BlixtflowKort svar
En virksomhed må optage opkald med kunder og lade en AI tage telefonen, men GDPR kræver et retsgrundlag, tydelig information til den, der ringer, og en fastsat opbevaringsperiode. I har også brug for en databehandleraftale med leverandøren og begrænset adgang til opkaldene. Indled opkaldet med en kort besked om, at det håndteres af AI og bliver optaget.
Må en virksomhed optage kundeopkald?
Ja. En virksomhed, der selv deltager i samtalen, må optage den, men optagelsen er en behandling af personoplysninger og er omfattet af GDPR. Det betyder, at I skal have et retsgrundlag, skal informere den, der ringer, og kun må gemme optagelsen, så længe det er nødvendigt for formålet. De samme regler gælder, når en AI-receptionist svarer og gemmer samtalen som tekst.
Denne artikel er et praktisk overblik, ikke juridisk rådgivning. Den svenske databeskyttelsesmyndighed Integritetsskyddsmyndigheten (IMY) har vejledning om databeskyttelse, og er I i tvivl, bør I rådføre jer med en jurist med speciale i databeskyttelse.
Hvilket retsgrundlag kan virksomheden bruge?
Det mest almindelige grundlag for at optage kundeopkald er legitim interesse – for eksempel at kunne dokumentere, hvad der er blevet sagt, forbedre servicen og følge op på sager. I skal så foretage en interesseafvejning: vejer virksomhedens interesse tungere end kundens interesse i ikke at blive optaget? For visse opkald kan en kontrakt være grundlaget, for eksempel når opkaldet drejer sig om en bestilling.
| Grundlag | Eksempel | Værd at overveje |
|---|---|---|
| Legitim interesse | Dokumentere sager og forbedre servicen | Foretag og gem en interesseafvejning |
| Kontrakt | Kunden bestiller eller booker under opkaldet | Gælder kun det, der er nødvendigt for kontrakten |
| Retlig forpligtelse | Brancher med krav om dokumentation | Undersøg, hvad der gælder for jeres branche |
| Samtykke | Optagelse til for eksempel uddannelse | Skal kunne trækkes tilbage, sjældent praktisk |
Hvad skal den, der ringer, have at vide?
Informationen skal gives i starten af opkaldet, kort og tydeligt. Et eksempel: »Hej og velkommen til Nordviks Bil. Du taler med vores digitale assistent, og samtalen optages, så vi kan hjælpe dig. Mere information finder du på vores hjemmeside.«
- At opkaldet håndteres af en AI eller digital assistent
- At opkaldet optages eller gemmes som tekst
- Hvorfor det gemmes, og hvor der findes mere information
- Hvordan kunden kommer i kontakt med et menneske, hvis vedkommende ønsker det
Suppler med en tydelig tekst i jeres privatlivspolitik om opkald, formål, opbevaringsperiode og kundens rettigheder.
Tjekliste: optag opkald i overensstemmelse med GDPR
Seks skridt, før AI-receptionisten svarer
- Fastlæg formåletHvorfor skal opkaldene gemmes – dokumentation, opfølgning, kvalitet?
- Vælg retsgrundlagOftest legitim interesse med en dokumenteret afvejning.
- Informér under opkaldetEn sætning i velkomsten og en tekst i privatlivspolitikken.
- Indgå databehandleraftaleMed leverandøren af AI-receptionisten og telefonien.
- Begræns adgangenKun dem, der har brug for det, skal kunne se opkaldene.
- Fastlæg opbevaringsperiodeFor eksempel 90 dage for optagelsen og 12 måneder for opsummeringen – vælg det, der passer til jeres formål.
Hvordan håndteres følsomme oplysninger?
Kunder siger nogle gange mere, end de behøver: personnumre, kortnumre, helbredsoplysninger. Minimér risiciene:
- Lad receptionisten kun spørge om det, der er nødvendigt for sagen.
- Maskér følsomme oplysninger, før tekst sendes videre.
- Giv klinikker og andre med følsomme opkald ekstra strenge roller.
- Slet i henhold til opbevaringsperioden, automatisk hvis muligt.
I Blixtflow maskeres personnumre, kortnumre og IBAN, før tekst sendes til AI, og opkaldene gemmes som sager med roller og adgangsrettigheder. Læs mere om sikkerhed og GDPR i Blixtflow og om AI-receptionisten.
Hvad gælder, når kunden vil have indsigt i eller slette sit opkald?
Kunden har ret til at få at vide, hvilke oplysninger I har om vedkommende, og i mange tilfælde til at få dem slettet. Sørg for, at I kan finde en kundes opkald via telefonnummer eller navn og slette dem efter behov. Når opkaldene er sager knyttet til kundens profil i et kundeservicesystem, bliver det betydeligt enklere, end når optagelser ligger i en separat telefoni-app. Se også, hvordan kundehistorikken samler sager pr. kunde.
Den bedste databeskyttelse er ikke at gemme mere, end I har brug for – og at slette det, I har gemt, når der ikke længere er brug for det.
Hvad gælder for medarbejdernes stemmer?
Optagelser indeholder også medarbejdernes stemmer og det, de siger, og det er også personoplysninger. Informér medarbejderne om, at opkald optages, hvorfor, hvor længe optagelserne gemmes, og hvem der må lytte til dem. Brug ikke optagelserne til at bedømme enkelte medarbejdere, uden at det er tydeligt besluttet og kommunikeret. En god rutine er at lytte til 2–3 tilfældigt udvalgte opkald om måneden for at forbedre manuskript og vidensbase, ikke for at kontrollere personer.
Hvor lange opbevaringsperioder er rimelige?
GDPR fastsætter ingen bestemt periode – den skal styres af formålet. Mange virksomheder vælger en kortere periode for selve lyden og en længere for opsummeringen, fordi lydfilen indeholder mere, end sagen kræver.
| Oplysning | Eksempel på opbevaringsperiode | Begrundelse |
|---|---|---|
| Optagelse (lyd) | 30–90 dage | Nødvendig for at opklare uklarheder kort efter opkaldet |
| Tekst af opkaldet | 6–12 måneder | Grundlag for opfølgning og reklamationer |
| Opsummering i sagen | Så længe kundeforholdet varer | En del af kundehistorikken |
Skriv jeres valg og begrundelserne for dem ned. Det er den dokumentation, IMY spørger efter, hvis nogen klager.
Hvad er det vigtigste at huske?
Optag kun, når I har et retsgrundlag, fortæl det i starten af opkaldet, og slet optagelserne, når der ikke længere er brug for dem.
- Informér, før optagelsen begynder.
- Fastlæg opbevaringsperiode, og hvem der må lytte.
- Følg IMY's vejledning, hvis I er i tvivl.
Åbenhed om optagelse skaber tillid – hemmelighed skaber mistillid.
Blixtflow
Ofte stillede spørgsmål
Skal kunden godkende, at opkaldet bliver optaget?
Ikke altid. Ofte bruges legitim interesse som retsgrundlag, og så kræves der ikke samtykke – men kunden skal tydeligt informeres i starten af opkaldet om optagelsen, og hvorfor den foretages.
Skal vi fortælle, at det er en AI, der svarer?
Ja, I bør være åbne om det. Sig i velkomsten, at kunden taler med en digital assistent, og hvordan vedkommende kommer i kontakt med et menneske. Det skaber tillid og forebygger misforståelser.
Hvor længe må optagede opkald gemmes?
Så længe det er nødvendigt for formålet, og ikke længere. Fastlæg en opbevaringsperiode på forhånd, for eksempel 90 dage for optagelser, og slet automatisk, når perioden er udløbet.
Er der brug for en databehandleraftale?
Ja. Leverandøren af AI-receptionisten behandler personoplysninger på jeres vegne og skal have en databehandleraftale med jer, med information om underdatabehandlere.