一通电话会留下哪些数据（比您想象的多）
说到企业通话，您想到的可能只有音频。实际上，一通经过云端电话交换机的通话会产生多层信息：
- 录音：客户和坐席的声音，以及所说的全部内容。其中可能包括姓名、证件号码、地址，在医疗等行业还可能包含非常敏感的信息。
- 通话记录（CDR）：谁打的电话、拨往哪个号码、什么时间、通话多久、由哪位坐席接听。即使没有音频，这些信息也能透露一个人的大量情况。
- 转写文本和摘要：如果您使用人工智能语音坐席或通话分析，音频会被转成文字，可以轻松搜索、复制和分享。
- 客户数据：您CRM中的客户档案、坐席的备注，以及与每位联系人关联的购买或付款记录。
在哥伦比亚，凡是能够识别个人身份的信息都属于个人数据，声音也不例外。因此，上述各层信息都受数据保护制度的约束。
数据存放在哪里，为什么您应该关心
“在云端”并不是一个完整的答案。背后是位于某个具体国家的物理服务器，由具体的人员管理。真正重要的是以下这些问题：
- 存储所在国：如果数据离开哥伦比亚，就涉及跨境转移或跨境传输，这有其专门的规则。
- 传输加密：通话和文件在电话、交换机和存储之间传输时必须受到保护，以免在途中被截获。
- 静态加密：已存储的录音必须加密，这样即使硬盘副本被盗，没有密钥也毫无用处。
- 备份：备份同样是个人数据。如果您从主系统中删除了一段录音，但它仍在备份中保留多年，那就不算真正删除。
- 谁有访问权限：您的团队、服务商、服务商的分包商。每一次访问都应有正当理由并留有记录。
- 保存多久：“以防万一”而永久保存，只会增加风险，却不会带来价值。
哥伦比亚法律的要求
主要法律框架是Ley 1581 de 2012（2012年第1581号法律，哥伦比亚个人数据保护法）及其实施条例 Decreto 1377 de 2013（2013年第1377号法令），该法令现已汇编入 Decreto 1074 de 2015（2015年第1074号法令）。截至2026年10月，Ley 1581 仍然有效；国会已提出若干修订提案，但在其完成立法程序之前，适用的仍是以下规则：
- 事先知情授权：您最迟须在收集数据时取得数据主体的许可，并且日后能够证明这一点。授权可以是书面、口头或以明确无误的行为作出，但沉默绝不视为同意。
- 录音告知及目的说明：当事人必须知道自己正在被录音以及录音的用途：质量控制、销售凭证、履行合同等。如果之后您想将录音用于其他目的，例如训练AI模型，就需要重新取得授权。
- 敏感数据：健康信息属于敏感数据。处理此类数据需要明确授权，并且您必须告知对方，回答有关这些数据的问题是自愿的。
- 数据主体的权利：您的客户有权查询、更新、更正并要求删除其数据，有权要求出示授权证明，并可向工商监管局（Superintendencia de Industria y Comercio，SIC）投诉。法律对投诉的答复期限有明确规定。
- 有限保存：数据只能在实现目的所需的合理期限内保存，同时考虑法律、会计或合同义务。目的达成后即应删除。
- 数据处理政策：您必须制定一份以清晰语言书写、可供数据主体查阅的数据处理政策。
- 境外数据：法律禁止将数据转移至保护水平不足的国家，但有例外情况（例如数据主体明确授权）。如果境外服务商仅作为受托方代您处理数据，Decreto 1377 允许通过一份传输合同来进行，合同中须明确其安全与保密义务。
- 国家数据库登记（RNBD）：根据 Decreto 090 de 2018（2018年第090号法令），资产总额超过100,000 UVT的公司和非营利机构以及公共机构，必须在SIC登记。即使您的企业未达到该门槛，仍须履行其他所有义务。
该法律还授权SIC实施处罚，包括最高2,000个月最低工资的罚款以及暂停经营活动。如果您对通话使用人工智能，还需注意SIC的 Circular Externa 002 de 2024（2024年第002号对外通函），该通函要求评估风险，并在风险较高时开展隐私影响评估。
如果您同时在厄瓜多尔或秘鲁开展业务
这两个国家都有各自的规则，因此仅遵守哥伦比亚法律是不够的：
- 厄瓜多尔：Ley Orgánica de Protección de Datos Personales（《个人数据保护组织法》）于2021年5月在官方公报上发布，其处罚制度自2023年5月起生效。其总条例通过 Decreto Ejecutivo 904（第904号行政法令）颁布，并于2023年11月公布。该法甚至适用于处理厄瓜多尔境内个人数据的外国企业。
- 秘鲁：Ley 29733（第29733号法律）有了新的实施条例，由 Decreto Supremo 016-2024-JUS（第016-2024-JUS号最高法令）批准，自2025年3月30日起生效。其新规定包括：须在最长48小时内向主管机关通报安全事件，并在特定情况下指定个人数据保护官，例如以处理大量数据或敏感数据为主要业务时。
举个例子：一家对通话进行录音的诊所
设想麦德林一家通过电话预约挂号、并对所有通话录音的诊所。患者在通话中会提到症状、药物和诊断结果：这些都是敏感数据。该诊所应当做好以下几点：
- 在通话开始时播放提示，说明正在录音、录音用途，以及在哪里可以查阅数据政策。
- 取得处理健康数据的明确授权，并以可证明的方式保存。
- 制定清晰的保存规则：例如，预约通话录音仅在处理投诉所需的期限内保存，之后予以删除，备份中的副本也要删除。
- 按角色授权访问：前台只能查看自己的预约日程，质量协调员可以抽听样本，其他任何人都不能在不留痕迹的情况下下载音频。
- 与云电话服务商签订合同，写明服务器位于哪个国家、文件如何加密，以及合作终止后数据如何处理。
催收公司的情况与此类似，但还要多注意一点：除了数据保护之外，还必须遵守 Ley 2300 de 2023（2023年第2300号法律）中关于联系债务人的规定。
现在就可以落实的最佳实践
- 每通电话开始时进行告知：简短、清晰并说明目的。呼出电话以及由AI语音坐席接听的电话也应如此。
- 按通话类型制定保存政策：销售、客服和催收所需的保存期限各不相同。分别确定期限，并实现自动删除。
- 按角色授权并保留日志：让每个人只能看到其所需的内容，并记录谁收听或下载了什么。
- 端到端加密：传输中和存储时都要加密，包括备份和导出文件。
- 与服务商签订合同：签订一份数据传输合同，明确存储所在国、安全措施、分包商，以及合作结束时数据的返还或删除。
- 安全参考标准：ISO/IEC 27001:2022 标准阐述了如何建立基于风险的信息安全管理体系。如果您的服务商熟悉该标准或已获得认证，这是一个好的信号，但它不能替代您自身的义务。
应该向云电话服务商提出哪些问题
在采购云PBX或呼叫中心平台之前，请要求对方以书面形式回答以下问题：
- 录音、通话记录和转写文本存放在哪个国家、哪个数据中心？
- 传输中和存储时是否加密？密钥由谁管理？
- 备份存放在哪里，保存多长时间？
- 我能否设置保存期限和自动删除？
- 服务商的哪些人员可以访问我的数据，是否留有记录？
- 是否使用分包商或第三方AI服务来处理我的音频？
- 是否会签署符合哥伦比亚法律的数据传输合同？
- 如果发生安全事件，你们会如何通知我？
- 如果我取消服务，我的数据会怎样处理？
在 19 80 TIC Cloud，我们认为这些问题从第一天起就应该有明确的答案；如果您想评估自己的情况，欢迎联系我们。
本文仅为一般性信息，不构成法律意见。如需作出具体决策，请咨询数据保护领域的专业律师。
