GDPR e registrazione delle chiamate: regole, conservazione e checklist DSAR

Dal team IdentityCall AI | Conformità | 7 min di lettura

Ai sensi del GDPR, una registrazione di chiamata che contiene dati personali è essa stessa un dato personale, il che significa che rientra nelle regole del regolamento su base giuridica, trasparenza, conservazione e diritti individuali. Questa è una panoramica pratica di ciò che tutto questo comporta per le operazioni sulle chiamate. Si tratta di informazioni generali, non di consulenza legale; confermi i suoi obblighi con un consulente qualificato.

Le registrazioni sono dati personali

Se una registrazione può essere collegata a una persona identificabile, e la maggior parte lo può, è un dato personale ai sensi del GDPR. Ciò comporta una serie di obblighi che una mentalità del tipo “noi registriamo e basta le chiamate” tende a trascurare.

Disponga di una base giuridica

Le serve una base giuridica per registrare ed elaborare la chiamata. Le basi comuni includono il consenso e il legittimo interesse, ma quale si applichi dipende dalla sua finalità e dal contesto, e ciascuna comporta delle condizioni. Affidarsi alla base sbagliata è un errore frequente.

Sia trasparente

Le persone devono sapere che la loro chiamata viene registrata e perché. In pratica questo significa un chiaro avviso obbligatorio all’inizio della chiamata, e la capacità di dimostrare che è stato fornito. Rilevare l’avviso obbligatorio su ogni chiamata, invece di campionarne alcune, trasforma la trasparenza da politica a prova.

Minimizzi e conservi in modo appropriato

Qui entrano in gioco due principi:

Minimizzazione dei dati. Conservi solo ciò che le serve. L’oscuramento dei dati di dettagli sensibili come i numeri di carta riduce l’esposizione.
Limitazione della conservazione. Conservi le registrazioni solo per il tempo necessario. Una conservazione automatica che elimina le registrazioni secondo una pianificazione è molto più sicura che affidarsi alla memoria di qualcuno.

Sia pronto per le richieste degli interessati

Gli individui possono presentare una richiesta di accesso dell’interessato per i dati personali che lei detiene sul loro conto e, in alcuni casi, richiederne la cancellazione. Per rispondere entro i tempi richiesti, deve trovare rapidamente ogni chiamata associata a una persona. Ciò dipende da una buona ricerca, da un’indicizzazione consapevole del parlante e da una chiara traccia di audit.

Individui la sua base giuridica per la registrazione e l’elaborazione.
Comunichi la registrazione all’inizio di ogni chiamata, e rilevi che l’avviso obbligatorio sia stato fornito.
Oscuri i dati sensibili dove possibile.
Imposti regole di conservazione che eliminino automaticamente le registrazioni alla loro scadenza.
Limiti l’accesso e registri le azioni sensibili in una traccia di audit.
Sia in grado di cercare e recuperare tutte le chiamate di un individuo per gestire i DSAR.
Documenti le sue decisioni così da poter dimostrare la conformità.

Come aiutano gli strumenti

La conformità è in ultima analisi una sua responsabilità, ma gli strumenti riducono l’onere manuale. IdentityCall supporta il rilevamento dell’avviso obbligatorio, la conservazione configurabile, i controlli di accesso, una traccia di audit e una ricerca che rende gestibili i DSAR. Consulti la pagina conformità.

Punti chiave

Le registrazioni delle chiamate con dati personali rientrano nel GDPR.
Le servono una base giuridica, trasparenza, minimizzazione e limiti di conservazione.
Rilevare gli avvisi obbligatori e automatizzare la conservazione trasforma la politica in prova.
La ricerca e una traccia di audit rendono gestibili i DSAR.
Queste sono informazioni generali, non consulenza legale.