Registrazione delle chiamate e GDPR: cosa sapere prima di registrare

Perché la registrazione delle chiamate riguarda il GDPR

La registrazione delle chiamate rientra nel GDPR, il Regolamento (UE) 2016/679, perché la voce di una persona, il suo numero di telefono e quello che dice durante la conversazione sono dati personali. Registrare, conservare, ascoltare, scaricare, trascrivere e cancellare un file audio sono tutte operazioni di trattamento. Non conta se lo fai con un registratore, con un centralino in sede o con un centralino cloud: le regole sono le stesse.

In una telefonata le persone coinvolte sono almeno due. Da una parte c’è il cliente, il fornitore o il potenziale cliente che chiama o che viene chiamato; dall’altra c’è l’operatore, che di solito è un tuo dipendente o un collaboratore. Entrambi sono interessati del trattamento, e per entrambi devi poter spiegare perché registri, cosa fai delle registrazioni e per quanto le tieni.

Questa guida descrive principi generali e non è una consulenza legale. Le scelte concrete dipendono dal tuo settore, dal paese in cui operi, dal tipo di chiamate e dai contratti con i tuoi lavoratori: prima di attivare la registrazione confrontati con il tuo consulente privacy, con il DPO se ne hai uno, o con un avvocato esperto di protezione dei dati.

I principi dell’articolo 5 applicati alle chiamate registrate

L’articolo 5 del GDPR elenca i principi che valgono per ogni trattamento. Applicati alla registrazione delle telefonate diventano domande molto concrete, che conviene farsi prima di accendere qualsiasi interruttore.

• Liceità, correttezza e trasparenza: hai una base giuridica valida e chi parla sa che la chiamata viene registrata?
• Limitazione della finalità: usi le registrazioni solo per gli scopi dichiarati, per esempio qualità del servizio o prova di un ordine, e non per altro?
• Minimizzazione: registri solo le chiamate che servono a quello scopo, o tutto per abitudine?
• Esattezza: le registrazioni sono collegate alla chiamata giusta, con data, numero e operatore corretti?
• Limitazione della conservazione: hai fissato per quanto tempo tenerle e le cancelli davvero alla scadenza?
• Integrità e riservatezza: chi può ascoltarle, dove sono salvate e come sono protette?
• Responsabilizzazione: sei in grado di dimostrare le scelte fatte, con documenti e impostazioni coerenti?

Base giuridica: su cosa si regge la registrazione

L’articolo 6 del GDPR prevede sei basi giuridiche: consenso, esecuzione di un contratto o di misure precontrattuali, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. Ogni finalità della registrazione deve appoggiarsi su una di queste, e la scelta va fatta prima di iniziare, non dopo.

Il consenso sembra la strada più semplice, ma ha dei limiti: deve essere libero, specifico, informato e revocabile in qualsiasi momento, e se il cliente lo nega devi poter gestire la chiamata senza registrarla. Per questo molte aziende valutano altre basi, come il legittimo interesse per la formazione e il controllo della qualità, o l’esecuzione del contratto quando la registrazione documenta un ordine. Il legittimo interesse richiede però un bilanciamento scritto tra il tuo interesse e i diritti delle persone, e chi viene registrato può opporsi.

In alcuni settori la registrazione è richiesta da norme specifiche, per esempio in certi servizi finanziari, e in quel caso la base è l’obbligo legale. Per i dipendenti il quadro è diverso ancora: il rapporto di lavoro non rende il consenso davvero libero, e si aggiungono le regole nazionali sul controllo dei lavoratori, di cui parliamo più avanti.

Informativa sulla registrazione delle chiamate: cosa dire e quando

L’articolo 13 del GDPR chiede di informare le persone nel momento in cui raccogli i loro dati. Per una telefonata significa avvisare prima che la registrazione inizi, o al più tardi all’inizio della conversazione. Un avviso nascosto in una pagina del sito che nessuno legge non basta da solo.

Nella pratica si usa spesso un approccio a più livelli. Il primo livello è un breve messaggio vocale all’inizio della chiamata: dice che la chiamata può essere registrata, per quale scopo e dove trovare l’informativa completa. Il secondo livello è l’informativa completa, pubblicata sul sito o inviata su richiesta, con tutte le informazioni previste dall’articolo 13.

• Chi è il titolare del trattamento e come contattarlo, più i dati del DPO se lo hai nominato.
• Le finalità della registrazione e la base giuridica di ciascuna, con il legittimo interesse descritto se lo usi.
• Chi riceve le registrazioni, compresi i fornitori che le trattano per tuo conto.
• Gli eventuali trasferimenti fuori dallo Spazio economico europeo.
• Per quanto tempo le conservi, o con quale criterio decidi la durata.
• I diritti della persona: accesso, rettifica, cancellazione, limitazione, opposizione, e la possibilità di reclamo all’autorità di controllo, in Italia il Garante per la protezione dei dati personali.
• Come revocare il consenso, se la base è il consenso.

Registrare le chiamate degli operatori: le regole sul lavoro

Quando registri le chiamate, registri anche il lavoro dei tuoi operatori. Oltre al GDPR possono quindi valere le leggi nazionali sul controllo a distanza dei lavoratori. In Italia il riferimento è l’articolo 4 dello Statuto dei lavoratori, la legge 300 del 1970, che disciplina gli strumenti da cui può derivare anche la possibilità di controllare a distanza l’attività dei dipendenti e, in molti casi, richiede un accordo sindacale o un’autorizzazione dell’Ispettorato del lavoro.

Come questa norma si applichi alla registrazione delle telefonate dipende da come è organizzato il lavoro, da cosa registri e da come usi i file, ed è un tema da valutare con un consulente del lavoro o un avvocato giuslavorista. In altri paesi esistono regole diverse ma con lo stesso spirito: il lavoratore deve sapere che viene registrato, perché, e come verranno usate le registrazioni.

Anche ai dipendenti va data un’informativa chiara, separata da quella per i clienti. Conviene scrivere in una policy interna chi può ascoltare le registrazioni, per quali motivi, e se possono avere conseguenze nella valutazione del lavoro. Un operatore che scopre dopo che le sue chiamate venivano ascoltate per valutarlo è un problema legale e di fiducia.

Per quanto tempo conservare le registrazioni delle chiamate

Il GDPR non fissa un numero di giorni valido per tutti: chiede di conservare i dati per il tempo necessario allo scopo, e di saperlo spiegare. Una registrazione usata per formare gli operatori serve per poco tempo; una registrazione che prova un contratto può servire più a lungo, finché quel contratto può essere contestato. Se un settore ha regole proprie, valgono quelle.

L’errore più comune è non decidere: le registrazioni si accumulano per anni, nessuno le ascolta più, ma restano un rischio in caso di violazione e un peso quando qualcuno chiede l’accesso ai suoi dati. Una durata scritta e applicata in automatico è più facile da difendere di una cancellazione fatta a mano quando qualcuno se ne ricorda.

In Robottino la conservazione si imposta nel Profilo: scegli da 1 a 3650 giorni, con 30 giorni se non cambi nulla, e ogni notte le registrazioni più vecchie vengono cancellate senza possibilità di recupero. Lasciando il campo vuoto restano finché non le cancelli tu, una scelta da fare solo con un motivo preciso.

1. Elenca le finalità

   Per ogni scopo della registrazione chiediti per quanto tempo ti serve davvero il file.

2. Scegli una durata

   Prendi la durata più breve compatibile con lo scopo e con eventuali obblighi di settore.

3. Applicala in automatico

   Imposta la conservazione nel sistema, così la cancellazione avviene senza interventi manuali.

4. Ricorda le copie

   Backup, file scaricati e archivi esterni devono seguire la stessa regola, altrimenti la cancellazione è solo apparente.

5. Scrivila nell’informativa

   La durata o il criterio va indicato nell’informativa e nel registro dei trattamenti.

Accessi, sicurezza e fornitori: chi può ascoltare cosa

L’articolo 32 del GDPR chiede misure di sicurezza adeguate al rischio. Per le registrazioni delle chiamate le domande principali sono tre: dove sono salvati i file, chi può ascoltarli e cosa succede quando vengono scaricati. Un file MP3 sul desktop di un computer condiviso o allegato a una email interna sfugge a qualsiasi regola di conservazione.

Se usi un centralino cloud, il fornitore tratta le registrazioni per tuo conto ed è di solito responsabile del trattamento ai sensi dell’articolo 28: serve un accordo scritto che descriva cosa può fare con i dati, le misure di sicurezza e i sub-responsabili. Verifica anche dove si trovano i server. Se valuti di cambiare sistema, la guida centralino cloud o tradizionale aiuta a mettere in fila le differenze.

In Robottino le registrazioni stanno in uno storage privato e si ascoltano solo passando dal portale, mai con un link pubblico; nel report Chiamate quelle registrate hanno l’icona del microfono e dal dettaglio si possono scaricare in MP3. Il backup può copiarle sul tuo server FTP, FTPS, SFTP o su un bucket S3: da lì in poi conservazione e sicurezza di quelle copie dipendono da te, perché il backup non cancella i file già copiati.

• Limita a poche persone il permesso di ascoltare e scaricare le registrazioni.
• Evita di scaricare file se basta ascoltarli nel portale.
• Applica alle copie di backup la stessa durata di conservazione.
• Tieni traccia di chi ha accesso, nel registro dei trattamenti previsto dall’articolo 30.

Diritti degli interessati, AI e valutazione d’impatto

Chi è stato registrato può chiedere di accedere ai suoi dati secondo l’articolo 15, e quindi anche di avere una copia della registrazione. La risposta va data senza ingiustificato ritardo e di norma entro un mese, prorogabile nei casi previsti dall’articolo 12. Per rispondere devi saper trovare le chiamate di un numero: un report filtrabile per numero e data rende il lavoro molto più semplice. Attenzione però alla voce dell’operatore e di altre persone presenti nella stessa registrazione, che sono dati di terzi.

Possono arrivare anche richieste di cancellazione, secondo l’articolo 17, o di opposizione, se la base è il legittimo interesse. Non sempre vanno accolte, per esempio quando la registrazione serve a difendere un diritto, ma vanno sempre valutate e motivate.

Trascrivere le chiamate e analizzarle con l’intelligenza artificiale è un trattamento ulteriore rispetto alla sola registrazione. Con l’analisi chiamate AI di Robottino si analizzano solo le chiamate registrate, e quelle passate solo finché la registrazione è conservata: è comunque una finalità da dichiarare nell’informativa e da valutare con il tuo consulente. Quando la registrazione è sistematica, riguarda molte persone o serve a valutare il lavoro, chiediti se sia necessaria una valutazione d’impatto secondo l’articolo 35.

Registrare solo quello che serve: impostazioni e errori da evitare

La minimizzazione si traduce in scelte tecniche. Registrare tutte le chiamate di tutti i numeri è spesso più di quello che serve; registrare solo la linea degli ordini, solo una coda o solo alcuni operatori può bastare. Molti centralini permettono questa granularità, e conviene usarla.

In Robottino puoi accendere la registrazione su una singola numerazione, che registra ogni chiamata in entrata dall’arrivo, menu vocali compresi, oppure su un singolo operatore, per le chiamate che fa, per quelle a cui risponde o per entrambe. Dal pannello operatore, se gli dai il permesso, l’operatore può avviare e fermare la registrazione di una singola chiamata, utile quando la registrazione serve solo in certi momenti, come la conferma di un ordine. Le chiamate di test fatte dal portale non vengono mai registrate.

Il messaggio di avviso si può mettere prima della coda: un audio caricato da te, il benvenuto della coda o il messaggio del menu vocale. Se misuri la qualità del servizio, la guida sui KPI del call center aiuta a capire quali dati ti servono davvero e quali no.

• Registrare senza avvisare, o avvisare solo nell’informativa del sito.
• Usare le registrazioni per scopi non dichiarati, come la valutazione disciplinare non prevista nella policy.
• Non fissare una durata di conservazione o dimenticare le copie di backup e i file scaricati.
• Dare a tutti gli utenti il permesso di ascoltare e scaricare.
• Ignorare le regole sul controllo dei lavoratori.
• Attivare trascrizione e analisi automatica senza aggiornare l’informativa.

Domande frequenti