Cumplimiento del RGPD para call centers outbound

Las llamadas outbound y el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, replicado en el Reino Unido por el RGPD del Reino Unido) conviven de forma incómoda. Cada marcación implica datos personales: un número de teléfono, un nombre, el saldo de una deuda, una puntuación de lead o una voz grabada. Eso significa que, en cuanto sus agentes empiezan a llamar a contactos de la UE o del Reino Unido, el RGPD se aplica a casi todo lo que hace su operación, y las sanciones por equivocarse se calculan como un porcentaje de la facturación global.

Esta guía repasa las partes del RGPD que más importan a los equipos outbound: elegir una base legal, la relación con las normas de ePrivacy, la gestión de los derechos de los titulares, la grabación lícita de llamadas, la retención, las transferencias internacionales y los contratos que necesita con sus proveedores. Está escrita para BPO, operaciones de cobranza, revendedores de telecomunicaciones y contact centers regulados que llaman a mercados de la UE y el Reino Unido.

Por qué el RGPD se aplica a las llamadas outbound

El RGPD regula el tratamiento de "datos personales", es decir, cualquier información relativa a una persona viva identificada o identificable. En un contexto outbound, eso incluye el propio número de teléfono, el nombre y la dirección del contacto, los datos de la cuenta o la deuda, las tipificaciones, las notas del agente y cualquier grabación de la conversación. Incluso un indicador de "no llamar" es un dato personal, porque se refiere a una persona identificada.

Hay dos roles clave. El responsable del tratamiento decide por qué y cómo se tratan los datos personales; normalmente es la empresa cuyos productos, deudas o servicios motivan la llamada. El encargado del tratamiento actúa según las instrucciones documentadas del responsable; por ejemplo, un proveedor de tecnología o un socio externo de llamadas. Si usted es un BPO que llama en nombre de un cliente, normalmente es encargado de los datos de ese cliente y responsable de los datos de su propio personal. Definir bien estos roles determina quién responde de qué.

Cómo elegir una base legal para las llamadas outbound

No puede tratar datos personales sin una base legal conforme al artículo 6. Para el marketing y el contacto outbound, dos bases dominan la conversación: el consentimiento y el interés legítimo. Las llamadas de cobranza y de servicio suelen basarse, en cambio, en un contrato o en una obligación legal.

Consentimiento

Según el RGPD, el consentimiento debe ser libre, específico, informado e inequívoco, y otorgarse mediante una acción afirmativa clara. Las casillas premarcadas, el silencio o la inactividad no cuentan. Debe poder demostrar que se otorgó el consentimiento, registrar cómo y cuándo, y hacer que retirarlo sea tan fácil como darlo. El consentimiento obtenido para un fin no cubre automáticamente otro.

Interés legítimo

El interés legítimo puede respaldar ciertas actividades outbound, por ejemplo el contacto entre empresas (B2B) o contactar a clientes existentes sobre servicios estrechamente relacionados. Requiere una prueba de ponderación documentada en tres partes: identificar el interés legítimo, demostrar que el tratamiento es necesario para lograrlo y confirmar que no prevalecen los derechos y expectativas de la persona. El considerando 47 del RGPD reconoce expresamente que el marketing directo puede ser un interés legítimo, pero eso nunca elimina el derecho absoluto de la persona a oponerse.

Elija la base que elija, debe decidirla antes de que de empezar a llamar, documentarla e informarla en su aviso de privacidad. No puede cambiar de base de forma retroactiva para corregir una brecha de cumplimiento.

La Directiva ePrivacy y las llamadas de marketing

El RGPD no lo es todo en el marketing electrónico. La Directiva ePrivacy (2002/58/CE, en su versión modificada), transpuesta a la legislación nacional de los estados miembros y, en el Reino Unido, a las PECR, fija normas específicas para las llamadas de marketing no solicitadas. Estas normas conviven con el RGPD y, cuando se aplican, prevalecen para el propio canal de marketing.

Las consecuencias prácticas varían según el país. Algunos estados miembros tienen registros de exclusión (opt-out) contra los que debe depurar sus listas; otros exigen consentimiento previo para las llamadas de marketing en vivo a consumidores. Las normas para llamadas automatizadas o pregrabadas suelen ser más estrictas y a menudo exigen consentimiento explícito, sea cual sea la jurisdicción. Como la aplicación nacional varía, una operación que llama a varios mercados de la UE debe aplicar la norma más estricta aplicable a cada destino, no una única política general. Se espera que un futuro Reglamento ePrivacy de la UE armonice parte de esto, pero hasta que se aplique, rige la legislación nacional.

Derechos de los titulares que sus sistemas deben atender

El RGPD otorga a las personas derechos exigibles que los procesos y la tecnología de su call center deben poder atender, por lo general en el plazo de un mes desde la solicitud. Los derechos más relevantes para los equipos outbound son:

• Derecho de acceso (art. 15): Una persona puede preguntar qué datos tiene usted sobre ella, incluidos registros de llamadas, grabaciones y notas, y recibir una copia.
• Derecho de supresión (art. 17): El "derecho al olvido" permite solicitar la eliminación cuando no existe un motivo legítimo prevalente para conservar los datos.
• Derecho de oposición (art. 21): En el marketing directo es absoluto : en cuanto alguien se opone, debe dejar de enviarle marketing, sin prueba de ponderación.
• Derecho de rectificación (art. 16): Corregir datos de contacto o de cuenta inexactos.
• Derecho a la limitación del tratamiento (art. 18) y portabilidad de los datos (art. 20) en las circunstancias correspondientes.

En la práctica, esto significa que necesita localizar a un mismo contacto en su dialer, su CRM, sus grabaciones y sus listas de leads, y atender su solicitud con rapidez. Los datos dispersos, duplicados entre tenants o enterrados en grabaciones sin indexar vuelven lentas y propensas a errores las solicitudes de derechos, y una supresión omitida o una llamada después de una oposición son exactamente el tipo de fallo que sancionan los reguladores.

La grabación de llamadas según el RGPD

Una grabación de voz es un dato personal y puede contener categorías especiales de datos (por ejemplo, información de salud revelada durante una llamada de cobranza o de seguros). Grabar de forma lícita requiere su propia base legal y una transparencia clara. Las expectativas clave incluyen:

• Aviso: Informe a la persona de que la llamada puede grabarse y por qué, idealmente al inicio de la llamada.
• Limitación de la finalidad: Grabe solo para los fines declarados (calidad, capacitación, resolución de disputas, obligaciones regulatorias) y no reutilice las grabaciones para otros fines.
• Seguridad: Cifre las grabaciones en reposo y en tránsito, y restrinja el acceso según la necesidad de conocerlas.
• Retención: Conserve las grabaciones solo mientras lo exija el fin declarado y luego elimínelas.

Algunos sectores y estados miembros imponen normas adicionales o contradictorias: ciertos regímenes de servicios financieros exigen grabar y conservar durante periodos fijos, mientras que algunas leyes nacionales limitan la grabación. Mapee las normas de grabación por mercado antes de implementarlas a escala.

Retención y minimización de datos

El principio de limitación del plazo de conservación del RGPD exige no conservar los datos personales más tiempo del necesario para su fin. No existe un "número RGPD" único de días: la retención debe justificarse por tipo de dato y finalidad. Un enfoque habitual es un calendario de retención por escrito que fije periodos distintos para los datos de leads, las grabaciones, las tipificaciones y los registros de consentimiento, con eliminación o anonimización automática al terminar el periodo. También se aplica la minimización de datos: recopile y marque solo los campos que realmente necesita.

Transferencias internacionales de datos

Si los datos personales salen del EEE o del Reino Unido, incluso hacia un equipo de soporte, una región de nube o un subencargado en el extranjero, necesita un mecanismo de transferencia válido conforme al capítulo V. En la práctica, esto suele significar Cláusulas Contractuales Tipo (CCT, o el IDTA/Addendum del Reino Unido), una decisión de adecuación que cubra el país de destino u otra garantía reconocida, a menudo respaldada por una evaluación de impacto de la transferencia. En una operación outbound, las preguntas clave son: ¿dónde está alojado su dialer, dónde se almacenan las grabaciones y quién administra la plataforma? Mantener los datos de la UE y el Reino Unido dentro de la región lo simplifica mucho.

Acuerdos de tratamiento de datos y subencargados

El artículo 28 exige un contrato por escrito, un acuerdo de tratamiento de datos (DPA) , entre cada responsable y cada encargado. El DPA debe establecer el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de personas, y las instrucciones del responsable. También debe obligar al encargado a la confidencialidad, a aplicar medidas de seguridad, a ayudar con los derechos de los titulares, a notificar brechas, a eliminar o devolver los datos al finalizar el contrato y a permitir auditorías.

Los encargados solo pueden recurrir a subencargados con la autorización del responsable y deben trasladarles por contrato las mismas obligaciones. En un call center, los subencargados suelen incluir el alojamiento en la nube, los operadores de telefonía (mencionados aquí de forma genérica) y las herramientas de analítica. Debe mantener una lista actualizada de subencargados y notificar los cambios a los responsables. Al evaluar cualquier proveedor de dialer, pida desde el principio su DPA y su lista de subencargados.

Cómo apoya DialerBee las operaciones conscientes del RGPD

DialerBee está diseñado como una plataforma que apoya el cumplimiento, no como una garantía de cumplimiento: su organización sigue siendo el responsable del tratamiento y responde de la base legal, los avisos y la forma en que se configura la herramienta. Dentro de ese marco, DialerBee ofrece controles que apoyan el cumplimiento que ayudan a las operaciones en la UE y el Reino Unido a trabajar de forma defendible, incluida la gestión configurable del consentimiento y de no llamar, la supresión por oposición al marketing y políticas de grabación con ajustes de retención que usted define por campaña.

Su arquitectura multi-tenant mantiene aislados los datos de cada cliente, algo importante para los BPO y revendedores de telecomunicaciones que actúan como encargados de varios responsables, y facilita localizar y atender la solicitud de derechos de un contacto concreto. Los registros de auditoría documentan los cambios de configuración y los accesos para la rendición de cuentas, y la operación dentro de la UE y el Reino Unido ayuda a reducir la complejidad de las transferencias internacionales. Como la IA consciente del idioma de DialerBee admite 11 idiomas, los equipos multinacionales pueden presentar los avisos de grabación y de consentimiento en el idioma de la persona. Hay un acuerdo de tratamiento de datos disponible, y puede revisar nuestra postura de seguridad y cumplimiento en la página de confianza. En determinadas condiciones de piloto, los equipos han informado que la supresión centralizada y el seguimiento del consentimiento redujeron el esfuerzo manual de atender oposiciones; los resultados varían según la implementación y la configuración.

Preguntas frecuentes

¿Los call centers outbound necesitan consentimiento para cada llamada según el RGPD?

No siempre. El consentimiento es una base legal, pero el interés legítimo puede respaldar ciertas actividades outbound, como el contacto B2B o contactar a clientes existentes sobre servicios relacionados, siempre que documente una prueba de ponderación. Sin embargo, las normas nacionales de ePrivacy pueden seguir exigiendo consentimiento para ciertas llamadas de marketing, y las personas conservan siempre un derecho absoluto a oponerse al marketing directo.

¿Es legal grabar llamadas según el RGPD?

Sí, si se hace correctamente. Grabar es lícito cuando tiene una base legal válida, informa a la persona de que la llamada puede grabarse y por qué, limita el uso a los fines declarados, protege las grabaciones con cifrado y controles de acceso, y las elimina al terminar el periodo de retención. Algunos sectores financieros y regulados además exigen grabar, mientras que algunas jurisdicciones lo restringen, así que verifíquelo por mercado.

¿Cuánto tiempo podemos conservar las grabaciones de llamadas y los datos de leads?

Solo el tiempo necesario para el fin con el que se recopilaron. El RGPD no fija un número de días. La buena práctica es un calendario de retención por escrito con periodos distintos para datos de leads, grabaciones, tipificaciones y registros de consentimiento, además de eliminación o anonimización automática al terminar cada periodo. Algunas actividades reguladas exigen una retención mínima fija que prevalece sobre su calendario predeterminado.

¿Qué es un DPA y lo necesitamos con nuestro proveedor de dialer?

Un acuerdo de tratamiento de datos es el contrato del artículo 28 que se exige siempre que un responsable usa un encargado. Define el alcance del tratamiento y obliga al encargado a la seguridad, la confidencialidad, la ayuda con las solicitudes de derechos, la notificación de brechas y la eliminación de datos. Sí: necesita un DPA con cualquier proveedor de dialer que trate datos personales en su nombre, y debe revisar su lista de subencargados.

¿Podemos llamar a contactos de la UE si nuestro equipo o servidores están fuera de la UE?

Puede, pero cualquier transferencia de datos personales fuera del EEE o del Reino Unido necesita un mecanismo válido, como las Cláusulas Contractuales Tipo, el IDTA del Reino Unido o una decisión de adecuación, a menudo con una evaluación de impacto de la transferencia. Esto abarca sus servidores, el almacenamiento de grabaciones, el personal de soporte y los subencargados. Alojar y administrar los datos de la UE y el Reino Unido dentro de la región reduce mucho esta complejidad.

¿Un dialer nos hace cumplir el RGPD?

Ninguna herramienta puede hacerle cumplir por sí sola. Usted sigue siendo el responsable del tratamiento y responde de su base legal, sus avisos de privacidad y su configuración. Un dialer que apoya el cumplimiento, como DialerBee, ofrece controles (gestión del consentimiento y de no llamar, supresión por oposición, ajustes de grabación y retención, aislamiento de datos por tenant, registros de auditoría y un DPA disponible) que facilitan operar de forma defendible, pero la responsabilidad sigue siendo de su organización.

Este artículo tiene fines informativos generales y no constituye asesoría legal. La interpretación del RGPD varía según el estado miembro y evoluciona; consulte a un asesor calificado en protección de datos o a un abogado.