GDPR och inspelade samtal: det här gäller

Är ett inspelat samtal en personuppgift?

Ja, i regel. Allt som kan kopplas till en identifierbar person räknas, och ett telefonnummer eller en röst gör det ofta. Det gäller också utskriften av samtalet och den sammanfattning som AI:n skriver. Därför behöver ni följa GDPR för hela kedjan: inspelning, utskrift, sammanfattning och loggar.

Vem ansvarar för vad?

Ert företag är normalt personuppgiftsansvarigt: ni bestämmer varför och hur uppgifterna används. Leverantören av AI-telefonisten är normalt personuppgiftsbiträde och behandlar uppgifterna för er räkning. Då krävs ett skriftligt biträdesavtal (artikel 28 i GDPR). Be alltid om att få se det, och fråga vilka underbiträden som används och var uppgifterna lagras. Den här prototypen är tänkt att lagra data inom EU, men kontrollera det i det avtal ni faktiskt skriver under.

Rättslig grund: varför får ni spela in?

Varje behandling behöver en rättslig grund enligt artikel 6. De som oftast diskuteras för samtalsinspelning är:

• Berättigat intresse. Exempelvis kvalitetssäkring, utbildning eller att kunna reda ut tvister. Ni måste kunna visa att intresset väger tyngre än den enskildes integritet, och den som ringer ska kunna invända.
• Avtal. Om inspelningen behövs för att fullgöra något ni lovat, till exempel att ta en beställning per telefon.
• Samtycke. Fungerar när det går att tacka nej utan nackdel, men är svårt att hantera i ett samtal som redan pågår.

Vilken grund som passar beror på er verksamhet. Dokumentera valet och skälen, och fråga en jurist om ni är osäkra.

Informera den som ringer

Artiklarna 13 och 14 kräver att människor får veta vem som behandlar uppgifterna, varför, hur länge och vilka rättigheter de har. I ett telefonsamtal löser ni det i två lager:

1. Kort i samtalet: "Samtalet spelas in för att vi ska kunna hjälpa dig och förbättra vår service. Du kan läsa mer på vår hemsida."
2. Utförligt på hemsidan: en integritetspolicy som beskriver ändamål, rättslig grund, lagringstid, mottagare och rättigheter.

Sägs det i samma hälsning som upplysningen om att det är en AI blir det kort och tydligt, se AI-förordningen och telefonsamtal.

Spara så lite som möjligt, så kort som möjligt

GDPR kräver dataminimering och att uppgifter inte sparas längre än nödvändigt (artikel 5). Bestäm en lagringstid innan ni börjar. Ett vanligt arbetssätt är:

• Spara sammanfattning och utfall längre, eftersom de oftast räcker för uppföljning.
• Spara ljudinspelningen kortare, och bara så länge ni har ett konkret behov.
• Maska känsliga uppgifter i utskriften, till exempel kortnummer och personnummer.

Vilken tid som är lagom beror på ändamålet. Det finns ingen allmän siffra i lagen som passar alla, så skriv ner ert eget resonemang.

Känsliga uppgifter

Om samtalen kan handla om hälsa, fackmedlemskap eller liknande gäller strängare regler. Bygg då agenten så att den inte frågar efter sådant i onödan, och stäng av inspelning om ni inte kan motivera den. Personnummer bör inte läsas upp eller sparas utan stark anledning.

Rättigheter: tillgång och radering

Den som ringt kan begära ut vad ni sparat om dem och i vissa fall kräva att det raderas (artiklarna 15 och 17). Ha en rutin: vem tar emot begäran, hur hittar ni samtalet utifrån telefonnummer, och hur raderar ni inspelning, utskrift och sammanfattning på samma gång. I kundportalen bör export och radering vara knappar, inte ärenden hos supporten.

Var lagras uppgifterna?

Överföring av personuppgifter utanför EU/EES kräver särskilda skyddsåtgärder. Fråga leverantören var inspelningar, utskrifter och AI-bearbetning sker. "Data i EU" ska gälla hela kedjan, inte bara databasen.

Era anställda

Samtalen innehåller också uppgifter om era anställda som eventuellt kopplas vidare. Informera dem om inspelningen på samma sätt som kunderna, och kom ihåg att agenten bara ska läsa upp personuppgifter om anställda som de själva markerat som delbara.

Checklista före start

1. Rollerna är klara och biträdesavtal är skrivet.
2. Rättslig grund för inspelning är vald och dokumenterad.
3. Hälsningen informerar kort; policyn informerar utförligt.
4. Lagringstider är bestämda per typ av data.
5. Maskning av känsliga uppgifter är påslagen.
6. Rutin för tillgång och radering finns.
7. Ni vet var uppgifterna lagras och bearbetas.
8. Ni har bedömt om en konsekvensbedömning (DPIA) behövs.

Exempel på en kort rutin

Så här kan en liten verksamhet beskriva sin hantering i ett halvt A4. Siffrorna är exempel, ni bestämmer era egna:

• Ändamål: kvalitetssäkring och möjlighet att reda ut missförstånd.
• Rättslig grund: berättigat intresse, avvägningen är dokumenterad.
• Vad sparas: inspelning, utskrift, sammanfattning, utfall, telefonnummer.
• Hur länge: ljud en kortare tid, sammanfattning och utfall längre, enligt vad ni skrivit ner.
• Vem har tillgång: utvalda roller, och åtkomsten loggas.
• Radering: sker automatiskt när tiden gått ut, och manuellt vid begäran.

Ett sådant dokument är också bra underlag om en tillsynsmyndighet eller en kund frågar. Hos IMY finns vägledning om personuppgiftsansvar och registerförteckning (artikel 30).