Cunoaștem cu toții situația: unul din angajații de la call-center-ul nostru, fie externalizat, fie intern, a vorbit urât cu un client sau i-a dat informații greșite. Acum, clientul dorește o copie a convorbirii pentru a-l ajuta la o plângere în instanță sau la Autoritatea Națională pentru Protecția Consumatorilor.
Drept urmare, clientul face o cerere de acces la date în baza Articolului 15 din GDPR. Conform acestui articol, operatorul trebuie să dea o copie completă a datelor cu caracter personal prelucrate, și cum vocea este considerată dată cu caracter personal, aceasta trebuie transmisă clientului așa cum este.
Ce se întâmplă dacă nu răspundem la o astfel de cerere?
Păi luăm amendă, așa cum a pățit-o Vodafone, și oricum suntem obligați apoi de ANSPDCP să dăm această copie. Dreptul la acces este unul din drepturile esențiale ale persoanelor vizate în cazul prelucrărilor de date cu caracter personal.
Și totuși, ce este de făcut?
Tot Articolul 15 vine și dă un răspuns: „Dreptul de a obține o copie menționată la alineatul (3) nu aduce atingere drepturilor și libertăților altora”. Pe scurt, nu poți da o copie a datelor cu caracter personal ale unei terțe persoane, cum ar fi de exemplu angajatul de la call center.
Datele cu caracter personal conform definiției de la Art 4 aliniat 1, înseamnă „orice informații privind o persoană fizică identificată sau identificabilă („persoana vizată”); o persoană fizică identificabilă este o persoană care poate fi identificată, direct sau indirect”. În acest caz, vocile angajaților de la call center reprezintă date cu caracter personal fiindcă aceste informații pot duce la o identificare indirectă a persoanei vizate folosindu-se sisteme de recunoaștere a vocii pe diverse sample-uri audio.
Faptul că vocea înregistrată constituie dată cu caracter personal este confirmată și de Orientările 02/2021 privind asistenții vocali virtuali emis de către Comitetul european pentru protecția datelor dar și de către opinia European Data Protection Supervisor legată de „Voice recording of Helpdesk calls” dar și de opinia autorității franceze de protecție a datelor din 11 Iunie 2020 referitoare la conceptul de date cu caracter personal, unde la exemple de date cu caracter personal sunt incluse „sound recordings of voices”.
Drept urmare, soluția este simplă: editezi înregistrarea audio pentru a elimina vocea și cuvintele rostite de către angajatul de la call-center, după care îi dai înregistrarea editată persoanei vizate.
Toate aceste lucruri se învață la cursul nostru de DPO acreditat de către Ministerul Muncii și Protecției Sociale (nu se mai poate spune „acreditat ANC”).
