Questa guida spiega i principi, non sostituisce un avvocato. Le regole esatte dipendono dal Paese in cui si trovano l’azienda e le persone chiamate; verificale per il vostro caso.

Chi è responsabile dei dati

In una chiamata gestita da un agente vocale ci sono due ruoli:

  • il titolare del trattamento è l’azienda che decide perché e come vengono effettuate le chiamate, ad esempio la clinica o il negozio (GDPR, art. 4, punto 7);
  • il responsabile del trattamento è la piattaforma che esegue l’agente per conto dell’azienda (art. 4, punto 8).

Il rapporto tra loro si scrive in un contratto di trattamento dei dati, con il contenuto richiesto dall’articolo 28: oggetto e durata, tipi di dati, istruzioni, riservatezza, sicurezza, sub-responsabili, cancellazione alla fine e diritto di verifica.

Gli obblighi di informazione e la scelta della base giuridica restano al titolare. La piattaforma lo aiuta, ma non li assume.

Base giuridica per la registrazione

La registrazione di una chiamata è trattamento di dati e richiede una base giuridica dell’articolo 6, paragrafo 1. In pratica si usano:

  • l’esecuzione di un contratto (lett. b), quando la chiamata riguarda un ordine o un servizio richiesto dalla persona;
  • un obbligo legale (lett. c), quando una legge impone la conservazione delle conversazioni;
  • l’interesse legittimo (lett. f), ad esempio la prova di una conferma, dopo una valutazione scritta che dimostri che i diritti della persona non prevalgono;
  • il consenso (lett. a), quando nessun altro fondamento si adatta. Deve poter essere revocato con la stessa facilità con cui è stato dato (art. 7 alin. 3).

Alcune giurisdizioni, anche al di fuori dell’Unione europea, richiedono il consenso di tutti i partecipanti per la registrazione di una conversazione, indipendentemente dalla base di protezione dei dati. Se chiamate in più paesi, verificate ciascun paese.

L’informativa: cosa, quando, come

L’articolo 13 richiede che la persona sia informata nel momento in cui i dati sono raccolti. Per una chiamata, ciò significa prima che inizi la registrazione, non alla fine e non in un’e-mail inviata il giorno dopo.

Un’informativa orale non può contenere tutta l’informativa sulla privacy. Si usa l’informazione a livelli:

  • all’inizio della chiamata: chi è il titolare, che la chiamata è registrata e per quale scopo, dove si trovano i dettagli;
  • nella politica sulla privacy: la base giuridica, i destinatari, i trasferimenti, il periodo di conservazione, i diritti e il diritto di presentare un reclamo (art. 13, commi 1 e 2).

L’informativa deve essere breve, chiara e nella lingua della conversazione.

Dite che parla un agente AI

Il Regolamento (UE) 2024/1689 sull’intelligenza artificiale prevede, all’articolo 50, paragrafo 1, che i sistemi progettati per interagire direttamente con le persone devono essere concepiti in modo che le persone sappiano di interagire con un sistema AI, salvo che ciò sia evidente. Il calendario di applicazione è stabilito all’articolo 113; verificate la data alla quale lanciate.

Anche laddove non sia obbligatorio, dire fin dall’inizio che parla un assistente virtuale evita la sensazione di inganno e i reclami successivi.

Le chiamate in uscita e il diritto di opposizione

Quando l'agente chiama per il marketing diretto, la persona può opporsi in qualsiasi momento e i dati non vengono più utilizzati a questo scopo (art. 21, commi 2 e 3). Il diritto deve essere portato esplicitamente a conoscenza della persona al più tardi alla prima comunicazione, separatamente da altre informazioni (art. 21, comma 4).

Inoltre, molti paesi hanno regole proprie per le chiamate commerciali non sollecitate, talvolta con consenso preventivo obbligatorio. Per un agente, questo significa:

  • elenchi solo di persone per le quali avete una base giuridica;
  • una frase nello сценарio che accetti il rifiuto senza insistere;
  • l’esclusione del numero dalle campagne successive dopo un rifiuto.

Decisioni automatizzate

La persona ha il diritto di non essere sottoposta a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente su di essa (art. 22). Un agente può raccogliere informazioni per un credito, una polizza o un’assunzione; la decisione la prende una persona, e la persona può chiederne l’intervento.

Per quanto tempo conservate le registrazioni

I dati si conservano solo per il tempo necessario allo scopo (art. 5 par. 1 lett. e). Stabilite per iscritto un termine per ogni tipo di dato: registrazione audio, trascrizione, riassunto, campi estratti. Non è obbligatorio che sia lo stesso; una trascrizione può essere utile più a lungo dell’audio.

La voce come dato biometrico

Una registrazione vocale non diventa automaticamente un dato biometrico. Lo diventa quando è trattata tecnicamente per identificare o autenticare in modo univoco una persona (art. 4 punto 14), caso in cui rientra nel regime delle categorie speciali (art. 9). Se utilizzate la voce per riconoscere il chiamante, trattatela come tale.

La valutazione d’impatto

L’articolo 35 richiede una valutazione d’impatto prima dei trattamenti ad alto rischio, in particolare la valutazione sistematica delle persone sulla base del trattamento automatizzato, il trattamento su larga scala di categorie speciali di dati o il monitoraggio sistematico su larga scala di un’area accessibile al pubblico. Un agente per una clinica o per decisioni finanziarie è un candidato serio.

Trasferimenti, sicurezza, incidenti

  • Trasferimenti: se i fornitori della piattaforma si trovano al di fuori dello Spazio Economico Europeo, chiedete il meccanismo di trasferimento, di solito le clausole contrattuali standard della Commissione Europea (art. 46 alin. 2 lit. c).
  • Sicurezza: misure tecniche e organizzative adeguate al rischio (art. 32): accesso limitato alle registrazioni, registri, cifratura in transito.
  • Incidenti: il titolare notifica l’autorità di controllo senza ritardi ingiustificati e, se possibile, entro 72 ore dal momento in cui viene a conoscenza della violazione, salvo il caso in cui questa non comporti un rischio per le persone (art. 33).

Come funziona Kallina

  • L’avviso nella telefonia. Dal 9 settembre 2026, per le chiamate che passano attraverso il server telefonico Kallina, l’avviso di registrazione viene pronunciato dal server, prima dell’avvio della registrazione, non dal testo di ciascun agente. Così non dipende da chi ha scritto lo сценарий.
  • Prova nella chiamata. Il server annota a ogni chiamata che l’avviso è stato pronunciato e in quale lingua.
  • I ruoli. Per le chiamate del vostro agente voi siete il titolare; Kallina è la persona autorizzata, sulla base di un accordo di trattamento.
  • I fornitori. L’elenco di coloro che trattano i dati per il servizio è pubblico, sulla pagina dei sub-processori.
  • Le richieste delle persone. L’esportazione o la cancellazione dei dati legati a un numero di telefono si effettuano su vostra richiesta, tramite il nostro team.

Lista di controllo

  1. Avete stabilito chi è il titolare del trattamento e avete firmato il contratto di trattamento.
  2. Avete una base scritta per ogni tipo di chiamata.
  3. L’avviso viene riprodotto prima della registrazione, nella lingua della conversazione.
  4. La persona scopre di parlare con un agente AI.
  5. L’informativa sulla privacy contiene tutto ciò che richiede l’articolo 13.
  6. Lo сценарio accetta il rifiuto e l’opposizione, e i numeri vengono rimossi dagli elenchi.
  7. Nessuna decisione con effetto giuridico è presa solo dall’agente.
  8. Esistono termini di conservazione per tipi di dati.
  9. Avete verificato se vi serve una valutazione d’impatto.
  10. Sapete dove si trovano i fornitori e su quale meccanismo vengono trasferiti i dati.