Privacidad en la nube: dónde quedan las grabaciones y los datos de sus llamadas

Qué datos deja una llamada (son más de los que cree)

Cuando piensa en una llamada empresarial, seguramente imagina solo el audio. En realidad, una llamada que pasa por una central telefónica en la nube genera varias capas de información:

• La grabación: la voz del cliente y del agente de su empresa, con todo lo que se dijo. Puede incluir nombres, números de documento, direcciones o, en sectores como salud, información muy delicada.
• El registro de la llamada (CDR): quién llamó, a qué número, a qué hora, cuánto duró y qué agente atendió. Aunque no tenga audio, dice mucho de una persona.
• Las transcripciones y resúmenes: si usa agentes de voz con inteligencia artificial o análisis de conversaciones, el audio se convierte en texto que se puede buscar, copiar y compartir con facilidad.
• Los datos del cliente: la ficha en su CRM, las notas del agente, el historial de compras o de pagos que se asocia a cada contacto.

En Colombia, todo lo que permita identificar a una persona es un dato personal, y la voz lo es. Por eso estas capas quedan cobijadas por el régimen de protección de datos.

Dónde se guardan y por qué le debería importar

“Está en la nube” no es una respuesta completa. Detrás hay servidores físicos en un país concreto, administrados por personas concretas. Estas son las preguntas que realmente importan:

• País de almacenamiento: si los datos salen de Colombia, entra en el terreno de la transferencia o transmisión internacional, que tiene reglas propias.
• Cifrado en tránsito: la llamada y los archivos deben viajar protegidos entre el teléfono, la central y el almacenamiento, para que nadie los intercepte por el camino.
• Cifrado en reposo: las grabaciones guardadas deben estar cifradas, de modo que una copia robada del disco no sirva de nada sin las llaves.
• Copias de seguridad: los respaldos también son datos personales. Si borra una grabación del sistema principal pero sigue viva en un backup por años, no la ha borrado de verdad.
• Quién tiene acceso: su equipo, el proveedor, los subcontratistas del proveedor. Cada acceso debería estar justificado y quedar registrado.
• Cuánto tiempo se guardan: guardar “por si acaso” y para siempre aumenta el riesgo sin aportar valor.

Lo que exige la ley en Colombia

El marco principal es la Ley 1581 de 2012 y su reglamentación, el Decreto 1377 de 2013, hoy compilado en el Decreto 1074 de 2015. A octubre de 2026 la Ley 1581 sigue vigente; en el Congreso se han presentado iniciativas para modernizarla, pero mientras no terminen su trámite, estas son las reglas que aplican:

• Autorización previa e informada: necesita el permiso del titular a más tardar al momento de recoger el dato, y debe poder demostrarlo después. Puede darse por escrito, de forma oral o con una conducta inequívoca, pero el silencio nunca cuenta como aceptación.
• Aviso de grabación y finalidad: la persona debe saber que la están grabando y para qué: calidad, soporte de una venta, cumplimiento contractual. Si luego quiere usar las grabaciones para otro fin, como entrenar un modelo de IA, necesita una nueva autorización.
• Datos sensibles: la información de salud es sensible. Su tratamiento exige autorización explícita y debe avisar que responder sobre esos datos es opcional.
• Derechos de los titulares: sus clientes pueden conocer, actualizar, rectificar y pedir que se supriman sus datos, solicitar prueba de la autorización y quejarse ante la Superintendencia de Industria y Comercio (SIC). Los reclamos tienen plazos de respuesta definidos en la ley.
• Retención limitada: los datos solo se conservan el tiempo razonable y necesario para la finalidad, teniendo en cuenta obligaciones legales, contables o contractuales. Cumplida la finalidad, se suprimen.
• Política de tratamiento: debe tener una política de tratamiento de datos escrita en lenguaje claro y a disposición de los titulares.
• Datos fuera del país: la ley prohíbe transferir datos a países sin un nivel adecuado de protección, salvo excepciones (como la autorización expresa del titular). Cuando el proveedor extranjero solo trata los datos por cuenta de su empresa, como encargado, el Decreto 1377 permite hacerlo con un contrato de transmisión que fije sus obligaciones de seguridad y confidencialidad.
• Registro Nacional de Bases de Datos (RNBD): según el Decreto 090 de 2018, deben inscribirse ante la SIC las sociedades y entidades sin ánimo de lucro con activos totales superiores a 100.000 UVT, y las entidades públicas. Si su empresa no llega a ese umbral, igual debe cumplir todos los demás deberes.

La ley también faculta a la SIC para imponer sanciones, que incluyen multas de hasta 2.000 salarios mínimos mensuales y la suspensión de actividades. Y si usa inteligencia artificial sobre sus llamadas, tenga en cuenta la Circular Externa 002 de 2024 de la SIC, que pide evaluar riesgos y, cuando el riesgo es alto, hacer un estudio de impacto de privacidad.

Si opera también en Ecuador o Perú

Ambos países tienen reglas propias, así que no basta con cumplir la ley colombiana:

• Ecuador: la Ley Orgánica de Protección de Datos Personales se publicó en el Registro Oficial en mayo de 2021 y su régimen sancionatorio rige desde mayo de 2023. Su Reglamento General se expidió mediante el Decreto Ejecutivo 904 y se publicó en noviembre de 2023. Aplica incluso a empresas extranjeras que traten datos de personas en Ecuador.
• Perú: la Ley 29733 cuenta con un nuevo reglamento, aprobado por el Decreto Supremo 016-2024-JUS, vigente desde el 30 de marzo de 2025. Entre sus novedades está la obligación de notificar incidentes de seguridad a la autoridad en un máximo de 48 horas y de designar un oficial de datos personales en ciertos casos, por ejemplo cuando se tratan grandes volúmenes de datos o datos sensibles como actividad principal.

Por ejemplo: una clínica que graba sus llamadas

Imagine una clínica en Medellín que agenda citas por teléfono y graba todas las llamadas. En ellas los pacientes mencionan síntomas, medicamentos y diagnósticos: datos sensibles. Esto es lo que debería tener en orden:

1. Un mensaje al inicio de la llamada que diga que se graba, para qué, y dónde consultar la política de datos.
2. Autorización explícita para tratar datos de salud, guardada de forma que se pueda probar.
3. Una regla de retención clara: por ejemplo, conservar las grabaciones de agendamiento solo el tiempo necesario para atender quejas, y borrarlas después, también de los respaldos.
4. Acceso por rol: la recepcionista ve su agenda, el coordinador de calidad escucha muestras, y nadie más descarga audios sin dejar rastro.
5. Un contrato con su proveedor de telefonía en la nube que diga en qué país están los servidores, cómo se cifran los archivos y qué pasa con los datos si termina la relación.

Una empresa de cobranza tendría un caso parecido, con un matiz extra: además de la protección de datos, debe respetar las reglas de contacto con deudores de la Ley 2300 de 2023.

Buenas prácticas que puede aplicar ya

• Aviso al inicio de cada llamada: corto, claro y con la finalidad. Haga lo mismo en llamadas salientes y en las atendidas por agentes de voz con IA.
• Política de retención por tipo de llamada: ventas, soporte y cobranza no necesitan el mismo plazo. Define cada uno y automatiza el borrado.
• Accesos por rol y bitácora: que cada persona vea solo lo que necesita y que quede registro de quién escuchó o descargó qué.
• Cifrado de punta a punta: en tránsito y en reposo, incluyendo respaldos y exportaciones.
• Contratos con su proveedor: un contrato de transmisión de datos que defina país de almacenamiento, medidas de seguridad, subcontratistas y devolución o borrado al terminar.
• Referentes de seguridad: la norma ISO/IEC 27001:2022 describe cómo montar un sistema de gestión de seguridad de la información basado en riesgos. Que su proveedor la conozca o esté certificado es una buena señal, aunque no reemplaza sus propias obligaciones.

Qué preguntarle a su proveedor de telefonía en la nube

Antes de contratar una PBX en la nube o una plataforma de call center, pida respuestas por escrito a estas preguntas:

1. ¿En qué país y en qué centro de datos quedan las grabaciones, los registros y las transcripciones?
2. ¿Se cifran en tránsito y en reposo? ¿Quién administra las llaves?
3. ¿Dónde están los respaldos y cuánto tiempo duran?
4. ¿Puedo configurar plazos de retención y borrado automático?
5. ¿Qué personal del proveedor puede acceder a mis datos y queda registro de ello?
6. ¿Usan subcontratistas o servicios de IA de terceros que procesen mis audios?
7. ¿Firman un contrato de transmisión de datos conforme a la ley colombiana?
8. ¿Cómo me avisan si hay un incidente de seguridad?
9. ¿Qué pasa con mis datos si cancelo el servicio?

En 19 80 TIC Cloud creemos que estas preguntas deberían tener respuestas claras desde el primer día; si quiere revisar su caso, puede escribirnos.

Este artículo es información general y no constituye asesoría legal. Para decisiones concretas, consulte con un abogado especialista en protección de datos.