Grabar reuniones de Teams y el RGPD: lo que conviene saber

Grabar las reuniones de trabajo es cada vez más habitual. Sirve para no tomar notas, para que quien no pudo asistir se ponga al día y para tener un acta fiable. Pero una grabación recoge datos personales de todas las personas que participan, y eso tiene reglas. En España se aplican el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica de Protección de Datos y garantía de los derechos digitales (LOPDGDD), que lo completa.

Este artículo es información general, no asesoramiento jurídico. Cada empresa y cada tipo de reunión es distinto: antes de decidir cómo grabar, consúltalo con tu delegado de protección de datos o con tu abogado.

¿Se puede grabar una reunión de trabajo?

En general, sí, siempre que haya un motivo claro, una base legal y que las personas lo sepan antes. La grabación no es mala en sí misma; el problema llega cuando se graba sin avisar, se guarda para siempre o la ve gente que no tendría que verla. Las preguntas de las secciones siguientes te ayudan a ordenar esas decisiones.

Avisa antes de empezar

El artículo 13 del RGPD obliga a informar a las personas cuando se recogen sus datos. En una reunión, eso significa avisar antes de grabar, no a mitad ni al final. Lo práctico es incluirlo en la convocatoria y repetirlo al empezar. La información debería responder, como mínimo, a estas preguntas:

• Quién es el responsable de la grabación y cómo contactar con su delegado de protección de datos, si lo tiene.
• Para qué se graba y con qué base legal.
• Quién va a tener acceso a la grabación y a la transcripción, incluidos los proveedores.
• Cuánto tiempo se guarda, o con qué criterio se borra.
• Qué derechos tiene cada persona (acceso, supresión, oposición…) y que puede reclamar ante la Agencia Española de Protección de Datos.

La base legal

El artículo 6 del RGPD enumera las bases que permiten tratar datos personales. Para grabar reuniones, las que se suelen valorar son el interés legítimo de la empresa, la ejecución de un contrato y el consentimiento. En una relación laboral el consentimiento rara vez se considera libre, porque la persona trabajadora no está en igualdad con la empresa; por eso a menudo se recurre a otra base. Si eliges el interés legítimo, lo prudente es documentar por qué la grabación es necesaria y por qué no pesa más el derecho de las personas grabadas.

Una finalidad concreta y un plazo

«Por si acaso» no es una finalidad. Define para qué sirve la grabación: redactar el acta, formar al equipo o documentar un acuerdo con un cliente. Esa finalidad marca lo demás. Si la grabación sólo sirve para escribir el acta, quizá baste con guardar la transcripción unas semanas y borrar el audio. Pon un plazo de conservación y, mejor aún, que el borrado sea automático para no depender de que alguien se acuerde.

Quién puede verla

Una grabación de una reunión de dirección no debería estar en la misma carpeta que la de la reunión semanal del equipo. Limita el acceso a quien lo necesita, revisa los enlaces que se comparten fuera y guarda un registro de quién descarga o comparte. Si alguien pide ejercer sus derechos, tendrás que poder encontrar lo que hay sobre esa persona.

El proveedor y el encargo del tratamiento

Si usas una herramienta externa para grabar o transcribir, esa empresa trata los datos por cuenta tuya. El artículo 28 del RGPD exige un contrato de encargo del tratamiento que fije qué puede hacer con ellos. Comprueba también dónde se guardan y se procesan los datos, si se usan para entrenar modelos de IA y qué otras empresas (subencargados) participan. Si los datos salen de la Unión Europea, hacen falta garantías adicionales.

Datos especialmente sensibles

Algunas reuniones tocan datos de categorías especiales: una consulta médica, una conversación sobre la salud de un empleado o un proceso disciplinario. Esos datos tienen una protección reforzada y conviene revisar el caso con tu delegado antes de grabar. Lo mismo ocurre con la voz cuando se usa para identificar a una persona: una huella de voz es un dato biométrico. Que una herramienta reconozca quién habla por su voz no es lo mismo que separar a las personas que hablan, y lo primero exige más cuidado.

Lista rápida antes de grabar

1. Define la finalidad y la base legal, y déjalas por escrito.
2. Avisa en la convocatoria y otra vez al empezar la reunión.
3. Decide quién tendrá acceso y dónde se guardará.
4. Fija un plazo de conservación y automatiza el borrado.
5. Firma el encargo del tratamiento con el proveedor y revisa dónde están los datos.
6. Si hay datos de salud u otros especialmente sensibles, consúltalo antes con tu delegado.

Cómo te ayuda Echo

Ninguna herramienta hace que cumplas por sí sola: las decisiones de arriba son tuyas. Lo que sí puede hacer es ponértelo fácil. Así lo plantea Echo:

• El asistente avisa de que graba. Entra en la reunión de Teams con su nombre, escribe en el chat que la reunión se está grabando y, con la cámara encendida, enseña «Esta reunión se está grabando». Puedes cambiar su nombre y su mensaje, pero el mensaje tiene que seguir avisando de la grabación.
• Datos e IA en la Unión Europea. La transcripción y la IA funcionan en servidores propios de Edorteam en la UE. Tus reuniones no se envían a proveedores de IA de terceros ni se usan para entrenar modelos.
• Borrado automático a los 7, 30, 90, 180, 365 o 730 días, para lo personal o para todo un espacio de equipo.
• Ocultar datos personales: DNI, teléfonos, cuentas bancarias, tarjetas y correos se cambian en el texto y el resumen por [DNI], [teléfono] y similares.
• Carpetas restringidas para lo delicado, que sólo ve quien está en la lista. Tampoco salen en la búsqueda ni en las respuestas de quien no tiene acceso.
• Registro de actividad de subidas, descargas, enlaces, invitaciones y cambios de rol, sin el contenido de las reuniones.
• Encargo del tratamiento publicado en Encargo del tratamiento, y la lista de subencargados en Seguridad.
• El reconocimiento de voces está desactivado si no lo activas tú. Echo separa a las personas que hablan sin guardar su huella de voz.

Además, cada persona puede descargar todos sus datos o borrar su cuenta desde Ajustes, Tus datos. Tienes el detalle técnico en Seguridad y, si tu empresa necesita revisar algo concreto antes de empezar, escríbenos desde contacto. Una cosa que conviene saber: Echo todavía no tiene certificaciones como ISO 27001 o ENS.