BPO
Gestión administrativa sanitaria
Soporte administrativo sanitario con el régimen reforzado que exigen los datos de salud, y sin inventar obligaciones que no existen.
En resumen: programación de citas, verificación de coberturas, facturación y atención al paciente para centros médicos y aseguradoras. Los datos de salud son categoría especial del artículo 9 del RGPD y el personal que accede queda sujeto al deber de secreto previsto en la Ley 41/2002.
El trabajo administrativo sanitario es ordinario en su contenido y extraordinario en su régimen: programar una cita no es complejo, pero el simple hecho de que una persona figure registrada para recibir asistencia ya constituye dato de salud.
Eso cambia el diseño del servicio desde el principio, y conviene decir con la misma claridad qué exige la norma y qué no, porque en este ámbito circulan bastantes obligaciones inventadas.
Qué incluye
Soporte administrativo, nunca clínico.
- Programación, confirmación y reprogramación de citas
- Verificación de coberturas y autorizaciones con aseguradoras
- Facturación y gestión administrativa de expedientes
- Atención al paciente en español y otros idiomas para cuestiones administrativas
- Gestión de listas de espera y recordatorios de cita
- Acceso limitado por rol a los datos estrictamente necesarios para cada función
Qué no incluye
La frontera con la actividad clínica es absoluta.
- Cualquier forma de asesoramiento, orientación o triaje clínico
- Interpretación de resultados, informes o historias clínicas
- Decisiones sobre tratamiento, prioridad clínica o derivación médica
- Acceso a datos clínicos que excedan lo necesario para la función administrativa
- Asesoramiento jurídico sobre sus obligaciones como responsable del tratamiento
Desde dónde se presta
Habitualmente desde España o desde Polonia, dentro del Espacio Económico Europeo. Es la recomendación por defecto en este servicio, no porque exista una obligación legal de localización, sino porque reduce la complejidad del análisis de transferencia y suele ser lo que esperan sus propios pacientes y sus aseguradoras.
Prestarlo desde el corredor con Latinoamérica es jurídicamente posible con cláusulas contractuales tipo y una evaluación de impacto de la transferencia, dado que se trata de categoría especial. Conviene valorarlo caso por caso y no asumirlo.
Datos de salud: qué exige realmente la normativa
Los datos de salud son categoría especial conforme al artículo 9 del RGPD, y su tratamiento está prohibido salvo que concurra una de las excepciones del apartado 2. La gestión de los sistemas y servicios de asistencia sanitaria está expresamente contemplada en el artículo 9.2.h).
El apartado 9.3 añade un requisito que afecta directamente a un equipo externo: el tratamiento debe realizarse por un profesional sujeto a secreto o por otra persona sujeta también a obligación de secreto en virtud del Derecho de los Estados miembros o de las normas de los organismos nacionales competentes. En España ese anclaje existe: el artículo 16.6 de la Ley 41/2002 somete al deber de secreto a todo el personal que accede a los datos de la historia clínica en el ejercicio de sus funciones, y el artículo 16.4 limita el acceso del personal de gestión y administración a los datos relacionados con sus propias funciones.
Sobre localización del dato, conviene ser explícito porque es donde más se exagera: no existe en el Derecho español una obligación de alojar datos de salud en España ni en la Unión Europea. Ni la LOPDGDD, ni la Ley 41/2002, ni el Real Decreto 311/2022 establecen tal requisito. Lo aplicable es el Capítulo V del RGPD sobre transferencias internacionales. Recomendamos entrega dentro del Espacio Económico Europeo por prudencia operativa y por expectativa del paciente, y preferimos decir que es una recomendación nuestra en lugar de presentarla como una exigencia legal.
Sobre conservación, la Ley 41/2002 establece que la documentación clínica se conserve como mínimo cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas fijan plazos superiores para determinados tipos de documento, de modo que el plazo aplicable a su centro conviene confirmarlo con sus asesores.
Sobre evaluación de impacto y delegado de protección de datos: la evaluación es obligatoria para tratamientos a gran escala de categorías especiales y es una obligación del responsable, en la que el encargado debe asistir. La designación de delegado es obligatoria para los centros sanitarios legalmente obligados a conservar historias clínicas, y también puede serlo para un prestador en nombre propio según su actividad principal.
Esto es información general sobre la normativa y no asesoramiento jurídico. Trabajamos junto a sus asesores.
Preguntas frecuentes
¿Obliga la ley española a alojar los datos de salud en España o en la Unión Europea?
No. No existe esa obligación en la LOPDGDD, en la Ley 41/2002 ni en el Esquema Nacional de Seguridad. Lo aplicable es el Capítulo V del RGPD. Nosotros recomendamos entrega dentro del Espacio Económico Europeo, y lo decimos como recomendación nuestra, no como exigencia legal.
¿Puede personal administrativo acceder a datos de salud?
Sí, dentro de límites. El artículo 9.3 del RGPD admite personal sujeto a obligación de secreto, y la Ley 41/2002 somete al deber de secreto a todo el personal que accede a la historia clínica en el ejercicio de sus funciones, limitando al personal de gestión el acceso a los datos relacionados con sus funciones.
¿Dan algún tipo de orientación clínica?
Nunca, en ninguna circunstancia. El servicio es exclusivamente administrativo. Cualquier consulta de contenido clínico se deriva al personal sanitario del centro, y esa regla forma parte de la formación inicial del equipo.
¿Cuánto tiempo hay que conservar la documentación clínica?
La Ley 41/2002 fija un mínimo de cinco años desde el alta de cada proceso asistencial. Algunas comunidades autónomas establecen plazos mayores para ciertos documentos, así que el plazo concreto de su centro conviene confirmarlo con sus asesores.
¿Necesitamos una evaluación de impacto?
Es obligatoria para tratamientos a gran escala de categorías especiales, y es una obligación suya como responsable. Nuestro papel es asistirle con la información sobre el tratamiento que realizamos por su cuenta.
¿Hace falta consentimiento del paciente para este tratamiento?
No necesariamente. El artículo 9.2.h) contempla la gestión de servicios de asistencia sanitaria como excepción. Conviene añadir que el artículo 9.1 de la LOPDGDD, que impide basar ciertos tratamientos únicamente en el consentimiento, no incluye los datos de salud en su lista.
¿Necesita soporte administrativo sanitario?
Cuéntenos el volumen de citas y el tipo de gestión, y valoramos primero el modelo de entrega y el tratamiento de datos.