通話が残すデータ（思っているより多くあります）
企業の通話と聞くと、音声だけを思い浮かべるかもしれません。実際には、クラウドの電話交換機を通る通話は、いくつもの層の情報を生み出します。
- 録音：顧客とオペレーターの声、そして話されたすべての内容です。氏名、身分証番号、住所、医療のような分野では非常にデリケートな情報が含まれることもあります。
- 通話記録（CDR）：誰が、どの番号に、何時に電話し、何分話し、どのオペレーターが対応したか。音声がなくても、その人について多くを語ります。
- 文字起こしと要約：AI音声エージェントや会話分析を使っている場合、音声はテキストに変換され、簡単に検索、コピー、共有できるようになります。
- 顧客データ：CRMの顧客情報、オペレーターのメモ、各連絡先に紐づく購入履歴や支払い履歴です。
コロンビアでは、個人を特定できるものはすべて個人データであり、声もそれに含まれます。そのため、これらの層はすべてデータ保護制度の対象になります。
どこに保存されるのか、なぜ気にすべきなのか
「クラウドにあります」は十分な答えではありません。その裏には、特定の国にある物理的なサーバーがあり、特定の人たちが管理しています。本当に重要なのは次の質問です。
- 保存されている国：データがコロンビア国外に出る場合、独自のルールがある国際的な移転（transferencia）または委託移送（transmisión）の領域に入ります。
- 通信中の暗号化：通話やファイルは、電話機、交換機、保存先の間を保護された状態で移動し、途中で誰にも傍受されないようにする必要があります。
- 保存時の暗号化：保存された録音は暗号化しておくべきです。そうすれば、ディスクのコピーが盗まれても、鍵がなければ役に立ちません。
- バックアップ：バックアップも個人データです。メインのシステムから録音を削除しても、バックアップに何年も残っていれば、本当に削除したことにはなりません。
- アクセスできる人：御社のチーム、プロバイダー、プロバイダーの委託先。どのアクセスにも正当な理由があり、記録が残るべきです。
- 保存期間：「念のため」に永久に保存しておくことは、価値を生まないままリスクを増やします。
コロンビアの法律が求めること
主な枠組みはLey 1581 de 2012（2012年個人データ保護法）と、その施行規則であるDecreto 1377 de 2013（現在はDecreto 1074 de 2015に統合）です。2026年10月時点でLey 1581は引き続き有効です。国会には同法を近代化する法案が提出されていますが、審議が終わるまでは、次のルールが適用されます。
- 事前の、説明を受けたうえでの同意：遅くともデータを収集する時点までに本人の許可を得る必要があり、後でそれを証明できなければなりません。同意は書面、口頭、あるいは疑いの余地のない行動で示すことができますが、沈黙が承諾とみなされることは決してありません。
- 録音の告知と目的：本人は、録音されていること、そしてその目的（品質向上、販売の証拠、契約の履行など）を知っている必要があります。後で録音をAIモデルの学習など別の目的に使いたい場合は、新たな同意が必要です。
- 機微データ：健康に関する情報は機微データです。その取り扱いには明示的な同意が必要で、そうしたデータに関する質問への回答は任意であることを伝えなければなりません。
- 本人の権利：顧客は自分のデータを知り、更新し、訂正し、削除を求めることができ、同意の証明を求めたり、商工監督庁（Superintendencia de Industria y Comercio、SIC）に苦情を申し立てたりできます。申し立てには、法律で定められた回答期限があります。
- 保存の制限：データは、法令、会計、契約上の義務を考慮しつつ、目的のために合理的かつ必要な期間だけ保存します。目的を果たしたら削除します。
- 取扱方針：平易な言葉で書かれたデータ取扱方針を用意し、本人がいつでも確認できるようにしておく必要があります。
- 国外のデータ：法律は、十分な保護水準のない国へのデータ移転を禁じています。ただし本人の明示的な同意などの例外があります。海外のプロバイダーが御社のためにのみ、つまり受託者としてデータを扱う場合、Decreto 1377は、セキュリティと機密保持の義務を定めた委託移送契約を結ぶことでこれを認めています。
- 国家データベース登録（RNBD）：Decreto 090 de 2018によると、総資産が100,000 UVTを超える会社および非営利団体、ならびに公的機関はSICへの登録が必要です。御社がこの基準に達していなくても、それ以外の義務はすべて果たさなければなりません。
法律はSICに制裁を科す権限も与えており、最大で法定最低月額賃金2,000カ月分の罰金や業務停止が含まれます。また、通話にAIを使う場合は、SICのCircular Externa 002 de 2024（2024年外部通達第002号）にも注意してください。リスクを評価し、リスクが高い場合はプライバシー影響評価を行うよう求めています。
エクアドルやペルーでも事業を行っている場合
両国にはそれぞれ独自のルールがあるため、コロンビアの法律を守るだけでは不十分です。
- エクアドル：Ley Orgánica de Protección de Datos Personales（個人データ保護組織法）は2021年5月に官報（Registro Oficial）に公布され、その制裁規定は2023年5月から施行されています。施行規則（Reglamento General）は大統領令（Decreto Ejecutivo）904によって制定され、2023年11月に公布されました。エクアドルにいる人のデータを扱う外国企業にも適用されます。
- ペルー：Ley 29733（個人データ保護法）には、Decreto Supremo 016-2024-JUSで承認された新しい施行規則があり、2025年3月30日から施行されています。新たな点として、セキュリティインシデントを最大48時間以内に当局へ報告する義務や、大量のデータや機微データの取り扱いを主な業務とする場合など、一定のケースで個人データ責任者を任命する義務があります。
たとえば：通話を録音しているクリニック
メデジンにある、電話で予約を受け付け、すべての通話を録音しているクリニックを想像してください。患者は通話の中で症状、薬、診断について話します。これらは機微データです。クリニックが整えておくべきことは次のとおりです。
- 通話の冒頭で、録音していること、その目的、データ取扱方針の確認先を伝えるメッセージ。
- 健康データを扱うための明示的な同意を、証明できる形で保存しておくこと。
- 明確な保存ルール。たとえば、予約の録音は苦情に対応するために必要な期間だけ保存し、その後はバックアップからも削除する。
- 役割に応じたアクセス権限。受付担当は自分の予約表を見る、品質管理担当はサンプルを聞く、それ以外の人は記録を残さずに音声をダウンロードできない。
- クラウド電話プロバイダーとの契約で、サーバーがどの国にあるか、ファイルがどう暗号化されるか、契約終了時にデータがどうなるかを定めておくこと。
債権回収会社も似たケースですが、さらに一つ注意点があります。データ保護に加えて、Ley 2300 de 2023（2023年債務者への連絡に関する法律）が定める債務者への連絡ルールも守らなければなりません。
今すぐ実践できるベストプラクティス
- 通話ごとの冒頭告知：短く、明確に、目的を添えて。発信する通話やAI音声エージェントが対応する通話でも同じようにしましょう。
- 通話の種類ごとの保存方針：営業、サポート、債権回収で必要な保存期間は同じではありません。それぞれを定め、削除を自動化しましょう。
- 役割に応じたアクセスとログ：各人が必要なものだけを見られるようにし、誰が何を聞いたり、ダウンロードしたりしたかの記録を残しましょう。
- 全経路での暗号化：通信中も保存時も、バックアップやエクスポートを含めて暗号化します。
- プロバイダーとの契約：保存国、セキュリティ対策、委託先、契約終了時のデータ返還や削除を定めたデータ委託移送契約を結びましょう。
- セキュリティの参考基準：ISO/IEC 27001:2022は、リスクに基づく情報セキュリティマネジメントシステムの構築方法を示しています。プロバイダーがこの規格を理解しているか、認証を取得していれば良い兆候ですが、御社自身の義務がなくなるわけではありません。
クラウド電話プロバイダーに確認すべきこと
クラウドPBXやコールセンタープラットフォームを契約する前に、次の質問への回答を書面でもらいましょう。
- 録音、通話記録、文字起こしは、どの国のどのデータセンターに保存されますか？
- 通信中と保存時に暗号化されていますか？鍵は誰が管理していますか？
- バックアップはどこにあり、どれくらいの期間保持されますか？
- 保存期間と自動削除を設定できますか？
- プロバイダーのどの担当者が私のデータにアクセスでき、その記録は残りますか？
- 私の音声を処理する委託先や第三者のAIサービスを使っていますか？
- コロンビアの法律に沿ったデータ委託移送契約を結んでもらえますか？
- セキュリティインシデントが起きたら、どのように知らせてもらえますか？
- サービスを解約したら、私のデータはどうなりますか？
19 80 TIC Cloudは、これらの質問には初日から明確な答えがあるべきだと考えています。御社のケースを確認したい場合は、お気軽にご連絡ください。
本記事は一般的な情報であり、法的助言ではありません。具体的な判断については、データ保護を専門とする弁護士にご相談ください。
