Nagrywanie rozmów na infolinii a RODO – podstawa prawna i obowiązki

Nagrywanie rozmów na infolinii w jednostce budżetowej trzeba oceniać dwuetapowo. Najpierw należy ustalić, czy w ogóle istnieje legalna podstawa do nagrywania rozmów. Dopiero później ocenia się sposób realizacji obowiązków RODO: treść komunikatu, obowiązek informacyjny, retencję, dostęp do nagrań i zabezpieczenia. Kwestie pracownicze omawiamy osobno w materiale o dostępie do nagrań rozmów telefonicznych z pracy.

Czy głos jest daną osobową?

Tak, ale nie zawsze w oderwaniu od kontekstu. Zgodnie z art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO) danymi osobowymi są informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Jeżeli nagranie rozmowy zawiera imię, nazwisko, numer telefonu, dane sprawy albo sam głos umożliwia rozpoznanie osoby, mamy do czynienia z danymi osobowymi. Samo utrwalenie, odsłuchiwanie, archiwizowanie lub usuwanie nagrań jest przetwarzaniem danych w rozumieniu art. 4 pkt 2 RODO.

W praktyce na infolinii najczęściej przetwarzane są nie tylko dane w postaci głosu, ale też inne informacje ujawniane w rozmowie: dane kontaktowe, dane o sporze konsumenckim, dane przedsiębiorcy, czasem również informacje szczególnej kategorii przekazywane przez rozmówcę. Dlatego zakres ochrony trzeba oceniać szerzej niż tylko „sam głos”.

Jaka może być podstawa prawna nagrywania rozmów w jednostce budżetowej?

Kluczowy jest art. 6 ust. 1 RODO. Dla jednostki budżetowej nie każda podstawa będzie jednak dostępna.

Dla inspektoratu Inspekcji Handlowej najważniejsze będą więc art. 6 ust. 1 lit. c albo lit. e RODO, a nie zgoda „dorozumiana” ani uzasadniony interes.

Dlaczego zgoda zwykle nie jest najlepszą podstawą?

Zgoda z art. 6 ust. 1 lit. a RODO musi być dobrowolna, konkretna, świadoma i jednoznaczna, a osoba musi móc ją wycofać w dowolnym momencie zgodnie z art. 7 ust. 3 RODO. W podmiotach publicznych dobrowolność zgody bywa problematyczna, bo obywatel kontaktuje się z jednostką w sprawie urzędowej i nie zawsze ma realną swobodę wyboru.

Europejska Rada Ochrony Danych i praktyka organów nadzorczych od lat wskazują, że podmiot publiczny nie powinien rutynowo opierać swoich podstawowych procesów na zgodzie tam, gdzie istnieje nierównowaga stron albo gdzie przetwarzanie wynika z realizacji zadań ustawowych. Jeżeli ktoś musi zadzwonić do urzędu, aby uzyskać pomoc lub załatwić sprawę, trudno mówić o pełnej swobodzie decyzji.

Dodatkowo zgoda może być w każdej chwili wycofana, co komplikuje dalsze przechowywanie nagrania, jeśli urząd chciałby zachować je np. do celów dowodowych. Dlatego zgoda jako „domyślna” podstawa dla nagrywania infolinii jednostki budżetowej jest rozwiązaniem ryzykownym.

Dlaczego art. 6 ust. 1 lit. f RODO nie jest właściwy dla organu publicznego?

Zgodnie z art. 6 ust. 1 akapit drugi RODO podstawa z art. 6 ust. 1 lit. f RODO nie ma zastosowania do przetwarzania dokonywanego przez organy publiczne w ramach realizacji ich zadań. Oznacza to, że urząd, inspektorat albo inna jednostka sektora finansów publicznych co do zasady nie może uzasadniać nagrywania rozmów na infolinii własnym „prawnie uzasadnionym interesem”, jeżeli infolinia służy wykonywaniu zadań publicznych.

Inaczej może być tylko w tych obszarach, które nie mieszczą się w wykonywaniu zadań publicznych sensu stricto, ale w opisanym przypadku infolinia inspektoratu służy właśnie obsłudze spraw należących do kompetencji jednostki. Dlatego bezpieczniej od razu analizować art. 6 ust. 1 lit. c lub e RODO.

Podstawa najbezpieczniejsza w praktyce: art. 6 ust. 1 lit. e RODO

Jeżeli infolinia służy realizacji ustawowych zadań Inspekcji Handlowej, najbardziej przekonującą podstawą będzie art. 6 ust. 1 lit. e RODO, czyli przetwarzanie niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Warunkiem jest jednak to, aby podstawa ta była zakotwiczona w prawie Unii lub prawie krajowym zgodnie z art. 6 ust. 3 RODO.

W przypadku Inspekcji Handlowej znaczenie mają przede wszystkim przepisy ustawy z 15 grudnia 2000 r. o Inspekcji Handlowej. Zgodnie z art. 3 ust. 1 pkt 5 tej ustawy do zadań Inspekcji należy prowadzenie poradnictwa konsumenckiego. Ponadto ustawa przewiduje udział Inspekcji w pozasądowym rozwiązywaniu sporów konsumenckich. Jeżeli infolinia służy wykonywaniu tych zadań, samo prowadzenie rozmów z obywatelami można powiązać z art. 6 ust. 1 lit. e RODO.

Trzeba jednak odróżnić obsługę rozmowy od jej nagrywania. Nie każda rozmowa prowadzona legalnie może być automatycznie utrwalana. Niezbędność nagrywania trzeba umieć uzasadnić: np. zapewnieniem jakości i rozliczalności obsługi, odtworzeniem przebiegu informacji przekazanej stronie, bezpieczeństwem pracowników, rozpatrywaniem skarg lub ochroną przed nadużyciami. Bez takiego uzasadnienia samo utrwalanie może zostać uznane za nadmiarowe wobec celu.

Kiedy można powołać się na art. 6 ust. 1 lit. c RODO?

Art. 6 ust. 1 lit. c RODO ma zastosowanie wtedy, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Ta podstawa będzie właściwa tylko wtedy, gdy konkretny przepis nakazuje albo w praktyce wymaga utrwalania rozmów. W sprawach infolinii urzędowych zwykle takiego przepisu wprost nie ma.

Jeżeli więc ustawa o Inspekcji Handlowej mówi o wykonywaniu zadań, ale nie nakazuje nagrywania rozmów, bezpieczniej jest traktować nagrywanie jako element organizacji realizacji zadania publicznego i analizować je przez pryzmat art. 6 ust. 1 lit. e RODO, a nie lit. c.

Jak sformułować cel przetwarzania?

Cel musi być konkretny i zgodny z zasadą ograniczenia celu z art. 5 ust. 1 lit. b RODO. Nie wystarczy ogólna formuła: „dla bezpieczeństwa” albo „na wszelki wypadek”. Dla jednostki budżetowej prawidłowy opis celu może brzmieć przykładowo:

• realizacja ustawowych zadań poradnictwa konsumenckiego,
• dokumentowanie przebiegu obsługi na infolinii w zakresie niezbędnym do rozpatrywania skarg i reklamacji dotyczących sposobu udzielenia informacji,
• zapewnienie rozliczalności działań administratora zgodnie z art. 5 ust. 2 RODO,
• ochrona przed nadużyciami i odtworzenie przebiegu rozmowy w razie sporu co do treści udzielonych informacji.

Każdy z tych celów trzeba następnie powiązać z rzeczywistą praktyką: kto odsłuchuje nagrania, kiedy, przez jaki czas i na jakiej podstawie. Jeżeli nagrania są tworzone, ale nigdy niewykorzystywane, to pojawia się ryzyko zarzutu nadmiarowości.

Zobacz również:

Obowiązek informacyjny przy nagrywaniu rozmów

Jeżeli administrator pozyskuje dane bezpośrednio od rozmówcy, stosuje art. 13 RODO. Oznacza to, że osoba powinna otrzymać informacje m.in. o administratorze, danych kontaktowych inspektora ochrony danych – jeżeli został wyznaczony, celach przetwarzania, podstawie prawnej, odbiorcach danych, okresie przechowywania, prawach osoby oraz prawie wniesienia skargi do Prezesa UODO.

W praktyce telefonicznej dopuszczalny jest model warstwowy. Na początku rozmowy należy przekazać krótką informację, np. że rozmowa jest nagrywana, wskazać administratora, cel oraz sposób zapoznania się z pełną klauzulą – np. na stronie internetowej lub po połączeniu z konsultantem. Taki model odpowiada zasadzie przejrzystości z art. 12 ust. 1 RODO, ale pod warunkiem że pełna informacja jest łatwo dostępna i rzeczywiście kompletna.

Jeżeli infolinia należy do jednostki budżetowej, pełna klauzula informacyjna powinna być dostępna np. na stronie BIP lub stronie urzędu. Przy konstruowaniu takiej klauzuli warto uwzględnić także zagadnienie przetwarzanie danych przez usługodawcę, jeżeli system telefoniczny, chmura, call center albo archiwum nagrań są obsługiwane przez zewnętrznego dostawcę. Wtedy trzeba zbadać, czy dostawca działa jako podmiot przetwarzający i czy zawarto umowę zgodną z art. 28 ust. 3 RODO.

Czy trzeba informować jeszcze przed nagraniem?

Tak. Informacja o nagrywaniu powinna paść zanim rozmówca przekaże dane w nagrywanej rozmowie. W przeciwnym razie pierwsza część rozmowy byłaby utrwalana bez należytej transparentności. Jest to istotne także z punktu widzenia zasady rzetelności i przejrzystości z art. 5 ust. 1 lit. a RODO.

Najczęściej stosuje się automatyczny komunikat głosowy przed połączeniem z konsultantem. Dobrym rozwiązaniem jest również zapewnienie alternatywnego kanału kontaktu, jeżeli nagrywanie nie jest konieczne w każdej sprawie.

Jak długo wolno przechowywać nagrania?

RODO nie podaje jednego sztywnego terminu. Zgodnie z art. 5 ust. 1 lit. e RODO dane można przechowywać w formie umożliwiającej identyfikację osoby nie dłużej, niż jest to niezbędne do celów, w których dane są przetwarzane. Oznacza to, że administrator musi sam ustalić i uzasadnić okres retencji.

W praktyce nie powinno się wpisywać formuły „do odwołania” albo „bezterminowo”. Należy określić konkretny czas, np. 30 dni, 3 miesiące, 6 miesięcy, chyba że nagranie jest potrzebne dłużej z powodu skargi, postępowania wyjaśniającego, kontroli lub innego sporu. Wtedy trzeba przewidzieć wyjątek polegający na wydłużeniu retencji dla konkretnego nagrania do czasu zakończenia sprawy i upływu okresów dochodzenia roszczeń.

Okres retencji powinien wynikać z analizy celu, ryzyk i realnych potrzeb jednostki. Jeżeli urząd nie rozpatruje skarg po upływie 30 dni, to trzymanie wszystkich rozmów przez kilka lat zwykle będzie trudne do obrony.

Czy trzeba prowadzić dodatkową dokumentację?

Tak. Jeżeli jednostka nagrywa rozmowy, powinna odzwierciedlić ten proces w swojej dokumentacji ochrony danych. W szczególności chodzi o:

• rejestr czynności przetwarzania z art. 30 ust. 1 RODO,
• analizę podstawy prawnej i celu przetwarzania,
• politykę retencji i usuwania nagrań,
• upoważnienia do dostępu do nagrań,
• umowy powierzenia z dostawcami systemów telefonicznych lub chmurowych – art. 28 ust. 3 RODO,
• ewentualną ocenę skutków dla ochrony danych, jeśli skala, zakres lub sposób monitorowania rozmów powodują wysokie ryzyko dla praw lub wolności osób – art. 35 ust. 1 RODO.

W niektórych przypadkach nagrywanie na dużą skalę, połączone z analizą treści rozmów, profilowaniem jakościowym lub automatycznym rozpoznawaniem mowy, może wymagać pogłębionej oceny ryzyka.

Czy osoba dzwoniąca może sprzeciwić się nagrywaniu?

To zależy od przyjętej podstawy prawnej i konkretnego stanu faktycznego. Jeżeli podstawą jest art. 6 ust. 1 lit. e RODO, osoba może skorzystać z prawa z art. 21 ust. 1 RODO, ale administrator może wykazać istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, jeśli wynikają one z realizacji zadania publicznego. W praktyce nie zawsze więc sprzeciw będzie skuteczny.

Jeżeli jednak nagrywanie nie jest bezwzględnie konieczne do załatwienia sprawy, rozsądne organizacyjnie jest zapewnienie alternatywy: np. kanału nienagrywanego, kontaktu e-mailowego albo osobistego. Zmniejsza to ryzyko zarzutu nadmiernej ingerencji.

Czy można wykorzystać nagranie do innego celu niż obsługa infolinii?

Tylko wyjątkowo i po odrębnej analizie zgodności celu. Art. 5 ust. 1 lit. b RODO wymaga, aby dane były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach. Jeżeli nagranie powstało dla obsługi infolinii i rozpatrywania skarg, to późniejsze użycie go np. do szkolenia pracowników, publikacji, promocji albo analizy marketingowej wymaga osobnej podstawy prawnej i odrębnego poinformowania osób.

Nie wolno też zapominać, że dalsze udostępnianie nagrania może wchodzić w kolizję nie tylko z RODO, ale też z ochroną dóbr osobistych i tajemnicą komunikowania się, zależnie od treści rozmowy i sposobu wykorzystania nagrania.

Praktyczny wniosek dla inspektoratu Inspekcji Handlowej

W opisanym przypadku najbezpieczniejsze podejście jest następujące:

1. oprzeć samą obsługę infolinii na ustawowych zadaniach Inspekcji Handlowej, w szczególności wynikających z art. 3 ust. 1 pkt 5 ustawy o Inspekcji Handlowej,
2. nagrywanie rozmów powiązać z art. 6 ust. 1 lit. e RODO, o ile jednostka potrafi wykazać niezbędność nagrywania dla realizacji zadania publicznego i rozliczalności procesu,
3. nie opierać tego procesu rutynowo na zgodzie ani na art. 6 ust. 1 lit. f RODO,
4. wdrożyć wyraźny komunikat wstępny i pełną klauzulę informacyjną zgodną z art. 13 RODO,
5. ustalić konkretny, ograniczony okres przechowywania nagrań i procedurę ich usuwania.

Jeżeli jednostka nie potrafi wykazać niezbędności nagrywania, bezpieczniej byłoby rozważyć rezygnację z utrwalania wszystkich rozmów albo ograniczenie nagrywania tylko do kategorii spraw, w których istnieje wyraźna potrzeba dowodowa lub organizacyjna.

Przykłady

Poniższe sytuacje pokazują, jak ta sama infolinia może być oceniona różnie w zależności od celu, zakresu danych i organizacji procesu.

FAQ

Czy jednostka budżetowa może nagrywać rozmowy bez zgody rozmówcy?

Tak, jeżeli ma inną prawidłową podstawę z art. 6 ust. 1 RODO, najczęściej art. 6 ust. 1 lit. e RODO, i spełni obowiązek informacyjny z art. 13 RODO. Zgoda nie jest jedyną podstawą i w podmiotach publicznych często nie jest najlepsza.

Czy sam komunikat „rozmowa jest nagrywana” wystarczy?

Nie. To za mało. Taki komunikat powinien być uzupełniony co najmniej o informację, kto jest administratorem, w jakim celu rozmowa jest nagrywana i gdzie można zapoznać się z pełną klauzulą informacyjną zgodną z art. 13 RODO.

Czy urząd może przechowywać nagrania bezterminowo?

Nie. Byłoby to sprzeczne z zasadą ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. Okres retencji musi być konkretny i uzasadniony celem przetwarzania.

Czy można nagrywać tylko część spraw?

Tak, i często jest to rozwiązanie bardziej proporcjonalne. Jeżeli nie każda rozmowa wymaga utrwalenia, warto ograniczyć nagrywanie do tych kategorii spraw, w których można realnie wykazać niezbędność.

Czy dostawca systemu telefonicznego też podlega RODO?

Tak. Jeżeli przetwarza nagrania w imieniu jednostki, najczęściej działa jako podmiot przetwarzający i musi spełniać warunki z art. 28 RODO, w tym zawrzeć odpowiednią umowę powierzenia.

Źródła

• art. 4 pkt 1 i 2, art. 5 ust. 1 lit. a, b i e, art. 5 ust. 2, art. 6 ust. 1 lit. a, c i e, art. 6 ust. 1 akapit drugi, art. 6 ust. 3, art. 7 ust. 3, art. 12 ust. 1, art. 13, art. 21 ust. 1, art. 28 ust. 3, art. 30 ust. 1, art. 35 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. (RODO).
• art. 3 ust. 1 pkt 5 ustawy z 15 grudnia 2000 r. o Inspekcji Handlowej.
• ustawa z 23 września 2016 r. o pozasądowym rozwiązywaniu sporów konsumenckich.