RODO a nagrywanie rozmów - co musisz wiedzieć

Nagranie rozmowy to świetne źródło informacji: dokładnie wiesz, co klient zamówił, na kiedy się umówił i o co pytał. Ale rozmowa zawiera dane osobowe - głos i treść wypowiedzi pozwalają zidentyfikować konkretną osobę, więc w rozumieniu RODO nagrywanie to przetwarzanie danych osobowych. Dobra wiadomość: to nie jest skomplikowane, jeśli zadbasz o kilka rzeczy.

Poniżej praktyczny przegląd - nie porada prawna, lecz to, o czym warto pamiętać i o co pytać dostawcę. Tłumaczymy właścicielowi firmy usługowej, nie prawnikowi.

Czy nagrywanie rozmów jest w ogóle legalne?

Zacznijmy od mitu, który krąży po internecie: "nagrywanie rozmów bez zgody to przestępstwo". Nie do końca. W Polsce te kwestie regulują dwa zupełnie różne akty prawne i warto je rozdzielić, bo mieszanie ich to najczęstszy błąd.

Kodeks karny (art. 267) penalizuje podsłuch - czyli sytuację, w której ktoś nagrywa rozmowę, w której sam nie uczestniczy. Jeśli jesteś uczestnikiem rozmowy, jej nagranie nie jest przestępstwem. Dlatego klient może nagrać rozmowę z Tobą, a Ty z klientem, i nikt nie idzie za to do sądu karnego. Takie nagranie bywa zresztą dopuszczane jako dowód w postępowaniu cywilnym - ostatecznie ocenia to sąd.

Ale uwaga: to, że coś nie jest przestępstwem, nie znaczy, że jest wolne od obowiązków. Gdy rozmowę nagrywa firma, wchodzi RODO. Osoba prywatna nagrywająca własną rozmowę korzysta zwykle z tzw. wyłączenia domowego i RODO jej nie dotyczy. Firma - już tak. Firma jest administratorem danych i musi mieć cel, podstawę prawną i spełnić obowiązek informacyjny. Naruszenie RODO to nie sprawa karna, tylko administracyjna - ale kara może zaboleć bardziej niż niejeden wyrok.

Krótko: nagrywać wolno. Pytanie nie brzmi "czy", tylko "jak zgodnie z prawem".

Trzy filary zgodności

Całe RODO w kontekście nagrywania rozmów sprowadza się w praktyce do trzech rzeczy:

• Informacja na starcie (art. 13 RODO) - dzwoniący musi wiedzieć, że rozmowa jest nagrywana, kto ją nagrywa i w jakim celu, zanim nagranie ruszy. Krótki komunikat na początku połączenia załatwia pierwszą warstwę.
• Cel i podstawa prawna (art. 6 RODO) - nagrywasz po coś konkretnego (np. potwierdzenie ustaleń, jakość obsługi), a nie "na wszelki wypadek na zawsze". I potrafisz wskazać, na którym punkcie art. 6 się opierasz.
• Ograniczony czas przechowywania (art. 5 ust. 1 lit. e RODO) - nagrania trzymasz tyle, ile potrzeba do celu, a potem są usuwane. Klient ma też prawo wglądu, usunięcia i sprzeciwu.

Przy obowiązku informacyjnym stosuje się w praktyce podejście warstwowe. Warstwa pierwsza: komunikat lektorski na początku rozmowy - krótki, bo nikt nie wysłucha trzyminutowej klauzuli przez telefon. Warstwa druga: pełna klauzula informacyjna na stronie www, z danymi administratora, celami, okresem przechowywania i listą praw. Komunikat odsyła do strony i wszystko gra.

Jedna rzecz jest tu nienegocjowalna. Prezes UODO w analizie z Biuletynu 11/2023 postawił sprawę jasno: nagrywanie nie może startować, zanim padnie komunikat. System, który nagrywa od pierwszego "halo", a informację podaje później, jest ustawiony źle.

Na jakiej podstawie prawnej firma może nagrywać

RODO daje kilka podstaw przetwarzania danych w art. 6 ust. 1. Dla nagrywania rozmów w małej firmie liczą się trzy:

Prawnie uzasadniony interes (lit. f) - najczęstsza podstawa dla biznesu. Twoim uzasadnionym interesem jest dokumentowanie ustaleń z klientem, obrona przed roszczeniami czy kontrola jakości obsługi. Wymaga tzw. testu równowagi: sprawdzasz, czy Twój interes nie przeważa nadmiernie nad prawami dzwoniącego. Przy zwykłej rozmowie o umówienie wizyty - zwykle nie przeważa.

Niezbędność do umowy (lit. b) - gdy nagranie służy wykonaniu umowy albo działaniom przed jej zawarciem, np. przyjęciu zamówienia lub rezerwacji przez telefon. Klient dzwoni, żeby się umówić, nagranie dokumentuje, na co się umówiliście.

Zgoda (lit. a) - na infoliniach przyjęło się traktować kontynuowanie rozmowy po komunikacie jako zgodę. To jednak najsłabsza konstrukcja: zgodę można wycofać, trzeba umieć ją wykazać, a dzwoniący musi mieć realną alternatywę - możliwość załatwienia sprawy innym kanałem. Dlatego w praktyce bezpieczniej opierać się na uzasadnionym interesie, a zgodę zostawić na sytuacje, gdzie inne podstawy nie pasują.

Że podstawa prawna to nie formalność, pokazuje wspomniana analiza Prezesa UODO: urzędy w większości przypadków w ogóle nie mają podstawy do nagrywania rozmów z interesantami, bo żadna ustawa im tego nie przyznaje. Firma prywatna jest w lepszej sytuacji - może oprzeć się na art. 6 ust. 1 lit. f - ale musi umieć to uzasadnić.

Co grozi, jeśli nagrywasz bez podstawy? W 2022 roku Prezes UODO nałożył 10 000 zł kary na Stołeczny Ośrodek dla Osób Nietrzeźwych za rejestrowanie dźwięku w monitoringu bez podstawy prawnej. Kwota niewielka na tle maksymalnego wymiaru - RODO przewiduje kary do 20 mln euro lub 4% rocznego obrotu - ale precedens jest czytelny: samo nagrywanie audio bez podstawy wystarczy do kary. Nie piszemy tego, żeby straszyć, tylko żeby pokazać, że temat jest realny, a nie teoretyczny.

Jak długo trzymać nagrania i jakie prawa ma klient

RODO nie podaje sztywnego terminu przechowywania nagrań. Art. 5 ust. 1 lit. e mówi tylko: tak długo, jak to niezbędne do celu. W praktyce rynek wypracował widełki - zwykle do 3 miesięcy, czyli około 90 dni od nagrania. Jako punkt odniesienia często przywołuje się Kodeks pracy, który dla monitoringu wizyjnego przewiduje maksymalnie 3 miesiące.

Wyjątek: jeśli konkretne nagranie stało się dowodem w sporze albo postępowaniu, możesz je trzymać dłużej - do prawomocnego zakończenia sprawy. Ale to dotyczy tego jednego nagrania, nie całego archiwum "na zapas".

Do tego dochodzą prawa osoby nagrywanej, które musisz umieć obsłużyć:

• prawo dostępu (art. 15) - klient może zażądać informacji o nagraniu, a nawet kopii swojej rozmowy,
• prawo do usunięcia (art. 17) - gdy nagranie nie jest już potrzebne do celu, w jakim powstało,
• prawo sprzeciwu (art. 21) - gdy nagrywasz na podstawie uzasadnionego interesu, klient może się sprzeciwić, a Ty musisz ten sprzeciw rozpatrzyć.

W praktyce małej firmy najprościej te obowiązki spełnić automatyką: ustalasz okres retencji, po którym nagrania same znikają, i masz jedno miejsce, z którego w razie żądania wyciągniesz konkretną rozmowę.

Kto nagrywa i co go obowiązuje

Obowiązki wyglądają zupełnie inaczej w zależności od tego, kto trzyma dyktafon. To porównanie porządkuje temat:

Najważniejszy wniosek z tabeli: to, że Twój klient może legalnie nagrać rozmowę z Tobą bez żadnego komunikatu, nie znaczy, że Ty możesz zrobić to samo wobec niego. On działa jako osoba prywatna, Ty jako firma. Druga rzecz: asystent AI nie zdejmuje z Ciebie roli administratora danych - ale przejmuje mechanikę, czyli komunikat, retencję i bezpieczne przechowywanie.

Checklist zgodności w 7 krokach

Jeśli chcesz nagrywać rozmowy z klientami, przejdź tę listę od góry do dołu. Bez firmy prawniczej i bez audytu za kilka tysięcy - większość punktów to jeden wieczór pracy.

1. Określ cel nagrywania. Konkretny: dokumentacja ustaleń z klientami, obrona przed roszczeniami, jakość obsługi. Nie "na zapas" i nie "bo wszyscy nagrywają".
2. Wybierz podstawę prawną z art. 6 ust. 1. Dla małego biznesu zwykle uzasadniony interes (lit. f). Zrób prosty test równowagi i zapisz wnioski - jedno A4 wystarczy.
3. Ustaw komunikat na początku każdej rozmowy. Zanim ruszy nagranie, nie po fakcie. Krótko: kto nagrywa, po co, gdzie są szczegóły.
4. Opublikuj pełną klauzulę informacyjną na stronie. Administrator, cel, podstawa, okres przechowywania, prawa dzwoniącego - to druga warstwa obowiązku z art. 13.
5. Ustal okres retencji i automatyczne usuwanie. Praktyka rynkowa to widełki do 90 dni. Kluczowe słowo: automatyczne - ręczne kasowanie nagrań nigdy nie działa.
6. Wpisz nagrywanie do rejestru czynności przetwarzania i zabezpiecz dostęp. Rejestr to wymóg art. 30, zabezpieczenia - art. 32. W praktyce: dostęp do nagrań tylko dla uprawnionych, po zalogowaniu.
7. Podpisz umowę powierzenia z dostawcą i przygotuj się na żądania klientów. Każdy podmiot, który technicznie dotyka Twoich nagrań, potrzebuje DPA zgodnej z art. 28. A gdy klient poprosi o kopię lub usunięcie nagrania - musisz umieć to zrobić.

Ile to kosztuje? Jeśli nagrywasz własnym systemem - głównie Twój czas i dyscyplinę, bo punkty 3, 5 i 6 musisz zbudować i utrzymywać sam. Jeśli korzystasz z gotowego narzędzia, sprawdź, które punkty listy odhacza za Ciebie - to najlepsze pytanie, jakie możesz zadać dostawcy przed podpisaniem umowy.

Jak robi to Heyheyo

Heyheyo jest pomyślane tak, żeby ten temat był z głowy:

• komunikat o nagrywaniu na początku każdej rozmowy, zanim ruszy nagranie - dokładnie tak, jak wymaga tego stanowisko UODO,
• określona retencja nagrań zależna od planu (7, 30 lub 90 dni), po której nagrania są usuwane automatycznie - wszystkie warianty mieszczą się z zapasem w rynkowej praktyce "do 90 dni",
• dostęp do nagrań, transkrypcji i podsumowań w panelu, tylko dla Ciebie - więc żądanie kopii czy usunięcia konkretnej rozmowy obsłużysz w kilka minut,
• umowa powierzenia (DPA) zgodna z art. 28 RODO do podpisania, bo formalnie to my przetwarzamy dane w Twoim imieniu.

Jak to wygląda w praktyce? Weźmy warsztat samochodowy. Klient dzwoni po godzinach, asystent odbiera i na starcie mówi: "Dzień dobry, tu asystent warsztatu. Rozmowa jest nagrywana w celu potwierdzenia ustaleń i umówienia wizyty, szczegóły na naszej stronie". Umawia wizytę na wtorek na 9:00, wysyła SMS z potwierdzeniem. Tydzień później klient przyjeżdża o 12:00 i twierdzi, że tak się umawiał. Właściciel otwiera panel, odsłuchuje nagranie - i spór kończy się w dwie minuty, bez nerwów po obu stronach. To jest właśnie cel z art. 6 ust. 1 lit. f w akcji: dokumentacja ustaleń, która realnie się przydaje.

A skoro nagranie i tak powstaje przy każdej rozmowie, przypomnijmy, po co w ogóle asystent odbiera: pokazywaliśmy już, ile kosztuje każdy nieodebrany telefon i jak krok po kroku AI umawia wizytę w Twoim kalendarzu. Zgodność z RODO to warunek, nie cel sam w sobie.

Szczegóły tego, jak traktujemy dane, opisujemy w polityce prywatności. A jeśli zastanawiasz się, czy w ogóle warto wpuszczać asystenta na linię, porównaliśmy recepcję, pocztę głosową i asystenta AI. Ceny planów - razem z okresami retencji - znajdziesz w cenniku.