skip to Main Content

A callcenterekben végzett hívásrögzítés adatvédelmi kérdései

Korábban mi is beszámoltunk róla, hogy a francia adatvédelmi hatóság (CNIL), mint főhatóság a Spartoo webáruházat 250 000 euróra bírságolta. A bírság a cég által végzett szabálytalan hívásrögzítés miatt került kiszabásra, mely kapcsán a szerző összefoglalja a haza callcenter üzemeltetés adatvédelmi kihívásait.

Miért érdekes a határozat a telefonos ügyfélszolgálatot üzemeltető adatkezelők számára?

A CNIL a vizsgált esetben úgy ítélte meg, hogy az ügyfélszolgálati munkatársak által fogadott telefonhívások teljes és állandó rögzítése túlzott, az összes hívás rögzítése nem indokolt. A hatóság azért jutott erre a következtetésre, mert a munkavállalók képzéséért felelős személy hetente és munkavállalónként csak egy felvételt hallgatott meg.

Ennek alapján valószínűsíthető, hogy a bírságolt vállalat a hangfelvétel rögzítése kapcsán adatkezelési célként kizárólag a munkavállalók ellenőrzését jelölte meg, nem határozott meg más adatkezelési célt, és az adatkezelés mértékét ehhez képest tartotta túlzónak a hatóság.

A vállalat nem állította be az ügyfelek és a potenciális ügyfelek adatainak megőrzési időszakát, nem törölte rendszeresen a személyes adatokat, és nem archiválta azokat. Az alkalmazottakat illetően az ügyfelekkel folytatott telefonhívások rögzítésére vonatkozó, a munkavállalók rendelkezésére bocsátott információk nem merítették ki a GDPR által elvárt tájékoztatás kritériumait. A munkavállalókat nem tájékoztatták az adatkezelés céljáról, jogalapjáról, az adatok címzettjeiről, az adatok megőrzési idejéről és jogaikról.

A fenti szempontokra figyelemmel az érintett adatkezelőknek érdemes átgondolni, milyen adatvédelmi kérdések merülhetnek fel egy hazai callcenter GDPR-nak és a magyar ágazati szabályozásnak való megfelelése kapcsán.

Milyen célból készülhet hangfelvétel?

A callcenterek esetében azonban a CNIL bírsághatározatból kiolvasható céloknál (a munkavállalók ellenőrzése, a felvétel minőségbiztosítási célú visszahallgatása) több funkciója van egy hangfelvételnek.

Amennyiben az Adatkezelő a fogyasztóvédelemről szóló 1997. évi CLV. törvény (a továbbiakban: Fgytv.) 17/B.§ (1) bekezdésében megjelölt közszolgáltatási tevékenységet folytató vállalkozás, valamint a külön törvényben meghatározott egyéb vállalkozás, ugyanezen szakasz (3) bekezdésében meghatározott kötelezettségét teljesíti a hívás rögzítésével.

Ha a fenti rendelkezés hatálya alá nem tartozó adatkezelők telefonos ügyfélszolgálatot is működtetnek, a Fgytv. 17/A.§ szerinti panaszkezelés körében a hangfelvétel a telefonon érkező panaszok esetén a jegyzőkönyv alapja, a hangfelvétel alapján bizonyíthatóak utólag az elhangzottak akár hatósági ellenőrzés, akár a fogyasztó és az adatkezelő közötti jogvita, jogi igény felmerülése esetén.

Mit vegyünk figyelembe, ha úgy döntünk, hogy a beszélgetéseket rögzíteni kívánjuk?

Határozzuk meg pontosan és egymástól elkülöníthetően a felvétellel beteljesítendő céljainkat. Ezek körültekintő meghatározása azért is fontos, mert – az érintetti körre is figyelemmel – hatást gyakorol mind a jogalapra, mind az adatkezelési időre, továbbá, mert a cél megszűnésével az adat csak akkor kezelhető tovább, ha fel tudunk mutatni más, jogszerű célt, amely elérése érdekében az adatra még szükségünk van.

Mit vegyünk figyelembe az adott célhoz köthető jogalap meghatározásánál az ügyfelek tekintetében?

Az Fgytv. 17/B.§ (1) bekezdésében meghatározott körbe tartozó adatkezelők tekintetében a beszélgetés rögzítése és tárolása tekintetében az adatkezelés jogalapja a GDPR 6. cikk (1) bekezdésének c) pontja – jogi kötelezettség teljesítése, mivel a törvény kifejezetten kötelezi ezeket az adatkezelőket a beszélgetés rögzítésére és a felvétel tárolására.

Ha nem tartozunk a fenti adatkezelők közé, már nem ilyen egyértelmű a helyzet. Ha felhívunk néhány telefonos ügyfélszolgálatot vagy végigolvasunk online elérhető, adatkezelési tájékoztatókat, azzal szembesülhetünk, hogy a megjelölt jogalapok nem egységesek.

Gyakran a GDPR 6. cikk (1) bekezdésének a) pontja szerinti hozzájárulással találkozhatunk jogalapként. Az Európai Adatvédelmi Testület (a továbbiakban: EDPB) az (EU) 2016/679 rendelet szerinti hozzájárulásról szóló 5/2020. iránymutatása szerint „…amennyiben az érintettnek nincs valódi választási lehetősége, hozzájárulásra kényszerítve érzi magát, vagy negatív következményei lesznek, ha nem adja hozzájárulását, akkor a hozzájárulás nem érvényes”. Ez megerősíti a GDPR Preambulumának (42) bekezdésében írottakat, miszerint a hozzájárulás megadása nem tekinthető önkéntesnek, ha az érintett nem rendelkezik valós vagy szabad választási lehetőséggel, és nem áll módjában a hozzájárulás anélküli megtagadása vagy visszavonása, hogy ez kárára válna.

Meg kell tehát vizsgálni, hogy az érintetti hozzájárulás valódi választást jelent-e akkor, amikor az adatkezelő azt kommunikálja az érintettek felé, hogy amennyiben az érintett a hangfelvétel rögzítését nem kívánja, az ügyintézés céljából felkeresheti valamely személyes ügyfélszolgálatot vagy postán nyújthat be panaszt. Az érintett ugyanis a gyors és azonnali ügyintézés reményében dönt a telefonos út mellett. A pandémiás helyzetben a telefonos ügyfélszolgálat szerepe különösen felértékelődött, és az érintett valódi választása még inkább megkérdőjeleződött, hiszen sokan nem szívesen mozdultak ki a postára panaszaszlevelet feladni, vagy egy személyes ügyfélszolgálatra ügyeiket intézni. Ráadásul ebben az időszakban az adatkezelők is az online, illetve a telefonos ügyintézésre ösztönözték az érintetteket.

A fentiek alapján a választás valódisága több, mint kétséges, álláspontom szerint vitathatatlanul kizárólag akkor áll fenn, ha pl. telefonja nyomógombjainak használatával az érintett választhat, hogy készüljön-e hangfelvétel a beszélgetésről vagy sem.

Ha a választási lehetőséget az adatkezelő biztosítja is, további problémát jelent, hogy mivel egy hangfelvétel kapcsán több adatkezelési cél is felmerül, az érintett hozzájárulását célonként kellene beszerezni, figyelemmel a GDPR Preambulum (43) bekezdésében írottakra, melyet az EDPB fent hivatkozott iránymutatása – „ha az adatkezelő több adatkezelési célt ötvöz, és nem kísérli meg azt, hogy minden egyes célhoz külön-külön hozzájárulást kérjen, hiányzik a szabadság” – is megerősít.

Figyelemmel ezekre a szempontokra, felmerül, hogy az adatkezelés jogalapjaként szerencsésebb a GDPR 6. cikk (1) bekezdésének f) pontját megjelölni, és érdekmérlegelési teszttel alátámasztani az adatkezelő jogos érdekét.

Ennél a jogalapnál viszont kérdésként merül fel a Polgári törvénykönyv hangfelvétel készítésére vonatkozó rendelkezéseivel való viszony, vagyis, hogy elfogadható-e Ptk. által elvárt hozzájárulásként az, hogy az érintett a hangfelvételre vonatkozó tájékoztatást követően nem bontja a vonalat, hanem megvárja az ügyintéző kapcsolását, hiszen a Ptk. rendelkezései értelmében a képmás vagy hangfelvétel elkészítéséhez és felhasználásához az érintett személy hozzájárulása szükséges. Ugyanakkor a Nemzeti Adatvédelmi és Információszabadság Hatóság (a továbbiakban: NAIH) a NAIH/2019/2528 számú, konzultációs beadványra adott válaszában a képmás tekintetében megjelölte a hozzájárulás mellett a jogos érdeket is adatkezelési jogalapként, következésképp ennek a jogalapnak az alkalmazhatósága a hangfelvétel tekintetében sem elvetendő.

Hogyan járjunk el, ha ennyi az ellentmondás?

Gyakorló adatvédelmi szakemberként mind tudjuk, hogy sajnos időről időre szembesülünk ezzel a kérdéssel. Az elszámoltathatóság elvére tekintettel a legfontosabb, hogy annak a jogalapnak a megjelölését, amelyet kiválasztottunk, a tervezéskor felhozott, valós érvekkel alá tudjuk támasztani, hozzájárulás esetén különösen annak valódiságát, jogos érdek esetén az érdekmérlegelési teszt megállapításait.

Milyen jogalapok jönnek számításba a munkavállalók kapcsán?

A jogalap kérdése a munkavállalókkal kapcsolatos adatkezelés tekintetében is felmerül. Az Fgytv. 17/B. § (1) bekezdésében meghatározott körbe tartozó adatkezelők tekintetében a jogi kötelezettség a beszélgetés rögzítése és tárolása tekintetében merül fel, és nem alkalmazható a hangfelvételhez fűződő egyéb, a kötelezettséghez nem tartozó célokra.

A NAIH hangfelvétel készítéséről, felhasználásáról szóló tájékoztatója a GDPR előtt született, így számos megállapítása már nem aktuális, de mindenképpen figyelemre méltó, hogy a hatóság szerint „a szolgáltatást nyújtó cég munkatársa a telefonos ügyfélszolgálat során a cég képviseletében, annak üzleti tevékenységével kapcsolatban jár el. Annak ellenére, hogy ennek során a cég alkalmazottja is szükségszerűen a saját hangját használja, a magánszféra védelmének aspektusa nem merül fel …”.

Ennek megfelelően a jogi kötelezettséggel nem terhelt munkáltató munkavállalója tekintetében a munkavállaó hangjának kezelése a GDPR 6. cikk (1) bekezdésének b) pontja alapján a munkaszerződés teljesítéséhez szükséges, hiszen enélkül munkaköri feladatát nem tudná ellátni. Ezt támasztja alá a 29-es Munkacsoport a jogos érdek fogalmáról szóló WP217 számú véleménye, melyben támpontokat ad a szerződés és a jogos érdek elhatárolását illetően, felhíja a figyelmet, hogy munkavállalói adatkezelések kapcsán a jogalapot a munkakör jellege is befolyásolhatja.

A minőségbiztosítási, ellenőrzési célból történő rögzítés, visszahallgatás tekintetében azonban a szerződéses jogalap már nem alkalmazható.

Az EDBP 2/2019. számú iránymutatásában, amely a személyes adatoknak az általános adatvédelmi rendelet 6. cikke (1) bekezdésének b) pontja szerinti kezeléséről az érintettek részére nyújtott online szolgáltatások összefüggésében címmel jelent meg, és ugyan az online szolgáltatásokról szól, de rámutat a szerződések kapcsán arra, hogy az adatkezelésnek objektíve szükségesnek kell lennie a szerződés teljesítéséhez.

Ezen adatkezelési célok tekintetében álláspontom szerint már megfelelőbb jogalap a jogos érdek.

Mire figyeljünk ezeknél a munkavállalói adatkezeléseknél?

Az érdekmérlegelési teszt ilyenkor is alapvetés, és amennyiben munkahelyi teljesítményen alapuló profilozás vagy a felvételek elemzésével a munkavállaló munkájának megfigyelése zajlik, melynek során a munkavállaló személyes adatainak nagyszámú és módszeres feldolgozása, illetve értékelése történik, adatvédelmi hatásvizsgálat is kötelező, mivel ezek az adatkezelés típusok szerepelnek a NAIH kötelező hatásvizsgálati listáján.

Mind az érdekmérlegelési tesztben, mind pedig a hatásvizsgálatban szükséges többek között annak áttekintése, hogy a munkavállalók tekintetében milyen gyakoriságú monitorozás indokolt a cél elérése érdekében, mely során meg kell vizsgálni minden hatást, amelyet a munkavállalóra gyakorol a hangfelvételek visszahallgatása, ideértve a kézzelfogható (pl. premizálás) és közérzetükre (a „teljesíteni kell” érzés és a nyomás) tett hatásokat is.

Mennyi ideig őrizzük meg a felvételeket?

A kötelező adatkezelésként hangfelvételt készítők tekintetében ismét egyszerű a helyzet, a fogyasztóvédelmi előírásoknak megfelelően 5 évig kötelesek tárolni a hangfelvételt.

A fogyasztóvédelmi célokon túl megjelölt más adatkezelései céljaik tekintetében azonban (amennyiben pl. minőségbiztosítási célból visszahallgatást végeznek) ezek az adatkezelők is kötelesek az adott célhoz tartozó adatkezelési időt meghatározni. A többi adatkezelő pedig valamennyi cél tekintetében meg kell, hogy meghatározza azt.

A munkavállalók tekintetében – figyelemmel a CNIL által megállapítottakra is – javasolt egy szűk időkeret meghatározása, amelyen belül a munkahelyi teljesítmény vizsgálata vagy minőségbiztosítás céljából a felvételek visszahallgathatóak. Ha pl. havonta értékelünk, elegendő ebből a célból egy hónapot megjelölni adatkezelési időként azzal, hogy mivel más jogszerű cél még fenn fog állni, így a felvételek tárolására továbbra is sor kerül, de ebből a célból már nem megengedett a hozzáférés. Ezt javasolt a szervezési intézkedéseken túl technikailag is biztosítani.

Ha az adatkezelés nem kötelező, és az adatkezelő a bizonyíthatóságot, illetve az igényérvényesítést jelöli meg az adatkezelő az adatkezelés céljaként, a logikus választás a 3 vagy a szintén 5 éves adatkezelési idő. A 3 év a fogyasztóvédelmi panaszok benyújtási határidejéhez, az 5 év a jogi igények érvényesítése kapcsán az általános elévülési időhöz igazodik. Megjegyezzük, hogy a felvétel alapján készített jegyzőkönyvet viszont ezek az adatkezelők is 5 évig kötelesek tárolni a Fgytv. 17/A. § (7) bekezdése alapján, tehát a felvételek törlése esetén is megmarad az abból jegyzőkönyvbe foglalt tartalom.

Hogyan tájékoztassunk jogszerűen és hatékonyan?

A bírsághatározat ugyan nem érintette a hívó ügyfelek tájékoztatását, de említésre méltó, hogy a telefonbeszélgetés megkezdése előtt elhangzó adatkezelési tájékoztató tartalmának meghatározása komoly kihívás. Ennek oka, hogy ezen a területen az ügyfél gyors ügyintézést és kevés várakozást igényel, az adatkezelő pedig az igényeknek megfelelően a lehető legjobb ügyfélélményt kívánja nyújtani a hívó fél részére, az érdemi ügyintézés előtti idő kapcsán így a szó szoros értelmében minden másodperc számít.

Emiatt általános gyakorlatnak mondható, hogy az adatkezelők egy elsődleges és egy másodlagos tájékoztatást nyújtanak, melyből az elsődleges a beszélgetés előtt hangzik el, és az adatkezelésre vonatkozó kiemelt információkat tartalmazza, és azt, hogy a részletes (másodlagos) tájékoztató melyik menüpontban érhető el. Az adatkezelésre vonatkozó, a GDPR 13. cikkének (1)-(2) szerinti részletes tájékoztatót az érintettek ennek a menüpontnak a kiválasztásával hallgathatják meg.

A munkavállalók vonatkozásában nem áll fenn az időhiány problémája, így részükre az adatkezelő a fenti nehézségek nélkül, a helyben szokásos módon nyújthat tájékoztatást. Lényeges azonban, hogy a munkáltató a munkavállalókat érintő adatkezeléseket tartalmazó tájékoztató nyújtásán túl kiemelten foglalkozzon a csak bizonyos munkaköröket érintő, az érintettekre kiemelt hatást gyakorló adatkezelésekkel.

A munkavállaló számára érthető módon mindenképpen jelezni kell, hogy meddig és mire számíthat a felvételek alapján, milyen ügyekben és meddig „veheti elő” a hanganyagot a munkáltató, illetve kihez juthat el az adatkezelő szervezetén kívül.

A lefolytatott beszélgetésen túl mi a találkozási pont az ügyfél és a munkavállalónk között?

A fogyasztók hangfelvétel kikéréséhez, visszahallgatásához való joga a munkavállalókat is érinti, a Fgytv. 17/B. § (3a) bekezdése alapján ugyanis a fogyasztónak joga van a felvételt meghallgatni vagy kikérni.

Kérdés, hogy hogy viszonyul ez a rendelkezés a GDPR 15. cikkének (4) bekezdésében foglaltakhoz, miszerint a hozzáférési jog gyakorlása nem sértheti mások jogait és szabadságait. A NAIH hangfelvételekkel kapcsolatos, fent hivatkozott tájékoztatója a hozzáférési jog keretein belül kezeli ezeket a visszahallgatásra szánt hanganyagokat, illetve másolatokat: „a tisztességes adatkezelés elvéből kifolyólag az a kívánatos, hogy mindkét fél azonos információkkal rendelkezzen az adott adatkezelést illetve hangfelvételt illetően”, ugyanakkor kimondja azt, is, hogy „a magánszféra védelmének aspektusa nem merül fel, az Infotv. (ahogy említettük, a tájékoztató a GDPR hatályba lépése előtt készült) szabályai e vonatkozásban nem alkalmazandóak.”

Érdekes adalék, hogy a jogalkotó a felvétel kiadására vonatkozó rendelkezést a kötelezően készült hangfelvételekre vonatkozó §-ban helyezte el, de a NAIH az idézett megállapításait általánosságban tette, és rámutatott arra is, hogy a vonal másik végén lévő személyek is könnyűszerrel rögzíthetik a teljes beszélgetést.

Mi következik ebből?

A fentiekből álláspontom szerint az következik, hogy a teljes hangfelvételt kell az érintett (fogyasztó/panaszos) rendelkezésére bocsátani. A hangfelvételen szereplő munkavállalói hang helyzete ebben az esetben leginkább a kapcsolattartói adatokéhoz hasonlítható. Ha ezt az álláspontot nem fogadjuk el, és nem tartozunk a Fgytv. 17/B. § (3a) bekezdésének hatálya alá, úgy tudunk eljárni, mint egy kamerafelvételnél, vagyis kizárólag az ügyfél hangját adjuk ki részére.

Mit tehetünk a munkavállalókért, ha vágatlan felvételt adunk ki?

A felvétel kiadásakor fel kell hívnunk az ügyfél figyelmét, hogy a célhoz kötött adatkezelés kötelezettsége őt is terheli, tehát a felvételt pl. gondoljunk csak az internetre jó viccként, de gyakorlatilag lejáratási céllal feltöltött felvételekre.

A NAIH nem tért ki rá, de a callcenteres munkatárs nevének megismerése véleményem szerint nem szükséges ahhoz, hogy pl. egy panaszos a felvétel tartalmán alapuló döntést hozzon, továbbá a munkavállaló a neve alapján közösségi médiában megkereshető az elégedetlen ügyfél által, így védelmükben a név technikai eszközzel történő torzítása nem sérti az érintettek jogait, ugyanakkor a munkavállaló érdekét szolgálja.

A fentieket összegezve azért is fontos átláthatóan és jogszerűen eljárni, mert a telefonos ügyfélszolgálat az egyik olyan fórum, ahol nagyszámú ügyfél találkozik velünk, és ennek működtetése alapján fog következtetéseket levonni rólunk, tehát a megfelelően kialakított adatkezeléssel megítélésünkhöz tudunk hozzátenni.

Szerző:
Dr. Csekő Katalin
adatvédelmi tisztviselő, MADAT főtitkár

Back To Top