Sök på ”får man spela in kundsamtal” och ni får tio svar från telefonileverantörer. Alla säger ungefär samma sak, alla säger det korrekt, och ingen av dem svarar på den fråga ni faktiskt har.
För frågan är sällan om ni får spela in. Ni spelar redan in – de flesta svenska kontaktcenter har gjort det i åratal, med en rättslig grund som någon dokumenterade en gång och som sedan har fått ligga. Frågan som kommer upp först när någon föreslår automatisk kvalitetsuppföljning är en annan: får ni låta ett AI-system läsa och bedöma de inspelningarna?
Vi är inte era jurister. Det som följer är hur vi har resonerat när vi byggt vår egen plattform och vilka myndighetskällor vi lutar oss mot – inte juridisk rådgivning för er verksamhet. Det ni behöver ta med er är i första hand strukturen: att analysen är en egen behandling med ett eget syfte, och att den behöver behandlas som en sådan.
Analysen är en behandling, inte en detalj i inspelningen
En samtalsinspelning är personuppgiftsbehandling. Det kräver en rättslig grund och ett uttalat, specifikt ändamål – och ändamålet är inte ”inspelning”, utan det ni ska använda inspelningen till.
Det som ofta hoppas över är att AI-analys av samma inspelning är en annan behandling med ett annat ändamål. Ni spelade kanske in för att kunna reda ut vad som sagts vid en tvist. Att sedan låta en modell poängsätta varje samtal mot en kvalitetsmall är inte samma sak – det är systematisk uppföljning av hur medarbetare utför sitt arbete. Ändamålsbegränsningen i GDPR gäller: en ny användning av gamla uppgifter behöver prövas som en ny användning, inte antas rymmas i den gamla.
Det praktiska svaret är inte komplicerat. Skriv ner analysen som ett eget ändamål i registerförteckningen, med egen rättslig grund, egen bedömning och egen lagringstid. Då finns svaret färdigt när frågan kommer, i stället för att behöva konstrueras i efterhand under tidspress.
Berättigat intresse är oftast rätt grund – samtycke oftast fel
Den vanligaste missuppfattningen är att samtycke krävs. Det är en missuppfattning som Integritetsskyddsmyndigheten själv har bemött: IMY har publicerat att det är en vanlig föreställning att samtycke alltid behövs, och att samtycke i praktiken ofta varken är lämpligt eller möjligt att använda.
Skälet är strukturellt. Samtycke måste vara frivilligt, och i en anställningsrelation är det sällan det. En medarbetare som ombeds samtycka till att bli inspelad och bedömd av sin arbetsgivare kan i praktiken inte säga nej utan konsekvenser, och ett samtycke som inte kan återkallas fritt är inget giltigt samtycke. Bygger ni analysen på medarbetarnas samtycke bygger ni den på en grund som kan falla, och som dessutom kan återkallas individuellt – vilket ger er ett kvalitetsunderlag med hål i.
Berättigat intresse är i regel den mer träffande grunden. Då krävs en dokumenterad intresseavvägning: ändamålet ska vara verkligt, behandlingen nödvändig för att nå det, och de registrerades intressen ska väga lättare. Just den bedömningen är där ni gör arbetet – och där ni behöver kunna motivera varför hundra procent av samtalen analyseras och inte ett urval. Ett argument vi har intresse av att ni tror på, eftersom vi säljer full täckning: att full täckning är den lättare vägen genom avvägningen. Halva det håller: ett stickprov betyder att någon väljer vems samtal som granskas, och det valet ska kunna förklaras – varför fem gånger den här medarbetaren i mars och ingen gång den där? Andra halvan går åt motsatt håll: full täckning är mer behandling av fler personuppgifter, och nödvändighetskravet blir tyngre ju mer ni behandlar. Ni får argumentera för det led ni belastar.
Att kunderna informeras är en separat skyldighet som gäller oavsett grund. Detsamma för medarbetarna – och där är informationen om att bedömningen är automatiserad, hur den fungerar och hur den kan ifrågasättas inte en artighet utan en del av vad transparenskravet innebär.
IMY har prövat det här förut
Det finns svensk praxis att luta sig mot. IMY, då Datainspektionen, granskade 2016 Tele2:s inspelning av kundtjänstsamtal – ett ärende som handlade om just den situation de flesta svenska kontaktcenter befinner sig i.
Poängen med att känna till beslutet är inte att det ger er ett färdigt svar. Det gör det inte; er verksamhet, era ändamål och era volymer är era egna. Poängen är att inspelning av kundtjänstsamtal inte är oprövad mark i Sverige. Det finns en myndighetsbedömning att förhålla sig till, och den är rimligen den första källan ert dataskyddsombud går till – före leverantörens produktblad.
Till detta kommer AI-förordningen, som Sverige tillämpar på EU:s tidtabell utan den EES-fördröjning som gör att exempelvis Norge ligger efter. En leverantör som argumenterar utifrån en senare nationell tidsplan argumenterar inte om Sverige.
Lagringsminimering: ändamålet sätter klockan
Om ändamålet är kvalitetsuppföljning behöver ni sällan behålla ljudet i åratal. Uppföljningen sker inom veckor. Coachningen som följer sker inom veckor. Ett ljudspår som ligger kvar i tre år tjänar inte det ändamålet – det ökar bara mängden personuppgifter ni måste skydda och redogöra för.
Det som förvirrar är att många verksamheter faktiskt har långa lagringstider, och de är fullt legitima. Men de kommer från ett annat ändamål med en annan klocka: MiFID II-kraven på finansiella verksamheter är inte ett kvalitetsändamål och har ingenting med er kvalitetsmall att göra. Att blanda ihop de två ger antingen för lång lagring för kvalitetssyftet eller för kort för regelkravet.
Vi har dragit den slutsatsen tekniskt i vår egen produkt: ljudet bearbetas och kasseras i stället för att samlas på hög, personuppgifter maskeras i transkriberingen innan den lagras, och bedömningen lever vidare utan att inspelningen behöver göra det. Det är inte den enda rimliga modellen, men den gör lagringsminimering till en egenskap i systemet snarare än en rutin någon ska komma ihåg.
Steget svenska köpare oftast missar: MBL 11 §
Det här är den del som oftast kommer på tal för sent, och det är ett svenskt särdrag som inte har någon motsvarighet i produktdokumentationen ni läser.
Där kollektivavtal finns har arbetsgivaren enligt medbestämmandelagen 11 § en primär förhandlingsskyldighet inför beslut om viktigare förändringar av verksamheten eller av arbets- och anställningsförhållanden för arbetstagare. Att införa systematisk automatisk bedömning av alla samtal en medarbetare tar är rimligen ett sådant beslut. Villkoret ska sägas rakt ut, eftersom det avgör: skyldigheten enligt 11 § förutsätter att ni är bundna av kollektivavtal. Är ni inte det ser bilden annorlunda ut, och då finns ändå informationsfrågan kvar.
Det finns ett operativt skäl att ta det tidigt utöver det formella. Ett kvalitetssystem som fackligt uppfattas som övervakning införd bakom ryggen på någon får aldrig det förtroende det behöver för att fungera. Vi har sett det motsatta gå bra flera gånger: när medarbetarna tidigt får se att varje poäng pekar på ögonblicket bakom sig och att de kan bestrida en bedömning, byter samtalet karaktär – från kontroll till något som faktiskt hjälper dem.
Fyra frågor att ställa en leverantör
- Var behandlas och lagras ljudet, transkriberingen och bedömningen – och lämnar något av det EU?
- Kan lagringstiden sättas separat för ljud, transkribering och poäng?
- Maskeras personuppgifter i transkriberingen, och vad händer om maskeringen misslyckas?
- Används våra samtal för att träna leverantörens modeller, och kan det stå i avtalet?
Fråga fyra ska besvaras i personuppgiftsbiträdesavtalet, inte i ett säljmöte. Får ni ett muntligt ja utan skriftlig motsvarighet har ni fått ett löfte, inte ett villkor.
”Ni argumenterar för en juridik som råkar passa er produkt”
Invändningen är befogad. Vi säljer ett system som förutsätter att svaret blir ja, i den bredaste varianten som finns – varje samtal, inte ett urval. En leverantör som ritar upp den rättsliga vägen dit är inget neutralt vittne, och vi utger oss inte för att vara det.
Det ärligaste vi kan göra är att peka på var vår egen modell kostar er något. Att kassera ljudet efter bearbetning är god lagringsminimering, och det är också det som gör att en medarbetare som bestrider en bedömning ett halvår senare inte kan gå tillbaka till inspelningen och höra om modellen uppfattade rätt. Den avvägningen har vi tagit åt er som standard, och den går åt det håll som är bekvämt för oss: mindre data att skydda, ett bevisled mindre. Vi kan säga vilket vi själva väljer; vi kan inte säga att valet är gratis.
Det vi kan säga med säkerhet är vilken ordning som fungerar. Rättslig grund och ändamål först, sedan lagringstider, sedan den fackliga processen där kollektivavtal finns, och först därefter valet av leverantör. Team som gör det i den ordningen kommer i drift snabbare än de som börjar med en pilot och upptäcker frågorna i månad tre. Det gäller för kvalitetsuppföljning, och det gäller på samma sätt när ni börjar låta AI-agenter tala med kunderna själva eller ringa utgående samtal.
När det juridiska väl är på plats är resten en fråga om vad ni faktiskt mäter – vilket börjar med att poängsätta alla samtal och inte ett urval, och står och faller med hur väl svenskan transkriberas.
Vi går igenom våra kontroller med ert dataskyddsombud, delar personuppgiftsbiträdesavtal och underbiträdeslista, och visar var varje steg i kedjan sker. Läs mer om Conversation Intelligence.