RGPD y automatización de la atención al cliente: guía práctica

Una automatización de soporte toca datos personales en varios puntos, a menudo más de los que el equipo cree. Identificarlos es el primer paso práctico, porque en cada uno entran en juego la minimización de datos, la conservación y los contratos con proveedores.

• Transcripciones de chats y correos: nombres, correos electrónicos, números de teléfono, números de pedido y cualquier otra cosa que escriban los clientes.
• Campos y adjuntos de los tickets del helpdesk que una automatización lee o copia a otra herramienta.
• Prompts y respuestas enviados a un modelo de IA, si tu bot usa uno.
• Registros de ejecución de tu plataforma de automatización, que pueden guardar los datos que recibió cada paso.
• Notificaciones publicadas en Slack u otras herramientas internas.

El artículo 6(1) enumera seis bases jurídicas: consentimiento, contrato, obligación legal, intereses vitales, misión de interés público e intereses legítimos. El Tribunal de Justicia de la UE ha descrito esta lista como exhaustiva y taxativa, así que el tratamiento tiene que encajar en al menos una de ellas.

En el trabajo de soporte hay dos bases que aparecen con más frecuencia. La base contractual cubre el tratamiento necesario para ejecutar un contrato con la persona o para aplicar medidas que ella haya solicitado antes de celebrarlo. En el asunto C-621/22, el Tribunal de Justicia señaló que el interés legítimo exige tres condiciones acumulativas: que el responsable del tratamiento o un tercero persiga un interés legítimo, que el tratamiento sea necesario para ese interés y que no prevalezcan sobre él los intereses o derechos fundamentales de la persona. Las autoridades públicas no pueden basarse en el interés legítimo para el tratamiento que realicen en el ejercicio de sus funciones.

En la práctica, enumera cada finalidad por separado. Responder a la pregunta del cliente, formar al personal con transcripciones antiguas y elaborar informes son finalidades distintas, y cada una necesita su propia base.

Según el artículo 28(1), solo puedes recurrir a encargados que ofrezcan garantías suficientes para aplicar medidas técnicas y organizativas apropiadas. El artículo 28(3) exige un contrato u otro acto jurídico que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados. También debe indicar que el encargado solo actúa siguiendo tus instrucciones documentadas, incluidas las relativas a las transferencias de datos personales a un tercer país. Según el artículo 28(4), un encargado que recurra a un subencargado debe trasladarle por contrato las mismas obligaciones de protección de datos, y el encargado inicial sigue siendo plenamente responsable ante ti.

• Directrices 07/2020 del CEPD: verificar las garantías de un encargado es una obligación continua, con auditorías e inspecciones cuando proceda. Las instrucciones pueden figurar en un anexo al contrato o en otra forma escrita, como un correo electrónico, siempre que conserves constancia. Una lista general de subencargados que pueda actualizarse de vez en cuando no es suficiente. El encargado debe informarte activamente de los cambios.
• Dictamen 22/2024 del CEPD: la obligación de comprobar que los encargados y subencargados ofrecen garantías suficientes se aplica sea cual sea el nivel de riesgo, aunque la profundidad de las comprobaciones puede variar. La decisión final sobre el uso de un subencargado concreto, y la responsabilidad por ello, sigue recayendo en el responsable del tratamiento.

Una cadena de soporte típica puede incluir un helpdesk, una plataforma de automatización, un proveedor de modelos de IA y una herramienta de chat. Anota qué proveedores tratan datos personales por cuenta tuya, revisa las condiciones de tratamiento de datos y la lista de subencargados de cada uno, y archívalas.

Dónde se ejecuta tu automatización decide dónde se almacenan sus datos. Make ofrece dos ubicaciones de centro de datos, Estados Unidos y la Unión Europea. Eliges una al crear una organización, no se puede cambiar después y decide dónde se almacenan y procesan tus datos. Si alojas n8n en tus propios servidores, sus ajustes de ejecución controlan cuántos datos de ejecución se conservan. El valor predeterminado documentado es un máximo de 10.000 ejecuciones almacenadas, y 0 significa sin límite.

Como el artículo 28(3) abarca las instrucciones sobre transferencias a terceros países, comprueba en las condiciones de cada proveedor dónde se tratan los datos. Configura la conservación en todas las herramientas que guarden una copia de los datos, no solo en tu helpdesk.

• Pasa los ID de ticket y los campos que necesita cada paso en lugar de fichas de cliente completas.
• Enmascara correos, números de teléfono y datos de pago antes de que el texto llegue a un modelo de IA. El texto anonimizado parcialmente puede seguir conteniendo datos personales, así que trátalo con el mismo cuidado.
• Depura los registros de ejecución de las automatizaciones y desactiva el registro completo del payload donde no lo necesites.
• Diseña una forma de encontrar, exportar o eliminar los datos de un cliente en el bot, el helpdesk y los registros, para que las solicitudes individuales no requieran una búsqueda manual.
• Envía los casos delicados o de gran impacto a un agente humano en lugar de dejar que decida el bot.
• Recuerda que los chatbots también están sujetos a las normas de transparencia, independientes, del Reglamento de IA de la UE.

TascaLab crea automatizaciones sobre Zendesk, Freshdesk, Jira, Slack y herramientas internas, usando APIs, webhooks, Make y n8n. Todos los proyectos incluyen documentación básica de lo que se ha construido, que ayuda a la hora de mapear los flujos de datos, además de 30 días de soporte tras el lanzamiento. Puedes empezar con una llamada de Health Check gratuita de 30 minutos.