Записване на разговори в кол-център — правни основания, ePrivacy и КЗЛД практика

България е една от водещите държави в Европа за аутсорсинг на кол-центрове — банки, застрахователи, телекоми, IT компании от ЕС и САЩ имат тук стотици хиляди работни места. Записването на разговори е стандартна практика — но регулативната рамка е по-стриктна, отколкото повечето мениджъри предполагат. Чл. 6 GDPR, Директивата за неприкосновеност на електронните съобщения (ePrivacy), чл. 251б ЗЕС и КЗЛД позициите формират сложна, но изпълнима рамка. Това ръководство е за директори на кол-центрове, юрисконсулти и длъжностни лица по защита на данните в банки, застрахователи и аутсорсинг компании.

Защо темата е критична за български аутсорсинг

През последните 10 години България се превърна в един от центровете на ЕС за аутсорсинг на обслужване на клиенти. Български кол-центрове обслужват клиенти на банки от Германия, телеком оператори от Великобритания, застрахователи от Швейцария и финтех компании от Нидерландия. Прогнозни данни показват, че индустрията дава работа на стотици хиляди души в страната.

Този мащаб води до три специфични правни рискове:

• Многоюрисдикционност — клиентите са в различни държави, всяка със своите специфични изисквания
• Гласови данни в обем — милиони часове аудио месечно, всеки разговор съдържа лични данни
• Аутсорсинг договори — българската фирма е обработващ за множество администратори, всеки с различни условия

Правна рамка — четирите източника

Записването на разговори се регулира паралелно от четири правни източника:

За правилно изграждане на процедурата трябва да се отчитат и четирите източника едновременно — позоваването само на GDPR не е достатъчно.

Четирите правни основания за записване

По чл. 6 GDPR правните основания за обработване (включително записване) на лични данни са шест. За кол-центрове четирите типични са:

Уведомление при началото на разговора

По чл. 13 GDPR при събиране на лични данни директно от субекта (включително при разговор) администраторът е длъжен да предостави определена информация. За кол-център това означава ясно гласово уведомление в началото на разговора, преди записването да започне.

Минимално задължително съдържание

• Идентификация на администратора (името на фирмата)
• Фактът на записване
• Целта на записването (качествен контрол / договорни цели / др.)
• Правното основание
• Срок за съхранение
• Права на субекта (достъп, изтриване, възражение)
• Линк към пълна политика за поверителност
• Контакт на длъжностното лице по защита на данните

Стандартна формула за уведомление

„Здравейте! Този разговор се записва за качествен контрол на обслужването. Записът се съхранява 90 дни. Имате право на достъп и възражение. За подробна информация — www.firma.bg/poveritelnost. Натиснете 1, за да продължите без запис, или останете на линията, за да продължим."

Срок на съхранение по цели

Принципът на минимизация на съхранението по чл. 5, ал. 1, б. „д" GDPR изисква данните да се съхраняват само толкова, колкото е необходимо. За записи на разговори препоръчителните срокове по цели:

Превишаване на тези срокове е нарушение на принципа на минимизация. Документираната политика за заличаване — задължителна.

Гласова биометрия и специални категории

През последните години все повече банки и финтех компании внедряват гласова биометрия (гласова биометрия (voice biometrics)) — система за идентификация на клиента по глас, без нужда от парола. Това е фундаментално различна категория от обикновеното записване.

По чл. 9, ал. 1 GDPR, биометричните данни, които се обработват с цел уникална идентификация на физическо лице, представляват специална категория. Обработването им е забранено, освен ако не е налице някое от изключенията по ал. 2 — най-често изрично съгласие на субекта.

Изисквания за гласова биометрия

• Изрично съгласие — отделно от съгласието за самото записване
• Алтернатива — клиентът трябва да може да се идентифицира и без биометрия (ПИН, парола, СМС код)
• DPIA по чл. 35 GDPR — задължителна за висок риск
• Усилени технически мерки — криптиране, ограничен достъп, одитни журнали
• Право на оттегляне — лесно достъпно, със заличаване на биометричния образец

Записване на разговори на служители

Освен правата на повикващия, важни са и правата на самия оператор. Принципите се извеждат от практиката на Европейския съд по правата на човека и от насоките на Работна група по чл. 29:

• Bărbulescu срещу Румъния (Голяма камара, жалба № 61496/08, решение от 5.09.2017 г.) — мониторингът на електронната комуникация на служител на работното място изисква предварително уведомяване, законна цел, пропорционалност и наличие на по-малко интрузивни алтернативи; работодателят носи тежестта на доказване на спазването;
• López Ribalda и др. срещу Испания (Голяма камара, жалби № 1874/13 и № 8567/13, решение от 17.10.2019 г.) — скрито видеонаблюдение на служители е допустимо само при обосновано подозрение за съществено нарушение и при стриктна пропорционалност;
• Становище 2/2017 на Работна група по чл. 29 относно обработването на данни на работното място (WP249), т. 5.4 (заменена от ЕКЗД/EDPB).

В обобщение, въз основа на тези източници и общата практика на КЗЛД:

• Записването на разговори на оператора е допустимо по легитимен интерес (качествен контрол)
• Операторът трябва да бъде писмено информиран при наемане
• Записването трябва да е включено в трудовия договор или вътрешния трудов ред
• Записите не могат да се ползват за персонална оценка или дисциплинарни мерки без отделно правно основание
• Използването на камери за лицево разпознаване в кол-центъра е забранено — освен при изключителни обстоятелства (виж нашата статия за мониторинг на служители)

Чеклист за директор на кол-център

• Документирано правно основание за записването — при легитимен интерес: писмена оценка по чл. 6, ал. 1, б. „е" GDPR (LIA), подписана от длъжностното лице по защита на данните; преглед на 12 месеца;
• Гласово уведомление в началото на разговора — съдържа всички елементи по чл. 13 GDPR; одобрено от юрисконсулт; на езика на разговора;
• Възможност за отказ от записване — IVR опция с конкретен бутон или ясна процедура за пренасочване към оператор без запис;
• Документирани срокове за съхранение по цели — таблица в политиката за съхранение, одобрена от управителния орган;
• Автоматизирано заличаване след изтичане на срока — техническа мярка, отговорник: CISO; дневник за изпълнение;
• Одитни журнали за достъп до записите (кой, кога, причина); съхранение 24 месеца;
• Криптиране на съхраняваните записи (data at rest) — минимум AES-256; ключове под контрола на администратора;
• Договор за обработване по чл. 28 GDPR с администраторите-възложители от чужбина — преглед от юрисконсулт; ревизия при промяна на услугата;
• Оценка на въздействието (DPIA) за гласова биометрия — задължителна преди внедряване, ако се използва; отговорник: DPO; одобрение от управителния орган;
• Ефективна алтернатива за идентификация при биометрия (ПИН код, контролни въпроси) — обявена в политиката за поверителност;
• Уведомяване на служителите при наемане + изрична клауза в трудовия договор и във вътрешния трудов ред;
• Регистър на дейностите по обработване (РДО, RoPA) — включва записването в кол-центъра; преглед на 12 месеца;
• Процедура за искания на субекти (достъп, изтриване, преносимост, възражение) — едномесечен срок по чл. 12, ал. 3 GDPR; журнал;
• Обучение на операторите за GDPR — задължително при наемане и веднъж годишно; протокол с подписи;
• Стандарт за сигурност на платежните картови данни (PCI-DSS) — приложим, когато по време на разговора се обработват картови данни; задължително заглушаване (pause-and-resume) на записа в момента на въвеждане на CVV/PAN.

Адв. Йордан Чолаков & Адв. Десислава Димитрова

Dimitrova, Cholakov & Partners · Innovires

Адв. Чолаков и адв. Димитрова консултират директори на кол-центрове, банки, застрахователи и аутсорсинг компании в България — за записване на разговори, гласова биометрия, договори с международни клиенти и защита при КЗЛД проверка.