Spela in säljsamtal: vad GDPR faktiskt kräver

Frågan 'får jag spela in säljsamtalet?' känns som en fråga, men är i själva verket två. Den ena handlar om huruvida själva inspelningen är tillåten. Den andra om vad du sedan får göra med den. De besvaras av olika lagar, och nästan all förvirring kring ämnet kommer av att de klumpas ihop. Det här är en översikt, inte juridisk rådgivning – men principerna är enklare än de ofta framställs.

Två lagar, inte en

Att det är lagligt att trycka på inspelningsknappen betyder inte att det är fritt fram att lagra och analysera det som spelats in. Den första frågan styrs av brottsbalken, den andra av dataskyddsförordningen GDPR. Du kan alltså ha full rätt att spela in ett samtal du deltar i, och ändå bryta mot GDPR i hur ditt företag hanterar filen efteråt. Håll isär de två så blir resten begripligt.

Att spela in: tillåtet om du själv deltar

Brottsbalkens regel om olovlig avlyssning (4 kap. 9 a §) träffar den som i hemlighet spelar in eller avlyssnar ett samtal som hen inte själv deltar i. Den avgörande punkten är just deltagandet: en part i samtalet som spelar in det begår inte olovlig avlyssning. Som säljare får du alltså spela in dina egna kundsamtal utan att bryta mot den paragrafen. Men notera att detta bara är straffrättsdelen – den säger ingenting om vad företaget får göra med inspelningen sedan.

Att lagra och analysera: då vaknar GDPR

En inspelning där en identifierbar person hörs är en personuppgift. Att spela in, lagra och AI-analysera den är behandling av personuppgifter, och då krävs en laglig grund enligt GDPR artikel 6 – vanligen antingen samtycke eller ett så kallat berättigat intresse. Dessutom gäller informationsplikten i artikel 13: du måste tala om för den inspelade vem som behandlar uppgifterna, i vilket syfte, på vilken grund och hur länge de sparas. Artikel 5 lägger på krav om dataminimering och lagringsbegränsning: spara inte mer och inte längre än vad syftet kräver.

Vad IMY faktiskt har sagt

Integritetsskyddsmyndigheten, IMY, granskade redan 2016 hur Telia och Tele2 spelade in kundtjänstsamtal. Slutsatsen är vägledande: inspelning för utbildning och kvalitetssäkring kan vila på berättigat intresse, men bolagen ålades att antingen sluta spela in eller informera kunderna bättre, eftersom informationen var otillräcklig. Med andra ord – grunden fanns, men transparensen brast. Det är den vanligaste fällan: företag löser den lagliga grunden men glömmer att tydligt berätta för motparten att samtalet spelas in.

Samtycke är ofta en svagare grund än man tror

Många utgår från att man bara behöver fråga 'är det okej att jag spelar in?' och få ett ja. IMY är tydlig med att samtycke måste vara ett verkligt fritt val för att gälla. I lägen med maktobalans – till exempel arbetsgivare mot anställd – är samtycke ofta inte ens en lämplig grund. Det blir särskilt känsligt när det är de egna säljarnas samtal som spelas in och poängsätts: en anställd som ombeds samtycka till att övervakas befinner sig sällan i ett fritt valläge. Då är ett dokumenterat berättigat intresse oftast en stabilare väg än ett påtvingat ja.

Den dolda risken: känsliga personuppgifter

Du styr inte vad kunden säger. Om någon under samtalet nämner sjukdom, facklig tillhörighet, religion eller politisk åsikt har inspelningen plötsligt fångat känsliga personuppgifter, som enligt artikel 9 som huvudregel är förbjudna att behandla utan särskilt undantag. Det är en svårförutsägbar risk just därför att den uppstår av en mening kunden råkar fälla, inte av något du planerat. En syntetisk övningsmotpart har inget privatliv att råka avslöja.

Sund praxis, förenlig med IMY

• Informera den andra parten om att samtalet spelas in, och varför – det var just transparensen IMY:s beslut handlade om.
• Dokumentera din lagliga grund, och gör en intresseavvägning om du lutar dig mot berättigat intresse.
• Begränsa lagringstiden och radera när syftet är uppfyllt.
• Minimera och begränsa åtkomsten – bara de som behöver inspelningarna ska komma åt dem.

Vägen runt hela frågan: öva mot en AI-persona

Det finns ett sätt att träna säljsamtal som aldrig hamnar i inspelningsfrågan: att öva mot en AI-motpart i stället för att spela in riktiga kunder. GDPR gäller bara personuppgifter om verkliga, identifierbara personer – enligt skäl 26 omfattas inte information som inte rör en identifierbar fysisk person. En övning mot en påhittad persona har ingen riktig kund i andra änden, så hela kedjan av laglig grund, information, lagringstid och känsliga uppgifter på kundsidan faller bort.

En ärlig brasklapp: det tar bort kundsidans inspelningsproblem, inte arbetsgivarens skyldigheter. Poängsätter du säljarens egen prestation är det fortfarande personuppgifter om en verklig anställd, och där gäller GDPR som vanligt. Men just den känsliga delen – att spela in och lagra det riktiga kundsamtalet – försvinner. Vill du undersöka er konkreta uppsättning bör ett dataskyddsombud eller en jurist titta på den; vill du bara träna samtalen utan att samla på dig riktiga inspelningar är den syntetiska vägen den enklaste.