Cuando un cliente llama o escribe para reservar una mesa, el restaurante puede tratar sus datos (nombre, teléfono, fecha, comensales) amparándose en la ejecución de un contrato o de medidas precontractuales (art. 6.1.b RGPD) — no hace falta pedirle consentimiento para eso. Pero si esos datos se usan para algo más, como marketing o entrenar modelos de IA, esa base ya no vale: necesitas otra base jurídica distinta y específica para cada finalidad adicional.
Todo tratamiento de datos personales necesita una base jurídica que lo ampare — es uno de los principios centrales del RGPD, y también uno de los que más se pasan por alto al implantar un agente de IA. No basta con que el tratamiento sea razonable o esperable: tiene que encajar en alguna de las bases del art. 6.1, y esa base determina qué puedes hacer con los datos y qué no.
Este post desarrolla un punto que dejamos abierto en nuestra guía general sobre agentes conversacionales y RGPD, en el apartado de finalidad de los datos.
Las seis bases jurídicas del RGPD
El RGPD no exige elegir siempre la misma base para todo: dependiendo de qué haces con los datos, aplicará una u otra. Para un negocio como un restaurante que usa un agente de IA, en la práctica solo un par de estas bases entran en juego habitualmente, pero conviene conocer las seis para no descartar la que corresponde a cada caso.
Por qué la reserva en sí no necesita consentimiento
Cuando un cliente llama a un restaurante para reservar una mesa, está pidiendo activamente un servicio — y tratar su nombre, teléfono, fecha y número de comensales es necesario para prestarlo. Eso encaja directamente en la base de ejecución de un contrato o de medidas precontractuales a petición del interesado (art. 6.1.b), y no requiere pedirle su consentimiento de forma expresa para esos datos concretos.
Esto tiene una consecuencia práctica importante: no hace falta un checkbox de "acepto el tratamiento de mis datos" antes de que el cliente pueda reservar. Pedirlo de forma innecesaria no solo añade fricción, sino que puede confundir al cliente sobre qué está aceptando realmente — y no aporta ninguna garantía adicional que el RGPD exija en este caso.
Lo que sí sigue siendo obligatorio, tenga o no consentimiento de por medio, es informar al cliente: quién trata sus datos, con qué finalidad, durante cuánto tiempo y cómo ejercer sus derechos. Información e informar no es lo mismo que pedir consentimiento — son obligaciones distintas del RGPD.
Cuándo sí necesitas otra base jurídica distinta
La base de "ejecución de un contrato" cubre exactamente lo necesario para completar la reserva — nada más. En cuanto el restaurante o el proveedor de IA quieren usar esos mismos datos para algo distinto, necesitan identificar una base jurídica propia para esa nueva finalidad, porque el RGPD prohíbe reutilizar datos para fines incompatibles con el original sin una base que lo ampare.
Marketing o comunicaciones comerciales
Si quieres usar el teléfono o el email del cliente para enviarle ofertas o novedades del restaurante, necesitas su consentimiento expreso para esa finalidad concreta — la reserva no te lo da automáticamente.
Control de calidad del servicio
Si quieres grabar o revisar conversaciones para evaluar cómo funciona el agente, la base suele ser el interés legítimo, siempre que informes al cliente y le des la posibilidad de oponerse, y que el uso sea proporcional a ese fin.
Entrenar o mejorar modelos de IA
Si el proveedor de IA usa las conversaciones —anonimizadas o no— para mejorar sus propios modelos, esa es una finalidad distinta a la reserva, decidida por el proveedor, no por el restaurante. En ese caso, el proveedor actúa como responsable independiente de ese tratamiento concreto, y necesita su propia base jurídica y, si los datos no están completamente anonimizados, informar de ello.
Qué pasa si eliges la base jurídica equivocada
Elegir una base jurídica incorrecta no es un detalle formal: si el RGPD exigía consentimiento y usaste interés legítimo (o al revés), el tratamiento puede considerarse ilícito desde el principio, independientemente de si actuaste de buena fe. Además, cambiar de base jurídica a mitad de camino para justificar a posteriori un tratamiento ya iniciado no está permitido — la base debe estar identificada antes de empezar a tratar los datos.
Por eso conviene documentar, para cada finalidad distinta (reserva, marketing, calidad, mejora de modelos), qué base jurídica se aplica y por qué — no como ejercicio burocrático, sino porque es lo primero que se revisa ante una reclamación o una inspección.
Cómo lo hacemos en Another
En Another distinguimos claramente las finalidades del tratamiento y su base jurídica. Gestionar una reserva se ampara en la ejecución del contrato entre el restaurante y su cliente — no pedimos consentimiento adicional para eso. Cuando usamos transcripciones, siempre anonimizadas, para mejorar nuestros modelos, esa finalidad queda identificada por separado en el contrato de encargado del tratamiento que firmamos con cada restaurante, precisamente porque ahí actuamos con un propósito propio, no por instrucción del restaurante.
Preguntas frecuentes sobre la base jurídica de una reserva
¿Necesito que el cliente firme algo para tratar sus datos de reserva? No. La ejecución del contrato (o de medidas precontractuales) ampara ese tratamiento sin necesidad de firma ni checkbox de consentimiento. Sí debes informarle de cómo tratas sus datos, aunque no necesites su permiso expreso.
¿Puedo usar el teléfono de la reserva para enviar una encuesta de satisfacción? Depende de cómo la plantees. Si es un seguimiento directo del servicio prestado (p. ej. "¿qué tal tu experiencia en tu visita del día X?"), puede ampararse en interés legítimo. Si se convierte en marketing recurrente, necesitas consentimiento específico.
¿Cambia algo si la reserva se hace por WhatsApp en vez de por teléfono? No en cuanto a la base jurídica — sigue siendo ejecución de un contrato a petición del cliente. Sí cambia el tipo de datos que puede quedar registrado (mensajes de texto en vez de audio), lo que puede afectar a otros aspectos como el plazo de conservación.
¿La base jurídica tiene que aparecer en algún sitio visible para el cliente? Sí, debe constar en la información que le das sobre el tratamiento de sus datos (política de privacidad o aviso equivalente), aunque no tengas que pedirle que la acepte activamente cuando la base es ejecución de contrato.
¿Qué pasa si el restaurante quiere compartir los datos de sus clientes con otro negocio? Eso es una finalidad completamente distinta y necesita su propia base jurídica, normalmente consentimiento explícito del cliente — la base de la reserva no cubre en ningún caso ceder datos a terceros con fines ajenos al servicio prestado.