Ley de atención al cliente (Ley 10/2025): qué deben cambiar las empresas antes del 28 de diciembre de 2026

La ley de atención al cliente, oficialmente Ley 10/2025, de 26 de diciembre, por la que se regulan los servicios de atención a la clientela, ya está en vigor. Además, las empresas obligadas tienen hasta el 28 de diciembre de 2026 para adaptarse. Casi todo lo publicado se centra en los tres minutos de espera y en el derecho a hablar con una persona. Sin embargo, la ley tiene una parte que pocos están mirando: grabaciones de llamadas, bots, call centers fuera de España y auditorías. Es decir, protección de datos. En este artículo resumimos qué exige la ley, a quién afecta y qué tiene que revisar tu empresa.

Qué es la ley de atención al cliente y desde cuándo se aplica

La Ley 10/2025 se publicó en el BOE el 27 de diciembre de 2025 y entró en vigor al día siguiente. Su disposición transitoria única da a las empresas doce meses para adaptar sus servicios de atención a la clientela. Por tanto, la fecha límite es el 28 de diciembre de 2026.

Ojo, porque una parte llega antes. Las llamadas comerciales de las empresas obligadas deben salir de números 400 cuando venza el plazo de la resolución que lo desarrolla, el 17 de octubre de 2026. Lo explicamos en detalle en Prefijo 400 para llamadas comerciales.

¿A qué empresas afecta la ley de atención al cliente?

El artículo 2 distingue dos grupos. En primer lugar, las empresas que prestan servicios básicos de interés general, sea cual sea su tamaño: agua, gas y electricidad; transporte de viajeros por avión, tren, barco o autobús; servicios postales; comunicaciones electrónicas y servicios financieros. Además, incluye a las empresas extranjeras que ofrecen esos servicios en España.

En segundo lugar, el resto de empresas que se dirigen principalmente a consumidores y que, en el ejercicio anterior, individualmente o como grupo, alcanzaron al menos uno de estos umbrales:

• 250 personas trabajadoras.
• Más de 50 millones de euros de volumen de negocio.
• Más de 43 millones de euros de balance.

En consecuencia, una empresa que vende sobre todo a otras empresas queda fuera de este segundo bloque. Y una pyme que vende a consumidores, también, salvo que pertenezca a un grupo que supere los umbrales. En cambio, una pyme de un sector básico sí está dentro. Por último, hay reglas especiales. El sector financiero se rige por su normativa sectorial y no le aplican, entre otros, los artículos de encuestas, evaluación anual, auditoría y sanciones (arts. 18, 21, 22 y 23). Las comunicaciones electrónicas también se rigen sobre todo por su normativa sectorial. Además, la ley alcanza a empresas públicas y a la Administración General del Estado cuando hay relación de consumo.

Las obligaciones principales de la ley de atención al cliente

Atención humana y tiempos de espera

• Persona física siempre disponible (art. 8). Se prohíben los contestadores automáticos, los bots u otros medios similares como único canal. El cliente puede pedir hablar con una persona en cualquier momento, desde el inicio.
• Tres minutos (arts. 8 y 10). El 95% de las llamadas y de las peticiones de atención personal debe atenderse, de media, en menos de tres minutos. Además, la empresa no puede cortar la llamada por una espera larga (art. 8.4).
• Identificación. La persona que atiende debe identificarse al inicio de la conversación. Además, si el cliente no queda satisfecho, puede pedir que le pasen a un supervisor o a un departamento de calidad.
• Prioridad para personas mayores o con discapacidad en la atención telefónica.

Plazos de respuesta

• Quince días hábiles como máximo para resolver consultas, quejas, reclamaciones e incidencias (art. 17.1), salvo que la normativa del sector fije otro.
• Cinco días para las reclamaciones por facturación o cobros indebidos (art. 17.3).
• Dos horas para responder a un corte o suspensión de un servicio básico, con la causa y el plazo estimado de restauración (art. 17.2).

Canales, idiomas y coste

• El servicio debe ser gratuito. Además, llamar no puede costar más que una llamada normal a un fijo o móvil, y un teléfono gratuito no puede derivar a otro de pago.
• En comunidades con lengua cooficial donde la empresa presta servicio, el cliente puede dirigirse en ella y la respuesta debe llegar en la misma lengua (arts. 7.2, 8.6 y 13.6).
• El servicio debe ser accesible para personas con discapacidad o de edad avanzada.
• En contratos de tracto sucesivo, la empresa no puede suspender el servicio tras una reclamación directamente relacionada con el motivo de la suspensión, hasta resolverla. Las excepciones son la seguridad o que la normativa del sector diga otra cosa (art. 4.4).

Evaluación anual y auditoría

Además, la ley obliga a implantar un sistema anual de evaluación de la calidad del servicio (art. 21). Una empresa auditora acreditada por ENAC debe auditarlo cada año (art. 22). Por otro lado, la documentación y la auditoría se publican en la web, se conservan al menos cinco años y se ponen a disposición de la Administración. Las empresas con menos de 250 personas trabajadoras y hasta 50 millones de facturación o 43 de balance pueden evaluarse y auditarse cada dos años, si lo justifica su volumen de consultas y reclamaciones.

La parte de la ley de atención al cliente que casi nadie cuenta: protección de datos

El artículo 20 de la ley lo dice sin rodeos: todo tratamiento de datos para prestar el servicio debe cumplir el RGPD y la LOPDGDD. Además, el artículo 23 remite las infracciones de protección de datos a esa normativa y a la autoridad de protección de datos competente. Por tanto, adaptar el servicio de atención al cliente sin revisar la privacidad deja abierto un segundo frente. Estos son los cuatro puntos donde vemos más riesgo.

1. Grabación de llamadas: obligatoria si el cliente consiente

El artículo 12.1 cambia el enfoque habitual. Si el cliente presenta una queja por teléfono, videollamada o mensajería y da su consentimiento expreso, la empresa debe grabar la llamada. Además, tiene que indicar en el justificante cómo acceder a la grabación y conservarla, o su transcripción, como mínimo hasta notificar la resolución. La misma regla rige si la resolución se comunica por teléfono, videollamada o mensajería (art. 13.5).

En la práctica, eso exige revisar tres cosas. Primero, cómo se recoge y se prueba ese consentimiento expreso. Segundo, la información de protección de datos de la locución inicial. Y tercero, el plazo de conservación: una vez resuelta la reclamación, la grabación no puede guardarse indefinidamente sin otra justificación.

Un matiz importante: ese consentimiento expreso es un requisito de la Ley 10/2025, pero la base jurídica del RGPD conviene analizarla por separado. A nuestro juicio, probablemente sea el cumplimiento de una obligación legal (criterio interpretativo, aún sin doctrina de la AEPD).

2. Bots e inteligencia artificial

La ley de atención al cliente no prohíbe los bots ni la IA. De hecho, su exposición de motivos admite sistemas que faciliten las comunicaciones. Lo que prohíbe es que sean el único canal: siempre debe existir el botón para hablar con una persona. Además, desde el 2 de agosto de 2026, el artículo 50.1 del Reglamento europeo de IA exige que los sistemas de IA que interactúan con personas estén diseñados para informarles de que hablan con una IA, salvo que resulte evidente. La obligación recae en el proveedor del sistema, pero quien lo usa debe asegurarse de que se cumple.

Por otro lado, si el bot adopta decisiones basadas únicamente en tratamiento automatizado con efectos jurídicos o significativos para el cliente, por ejemplo denegar un reembolso, se aplica el artículo 22 del RGPD. Si usáis un asistente de IA, lo revisamos en nuestro servicio de abogados de inteligencia artificial.

3. Call centers externos y fuera de España

Muchas empresas externalizan la atención al cliente. En ese caso, el proveedor normalmente actúa como encargado del tratamiento y necesita un contrato del artículo 28 del RGPD. Sin embargo, el riesgo mayor está en la ubicación. Si el call center está fuera del Espacio Económico Europeo, hay una transferencia internacional de datos. Si el país no tiene una decisión de adecuación de la Comisión Europea (Argentina y Uruguay sí la tienen; Marruecos, Colombia o Perú no), hacen falta garantías del artículo 46 del RGPD, normalmente cláusulas contractuales tipo, y una evaluación del impacto de la transferencia.

Además, la ley se aplica sea cual sea la ubicación del punto de contacto y aunque el servicio lo preste un tercero (art. 2.3). Por tanto, externalizar no exime a la empresa de cumplir la ley de atención al cliente: sigue respondiendo de los tres minutos y del resto de obligaciones, y debe trasladarlas por contrato al proveedor.

4. Encuestas de satisfacción y datos de calidad

La ley obliga a tener un sistema de valoración de la satisfacción, pero prohíbe hacer la encuesta antes de resolver la reclamación (art. 18). Además, por el principio de limitación de la finalidad del RGPD, los datos de la evaluación y la auditoría deben usarse solo para lo que se recogen. Usar esas grabaciones o encuestas para perfilar clientes o vender necesita su propia base jurídica.

Sanciones por incumplir la ley de atención al cliente

El artículo 23 remite las infracciones al régimen sancionador de consumo (Texto Refundido de la Ley General para la Defensa de los Consumidores) y a la normativa autonómica. Si existe normativa sectorial con su propio régimen, se aplica esa. Por otro lado, las infracciones de protección de datos se sancionan con el RGPD y la LOPDGDD. Además, la ley considera agravante la reincidencia y atenuante haber reparado el daño. En consecuencia, un mismo incumplimiento puede tener consecuencias en consumo y en protección de datos, si afecta a bienes jurídicos distintos.

Checklist: qué revisar antes del 28 de diciembre de 2026

1. Ámbito: confirma si tu empresa o su grupo está dentro (sector y umbrales del ejercicio anterior).
2. Canales: inventario de teléfonos, chats, formularios web, apps y redes donde se atiende a clientes. Revisa que sean gratuitos y accesibles.
3. Bots e IVR: que siempre ofrezcan la opción de hablar con una persona y, si son sistemas de IA, que informen de ello salvo que sea evidente.
4. Tiempos: mide si llegas al 95% en menos de tres minutos y a los plazos de 15 días, 5 días y 2 horas.
5. Grabaciones: locución con consentimiento expreso e información de protección de datos, acceso del cliente a la grabación y plazo de conservación.
6. Proveedores: contratos de encargado con el call center y, si está fuera del EEE, garantías para la transferencia internacional.
7. Registro de actividades de tratamiento: añade o actualiza las actividades de atención al cliente, grabación y encuestas.
8. Evaluación y auditoría: diseña el sistema anual de calidad y contrata a tiempo la auditoría con una entidad acreditada.
9. Llamadas comerciales: separa el número de ventas (400) del de atención al cliente.

Preguntas frecuentes sobre la ley de atención al cliente

¿Cuándo entra en vigor la ley de atención al cliente?

Entró en vigor el 28 de diciembre de 2025. Sin embargo, las empresas tienen doce meses para adaptarse, es decir, hasta el 28 de diciembre de 2026.

¿Afecta a las pymes?

Depende. Si la pyme presta un servicio básico (por ejemplo, transporte de viajeros o servicios financieros, con las salvedades de su normativa sectorial), sí. En cambio, si vende otros bienes o servicios y no supera los umbrales, ni sola ni con su grupo, queda fuera.

¿Está prohibido usar un chatbot o inteligencia artificial?

No. Lo que la ley prohíbe es que sea el único canal. El cliente debe poder pedir en cualquier momento que le atienda una persona. Además, desde agosto de 2026 el sistema de IA debe informarle de que habla con una IA, salvo que sea evidente.

¿Tengo que grabar las llamadas de atención al cliente?

Para quejas y reclamaciones por teléfono, videollamada o mensajería, sí, si el cliente da su consentimiento expreso. Además, debes indicarle cómo acceder a la grabación y conservarla, como mínimo, hasta notificar la resolución.

¿Cuánto tiempo tengo para responder una reclamación?

Quince días hábiles con carácter general, cinco días si es de facturación y dos horas si se trata de un corte en un servicio básico.

Cómo podemos ayudarte

En Auratech Legal revisamos los servicios de atención al cliente desde la protección de datos: grabaciones, bots, contratos con call centers, transferencias internacionales y registro de actividades. Si tu empresa tiene que adaptarse antes del 28 de diciembre, consulta nuestro servicio de asesoramiento en protección de datos. Y si prefieres un apoyo continuo, nuestro servicio de delegado de protección de datos externo lo incluye.

Fuentes: Ley 10/2025, de 26 de diciembre (BOE-A-2025-26698), arts. 2, 8, 10, 12, 17, 18, 20 a 23 y disposición transitoria única; Reglamento (UE) 2024/1689 de inteligencia artificial, art. 50; Reglamento (UE) 2016/679 (RGPD), arts. 22, 28 y 44 y siguientes.

Este artículo ofrece información general y no sustituye el asesoramiento jurídico sobre un caso concreto.