RGPD en llamadas telefónicas

Una llamada de un cliente a un negocio genera datos personales casi por definición: su número, su nombre, el motivo de la consulta, a veces datos de salud (en una clínica) o financieros. Tratar esos datos —anotarlos, grabarlos, transcribirlos, guardarlos en un CRM— entra de lleno en el ámbito del RGPD, con independencia de que el tratamiento lo haga una persona o un sistema automático.

Las obligaciones centrales son tres. Informar: el interlocutor debe saber quién trata sus datos, para qué y qué derechos tiene; si hay grabación de llamadas, debe comunicarse al inicio, típicamente con una locución. Base legal: la más habitual en atención comercial es la ejecución de un contrato o medidas precontractuales (el cliente llama para contratar o pedir cita) o el interés legítimo, documentado. Limitación: conservar los datos solo el tiempo necesario para la finalidad declarada.

Cuando la atención la presta un tercero —una recepción externalizada o un servicio de recepcionista IA—, ese proveedor actúa como encargado del tratamiento y debe firmarse un contrato de encargo (artículo 28 del RGPD) que fije qué datos trata, para qué y con qué medidas de seguridad. El responsable sigue siendo el negocio titular del número.

Las sanciones por incumplimiento pueden ser elevadas (hasta 20 millones de euros o el 4 % de la facturación global anual en los casos más graves, según el artículo 83 del RGPD), pero en la práctica lo exigible para un negocio pequeño es razonable: informar con claridad, no grabar sin avisar, firmar el contrato de encargo con sus proveedores y atender las solicitudes de acceso o supresión. La autoridad de control en España es la AEPD.