Grabar y transcribir reuniones con el RGPD: guía completa

Grabar reuniones ya no es algo excepcional. Se graba para no tomar notas, para que quien no pudo ir se ponga al día, para tener un acta fiable o para que una herramienta saque las tareas. Si además la grabación se transcribe, el contenido deja de estar encerrado en un archivo de audio: se puede buscar, resumir, compartir y citar. Todo eso es útil, y también es tratamiento de datos personales. En España se aplica el Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD), que lo completa. Si buscas una versión corta centrada en Teams, la tienes en Grabar reuniones de Teams y el RGPD. Aquí vamos más a fondo.

Esta guía es información general, no asesoramiento jurídico. Cada organización, cada tipo de reunión y cada sector tienen matices propios. Antes de decidir cómo grabar, revísalo con tu delegado de protección de datos (DPD) o con tu abogado.

Qué datos tratas cuando grabas una reunión

Una grabación de vídeo contiene la imagen y la voz de cada participante; una de audio, al menos la voz. La transcripción añade el texto de lo que dice cada persona, normalmente con su nombre y la hora. Y si usas una herramienta con IA, aparecen datos derivados: resúmenes, tareas con responsable, decisiones atribuidas o análisis de cuánto habla cada uno. A esto se suman los metadatos: quién estaba invitado, sus correos, la fecha y la duración. Conviene tenerlo todo en cuenta al hacer el registro de actividades de tratamiento, porque cada uno de esos elementos puede tener un uso y un plazo distintos. No es lo mismo guardar una transcripción para redactar el acta que usar el análisis de la conversación para evaluar a una persona.

Quién es quién: responsable, encargado y subencargado

• Responsable del tratamiento: la organización que decide grabar, para qué y cómo. Si tu empresa graba sus reuniones, es la responsable, aunque la grabación la haga una herramienta externa. Responde ante las personas grabadas y ante la Agencia Española de Protección de Datos (AEPD).
• Encargado del tratamiento: el proveedor que graba, transcribe o guarda los datos por cuenta del responsable y siguiendo sus instrucciones. No puede usarlos para fines propios. La relación se regula con un contrato de encargo (artículo 28 del RGPD).
• Subencargado: otra empresa a la que el encargado recurre para prestar el servicio, como un centro de datos, un proveedor de correo o un servicio de pago. El encargado necesita la autorización del responsable, que puede ser general con aviso de los cambios, y tiene que trasladarle las mismas obligaciones.

Hay un matiz importante: si un proveedor usa tus grabaciones para entrenar sus modelos de IA o para cualquier otro fin propio, deja de actuar sólo por tu cuenta en esa parte y pasa a decidir él. Eso complica tu posición, porque tendrías que informar de esa cesión y justificarla. Por eso la pregunta sobre el entrenamiento es de las primeras que hay que hacer al elegir herramienta.

La base legal según el tipo de reunión

El artículo 6 del RGPD enumera las bases que permiten tratar datos: consentimiento, ejecución de un contrato o de medidas precontractuales, obligación legal, intereses vitales, misión de interés público o ejercicio de poderes públicos, e interés legítimo. No hay una base única para «grabar reuniones»: depende de quién participa y para qué se graba. Estos son los casos más habituales y cómo se suelen plantear:

• Reuniones internas del equipo: lo habitual es valorar el interés legítimo de la empresa en documentar acuerdos y organizar el trabajo, con una ponderación por escrito. El consentimiento encaja mal, por lo que verás en la sección siguiente.
• Reuniones con clientes o proveedores: puede servir el interés legítimo o, si la grabación es necesaria para prestar el servicio contratado, la ejecución del contrato. Avisa siempre al empezar y ofrece no grabar si la otra parte lo prefiere; muchas empresas lo incluyen también en sus condiciones.
• Entrevistas de trabajo: la persona candidata está en una posición delicada y el proceso puede acabar en una decisión que le afecta. Si grabas, define bien el fin (por ejemplo, que otra persona del equipo pueda valorar la entrevista), limita quién la ve, borra pronto las de quien no siga en el proceso y no uses análisis automáticos para decidir. Ofrecer una entrevista sin grabar es una buena práctica.
• Administraciones públicas: una administración no puede apoyarse en el interés legítimo para lo que hace en el ejercicio de sus funciones. Su base suele ser la misión de interés público o una obligación legal, según la norma que regule ese órgano o esa actividad. Las sesiones públicas de órganos colegiados tienen además reglas propias de publicidad y actas.
• Formaciones, webinarios y eventos: si la grabación se va a publicar o difundir, el análisis cambia porque la imagen y la voz llegan a terceros. Aquí el consentimiento de los ponentes es lo más claro, y conviene que el público sepa si sale en la grabación o no.

Consentimiento o interés legítimo en el trabajo

El consentimiento sólo vale si es libre, específico, informado e inequívoco, y la persona tiene que poder retirarlo sin perjuicio. En una relación laboral eso es difícil: quien trabaja para una empresa no está en igualdad de condiciones para decir que no, y las autoridades de protección de datos lo recuerdan a menudo. Además, si alguien retira el consentimiento a mitad de una serie de reuniones, tendrías que dejar de grabarle o de tratar lo grabado, lo que en la práctica resulta poco manejable.

Por eso muchas empresas optan por el interés legítimo para las reuniones internas. No es una base automática: exige una ponderación documentada. Escribe cuál es el interés (actas fiables, no depender de la memoria, que las personas ausentes se pongan al día), por qué la grabación es necesaria y no basta con algo menos invasivo, qué esperan razonablemente las personas grabadas y qué medidas reducen el impacto: aviso previo, acceso limitado, plazo corto, borrado automático. Ten en cuenta también que la LOPDGDD tiene reglas específicas cuando la grabación de sonido se usa como medida de control laboral. Grabar para hacer el acta no es vigilar, pero si la grabación acaba sirviendo para evaluar o sancionar, el análisis es otro.

El deber de informar

El artículo 13 del RGPD obliga a informar en el momento en que se recogen los datos, es decir, antes de que empiece la grabación. La LOPDGDD permite hacerlo por capas: una primera información básica y breve, y un enlace o una dirección donde consultar el resto. En una reunión, lo práctico es ponerlo en la convocatoria, repetirlo al empezar y tener la política completa a mano. La información tiene que cubrir, al menos:

• Quién es el responsable y cómo contactar con su delegado de protección de datos, si lo tiene.
• Para qué se graba y se transcribe, y con qué base legal. Si usas interés legítimo, cuál es.
• Quién recibe los datos, incluidos los proveedores que graban o transcriben.
• Si los datos salen del Espacio Económico Europeo y con qué garantías.
• Cuánto tiempo se guardan la grabación, la transcripción y los resúmenes, o con qué criterio se borran.
• Qué derechos tiene cada persona y que puede reclamar ante la AEPD.

Un ejemplo de primera capa para una convocatoria, que tendrás que adaptar: «Esta reunión se grabará y transcribirá para redactar el acta y facilitar el seguimiento de las tareas. Responsable: [empresa], con la base de su interés legítimo en documentar los acuerdos. Tendrán acceso las personas convocadas y [proveedor], que trata los datos por nuestra cuenta en la Unión Europea. La grabación se borrará a los [plazo]. Puedes ejercer tus derechos y consultar más información en [enlace o correo]. Si prefieres que no se grabe tu intervención, dínoslo antes de empezar».

Voz, salud y otros datos especiales

El artículo 9 del RGPD prohíbe en principio tratar categorías especiales de datos, salvo en los supuestos que enumera. Entre ellas están los datos de salud, los que revelan ideología, afiliación sindical, creencias u orientación sexual, y los datos biométricos dirigidos a identificar a una persona de forma unívoca. En una reunión pueden aparecer sin buscarlos: una baja médica que se comenta, un proceso disciplinario, una reunión con el comité de empresa. Si sabes de antemano que una reunión va a tocar esos temas, piensa si de verdad hace falta grabarla, guárdala con acceso restringido y revisa el caso con tu DPD.

La voz merece un apartado propio. Separar a las personas que hablan («Persona 1», «Persona 2») agrupa fragmentos de audio que suenan parecido, sin saber quién es nadie. Reconocer a alguien por su voz es otra cosa: requiere guardar una huella de voz y compararla con las de otras grabaciones para poner su nombre solo. Esa huella es un dato biométrico usado para identificar, y entra en el artículo 9. Si una herramienta ofrece esta función, comprueba que esté desactivada por defecto, que la puedas apagar y que la huella no salga del sistema. Y si decides activarla, necesitarás una de las excepciones del artículo 9, normalmente el consentimiento explícito de cada persona.

Elegir proveedor: el encargo del tratamiento

El artículo 28 del RGPD dice que sólo puedes recurrir a encargados que ofrezcan garantías suficientes y que la relación tiene que constar en un contrato o acto jurídico. Muchos proveedores publican su encargo del tratamiento y lo aceptas al contratar. Antes de hacerlo, repasa esta lista:

• Objeto y duración: qué datos trata, para qué y durante cuánto tiempo.
• Sólo con tus instrucciones: que no use los datos para fines propios ni para entrenar modelos de IA.
• Confidencialidad de las personas del proveedor que acceden a los datos.
• Medidas de seguridad concretas: cifrado, control de acceso, copias de seguridad y registro de actividad.
• Subencargados: una lista pública, y aviso previo de los cambios para que puedas oponerte.
• Ubicación de los servidores y de los servicios de IA, y garantías si algo sale del EEE.
• Ayuda con los derechos y con las brechas de seguridad, con un plazo de aviso.
• Fin del servicio: que puedas exportar tus datos y que se borren al terminar, incluidas las copias.

Transferencias internacionales

Muchas herramientas de transcripción y de IA procesan los datos fuera del Espacio Económico Europeo, sobre todo en Estados Unidos, o envían el texto a un proveedor de modelos de lenguaje que está allí. Eso es una transferencia internacional y el capítulo V del RGPD exige una base: una decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo con las garantías complementarias que hagan falta, u otras previstas en el reglamento. No basta con que el contrato diga «servidores en Europa»: pregunta también dónde se ejecuta la IA, dónde se guardan las copias y desde dónde puede acceder el soporte técnico. Cuantos menos saltos haya, más fácil es explicarlo en la información a las personas y en tu registro.

Cuánto tiempo guardarlo

El principio de limitación del plazo de conservación dice que los datos se guardan sólo el tiempo necesario para el fin. Piensa en cada pieza por separado. El audio o el vídeo suele necesitarse poco tiempo: hasta que el acta está aprobada o la tarea hecha. La transcripción y el resumen pueden tener un plazo algo más largo si sirven como referencia. Lo que no tiene sentido es guardarlo todo para siempre «por si acaso». Fija los plazos por tipo de reunión, escríbelos en la información y, sobre todo, haz que el borrado sea automático: es la única forma de que se cumpla. Recuerda que las copias de seguridad y las papeleras también cuentan, y que el proveedor debería decirte cuánto tardan en desaparecer de ahí.

Derechos de las personas

Cualquier persona grabada puede pedir acceso a sus datos, su rectificación, su supresión, la limitación del tratamiento u oponerse a él, y en algunos casos su portabilidad. Hay que responder en un mes, ampliable en otros dos si la petición es compleja, avisando del retraso. En la práctica, el acceso es el más frecuente y el más laborioso: tienes que poder encontrar las reuniones en las que aparece alguien y entregarle lo que le afecta sin revelar datos de otros. Una herramienta con búsqueda por persona y por palabra ayuda mucho. Para la oposición en reuniones internas, ten preparada la respuesta: qué haces si alguien no quiere que se grabe su voz (no grabar esa reunión, apagar la grabación en su turno, o resumir sin grabar). Y la supresión tiene que llegar también a los resúmenes, las tareas y los clips que salieron de la grabación.

Paso a paso

1. Define para qué grabas cada tipo de reunión y anótalo en el registro de actividades de tratamiento.
2. Elige la base legal por tipo de reunión y, si es el interés legítimo, escribe la ponderación.
3. Comprueba si alguna reunión puede tocar categorías especiales de datos y, si es así, consúltalo con tu DPD.
4. Valora si hace falta una evaluación de impacto, sobre todo si vas a usar análisis automáticos de personas o reconocimiento de voces.
5. Elige proveedor con la lista del encargo del tratamiento y revisa sus subencargados y dónde procesa la IA.
6. Redacta la información en dos capas y ponla en las convocatorias.
7. Avisa de nuevo al empezar cada reunión y ofrece una alternativa a quien no quiera ser grabado.
8. Limita el acceso: carpetas o espacios por equipo, y cuidado con los enlaces públicos.
9. Configura el borrado automático con el plazo que hayas decidido.
10. Prepara cómo responderás a las peticiones de derechos y revisa todo una vez al año.

Cómo encaja Echo

Las decisiones de arriba son tuyas: ninguna herramienta hace que cumplas por sí sola. Lo que sí puede hacer es no ponerte las cosas más difíciles. Echo es de Edor Team Soft, S.L., una empresa española, y para las empresas actúa como encargado del tratamiento de lo que hay en las grabaciones. Así resuelve los puntos de esta guía:

• Servidores propios en la UE: la transcripción y la IA funcionan en servidores propios de Edorteam en la Unión Europea. Las reuniones no se envían a proveedores de IA de terceros.
• Sin entrenamiento: la IA no se entrena con tus reuniones ni con las de nadie.
• Encargo del tratamiento publicado en Encargo del tratamiento y la lista de subencargados en Seguridad.
• Borrado automático a los 7, 30, 90, 180, 365 o 730 días, para lo personal o para todo un espacio de equipo. Lo borrado a mano pasa a la papelera y desaparece del todo a los 30 días.
• Ocultar datos personales: DNI y NIE, teléfonos, cuentas bancarias, tarjetas y correos se cambian en el texto y el resumen por [DNI], [teléfono] y similares, de forma automática si lo activas.
• Carpetas restringidas para lo delicado: sólo entra quien está en la lista, y su contenido no sale en búsquedas ni respuestas de quien no tiene acceso.
• Registro de actividad de subidas, borrados, descargas, enlaces, invitaciones y cambios de rol, sin guardar el contenido de las reuniones.
• Inicio de sesión único (SSO) con el proveedor de identidad de tu organización, y políticas para limitar enlaces, descargas o el uso de la IA en un espacio.
• El asistente avisa de que graba: entra en Teams con su nombre, escribe en el chat que la reunión se está grabando y, con la cámara, enseña «Esta reunión se está grabando». Puedes cambiar el nombre y el mensaje, pero no quitar el aviso.
• Reconocimiento de voces desactivado por defecto: Echo separa a las personas sin guardar su huella de voz. Sólo la guarda si activas la opción en Ajustes, y puedes apagarla cuando quieras.

Dos cosas que conviene saber. Si grabas con la extensión de Chrome, con En directo o subes un archivo, Echo no está en la reunión para avisar: el aviso lo das tú. Y Echo todavía no tiene certificaciones como ISO 27001 o ENS. Cada persona puede descargar todos sus datos o borrar su cuenta desde Ajustes, Tus datos. Tienes el detalle técnico en Seguridad, las funciones de equipo en Equipos y, si tu DPD necesita revisar algo antes de empezar, escríbenos desde contacto.