Samtaleopptak og GDPR

Som regel, ja. Datatilsynet skriver at innholdet i en samtale som tas opp, som regel er personopplysninger, og at til og med hvordan stemmen høres ut kan være det. Stemmen kan si noe om sinnsstemning og språklige evner.

Det finnes ikke et eget kapittel om lydopptak. Datatilsynet sier det rett ut: lydopptak skal skje i samsvar med de generelle reglene i personopplysningsloven og personvernforordningen. Du kan altså ikke lete etter én paragraf som sier ja eller nei. Du må gjennom de vanlige spørsmålene: formål, rettslig grunnlag, lagringstid og tilgang.

Et transkribert opptak er de samme personopplysningene i ny form. At teksten er lettere å søke i, gjør den ikke mindre personlig, og et sammendrag laget av en språkmodell er ikke et unntak.

Datatilsynet kaller opptak av samtaler en inngripende form for behandling, fordi opptaket samler mye overskuddsinformasjon. Et notat eller et referat er mindre inngripende, og det er i tråd med prinsippet om dataminimering. Spør derfor først om du trenger lyden, eller bare det som ble avtalt.

Datatilsynet oppsummerer det slik. Lydopptak kan finne sted dersom

• det er et rettslig grunnlag,
• de som tas opp, blir informert,
• det skjer til klare formål, opptaket er relevant for formålet og begrenses til det som er nødvendig,
• det ikke lagres lenger enn nødvendig for formålet, og
• informasjonssikkerheten er tilfredsstillende ivaretatt.

Opptak må alltid vurderes i hver situasjon, skriver tilsynet. Behovet, interessene du vil ivareta og hensynet til dem som tas opp, varierer.

Datatilsynet svarer direkte i sine spørsmål og svar om opptak av samtaler:

«Som hovedregel» betyr at det finnes tilfeller der noe annet gjelder, men utgangspunktet er tydelig. Et samtykke som skal holde, må være frivillig og informert, og kunden må kunne si nei uten å miste tjenesten.

Informasjonen må være presis. Datatilsynet mener det bør være nok å si før samtalen starter at samtalen tas opp, hva formålet er, og at mer informasjon finnes på nettsiden. Tilsynet legger til at det som regel ikke er tilstrekkelig å si at samtalen «kan bli tatt opp», fordi innringeren da ikke får vite om den faktisk blir det.

Tenk gjennom hva som skjer når kunden sier nei. Skal samtalen fortsette uten opptak, eller skal agenten notere? Svaret bør finnes før noen står i telefonen med spørsmålet.

Veiledningen fra Datatilsynet går gjennom flere situasjoner:

• Kvalitet og opplæring. Tilsynet mener at interessen i god kvalitet i seg selv ikke er nok til å si at opptak er lovlig. Opptaket må være nødvendig, og andre tiltak bør prøves først, for eksempel brukerundersøkelser, medlytt i opplæring og bedre veiledning.
• Dokumentasjon av avtaler. Opptak for å dokumentere at en avtale er inngått, må bygge på samtykke og svare til et reelt behov. Ved uanmodet telefonsalg blir forbrukeren ikke bundet før tilbudet er akseptert skriftlig, og tilsynet skriver at opptak som dokumentasjon da ikke er lov, selv med samtykke.
• Trusler. Ved dokumenterte trusler kan en virksomhet innføre opptak for å beskytte de ansatte, men det må være forholdsmessig. Tilsynet nevner at den ansatte kan få starte opptak når samtalen blir truende, i stedet for å ta opp alt.
• Verdipapirforetak. De har plikt etter verdipapirhandelloven til å ta opp samtaler knyttet til investeringstjenester. Tilsynet mener ansatte likevel må kunne ha private samtaler uten opptak.

Skal du ta opp samtaler på et kundesenter, treffer du to grupper samtidig: kunden og den ansatte. Begge må vurderes. Datatilsynet anbefaler å involvere de ansatte, fordi mange blir bekymret for hva opptakene skal brukes til.

Straffeloven § 205 første ledd bokstav a rammer den som uberettiget og med teknisk hjelpemiddel hemmelig avlytter eller gjør hemmelig opptak av telefonsamtale eller annen kommunikasjon mellom andre. Strafferammen er bot eller fengsel inntil 2 år.

Datatilsynet oppsummerer det slik: for å ikke rammes av straffeloven må du selv være til stede når du tar lydopptak. Tilsynet legger til at et opptak som er i strid med straffeloven, som regel heller ikke er lovlig etter personvernregelverket.

Det omvendte gjelder ikke. At et opptak er lovlig etter § 205, sier ingenting om at du har et rettslig grunnlag etter personvernreglene. Begge må være i orden.

For en virksomhet er lærdommen enkel: ingen skal kunne starte et opptak uten at det er synlig i systemet. Logg hvem som slo på opptak, når, og på hvilken samtale.

De samme som ellers etter personvernregelverket, blant annet retten til informasjon, innsyn, å protestere og sletting. Datatilsynet skriver at innsynsretten kan oppfylles ved å utlevere lydopptaket som en lydfil, at den første kopien alltid er gratis, og at innsynet gjelder det personen selv sa.

I praksis må dere altså kunne finne alle opptak av én person uten å lete manuelt, og kunne slette dem når grunnlaget faller bort.

1. Formål. Skriv ned hvorfor dere tar opp. «Kvalitet» er for vagt til å styre noe, og formålet avgjør hvor lenge opptaket kan ligge.
2. Rettslig grunnlag. Velg det og skriv det ned.
3. Informasjon. Si før samtalen at den tas opp og hvorfor, og legg utfyllende informasjon på nettsiden.
4. Lagringstid. Sett en frist og følg den. Opptak som ligger til noen rydder, blir liggende.
5. Leverandørkjeden. Bruker du en tjeneste til å lagre eller transkribere opptakene, behandler leverandøren opplysningene for deg. Du bør ha en databehandleravtale og vite hvor opptakene lagres.

Legg til tilgangsstyring: hvem kan spille av et opptak, og logges avspillingen? Skriv alt ned i ett dokument. Det tar en ettermiddag, og det er den eneste versjonen av svaret som finnes når noen spør om et halvt år.

Opptak er av som standard. Du slår det på for én samtale når du ringer ut, eller for alle samtaler til et nummer du leier. Transkripsjon etter samtalen krever at samtalen er tatt opp. Opptak og transkripsjon prises per påbegynte minutt av samtalen, og prisene står på prissiden.

Om dere har grunnlag for opptaket, og hva innringeren får vite, er ditt ansvar som behandlingsansvarlig. telkit gjør ingen av de vurderingene for deg.