Privacy nel cloud: dove finiscono le registrazioni e i dati delle tue chiamate

Quali dati lascia una chiamata (sono più di quanto pensi)

Quando pensi a una chiamata aziendale, probabilmente immagini solo l'audio. In realtà, una chiamata che passa per un centralino in cloud genera diversi livelli di informazione:

• La registrazione: la voce del cliente e del tuo operatore, con tutto ciò che è stato detto. Può includere nomi, numeri di documento, indirizzi o, in settori come la sanità, informazioni molto delicate.
• Il registro della chiamata (CDR): chi ha chiamato, quale numero, a che ora, quanto è durata e quale operatore ha risposto. Anche senza audio, dice molto di una persona.
• Le trascrizioni e i riassunti: se usi agenti vocali con intelligenza artificiale o analisi delle conversazioni, l'audio diventa testo che si può cercare, copiare e condividere con facilità.
• I dati del cliente: la scheda nel tuo CRM, le note dell'operatore, lo storico di acquisti o pagamenti associato a ogni contatto.

In Colombia, tutto ciò che permette di identificare una persona è un dato personale, e la voce lo è. Per questo tutti questi livelli rientrano nel regime di protezione dei dati.

Dove vengono salvati e perché dovrebbe importarti

“È nel cloud” non è una risposta completa. Dietro ci sono server fisici in un Paese preciso, gestiti da persone precise. Queste sono le domande che contano davvero:

• Paese di archiviazione: se i dati escono dalla Colombia, entri nel campo del trasferimento o della trasmissione internazionale, che ha regole proprie.
• Cifratura in transito: la chiamata e i file devono viaggiare protetti tra il telefono, il centralino e l'archivio, perché nessuno li intercetti lungo il percorso.
• Cifratura a riposo: le registrazioni archiviate devono essere cifrate, così che una copia rubata del disco non serva a nulla senza le chiavi.
• Backup: anche le copie di sicurezza sono dati personali. Se cancelli una registrazione dal sistema principale ma resta viva in un backup per anni, non l'hai cancellata davvero.
• Chi ha accesso: il tuo team, il fornitore, i subappaltatori del fornitore. Ogni accesso dovrebbe essere giustificato e restare registrato.
• Per quanto tempo si conservano: conservare “non si sa mai” e per sempre aumenta il rischio senza portare valore.

Cosa richiede la legge in Colombia

Il quadro principale è la Ley 1581 de 2012 (la legge colombiana sulla protezione dei dati personali) e il suo regolamento, il Decreto 1377 de 2013, oggi raccolto nel Decreto 1074 de 2015. A ottobre 2026 la Ley 1581 è ancora in vigore; al Congresso sono state presentate iniziative per modernizzarla, ma finché non concludono il loro iter, queste sono le regole che si applicano:

• Autorizzazione preventiva e informata: ti serve il permesso dell'interessato al più tardi nel momento in cui raccogli il dato, e devi poterlo dimostrare in seguito. Può essere dato per iscritto, oralmente o con un comportamento inequivocabile, ma il silenzio non vale mai come consenso.
• Avviso di registrazione e finalità: la persona deve sapere che viene registrata e per quale scopo: qualità, prova di una vendita, adempimento contrattuale. Se poi vuoi usare le registrazioni per un altro fine, come addestrare un modello di IA, ti serve una nuova autorizzazione.
• Dati sensibili: le informazioni sanitarie sono sensibili. Il loro trattamento richiede un'autorizzazione esplicita e devi avvisare che rispondere su quei dati è facoltativo.
• Diritti degli interessati: i tuoi clienti possono conoscere, aggiornare, rettificare e chiedere la cancellazione dei loro dati, richiedere la prova dell'autorizzazione e presentare reclamo alla Superintendencia de Industria y Comercio (SIC). I reclami hanno tempi di risposta definiti dalla legge.
• Conservazione limitata: i dati si conservano solo per il tempo ragionevole e necessario alla finalità, tenendo conto degli obblighi legali, contabili o contrattuali. Raggiunta la finalità, si cancellano.
• Politica di trattamento: devi avere una politica di trattamento dei dati scritta in linguaggio chiaro e a disposizione degli interessati.
• Dati fuori dal Paese: la legge vieta di trasferire dati verso Paesi senza un livello adeguato di protezione, salvo eccezioni (come l'autorizzazione espressa dell'interessato). Quando il fornitore estero tratta i dati solo per tuo conto, come responsabile del trattamento, il Decreto 1377 consente di farlo con un contratto di trasmissione che ne stabilisca gli obblighi di sicurezza e riservatezza.
• Registro Nacional de Bases de Datos (RNBD): secondo il Decreto 090 de 2018, devono iscriversi presso la SIC le società e gli enti senza scopo di lucro con attivi totali superiori a 100.000 UVT, oltre agli enti pubblici. Se la tua azienda non raggiunge questa soglia, deve comunque rispettare tutti gli altri obblighi.

La legge autorizza inoltre la SIC a imporre sanzioni, che includono multe fino a 2.000 salari minimi mensili e la sospensione delle attività. E se usi l'intelligenza artificiale sulle tue chiamate, tieni conto della Circular Externa 002 de 2024 della SIC, che chiede di valutare i rischi e, quando il rischio è alto, di effettuare una valutazione d'impatto sulla privacy.

Se operi anche in Ecuador o Perù

Entrambi i Paesi hanno regole proprie, quindi non basta rispettare la legge colombiana:

• Ecuador: la Ley Orgánica de Protección de Datos Personales è stata pubblicata nel Registro Oficial nel maggio 2021 e il suo regime sanzionatorio è in vigore dal maggio 2023. Il suo Reglamento General è stato emanato con il Decreto Ejecutivo 904 e pubblicato nel novembre 2023. Si applica anche alle aziende straniere che trattano dati di persone in Ecuador.
• Perù: la Ley 29733 dispone di un nuovo regolamento, approvato con il Decreto Supremo 016-2024-JUS, in vigore dal 30 marzo 2025. Tra le novità c'è l'obbligo di notificare gli incidenti di sicurezza all'autorità entro un massimo di 48 ore e di nominare un responsabile della protezione dei dati personali in alcuni casi, per esempio quando si trattano grandi volumi di dati o dati sensibili come attività principale.

Per esempio: una clinica che registra le sue chiamate

Immagina una clinica a Medellín che fissa gli appuntamenti per telefono e registra tutte le chiamate. In queste i pazienti parlano di sintomi, farmaci e diagnosi: dati sensibili. Ecco cosa dovrebbe avere in ordine:

1. Un messaggio all'inizio della chiamata che dica che viene registrata, per quale scopo e dove consultare la politica sui dati.
2. Un'autorizzazione esplicita per trattare i dati sanitari, conservata in modo da poterla dimostrare.
3. Una regola di conservazione chiara: per esempio, conservare le registrazioni delle prenotazioni solo il tempo necessario a gestire i reclami, e poi cancellarle, anche dai backup.
4. Accesso per ruolo: la receptionist vede la sua agenda, il coordinatore qualità ascolta dei campioni e nessun altro scarica audio senza lasciare traccia.
5. Un contratto con il fornitore di telefonia in cloud che indichi in quale Paese si trovano i server, come vengono cifrati i file e cosa succede ai dati se il rapporto termina.

Un'agenzia di recupero crediti avrebbe un caso simile, con una sfumatura in più: oltre alla protezione dei dati, deve rispettare le regole di contatto con i debitori della Ley 2300 de 2023.

Buone pratiche che puoi applicare subito

• Avviso all'inizio di ogni chiamata: breve, chiaro e con la finalità. Fai lo stesso nelle chiamate in uscita e in quelle gestite da agenti vocali con IA.
• Politica di conservazione per tipo di chiamata: vendite, assistenza e recupero crediti non richiedono lo stesso periodo. Definisci ciascuno e automatizza la cancellazione.
• Accessi per ruolo e registro delle attività: che ogni persona veda solo ciò che le serve e che resti traccia di chi ha ascoltato o scaricato cosa.
• Cifratura end-to-end: in transito e a riposo, compresi backup ed esportazioni.
• Contratti con il tuo fornitore: un contratto di trasmissione dei dati che definisca Paese di archiviazione, misure di sicurezza, subappaltatori e restituzione o cancellazione alla fine del rapporto.
• Riferimenti di sicurezza: la norma ISO/IEC 27001:2022 descrive come costruire un sistema di gestione della sicurezza delle informazioni basato sui rischi. Che il tuo fornitore la conosca o sia certificato è un buon segnale, anche se non sostituisce i tuoi obblighi.

Cosa chiedere al tuo fornitore di telefonia in cloud

Prima di sottoscrivere un centralino PBX in cloud o una piattaforma per call center, chiedi risposte scritte a queste domande:

1. In quale Paese e in quale data center finiscono le registrazioni, i registri e le trascrizioni?
2. Sono cifrati in transito e a riposo? Chi gestisce le chiavi?
3. Dove si trovano i backup e quanto durano?
4. Posso configurare periodi di conservazione e cancellazione automatica?
5. Quale personale del fornitore può accedere ai miei dati e ne resta traccia?
6. Usate subappaltatori o servizi di IA di terzi che elaborano i miei audio?
7. Firmate un contratto di trasmissione dei dati conforme alla legge colombiana?
8. Come mi avvisate se si verifica un incidente di sicurezza?
9. Cosa succede ai miei dati se disdico il servizio?

In 19 80 TIC Cloud crediamo che queste domande debbano avere risposte chiare fin dal primo giorno; se vuoi esaminare il tuo caso, puoi scriverci.

Questo articolo è un'informazione generale e non costituisce consulenza legale. Per decisioni concrete, rivolgiti a un avvocato specializzato in protezione dei dati.