Lista kontrolna RODO dla asystenta głosowego, punkt po punkcie

Spis danych, które przechodzą przez agenta

Zanim zaczniesz szukać podstaw prawnych, spisz, co w ogóle przez agenta przepływa. Lista bywa dłuższa, niż zakładał właściciel firmy.

Numer telefonu dzwoniącego agent widzi, zanim ktokolwiek powie słowo. Głos jest zamieniany na tekst nawet wtedy, gdy niczego nie nagrywasz, bo inaczej agent nie zrozumiałby rozmówcy. Do tego dochodzą nagranie i transkrypcja, jeśli je włączysz, dane podane w rozmowie (imię, adres, numer zamówienia, czasem PESEL) i notatka zapisana w kalendarzu albo CRM. Ludzie mówią też rzeczy, o które nikt nie pytał: nazwę choroby, lek, kłopoty w rodzinie. A gdy ktoś dzwoni w imieniu mamy, w systemie lądują dane osoby, która z agentem w ogóle nie rozmawiała.

Przy każdej pozycji dopisz, dokąd trafia. Ponieważ asystent głosowy składa się z kilku usług, odpowiedź brzmi zwykle: do usługi rozpoznawania mowy, modelu językowego, syntezy głosu, operatora telefonii, a na końcu do twojego programu. Ten sam spis wykorzystasz w rejestrze czynności przetwarzania, w umowie powierzenia i przy ocenie skutków.

Podstawa prawna, osobno dla każdego celu

Jedna rozmowa często służy kilku celom naraz, a art. 6 RODO wymaga podstawy dla każdego z nich. Tak wyglądają typowe układy.

Przy nagrywaniu rozmów najłatwiej o błąd. Zgoda wydaje się najbezpieczniejsza, tyle że musi być dobrowolna: klient, który jej nie da, dalej powinien załatwić sprawę. Jeśli agent nie umie rozmawiać bez nagrywania, taka zgoda jest fikcją.

Osobna sprawa to sam głos. Nagranie trafia do szczególnej kategorii danych biometrycznych dopiero wtedy, gdy system przetwarza głos po to, żeby rozpoznać konkretną osobę. Weryfikacja klienta po brzmieniu głosu to więc osobny projekt, z danymi szczególnej kategorii i własną analizą.

Co dzwoniący słyszy od razu, a co może przeczytać później

Art. 13 RODO wymienia długą listę informacji, które przekazuje się przy zbieraniu danych. Przeczytana w słuchawce zajęłaby kilka minut i nikt by jej nie wysłuchał. Dlatego przez telefon stosuje się informację warstwową: w rozmowie pada krótka wersja, a pełna czeka na stronie albo w SMS-ie.

Krótka wersja mieści się w tym samym powitaniu, w którym pada informacja o AI, na przykład: „Dzień dobry, Gabinet Fizjoterapii Ruch, mówi asystent AI. Rozmowa jest nagrywana, zasady przetwarzania danych są na naszej stronie, mogę też wysłać link SMS-em.” Pełna klauzula zawiera między innymi:

• nazwę i dane kontaktowe administratora, a jeśli firma go wyznaczyła, także inspektora ochrony danych
• cele przetwarzania i podstawę prawną każdego z nich
• odbiorców danych, w tym dostawcę voicebota i jego podwykonawców, przynajmniej kategoriami
• informację o przekazywaniu danych poza Europejski Obszar Gospodarczy, jeśli do niego dochodzi
• okres przechowywania nagrań, transkrypcji i notatek albo kryteria jego ustalania
• prawa dzwoniącego, w tym prawo skargi do Prezesa UODO
• informację o zautomatyzowanym podejmowaniu decyzji, jeśli agent cokolwiek rozstrzyga sam

Umowa powierzenia z dostawcą i lista jego podwykonawców

Dostawca voicebota przetwarza dane twoich klientów w twoim imieniu, więc art. 28 RODO wymaga z nim umowy powierzenia przetwarzania, obok głównej umowy z dostawcą. Bez powierzenia nie uruchamiaj agenta nawet na próbę, jeśli mają do niego dzwonić prawdziwi klienci.

W umowie szukaj najpierw zdania, że dostawca przetwarza dane wyłącznie na twoje udokumentowane polecenie. Wynika z niego rzecz praktyczna: nie trenuje na twoich rozmowach własnych modeli, chyba że wyraźnie się na to zgodzisz. Potem lista podwykonawców. Voicebot to zwykle kilka firm naraz (rozpoznawanie mowy, model językowy, synteza głosu, telefonia, serwery), a ty chcesz wiedzieć, kto to jest i w jakim kraju przetwarza dane. O zmianie podwykonawcy dostawca ma cię uprzedzić, a ty możesz się sprzeciwić.

Zostają obowiązki na gorsze dni. Dostawca pomaga ci obsługiwać żądania klientów, na przykład odszukać nagranie. O naruszeniu ochrony danych informuje bez zbędnej zwłoki, a konkretny termin w godzinach lepiej wpisać do umowy. Po zakończeniu usług usuwa albo zwraca dane, zależnie od twojego wyboru.

Jeśli któryś podwykonawca przetwarza dane poza EOG, potrzebna jest podstawa takiego transferu, na przykład decyzja Komisji Europejskiej o odpowiednim stopniu ochrony albo standardowe klauzule umowne. Zapytaj więc już przy pierwszej ofercie o hosting danych i o kraj każdego podwykonawcy.

Okres przechowywania nagrań, transkrypcji i notatek

RODO nie podaje liczby dni. Wymaga, żeby dane nie leżały dłużej, niż potrzebuje tego cel, i żebyś okres podał w klauzuli. Każdy rodzaj zapisu dostaje więc własny termin: dźwięk, transkrypcja, notatka w CRM i logi techniczne. Nie muszą żyć równie długo, a różnicę między nagraniem a transkrypcją widać już po tym, do czego każde z nich służy.

Kasowanie ustaw w panelu raz, na stałe. Plan „usuniemy, jak będzie czas” kończy się archiwum sprzed trzech lat na koncie, do którego hasło zna cała recepcja. Zapytaj też dostawcę, jak długo skasowane nagranie żyje w kopiach zapasowych, i ustal wyjątek: nagranie, które stało się dowodem w reklamacji, zostaje do zamknięcia sprawy.

Dźwięk trzymaj możliwie krótko, bo do codziennego poprawiania agenta wystarcza tekst. W finansach sprawdź jeszcze z prawnikiem przepisy branżowe, bo część z nich wyznacza własne terminy przechowywania rozmów.

Prawa dzwoniących i jak je obsłużyć bez paniki

Klient, który rozmawiał z agentem, ma te same prawa co po rozmowie z recepcją. Może żądać dostępu do swoich danych i ich kopii, sprostowania, usunięcia albo ograniczenia przetwarzania, a gdy podstawą jest prawnie uzasadniony interes, także wnieść sprzeciw. Odpowiedź należy mu się bez zbędnej zwłoki, co do zasady w ciągu miesiąca.

Na papierze to proste. W praktyce trzeba umieć znaleźć rozmowy konkretnej osoby, po numerze telefonu i dacie, więc sprawdź przed podpisaniem umowy, czy panel dostawcy to potrafi. Zanim wydasz nagranie, upewnij się przez identyfikację rozmówcy, że prosi o nie ta osoba, której głos jest na nagraniu. Ktoś, kto zna numer klientki, nie powinien dostać pliku z jej rozmową o wizycie u ginekologa.

Osobny przypadek to decyzje podejmowane wyłącznie przez automat, które wywołują skutki prawne albo w podobny sposób istotnie wpływają na człowieka. Agent, który umawia wizyty, takich decyzji nie podejmuje. Gdyby sam odrzucał wnioski albo kandydatów do pracy, RODO dawałoby tym osobom prawo do interwencji człowieka. Rozsądniej od razu zostawić takie decyzje ludziom.

Ocena skutków, rejestr czynności i naruszenia

Ocenę skutków dla ochrony danych robi się wtedy, gdy przetwarzanie może powodować wysokie ryzyko dla ludzi. Unijne wytyczne podpowiadają, że zwykle tak jest przy spełnieniu co najmniej dwóch kryteriów z ich listy, a Prezes UODO ogłosił własny wykaz operacji wymagających oceny. Voicebot łatwo zbiera kilka kryteriów naraz: nowa technologia, dane o zdrowiu, rozmowy z seniorami albo dziećmi, duża skala.

Przychodnia, która oddaje agentowi całą rejestrację, raczej się bez oceny nie obejdzie. Warsztat przyjmujący przez agenta zapisy na wymianę opon zwykle nie musi jej robić, choć krótka analiza ryzyka i tak się przyda. Decyzję, także tę na „nie”, zapisz z uzasadnieniem.

Dwie rzeczy robisz niezależnie od oceny. Dopisujesz voicebota do rejestru czynności przetwarzania. I ustalasz, kto w firmie reaguje na naruszenie, na przykład wyciek nagrań przez słabe zabezpieczenia danych albo transkrypcję wysłaną mailem do obcej osoby. Naruszenie zgłasza się Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla ludzi.

Lista kontrolna RODO do przejścia przed startem

Przejdź ją z inspektorem ochrony danych albo prawnikiem. Każdy punkt powinien mieć odpowiedź na piśmie, a nie „chyba tak”.

1. Masz spisane, jakie dane przechodzą przez agenta i do których systemów trafiają.
2. Każdy cel ma podstawę prawną, a dane o zdrowiu także przesłankę z art. 9.
3. Jeśli nagrywasz na podstawie prawnie uzasadnionego interesu, masz zapisane, dlaczego ten interes przeważa.
4. Powitanie mówi, kto odbiera, że to AI i czy rozmowa jest nagrywana.
5. Pełna klauzula informacyjna jest na stronie albo w SMS-ie po rozmowie.
6. Umowa powierzenia jest podpisana, a lista podwykonawców i krajów przetwarzania znana.
7. Dostawca nie trenuje modeli na twoich rozmowach bez twojej wyraźnej zgody.
8. Każdy rodzaj zapisu ma okres przechowywania, a kasowanie działa automatycznie.
9. Umiesz znaleźć i wydać rozmowy konkretnej osoby po sprawdzeniu jej tożsamości.
10. Masz zapisaną decyzję, czy potrzebna jest ocena skutków.
11. Voicebot jest w rejestrze czynności przetwarzania, a zespół wie, co robić przy naruszeniu.

Jeśli wolisz zacząć od przykładów, zajrzyj na blog Infinity Tech: jest tam tekst o RODO w chatbotach i voicebotach.