Ten przewodnik wyjaśnia zasady, nie zastępuje prawnika. Dokładne reguły zależą od kraju, w którym znajduje się firma i osoby dzwonione; sprawdźcie je dla waszego przypadku.

Kto odpowiada za dane

W rozmowie prowadzonej przez agenta głosowego są dwie role:

  • administrator to firma, która decyduje, po co i jak są wykonywane połączenia, na przykład klinika lub sklep (RODO, art. 4 pkt 7);
  • podmiot przetwarzający to platforma, która uruchamia agenta w imieniu firmy (art. 4 pkt 8).

Relacja między nimi jest opisana w umowie powierzenia przetwarzania danych, z treścią wymaganą w artykule 28: przedmiot i czas trwania, rodzaje danych, instrukcje, poufność, bezpieczeństwo, podprocesorzy, usunięcie po zakończeniu i prawo do kontroli.

Obowiązki informacyjne i wybór podstawy prawnej pozostają po stronie administratora. Platforma pomaga, ale ich nie przejmuje.

Podstawa do nagrywania

Nagrywanie połączenia jest przetwarzaniem danych i wymaga podstawy z artykułu 6 ustęp 1. W praktyce stosuje się:

  • wykonanie umowy (lit. b), gdy połączenie dotyczy zamówienia lub usługi żądanej przez osobę;
  • obowiązek prawny (lit. c), gdy ustawa nakazuje przechowywanie rozmów;
  • uzasadniony interes (lit. f), na przykład dowód potwierdzenia, po pisemnej ocenie wykazującej, że prawa osoby nie mają pierwszeństwa;
  • zgoda (lit. a), gdy żaden inny podstawa prawna nie pasuje. Musi dać się wycofać tak łatwo, jak została udzielona (art. 7 ust. 3).

Niektóre jurysdykcje, także poza Unią Europejską, wymagają zgody wszystkich uczestniczących osób na nagrywanie rozmowy, niezależnie od podstawy ochrony danych. Jeśli dzwonisz do wielu krajów, sprawdź każdy kraj.

Informacja: co, kiedy, jak

Artykuł 13 wymaga, aby osoba została poinformowana w momencie zbierania danych. W przypadku połączenia oznacza to przed rozpoczęciem nagrywania, nie na końcu i nie w e-mailu wysłanym następnego dnia.

Informacja wypowiedziana na głos nie może zawierać całej polityki prywatności. Stosuje się informowanie warstwowe:

  • na początku połączenia: kto jest operatorem, że połączenie jest nagrywane i w jakim celu, gdzie znajdują się szczegóły;
  • w polityce prywatności: podstawa prawna, odbiorcy, transfery, okres przechowywania, prawa oraz prawo do złożenia skargi (art. 13 ust. 1 i 2).

Informacja musi być krótka, jasna i w języku rozmowy.

Powiedz, że mówi agent AI

Rozporządzenie (UE) 2024/1689 w sprawie sztucznej inteligencji przewiduje w artykule 50 ust. 1, że systemy przeznaczone do bezpośredniej interakcji z ludźmi muszą być zaprojektowane tak, aby ludzie wiedzieli, że wchodzą w interakcję z systemem AI, chyba że jest to oczywiste. Harmonogram stosowania określa artykuł 113; sprawdź go pod kątem daty uruchomienia.

Nawet tam, gdzie nie jest to obowiązkowe, powiedzenie od początku, że mówi asystent wirtualny, pozwala uniknąć wrażenia oszustwa i późniejszych skarg.

Połączenia wychodzące i prawo sprzeciwu

Gdy agent dzwoni w celach marketingu bezpośredniego, osoba może w dowolnym momencie się sprzeciwić, a dane nie są już wykorzystywane w tym celu (art. 21 ust. 2 i 3). Prawo to musi zostać wyraźnie zakomunikowane osobie najpóźniej przy pierwszej komunikacji, oddzielnie od innych informacji (art. 21 ust. 4).

Ponadto wiele krajów ma własne zasady dotyczące niezamówionych połączeń handlowych, czasem z obowiązkową uprzednią zgodą. Dla agenta oznacza to:

  • listy tylko z osobami, dla których masz podstawę;
  • zdanie w scenariuszu, które przyjmuje odmowę bez nalegania;
  • usunięcie numeru z kolejnych kampanii po odmowie.

Decyzje automatyczne

Osoba ma prawo nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub w podobny sposób znacząco ją dotyczy (art. 22). Agent może zbierać informacje do kredytu, polisy lub zatrudnienia; decyzję podejmuje człowiek, a osoba może zażądać jego interwencji.

Jak długo przechowujecie nagrania

Dane przechowuje się tylko tak długo, jak jest to konieczne do celu (art. 5 ust. 1 lit. e). Ustalcie pisemnie termin dla każdego rodzaju danych: nagrania audio, transkrypcji, podsumowania, wyodrębnionych pól. Nie musi być taki sam; transkrypcja może być przydatna dłużej niż dźwięk.

Głos jako dane biometryczne

Nagranie głosu nie staje się automatycznie danymi biometrycznymi. Staje się nimi wtedy, gdy jest technicznie przetwarzane w celu jednoznacznej identyfikacji lub uwierzytelnienia osoby (art. 4 pkt 14), w którym to przypadku podlega reżimowi szczególnych kategorii (art. 9). Jeśli używacie głosu do rozpoznania osoby dzwoniącej, traktujcie go w ten sposób.

Ocena skutków

Artykuł 35 wymaga oceny skutków przed przetwarzaniem wysokiego ryzyka, w szczególności systematycznej oceny osób na podstawie zautomatyzowanego przetwarzania, przetwarzania na dużą skalę szczególnych kategorii danych lub systematycznego monitorowania na dużą skalę obszaru dostępnego publicznie. Agent dla kliniki lub dla decyzji finansowych jest poważnym kandydatem.

Transfery, bezpieczeństwo, incydenty

  • Transfery: jeśli dostawcy platformy znajdują się poza Europejskim Obszarem Gospodarczym, poproście o mechanizm transferu, zwykle standardowe klauzule umowne Komisji Europejskiej (art. 46 ust. 2 lit. c).
  • Bezpieczeństwo: odpowiednie do ryzyka środki techniczne i organizacyjne (art. 32): ograniczony dostęp do nagrań, logi, szyfrowanie w tranzycie.
  • Incydenty: operator bez zbędnej zwłoki, a jeżeli to możliwe, nie później niż w ciągu 72 godzin od stwierdzenia naruszenia, zawiadamia organ nadzorczy, z wyjątkiem przypadku, gdy naruszenie nie stanowi ryzyka dla osób (art. 33).

Jak działa Kallina

  • Ogłoszenie w telefonii. Od 9 września 2026, w połączeniach przechodzących przez serwer telefonii Kallina, ogłoszenie o nagrywaniu jest wypowiadane z serwera, przed rozpoczęciem nagrywania, a nie z tekstu każdego agenta. Dzięki temu nie zależy od tego, kto napisał scenariusz.
  • Dowód w połączeniu. Serwer odnotowuje przy każdym połączeniu, że ogłoszenie zostało wypowiedziane i w jakim języku.
  • Role. W przypadku połączeń waszego agenta jesteście operatorem; Kallina jest osobą przetwarzającą, na podstawie umowy powierzenia przetwarzania.
  • Dostawcy. Lista podmiotów przetwarzających dane dla usługi jest publiczna, na stronie podprocesorów.
  • Żądania osób. Eksport lub usunięcie danych związanych z numerem telefonu odbywają się na wasze żądanie, przez nasz zespół.

Lista kontrolna

  1. Ustaliliście, kto jest administratorem, i macie podpisaną umowę powierzenia przetwarzania.
  2. Macie pisemną podstawę dla każdego typu połączenia.
  3. Komunikat jest odtwarzany przed nagraniem, w języku rozmowy.
  4. Osoba dowiaduje się, że rozmawia z agentem AI.
  5. Polityka prywatności zawiera wszystko, czego wymaga artykuł 13.
  6. Scenariusz uwzględnia odmowę i sprzeciw, a numery są usuwane z list.
  7. Żadna decyzja wywołująca skutki prawne nie jest podejmowana wyłącznie przez agenta.
  8. Istnieją okresy przechowywania dla typów danych.
  9. Sprawdziliście, czy potrzebujecie oceny skutków?
  10. Wiecie, gdzie znajdują się dostawcy i na podstawie jakiego mechanizmu przekazywane są dane.