Voicebot a RODO: nagrywanie rozmów w firmie

Ten artykuł ma charakter informacyjny i nie jest poradą prawną. RODO przy voicebocie zależy od konkretnego procesu: kto dzwoni, jakie dane są zbierane, w jakim celu, jak długo są przechowywane, kto ma do nich dostęp i czy rozmowy są nagrywane lub transkrybowane. Przed wdrożeniem warto skonsultować scenariusz z prawnikiem, inspektorem ochrony danych albo osobą odpowiedzialną za ochronę danych w firmie.

Voicebot może być bardzo praktyczny: odbiera rozmowy, zapisuje informacje, tworzy transkrypcje i podsumowania, filtruje spam oraz pomaga umawiać wizyty. Te funkcje zwykle oznaczają jednak przetwarzanie danych osobowych. Dlatego temat „voicebot a RODO” warto potraktować jako część wdrożenia, a nie dopisek na końcu.

Podstawowym punktem odniesienia jest tekst RODO w EUR-Lex. W sprawach praktycznych pomocne są również materiały UODO, na przykład wskazówki o ocenie skutków dla ochrony danych oraz informacje UODO dotyczące obowiązków administratora i podmiotu przetwarzającego. Dla małych firm przydatny może być także poradnik PARP na stronie gov.pl o ochronie danych osobowych dla MŚP.

Kategorie danych: co może pojawić się w rozmowie

W rozmowie telefonicznej najczęściej pojawiają się imię i nazwisko, numer telefonu, adres e-mail, adres wykonania usługi, preferowany termin, opis problemu i informacje organizacyjne. W niektórych branżach rozmówca może spontanicznie podać dane bardziej wrażliwe albo szczegółowe, nawet jeśli firma o nie nie prosi.

Dlatego scenariusz voicebota powinien ograniczać pytania do tego, co potrzebne. Jeśli wystarczy imię, numer i opis usługi, nie ma powodu zbierać dodatkowych informacji. Minimalizacja danych jest jedną z podstawowych zasad, które warto przełożyć na język praktyki: krótsza rozmowa, mniej pól, mniej ryzyka i mniej rzeczy do późniejszego zabezpieczania.

Warto też rozdzielić rodzaje danych. Sam numer telefonu to jedno. Nagranie głosu, transkrypcja i podsumowanie rozmowy to kolejne elementy procesu. Jeśli TeleRobot zapisuje rozmowę i przygotowuje podsumowanie, firma powinna wiedzieć, gdzie te dane trafiają, kto je widzi i kiedy są usuwane.

Art. 6 RODO: podstawa prawna zależy od celu

Nie ma bezpiecznej odpowiedzi typu „zawsze zgoda” albo „nigdy zgoda”. Art. 6 RODO wymaga ustalenia podstawy prawnej dla konkretnego celu przetwarzania. Inna może być podstawa dla obsługi zapytania klienta przed zawarciem umowy, inna dla realizacji umówionej usługi, inna dla obrony roszczeń, a jeszcze inna dla jakości obsługi lub analityki.

Przykładowo, jeśli klient dzwoni, żeby umówić usługę, część danych może być potrzebna do podjęcia działań na jego żądanie przed zawarciem umowy albo do wykonania umowy. W innych sytuacjach firma może rozważać prawnie uzasadniony interes, ale wtedy trzeba ocenić cel, zakres danych i wpływ na osobę, której dane dotyczą. Zgoda także może być podstawą w określonych sytuacjach, ale musi być dobrowolna, konkretna i możliwa do wycofania.

Najważniejsza praktyczna zasada: nie kopiuj podstawy prawnej z cudzej polityki prywatności. Ustal ją dla własnego procesu, branży i celu rozmowy.

Art. 13 RODO: obowiązek informacyjny

Jeśli firma zbiera dane bezpośrednio od rozmówcy, trzeba zadbać o obowiązek informacyjny z art. 13 RODO. W praktyce oznacza to, że klient powinien wiedzieć między innymi, kto jest administratorem danych, po co dane są zbierane, jaka jest podstawa prawna, jak długo będą przechowywane, komu mogą być ujawnione i jakie prawa przysługują osobie, której dane dotyczą.

W rozmowie telefonicznej nie zawsze da się wygodnie przeczytać długą informację. Dlatego często stosuje się krótkie poinformowanie w trakcie rozmowy oraz odesłanie do pełnej treści polityki prywatności, na przykład na stronie internetowej. Konkretna forma powinna pasować do procesu i ryzyka. Ważne, żeby informacja była dostępna i zrozumiała.

Jeżeli rozmowy są nagrywane, warto jasno powiedzieć o nagrywaniu na początku połączenia. Trzeba też ustalić, co stanie się, jeśli rozmówca nie chce nagrania. Czy może skorzystać z innego kanału kontaktu? Czy rozmowa może być obsłużona bez nagrania? To są decyzje procesowe, nie tylko prawne.

Art. 28 RODO: dostawca jako podmiot przetwarzający

Jeżeli dostawca systemu przetwarza dane w imieniu firmy, zwykle trzeba uregulować relację zgodnie z art. 28 RODO. W praktyce chodzi o umowę powierzenia przetwarzania danych albo odpowiednie postanowienia w umowie głównej. Firma powinna wiedzieć, jakie dane są przetwarzane, w jakim celu, przez jaki czas, z jakimi zabezpieczeniami i czy występują dalsi podwykonawcy.

Nie chodzi o formalność dla samej formalności. Jeśli rozmowy zawierają dane klientów, firma musi mieć kontrolę nad tym, kto je przetwarza i na jakich zasadach. Warto zapytać dostawcę o retencję, lokalizację przetwarzania, dostęp administracyjny, eksport danych, usuwanie danych po zakończeniu współpracy i sposób reagowania na incydenty.

Retencja: jak długo przechowywać nagrania i transkrypcje

Retencja to jeden z najczęściej pomijanych tematów. Skoro nagrania i transkrypcje są przydatne, łatwo zostawić je „na wszelki wypadek”. RODO wymaga jednak, żeby dane nie były przechowywane dłużej, niż jest to potrzebne do celu.

W praktyce warto osobno określić retencję dla różnych danych. Podsumowanie zgłoszenia może być potrzebne do obsługi usługi. Nagranie rozmowy może być potrzebne krócej, jeśli służy tylko weryfikacji treści zgłoszenia. Dane związane z reklamacją albo roszczeniem mogą mieć inny okres przechowywania niż zwykłe zapytanie ofertowe.

Nie ma jednego okresu dobrego dla wszystkich firm. Ważne, żeby okres był uzasadniony, zapisany i technicznie możliwy do wykonania.

DPIA: kiedy warto zrobić ocenę skutków

DPIA, czyli ocena skutków dla ochrony danych, nie jest wymagana dla każdego procesu. UODO wskazuje jednak, że administrator powinien przeprowadzić wstępną ocenę, czy planowane operacje mogą powodować wysokie ryzyko dla praw lub wolności osób fizycznych. Przy nowych technologiach, automatyzacji, nagrywaniu, analizie rozmów albo większej skali warto potraktować ten temat poważnie.

DPIA pomaga opisać proces, ocenić ryzyka i dobrać środki ograniczające. Nawet jeśli po analizie okaże się, że pełna ocena skutków nie jest wymagana, sama wstępna analiza może uporządkować wdrożenie. Przy branżach, w których klienci mogą podawać dane szczególnych kategorii, ostrożność powinna być większa.

Checklista przed wdrożeniem

Przed uruchomieniem voicebota przejdź przez prostą listę:

• określ cele rozmów i danych, które będą zbierane;
• ustal podstawę prawną osobno dla każdego celu;
• przygotuj krótką informację na początku rozmowy i pełną informację prywatności na stronie;
• ustal, czy nagranie jest konieczne i co zrobić, gdy klient nie chce nagrywania;
• podpisz lub zweryfikuj umowę powierzenia z dostawcą;
• ustaw retencję nagrań, transkrypcji i podsumowań;
• ogranicz dostęp do danych tylko do osób, które go potrzebują;
• sprawdź, czy trzeba wykonać DPIA albo przynajmniej wstępną ocenę ryzyka.

Jak to połączyć z praktyką obsługi telefonu

RODO nie powinno blokować rozsądnej obsługi klienta. Powinno wymusić porządek. Jeśli TeleRobot odbiera rozmowę, zapisuje informacje i pomaga umawiać wizyty, firma zyskuje konkretny proces. Ten proces trzeba opisać: co zbieramy, po co, jak długo i kto ma dostęp.

Jeśli dopiero oceniasz, czy voicebot jest potrzebny, zacznij od tekstu Voicebot dla małej firmy: kiedy ma sens?. Jeżeli problemem są nieodebrane połączenia, przeczytaj Ile kosztuje firmę nieodebrany telefon?. Dla firm rezerwujących terminy ważny będzie artykuł AI umawianie wizyt przez telefon: jak to działa?, a przy prostszym scenariuszu AI poczta głosowa i antyspam dla firmy. Porównanie modeli obsługi znajdziesz tutaj: Automatyczna sekretarka AI, IVR czy konsultant?.

FAQ

Czy nagrywanie rozmów zawsze wymaga zgody?

Nie należy przyjmować zasady „zawsze” albo „nigdy”. Podstawę prawną trzeba ustalić dla konkretnego celu i procesu, a w razie wątpliwości skonsultować ją z prawnikiem.

Czy wystarczy informacja w polityce prywatności?

Pełna informacja na stronie jest ważna, ale przy rozmowie telefonicznej warto zadbać także o jasny komunikat na początku połączenia, zwłaszcza gdy rozmowa jest nagrywana.

Czy TeleRobot jest administratorem danych?

To zależy od konstrukcji usługi i umowy. W typowym modelu dostawca może działać jako podmiot przetwarzający dane w imieniu firmy, ale trzeba to potwierdzić w dokumentach.

Jak długo trzymać nagrania?

Tak długo, jak jest to potrzebne do konkretnego celu. Okres retencji powinien być uzasadniony i możliwy do wykonania technicznie.

Czy mała firma musi robić DPIA?

Nie zawsze. Powinna jednak ocenić, czy planowane przetwarzanie może powodować wysokie ryzyko. Przy wątpliwościach warto wykonać DPIA albo skorzystać z doradztwa.

Podsumowanie i CTA

Voicebot a RODO to nie tylko zgoda na nagrywanie. To cały proces: zakres danych, cel, podstawa z art. 6, informowanie z art. 13, powierzenie z art. 28, retencja i ocena ryzyka. Dobrze zaprojektowany proces jest prostszy do wyjaśnienia klientom i łatwiejszy do utrzymania w firmie.

Jeśli chcesz omówić wdrożenie TeleRobot w swojej firmie i przygotować scenariusz rozmów do dalszej konsultacji prawnej, skorzystaj z formularza kontaktowego.