RODO a rozmowy z AI: nagrywanie, zgody i powierzenie przetwarzania

Ten tekst opisuje praktykę wdrożeniową i nie jest poradą prawną. Przy przetwarzaniu danych szczególnych kategorii, zwłaszcza danych o zdrowiu, ostateczny kształt dokumentacji warto skonsultować z prawnikiem lub inspektorem ochrony danych.

Agent głosowy przetwarza dane osobowe od pierwszej sekundy rozmowy, bo numer telefonu dzwoniącego jest daną osobową jeszcze zanim ktokolwiek się przedstawi. To nie jest powód do paniki, tylko do uporządkowania kilku rzeczy przed uruchomieniem. Poniżej praktyczna kolejność, w jakiej warto je przechodzić.

Co właściwie przetwarza agent głosowy

Zanim ustalisz podstawy prawne, wypisz, co realnie powstaje w trakcie rozmowy. Typowo są to cztery kategorie.

Ostatni wiersz jest najbardziej ryzykowny, bo jego zawartość zależy od tego, co powie dzwoniący, a nie od tego, co zaprojektowałeś. Pacjent poproszony o podanie terminu potrafi przy okazji opowiedzieć o swoich dolegliwościach. Warto założyć, że tak się stanie, i przygotować na to zarówno scenariusz, jak i dokumentację.

Podstawa prawna: zgoda to nie jedyna opcja

Najczęstszy błąd polega na odruchowym sięganiu po zgodę. Zgoda jest podstawą kłopotliwą: trzeba ją odebrać w sposób dobrowolny i wykazywalny, a rozmówca może ją wycofać w każdej chwili, co oznacza konieczność usunięcia danych.

W obsłudze telefonicznej zwykle bardziej naturalne są dwie inne podstawy.

Wykonanie umowy lub działania przed jej zawarciem. Klient dzwoni, żeby umówić wizytę. Przetwarzanie jego danych jest niezbędne, żeby tę wizytę umówić. Nie potrzeba do tego dodatkowej zgody.

Prawnie uzasadniony interes administratora. Obejmuje na przykład zapewnienie jakości obsługi czy możliwość odtworzenia ustaleń w razie sporu. Wymaga przeprowadzenia i udokumentowania testu równowagi między Twoim interesem a prawami rozmówcy.

Zgoda pozostaje właściwa tam, gdzie przetwarzanie nie jest niezbędne do załatwienia sprawy: nagrywanie wyłącznie w celach szkoleniowych, wykorzystanie nagrania w materiałach marketingowych, kontakt w sprawach niezwiązanych z pierwotnym powodem rozmowy.

W praktyce najczęściej występuje układ mieszany: obsługa rozmowy na podstawie umowy, nagranie na podstawie uzasadnionego interesu, a marketing na podstawie zgody. Każdą z tych podstaw wpisuje się osobno do rejestru czynności przetwarzania.

Co powiedzieć na początku rozmowy

Obowiązek informacyjny trzeba spełnić w momencie zbierania danych, czyli na początku połączenia. Nie oznacza to jednak czytania całej klauzuli, bo dzwoniący rozłączy się w połowie.

Sprawdza się model dwupoziomowy: krótko w rozmowie, szczegółowo pod adresem podanym w rozmowie.

Krótka wersja mieści się w dwóch zdaniach i powinna zawierać cztery elementy:

• że rozmówca rozmawia z asystentem głosowym, a nie z człowiekiem;
• kto jest administratorem danych;
• czy rozmowa jest nagrywana i po co;
• gdzie znaleźć pełną informację oraz jak przejść do człowieka.

Informacja o tym, że po drugiej stronie jest system AI, ma dziś podwójne uzasadnienie. Poza przejrzystością wobec klienta wynika też z unijnych przepisów o sztucznej inteligencji, które wymagają, by człowiek wiedział, że rozmawia z maszyną. Niezależnie od przepisów jest to po prostu uczciwe, a jak pokazuje praktyka, uprzedzenie o tym na wstępie zmniejsza liczbę rozłączeń zamiast ją zwiększać.

Umowa powierzenia i podmioty uczestniczące

Twoja firma jest administratorem danych. Dostawca agenta głosowego jest podmiotem przetwarzającym, bo przetwarza dane w Twoim imieniu i na Twoje polecenie. Ten układ wymaga pisemnej umowy powierzenia, zawartej przed rozpoczęciem przetwarzania.

Umowa powinna odpowiadać na pięć pytań:

1. Jaki jest zakres i cel przetwarzania. Konkretnie, nie ogólnikowo.
2. Kto jest dalszym podmiotem przetwarzającym. Dostawca modelu językowego, dostawca syntezy mowy, operator telefonii i hostingodawca: każdy z nich powinien być wymieniony, a Ty powinieneś mieć prawo sprzeciwu wobec zmian na tej liście.
3. Gdzie fizycznie leżą dane. Jeśli którykolwiek element łańcucha znajduje się poza Europejskim Obszarem Gospodarczym, potrzebny jest mechanizm legalizujący transfer i warto o to zapytać wprost.
4. Jakie są zabezpieczenia. Szyfrowanie w tranzycie i w spoczynku, kontrola dostępu, rejestrowanie operacji.
5. Co dzieje się na końcu współpracy. Zwrot lub usunięcie danych oraz termin, w jakim to nastąpi.

Praktyczna wskazówka: umowa powierzenia powinna być elementem oferty, a nie płatnym dodatkiem albo dokumentem, który pojawia się dopiero po pytaniu. Jeśli dostawca ma z tym problem, to sygnał sam w sobie.

Retencja, czyli jak długo trzymać nagrania

RODO nie podaje terminu. Podaje zasadę: dane przechowuje się nie dłużej, niż jest to niezbędne do celu, dla którego zostały zebrane. Termin ustalasz sam, ale musisz umieć go uzasadnić.

Kilka reguł, które ułatwiają obronę takiej decyzji:

• Rozdziel okresy dla różnych danych. Nagranie audio zwykle nie musi żyć tak długo jak notatka z ustaleniami. Często wystarczy zachować transkrypcję i usunąć plik dźwiękowy znacznie wcześniej.
• Powiąż okres z konkretnym celem. Kontrola jakości potrzebuje tygodni, a nie lat. Możliwy spór o ustalenia wizyty ma swój horyzont czasowy.
• Usuwaj automatycznie. Reguła retencji, która wymaga, żeby ktoś o niej pamiętał, jest regułą, która nie działa.
• Zapisz to w rejestrze. Okres przechowywania jest jednym z elementów, które trzeba tam wskazać.

Krótsza retencja niemal zawsze wygrywa. Dane, których już nie masz, nie wyciekną i nie trzeba ich udostępniać na żądanie.

Prawa rozmówcy w praktyce telefonicznej

Dokumentacja bywa gotowa, a mimo to wdrożenie sypie się na pierwszym żądaniu od klienta. Warto z góry ustalić, kto i jak realizuje poszczególne prawa, bo w kanale głosowym każde z nich ma swoją specyfikę.

Dostęp do danych. Rozmówca może poprosić o kopię swoich danych, w tym o nagranie rozmowy. Trzeba wiedzieć, jak je odnaleźć po numerze telefonu i jak przekazać w bezpieczny sposób. Osobna komplikacja: jeśli w nagraniu słychać także pracownika lub osobę trzecią, kopia wymaga uwzględnienia ich praw.

Sprostowanie. Dotyczy danych, które agent zapisał błędnie, na przykład źle zrozumianego nazwiska. Musi istnieć sposób, żeby poprawić wpis w CRM, a nie tylko w samej transkrypcji.

Usunięcie. Nie jest bezwzględne. Jeśli dane są potrzebne do realizacji umowy albo do ustalenia lub obrony roszczeń, można je zachować, ale trzeba to uzasadnić i zakomunikować.

Sprzeciw. Ma znaczenie zwłaszcza tam, gdzie podstawą jest prawnie uzasadniony interes. Po skutecznym sprzeciwie przetwarzanie w tym celu trzeba zatrzymać.

Wycofanie zgody. Musi być tak samo łatwe jak jej udzielenie. Jeśli zgoda została odebrana przez telefon, wycofanie też powinno działać przez telefon.

Praktyczna wskazówka: wyznacz jeden adres i jedną osobę, do której trafiają wszystkie takie żądania, i podaj ten adres w komunikacie początkowym oraz w klauzuli informacyjnej. Rozproszona odpowiedzialność kończy się przekroczeniem terminu na odpowiedź.

Pięć błędów, które widać najczęściej

Powtarzają się niezależnie od branży i wielkości firmy.

Traktowanie zgody jako uniwersalnej podstawy. Zbieranie zgody tam, gdzie przetwarzanie i tak jest niezbędne, tworzy fikcję: zgoda nie jest wtedy dobrowolna, bo bez niej sprawy nie da się załatwić.

Klauzula czytana w całości na wstępie. Trzydzieści sekund prawniczego tekstu przed pierwszym pytaniem gwarantuje rozłączenia. Model dwupoziomowy jest zgodny z przepisami i znacznie skuteczniejszy.

Brak listy dalszych podmiotów przetwarzających. Umowa powierzenia bez wymienionych podwykonawców jest niepełna, a przy usłudze głosowej takich podmiotów jest zwykle kilka.

Retencja opisana, ale niewdrożona. Zapisany w polityce okres, po którym nikt nic nie usuwa, jest gorszy od braku zapisu, bo dowodzi świadomego niewykonania własnej procedury.

Nagrywanie wszystkiego na wszelki wypadek. Najdroższy nawyk. Zwiększa ryzyko, wydłuża czas reakcji na żądania i rzadko ma uzasadnienie, którego dałoby się bronić.

Dane szczególnych kategorii

Jeśli prowadzisz placówkę medyczną, poprzeczka jest wyżej, bo dane dotyczące zdrowia należą do kategorii szczególnych. Zmienia to dwie rzeczy: potrzebna jest osobna przesłanka dopuszczająca ich przetwarzanie, a ocena skutków dla ochrony danych staje się znacznie bardziej prawdopodobna.

Najskuteczniejsza strategia jest tu zaskakująco prosta i nie polega na dokumentacji, tylko na projekcie rozmowy: agent nie powinien pytać o nic medycznego. Ograniczenie zakresu do imienia, numeru telefonu i terminu sprawia, że większość ryzyka po prostu nie powstaje. Jak taką granicę wyznaczyć w praktyce, opisaliśmy w tekście o rejestracji telefonicznej w przychodni.

Lista kontrolna przed uruchomieniem

Do przejścia zanim agent odbierze pierwszy telefon:

• Spisany zakres danych, które będą przetwarzane w rozmowie.
• Ustalona i udokumentowana podstawa prawna dla każdego celu osobno.
• Treść komunikatu początkowego uzgodniona i nagrana.
• Pełna klauzula informacyjna dostępna pod adresem podawanym w rozmowie.
• Podpisana umowa powierzenia z listą dalszych podmiotów przetwarzających.
• Potwierdzone miejsce przetwarzania i ewentualne mechanizmy transferu.
• Ustalone i wdrożone okresy retencji, najlepiej automatyczne.
• Aktualny rejestr czynności przetwarzania.
• Ocena skutków przeprowadzona albo udokumentowana decyzja, że nie jest wymagana.
• Działająca ścieżka realizacji praw: dostęp, sprostowanie, usunięcie, sprzeciw.
• Przetestowane natychmiastowe przekazanie rozmowy do człowieka.

Podsumowanie

Zgodność wdrożenia agenta głosowego nie sprowadza się do jednej zgody odczytanej na wstępie. Sprowadza się do trzech decyzji: jakie dane zbierasz, na jakiej podstawie i jak długo je trzymasz. Każda z nich powinna być podjęta świadomie i zapisana.

Najtańszym i najskuteczniejszym narzędziem pozostaje minimalizacja. Rozmowa, w której agent pyta wyłącznie o imię, numer telefonu i termin, jest jednocześnie prostsza dla klienta i łatwiejsza do obrony przed organem nadzorczym.

Jak wygląda to od strony organizacyjnej i kosztowej, opisaliśmy w tekście o tym, ile kosztuje wdrożenie agenta głosowego. Zasady, na jakich sami przetwarzamy dane, znajdziesz na stronie RODO oraz w polityce prywatności.