Gravação de chamadas e RGPD: o que deve fazer para estar em conformidade?

Os call centers e os departamentos de atendimento ao cliente de qualquer empresa devem estar cientes dos requisitos legais ao gravar chamadas. Isso não é surpreendente, mas o cenário da gravação de chamadas mudou desde que o Regulamento Geral sobre a Proteção de Dados (RGPD) da União Europeia entrou em vigor. A relação entre a gravação de chamadas e a conformidade com o RGPD pode ser difícil de gerir, por isso, eis o que precisa de saber.

Gravação de chamadas e RGPD

A gravação de chamadas é uma forma de processamento de dados, uma vez que as gravações contêm frequentemente informações pessoais ou sensíveis. Os utilizadores podem fornecer o seu PIN, endereço, informações financeiras ou de saúde pelo telefone. As empresas captam todas essas informações quando gravam chamadas. Consequentemente, a gravação de chamadas deve cumprir as regras específicas descritas no RGPD.

Ao contrário dos regulamentos de outros países, o RGPD fornece diretrizes rigorosas sobre como e quando as chamadas podem ser gravadas, como obter o consentimento do utilizador e como armazenar as chamadas gravadas. O GDPR tem como objetivo unir as leis e regulamentos existentes nos Estados-Membros da UE para que as empresas tenham uma fonte de referência central. Destina-se a reforçar os direitos dos cidadãos da UE e a ajudá-los a controlar as informações que as empresas têm sobre eles.

Quem deve seguir o RGPD?

O GDPR aplica-se à exportação de dados pessoais para fora da UE e a qualquer empresa que processe dados de cidadãos da UE, mesmo que a sua empresa não esteja dentro das fronteiras da UE. Esta última parte é muito importante de recordar. Se pensa que não precisa de cumprir o RGPD porque está localizado noutro país, está enganado.

A sua empresa tem de cumprir o RGPD se:

• Processa dados relativos a cidadãos da UE, mesmo que esteja localizado noutro local.
• Se oferecer bens e serviços a cidadãos da UE, mesmo que não cobre por eles.
• Está a seguir o comportamento dentro das fronteiras da UE.

Embora existam excepções para as pequenas empresas que cumpram critérios específicos, a maioria das empresas deve aderir ao RGPD se lidarem com cidadãos da UE ou tratarem os seus dados.

Riscos de não conformidade com o RGPD na gravação de chamadas

O que acontece se não cumprir ou não aplicar as medidas adequadas?

O incumprimento do RGPD no que respeita à gravação de chamadas pode conduzir a vários riscos significativos para as empresas:

1. Coimas e sanções: O não cumprimento do RGPD pode resultar em coimas substanciais, que podem atingir 4% do volume de negócios anual global da empresa ou 20 milhões de euros, consoante o valor mais elevado.
2. Danos à reputação: As violações do RGPD podem prejudicar gravemente a reputação de uma empresa. A perda de confiança dos clientes e parceiros comerciais pode ter um impacto negativo e duradouro na empresa.
3. Acções judiciais: As pessoas afectadas por uma violação do RGPD têm o direito de intentar acções judiciais contra a empresa. Isto pode levar a litígios dispendiosos e a indemnizações por danos.
4. Perturbações operacionais: As investigações e auditorias resultantes de uma violação do RGPD podem perturbar as operações comerciais normais, resultando em perdas financeiras adicionais.
5. Perda de dados: O incumprimento do RGPD está frequentemente associado à falta de medidas de segurança adequadas, o que pode resultar na perda ou fuga de dados pessoais sensíveis.
6. Obrigações de notificação: No caso de uma violação de dados, a empresa deve notificar as autoridades e as pessoas afectadas, o que pode resultar em custos adicionais e num aumento dos encargos administrativos.
7. Regulamentação adicional: As empresas que não cumprirem o RGPD podem enfrentar uma maior supervisão e regulamentação por parte das autoridades, o que pode resultar em requisitos adicionais de conformidade e monitorização contínua.

Por isso, certifique-se de que a sua solução cobre todas as bases e lhe deixa tempo livre para se concentrar no que é importante: os seus utilizadores.

Gravação de chamadas e consentimento do RGPD

O RGPD altera significativamente as regras para obter o consentimento dos autores das chamadas para gravar chamadas.

Provavelmente conhece a mensagem no início de uma chamada que diz: “Esta chamada será gravada para fins de formação“. Se o autor da chamada continuar a telefonar e não desligar, a empresa presume que ele deu o seu consentimento. É o que se designa por consentimento implícito.

Nos termos do RGPD, o consentimento implícito já não é suficiente. De acordo com os regulamentos, as empresas devem obter o consentimento explicitamente e apenas depois de informar o autor da chamada do motivo.

Por conseguinte, uma empresa deve indicar o motivo da gravação de chamadas e fornecer um meio para o autor da chamada consentir. A maioria das organizações pede ao autor da chamada que prima um número para dar o seu consentimento e outro para recusar a gravação.

Condições para que a gravação de chamadas cumpra o RGPD

Antes da entrada em vigor do RGPD em 2018, as empresas podiam indicar que a gravação se destinava a formação ou a qualquer outro fim.

Uma empresa pode querer analisar as chamadas gravadas para obter feedback dos utilizadores ou para cumprir as normas, mesmo que o motivo seja diferente.

No mundo pós-GDPR, as organizações já não podem fazer isso.

Qualquer chamada gravada deve satisfazer uma das seguintes condições:

1. Todos os participantes deram o seu consentimento para a gravação por um ou mais motivos declarados e específicos.
2. A gravação é necessária para cumprir um contrato e o autor da chamada é uma das partes.
3. A gravação de chamadas é necessária para o cumprimento de uma obrigação legal por parte da empresa.
4. A empresa pode demonstrar que a gravação é necessária para proteger os interesses de um ou mais participantes.
5. A gravação da chamada é de interesse público ou necessária para o exercício da autoridade pública.
6. A gravação de chamadas é do interesse da empresa, desde que não se sobreponha ao interesse do autor da chamada quando for necessário recolher dados pessoais.

Uma rápida análise dos termos e condições revela que a gravação de chamadas é permitida e não proibida pelo RGPD. É uma forma de garantir que as empresas não atropelam os direitos individuais quando recolhem dados pessoais.

Afinal de contas, não tem de se preocupar com a perda de dados do utilizador se nunca os teve. Também liberta as empresas do desperdício de recursos na recolha de dados quando não precisam deles.

Gravação de chamadas e RGPD: quando, onde e quem

O RGPD insiste para que as empresas esclareçam quando, onde e como as chamadas são gravadas.

Assim, se o seu centro de atendimento integrou telefones fixos, VoIP e dispositivos móveis num único sistema, tem de cumprir os requisitos do RGPD.

Já não é suficiente obter o consentimento ou a finalidade da gravação de chamadas do Estado em telefones fixos sem ignorar os dispositivos móveis.

Quando é que a gravação de chamadas está em conformidade com o RGPD?

A gravação de chamadas pode ser legal e estar em conformidade com o RGPD nos seguintes casos:

1. Consentimento expresso: quando todas as partes envolvidas na chamada deram um consentimento explícito e informado para a gravação.
2. Interesses legítimos: Quando o registo é necessário para os interesses legítimos da empresa, desde que não prevaleçam os direitos e liberdades fundamentais do titular dos dados.
3. Obrigações legais: Quando o registo é necessário para cumprir uma obrigação legal.
4. Execução de um contrato: Quando o registo é necessário para a execução de um contrato no qual a pessoa em causa é parte.
5. Proteção dos interesses vitais: O registo é necessário em casos excepcionais para proteger os interesses vitais de uma pessoa.

Quando a gravação de chamadas deve ser efectuada para cumprir o RGPD

O registo das chamadas deve ser efectuado:

1. Um ambiente seguro: os sistemas e servidores que cumprem as normas de segurança adequadas protegem os dados pessoais registados.
2. Localização dos dados: Os dados devem ser armazenados preferencialmente no Espaço Económico Europeu (EEE) ou em países com proteção de dados adequada reconhecida pela Comissão Europeia.

Como deve ser feita a gravação de chamadas para cumprir o RGPD

Para cumprir o RGPD ao gravar chamadas, devem ser seguidos estes passos:

1. Obtenção do consentimento: Informar todos os participantes sobre a gravação e o seu objetivo e obter o seu consentimento explícito antes de começar.
2. Notificação adequada: Fornecer aos participantes informações claras e concisas sobre a gravação e a utilização dos dados, de preferência no início da chamada.
3. Encriptação de dados: Implementar a encriptação em trânsito e em repouso para proteger as gravações contra o acesso não autorizado.
4. Controlo de acesso: Estabelecer controlos de acesso rigorosos para garantir que apenas o pessoal autorizado pode aceder às gravações.
5. Armazenamento e retenção: Definir políticas claras de armazenamento e retenção de dados, assegurando que as gravações são conservadas apenas durante o tempo necessário e eliminadas de forma segura.
6. Direitos dos titulares dos dados: Facilitar o exercício dos direitos dos indivíduos ao abrigo do RGPD, como o direito de acesso, retificação, apagamento e objeção ao tratamento dos seus dados.
7. Avaliação do impacto: Se a gravação de chamadas representar um risco elevado para os direitos e liberdades dos titulares dos dados, efectue uma avaliação do impacto da proteção de dados (DPIA).

Direitos e obrigações do RGPD

A maioria das empresas concentrou-se nas alterações para obter consentimento e na finalidade da gravação de chamadas, uma vez que estes são os componentes mais críticos da conformidade com o RGPD. É fácil esquecer que a legislação tem em conta outros factores relacionados com a gravação de chamadas, tais como:

• o direito de acesso aos dados
• o direito a ser esquecido
• durante quanto tempo as empresas podem conservar as gravações
• Como é que os dados podem ser protegidos contra roubo ou perda?

Direito de acesso aos dados

O RGPD estabelece que os utilizadores têm o direito de aceder aos dados armazenados por qualquer empresa. Esta regra também se aplica às chamadas gravadas.

Assim, se um dos seus utilizadores solicitar o acesso à gravação das suas chamadas, deve fazê-lo no prazo de 30 dias. Em termos práticos, a sua empresa deve ser capaz de pesquisar e recuperar determinadas chamadas sempre que necessário. Não pode simplesmente colocar todas as chamadas recolhidas num servidor e esquecê-las.

Direito a ser esquecido

O RGPD também garante que os utilizadores têm o direito de serem esquecidos, ou seja, podem pedir a uma empresa que apague todos os seus dados armazenados.

Mais uma vez, as gravações de chamadas são abrangidas pela definição de dados pessoais para este efeito. Uma vez recebido esse pedido, a empresa tem de o cumprir e apagar os dados de forma segura.

No entanto, uma empresa não precisa de apagar os dados se:

• O objetivo declarado ainda tem de ser cumprido.
• Violaria qualquer lei estatal ou federal.
• É necessário para defender acções judiciais ou estabelecer direitos legais.
• Os dados são necessários para o exercício da liberdade de expressão ou de informação.
• É necessário registar no interesse público.

Do ponto de vista comercial, qualquer solução que utilize para armazenar gravações deve poder eliminá-las de forma completa e segura em qualquer altura.

Normas de conservação e proteção de dados

Na última década, as empresas assistiram a um maior escrutínio mediático das violações de segurança e das potenciais perdas associadas ao roubo de dados. Como resultado, o RGPD também tem requisitos de conformidade relativos à proteção e retenção de dados.

As gravações de chamadas devem ser armazenadas de forma segura e as empresas devem garantir a implementação de controlos de acesso adequados.

Devem também existir protecções físicas e técnicas para a segurança e privacidade dos dados. É necessário avaliar os riscos associados aos piratas informáticos, aos infiltrados mal-intencionados e até aos empregados descuidados e tomar as medidas adequadas.

Além disso, há disposições sobre o tempo que as empresas podem armazenar e conservar as gravações de chamadas. Uma vez cumprida a finalidade original para a qual foram recolhidas, as empresas devem eliminá-las de forma segura.

Algumas organizações podem recusar o custo ou o esforço envolvido, mas a potencial perda de dados do utilizador é demasiado arriscada para ser ignorada.

O RGPD exige apenas que as empresas tomem medidas razoáveis para garantir uma segurança adequada e não exige um cenário de segurança 100% perfeito.

Gravações de chamadas e soluções compatíveis com o RGPD

O que é que tudo isto significa para a sua empresa?

Qualquer solução que implemente deve ter as seguintes capacidades:

1. Consentimento explícito de quem telefona.
2. Indicar claramente os objectivos pretendidos com a gravação de chamadas.
3. Armazenar os dados registados de forma segura.
4. Aceda e recupere facilmente gravações de chamadas específicas quando necessário.
5. Eliminar de forma segura as chamadas gravadas quando solicitado por um utilizador.
6. Ser razoavelmente seguro contra riscos de segurança internos e externos.

Isto pode parecer apenas possível para as grandes empresas, mas não tem de ser assim. Existem várias soluções no mercado que podem cumprir os requisitos do RGPD.

A parte difícil é encontrar um fornecedor que ofereça o serviço de que necessita a um preço acessível.

Garanta a proteção e a segurança das suas gravações de chamadas com o VoIPstudio

O VoIPstudio garante a proteção e a segurança das gravações de chamadas para cumprir o RGPD das seguintes formas:

Encriptação de dados

Todas as gravações de chamadas são encriptadas em trânsito e em repouso, protegendo os dados contra o acesso não autorizado.

Controlo de acesso

Apenas o pessoal autorizado tem acesso às gravações de chamadas. O VoIPstudio implementa controlos de acesso rigorosos baseados em funções para garantir que apenas as pessoas certas podem aceder aos dados.

Consentimento informado

O VoIPstudio facilita a obtenção do consentimento explícito das partes envolvidas nas chamadas, o que é fundamental para a conformidade com o RGPD. Os utilizadores podem configurar alertas automáticos para informar os participantes sobre a gravação.

Armazenamento seguro

As gravações são armazenadas em servidores seguros que cumprem as normas de segurança internacionais. Para além disso, o VoIPstudio oferece opções de armazenamento personalizáveis para aderir às políticas de retenção de dados de cada empresa.

Eliminação segura de dados

O VoIPstudio fornece ferramentas para a eliminação segura de gravações de chamadas quando estas já não são necessárias, assegurando que os dados pessoais não são retidos mais tempo do que o necessário.

Auditorias e controlo

São realizadas auditorias e monitorizações regulares para detetar e responder rapidamente a violações da segurança. Garante que todos os incidentes de segurança são tratados de forma rápida e eficaz.

Conformidade legal

O VoIPstudio trabalha continuamente para se manter atualizado com os regulamentos legais e de segurança, garantindo que as suas práticas estão em conformidade com o GDPR e outros regulamentos relevantes.

Estas medidas garantem que o VoIPstudio protege adequadamente as gravações de chamadas e cumpre os requisitos rigorosos do RGPD.

Lembre-se de que pode gravar chamadas no VoIPstudio, como mostra este vídeo:

Contacte-nos para obter mais informações sobre a gravação de chamadas.

Perguntas frequentes sobre a conformidade com o RGPD na gravação de chamadas

É legal gravar chamadas VoIP ao abrigo do RGPD?

Sim, é legal se forem cumpridos requisitos específicos, como a obtenção do consentimento informado das partes envolvidas ou a existência de uma base jurídica clara para o fazer.

Que consentimento é necessário para gravar chamadas VoIP ao abrigo do RGPD?

É necessário obter um consentimento explícito e claro de todas as partes envolvidas na chamada, informando-as sobre a gravação e o objetivo da chamada.

Como posso informar os participantes de uma chamada VoIP sobre a gravação do RGPD?

Deve notificar os participantes antes do início da gravação, explicando claramente que a chamada será gravada, o objetivo da gravação e a forma como os dados serão utilizados.

Que medidas de segurança devo implementar para proteger as gravações de chamadas VoIP ao abrigo do RGPD?

Para proteger os dados, aplicamos medidas técnicas e organizacionais adequadas, como a cifragem das gravações, um controlo de acesso rigoroso e auditorias de segurança regulares.