Цей гід пояснює принципи, не замінює адвоката. Точні правила залежать від країни, у якій перебуває компанія та особи, яким телефонують; перевірте їх для вашого випадку.

Хто відповідає за дані

У дзвінку, який веде голосовий агент, є дві ролі:

  • оператор — це компанія, яка вирішує, навіщо і як здійснюються дзвінки, наприклад клініка або магазин (GDPR, art. 4 pct. 7);
  • уповноважена особа — це платформа, яка запускає агента від імені компанії (art. 4 pct. 8).

Відносини між ними оформлюються в договорі про обробку даних, із вмістом, якого вимагає стаття 28: предмет і тривалість, типи даних, інструкції, конфіденційність, безпека, субпроцесори, видалення наприкінці та право на перевірку.

Обов'язки щодо інформування та вибір правової підстави залишаються за оператором. Платформа допомагає йому, але не бере їх на себе.

Підстава для запису

Запис дзвінка є обробкою даних і потребує підстави зі статті 6, пункту 1. На практиці використовують:

  • виконання договору (lit. b), коли дзвінок стосується замовлення або послуги, запитаної особою;
  • юридичний обов’язок (lit. c), коли закон вимагає зберігання розмов;
  • законний інтерес (lit. f), наприклад, доказ підтвердження, після письмової оцінки, що показує, що права особи не мають переваги;
  • згода (lit. a), коли жодна інша правова підстава не підходить. Вона має бути можливою для відкликання так само легко, як і надання (art. 7 alin. 3).

Деякі юрисдикції, і поза межами Європейського Союзу, вимагають згоди всіх учасників на запис розмови, незалежно від правової підстави захисту даних. Якщо ви телефонуєте в кілька країн, перевіряйте кожну країну.

Повідомлення: що, коли, як

Стаття 13 вимагає, щоб особу було поінформовано в момент збирання даних. Для дзвінка це означає до початку запису, а не наприкінці і не в електронному листі, надісланому наступного дня.

Усне повідомлення не може містити всю політику конфіденційності. Використовується багаторівневе інформування:

  • на початку дзвінка: хто є оператором, що дзвінок записується і з якою метою, де знайти деталі;
  • у політиці конфіденційності: підстава, одержувачі, передання, строк зберігання, права та право подати скаргу (ст. 13 ч. 1 і 2).

Повідомлення має бути коротким, чітким і мовою розмови.

Скажіть, що говорить AI-агент

Регламент (ЄС) 2024/1689 про штучний інтелект передбачає, у статті 50 частині 1, що системи, створені для безпосередньої взаємодії з людьми, мають бути спроєктовані так, щоб люди дізнавалися, що взаємодіють із системою AI, якщо це не є очевидним. Графік застосування встановлено у статті 113; перевірте його на дату запуску.

Навіть там, де це не є обов’язковим, сказати від початку, що говорить віртуальний асистент, допомагає уникнути відчуття обману та скарг потім.

Вихідні дзвінки та право на заперечення

Коли агент телефонує для прямого маркетингу, особа може будь-коли заперечити, і дані більше не використовуються для цієї мети (ст. 21 ч. 2 і 3). Це право потрібно прямо довести до відома особи не пізніше першого повідомлення, окремо від іншої інформації (ст. 21 ч. 4).

Крім того, багато країн мають власні правила щодо небажаних комерційних дзвінків, іноді з обов’язковою попередньою згодою. Для агента це означає:

  • лише списки з особами, для яких у вас є підстава;
  • фразу в сценарії, яка приймає відмову без наполягання;
  • видалення номера з наступних кампаній після відмови.

Автоматичні рішення

Особа має право не бути предметом рішення, що ґрунтується виключно на автоматизованій обробці й породжує юридичні наслідки або подібним чином істотно на неї впливає (ст. 22). Агент може збирати інформацію для кредиту, поліса або працевлаштування; рішення ухвалює людина, а особа може вимагати її втручання.

Як довго ви зберігаєте записи

Дані зберігаються лише стільки, скільки потрібно для мети (art. 5 alin. 1 lit. e). Визначте письмово строк для кожного типу даних: аудіозапису, транскрипції, резюме, витягнутих полів. Не обов’язково, щоб він був однаковим; транскрипція може бути корисною довше, ніж звук.

Голос як біометричні дані

Голосовий запис не стає автоматично біометричними даними. Він стає ними тоді, коли технічно обробляється для унікальної ідентифікації або автентифікації особи (art. 4 pct. 14), і в такому разі підпадає під режим спеціальних категорій (art. 9). Якщо ви використовуєте голос для розпізнавання абонента, поводьтеся з ним саме так.

Оцінка впливу

Стаття 35 вимагає оцінки впливу перед обробками з високим ризиком, зокрема систематичної оцінки осіб на основі автоматизованої обробки, масової обробки спеціальних категорій даних або систематичного масового моніторингу території, доступної для публіки. Агент для клініки або для фінансових рішень є серйозним кандидатом.

Передавання, безпека, інциденти

  • Передавання: якщо постачальники платформи перебувають поза межами Європейської економічної зони, вимагайте механізм передавання, зазвичай стандартні договірні положення Європейської комісії (art. 46 alin. 2 lit. c).
  • Безпека: технічні та організаційні заходи, відповідні ризику (art. 32): обмежений доступ до записів, журнали, шифрування під час передавання.
  • Інциденти: оператор повідомляє наглядовий орган без невиправданих затримок і, якщо це можливо, не пізніше ніж через 72 години після виявлення порушення, за винятком випадку, коли воно не становить ризику для осіб (art. 33).

Як працює Kallina

  • Оголошення в телефонії. З 9 вересня 2026, на дзвінках, що проходять через телефонний сервер Kallina, оголошення про запис проголошується із сервера, до запуску запису, а не з тексту кожного агента. Так це не залежить від того, хто написав сценарій.
  • Доказ у дзвінку. Сервер зазначає для кожного дзвінка, що оголошення було проголошене і якою мовою.
  • Ролі. Для дзвінків вашого агента ви є оператором; Kallina є особою, уповноваженою на обробку, на підставі угоди про обробку.
  • Постачальники. Список тих, хто обробляє дані для сервісу, є публічним, на сторінці субпідрядників.
  • Запити осіб. Експорт або видалення даних, пов’язаних із номером телефону, виконуються на вашу вимогу, через нашу команду.

Список перевірки

  1. Ви визначили, хто є оператором, і маєте підписаний договір про обробку.
  2. Ви маєте письмову підставу для кожного типу дзвінка.
  3. Повідомлення чути перед записом, мовою розмови.
  4. Людина дізнається, що розмовляє з агентом AI.
  5. Політика конфіденційності містить усе, що вимагає стаття 13.
  6. Сценарій приймає відмову та заперечення, а номери вилучаються зі списків.
  7. Жодне рішення з юридичним ефектом не ухвалюється лише агентом.
  8. Є строки зберігання за типами даних.
  9. Ви перевірили, чи потрібна вам оцінка впливу.
  10. Ви знаєте, де є постачальники і за яким механізмом передаються дані.