurso Latombe el 3 de septiembre de 2025. Pero hay recurso de casación ante el Tribunal de Justicia, interpuesto el 31 de octubre de 2025 y todavía pendiente.
Y ahí está el problema. Es el tercer marco de este tipo. Safe Harbour cayó en 2015 con Schrems I. Privacy Shield cayó en 2020 con Schrems II. Los dos cayeron sin periodo transitorio: un martes eran válidos y un miércoles no.
Si tu proveedor de voz depende de que ese marco siga en pie, estás asumiendo un riesgo de continuidad de servicio, no solo un riesgo legal.
Por qué «tiene región europea» no significa lo que parece
Muchos proveedores dicen tener región europea. Conviene leer la letra pequeña, porque hay tres cosas distintas que se confunden a propósito:
- Dónde se almacenan los datos en reposo.
- Dónde se procesan en tiempo real, que puede ser otro sitio.
- Quién puede acceder remotamente desde fuera para soporte, depuración o moderación de contenido.
Hay documentación pública de proveedores conocidos que dice, textualmente, que el almacenamiento ocurre en la región elegida pero que el procesamiento puede no obstante ocurrir fuera de ella. Es una frase perfectamente legal de escribir y perfectamente incompatible con lo que espera oír el DPO de una clínica.
Un ejemplo del mismo fenómeno, en otro contexto: el almacenamiento local de la API de WhatsApp permite elegir región, pero el propio Meta documenta que el dato está fuera de esa región durante el procesamiento inicial, hasta 60 minutos. No es residencia europea pura, y nadie lo dice en la portada.
Las siete preguntas que hay que hacer a cualquier proveedor
- ¿En qué región se procesa el audio y en cuál se almacena? ¿Son la misma región?
- ¿Usáis grabaciones o transcripciones para entrenar modelos? ¿Está prohibido por contrato o solo por política?
- ¿Cuál es la lista completa de subencargados y con cuánta antelación avisáis de un cambio?
- ¿Puede vuestro sistema acceder a la historia clínica del paciente? ¿Está bloqueado técnicamente o solo prohibido en el contrato?
- ¿Cómo garantizáis que los datos de mi clínica no se mezclan con los de otra?
- ¿Me entregáis la evaluación de impacto y el contrato de encargado, o me los tengo que hacer yo?
- ¿Grabáis las llamadas por defecto? ¿Puedo desactivarlo?
La sexta suele ser la reveladora. La evaluación de impacto es obligatoria en este caso, porque hay categorías especiales de datos tratadas a gran escala, y corresponde legalmente a la clínica. Pero el único que conoce la arquitectura es el proveedor. Si te la deja a ti, te está dejando el trabajo y el riesgo.
La grabación es el punto más frágil
Grabar la llamada parece inofensivo y es lo que más se rompe en una inspección.
La base jurídica del recordatorio o de la gestión de la cita es la asistencia sanitaria, artículo 9.2.h del RGPD. La base jurídica de guardar el audio es otra cosa distinta, y hay que justificarla aparte: control de calidad, prueba en caso de reclamación, mejora del servicio. Cada una tiene un plazo de conservación distinto y ninguna aguanta un «lo guardamos indefinidamente por si acaso».
La recomendación práctica es la más aburrida: no grabar por defecto. Guardar la transcripción del tramo funcional, borrar el audio, y activar la grabación solo si la clínica la pide y la documenta.
Lo que ya está en vigor y casi nadie ha implementado
Desde el 2 de agosto de 2026 se aplica el artículo 50 del Reglamento europeo de inteligencia artificial. El paquete de simplificación que retrasó las obligaciones de alto riesgo hasta diciembre de 2027 no retrasó este artículo.
En una llamada telefónica la obligación se traduce en algo muy concreto: el asistente tiene que decir que es un asistente con inteligencia artificial en el primer turno, antes de pedir ningún dato. No vale «le atiende Laura», ni ponerlo solo en la web de la clínica.
Aquí está el detalle de qué obliga y qué no obliga el Reglamento de IA a una clínica.
Y si vendes o atiendes fuera de España
México cambió su ley entera en marzo de 2025. Colombia tiene lista de países adecuados y España está en ella. Chile estrena autoridad de control en diciembre de 2026. Estados Unidos te convierte en business associate con contrato obligatorio.
Lo hemos resumido país por país aquí.
Y aquí está cómo lo resolvemos nosotros, con la lista de subencargados y las regiones concretas.