Leyes de Grabación en España: Consentimiento de una Sola Parte, Art. 197 y RGPD (2026)

Para el tratamiento en profundidad del derecho español, este sitio tiene ahora una sección de grabaciones en España: si puedes grabar una conversación en la que participas y cuándo una grabación sirve como prueba.

Respuesta Rápida: ¿España Exige el Consentimiento de una Sola Parte?

España es un país de consentimiento de una sola parte para la grabación. Cualquier participante en una conversación privada o telefónica puede grabarla sin informar ni obtener el acuerdo de la otra parte. No se requiere ningún tono de aviso, notificación ni divulgación previa.

Esta regla se aplica a las llamadas telefónicas, a las reuniones presenciales, a las videoconferencias y a cualquier otro medio en el que usted sea un participante genuino de la conversación grabada. La regla se remonta directamente a la Sentencia 114/1984 del Tribunal Constitucional, resuelta el 29 de noviembre de 1984, que sostuvo que grabar la propia conversación no viola el artículo 18.3 (secreto de las comunicaciones) ni el artículo 18.1 (derecho a la intimidad personal y familiar) de la Constitución Española.

La grabación por terceros se trata de manera completamente distinta. Una persona que no forma parte de la conversación y la intercepta comete un delito según el artículo 197.1 del Código Penal, sancionado con 1 a 4 años de prisión y una multa de 12 a 24 meses.

Para las empresas que operan en España, la regla de consentimiento de una sola parte del derecho penal no sustituye a las obligaciones del RGPD. Una empresa que graba las llamadas de sus clientes debe seguir contando con una base legal válida según el artículo 6 del RGPD y debe informar a los interlocutores de que la llamada está siendo grabada. El consentimiento penal y el consentimiento del RGPD son conceptos jurídicos distintos.

Para los visitantes internacionales, el marco español es más permisivo que el de Alemania (consentimiento de todas las partes según el § 201 StGB) y en general comparable al del Reino Unido y Francia. Dentro de la Unión Europea, la regla española de una sola parte no deja sin efecto el RGPD, que se aplica de manera uniforme en todos los Estados miembros.

Fundamento Constitucional: Artículo 18.3

El artículo 18.3 de la Constitución Española de 1978 garantiza el secreto de las comunicaciones. Las comunicaciones postales, telegráficas y telefónicas son inviolables, salvo resolución judicial.

Este derecho constitucional protege las conversaciones frente a la intromisión externa. Un agente de policía no puede intervenir su teléfono sin autorización judicial. Su empleador no puede grabar las conversaciones privadas de su despacho sin cumplir el umbral elevado establecido por el artículo 89.3 de la LOPDGDD. Su vecino no puede vigilar su teléfono particular sin una orden judicial.

La protección constitucional opera entre las partes de una comunicación y el mundo exterior. No opera entre un participante y otro. Este es el punto estructural clave. Cada parte de una conversación ya tiene acceso completo al contenido que se comunica. Grabar ese contenido, siendo aún participante, no constituye una intromisión desde fuera.

El artículo 18.1, también protegido constitucionalmente, cubre el derecho más amplio al honor personal, a la intimidad personal y familiar, y a la propia imagen. Aquí es donde entra en juego la Ley Orgánica 1/1982 como el instrumento de derecho civil para hacer valer los derechos de imagen y privacidad al margen de la vía penal (abordado en su propia sección más adelante).

STC 114/1984: La Sentencia que Consagró el Consentimiento de una Sola Parte

El 29 de noviembre de 1984, el Tribunal Constitucional dictó la Sentencia 114/1984. El caso involucraba una grabación realizada por un participante de una conversación, sin el conocimiento de la otra parte.

El tribunal sostuvo que grabar la propia conversación, incluso sin informar a la otra persona, es un acto lícito. No viola el derecho constitucional al secreto de las comunicaciones del artículo 18.3 ni el derecho a la intimidad personal y familiar del artículo 18.1.

El razonamiento se basa en el concepto de intromisión desde fuera. El artículo 18.3 protege frente a la interferencia de un tercero ajeno a la comunicación. Un participante en la conversación no es un tercero. Ese participante ya tiene acceso completo a lo que se dice. Optar por conservar ese contenido mediante una grabación no constituye una intromisión desde fuera de la esfera protegida.

La STC 114/1984 también confirmó que las grabaciones realizadas por un participante son admisibles como prueba en procesos judiciales. Una grabación no se convierte en prueba ilícitamente obtenida por el simple hecho de que la otra parte no supiera de ella. El tribunal no encontró obstáculo constitucional para presentar dicha grabación ante un tribunal, siempre que la grabación no haya sido alterada ni manipulada.

Esta sentencia ha sido aplicada de manera constante por el Tribunal Supremo en las décadas posteriores. En conflictos laborales, el Tribunal Supremo ha confirmado el mismo principio: un trabajador que graba una audiencia disciplinaria o una reunión con su empleador actúa lícitamente, y la grabación es prueba válida en el proceso laboral, siempre que quien la realizó fuera un participante y la grabación se presente sin editar.

Artículo 197 del Código Penal: El Estatuto Penal de la Privacidad

El Código Penal, promulgado mediante la Ley Orgánica 10/1995 y reformado por última vez en 2026, dedica su Título X (artículos 197 a 201) a los delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio. El artículo 197 y sus apartados definen los delitos penales centrales relevantes para la grabación.

Artículo 197.1: Prohibición Central

El artículo 197.1 sanciona a quien, sin consentimiento, se apodere de papeles, cartas, correos electrónicos u otros documentos, o intercepte telecomunicaciones, o utilice dispositivos técnicos para la grabación, transmisión o reproducción del sonido, la imagen o cualquier otra señal de comunicación, con el fin de descubrir los secretos o vulnerar la intimidad de otra persona.

Pena: de 1 a 4 años de prisión y multa de 12 a 24 meses.

Los elementos limitantes clave son "sin consentimiento" y "de otro". Un participante que graba su propia conversación cuenta con consentimiento por definición y graba un contenido del que ya forma parte. El artículo 197.1 apunta al tercero ajeno: la persona que coloca un dispositivo de grabación en una habitación que no ocupa, quien interviene una línea telefónica de la que no forma parte, o cualquiera que intercepte comunicaciones digitales entre otras personas sin su conocimiento.

La norma también exige que la finalidad sea "descubrir los secretos o vulnerar la intimidad" de la víctima. Este elemento de finalidad distingue la vigilancia clandestina de la grabación incidental (por ejemplo, una cámara de seguridad que capta por casualidad una conversación sin dirigirse a los secretos de ninguna persona en particular).

Artículo 197.2: Acceso No Autorizado a Datos

El artículo 197.2 cubre el apoderamiento, uso o modificación no autorizados de datos personales o familiares registrados en archivos, bases de datos o sistemas electrónicos, sin el consentimiento de la persona titular de los datos y causando un perjuicio a esa persona.

Pena: de 1 a 4 años de prisión y multa de 12 a 24 meses.

Artículo 197.3: Difusión del Material Interceptado

Si una persona difunde, revela o cede a terceros datos, hechos o imágenes descubiertos mediante los actos descritos en los artículos 197.1 o 197.2, la pena aumenta.

Pena: de 2 a 5 años de prisión.

Esta distinción es importante en la práctica. Grabar una conversación en la que se participa es lícito. Pero compartir esa grabación de un modo que dañe la privacidad o la reputación de la otra persona puede cruzar hacia el terreno penal, según el contenido y la forma de distribución.

Artículo 197.4: Delitos Agravados

Cuando los delitos de los artículos 197.1 o 197.2 son cometidos por personas responsables de archivos, sistemas informáticos o registros, o mediante el uso no autorizado de datos personales pertenecientes a la víctima, las penas aumentan.

Pena: de 3 a 5 años de prisión.

Artículo 197.6: Ánimo de Lucro y Datos Sensibles

Cuando cualquiera de los actos descritos en los artículos 197.1 a 197.4 se cometen con ánimo de lucro, las penas se imponen en su mitad superior. Cuando el delito involucra datos personales especialmente sensibles (información de salud, orientación o vida sexual, opiniones políticas, convicciones religiosas o ideológicas, o afiliación sindical), la pena se incrementa sustancialmente.

Pena: de 4 a 7 años de prisión para los delitos con datos sensibles cometidos con ánimo de lucro.

Artículo 197 bis: Acceso No Autorizado a Sistemas Informáticos

El artículo 197 bis, introducido por la Ley Orgánica 1/2015, aborda dos delitos digitales distintos. El primer párrafo sanciona a quien, sin autorización y vulnerando las medidas de seguridad, accede o se mantiene dentro de un sistema informático o de cualquier parte de este. El segundo párrafo sanciona la interceptación de transmisiones no públicas de datos informáticos hacia, desde o dentro de un sistema informático, incluidas las emisiones electromagnéticas que transporten dichos datos.

Pena: de 6 meses a 2 años de prisión. Las penas aumentan a 2 a 5 años cuando el ataque se dirige contra infraestructuras críticas, sistemas de información de especial interés público, o se realiza en el marco de una organización criminal.

Esta disposición es relevante para el derecho a la grabación porque tipifica la interceptación digital incluso sin la colocación física de un dispositivo. Interceptar un flujo de mensajes de WhatsApp o Signal sin autorización cae bajo el artículo 197 bis, no simplemente bajo el artículo 197.1.

Artículo 197 ter: Facilitación de Herramientas

El artículo 197 ter sanciona la producción, adquisición, importación o posesión de programas informáticos, códigos o equipos diseñados principalmente para facilitar los delitos de los artículos 197 o 197 bis.

Pena: de 6 meses a 2 años de prisión.

Artículo 197 quinquies: Responsabilidad Penal de las Personas Jurídicas

El artículo 197 quinquies establece que las personas jurídicas (empresas, organizaciones) pueden incurrir en responsabilidad penal cuando los delitos de los artículos 197 a 197 quater se cometen en su nombre o en su beneficio, por sus representantes legales, administradores o empleados, sin controles de cumplimiento adecuados. Las penas para las personas jurídicas siguen el marco general del artículo 31 bis del Código Penal y pueden incluir multas sustanciales y restricciones operativas.

Artículo 197.7: Imágenes Íntimas, la Ley Orgánica 10/2022 y los Deepfakes

El artículo 197.7 aborda la difusión no consentida de imágenes y grabaciones íntimas. La disposición sanciona a quien, sin autorización, difunda, revele o ceda a terceros imágenes o grabaciones audiovisuales obtenidas con el consentimiento de la persona afectada en un ámbito privado, cuando la divulgación menoscabe gravemente su intimidad personal.

Pena: de 3 meses a 1 año de prisión, o multa de 6 a 12 meses.

La Ley Orgánica 10/2022 (Ley Orgánica de Garantía Integral de la Libertad Sexual) amplió notablemente esta disposición. Antes de la reforma, solo el autor original de la captación de las imágenes íntimas incurría en responsabilidad. Tras la reforma, cualquiera que posteriormente comparta dichas imágenes sin el consentimiento de la persona afectada enfrenta la misma responsabilidad penal. Si usted recibe imágenes íntimas de otra persona y las reenvía, puede ser procesado.

Las circunstancias agravantes aumentan las penas a la mitad superior del rango cuando:

• La víctima es menor de edad o una persona con discapacidad que necesita especial protección.
• El autor es o fue cónyuge, pareja de hecho o expareja de la víctima, con independencia de la convivencia.
• La difusión se realizó con fines lucrativos.

Deepfakes e Imágenes Íntimas Generadas por IA

El artículo 197.7 fue redactado pensando en grabaciones de hechos reales. Surge una cuestión jurídica con el contenido generado o manipulado por IA: ¿la difusión de una imagen deepfake fotorrealista de una persona en un escenario íntimo sin su consentimiento cae bajo el artículo 197.7?

El texto de la disposición exige que las imágenes hayan sido "obtenidas con el consentimiento" de la persona afectada "en un ámbito privado". Las imágenes generadas por IA nunca se obtuvieron de la persona en absoluto. Este vacío ha sido ampliamente reconocido por los legisladores españoles.

Una proposición de ley registrada en la XV legislatura del Congreso de los Diputados (BOCG-15-B-23-1) buscaba crear nuevos delitos específicos en el Código Penal para las imágenes íntimas generadas por IA sin consentimiento. La propuesta documentó que entre el 90 y el 95 por ciento de los deepfakes pueden clasificarse como contenido pornográfico, y que el 90 por ciento suplanta la identidad de mujeres. Hasta mayo de 2026, esta propuesta no había sido aprobada.

Mientras tanto, los fiscales han perseguido casos de imágenes íntimas no consentidas generadas por IA mediante disposiciones ya existentes, incluidos el artículo 197.7 (para versiones manipuladas con IA de imágenes reales), el artículo 197.1 (cuando el propio proceso de IA constituyó una invasión no autorizada de la intimidad) y el artículo 173 (trato degradante). El fundamento legal sigue sin resolverse a la espera de una legislación específica.

Ley Orgánica 1/1982: Remedios Civiles para la Privacidad y los Derechos de Imagen

Junto a las disposiciones penales del Código Penal, la Ley Orgánica 1/1982 (Ley Orgánica de Protección Civil del Derecho al Honor, a la Intimidad Personal y Familiar y a la Propia Imagen) ofrece un remedio de derecho civil distinto para las violaciones de los derechos al honor, a la intimidad personal y familiar, y a la propia imagen. La víctima de una grabación ilícita no necesita presentar una denuncia penal; puede ejercer una acción civil según esta ley de manera independiente.

Artículo 7: Qué Constituye una Intromisión Ilegítima

El artículo 7 de la Ley Orgánica 1/1982 enumera ocho categorías de intromisiones ilegítimas. Las más relevantes para el derecho a la grabación son:

Artículo 7.1: el emplazamiento de aparatos de escucha, filmación, dispositivos ópticos o de cualquier otro medio apto para grabar o reproducir la vida íntima de las personas.

Artículo 7.2: la utilización de tales aparatos o medios para conocer la vida íntima de las personas o manifestaciones o cartas privadas no destinadas a quien haga uso de tales medios, así como su grabación, registro o reproducción.

Artículo 7.5: la captación, reproducción o publicación de la imagen de una persona en lugares o momentos de su vida privada, aun cuando el lugar sea de carácter público. Esta disposición cubre las situaciones en las que una persona se encuentra en un lugar técnicamente público pero en un momento inherentemente privado (por ejemplo, captar a alguien en un momento de angustia, un episodio médico o una conversación íntima en un parque).

Estas disposiciones operan junto al marco de consentimiento de una sola parte. Un participante en una conversación que la graba no vulnera el artículo 7.2 (porque no es un tercero que adquiere conocimiento de una conversación de la que no forma parte). Pero un tercero que graba una conversación privada, fotografía a una persona en un momento privado en un espacio público, o utiliza equipos de vigilancia para captar una actividad íntima, vulnera el artículo 7 aunque no se presenten cargos penales.

Artículo 9: Remedios Civiles

El artículo 9 de la Ley Orgánica 1/1982 especifica la tutela judicial disponible para las víctimas de intromisiones ilegítimas:

• Cese y restablecimiento. El tribunal puede ordenar el cese inmediato de la intromisión y el restablecimiento del estado anterior, a costa del demandado. Esto incluye ordenar la eliminación o destrucción de las grabaciones.
• Publicación de la sentencia. En los casos que involucren medios de comunicación o divulgación pública, los tribunales pueden ordenar la publicación de la sentencia a costa del demandado.
• Prevención. Los tribunales pueden prohibir intromisiones inminentes o futuras.
• Indemnización. Las víctimas pueden recuperar una indemnización por los daños materiales y morales. Es importante señalar que el daño moral se presume con la sola prueba de la intromisión. La víctima no necesita probar la magnitud del sufrimiento emocional.
• Restitución del enriquecimiento. Cuando el demandado se haya lucrado con la intromisión (por ejemplo, vendiendo imágenes o grabaciones), la víctima puede recuperar dichos beneficios además de su indemnización personal.

Se aplica un plazo de prescripción de cuatro años desde que la víctima tuvo conocimiento de la intromisión y de su autor.

La vía civil suele ser más rápida y accesible que la vía penal para las personas cuya privacidad ha sido vulnerada. No requiere que el Estado impulse la acusación y permite un litigio controlado directamente por la víctima.

Grabación de Llamadas Telefónicas en España

La grabación de llamadas telefónicas en España sigue el mismo principio de consentimiento de una sola parte establecido por la STC 114/1984. Si usted es parte de la llamada, puede grabarla sin avisar a la otra persona. Esto aplica a las llamadas de línea fija, las llamadas móviles y las llamadas por VoIP a través de plataformas como WhatsApp, Signal, Zoom o Teams. Ninguna norma exige anunciar la grabación ni emitir un tono sonoro durante las llamadas personales.

El Tribunal Supremo ha reafirmado este principio en múltiples sentencias. La STS 145/2023, de 2 de marzo de 2023, confirmó que una grabación realizada por uno de los interlocutores no vulnera el secreto de las comunicaciones. La STS 753/2024 aclaró además las reglas procesales para presentar grabaciones hechas por un participante como prueba judicial.

Las aplicaciones de mensajería cifrada merecen una precisión. La prohibición de interceptación del artículo 197.1 y el delito de interceptación digital del artículo 197 bis se aplican con independencia de si las comunicaciones están cifradas. Si usted no es parte de una conversación de WhatsApp entre otras dos personas, interceptarla, incluso sin romper el cifrado, es un delito. El cifrado de extremo a extremo no crea un derecho legal a interceptar; simplemente aumenta la dificultad técnica.

La grabación de llamadas telefónicas por parte de terceros sigue siendo delito. Interceptar una llamada entre otras dos personas sin autorización judicial cae directamente dentro del artículo 197.1.

Grabación Presencial

Las conversaciones cara a cara siguen las mismas reglas de consentimiento de una sola parte. Si usted está presente y participa en la conversación, puede grabarla. Si no forma parte de la conversación, grabarla constituye una interceptación según el artículo 197.1.

Una grabadora de voz oculta en su bolsillo durante una reunión a la que usted asiste es lícita según el marco penal de consentimiento de una sola parte. Una grabadora colocada en una habitación donde ocurre una reunión a la que usted no asiste no lo es. Los tribunales españoles han trazado esta línea de manera constante, tratando el medio de comunicación como irrelevante. Lo que importa es si quien graba es un participante genuino.

En los litigios laborales, esta regla se ha aplicado de forma regular. El Tribunal Supremo ha sostenido en múltiples casos laborales que las grabaciones hechas por trabajadores de reuniones en el lugar de trabajo, audiencias disciplinarias y conversaciones con recursos humanos son admisibles como prueba cuando el trabajador fue un participante y la grabación se presenta sin editar.

Grabación en Espacios Públicos

España no impone una prohibición general a la grabación en espacios públicos. Filmar o fotografiar calles, parques, plazas y otras áreas públicas abiertas está, en general, permitido.

Las expectativas de privacidad varían según el contexto. Una persona que se dirige a una multitud en una plaza pública tiene expectativas limitadas de privacidad respecto de sus declaraciones públicas. Una conversación privada entre dos personas en el banco de un parque, o una persona en un momento de angustia o dificultad médica en un espacio público, conserva una mayor protección.

El artículo 7.5 de la Ley Orgánica 1/1982 prohíbe específicamente la captación, reproducción o publicación de la imagen de una persona en momentos o lugares de su vida privada, incluso cuando el lugar físico sea público. Esto significa que la prohibición de derecho civil sigue el carácter privado del momento, más que la ubicación. Grabar una actuación pública es lícito; grabar una conversación privada en un parque sin participar en ella puede generar responsabilidad civil.

La fotografía o filmación comercial en espacios públicos puede además requerir permisos según los reglamentos municipales locales, con independencia del análisis de privacidad.

Grabación de Agentes de Policía

Grabar a la policía en España tiene una historia legal compleja, marcada por la Ley Orgánica 4/2015 (Ley de Protección de la Seguridad Ciudadana), conocida como la "Ley Mordaza".

El Artículo 36.23 Original y la Expresión "No Autorizado"

El artículo 36.23 de la Ley Mordaza original clasificaba como infracción grave el uso "no autorizado" de imágenes o datos personales de miembros de las fuerzas de seguridad cuando dicho uso pudiera poner en peligro la seguridad personal o familiar de los agentes, la seguridad de instalaciones protegidas, o el éxito de una operación.

Multa: de 601 a 30.000 euros.

Esta disposición generó fuertes críticas de organizaciones de libertad de prensa y de derechos civiles, que argumentaron que otorgaba a la policía un veto efectivo sobre la documentación de su conducta.

STC 172/2020: La Sentencia del Tribunal Constitucional

El 19 de noviembre de 2020, el Tribunal Constitucional dictó la STC 172/2020. El tribunal declaró inconstitucional la expresión "no autorizado" del artículo 36.23, sosteniendo que exigir autorización previa para grabar la actuación policial era contrario a la Constitución. El efecto fue eliminar por completo el requisito de autorización previa.

Tras la STC 172/2020, grabar la actuación policial no requiere permiso. Grabar en sí mismo no es una infracción. La infracción que subsiste es difundir el material de un modo que genere un riesgo concreto para la seguridad de los agentes, de sus familias, de las instalaciones protegidas o de las operaciones en curso.

Usted puede filmar un control de tráfico, grabar una detención o filmar un puesto de control policial. Puede conservar el material y usarlo como prueba en una denuncia o en un proceso judicial. Lo que no puede hacer es publicar el material de un modo que ponga en riesgo específicamente a un agente identificable o comprometa una operación encubierta en curso.

Estado de la Reforma de la Ley Mordaza

Hasta mayo de 2026, las propuestas de reforma de la Ley Orgánica 4/2015 se encontraban ante la XV legislatura del Congreso de los Diputados. Varios grupos parlamentarios habían presentado propuestas de reforma estructural del marco de seguridad ciudadana. No se había publicado en el Boletín Oficial del Estado ninguna reforma aprobada del artículo 36.23. La versión del artículo 36.23 modificada por la STC 172/2020 seguía siendo la norma vigente.

Los agentes de policía no pueden ordenarle legalmente que elimine sus grabaciones. Una exigencia de borrar el material carece de fundamento legal tras la STC 172/2020. Los agentes que confisquen dispositivos de grabación sin autorización judicial pueden enfrentar consecuencias disciplinarias o penales. Los enfrentamientos por el derecho a grabar ocurren en la práctica; es aconsejable conocer el marco legal y mantener la calma.

Grabación en el Lugar de Trabajo

La grabación en el lugar de trabajo en España combina el derecho penal, el derecho laboral y la normativa de protección de datos.

Trabajadores que Graban Conversaciones

Un trabajador que participa en una conversación en el lugar de trabajo puede grabarla conforme a la regla de consentimiento de una sola parte. Esto incluye las reuniones con supervisores, las audiencias disciplinarias, las negociaciones salariales y las conversaciones con representantes de recursos humanos. Los tribunales laborales españoles (Jurisdicción Social) admiten regularmente estas grabaciones como prueba en casos de despido improcedente y acoso laboral.

El Tribunal Supremo ha confirmado que las grabaciones hechas por un participante son prueba válida cuando el trabajador ejerce su derecho a defender intereses legítimos. Se aplican dos condiciones: el trabajador debe haber sido un participante genuino de la conversación, y la grabación debe presentarse sin editar. Los tribunales rechazan las grabaciones que muestren signos de edición, y presentar pruebas manipuladas puede constituir en sí mismo un delito.

Vigilancia del Empleador sobre los Trabajadores

La vigilancia por parte del empleador se rige principalmente por el artículo 89 de la LOPDGDD y por el RGPD.

La videovigilancia en el lugar de trabajo está permitida si: se informa a los trabajadores de la presencia de cámaras (la AEPD exige señalización visible); el monitoreo responde a una finalidad legítima como la seguridad o la verificación del cumplimiento de las obligaciones laborales; las cámaras no se colocan en áreas de descanso, vestidores, baños o comedores (artículo 89.2 de la LOPDGDD); y las imágenes grabadas se conservan por un máximo de un mes, salvo que se necesiten como prueba de un incidente concreto.

La vigilancia por audio enfrenta límites mucho más estrictos. El artículo 89.3 de la LOPDGDD permite la grabación de sonido únicamente cuando las actividades del lugar de trabajo generen riesgos relevantes para la seguridad de las instalaciones, los bienes o las personas. La AEPD ha interpretado esto como un umbral elevado. El monitoreo rutinario de audio de las conversaciones de oficina no cumple ese umbral.

Los tribunales laborales españoles aplican un criterio de proporcionalidad. El empleador debe demostrar que la medida de vigilancia era necesaria, que las alternativas menos intrusivas resultaban insuficientes, y que el monitoreo fue proporcional al riesgo identificado.

Derecho a la Desconexión Digital

El artículo 88 de la LOPDGDD establece el derecho a la desconexión digital de los trabajadores. Los empleadores deben adoptar y publicar una política interna sobre el uso de dispositivos digitales y definir el derecho de los trabajadores a no ser contactados fuera de su jornada laboral. Las políticas de monitoreo en el lugar de trabajo, incluidas las que cubren la grabación de llamadas o reuniones, deben ser coherentes con este derecho. La grabación sistemática de comunicaciones que se extienda más allá de la jornada laboral probablemente entraría en conflicto con el artículo 88.

Directrices de la AEPD sobre la Transcripción de Voz mediante IA

En abril de 2026, la AEPD publicó directrices dirigidas específicamente a las herramientas de transcripción de voz mediante IA utilizadas en entornos laborales y empresariales. Las directrices exigen a los responsables del tratamiento que implementan la transcripción por IA:

• Realizar la diligencia debida para elegir herramientas con capacidad demostrada de cumplimiento del RGPD.
• Proporcionar un aviso transparente y continuo durante la grabación activa (indicadores visibles en pantalla, luces indicadoras o señales sonoras), y no solamente una divulgación única al inicio de la sesión.
• Obtener un consentimiento específico para cada sesión, en lugar de una autorización general para grabaciones futuras.
• Desactivar automáticamente la grabación al finalizar la sesión.
• Corregir proactivamente las imprecisiones de las transcripciones, en lugar de esperar reclamaciones.
• Informar a los titulares de los datos sobre los plazos de conservación específicos.

RGPD y Protección de Datos (LOPDGDD)

España implementa el Reglamento General de Protección de Datos de la Unión Europea mediante la Ley Orgánica 3/2018 (LOPDGDD). La Agencia Española de Protección de Datos (AEPD) es la autoridad de supervisión nacional, con amplias facultades sancionadoras.

Las Grabaciones de Voz como Datos Personales

La AEPD ha confirmado que las grabaciones de voz constituyen datos personales según el RGPD, porque una voz puede identificar a una persona. Cualquier organización que grabe, almacene o trate grabaciones de voz debe cumplir los requisitos del RGPD, incluida la existencia de una base legal válida según el artículo 6.

Datos Biométricos: La Voz Usada para la Identificación

Cuando las grabaciones de voz se tratan con el fin de identificar de manera unívoca a una persona física (por ejemplo, autenticación de voz, verificación biométrica o sistemas de reconocimiento del hablante), constituyen datos biométricos de categoría especial según el artículo 9 del RGPD. El tratamiento de datos de categoría especial requiere tanto una base legal válida del artículo 6 como uno de los fundamentos del artículo 9(2), siendo el consentimiento explícito el más habitual. Este es un umbral significativamente más alto que el tratamiento de datos personales ordinario.

La AEPD sancionó a la empresa de verificación de edad biométrica Yoti con un total de 950.000 euros el 10 de marzo de 2026. El desglose: 500.000 euros por tratamiento ilícito de datos biométricos según el artículo 9 del RGPD; 200.000 euros por consentimiento inválido según el artículo 7; y 250.000 euros por conservación excesiva de datos según el artículo 5.1(e). Yoti ha recurrido ante la Audiencia Nacional. El caso ilustra que la AEPD persigue activamente las infracciones relacionadas con datos biométricos y de categoría especial.

Requisitos de Base Legal para la Grabación de Voz Ordinaria

Según el artículo 6 del RGPD, el tratamiento de grabaciones de voz (que no se usan para identificación biométrica) requiere una de las siguientes bases:

• Consentimiento: el titular de los datos acepta la grabación de manera libre y específica. El consentimiento debe poder retirarse con la misma facilidad con que se otorgó.
• Necesidad contractual: la grabación es necesaria para ejecutar un contrato con el titular de los datos.
• Obligación legal: una norma o reglamento exige la grabación.
• Interés legítimo: el interés legítimo del responsable prevalece sobre los derechos del titular de los datos. La AEPD ha confirmado esta base para la grabación de control de calidad en centros de atención telefónica, siempre que se informe al interlocutor y se le ofrezca la opción de oponerse.

El consentimiento de una sola parte del derecho penal y el consentimiento del RGPD son conceptos jurídicos distintos. Usted puede grabar legalmente su propia conversación sin el conocimiento de la otra parte según el Código Penal. Pero si su organización procesa esa grabación, sigue necesitando una base legal independiente conforme al RGPD.

Obligaciones Empresariales para la Grabación de Llamadas

Las empresas que graban llamadas de clientes en España deben:

• Informar a los interlocutores al inicio de la llamada de que se está grabando.
• Indicar la finalidad de la grabación.
• Identificar al responsable del tratamiento.
• Explicar los derechos del interlocutor: acceso, rectificación, supresión, portabilidad y el derecho a oponerse.

Historial de Aplicación de la AEPD

La AEPD es una de las autoridades de protección de datos más activas de Europa. Las multas del RGPD pueden alcanzar los 20 millones de euros o el 4 por ciento de la facturación anual global, la cifra que resulte mayor. La AEPD emitió 683 resoluciones con sanciones económicas en 2024, situando a España de manera constante entre los tres primeros Estados miembros de la UE por volumen de acciones de aplicación del RGPD. Las organizaciones que procesan grabaciones de voz sin la documentación legal y la transparencia adecuadas enfrentan un riesgo real de sanción.

Una resolución sancionadora de la AEPD de 2026 (expediente EXP202413968, procedimiento PS-00153-2025) muestra cómo ese riesgo alcanza también a instalaciones privadas de grabación. La AEPD multó con 6.000 euros al propietario de un piso de alquiler compartido después de que instalara cámaras que grababan las zonas comunes, el portal, la cocina, la escalera y el cuarto de la caldera, y alegara que una cláusula del contrato de arrendamiento y las normas de la casa aportaban el consentimiento de los inquilinos conforme al artículo 6 del RGPD. La agencia rechazó ese argumento. Consideró abusiva la cláusula y razonó que aceptarla sería poco más o menos que admitir que cualquier cláusula de un contrato es válida por el mero hecho de haberla establecido en él, y ordenó retirar las cámaras en el plazo de un mes. La lección va más allá del vídeo: una firma en una cláusula contractual no fabrica el consentimiento libre, específico e informado que el RGPD exige para grabar a personas identificables en espacios compartidos.

Reglamento de IA de la UE, Deepfakes y Contenido Generado por IA

El Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) entró en vigor en agosto de 2024. Sus obligaciones de transparencia del artículo 50 se aplican a partir del 2 de agosto de 2026, imponiendo requisitos de divulgación a los responsables del despliegue de sistemas de IA que generan contenido sintético de audio, video o imagen.

Artículo 50: Qué Deben Divulgar los Responsables del Despliegue

Según el artículo 50(4) del Reglamento de IA, los responsables del despliegue deben garantizar la divulgación cuando el contenido sea generado o manipulado artificialmente como deepfake. Para el audio generado por IA, la obligación exige avisos audibles. Para el video y las imágenes generados o manipulados por IA, los responsables del despliegue deben usar indicadores visuales persistentes. Para el texto generado por IA publicado con el fin de informar al público sobre asuntos de interés general, se exige la divulgación salvo que el contenido haya sido revisado editorialmente por una parte responsable.

La divulgación debe proporcionarse de manera clara y distinguible. La Comisión Europea publicó en diciembre de 2025 un borrador de Código de Buenas Prácticas sobre la transparencia del contenido generado por IA, proponiendo un icono estandarizado a nivel de la UE y normas de etiquetado específicas para cada modalidad. Se esperaba el código final en junio de 2026, antes de la fecha de entrada en vigor del 2 de agosto de 2026.

Las exenciones incluyen: el contenido con fines artísticos, creativos, satíricos o de ficción cuando la divulgación resultara irrazonable; los usos autorizados con fines policiales; y las herramientas de IA que constituyan una edición asistida menor que no altere sustancialmente el contenido original.

La Legislación Pendiente sobre Deepfakes en España

Una Proposición de Ley Orgánica sobre la regulación de simulaciones generadas por IA de imágenes y voces de personas (registrada en la XV legislatura como BOCG-15-B-23-1) buscaba crear nuevos delitos específicos en el Código Penal para las imágenes íntimas generadas por IA sin consentimiento. La exposición de motivos de la propuesta identificó que entre el 90 y el 95 por ciento de los deepfakes pueden clasificarse como contenido pornográfico, con un 90 por ciento dirigido a suplantar la identidad de mujeres. Hasta mayo de 2026, esta propuesta no había sido aprobada. Los fiscales han perseguido algunos casos de imágenes no consentidas generadas por IA mediante las disposiciones ya existentes de los artículos 197.7 y 173 del Código Penal, caso por caso.

Grabación Transfronteriza

Las grabaciones de conversaciones que cruzan fronteras internacionales plantean preguntas sobre qué ley nacional se aplica.

Derecho Penal: Jurisdicción Territorial

El Código Penal español aplica la ley penal española a las conductas ocurridas en territorio español y a las conductas que producen efectos en España, según los artículos 23 y 24 de la Ley Orgánica del Poder Judicial. Una persona en Francia que intercepta una llamada telefónica entre dos personas en España, sin autorización judicial, comete un delito perseguible según el derecho penal español, en la medida en que las autoridades españolas tengan jurisdicción sobre el autor o la víctima española impulse el asunto en España. Recíprocamente, una persona en España que intercepta una llamada entre dos personas en Alemania también queda sujeta al derecho alemán.

Dentro de la Unión Europea, la cooperación penal transfronteriza para los delitos de comunicaciones electrónicas se rige por el marco de la Orden Europea de Investigación (Directiva 2014/41/UE), que España ha incorporado a su ordenamiento.

RGPD: Establecimiento del Responsable del Tratamiento y Ubicación del Titular de los Datos

A efectos del RGPD, el artículo 3 del Reglamento (UE) 2016/679 se aplica a las organizaciones establecidas en España y a las organizaciones fuera de la UE que traten datos personales en el contexto de ofrecer bienes o servicios a personas en España, o que monitoreen el comportamiento de personas en España. Una empresa con sede en Estados Unidos que graba las llamadas de residentes españoles en una plataforma comercializada en España queda dentro del ámbito territorial del RGPD, sin importar dónde esté constituida la empresa.

Cuando interviene un responsable del tratamiento con sede en España, la AEPD es la autoridad de control principal para los casos de ventanilla única según el artículo 56 del RGPD.

Guía Práctica para Escenarios Transfronterizos

Si usted llama a alguien en España desde otro país: la ley penal española se aplica a la conducta del participante ubicado en España. Si usted es un participante, la regla española de consentimiento de una sola parte cubre la grabación desde su lado. Si usted es un tercero que intercepta esa llamada, la ley penal española puede alcanzarlo.

Si usted es una empresa multinacional que graba llamadas de clientes españoles: se aplican las obligaciones del RGPD y de la LOPDGDD. La AEPD es su autoridad de control competente para los interesados españoles.

Resumen de Sanciones

Lista de Verificación de Cumplimiento para Empresas

Las empresas que operan en España y graban comunicaciones deben atender lo siguiente.

Identifique su base legal del RGPD. Antes de grabar cualquier llamada o reunión, determine qué base del artículo 6 corresponde. Si la grabación involucra el uso de la voz para identificación biométrica, documente también un fundamento del artículo 9(2). Registre su determinación en su Registro de Actividades de Tratamiento (RAT).

Proporcione un aviso claro. Informe a todas las partes al inicio de una llamada o reunión de que se está grabando. Indique quién graba, por qué y durante cuánto tiempo se conservará la grabación. Las directrices de la AEPD de abril de 2026 exigen indicadores visibles y continuos durante la grabación, no solo un anuncio inicial.

Límite la conservación. Defina los plazos de conservación y automatice la eliminación. La LOPDGDD limita a un mes la conservación de video en el lugar de trabajo en la mayoría de los casos. Aplique una disciplina equivalente a las grabaciones de audio. La conservación de cinco años de datos de geolocalización por parte de Yoti motivó una multa de 250.000 euros en marzo de 2026.

Restrinja el acceso. Solo el personal autorizado debe acceder a las grabaciones almacenadas. Mantenga registros de acceso y revíselos periódicamente.

Respete las solicitudes de los interesados. Las personas tienen derecho a acceder, corregir, eliminar y trasladar sus datos personales según el RGPD. Diseñe procesos para responder a estas solicitudes dentro del plazo legal de un mes.

Realice una EIPD cuando sea necesario. Si sus actividades de grabación implican un monitoreo sistemático de personas, una Evaluación de Impacto relativa a la Protección de Datos es obligatoria según el artículo 35 del RGPD. La AEPD ha publicado una lista de actividades de tratamiento que activan este requisito; la grabación sistemática de audio y la transcripción mediante IA están incluidas.

Forme a sus empleados. El personal involucrado en grabar, almacenar o gestionar grabaciones debe comprender el marco legal y sus políticas. Documente esta formación.

Prepárese para el Reglamento de IA de la UE. Si su organización utiliza herramientas de IA para transcripción, análisis de voz o síntesis, verifique que cumplirá con las obligaciones de divulgación del artículo 50 antes del 2 de agosto de 2026. El audio o video generado por IA producido por sus sistemas debe incluir avisos claros. Revise el Código de Buenas Prácticas de la Comisión Europea sobre el contenido generado por IA para conocer las directrices de etiquetado a medida que se publique el código final.