Inicio › Protección de datos

Ley de atención a la clientela y RGPD: la protección de datos en atención al cliente

Cuando le dejáis a una vecina las llaves de casa para que riegue las plantas, esperáis que las use para eso y nada más. Y que no haga copias. Con los datos de un cliente pasa igual. La ley de atención a la clientela obliga a guardar mucho para demostrar que se cumple; el RGPD obliga a guardar solo lo necesario. Os cuento cómo encajan las dos en la protección de datos del día a día de la atención al cliente.

¿Qué dice la Ley SAC sobre protección de datos?

Cada contacto con el servicio de atención deja datos: nombre, teléfono, número de contrato, el motivo de la queja, a veces una grabación de voz y, a veces, información sobre la salud o la economía de la persona.

La Ley 10/2025 tiene un artículo muy breve sobre esto. Dice que todo tratamiento de datos personales para prestar el servicio de atención debe cumplir el Reglamento europeo de protección de datos, la Ley Orgánica de Protección de Datos y su normativa de desarrollo. No crea reglas nuevas.

Pero la protección de datos asoma en varios puntos más: al coordinar departamentos, al identificar al agente, al grabar, al dar acceso a la auditora y en las sanciones. Vamos uno a uno.

¿Quién es responsable de los datos si atiende un proveedor?

La empresa que presta el servicio a sus clientes es la responsable del tratamiento. Si un proveedor atiende en su nombre, es encargado del tratamiento, y el RGPD exige un contrato con un contenido mínimo. Por ejemplo: que trate los datos solo con instrucciones documentadas, que su personal tenga deber de confidencialidad, que aplique medidas de seguridad, que no subcontrate sin autorización previa por escrito, que ayude a atender los derechos de los clientes y que permita auditorías.

Ojo con un límite. Si el proveedor usa los datos para sus propios fines, deja de ser encargado y pasa a ser responsable. Un caso ficticio: un proveedor quiere usar vuestras grabaciones para entrenar su propio sistema de análisis de voz y vendérselo a otros. Eso ya no es atender en vuestro nombre. Hay que impedirlo por contrato y comprobarlo.

Y si el proveedor atiende desde fuera de la Unión Europea, los datos salen del espacio europeo. Es una transferencia internacional, que exige garantías específicas y tiene que estar prevista en las instrucciones del contrato. Conviene saber exactamente desde qué países se accede a los datos. Las garantías concretas, para vuestra asesoría de protección de datos.

¿La grabación de llamadas cumple el RGPD?

Si el cliente da su consentimiento expreso, la empresa tiene que grabar la llamada, la videollamada o la conversación de mensajería, decirle en el justificante cómo acceder y conservarla, o su transcripción, al menos hasta notificar la resolución. Al cerrar el caso por esos canales, la ley añade tomar las debidas precauciones con los datos.

La protección de datos suma lo suyo: informar antes de grabar, no guardar más tiempo del necesario y limitar quién escucha. El detalle (qué es consentimiento expreso, por qué no vale el «si continúa en línea, acepta» y la zona gris de la base legal) lo tenéis en la guía de clave, justificante y grabación de llamadas, así que aquí no lo repito.

¿Cuánto tiempo se pueden conservar los datos?

La ley fija un mínimo para las grabaciones, pero no un máximo. Y para el sistema de evaluación anual, la documentación se conserva al menos cinco años. Aquí aparecen dos dudas.

¿Cómo se identifica el agente sin exponer sus datos?

La ley obliga a que quien atiende se identifique al inicio de la conversación, respetando la protección de datos. Esto también protege a la plantilla. Una solución habitual es el nombre de pila o un código, con la empresa sabiendo siempre quién atendió cada contacto. No hacen falta apellidos.

¿Qué datos puede ver cada departamento?

La ley obliga a que la información del servicio de atención llegue al resto de departamentos, con pleno respeto a la protección de datos. En la práctica, cada área debería ver solo lo que necesita para su parte del caso. El área técnica necesita la dirección y la avería, no el historial de pagos. Los permisos por perfiles en la herramienta de casos resuelven gran parte de esto.

Un caso típico que no conviene: en un centro con mucha carga, algunos agentes empiezan a escribir a clientes desde la mensajería de su propio móvil. Los datos quedan en dispositivos personales, sin clave identificativa y sin registro. Problema de datos y de trazabilidad a la vez, dos por el precio de uno. La solución es un canal oficial que funcione igual de bien y prohibir por escrito los paralelos.

Un cuidado especial con la discapacidad: es un dato de salud, especialmente protegido. Si la empresa lo guarda para dar prioridad en próximas llamadas, necesita una base jurídica clara, informar y no usarlo para nada más. La alternativa sencilla es no guardarlo y anotar solo la necesidad de apoyo, no la causa. Lo cuento en la guía de accesibilidad, mayores y discapacidad.

¿Qué datos puede ver la auditora?

La ley obliga a dar a la entidad auditora acceso a personas, lugares, equipos y datos necesarios, con las limitaciones de la protección de datos. Yo prepararía el acceso: un acuerdo de confidencialidad, muestras en lugar de bases completas cuando se pueda, datos seudonimizados para revisar indicadores y grabaciones solo cuando haya que comprobar algo concreto. Más sobre esto en la guía de evaluación anual y auditoría.

¿Y las peticiones de protección de datos que llegan al servicio?

El servicio de atención también es una puerta de entrada: un cliente que pide copia de sus datos, que se corrija su dirección o que se borren. Esas peticiones tienen su propio procedimiento y sus propios plazos. El equipo tiene que reconocerlas y pasarlas al circuito correcto, y el proveedor tiene que ayudar a responderlas.

Y cuando un cliente diga que no quiere recibir llamadas comerciales, la normativa de datos obliga a informarle de los sistemas de exclusión publicitaria que existen.

¿Con qué ley se sancionan los fallos de datos?

La Ley SAC dice que las infracciones en materia de protección de datos se sancionan con la normativa de protección de datos, no con la de consumo. Según los análisis publicados, un mismo fallo, como una grabación mal guardada o un chat sin control, puede abrir dos frentes: uno de consumo por la atención y otro de protección de datos. Al sector financiero no se le aplica este artículo de la Ley SAC, pero el RGPD sí.

Por eso la política de grabación y conservación conviene hacerla con las dos normas delante. Demostrar que se cumple no exige guardarlo todo para siempre: exige decidir por escrito qué se guarda, para qué y durante cuánto tiempo.

¿Y vosotros, tenéis ya por escrito cuánto tiempo guardáis las grabaciones después de cerrar una reclamación? Escribidme a info@leysac.eu y lo comentamos.

Escrito por Sabrina Muñoz.