Procedura udostępnienia nagrania rozmowy klientowi – od wniosku do kopii danych

Procedura udostępnienia nagrania rozmowy klientowi powinna prowadzić od przyjęcia żądania i ustalenia tożsamości do przekazania kompletnej, zrozumiałej kopii danych bezpiecznym kanałem. Firma musi pilnować terminu, odnaleźć właściwe rozmowy i ocenić prawa innych osób. Samo zapewnienie, że nagranie istnieje, albo opisanie tematu rozmowy nie zastępuje wykonania żądania kopii.

Poniższy przebieg można wykorzystać do organizacji pracy obsługi klienta, działu technicznego i osób zajmujących się ochroną danych. Podstawą są obowiązki administratora wynikające z RODO; przydział zadań, sposób prowadzenia rejestru i kontrola przed wysyłką to proponowane rozwiązania organizacyjne.

1. Zarejestruj żądanie i wyznacz osobę prowadzącą

Pracownik przyjmujący wiadomość powinien rozpoznać jej sens, nawet jeśli klient nie użył określenia „prawo dostępu” ani nie podał numeru przepisu. Żądanie przesłania własnej rozmowy wymaga oceny jako wniosek dotyczący danych osobowych. Art. 12 ust. 2 RODO nakazuje ułatwiać wykonywanie praw, dlatego wewnętrzny formularz powinien pomagać w obsłudze, a nie stawać się dodatkową przeszkodą.

W rejestrze spraw zapisz datę otrzymania żądania, jego treść, dane kontaktowe i zakres wskazanych rozmów. Wyznacz pracownika odpowiedzialnego za zebranie odpowiedzi oraz zastępstwo na czas nieobecności. Osoba prowadząca koordynuje poszukiwania, konsultuje wątpliwości i pilnuje wysyłki; odpowiedzialność administratora nie znika wskutek przekazania sprawy między działami.

Art. 12 ust. 3 RODO wymaga działania bez niepotrzebnej zwłoki i przewiduje miesięczny termin liczony od otrzymania żądania. Nie jest to termin liczony dopiero od przekazania wiadomości inspektorowi ochrony danych. Skomplikowanie sprawy lub liczba żądań mogą uzasadnić przedłużenie o dwa dalsze miesiące. O przedłużeniu i jego przyczynach trzeba powiadomić klienta w pierwszym miesiącu; sam komunikat o przyjęciu zgłoszenia nie załatwia sprawy.

2. Potwierdź tożsamość w niezbędnym zakresie

Nagranie może zawierać adres, szczegóły umowy i informacje o płatnościach. Zanim firma je wyda, powinna mieć podstawy, aby uznać odbiorcę za uprawnionego. Jednocześnie art. 12 ust. 6 RODO pozwala żądać dodatkowych informacji identyfikacyjnych wtedy, gdy istnieją uzasadnione wątpliwości co do tożsamości. Zakres tych informacji ma być niezbędny do jej potwierdzenia.

Procedura powinna najpierw przewidywać wykorzystanie wiarygodnych mechanizmów już dostępnych w relacji z klientem, na przykład uwierzytelnionego konta. Nie wprowadzaj automatycznego obowiązku przesyłania skanu dokumentu przez każdą osobę. Zbieraj tylko dane potrzebne do potwierdzenia tożsamości – takie ograniczenie realizuje zasadę minimalizacji określoną w art. 5 ust. 1 lit. c RODO.

Oddziel identyfikację osoby od ustalenia, o którą rozmowę chodzi. Przybliżona data, numer telefonu czy numer sprawy mogą służyć wyszukaniu pliku, lecz same nie zawsze potwierdzą prawo do jego otrzymania. Jeśli trzeba coś wyjaśnić, wskaż konkretnie brakującą informację i powód pytania. W rejestrze odnotuj sposób oraz wynik weryfikacji, bez gromadzenia zbędnych kopii dokumentów.

3. Odszukaj rozmowy i zabezpiecz materiał na czas obsługi

Osoba prowadząca przekazuje upoważnionemu pracownikowi technicznemu dane potrzebne do wyszukiwania. Lista miejsc do sprawdzenia powinna odpowiadać rzeczywistej organizacji firmy: może obejmować system nagrań, powiązania z obsługiwanym zgłoszeniem oraz zasoby dostawcy działającego na jej zlecenie. Nie należy kończyć poszukiwań na pierwszym nieudanym wyszukaniu, jeśli firma ma inne dostępne wskazówki pozwalające odnaleźć rozmowę.

Jako element organizacji realizacji prawa dostępu przewidź zabezpieczenie nagrań objętych żądaniem przed rutynowym usunięciem, gdy ich kasowanie uniemożliwiłoby przygotowanie odpowiedzi. Zapisz, które pliki zabezpieczono i kto ma do nich dostęp. Nie oznacza to bezterminowego zachowania całego archiwum: po obsłużeniu sprawy trzeba ocenić dalszą potrzebę przechowywania materiału zgodnie z art. 5 ust. 1 lit. e RODO.

Jeżeli nagrania nie odnaleziono, rozróżnij brak zapisu od braku pewności co do wyniku wyszukiwania. Odpowiedź powinna opisywać ustalony stan, a nie przedstawiać przypuszczenia jako fakt. Nie można dostarczyć kopii danych, których firma już nie przetwarza, lecz brak pliku audio nie przesądza o braku innych danych dotyczących tej rozmowy. Zakres dalszej odpowiedzi zależy także od treści żądania.

4. Oceń prawa innych osób, zachowując sens rozmowy

Art. 15 ust. 4 RODO wymaga ochrony praw i wolności innych osób przy wydawaniu kopii. Obecność głosu konsultanta nie uzasadnia jednak automatycznej odmowy ani wyciszenia wszystkich jego wypowiedzi. Trzeba ustalić, jakie konkretne prawa mogłoby naruszyć przekazanie materiału i czy można je ochronić, zachowując dane klienta oraz konieczny kontekst.

Przykładowo odpowiedź klienta „tak” może być niezrozumiała bez pytania o wskazaną kwotę lub termin. Usunięcie pytania tylko dlatego, że wypowiada je pracownik, może pozbawić kopię istotnego znaczenia. Innej oceny wymaga przypadkowo utrwalony fragment zawierający dane niezwiązanej ze sprawą osoby.

Przed ograniczeniem kopii zanotuj:

• fragment wymagający ochrony i rozpoznane ryzyko dla innej osoby;
• sposób ochrony, na przykład zmianę głosu lub usunięcie konkretnej informacji;
• wpływ tej zmiany na kompletność danych klienta i zrozumiałość rozmowy;
• osobę, która zatwierdziła zakres udostępnienia.

Pracuj na kopii roboczej, aby przygotowanie materiału do wydania nie zmieniło zapisu źródłowego. Sama etykieta „bezpieczeństwo danych” nie wyjaśnia, dlaczego konkretny fragment miałby zostać wyłączony.

5. Przygotuj wierną kopię danych, uwzględniając głos

W sprawie C-487/21 Trybunał Sprawiedliwości Unii Europejskiej (pierwsza izba) wyjaśnił, jak rozumieć kopię danych: odtworzenie powinno być kompletne, wierne i zrozumiałe; wyrok wydano 4 maja 2023 r. Prawo dotyczy danych, a nie bezwarunkowego otrzymania każdego dokumentu. Jednak fragment dokumentu, cały dokument lub wyciąg z bazy trzeba udostępnić, jeżeli jest to potrzebne do skutecznego korzystania z praw wynikających z RODO.

Przy nagraniu ocena nie może ograniczać się do wypisania imienia, nazwiska i numeru klienta. Decyzją DS.523.4826.2020, wydaną 19 października 2022 r., Prezes Urzędu Ochrony Danych Osobowych zobowiązał spółkę do dostarczenia kopii danych utrwalonych podczas rozmów, obejmującej także głos osoby, która wniosła skargę. Przekazane wcześniej informacje tekstowe pomijały ten element przetwarzanych danych.

Transkrypcja nie jest więc automatycznie równoważna nagraniu. Jeśli ma służyć realizacji żądania, należy sprawdzić, czy zachowuje wszystkie objęte nim dane i potrzebny kontekst. Gdy wymagane jest także udostępnienie utrwalonego głosu, sam tekst go nie odtworzy. Nie należy również zastępować kopii krótkim streszczeniem albo jednostronnie narzucać wyłącznie odsłuchu w siedzibie firmy. Możliwość wysłuchania rozmowy nie zapewnia jeszcze otrzymania jej kopii.

Pierwsza kopia jest co do zasady bezpłatna. Przy kolejnych kopiach można naliczyć opłatę w rozsądnej wysokości, wynikającą z kosztów administracyjnych – na to pozwala art. 15 ust. 3 RODO. Odrębny wyjątek z art. 12 ust. 5 RODO dotyczy żądań ewidentnie nieuzasadnionych lub nadmiernych; wykazanie tych okoliczności obciąża administratora. Zwykły nakład pracy przy wyszukiwaniu i przygotowaniu nagrania nie tworzy automatycznie podstawy do opłaty.

6. Sprawdź odpowiedź i bezpiecznie przekaż plik

Przed wysyłką druga upoważniona osoba może sprawdzić zgodność pliku z żądaniem: właściwego rozmówcę, kompletność rozmów, konieczne ograniczenia i poprawność adresata. Warto też sprawdzić, czy kopię można otworzyć i odtworzyć bez dostępu do wewnętrznego systemu firmy. To proponowana kontrola organizacyjna, a nie narzucony przez RODO model pracy dwóch osób.

Art. 32 RODO wymaga zabezpieczeń odpowiednich do ryzyka. Możliwym rozwiązaniem jest udostępnienie pliku po uwierzytelnieniu w panelu klienta albo przekazanie zaszyfrowanego pliku z hasłem dostarczonym oddzielnym, zweryfikowanym kanałem. Wybór zależy od treści rozmowy i dostępnych zabezpieczeń. Termin ważności dostępu powinien pozwalać na rzeczywiste pobranie kopii, a instrukcja dla klienta jasno wyjaśniać sposób jej uzyskania.

Przy elektronicznym żądaniu art. 15 ust. 3 RODO przewiduje powszechnie stosowaną drogę elektroniczną, o ile osoba nie wskaże inaczej. Jeżeli wniosek obejmuje pełne prawo dostępu, odpowiedź powinna uwzględniać także informacje wymagane przez art. 15 ust. 1 RODO, między innymi cele przetwarzania, odbiorców oraz okres przechowywania lub kryteria jego ustalania. Sam załącznik dźwiękowy nie zastępuje tych informacji.

7. Zamknij sprawę z czytelnym śladem realizacji

Rejestr realizacji prawa dostępu może dokumentować daty czynności, wynik poszukiwań, przyjęty zakres kopii, uzasadnienie ograniczeń, treść odpowiedzi oraz kanał i datę przekazania. Pomaga to wykazać przestrzeganie zasad zgodnie z art. 5 ust. 2 RODO. Nie trzeba w tym celu powielać nagrania w każdym systemie ani udostępniać rejestru całemu zespołowi.

Brak działań w sprawie żądania również wymaga odpowiedzi: zgodnie z art. 12 ust. 4 RODO firma musi niezwłocznie wyjaśnić przyczyny i poinformować klienta, że może złożyć skargę do organu nadzorczego oraz skorzystać z ochrony sądowej; granicą jest miesiąc od otrzymania żądania. Po wysyłce osoba prowadząca powinna sprawdzić ewentualne błędy doręczenia, uporządkować kopie robocze i ustalić dalsze przechowywanie dokumentacji. Sprawę zamyka udokumentowana odpowiedź zgodna z żądaniem, nie samo oznaczenie zgłoszenia jako zakończonego.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO), Dz.Urz. UE L 119 z 4.05.2016, s. 1, ze sprostowaniami: Dz.Urz. UE L 127 z 23.05.2018, s. 2 oraz L 74 z 4.03.2021, s. 35; art. 5, 12, 15 i 32.
• Trybunał Sprawiedliwości Unii Europejskiej (pierwsza izba), wyrok z 4 maja 2023 r., C-487/21, Österreichische Datenschutzbehörde i CRIF, eur-lex.europa.eu, CELEX 62021CJ0487.
• Prezes Urzędu Ochrony Danych Osobowych, decyzja z 19 października 2022 r., DS.523.4826.2020, orzeczenia.uodo.gov.pl.

Zdjęcie: Petiatil, CC BY-SA 3.0 (creativecommons.org/licenses/by-sa/3.0/), Wikimedia Commons, commons.wikimedia.org/wiki/File:Aspect_Tel-set_telephone_call_centre.jpg