¿Qué es el RGPD?

Qué abarca

El Reglamento General de Protección de Datos se aplica al tratamiento de datos personales. El artículo 4(1) define los datos personales como toda información sobre una persona física identificada o identificable, lo que incluye un nombre, un número de identificación, datos de localización o un identificador en línea. Una grabación de voz vinculada a un número de teléfono o a una cuenta, y una transcripción que menciona un nombre, entran ambas en esa definición.

El artículo 3 fija el alcance. Se aplica al tratamiento en el contexto de las actividades de un establecimiento de un responsable o encargado en la UE, con independencia del lugar donde se realice el tratamiento. También se aplica a un responsable o encargado fuera de la UE cuando el tratamiento se relaciona con la oferta de bienes o servicios a personas en la UE, o con el control de su comportamiento allí. Una empresa fuera de Europa que atiende llamadas de clientes europeos puede, por tanto, quedar incluida.

Importan dos papeles. El responsable decide los fines y los medios del tratamiento. El encargado trata datos personales por cuenta del responsable (artículo 4(7) y (8)). Una empresa que despliega un agente de voz suele ser la responsable, y la plataforma y los proveedores de voz que usa suelen ser encargados.

Qué exige

• El artículo 5 fija los principios, entre ellos que los datos se conserven de forma identificable no más tiempo del necesario para sus fines (artículo 5(1)(e)).
• El artículo 6(1) enumera seis bases jurídicas para el tratamiento: consentimiento, contrato, obligación legal, intereses vitales, interés público e intereses legítimos. El responsable necesita al menos una para cada fin.
• El artículo 9 prohíbe tratar datos biométricos dirigidos a identificar de forma unívoca a una persona, y datos relativos a la salud, salvo que se aplique una excepción, como el consentimiento explícito.
• El artículo 13 exige que el responsable informe a las personas de quién es y por qué trata sus datos en el momento de recogerlos.
• El artículo 22 da a las personas el derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado que produzca efectos jurídicos o les afecte significativamente de modo similar.
• El artículo 28 exige un contrato entre responsable y encargado que, entre otras cláusulas, haga que el encargado actúe solo siguiendo instrucciones documentadas.
• Los artículos 44 a 49 permiten transferir datos personales fuera de la UE solo cuando se cumplen las condiciones de ese capítulo.
• El artículo 83(5) permite multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial, la cifra más alta, por infracciones de los principios básicos, los derechos de los interesados y las normas de transferencia.

El reglamento no crea un estatus general de «certificado RGPD». El artículo 42 permite mecanismos de certificación aprobados, y el artículo 42(4) dice que una certificación no reduce la responsabilidad del responsable o del encargado.

Qué significa para un agente de voz

Elija una base jurídica para cada cosa que genera una llamada e informe pronto a quienes llaman. Es una razón más por la que es habitual un breve aviso hablado al comienzo de la llamada. Decida cuánto tiempo viven las grabaciones y transcripciones (conservación de datos) y si el proveedor no guarda nada en absoluto (retención cero de datos).

Compruebe adónde va el audio. Un proveedor de voz, un proveedor de LLM y un operador de telefonía pueden tratar la llamada en países distintos, y cada uno es un encargado con el que necesita un contrato. Si el agente identifica a quienes llaman por su voz, eso es tratamiento biométrico y plantea la cuestión del artículo 9. El informe SOC 2 de un proveedor habla de sus controles de seguridad, pero no sustituye el contrato del artículo 28. Las normas sobre grabación de llamadas de cada país son una capa aparte; véase consentimiento para grabar llamadas. Para la visión de infraestructura, lea la guía sobre IA de voz en local.

Preguntas para el asesor jurídico

1. ¿Qué base jurídica encaja con grabar y transcribir llamadas en nuestro caso de uso?
2. ¿Somos responsables, encargados o ambos, y quiénes son nuestros encargados y subencargados?
3. ¿Algún paso traslada audio o transcripciones fuera de la UE y qué mecanismo de transferencia los cubre?
4. ¿La identificación del hablante o la verificación de voz cuenta para nosotros como tratamiento biométrico?
5. ¿Alguna decisión de nuestro agente tiene efectos jurídicos o significativos similares que activen el artículo 22?

Términos relacionados

• Conservación de datos
• Retención cero de datos
• HIPAA
• SOC 2

Guías

• IA de voz en infraestructura propia: qué es y cómo funciona

Fuentes

• Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex