Rejestrowanie przez administratorów danych rozmów telefonicznych w kontekście ochrony danych osobowych

Dość powszechnie administratorzy danych korzystają z komunikatu przeznaczonego dla swoich Klientów chcących się z nim skontaktować za pośrednictwem telefonu, w którym informują swoich Klientów, iż w trosce o najwyższą jakość i bezpieczeństwo świadczonych przez nich usług prowadzone rozmowy są rejestrowane, a jeżeli Klienci nie wyrażają zgody na taką rejestrację rozmowy telefonicznej, proszeni są oni o przerwanie połączenia. Czy taka praktyka jest zgodna z RODO? Naszym zdaniem budzi ona bardzo poważne wątpliwości właśnie w kontekście RODO. Spróbujemy je przedstawić poniżej.

Kiedy nagrywanie jest legalne?

Nagrywanie rozmów prywatnych przez osoby fizyczne w celach osobistych nie jest prawnie zakazane. Zatem jest dozwolone. Obowiązujące przepisy nie wymagają również informowania rozmówcy o fakcie nagrywania. Pamiętajmy jednak, że nagrywanie rozmów bez wiedzy rozmówcy jest niezgodne z dobrymi obyczajami i zasadami współżycia społecznego. Co więcej, postępując w ten sposób, narażamy się na skierowanie wobec nas zarzutu naruszenia dóbr osobistych. Nielegalna jest natomiast rejestracja rozmów osób trzecich, czyli rozmów, których stroną nie jest osoba nagrywająca. Mowa wówczas o podsłuchu, którego stosowanie, zgodnie z przepisami prawa karnego, stanowi przestępstwo i podlega karze.

Odpowiedzialność na gruncie prawa cywilnego

Zagadnienie rejestrowania rozmów nie jest uregulowane w prawie cywilnym tak jednoznacznie jak w prawie karnym. Pomimo tego, że nagrywanie rozmów bez zgody rozmówcy może być legalne na gruncie prawa cywilnego, to jednocześnie może wywołać negatywne konsekwencje. Podstawę problemu stanowi tutaj rozstrzygnięcie kwestii dotyczącej tego, czy nagrywanie rozmów narusza dobra osobiste rozmówcy. Powszechnie przyjmuje się, iż głos - jeśli jest możliwy do zidentyfikowania i przypisania konkretnej osobie - stanowi dobro osobiste takiej osoby, a zatem podlega ochronie prawnej.

Nagrywanie rozmowy telefonicznej a RODO

Nie budzi większych wątpliwości fakt, że za pośrednictwem nagrywanej rozmowy telefonicznej przetwarzane są dane osobowe osób, z którymi połączenia są nawiązywane. Należy pamiętać o tym, że już sam głos współrozmówcy może być uznany za dane osobowe. Może on bowiem w sposób pośredni umożliwiać identyfikację danego użytkownika numeru telefonu. Jeśli zatem dany podmiot stosuje urządzenia nagrywające rozmowy telefoniczne, staje się on jednocześnie administratorem danych osobowych współrozmówcy, a zatem podlegają wszystkim obowiązkom wynikającym z Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE L 119 z dnia 4 maja 2016r.), dalej zwanym „RODO”. Nie dotyczy to osób prywatnych, które na swój użytek rejestrują swoje rozmowy telefoniczne bez informowania o tym drugiej strony. RODO nie wprowadziło w tej kwestii żadnych nowych obostrzeń. W świetle rozporządzenia zapis prywatnej rozmowy nie stanowi przetwarzania danych osobowych. Oczywiście inaczej wygląda sytuacji w przypadku nagrywania rozmów przeprowadzanych na potrzeby wykonywania działalności gospodarczej. Takie podmioty – jak stwierdziliśmy wcześniej – stają administratorem danych osobowych swoich współrozmówców. Artykuł 13 RODO zawiera wymogi, które przedsiębiorca musi spełnić, aby legalnie rejestrować treść prowadzonych rozmów. Oznacza to przede wszystkim konieczność poinformowania rozmówcy o fakcie nagrywania. Z tego względu na początku rozmowy administrator musi poinformować rozmówcę, iż rozmowa jest rejestrowana. Będzie to zgodne z postanowieniami RODO, o ile administrator zawrze w komunikacie informację o swojej tożsamości, celach i podstawach przetwarzania oraz prawach, które przysługują podmiotowi danych. Sama zgoda na nagrywanie rozmowy telefonicznej musi być świadoma. Czy zatem użycie przez administratora danych formuły jak niżej jest legalne?

„W trosce o najwyższą jakość i bezpieczeństwo świadczonych przez nas usług prowadzone rozmowy są rejestrowane. Jeżeli nie wyrażacie Państwo zgody na ich nagrywanie, prosimy o przerwanie połączenia.”

Tak użyta formuła budzić musi wiele poważnych wątpliwości. Pierwsza z nich dotyczy tego, iż praktyka taka uniemożliwia Klientowi „załatwienie” swojej sprawy bez możliwości zarejestrowania przez administratora danych jego rozmowy telefonicznej. Ponadto użyta formuła sugeruje, iż dane osobowe osoby, której dane dotyczą wyraża zgodę na rejestrowanie rozmowy, a zatem przetwarzanie jej danych osobowych odbywa się na podstawie art. 6 ust. 1 lit. a) RODO. Gdyby tak istotnie było, to zgodnie z art. 7 RODO jednym z warunków „skutecznej zgody” musiałaby być jej „dobrowolność”. Pamiętajmy, iż wyrażenie zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji. Zgodnie z art. 7 ust. 4 RODO, oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od wyrażenia zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych (tutaj: rejestrowanie rozmowy) nie jest niezbędne do wykonania tej umowy (danej usługi). Ponadto, zgodnie z Motywem 43 RODO, aby zapewnić dobrowolność, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem. Wydaje się, że właśnie z taką sytuacją mamy do czynienia w przypadku stosowania przez administratorów danych praktyki wskazanej powyżej. Praktyka tak powoduje bowiem, iż:

Dorozumiana zgoda osoby, której dane dotyczą na rejestrację rozmowy telefonicznej nie mogłaby być uznana za dobrowolną, ponieważ osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić swojej zgody bez niekorzystnych konsekwencji (tutaj: brak możliwości skontaktowania się z administratorem i „załatwienia” swojej sprawy);
Zachodzi w tej sytuacji okoliczność polegająca na tym, iż od wyrażenia takiej zgody na przetwarzanie danych uzależnione jest wykonanie przez administratora usługi, a przetwarzanie danych osobowych (tutaj: rejestrowanie rozmowy) z dużą dozą pewności nie może być uznane za niezbędne do wykonania tej usługi (taka „niezbędność” musiałaby wynikać wprost z powszechnie obowiązujących przepisów prawa);
Mamy tutaj do czynienia z sytuacją, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem.

Inaczej mówiąc, brak alternatywy, tj. niemożność zrealizowania swojego wniosku (kontaktu z administratorem) bez wyrażenia zgody na rejestrację rozmowy, wypełnia znamiona „wymuszenia” zgody przez administratora, co automatycznie powoduje jej nieważność. Ponadto, zgodnie z art. 7 ust. 3 RODO, osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Co prawda wycofanie zgody nie może wpływać na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem, jednak od momentu, w którym osoba wycofałaby taką zgodę, administrator traci przesłankę do dalszego przetwarzania danych osobowych. Pamiętajmy iż osoba, której dane dotyczą musi zostać poinformowana o takiej możliwości, zanim wyrazi zgodę, a wycofanie zgody musi być równie łatwe jak jej wyrażenie. Zatem można sobie wyobrazić sytuację, w której pod koniec prowadzonej rozmowy, która jest rejestrowania na podstawie „dorozumianej zgody”, osoba, której dane dotyczą wycofuje taką zgodę, co powoduje, iż administrator traci prawną przesłankę do dalszego przetwarzania jej danych osobowych (rejestrowanie rozmowy byłoby legalne wyłącznie do momentu wycofania zgody). Pamiętajmy przy tym, iż zgodnie z opinią Prezesa UODO przetwarzanie przez administratora danych osobowych na podstawie zgody osoby, której dane dotyczą nie jest dopuszczalne, jeżeli administrator powinien lub mógłby zastosować inną przesłankę przetwarzania danych niż zgoda. Czy taka okoliczność wchodzi tutaj w grę?

Co by się stało, gdyby administrator uznał, iż rejestrowanie rozmowy telefonicznej będzie się odbywało na podstawie swojego prawnie uzasadnionego interesu, tj. art. 6 ust. 1 lit. f) RODO? Po pierwsze zastosowana formuła wprowadzałaby w błąd, sugerując przetwarzanie danych osoby, której dane dotyczą na podstawie jej zgody. Ponadto, zgodnie z art. 6 ust. 1 lit. f) RODO, administrator może przyjąć jako swoją przesłankę przetwarzania danych osobowych prawnie uzasadniony interes, z wyjątkiem sytuacji, w których nadrzędny charakter wobec jego interesu mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Przyjmując zatem jako przesłankę przetwarzania danych osobowych swój prawnie uzasadniony interes administrator danych musi wykazać w ramach tzw. „testu równowagi”, iż jego prawnie uzasadniony interes faktycznie istnieje i jednocześnie ma on nadrzędny charakter wobec interesu lub podstawowych praw i wolności osoby, której dane dotyczą (tutaj: osoby, której rozmowa jest rejestrowana). Nie zawsze będzie to łatwe. Administrator danych może mieć po prostu trudność w wykazaniu nadrzędności swego interesu wobec interesu lub podstawowego prawa i wolności osoby, której dane dotyczą. Pamiętajmy, iż użyta formuła i zastosowana w ramach niej praktyka wyklucza możliwość kontaktu z administratorem bez rejestracji rozmowy. Zatem administrator musiałby wykazać co najmniej następujące okoliczności:

Istnienie swojego prawnie uzasadnionego interesu polegającego na rejestrowaniu rozmów telefonicznych;
Nadrzędność swego interesu wobec interesu lub podstawowego prawa i wolności osoby, której dane dotyczą;
Prawidłowość założenia, w myśl którego wdrożona przez administratora praktyka wyklucza możliwość kontaktu z nim jego Klientów bez rejestracji ich rozmów telefonicznych.

Oczywiście skuteczne i wiarygodne wykazanie powyższych okoliczności będzie możliwe, jednak przeprowadzenie „testy równowagi” wymagało będzie wskazanie kontekstu, w ramach którego administrator będzie przetwarzał takie dane oraz wiarygodnego uzasadnienia takiej praktyk. Wydaje się, iż jest pewna grupa podmiotów, która nie będzie miała specjalnych trudności w wiarygodnym wykazaniu takiej konieczności, np. instytucje finansowe, w szczególności banki w zakresie rejestrowania w zakresie niezbędnym do zapobiegania oszustwom związanym z wykonywanymi usługami płatniczymi, prowadzeniem schematu płatniczego lub prowadzeniem systemu płatności oraz dochodzenia i wykrywania tego rodzaju oszustw przez właściwe organy, a także w celu rozpatrywania reklamacji użytkowników dotyczących praw i obowiązków dotyczących praw i obowiązków wynikających z ustawy z dnia 5 sierpnia 2015 roku o usługach płatniczych (Dz.U. 2011 Nr 199, poz. 1175, t.j. Dz.U. z 2022 r. poz. 2360), czy też w sytuacji rejestrowania przez Bank telefonicznego negocjowania kursów walutowych przez jego Klientów, czy też w końcu w zakresie składanych przez Klientów Banku za pośrednictwem telefonu reklamacji w innym zakresie niż wykonywanie przez Bank usług płatniczych. Nie będzie to jednak (i nie powinna być) automatycznie „z góry” zakładana możliwość.

Na koniec powiedzmy jeszcze, iż opierając rejestrację rozmowy telefonicznej na podstawie swojego prawnie uzasadnionego interesu, tj. art. 6 ust. 1 lit. f) RODO, administrator powinien zastosować inny niż wskazany powyżej. Jak mógłby brzmieć?

"W trosce o najwyższą jakość i bezpieczeństwo świadczonych przez nas usług niektóre rozmowy są rejestrowane. Administratorem Państwa danych osobowych jest XXX. Szczegóły dotyczące celów i sposób przetwarzania danych przez administratora znajdują się na jego stronie internetowej w zakładce "RODO".

Lub nieco inaczej, o ile administrator nie jest w stanie nagrywać niektórych tylko rozmów telefonicznych, tj. jeśli uzna, iż niezbędne jest rejestrowanie wszystkich rozmów telefonicznych z uwagi na istnienie swojego prawnie uzasadnionego interesu, który w tym zakresie posiada nadrzędną rolę wobec interesu lub podstawowego prawa i wolności osoby, której dane dotyczą.

"W trosce o najwyższą jakość i bezpieczeństwo świadczonych przez nas usług rozmowy są rejestrowane. Administratorem Państwa danych osobowych jest XXX. Szczegóły dotyczące celów i sposób przetwarzania danych przez administratora znajdują się na jego stronie internetowej w zakładce "RODO".

Opracował

Arkadiusz Kraus

A2KP KANCELARIA Sp. z o.o.