Nagrywanie rozmów telefonicznych a prawo do prywatności i zgdoność z RODO

Gdy Sylwia zaproponowała mi ten temat to pierwszą myślą było – a co w tym ciekawego, pewnie zasady te same co przy monitoringu. Kilka dni później zadzwoniłam do jednostki publicznej i jakież było moje zdziwienie, gdy od robota w słuchawce słyszę, że rozmowa jest nagrywana, a jak nie wyrażam zgody na nagrywanie to mam się rozłączyć. I tu zapaliła mi się pierwsza czerwona lampk! Jak to?– chcę skorzystać z usługi podmiotu publicznego, który ma obowiązki wobec mnie wynikające z przepisów prawa i mam się rozłączyć, bo nie chcę być nagrywana. Zaraz rozbłysła też druga – czy zgoda jest odpowiednią przesłanką przetwarzania dla nagrywania rozmów w jednostkach realizujących cele publiczne? Oczywiście należy rozróżnić nagrywanie rozmów przez podmioty publiczne od nagrywania przez podmioty prywatne, które mogą uzależniać możliwość załatwienia sprawy telefonicznie od zgody na nagrywanie.

Zgodność z RODO

Zacznijmy od podstaw. Nagrywanie rozmów stanowi przetwarzanie danych osobowych. W Kodeksie RODO dla bibliotek autorzy tłumaczą, że w pewnych okolicznościach głos może być uznany nawet za daną biometryczną, ale w tym wypadku nie będzie to miało zastosowania i uznamy że jest to dla nas zwykła dana osobowa.

Kolejnym krokiem jest określenie jaką przesłankę legalizującą z art. 6 ust. 1 RODO należy spełnić. Cytując za Kodeksem RODO dla bibliotek są przynajmniej dwie przesłanki legalizujące nagrywanie rozmów, nie tylko telefonicznych:

Pierwsza zgoda – „Najczęstszą podstawą prawną nagrywania rozmów może być zgoda udzielona przez te osoby na nagrywanie rozmowy. Zgoda taka powinna udzielona przed rozpoczęciem nagrywania. W związku z powyższym osoby, których rozmowa będzie nagrywana powinny być o tym fakcie uprzedzone przed rozpoczęciem nagrywania. W przypadku braku zgody na nagrywanie głos danej osoby nie może być nagrywany.”

Druga przepis prawa – „Podstawę prawną nagrywania rozmów może stanowić także przepis prawa, w tym przepis prawa wewnętrznego, np. zarządzenie dyrektora biblioteki przewidujące obowiązek nagrywania przebiegu posiedzeń komisji przetargowej w celu sporządzenia protokołu z posiedzenia tej komisji.”

To wszystko może być realizowane przy bezpośrednim kontakcie z osobą i nagrywaniu, które nie odbywa się z automatu. Co więc z rozmowami telefonicznymi, gdy jedyną drogą jest uzyskanie połączenia pod warunkiem nagrywania rozmowy. Czy taka zgoda spełnia przesłanki z RODO: dobrowolne, świadome i jednoznaczne przyzwolenie osób, których dane dotyczą. Jeżeli są to prywatne usługi np. telekomunikacyjne czy sprzedaż przez telefon to oczywiście jest tu dobrowolność i zgoda jest bardzo sensowną przesłanką legalizującą. Nie podoba mi się że nagrywają, nie korzystam z usługi. Inaczej natomiast jest gdy dotyczy to np. przychodni, sądów czy innych podmiotów wykonujących usługi publiczne. Nie powinno się uzależniać kontaktu z instytucją publiczną od zgody na nagrywanie, ponieważ jej obowiązkiem jest umożliwienie mi uzyskania informacji.

Jak więc to rozwiązać? Można przestać nagrywać 🙂 Wydaje się, że można także skorzystać w takim przypadku z trzeciej możliwości – art. 6 lit. f – przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, czyli np. ochrona pracownika przed groźbami słownymi, obrona przed zarzutami o złej jakości obsługę czy też nieterminowe załatwienie sprawy. W takim wypadku niezbędne jednak będzie przeprowadzenie testu równowagi faktycznego interesu administratora oraz praw osób nagrywanych. Interesy administratora muszą przeważać, aby można było powołać się na tę przesłankę, np. znajdować uzasadnienie w częstych skargach na jakość załatwienia sprawy przez podmiot.

Niezależnie od podstawy prawnej nagrywania rozmów administrator musi spełnić w stosunku do osoby – w tym zarówno do klientów, jak i do pracowników – obowiązek informacyjny, zgodnie z art. 13 RODO. Polecam jednak, aby osoba miała możliwość zapoznania się z tą klauzulą, np. poprzez wybór dostępnych opcji, a nie musiała wysłuchać 5 minut informacji, zanim zdoła się połączyć. Można na początku nagrać krótką pierwszą warstwę informacyjną klauzuli oraz poinformować, że aby odsłuchać całą informację należy wybrać 1 (lub inny numer). Administrator musi także pamiętać, że informację o celu, sposobie i zakresie nagrywania rozmów należy zawrzeć w regulaminie pracy.

Realizowanie praw osób w związku z nagraniami

Jak wspomniała Ewa, jedną kwestią jest legalność nagrywania rozmów, która w pewnych sytuacjach nie jest oczywista, drugą to czy administrator będzie w stanie zrealizować prawa osób, których dane dotyczą.

Należy zauważyć, że w zależności od wybranej przesłanki legalizującej, będzie to różne spektrum praw:

• Prawo dostępu przysługujące osobie, której dane dotyczą, w tym prawo do uzyskania kopii z art. 15 RODO (w każdych okolicznościach);
•  Prawo do sprostowania danych z art. 16 RODO (w każdych okolicznościach);
•  Prawo do usunięcia danych („prawo do bycia zapomnianym”) z art. 17 RODO (gdy przetwarzanie opiera się na zgodzie);
•  Prawo do ograniczenia przetwarzania z art. 18 RODO (gdy przetwarzanie opiera się na prawnie uzasadnionym interesie ADO);
•  Prawo do przenoszenia danych z art. 20 RODO (gdy przetwarzanie odbywa się na podstawie zgody);
•  Prawo do sprzeciwu z art. 21 RODO (gdy przetwarzanie odbywa się na podstawie prawnie uzasadnionego interesu ADO);

Jak już wspominałam wielokrotnie, Prezes UODO stoi na stanowisku, że prawo do wglądu do danych, w tym uzyskania kopii danych, nie jest równoważne z prawem do uzyskania nośników (dokumentów, plików), w których te dane są zawarte. Administrator może przekazać tę informację w formie przetworzonej, określając jakie dane przetwarza. Jednakże każde żądanie o udostępnienie kopii powinien rozpatrywać indywidualnie i żądanie realizować z uwzględnieniem interesów osób, osób składających żądanie, w szczególności celu w jakim ta kopia ma być wykorzystana. Oznacza to, że kopia nagrania rozmowy może być udostępniona jako plik z nagraniem głosu tej osoby lub zestawienie informacji o przetwarzanych w związku z nagraniem danych. Administrator nagrywając rozmowy musi liczyć się z tym, że może być konieczna techniczna możliwość rozdzielenia głosu pracownika i osoby dzwoniącej. Być może poprzez nagrywanie ich na dwóch odrębnych, niezależnych ścieżkach. Niezbędne jest także takie przechowywanie nagrań, aby była możliwość odszukania niezbędnych ścieżek.

Jeżeli administrator opiera legalność nagrywania rozmów na zgodzie osoby, której dane dotyczą musi być w stanie technicznie zapewnić realizację prawa do usunięcia i przenoszenia danych. Należy zwrócić uwagę, że w przypadku przenoszenia, niezbędne będzie usunięcie lub zniekształcenie głosu pracownika administratora (ponownie wracam do rozwiązania z dwoma ścieżkami dźwiękowymi).

Szczególnie ciekawe wydaje się techniczne zrealizowanie prawa do ograniczenia przetwarzania. Jeżeli samo przetwarzanie polega jedynie na przechowywaniu, a dźwięk nie jest analizowany, to nie będzie z tym problemu. Jednakże biorąc pod uwagę, że administrator zadeklarował, że przesłanką legalizującą przetwarzanie jest jego prawnie uzasadniony interes, wydaje się, że jednak będzie „pracował” na tych nagraniach, więc powinien mieć techniczną możliwość wyodrębnienia ścieżek, by móc czasowo ograniczyć na nich jakiekolwiek operacje.

Uważam, że decydując się na nagrywanie rozmów, poza ustaleniem przesłanki legalizującej, należy od razu wprowadzić procedurę realizowania praw osób, których dane dotyczą, aby uniknąć problematycznych kwestii w przyszłości, w szczególności gdy okazałoby się, że administrator musi zrealizować takie żądanie, a nie ma na to technicznych możliwości i musi zapłacić zewnętrznemu podwykonawcy za wsparcie w tym zakresie.

Autorkami wpisu są Ewa Kraśniewska i Sylwia Czub-Kiełczewska

Ewa Kraśniewska – Od kilkunastu lat związana z sektorem publicznym, od 2011 roku zajmuje się kontrolą zarządczą, a od roku 2013 jest też audytorem wewnętrznym SZBI. Przez ten czas poszerzała również wiedzę z zakresu ochrony danych osobowych, a od dwóch lat jest IOD. Jej specjalizacją jest ochrona danych osobowych w jednostkach samorządu terytorialnego i w ich jednostkach organizacyjnych.

Sylwia Czub-Kiełczewska, specjalista ds. ochrony danych osobowych oraz certyfikowany audytor wewnętrzny ISO 27001.

Spodobał się ten wpis? Masz jeszcze jakieś pytania? A może potrzebujesz pomocy przy danych osobowych? Pomogłam już wielu, pomogę i Tobie! Napisz do mnie

Zapraszam na moje (bardzo praktyczne i konkretne) szkolenia: Akredytowane szkolenia z ochrony danych osobowych.

We wpisie wykorzystano zdjęcie z serwisu Pixabay.com.