Înregistrarea convorbirilor telefonice în firmă: ce spune GDPR și cum o faci corect

Înregistrarea convorbirilor telefonice în firmă: ce spune GDPR și cum o faci corect

Înregistrarea apelurilor este utilă: instruiești echipa, clarifici disputele comerciale, verifici ce s-a promis unui client. Este și o prelucrare de date cu caracter personal, deci intră sub incidența GDPR.

Vestea bună e că nu e complicat. Trebuie doar respectate câteva reguli, în ordinea corectă.

Precizare: acest articol are scop informativ și nu înlocuiește consultanța juridică. Pentru situația concretă a firmei tale, verifică cu un avocat sau cu responsabilul cu protecția datelor.

 

1. Stabilește pentru ce înregistrezi

Prima întrebare nu e „cum", ci „de ce". GDPR cere ca prelucrarea să aibă un scop determinat, explicit și legitim, iar datele colectate să nu depășească ce e necesar pentru acel scop.

Scopuri uzuale și acceptate în practică:

• îmbunătățirea calității serviciilor și instruirea personalului;

• dovada încheierii unui contract sau a unei comenzi telefonice;

• soluționarea reclamațiilor și a disputelor;

• respectarea unor obligații legale specifice (în domenii reglementate, cum sunt serviciile financiare).

Un scop formulat vag, de tipul „pentru uz intern", nu e suficient.

2. Identifică temeiul legal

Nu poți înregistra „pentru că vrei". Îți trebuie unul dintre temeiurile prevăzute de regulament. Cele relevante în practică:

Consimțământul. Apelantul e informat și are opțiunea reală de a refuza. Problema practică: dacă refuză, trebuie să existe o alternativă — un apel neînregistrat sau alt canal. Altfel consimțământul nu e liber, deci nu e valid.

Interesul legitim. Cel mai folosit temei pentru înregistrarea apelurilor comerciale. Presupune însă că ai făcut și documentat o evaluare: interesul tău (îmbunătățirea serviciului, protecția juridică) versus impactul asupra persoanei. Evaluarea trebuie să existe în scris.

Executarea unui contract. Aplicabil când înregistrarea e necesară pentru încheierea sau derularea contractului — de exemplu, o comandă plasată telefonic.

Obligația legală. În anumite domenii reglementate, înregistrarea este cerută de lege.

3. Informează apelantul, înainte de înregistrare

Informarea trebuie să vină la începutul apelului, înainte ca înregistrarea să înceapă efectiv. Mesajul din IVR trebuie să conțină minimul necesar:

„Acest apel poate fi înregistrat pentru îmbunătățirea calității serviciilor. Detalii despre prelucrarea datelor găsiți în politica de confidențialitate de pe site-ul nostru."

Politica de confidențialitate trebuie să conțină apoi informarea completă: identitatea operatorului, scopul, temeiul legal, durata de stocare, destinatarii, drepturile persoanei vizate și datele de contact ale responsabilului cu protecția datelor, dacă există.

Aceeași regulă se aplică și apelurilor efectuate de echipa ta: dacă suni tu clientul și înregistrezi, tot trebuie să-l informezi.

4. Stabilește o durată de stocare și respect-o

Datele nu se păstrează „pentru totdeauna". Durata trebuie corelată cu scopul: dacă înregistrezi pentru instruire, câteva luni sunt suficiente; dacă înregistrezi ca dovadă contractuală, durata poate fi mai lungă, corelată cu termenul de prescripție aplicabil.

În practică, o perioadă de 90 de zile acoperă majoritatea scopurilor operaționale — este și perioada standard de păstrare a înregistrărilor în pachetele SmartPBX. Pentru cazuri care necesită păstrare mai îndelungată (o dispută în curs), înregistrarea relevantă se extrage și se arhivează separat, cu justificare documentată.

Important: ștergerea trebuie să fie automată, nu să depindă de cineva care își amintește să o facă.

5. Limitează accesul

Nu toți angajații trebuie să aibă acces la toate înregistrările. Definește cine poate asculta, în ce scop și păstrează un jurnal al accesărilor. Într-o centrală virtuală, drepturile de acces se configurează pe roluri.

6. Fii pregătit pentru cererile persoanelor vizate

Un client poate cere accesul la înregistrarea propriei conversații, rectificarea datelor sau ștergerea lor. Ai obligația să răspunzi într-un termen determinat.

Practic, asta înseamnă că trebuie să poți găsi rapid o înregistrare după număr de telefon și dată. O centrală cu căutare și filtrare face diferența între un răspuns în cinci minute și o căutare de o zi.

Atenție la un detaliu: dacă înregistrarea conține și date ale altor persoane, ele trebuie protejate înainte de furnizare.

7. Securizează stocarea

Înregistrările conțin date personale, uneori sensibile. Trebuie protejate prin măsuri tehnice și organizatorice adecvate: criptare, control al accesului, protecție împotriva pierderii.

Dacă folosești un furnizor de telefonie care stochează înregistrările, el este împuternicit în sensul GDPR — îți trebuie un acord de prelucrare a datelor cu el. Verifică unde sunt stocate datele și ce certificări are furnizorul. Certificarea ISO/IEC 27001 pentru securitatea informației este un indicator relevant.

Cele mai frecvente neconformități

Din practică, aceleași câteva probleme apar în majoritatea firmelor:

Mesajul de informare rulează după ce a început înregistrarea. Ordinea tehnică e greșită, deși mesajul există. Se verifică ascultând o înregistrare: dacă mesajul nu se aude în ea, e configurat corect; dacă apelul e înregistrat din prima secundă, trebuie ajustat.

Nu există evaluarea interesului legitim. Firma invocă acest temei, dar nu are documentul care demonstrează echilibrul dintre interesul ei și impactul asupra persoanei. Fără document, temeiul nu poate fi susținut.

Politica de confidențialitate nu menționează înregistrarea apelurilor. Mesajul din IVR trimite la o politică ce vorbește doar despre cookie-uri și formulare web.

Ștergerea nu se face niciodată. Termenul e scris, dar nimeni nu l-a implementat tehnic.

Toată lumea are acces. Într-o firmă mică, e comod ca oricine să poată asculta orice. Din perspectiva GDPR, accesul trebuie limitat la ce e necesar pentru rol.

Nu există acord de prelucrare cu furnizorul. Se semnează contractul comercial, dar nu și DPA-ul.

Angajații nu știu regulile. Agentul care oprește manual înregistrarea la cerere, sau care trimite un fișier audio pe WhatsApp, creează o problemă chiar dacă sistemul e configurat corect.

Transcrierea și analiza automată: un strat în plus

Tot mai multe firme nu doar înregistrează, ci transcriu automat apelurile și le analizează cu AI — pentru scoruri de calitate, sumarizare și identificarea problemelor recurente.

Din perspectiva GDPR, transcrierea și analiza sunt prelucrări suplimentare față de simpla înregistrare. Ele trebuie incluse în scopul declarat și în informarea către persoana vizată. Nu poți informa despre „înregistrare pentru calitate" și apoi să faci profilare comercială pe baza conversațiilor.

Soluțiile de tipul MonitorAI rezolvă partea tehnică; partea de conformitate rămâne responsabilitatea ta ca operator de date.

Situații speciale

Apelurile interne, între colegi. Sunt tot date personale, de data aceasta ale angajaților. Monitorizarea angajaților are reguli suplimentare față de prelucrarea datelor clienților: informare prin politici interne, proporționalitate, consultarea reprezentanților salariaților acolo unde e cazul. Recomandarea practică: nu înregistra apelurile interne dacă nu ai un motiv clar.

Apelurile efectuate de echipa ta. Dacă suni tu clientul, obligația de informare rămâne. Fie printr-un mesaj automat la începutul apelului, fie prin formularea agentului la deschidere.

Date sensibile în conversație. În sănătate, în servicii juridice sau financiare, conversațiile pot conține categorii speciale de date. Acestea au un regim mai strict: temeiuri legale restrânse și măsuri de securitate suplimentare.

Furnizori și parteneri. Reprezentanții unei firme partenere sunt tot persoane fizice. Informarea se aplică și lor.

Apeluri către numere de urgență sau instituții. Verifică dacă există reguli sectoriale specifice înainte de a le înregistra.

Model de mesaj de informare

Un text scurt, pentru începutul apelului:

„Bună ziua. Vă informăm că acest apel poate fi înregistrat pentru îmbunătățirea calității serviciilor și pentru evidența solicitărilor. Informații despre prelucrarea datelor găsiți în politica de confidențialitate de pe site-ul nostru."

Dacă folosești și transcriere automată sau analiză AI, mesajul trebuie să reflecte asta:

„...apelul poate fi înregistrat și transcris automat pentru îmbunătățirea calității serviciilor."

Formularea exactă trebuie adaptată la scopul și temeiul tău legal — de aceea merită validată juridic, nu copiată.

Ce trebuie să conțină secțiunea din politica de confidențialitate

Informarea completă, la care trimite mesajul din IVR, ar trebui să acopere:

• identitatea și datele de contact ale operatorului (firma ta);

• datele de contact ale responsabilului cu protecția datelor, dacă ai desemnat unul;

• scopul concret al înregistrării;

• temeiul legal invocat și, dacă e interesul legitim, care este acel interes;

• categoriile de date prelucrate (conținutul conversației, numărul de telefon, momentul apelului);

• destinatarii sau categoriile de destinatari, inclusiv furnizorul de telefonie ca împuternicit;

• durata de stocare sau criteriile de stabilire a acesteia;

• drepturile persoanei vizate: acces, rectificare, ștergere, restricționare, opoziție, portabilitate;

• dreptul de a depune plângere la ANSPDCP;

• dacă există transferuri de date în afara UE și ce garanții le acoperă.

 

Ce se verifică la un control

Autoritatea de supraveghere urmărește, în esență, dacă poți demonstra conformitatea — nu doar dacă o afirmi. Documentele care contează:

• registrul activităților de prelucrare, cu înregistrarea apelurilor ca activitate distinctă;

• evaluarea interesului legitim, dacă acesta e temeiul;

• textul mesajului de informare și dovada că rulează;

• politica de confidențialitate în vigoare la data respectivă;

• acordul de prelucrare cu furnizorul de telefonie;

• procedura de răspuns la cererile persoanelor vizate și evidența cererilor primite;

• dovada că ștergerea la termen funcționează efectiv.

Ultimul punct e cel mai des ratat: multe firme au o politică de păstrare de 90 de zile scrisă pe hârtie și înregistrări de acum trei ani în sistem.

Checklist rapid

• Scopul înregistrării e definit în scris

• Temeiul legal e identificat și documentat

• Evaluarea interesului legitim există (dacă acesta e temeiul)

• Mesajul de informare rulează înaintea înregistrării

• Politica de confidențialitate conține informarea completă

• Durata de stocare e stabilită și ștergerea e automată

• Accesul e limitat pe roluri și jurnalizat

• Poți găsi rapid o înregistrare la cerere

• Ai acord de prelucrare cu furnizorul de telefonie

• Transcrierea/analiza AI sunt incluse în informare, dacă le folosești

 

Întrebări frecvente

Pot înregistra apelurile fără să anunț?

Nu. Informarea prealabilă este obligatorie, indiferent de temeiul legal ales.

E suficient mesajul din IVR?

Mesajul este primul strat de informare. Informarea completă trebuie să fie disponibilă în politica de confidențialitate, la care mesajul trimite.

Ce fac dacă un client refuză să fie înregistrat?

Dacă temeiul e consimțământul, trebuie să existe o alternativă. Dacă temeiul e interesul legitim, clientul are dreptul să se opună, iar tu trebuie să evaluezi opoziția — nu să o ignori automat.

Cât timp pot păstra înregistrările?

Atât cât e necesar pentru scopul declarat. 90 de zile acoperă majoritatea scopurilor operaționale; termene mai lungi cer justificare.

Se aplică și apelurilor interne, între colegi?

Da, și acestea implică date personale ale angajaților. Aici informarea se face prin politicile interne, iar monitorizarea angajaților are reguli suplimentare.

Cine răspunde dacă apare o problemă — eu sau furnizorul?

Tu ești operatorul de date și răspunzi pentru scop, temei și informare. Furnizorul este împuternicit și răspunde pentru securitatea prelucrării, în limitele acordului semnat.

 

---

Ai nevoie de o centrală care păstrează înregistrările în siguranță, cu acces controlat și ștergere automată? DOTRO este certificat ISO/IEC 27001 pentru securitatea informației. Discută cu un consultant →