Samtykke til telefonoptagelser skal opdeles efter formål
Datatilsynet har vurderet, at IDA Forsikrings optagelse og efterfølgende analyse af kundesamtaler kan ske inden for GDPR, men at det anvendte samtykke ikke var gyldigt. Den registrerede kunne kun acceptere et samlet samtykke til både dokumentations- og kvalitetsformål. Da frivillighed forudsætter et reelt valg for hvert formål, opfyldte samtykket ikke kravene i GDPR art. 4, nr. 11, og art. 7 og kunne derfor ikke udgøre lovligt behandlingsgrundlag.
IDA Forsikring havde valgt samtykke efter art. 6, stk. 1, litra a, og art. 9, stk. 2, litra a, for opkalderes oplysninger samt legitim interesse efter art. 6, stk. 1, litra f, for medarbejderoplysninger. Datatilsynet tog alene stilling til disse grundlag og bemærkede, at håndtering af telefonisk samtykke med flere formål ikke tidligere var adresseret. Fremadrettet forventes formålsopdeling og tydelig information ved indhentelse af samtykke.
AI-analyse og databehandlerforhold
Optagelser blev transskriberet af en databehandler ved brug af egenudviklet talegenkendelse. Datatilsynet fandt, at denne AI-baserede analyse kan ske inden for GDPR, forudsat passende behandlingsgrundlag, klare databehandleraftaler og tilstrækkelig sikkerhed.
Organisationer, der optager samtaler til flere formål, bør som minimum sikre følgende:
- Særskilte samtykker pr. formål og mulighed for fravalg.
- Klar, forståelig information før optagelse på telefonlinjen.
- Dokumentation af samtykkevalg og logning af ændringer.
- Opdaterede databehandleraftaler og sikkerhedsforanstaltninger.
Afgørelsen tydeliggør kravene til telefonisk samtykke, når flere formål er i spil, og markerer, at manglende formålsopdeling fremover vil kunne udløse kritik fra tilsynet.
