AI recepcjonistka a RODO — nagrywanie rozmów i dane klientów

Voicebot recepcyjny przetwarza kilka kategorii danych osobowych: głos dzwoniącego (nagranie rozmowy), numer telefonu, treść rozmowy wraz z jej transkrypcją oraz dane podawane przy umawianiu wizyty — imię i nazwisko, wybrany termin i rodzaj usługi.

W gabinecie medycznym ta lista może sięgać dalej. Sam fakt rezerwacji wizyty u lekarza określonej specjalizacji czy podany przez telefon powód wizyty może stanowić dane dotyczące zdrowia, czyli szczególną kategorię danych z art. 9 RODO. To podnosi wymagania wobec całego procesu — piszemy o tym niżej.

Nagrywanie rozmów telefonicznych to przetwarzanie danych osobowych, więc zgodnie z art. 13 RODO dzwoniący musi otrzymać informację o nagrywaniu zanim rozmowa się rozpocznie. W praktyce realizuje to komunikat głosowy odtwarzany na początku połączenia: kto jest administratorem danych, że rozmowa jest nagrywana i w jakim celu. Pełną klauzulę informacyjną — z prawami osoby i okresem przechowywania — udostępnia się warstwowo, np. na stronie internetowej, do której komunikat odsyła. Dzwoniący, który nie akceptuje nagrywania, może się rozłączyć przed rozpoczęciem rozmowy.

Podstawą prawną przetwarzania danych z rozmowy jest najczęściej art. 6 ust. 1 lit. b RODO — gdy rozmowa służy umówieniu wizyty lub obsłudze umowy — albo art. 6 ust. 1 lit. f, czyli prawnie uzasadniony interes administratora, np. zabezpieczenie dowodów ustaleń czy kontrola jakości obsługi. Wybór podstawy należy do administratora i warto go udokumentować, a w przypadku prawnie uzasadnionego interesu przeprowadzić test równowagi. Za niespełnienie obowiązku informacyjnego grożą kary administracyjne — w skrajnych przypadkach do 20 mln euro lub 4% rocznego światowego obrotu.

W układzie z AI recepcjonistką to Twoja firma lub gabinet jest administratorem danych dzwoniących, a dostawca voicebota — podmiotem przetwarzającym (procesorem). Art. 28 RODO wymaga, aby powierzenie danych procesorowi odbywało się na podstawie umowy powierzenia przetwarzania (DPA). Korzystanie z voicebota bez takiej umowy jest naruszeniem RODO po obu stronach.

Zgodnie z art. 28 ust. 3 RODO umowa powierzenia musi określać: przedmiot i czas trwania przetwarzania, jego charakter i cel, rodzaj danych osobowych, kategorie osób, których dane dotyczą, oraz obowiązki i prawa administratora. Musi też zobowiązywać procesora m.in. do: przetwarzania danych wyłącznie na udokumentowane polecenie administratora, zapewnienia poufności personelu, stosowania środków bezpieczeństwa z art. 32 RODO, korzystania z podwykonawców (np. dostawcy syntezy mowy) tylko za zgodą administratora, pomocy w realizacji praw osób, których dane dotyczą, oraz usunięcia lub zwrotu danych po zakończeniu współpracy — wraz z prawem administratora do audytu.

Dane dotyczące zdrowia to szczególna kategoria danych osobowych. Art. 9 ust. 1 RODO co do zasady zakazuje ich przetwarzania, chyba że zachodzi jeden z wyjątków z art. 9 ust. 2. W placówkach medycznych typową podstawą jest art. 9 ust. 2 lit. h — przetwarzanie niezbędne do profilaktyki zdrowotnej, diagnozy i zapewnienia opieki zdrowotnej. Oznacza to, że do samej rejestracji wizyty zwykle nie jest potrzebna odrębna zgoda pacjenta, ale rygor bezpieczeństwa rośnie.

Gabinet wdrażający voicebota powinien dodatkowo zadbać o: minimalizację danych (bot pyta tylko o informacje niezbędne do umówienia wizyty), umowę powierzenia wprost obejmującą dane szczególnej kategorii, podwyższone środki techniczne i organizacyjne, krótszy okres retencji nagrań oraz analizę ryzyka — a przy przetwarzaniu danych o zdrowiu na dużą skalę rozważyć ocenę skutków dla ochrony danych (DPIA).

Zgodność z RODO jest wbudowana w standard wdrożenia AI recepcjonistki Smart Asystenci — od pierwszego komunikatu w słuchawce po politykę usuwania nagrań.

Niezależnie od tego, którego dostawcę rozważasz, przed podpisaniem umowy zadaj mu poniższe pytania. Rzetelny dostawca odpowie na każde z nich bez wahania.

Zastrzeżenie: ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. W indywidualnych sprawach skonsultuj się z prawnikiem lub inspektorem ochrony danych.