Podstawa prawna nagrywania rozmów w RODO – zgoda czy uzasadniony interes?

Podstawa prawna nagrywania rozmów w RODO zależy od celu nagrania i warunków jego wykorzystania. Zgoda nie jest obowiązkowym wyborem dla każdej firmowej infolinii, a prawnie uzasadniony interes nie daje automatycznego prawa do rejestrowania wszystkich połączeń. Najpierw trzeba ustalić, po co firma potrzebuje zapisu głosu, czy ten cel wymaga nagrania oraz jakie skutki poniesie rozmówca. Dopiero wtedy można dobrać właściwą podstawę z art. 6 ust. 1 RODO.

Najpierw cel i potrzeba nagrania

Hasło „nagrywanie dla bezpieczeństwa i poprawy jakości” jest zbyt ogólne do podjęcia decyzji wdrożeniowej. Ustalenie treści zamówienia, wyjaśnienie reklamacji, ocena pracy konsultanta i przygotowanie materiału szkoleniowego to różne zastosowania. Każde wymaga własnego uzasadnienia. Nagranie przydatne jako dowód ustaleń nie staje się przez to swobodnie dostępnym materiałem dla całego zespołu szkoleniowego.

Art. 5 ust. 1 lit. b i c RODO wymaga określenia celów oraz ograniczenia danych do potrzebnego zakresu. Przed włączeniem rejestracji warto więc porównać nagranie z potwierdzeniem zamówienia pocztą elektroniczną, formularzem zaakceptowanym przez klienta albo notatką dotyczącą konkretnego ustalenia. Nie każda alternatywa będzie równie skuteczna, ale jej odrzucenie powinno wynikać z rzeczywistych potrzeb, a nie z wygody systemu telefonicznego.

Przykładowo sklep chcący potwierdzać adres dostawy może potrzebować zapisu adresu, lecz nie całej rozmowy o problemach rodzinnych klienta. Z kolei przy sporze o dokładną treść ustnego zlecenia znaczenie może mieć dosłowne brzmienie wypowiedzi. Takie różnice trzeba opisać przed wyborem podstawy, zamiast uzasadniać nimi gotowe archiwum wszystkich połączeń.

Umowa i obowiązek prawny mają określone granice

Art. 6 ust. 1 lit. b RODO obejmuje przetwarzanie niezbędne do wykonania umowy z osobą, której dane dotyczą, albo do działań podejmowanych na jej żądanie przed zawarciem umowy. Sam związek rozmowy z zakupem nie wystarcza. Należy wykazać, dlaczego realizacja konkretnej umowy wymaga właśnie nagrywania. Wpisanie rejestracji połączeń do regulaminu nie zastępuje takiej oceny.

Możliwość wykorzystania pliku w przyszłym sporze również nie przesądza o niezbędności nagrania do wykonania umowy. Cel dowodowy trzeba nazwać i ocenić osobno. Art. 6 zawiera także podstawy związane z ochroną żywotnych interesów oraz realizacją zadań publicznych, lecz nie są one ogólnym uzasadnieniem nagrywania zwykłej obsługi klienta.

Przy obowiązku prawnym właściwym punktem odniesienia jest art. 6 ust. 1 lit. c RODO. W powiązaniu z art. 6 ust. 3 RODO wymaga on obowiązku wynikającego z prawa Unii lub prawa krajowego, któremu podlega administrator. Wewnętrzna polityka firmy, zalecenie działu sprzedaży czy sam fakt prowadzenia działalności regulowanej nie zastępują takiego obowiązku.

Przykładem regulacji sektorowej jest MiFID II (dyrektywa 2014/65/UE). Jej art. 16 ust. 7 obejmuje określone rozmowy telefoniczne i korespondencję elektroniczną dotyczącą transakcji na własny rachunek oraz usług przyjmowania, przekazywania i wykonywania zleceń klientów. Rejestracji podlega także komunikacja, która ma prowadzić do takich transakcji lub usług, nawet jeśli nie dochodzą one do skutku. Nie oznacza to nakazu nagrywania każdej rozmowy w każdej firmie finansowej.

Art. 76 rozporządzenia delegowanego Komisji (UE) 2017/565 wymaga między innymi pisemnej polityki, identyfikacji komunikacji objętej rejestracją oraz nadzoru nad procedurami. Pokazuje to, że obowiązek sektorowy trzeba przyporządkować do konkretnych procesów. Przy ocenie polskiej firmy należy dodatkowo ustalić właściwe przepisy krajowe wdrażające MiFID II; sam opis unijnych wymagań nie rozstrzyga jej indywidualnego zakresu obowiązków.

Zgoda wymaga rzeczywistego wyboru

Podstawę opartą na zgodzie przewiduje art. 6 ust. 1 lit. a RODO. Zgodnie z art. 4 pkt 11 RODO zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Motyw 32 wyjaśnia, że milczenie lub brak działania nie oznaczają zgody. Samo odtworzenie komunikatu o nagrywaniu nie dowodzi więc, że klient zaakceptował wskazany cel przetwarzania.

Jeżeli firma wybiera zgodę, powinna zaplanować sposób obsługi odmowy. Praktycznym rozwiązaniem może być rozmowa bez rejestracji albo rzeczywiście dostępna alternatywna droga załatwienia sprawy. Trzeba ocenić, czy klient może odmówić bez nieuzasadnionych utrudnień. Art. 7 ust. 4 RODO nakazuje uwzględnić uzależnianie usługi od zgody na przetwarzanie, które nie jest konieczne do wykonania umowy.

Zgoda na wykorzystanie rozmowy w szkoleniu powinna jasno wskazywać ten cel. Nie można zastąpić go nieokreśloną zgodą na wszystkie działania firmy. Administrator musi też umieć wykazać uzyskanie zgody, czego wymaga art. 7 ust. 1 RODO. Potrzebuje zatem wiarygodnego zapisu tego, na co i w jakich warunkach zgodził się rozmówca.

Art. 7 ust. 3 RODO pozwala wycofać zgodę w dowolnym momencie, równie łatwo jak ją wyrazić. Wycofanie nie przekreśla legalności wcześniejszych działań opartych na ważnej zgodzie, lecz oznacza, że nie można dalej opierać na niej przetwarzania. Procedura powinna określać, kto przyjmuje takie zgłoszenie i jak przekazuje je osobom zarządzającym nagraniami.

Prawnie uzasadniony interes: trzy etapy oceny

Art. 6 ust. 1 lit. f RODO wymaga oceny interesu firmy, niezbędności przetwarzania i praw rozmówcy. Motyw 47 odwołuje się również do rozsądnych oczekiwań osoby. To, że klient zna firmę lub zawarł z nią umowę, może mieć znaczenie, lecz nie daje firmie automatycznej przewagi.

Pomocne są Wytyczne EROD 1/2024, w wersji 1.0 przyjętej 8 października 2024 r. do konsultacji publicznych. Taki status dokumentu trzeba odróżnić od ostatecznych wytycznych. Opisana w nim ocena obejmuje trzy warunki, które trzeba spełnić łącznie i udokumentować przed rozpoczęciem przetwarzania:

1. Konkretny, zgodny z prawem i rzeczywisty interes. Firma powinna wskazać, co chce chronić lub osiągnąć. Ogólne powołanie się na korzyść biznesową nie wyjaśnia, dlaczego potrzebuje głosu i pełnej treści połączenia.
2. Niezbędność. Trzeba sprawdzić, czy równie skuteczny rezultat da się rozsądnie uzyskać metodą mniej ingerującą w prawa osoby. Jeżeli tak, sam interes firmy nie uzasadni nagrywania.
3. Wyważenie praw i interesów. Należy ocenić treść rozmów, sytuację uczestników, ich oczekiwania, dostęp do plików oraz możliwe konsekwencje wykorzystania nagrań.

Przy teście równowagi nagrywania rozmów znaczenie mają także zabezpieczenia: ograniczony krąg odsłuchujących, krótsze przechowywanie, wyłączenie zbędnych fragmentów czy zawężenie kategorii nagrywanych połączeń. Mogą zmniejszać ingerencję, ale nie zastępują brakującej niezbędności. Negatywny wynik oceny oznacza potrzebę zmiany procesu lub rezygnacji z tej podstawy.

Nie wystarczy argument, że konkurencja nagrywa w podobny sposób. Wytyczne rozróżniają praktykę rynkową od rozsądnych oczekiwań osoby. Samo poinformowanie klienta o przetwarzaniu również nie przesądza, że może on zasadnie oczekiwać każdego zastosowania pliku. Szczególnej uwagi wymaga rozmowa, w której mogą pojawić się informacje o zdrowiu: przy ich przetwarzaniu sama podstawa z art. 6 nie zastępuje warunków dotyczących szczególnych kategorii danych z art. 9 RODO.

Sprzeciw i dokumentacja muszą odpowiadać wybranej podstawie

Przy prawnie uzasadnionym interesie rozmówca ma prawo do sprzeciwu z przyczyn związanych ze swoją szczególną sytuacją. Art. 21 ust. 1 RODO zakazuje dalszego przetwarzania po takim sprzeciwie, chyba że administrator wykaże nadrzędne, ważne prawnie uzasadnione podstawy albo podstawy związane z ustaleniem, dochodzeniem lub obroną roszczeń. Ogólny test wykonany przed wdrożeniem nie zwalnia z rozpatrzenia konkretnego zgłoszenia.

W dokumentacji najlepiej rozdzielić cele dowodowe, kontrolę jakości i szkolenia. Dla każdego zapisać zakres rozmów, podstawę, uzasadnienie potrzeby, uprawnienia do odsłuchu, termin usunięcia i sposób realizacji praw osoby. Jeżeli później pojawia się pomysł nowego wykorzystania plików, trzeba ocenić go także pod kątem reguł zmiany celu z art. 6 ust. 4 RODO.

Art. 30 RODO określa zawartość rejestru czynności przetwarzania, w tym cele, kategorie osób i danych oraz odbiorców. Przewiduje też, jeżeli jest to możliwe, terminy usuwania i ogólny opis zabezpieczeń. Choć podstawa prawna nie jest tam wymieniona jako osobne obowiązkowe pole, jej dodanie wraz z odwołaniem do testu równowagi ułatwia wykazanie rozliczalności wymaganej przez art. 5 ust. 2 RODO. Zwolnienie dla podmiotów zatrudniających mniej niż 250 osób nie obejmuje przetwarzania, które nie jest sporadyczne, więc mała firma stale nagrywająca infolinię nie powinna zakładać automatycznego zwolnienia.

Końcowa decyzja powinna przekładać się na działanie obsługi: pracownik wie, kiedy nagrywanie jest dopuszczalne, jak obsłużyć odmowę lub sprzeciw i kto może użyć zapisu. Komunikat dla klienta musi odpowiadać rzeczywistemu celowi oraz podstawie. Jedna ogólna formułka nie zastąpi tych ustaleń, podobnie jak jeden termin przechowywania nie rozwiąże potrzeb wszystkich zastosowań nagrań.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1, art. 4–7, 9, 21 i 30 oraz motywy 32 i 47.
• Europejska Rada Ochrony Danych: Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, wersja 1.0 przyjęta 8 października 2024 r. do konsultacji publicznych, edpb.europa.eu.
• Dyrektywa Parlamentu Europejskiego i Rady 2014/65/UE z 15 maja 2014 r. (MiFID II), Dz.Urz. UE L 173 z 12.06.2014, s. 349, art. 16 ust. 7.
• Rozporządzenie delegowane Komisji (UE) 2017/565 z 25 kwietnia 2016 r., Dz.Urz. UE L 87 z 31.03.2017, s. 1, art. 76.

Zdjęcie: J.P. C., CC BY-SA 2.0 (creativecommons.org/licenses/by-sa/2.0/), Wikimedia Commons, commons.wikimedia.org/wiki/File:Stack_of_four_sticky_notes.jpg