Samtaleopptak og GDPR

Ja. Datatilsynet om lydopptak forklarer at både innholdet i en samtale og selve stemmen er personopplysninger. Stemmen identifiserer personen, og innholdet kan i tillegg avsløre alt fra helse til økonomi.

Setningen er viktigere enn den ser ut. Fordi det ikke finnes et eget kapittel om lydopptak, kan du ikke lete etter en paragraf som sier ja eller nei. Du må gå gjennom de vanlige spørsmålene: hva er formålet, hva er behandlingsgrunnlaget, hvor lenge lagres det, og hvem har tilgang.

Et transkribert opptak er de samme personopplysningene i ny form. At teksten er lettere å søke i, gjør den ikke mindre personlig, og et sammendrag laget av en språkmodell er heller ikke et unntak.

Et opptak kan i tillegg inneholde opplysninger du aldri spurte om. En kunde forklarer hvorfor hun ringer, og på veien nevner hun sykdom, gjeld eller familieforhold. Slike opplysninger krever mer av deg enn et navn og et telefonnummer, og de dukker opp uten at noen planla det.

Derfor er det lurt å tenke på opptak som en høy innsats med lav terskel. Det er teknisk enkelt å slå på og vanskelig å rydde opp i etterpå, siden lyden ligger der og teksten sprer seg videre til referater, søk og sammendrag.

Datatilsynet svarer på dette direkte i sine spørsmål og svar om lydopptak:

«Som hovedregel» betyr at det finnes tilfeller der noe annet gjelder, men utgangspunktet er tydelig: spør først. Et samtykke som skal holde, må være gitt frivillig og informert, og kunden må kunne si nei uten å miste tjenesten.

En innspilt beskjed om at samtalen kan bli tatt opp, er informasjon. Om den også er et gyldig samtykke, avhenger av om kunden reelt hadde et valg. Har kunden ikke noe alternativ til å ringe deg, er valget svakt, og da bør du se på om et annet behandlingsgrunnlag passer bedre enn samtykke.

Et samtykke må også kunne trekkes tilbake. I praksis betyr det at kunden skal kunne be om at opptaket slettes, og at dere må finne det. Klarer dere ikke å hente fram alle opptak av én person, er samtykke et vanskelig grunnlag å bygge på.

Tenk gjennom hva som skjer når kunden sier nei. Skal samtalen fortsette uten opptak, skal den settes over til en annen kø, eller skal agenten notere manuelt? Svaret bør finnes før noen står i telefonen med spørsmålet.

Utgangspunktet er nei. Datatilsynet skriver at en arbeidsgiver som regel ikke kan ta opp ansattes samtaler. Unntak gjelder verdipapirforetak, og i noen tilfeller telefonsalg og kundeservice.

Grunnen er styrkeforholdet. Et samtykke fra en ansatt til egen arbeidsgiver er sjelden frivillig i praksis, fordi den ansatte vet hvem som spør. Derfor må et opptak av ansatte hvile på noe annet enn et raskt ja i en signeringsrunde.

Skal du ta opp samtaler på et kundesenter, treffer du begge sider samtidig: kunden i den ene enden og den ansatte i den andre. Begge må vurderes, og de kan lande på hvert sitt behandlingsgrunnlag.

Formålet avgjør mye. Opptak brukt til opplæring av den enkelte ansatte er noe annet enn opptak brukt til å dokumentere hva som ble avtalt med kunden, selv om det er den samme lydfilen. Skriv ned hvilket formål som gjelder, og hvem som har tilgang til hva.

Involver de ansatte tidlig, og gjerne tillitsvalgte der de finnes. En ordning som er kjent og forklart på forhånd, møter langt mindre motstand enn en funksjon som dukker opp i systemet en mandag morgen. Skriv ned hvem som kan lytte på hva, og hvor lenge opptakene brukes i oppfølging av den enkelte.

Straffeloven § 205 rammer den som hemmelig avlytter eller tar opp en samtale han eller hun ikke selv deltar i. Skillet er deltakelse: tar du opp din egen samtale, er du ikke i denne bestemmelsen. Tar du opp andres samtale i skjul, er du det.

Det betyr to ting for en virksomhet. Et opptak av en samtale mellom en ansatt og en kunde er en samtale virksomhetens egen ansatt deltar i. Et opptak av en samtale mellom to kunder, eller mellom to ansatte du selv ikke er part i, er en annen situasjon.

Straffeloven og personvernreglene er to spor. At et opptak er lovlig etter § 205, sier ingenting om at du har behandlingsgrunnlag etter personvernreglene. Begge må være i orden.

Ordet hemmelig er verdt å merke seg. Bestemmelsen retter seg mot avlytting og opptak som skjer i skjul. Et opptak alle parter er kjent med, ligger i en annen situasjon, og det er også derfor beskjeden om at samtalen tas opp har en verdi utover høfligheten.

For en virksomhet er den praktiske lærdommen enkel: ingen skal kunne starte et opptak uten at det er synlig i systemet. Logg hvem som slo på opptak, når, og på hvilken samtale. Da har du både kontrollen og dokumentasjonen den dagen noen spør.

Legg til to ting som ofte glemmes. Den ene er tilgangsstyring: hvem i virksomheten kan spille av et opptak, og logges avspillingen? Den andre er innsyn. En person som har blitt tatt opp, kan be om kopi, og da må dere kunne finne alle opptakene av vedkommende uten å lete manuelt.

Skriv det ned samlet, i ett dokument som beskriver formål, grunnlag, lagringstid, tilgang og leverandører. Det tar en ettermiddag, og det er den eneste versjonen av svaret som fortsatt finnes når noen spør om et halvt år.