Esta guía explica los principios, no sustituye a un abogado. Las reglas exactas dependen del país en el que se encuentra la empresa y las personas llamadas; compruébenlas para vuestro caso.
Quién responde por los datos
En una llamada realizada por un agente vocal hay dos roles:
- el responsable es la empresa que decide por qué y cómo se realizan las llamadas, por ejemplo la clínica o la tienda (RGPD, art. 4 pct. 7);
- el encargado es la plataforma que ejecuta al agente en nombre de la empresa (art. 4 pct. 8).
La relación entre ellos se establece en un contrato de tratamiento de datos, con el contenido exigido por el artículo 28: objeto y duración, tipos de datos, instrucciones, confidencialidad, seguridad, subencargados, supresión al final y derecho de verificación.
Las obligaciones de información y la elección de la base jurídica siguen correspondiendo al responsable. La plataforma le ayuda, pero no las asume.
Base para la grabación
La grabación de una llamada es tratamiento de datos y necesita una base del artículo 6 apartado 1. En la práctica se utilizan:
- la ejecución de un contrato (lit. b), cuando la llamada se refiere a un pedido o a un servicio solicitado por la persona;
- una obligación legal (lit. c), cuando una ley exige conservar las conversaciones;
- el interés legítimo (lit. f), por ejemplo la prueba de una confirmación, tras una evaluación escrita que muestra que los derechos de la persona no prevalecen;
- el consentimiento (lit. a), cuando ningún otro fundamento encaja. Debe poder retirarse tan fácilmente como se dio (art. 7 ap. 3).
Algunas jurisdicciones, incluso fuera de la Unión Europea, exigen el consentimiento de todos los participantes para grabar una conversación, independientemente de la base de protección de datos. Si llamas a varios países, verifica cada país.
El aviso: qué, cuándo, cómo
El artículo 13 exige que la persona sea informada en el momento en que se recopilan los datos. Para una llamada, eso significa antes de que empiece la grabación, no al final y no en un correo enviado al día siguiente.
Un aviso oral no puede incluir toda la política de privacidad. Se utiliza la información por niveles:
- al inicio de la llamada: quién es el operador, que la llamada se graba y con qué fin, dónde se encuentran los detalles;
- en la política de privacidad: la base jurídica, los destinatarios, las transferencias, el plazo de conservación, los derechos y el derecho a presentar una reclamación (art. 13 alin. 1 y 2).
El aviso debe ser breve, claro y en el idioma de la conversación.
Di que habla un agente IA
El Reglamento (UE) 2024/1689 sobre inteligencia artificial prevé, en el artículo 50 apartado (1), que los sistemas diseñados para interactuar directamente con personas deben concebirse de modo que las personas sepan que interactúan con un sistema IA, salvo que sea evidente. El calendario de aplicación está establecido en el artículo 113; consúltalo para la fecha en que lanzas.
Incluso donde no es obligatorio, decir desde el principio que habla un asistente virtual evita la sensación de engaño y las reclamaciones posteriores.
Las llamadas salientes y el derecho de oposición
Cuando el agente llama para marketing directo, la persona puede oponerse en cualquier momento, y los datos ya no se usan para este fin (art. 21 apartados 2 y 3). El derecho debe ponerse explícitamente en conocimiento de la persona a más tardar en la primera comunicación, por separado de otra información (art. 21 apartado 4).
Además, muchos países tienen sus propias normas para las llamadas comerciales no solicitadas, a veces con consentimiento previo obligatorio. Para un agente, eso significa:
- listas solo con personas para las que tienes base;
- una frase en el guion que acepta la negativa sin insistir;
- retirar el número de las siguientes campañas después de una negativa.
Decisiones automáticas
La persona tiene derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o la afecte de modo similar de manera significativa (art. 22). Un agente puede recopilar información para un crédito, una póliza o una contratación; la decisión la toma una persona, y la persona puede pedir su intervención.
Cuánto conservan las grabaciones
Los datos se conservan solo el tiempo necesario para la finalidad (art. 5 apartado 1 letra e). Establece por escrito un plazo para cada tipo de datos: la grabación de audio, la transcripción, el resumen, los campos extraídos. No es obligatorio que sea el mismo; una transcripción puede ser útil más tiempo que el sonido.
La voz como dato biométrico
Una grabación de voz no se convierte automáticamente en un dato biométrico. Lo es cuando se procesa técnicamente para identificar o autenticar de manera única a una persona (art. 4 punto 14), en cuyo caso entra en el régimen de las categorías especiales (art. 9). Si usas la voz para reconocer al llamante, trátala como tal.
La evaluación de impacto
El artículo 35 exige una evaluación de impacto antes de los tratamientos de alto riesgo, en especial la evaluación sistemática de personas basada en el tratamiento automatizado, el tratamiento a gran escala de categorías especiales de datos o la vigilancia sistemática a gran escala de una zona de acceso público. Un agente para una clínica o para decisiones financieras es un candidato serio.
Transferencias, seguridad, incidentes
- Transferencias: si los proveedores de la plataforma están fuera del Espacio Económico Europeo, pedid el mecanismo de transferencia, normalmente las cláusulas contractuales tipo de la Comisión Europea (art. 46 ap. 2 lit. c).
- Seguridad: medidas técnicas y organizativas adecuadas al riesgo (art. 32): acceso limitado a las grabaciones, registros, cifrado en tránsito.
- Incidentes: el operador notificará a la autoridad de control sin dilaciones indebidas y, si es posible, en un plazo máximo de 72 horas desde que tenga conocimiento de la violación, salvo que esta no presente un riesgo para las personas (art. 33).
Cómo funciona Kallina
- Anuncio en la telefonía. Desde el 9 de septiembre de 2026, en las llamadas que pasan por el servidor de telefonía Kallina, el aviso de grabación se dice desde el servidor, antes de iniciar la grabación, no desde el texto de cada agente. Así no depende de quién escribió el сценарion.
- Prueba en la llamada. El servidor registra en cada llamada que el aviso se ha dicho y en qué idioma.
- Los roles. Para las llamadas de vuestro agente, vosotros sois el operador; Kallina es la persona encargada, sobre la base de un acuerdo de tratamiento.
- Los proveedores. La lista de quienes tratan datos para el servicio es pública, en la página de subprocesadores.
- Las solicitudes de las personas. La exportación o eliminación de los datos vinculados a un número de teléfono se hacen a vuestra solicitud, a través de nuestro equipo.
Lista de verificación
- Habéis establecido quién es el responsable del tratamiento y tenéis firmado el contrato de tratamiento.
- Tienes una base escrita para cada tipo de llamada.
- El anuncio se escucha antes de la grabación, en el idioma de la conversación.
- La persona se entera de que habla con un agente de IA.
- La política de privacidad contiene todo lo que exige el artículo 13.
- El guion acepta la negativa y la oposición, y los números se eliminan de las listas.
- Ninguna decisión con efecto jurídico la toma solo el agente.
- Existen plazos de conservación por tipos de datos.
- ¿Has comprobado si necesitas una evaluación de impacto?
- Sabes dónde están los proveedores y por qué mecanismo se transfieren los datos.