När en kund ringer ditt företag lämnar de personuppgifter: sitt namn, sitt telefonnummer och ofta något om vad de behöver hjälp med. Det gäller oavsett om du svarar själv, har en telefonsvarare eller låter någon annan ta samtalen. Här är grunderna för hur du hanterar uppgifterna enligt dataskyddsförordningen, GDPR.
Artikeln är en allmän översikt och ingen juridisk rådgivning. Länkarna går till lagtexten och till Integritetsskyddsmyndigheten (IMY), som är tillsynsmyndighet i Sverige.
Vilka uppgifter är personuppgifter?
En personuppgift är all slags information som direkt eller indirekt kan kopplas till en fysisk person som är i livet (artikel 4.1 GDPR, IMY: Personuppgifter). I ett telefonsamtal gäller det till exempel namn, telefonnummer, röst och det personen berättar. En inspelning, en utskrift eller ett meddelande på telefonsvararen innehåller alltså personuppgifter.
Du behöver en rättslig grund
All behandling av personuppgifter måste ha stöd i någon av de rättsliga grunderna i artikel 6. För att ta emot en bokning eller ett ärende är det ofta att behandlingen behövs för att fullgöra eller förbereda ett avtal med kunden, eller att du har ett berättigat intresse som väger tyngre än kundens intresse av integritet. Samtycke är sällan den bästa grunden för vanliga kundsamtal.
Spara inte mer än du behöver, och inte längre än nödvändigt
Två av grundprinciperna i artikel 5.1 är särskilt viktiga för telefonsamtal:
- Uppgiftsminimering (artikel 5.1 c): samla bara in de uppgifter som behövs för ändamålet. För ett vanligt kundsamtal räcker ofta namn, nummer och ärende.
- Lagringsminimering (artikel 5.1 e): spara inte uppgifterna längre än nödvändigt. Bestäm hur länge meddelanden, anteckningar och samtalslistor ska sparas och rensa sedan.
Var särskilt försiktig med uppgifter om till exempel hälsa, religion eller politiska åsikter. De är så kallade känsliga personuppgifter och får som huvudregel inte behandlas, med vissa undantag (artikel 9). Be inte om sådana uppgifter om det inte är nödvändigt.
Berätta för dem som ringer
När du samlar in uppgifter direkt från en person har den rätt att få veta bland annat vem som är ansvarig, varför uppgifterna behandlas, med vilken rättslig grund och hur länge de sparas (artikel 13). Det vanliga är att ha en integritetspolicy på webbplatsen. IMY beskriver vad den ska innehålla i Vad ska en integritetspolicy innehålla?.
Får man spela in samtal?
Det finns två regelverk att hålla isär:
Brottsbalken. Olovlig avlyssning gäller den som i hemlighet spelar in ett samtal som den själv inte deltar i (4 kap. 9 a § brottsbalken). Att spela in ett samtal du själv deltar i är alltså inte brottsligt.
GDPR. När ett företag spelar in kundsamtal är det en behandling av personuppgifter. Då behövs en rättslig grund, och den som ringer ska informeras. Europeiska dataskyddsstyrelsen (EDPB) skriver att kunden när den ringer ska få veta syftet med inspelningen, vem som får ta del av den och att den har rätt att invända och att få tillgång till inspelningen (EDPB: Kan vi spela in telefonsamtal med kunder?).
Inspelningar ska dessutom skyddas. IMY har gett sanktionsavgifter i ett fall där inspelade samtal till sjukvårdsrådgivningen 1177 låg oskyddade på internet (IMY:s beslut om Voice Integrate, 2021).
När någon annan svarar åt dig
Om du låter en leverantör ta dina samtal, till exempel en telefonpassning eller en AI-receptionist, behandlar leverantören personuppgifter för din räkning. Då är du oftast personuppgiftsansvarig och leverantören personuppgiftsbiträde. Det innebär att:
- ni ska ha ett skriftligt personuppgiftsbiträdesavtal som bland annat anger att leverantören bara får behandla uppgifterna enligt dina instruktioner, att uppgifterna ska skyddas och att personalen har tystnadsplikt (artikel 28.3, IMY: Personuppgiftsbiträdesavtal),
- leverantören inte får anlita underbiträden utan ditt skriftliga godkännande (artikel 28.2),
- du ska kunna ta reda på var uppgifterna behandlas, särskilt om de förs över till länder utanför EU och EES.
Fråga leverantören vad som sparas, hur länge och var. En bra leverantör kan svara på det direkt.
Så gör Svarat
Svarat sparar utskrifter, sammanfattningar och uppringarens nummer, och raderar dem automatiskt efter den lagringstid du väljer, som standard 90 dagar. Vilka underbiträden vi använder och var de behandlar uppgifter står i vår integritetspolicy.
Källor
- Dataskyddsförordningen (EU) 2016/679 på EUR-Lex
- IMY: Dataskyddsförordningen i fulltext
- IMY: Personuppgifter
- IMY: Vad ska en integritetspolicy innehålla?
- IMY: Personuppgiftsbiträdesavtal
- EDPB: Kan vi spela in telefonsamtal med kunder för att förbättra kvaliteten på tjänsten?
- Brottsbalken 4 kap. 9 a § (olovlig avlyssning)