I maj 2016 granskade Datainspektionen, som IMY hette då, hur Tele2 spelade in samtal till kundtjänst (beslut 2016-05-10, dnr 121-2016). Tele2 spelade in 15 % av de inkommande samtalen i sin helhet för att utbilda medarbetarna och säkra kvaliteten.
Myndigheten godtog ändamålet som ett berättigat intresse och såg inga särskilda integritetsrisker i hur inspelningarna hanterades. Ändå föll intresseavvägningen, eftersom de som ringde aldrig fick veta varför de spelades in. Tele2 fick välja mellan att sluta spela in och att informera kunderna ordentligt.
Ni spelar troligen också redan in, med en rättslig grund som någon dokumenterade en gång och som sedan har fått ligga. Frågan som kommer upp när någon föreslår automatisk kvalitetsuppföljning är en annan: får ni låta ett AI-system läsa och bedöma de inspelningarna?
AI-analys av inspelade samtal är en ny behandling, och den behöver prövas för sig. För de flesta kontaktcenter är berättigat intresse rätt grund, eftersom medarbetarnas samtycke sällan är frivilligt. Det kräver en dokumenterad intresseavvägning, information till kunder och medarbetare om det nya ändamålet, en lagringstid som följer ändamålet och, där kollektivavtal finns, förhandling enligt MBL 11 § innan ni beslutar.
AI-analysen är en ny behandling
Vi är inte era jurister. Det som följer är hur vi har resonerat när vi byggt vår egen plattform och vilka myndighetskällor vi lutar oss mot.
En samtalsinspelning är personuppgiftsbehandling. Det kräver en rättslig grund och ett uttalat, specifikt ändamål, och ändamålet är det ni ska använda inspelningen till.
Det som ofta hoppas över är att AI-analys av samma inspelning kan vara en annan behandling med ett annat ändamål, beroende på hur ändamålet formulerades från början. Ni spelade kanske in för att kunna reda ut vad som sagts vid en tvist. Att sedan låta en modell poängsätta varje samtal mot en bedömningsmall är systematisk uppföljning av hur medarbetarna utför sitt arbete. Enligt ändamålsbegränsningen i GDPR ska en ny användning av gamla uppgifter prövas för sig; den kan inte antas rymmas i den gamla.
Skriv därför ner analysen tydligt i registerförteckningen, med egen rättslig grund, egen bedömning och egen lagringstid. Nämner ert befintliga ändamål inte analysen, bör ni inte stödja den på det. Danska Datatilsynet bedömde 2024 att AI-analys för kvalitetssäkring hörde till ett angivet kvalitetsändamål, men underkände samtycket som bar det. Då finns svaret färdigt när frågan kommer, i stället för att behöva konstrueras i efterhand under tidspress. Se beslutet.
Illustration av hur tre behandlingar av samma samtal kan stå i förteckningen:
| Behandling | Ändamål | Rättslig grund | Lagringstid |
|---|---|---|---|
| Inspelning | Reda ut vad som sagts vid en tvist | Berättigat intresse | Så länge en tvist rimligen kan uppstå |
| AI-analys av samma samtal | Kvalitetsuppföljning och coachning | Berättigat intresse, egen avvägning | Ljud tills samtalet är bedömt, poäng enligt egen motivering |
| Inspelning enligt MiFID II | Regelkrav på finansiella verksamheter | Rättslig förpliktelse | Enligt regelkravet |
Berättigat intresse är oftast rätt grund för analysen
Många utgår från att samtycke krävs. IMY skriver själv att det är en vanlig missuppfattning att samtycke alltid behövs, och att det ofta varken är lämpligt eller ens möjligt att stödja sig på samtycke.
Skälet är strukturellt. Samtycke måste vara frivilligt, och IMY nämner uttryckligen relationen mellan arbetsgivare och arbetstagare som ett ojämlikt maktförhållande där samtycke inte håller. En medarbetare som ombeds samtycka till att bli inspelad och bedömd av sin arbetsgivare kan i praktiken inte säga nej utan konsekvenser. Bygger ni analysen på medarbetarnas samtycke bygger ni den på en grund som kan falla och som medarbetarna dessutom kan återkalla en och en, och då får ert kvalitetsunderlag luckor.
Berättigat intresse är i regel den lämpligare grunden. Då krävs en dokumenterad intresseavvägning: ändamålet ska vara verkligt, behandlingen nödvändig för att nå det, och de registrerades intressen får inte väga tyngre. Det är i den bedömningen ni gör arbetet, och där ni måste kunna motivera varför alla samtal analyseras och inte ett urval.
Vi säljer full täckning, så vi har ett intresse av att ni tycker att den är lätt att motivera. Ett av argumenten håller: ett stickprov betyder att någon väljer vems samtal som granskas, och det valet ska kunna förklaras. Varför fem samtal från den här medarbetaren i mars och inget från den där? Det andra argumentet går åt motsatt håll. Full täckning innebär mer behandling av fler personuppgifter, och nödvändighetskravet blir tyngre ju mer ni behandlar. Det ledet måste ni kunna motivera.
Vad Tele2-beslutet betyder för AI-analysen
Beslutet gällde den äldre personuppgiftslagen och ger er inget färdigt svar, eftersom er verksamhet, era ändamål och era volymer är era egna. Men det visar var en avvägning kan falla även när ändamålet håller: på informationen till den som ringer.
Lägger ni till AI-analys behöver informationen följa med. Kunderna ska få veta att samtalen bedöms och i vilket syfte. Medarbetarna ska få veta att bedömningen görs automatiskt, hur den fungerar och hur den kan ifrågasättas.
Läs också vad som fick myndigheten att bedöma riskerna hos Tele2 som låga. Det gick inte att söka fram inspelningar utifrån kunduppgifter, bara chefer kunde begära åtkomst, två chefer skulle godkänna varje begäran, all åtkomst loggades och inspelningarna sparades i 60 till 90 dagar, styrt av hur länge utbildningen använde dem. Det är en bra måttstock för er egen avvägning, och rimligen den första källan ert dataskyddsombud går till, före leverantörens produktblad.
Lagringstiden följer ändamålet
Om ändamålet är kvalitetsuppföljning behöver ni sällan behålla ljudet i åratal. Uppföljningen och coachningen som följer sker inom några veckor. Ett ljudspår som ligger kvar i tre år ökar bara mängden personuppgifter ni måste skydda och redogöra för.
Det som förvirrar är att många verksamheter har långa lagringstider av fullt legitima skäl. De hör till ett annat ändamål med andra tidskrav: MiFID II-kraven på finansiella verksamheter är regelkrav och har ingenting med er bedömningsmall att göra. Att blanda ihop de två ger antingen för lång lagring för kvalitetssyftet eller för kort för regelkravet.
Vår rekommendation: sätt ljudets lagringstid efter när bedömningen och coachningen är klara, och skriv ner antalet dagar. Tele2 kunde motivera sina 90.
Där kollektivavtal finns: förhandla enligt MBL 11 §
Den här delen kommer ofta på tal för sent, och den står sällan i produktdokumentationen ni läser.
Där kollektivavtal finns har arbetsgivaren enligt medbestämmandelagen 11 § en primär förhandlingsskyldighet inför beslut om viktigare förändringar av verksamheten eller av arbets- och anställningsförhållanden för arbetstagare. Att införa systematisk automatisk bedömning av alla samtal en medarbetare tar är rimligen ett sådant beslut. Skyldigheten enligt 11 § förutsätter att ni är bundna av kollektivavtal. Är ni inte det ser bilden annorlunda ut, men informationen till medarbetarna behövs fortfarande.
Det finns också ett praktiskt skäl att ta det tidigt. Ett kvalitetssystem som facket uppfattar som övervakning införd bakom ryggen på medarbetarna får sällan det förtroende det behöver. Vi har flera gånger sett motsatsen fungera: när medarbetarna tidigt får se att varje poäng pekar på ögonblicket i samtalet den bygger på, och att de kan bestrida en bedömning och få den prövad av en person, blir systemet något som hjälper dem att bli bättre.
Fem frågor att ställa en leverantör
- Var behandlas och lagras ljudet, transkriberingen och bedömningen, och lämnar något av det EU?
- Kan lagringstiden sättas separat för ljud, transkribering och poäng?
- Maskeras personuppgifter i transkriberingen, och vad händer om maskeringen misslyckas?
- Vem kan begära åtkomst till ljud och transkriberingar, och loggas varje åtkomst?
- Används våra samtal för att träna leverantörens modeller, och kan det stå i avtalet?
Svaret på fråga fem ska stå i personuppgiftsbiträdesavtalet. Ett muntligt ja i ett säljmöte binder ingen.
”Ni argumenterar för en juridik som råkar passa er produkt”
Invändningen är befogad. Vi säljer ett system som förutsätter att svaret blir ja, i den bredaste varianten som finns: varje samtal analyseras. En leverantör som ritar upp den rättsliga vägen dit är inget neutralt vittne, och vi utger oss inte för att vara det.
I vår egen produkt har vi byggt in slutsatsen om lagring. Inspelningen raderas så snart den har transkriberats, namn, nummer och adresser maskeras automatiskt innan transkriberingen lagras, och bedömningen finns kvar utan ljudet. Ingen behöver komma ihåg att radera något.
Det ärligaste vi kan göra är att peka på var den modellen kostar er något. En medarbetare som bestrider en bedömning kan inte gå tillbaka till inspelningen och höra om modellen uppfattade rätt. Hon läser i stället transkriberingen vid den tidpunkt bedömningen pekar på. Den avvägningen har vi gjort åt er som standard, och den går åt det håll som är bekvämt för oss: mindre data att skydda, ett bevisled mindre.
Den ordning vi har sett fungera är rättslig grund och ändamål först, sedan lagringstider, sedan den fackliga processen där kollektivavtal finns, och först därefter valet av leverantör. Team som gör det i den ordningen kommer i drift snabbare än de som börjar med en pilot och upptäcker frågorna i månad tre. Det gäller för kvalitetsuppföljning, och det gäller på samma sätt när ni börjar låta AI-agenter tala med kunderna själva eller ringa utgående samtal.
När det juridiska är på plats återstår frågan om vad ni faktiskt mäter. Den börjar med att poängsätta alla samtal och inte ett urval och avgörs av hur väl svenskan transkriberas.
Vi går igenom våra kontroller med ert dataskyddsombud och era säkerhets- och inköpsteam, delar personuppgiftsbiträdesavtalet och listan över underbiträden, och visar var varje steg i kedjan sker. Läs mer om Conversational Intelligence.
