3 de septiembre de 2026 centralita telefonica ciberseguridad

Grabación de llamadas y RGPD: qué hay que decir y cuándo

Escrito por Universal Telecom

Grabar llamadas puede ayudarte a revisar ventas, atender reclamaciones o mejorar la calidad del servicio. Y convierte la conversación en un tratamiento de datos personales en cuanto la grabación permita identificar a quien habla — que en una llamada de empresa es lo normal: la voz, el nombre, el número desde el que llama o la referencia de su pedido bastan. El problema aparece cuando la empresa activa la grabación y confía en una locución genérica para cubrirlo todo.

La grabación de llamadas y RGPD exige más: informar antes de empezar a grabar, explicar quién trata los datos y para qué, elegir una base jurídica adecuada y respetar los derechos de la persona. El consentimiento para grabar llamadas no es siempre la única opción ni sirve para cualquier finalidad.

La empresa también debe decidir cuánto tiempo guardar las grabaciones, limitar quién puede escucharlas y proteger los archivos frente a accesos indebidos. Grabar, transcribir o analizar una llamada con IA puede añadir tratamientos distintos y obligaciones adicionales.

La tecnología facilita la configuración, pero no decide si el aviso es suficiente ni cuánto debe durar la conservación. Esa responsabilidad sigue siendo de la empresa.

¿Se pueden grabar llamadas comerciales y de atención al cliente?

Sí, una empresa puede grabar llamadas comerciales y de atención al cliente. Pero activar la función en la centralita no basta.

La grabación recoge la voz y el contenido de una conversación. Si esos datos permiten identificar a una persona, la empresa realiza un tratamiento de datos personales conforme al Reglamento General de Protección de Datos (se abre en una pestaña nueva). La empresa debe decidir para qué graba, qué datos conserva, quién puede acceder a ellos y cuándo los elimina. Esa decisión la sitúa como responsable del tratamiento según las definiciones del Reglamento.

La finalidad marca el análisis. No es lo mismo grabar para acreditar una contratación que hacerlo para revisar la calidad de la atención, formar a un equipo o gestionar una reclamación. Cada finalidad necesita una base jurídica adecuada y debe respetar los principios de finalidad, minimización y conservación limitada previstos en el RGPD. La Ley Orgánica 3/2018 (se abre en una pestaña nueva) completa este marco en España.

Por eso conviene separar dos preguntas:

¿Puede hacerlo la centralita? Muchas plataformas permiten activar la grabación, restringir permisos y almacenar los archivos.
¿Puede hacerlo la empresa en ese caso concreto? Debe justificar la finalidad, escoger la base jurídica aplicable, informar a la persona y establecer controles sobre las grabaciones.

Un aviso genérico como «esta llamada puede ser grabada» no explica por sí solo quién trata los datos, para qué los usa ni cómo puede ejercer sus derechos. La empresa debe preparar ese tratamiento antes de activar la grabación y documentar sus decisiones.

La tecnología facilita grabar. La responsabilidad sigue siendo de la empresa.

Qué debe incluir el aviso antes de empezar a grabar

El aviso de grabación de llamadas debe permitir que la persona entienda qué ocurrirá con su conversación. No basta con decir «esta llamada puede ser grabada». La información debe facilitarse cuando se recogen los datos y de forma clara, concisa y accesible, según el artículo 13 del RGPD (se abre en una pestaña nueva).

Como mínimo, la locución o el mensaje inicial debe indicar:

Quién trata los datos. Identifica a la empresa responsable de la grabación. Incluye su denominación y un canal para contactar con ella.
Para qué se graba la llamada. Concreta la finalidad: por ejemplo, gestionar una reclamación, acreditar una contratación o revisar la calidad de la atención. No mezcles finalidades distintas bajo una frase vaga como «mejorar el servicio».
Cuál es la base jurídica. Explica si el tratamiento se apoya en el consentimiento, en la ejecución de un contrato, en una obligación legal o en un interés legítimo. La base debe corresponder a la finalidad comunicada, conforme al artículo 6 del RGPD (se abre en una pestaña nueva).
Qué derechos puede ejercer la persona. Informa sobre sus derechos de acceso, rectificación, supresión, oposición y limitación del tratamiento, entre otros previstos por el RGPD.
Dónde consultar la información completa. Ofrece una dirección web, un correo o una referencia clara a la política de privacidad. La locución puede resumir la información; la política debe ampliarla.

Un aviso práctico sería: «[Nombre de la empresa] grabará esta llamada para [finalidad]. La base jurídica es [base aplicable]. Consulta tus derechos y la información completa en [canal de privacidad]». Después, la empresa debe aplicar lo que ha comunicado y no reutilizar la grabación para una finalidad incompatible, según el principio de limitación de la finalidad del RGPD (se abre en una pestaña nueva).

Cuándo hay que informar: antes de la grabación, no después

La persona debe recibir la información cuando se recogen sus datos. El artículo 13 sitúa ese momento en el de la recogida. En una llamada se tratan datos desde que alguien descuelga, y la grabación añade un tratamiento más: por eso el aviso sobre ella va antes de activarla. Un correo posterior puede ampliar la información —de hecho, es una buena forma de dar el segundo nivel de detalle— pero no sustituye al aviso del principio, porque para entonces los datos ya se recogieron. Así lo exige el deber de información del artículo 13 del Reglamento General de Protección de Datos (se abre en una pestaña nueva).

La forma más práctica suele ser una locución automática al inicio:

«Te informamos de que esta llamada será grabada por [nombre de la empresa] para [finalidad]. Puedes consultar la información completa sobre el tratamiento y tus derechos en [canal o dirección]. Si continúas, la llamada se grabará».

La frase debe adaptarse al tratamiento real. No conviene anunciar «por motivos de calidad» si después la empresa usa el audio para formar al equipo, defender una reclamación o analizar conversaciones. Cada finalidad necesita una justificación documentada y una información coherente con el uso posterior, conforme a los principios de limitación de la finalidad y transparencia del RGPD (se abre en una pestaña nueva).

Nosotros añadimos algo que la norma no exige con ese detalle: decir qué puede hacer quien no quiera continuar en esas condiciones. Una llamada en la que la única salida es colgar se acaba convirtiendo en una reclamación. Por ejemplo:

ofrecer un canal alternativo no grabado;
transferir la llamada a un agente que gestione esa opción;
permitir que finalice la llamada sin penalizarla por no aceptar la grabación, cuando la grabación no sea necesaria para prestar el servicio.

No presentes el silencio como consentimiento. Continuar después del aviso puede permitir gestionar la llamada, pero no convierte automáticamente esa conducta en consentimiento válido. La base jurídica depende de la finalidad concreta, y el artículo 5.2 del RGPD (se abre en una pestaña nueva) obliga a poder demostrar que se cumple: no basta con haberla elegido bien, hay que poder enseñarlo. El sitio natural para dejarlo escrito es el registro de actividades del tratamiento del artículo 30 — que no todas las empresas están obligadas a llevar, pero que es donde esto se busca cuando alguien pregunta.

¿Hace falta pedir consentimiento para grabar una llamada?

No siempre. El consentimiento para grabar llamadas es una base jurídica posible, pero no la única. La empresa debe elegirla según la finalidad concreta de la grabación y poder justificar esa elección conforme al RGPD (se abre en una pestaña nueva).

Consentimiento. Puede ser adecuado cuando la persona acepta de forma clara que se grabe la conversación para una finalidad determinada. Debe recibir información suficiente antes de decidir y poder retirarlo después. La empresa no debe presentar el consentimiento como obligatorio si necesita la grabación para otra finalidad que puede ampararse en una base jurídica distinta.

Ejecución de un contrato. Si la grabación resulta necesaria para gestionar un contrato o acreditar una operación solicitada por el cliente, la empresa puede valorar esta base jurídica. “Útil” no significa “necesaria”: guardar todas las llamadas comerciales por comodidad no demuestra por sí solo que la grabación sea imprescindible para prestar el servicio. La base debe guardar una relación directa con la finalidad comunicada en el aviso.

Obligación legal. Cuando una norma exige conservar o registrar una comunicación, esa obligación puede justificar el tratamiento. La empresa debe identificar la norma aplicable y limitar la grabación a lo que esa norma requiera. No basta con afirmar que “el RGPD obliga a grabar”: el RGPD establece las bases jurídicas, pero no impone de forma general grabar llamadas.

Interés legítimo. La empresa puede valorar esta base para fines como prevenir fraudes, gestionar reclamaciones o revisar la calidad. Antes debe identificar un interés real, comprobar que la grabación resulta necesaria y ponderar ese interés frente a los derechos de la persona. También debe informar de esta base y permitir el ejercicio del derecho de oposición cuando corresponda, conforme al RGPD (se abre en una pestaña nueva).

La decisión correcta no es “pedir permiso siempre”. Es documentar finalidad, necesidad y base jurídica antes de activar la grabación.

Conservación, acceso y seguridad de las grabaciones

No existe un plazo único para todas las grabaciones. La empresa debe vincular la conservación con la finalidad comunicada y eliminar los archivos cuando ya no sean necesarios para ella. Es la aplicación del principio de limitación del plazo de conservación del artículo 5.1.e del RGPD (se abre en una pestaña nueva).

Define el plazo antes de activar la grabación. Por ejemplo:

Si la grabación sirve para revisar la calidad, fija un periodo breve y revisa si sigue siendo necesario conservarla.
Si documenta una contratación o una reclamación, conserva el archivo mientras pueda cumplir esa finalidad y mientras exista una necesidad justificada de utilizarlo.
Si una llamada deja de tener valor operativo, elimínala. No la guardes «por si acaso».

Documenta el criterio. La norma fija el principio —no conservar más de lo necesario— pero no dicta la ficha; por experiencia, la que se sostiene en una revisión indica la finalidad, el plazo previsto, quién lo aprobó y qué ocurre cuando vence. Si existen copias en sistemas de respaldo, incluye también su ciclo de eliminación.

El acceso debe seguir la misma lógica. Un agente puede necesitar escuchar una llamada para resolver una incidencia. No necesita acceso a todas las grabaciones de la empresa. Separa permisos por función, limita las descargas y retira el acceso cuando una persona cambia de puesto o deja la empresa.

Protege los archivos con controles técnicos y organizativos adecuados al riesgo, como exige el artículo 32 del RGPD (se abre en una pestaña nueva). En la práctica, esto implica controlar identidades, proteger las comunicaciones y el almacenamiento, registrar quién accede y revisar esos registros. También conviene separar las grabaciones de las herramientas de uso general.

Si una centralita o proveedor almacena, transcribe o analiza las llamadas, documenta qué datos trata, con qué finalidad y qué permisos tiene. El RGPD regula esta relación y las instrucciones del encargado en su artículo 28 (se abre en una pestaña nueva). La configuración técnica ayuda, pero no sustituye esta documentación.

Casos que cambian el análisis: empleados, ventas y control de calidad

La finalidad cambia las reglas prácticas. No se analiza igual una llamada con un cliente que una conversación interna entre empleados.

Atención al cliente. La grabación puede servir para gestionar una reclamación o documentar lo ocurrido. La empresa debe explicar esa finalidad, limitar el acceso a las personas que lo necesitan y conservar el archivo solo durante el tiempo justificado por ella. Estos principios están recogidos en los artículos 5 y 6 del Reglamento General de Protección de Datos (se abre en una pestaña nueva).
Ventas. Grabar una llamada comercial no autoriza a reutilizarla para cualquier objetivo. La empresa debe separar la prueba de una contratación, la revisión de una oferta y el análisis de rendimiento del equipo. Cada uso necesita una finalidad definida y una base jurídica coherente. Si además la llamada se transcribe o se analiza con inteligencia artificial, conviene documentar ese tratamiento adicional y revisar qué datos son necesarios.
Formación y control de calidad. Escuchar llamadas para corregir un guion o formar a nuevos agentes exige limitar quién accede a ellas. No es lo mismo revisar una conversación concreta que analizar de forma sistemática el comportamiento de clientes y empleados. En este último caso, la empresa debe valorar los riesgos, la proporcionalidad y las garantías aplicables conforme a los principios de minimización, limitación de la finalidad y seguridad del RGPD (se abre en una pestaña nueva).
Llamadas de empleados. El hecho de que la empresa sea la empleadora no convierte todas las conversaciones en material disponible para supervisión. Debe informar del tratamiento, justificarlo y evitar una vigilancia más amplia de la necesaria. La Ley Orgánica 3/2018 (se abre en una pestaña nueva) desarrolla el marco español de protección de datos y derechos digitales.

Antes de activar la grabación, documenta la finalidad concreta. Si quieres medir motivos, clasificación o calidad, separa ese uso del archivo original y revisa los permisos de acceso. La analítica de llamadas con IA no sustituye ese análisis jurídico. Lo hace más necesario.

Checklist para configurar la grabación de llamadas sin improvisar

Antes de activar la grabación, completa esta lista:

Define la finalidad. Escribe para qué grabas: acreditar una contratación, gestionar una reclamación, revisar la atención o formar al equipo. No reutilices el archivo para otro objetivo incompatible con el comunicado. El artículo 5 del RGPD (se abre en una pestaña nueva) exige limitar la finalidad y recoger solo los datos necesarios.
Elige y documenta la base jurídica. Relaciona la finalidad con consentimiento, contrato, obligación legal o interés legítimo. Si eliges interés legítimo, documenta la ponderación entre el interés de la empresa y los derechos de la persona. El artículo 6 del RGPD (se abre en una pestaña nueva) regula estas bases.
Redacta la locución. Indica quién graba, para qué, qué base jurídica aplica y dónde consultar la política de privacidad. El artículo 13 del RGPD (se abre en una pestaña nueva) fija la información que debe facilitarse al recoger los datos.
Prepara una alternativa. Si la persona no quiere continuar con la grabación, define otro canal o atiende la llamada sin grabarla cuando sea viable. No conviertas el aviso en una aceptación ambigua.
Configura los permisos. Decide qué perfiles pueden escuchar, descargar o eliminar archivos. Registra los accesos y revisa que cada permiso responda a una función concreta. Aplica medidas de seguridad adecuadas conforme al artículo 32 del RGPD (se abre en una pestaña nueva).
Fija la retención. Asigna un plazo a cada finalidad y programa el borrado. El artículo 5 del RGPD (se abre en una pestaña nueva) exige no conservar los datos más tiempo del necesario.
Revisa al proveedor. Comprueba si almacena, transcribe o analiza las llamadas por cuenta de tu empresa. En ese caso, formaliza las obligaciones exigibles al encargado del tratamiento según el artículo 28 del RGPD (se abre en una pestaña nueva).
Documenta los derechos. Define quién tramita solicitudes de acceso, supresión, oposición o limitación y cómo localiza la grabación afectada.

Revisa esta configuración cuando cambie la finalidad, el proveedor, la locución o el proceso de atención. La LOPDGDD (se abre en una pestaña nueva) completa el marco aplicable en España.

Preguntas frecuentes

¿Puedo utilizar una grabación para una finalidad distinta de la que informé?

No automáticamente. La empresa debe comprobar si el nuevo uso es compatible con la finalidad inicial y si mantiene una base jurídica válida. Si quiere analizar la llamada con otro objetivo, debe revisar también la información facilitada, los accesos y el plazo de conservación, conforme a los principios de finalidad y limitación de la conservación del RGPD (artículo 5 (se abre en una pestaña nueva)).

¿La transcripción de una llamada requiere revisar el cumplimiento?

Sí. Transcribir una llamada también implica tratar datos personales. La empresa debe incluir esa operación en la finalidad comunicada, controlar quién puede acceder a la transcripción y aplicar un plazo de conservación justificado.

¿Qué derechos puede ejercer una persona sobre una grabación?

Puede solicitar, según el caso, el acceso a sus datos, la supresión, la limitación del tratamiento o presentar una oposición. La empresa debe identificar la grabación, verificar la solicitud y responder conforme a las reglas del RGPD sobre derechos del interesado (artículos 12 a 23 (se abre en una pestaña nueva)).

¿Qué debe exigir la empresa a su proveedor de centralita?

Debe formalizar la relación cuando el proveedor almacena o gestiona las grabaciones por cuenta de la empresa. El contrato debe fijar instrucciones, confidencialidad, medidas de seguridad, control de accesos y condiciones para eliminar o devolver los datos, como establece el RGPD para los encargados del tratamiento (artículo 28 (se abre en una pestaña nueva)).

Configura la grabación de llamadas en tu centralita con permisos, horarios y gestión centralizada.