Får man spela in samtal i GDPR?

Får man spela in samtal i GDPR? Regler och böter

Att spela in samtal som företagare innebär juridiska risker som sträcker sig bortom brottsbalkens regler. Förstå de strikta kraven för personuppgifter för att undvika sanktionsavgifter och skydda verksamheten mot får man spela in samtal i gdpr.

Vad säger lagen om samtalsinspelning i Sverige?

Frågan om laglighet har inte ett enkelt ja eller nej-svar - tolkningen beror helt på din kontext. Ja, det är tillåtet att spela in samtal, men det beror på vem du är och i vilket syfte inspelningen sker. Eftersom en röst och det som sägs räknas som personuppgifter om en person kan identifieras, regleras hanteringen av dataskyddsförordningen (GDPR) när det sker i professionella sammanhang.

Många företag - och detta förvånar mig alltid - tror att Brottsbalken är det enda de behöver tänka på. Enligt svensk lag (brottsbalken) är det helt lagligt att i hemlighet spela in samtal som du själv är en aktiv deltagare i. Du får däremot inte spela in samtal mellan andra personer där du själv inte deltar. Den som olovligen avlyssnar andras samtal riskerar fängelse i upp till två ^[1] år.

Men om du representerar ett företag räcker inte den straffrättsliga biten. Integritetsskyddsmyndigheten (IMY) kan dela ut sanktionsavgifter på upp till 20 miljoner euro eller 4 procent av den globala årsomsättningen för företag som bryter mot GDPR vid felaktig behandling av personuppgifter.^[2] Det är allvarligt. Sällan har jag sett en så stor missuppfattning bland företagare som är det lagligt att spela in samtal bara man är med i samtalet.

Privatpersoner och hushållsundantaget

För dig som ringer som privatperson är reglerna ganska avslappnade. Om du är privatperson och spelar in ett samtal som du själv deltar i (exempelvis ett telefonsamtal eller ett möte) omfattas du inte av GDPR. Detta kallas i juridiken för hushållsundantaget och skyddar din rätt till din egen kommunikation.

Du kan alltså spela in samtalet helt i hemlighet. Du behöver inte be om lov. Lagen är tydlig. Men kom ihåg att spridning av materialet - till exempel en ljudfil publicerad på ett socialt nätverk - ofta ändrar förutsättningarna helt. Otillåten delning av integritetskänsligt material (även som privatperson) kan leda till skadestånd i integritetsm^[3] ål.

Krav på företag och organisationer

När gdpr spela in kundsamtal eller interna möten behandlar du personuppgifter systematiskt och måste ha en giltig rättslig grund enligt GDPR. Företag kan alltså inte bara trycka på inspelningsknappen och hoppas på det bästa. Långt ifrån.

1. Informationsplikten måste uppfyllas

Den som spelas in måste tydligt informeras innan inspelningen startar (till exempel via en automatisk röstsignal i kundtjänst). Ärligt talat, de flesta kunder bryr sig inte ett dugg så länge informationen är snabb. Du måste dock berätta varför samtalet spelas in, såsom för utbildningssyfte, och var de kan läsa mer om sina rättigheter.

2. Gallringstid och säker lagring

Du måste bestämma syftet i förväg (något många tyvärr struntar i). Uppgifterna får inte sparas längre än nödvändigt för just det syftet, och åtkomsten till inspelningarna måste begränsas till endast behörig personal. Du kan läsa mer om regler för att spela in telefonsamtal företag hos Integritetsskyddsmyndigheten.

För ren kvalitetskontroll visar branschpraxis att automatisk radering oftast sker efter 30 till 90 dagar. Undantaget är om materialet faktiskt utgör räkenskapsinformation, vilket enligt bokföringslagen måste sparas i upp till sju år.^[5] En evighet i dataskyddssammanhang.

Vilken rättslig grund ska du välja?

Berättigat intresse (Rekommenderas för kundtjänst)

1. Du behöver inte be uppringaren om ett aktivt "ja", vilket snabbar upp samtalen avsevärt
2. En dokumenterad intresseavvägning där företagets nytta tydligt väger tyngre än individens integritet
3. Utbildning av personal, säkerhetsbedömningar och allmän kvalitetssäkring i kundtjänst

Samtycke

1. Juridiskt mycket starkt om det inhämtas korrekt och går att bevisa i efterhand
2. Ett frivilligt, specifikt och aktivt godkännande från personen som ringer (t.ex. knappval)
3. När känsliga personuppgifter diskuteras, som hälsa, facklig tillhörighet eller politiska åsikter

När automatiseringen blev ett arbetsmiljöproblem

Johan, kundservicechef på ett medelstort e-handelsbolag i Malmö, ville spela in alla samtal för att utbilda nyanställda och förbättra responstiderna. Han slog helt enkelt på inspelningsfunktionen i den nya molnväxeln utan vidare eftertanke eller planering.

Första försöket blev totalt kaos. Två kunder begärde ut sina uppgifter enligt GDPR under samma vecka, och Johan insåg att systemet saknade en sökfunktion. Företagets jurist fick nästan hjärtinfarkt när de insåg att filerna låg oskyddade på en delad server.

Det krävdes tre veckors tekniskt strul och omkonfigurering för att städa upp röran. Johan implementerade slutligen ett tydligt informationsmeddelande och en rutin där ljudfiler automatiskt förstördes när de lyssnats på, istället för att lagras för evigt.

Efter ändringen minskade risken för böter till noll. Genom att begränsa lagringen till endast 30 dagar sjönk dessutom serverkostnaderna med nästan 40 procent. Det tog tid att fixa, men Johan lärde sig att efterlevnad måste byggas in från början.