الامتثال للائحة العامة لحماية البيانات (GDPR) لمراكز الاتصال الصادرة: ما تحتاج إلى معرفته

تتداخل المكالمات الصادرة مع اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (اللائحة (الاتحاد الأوروبي) 2016/679، والتي يقابلها في المملكة المتحدة اللائحة العامة لحماية البيانات في المملكة المتحدة) بشكل وثيق. فكل مكالمة تجريها تتضمن بيانات شخصية: رقم هاتف، اسم، رصيد دين، تقييم عميل محتمل، أو رسالة صوتية مسجلة. هذا يعني أنه بمجرد أن يبدأ وكلاؤك بالاتصال بالعملاء في الاتحاد الأوروبي أو المملكة المتحدة، تُطبق اللائحة العامة لحماية البيانات على جميع عملياتك تقريبًا، وتُقاس العقوبات المترتبة على أي مخالفة كنسبة مئوية من إجمالي إيراداتك العالمية.

يشرح هذا الدليل أهم جوانب اللائحة العامة لحماية البيانات (GDPR) التي تهم فرق المبيعات الخارجية: اختيار الأساس القانوني، والتفاعل مع قواعد الخصوصية الإلكترونية، والتعامل مع حقوق أصحاب البيانات، وتسجيل المكالمات بشكل قانوني، والاحتفاظ بالبيانات، وعمليات النقل عبر الحدود، والعقود اللازمة مع الموردين. وهو موجه لشركات خدمات الأعمال الخارجية (BPOs)، وعمليات التحصيل، وموزعي خدمات الاتصالات، ومراكز الاتصال الخاضعة للتنظيم التي تستقبل مكالمات. أسواق الاتحاد الأوروبي والمملكة المتحدة.

لماذا ينطبق قانون حماية البيانات العامة (GDPR) على المكالمات الصادرة؟

ينظم قانون حماية البيانات العامة (GDPR) معالجة "البيانات الشخصية" - أي معلومات تتعلق بشخص حي محدد أو قابل للتحديد. في سياق المكالمات الصادرة، يشمل ذلك رقم الهاتف نفسه، واسم جهة الاتصال وعنوانها، وتفاصيل الحساب أو الدين، ونتائج المكالمات، وملاحظات الموظف، وأي تسجيل للمحادثة. حتى علامة "عدم الاتصال" تُعد بيانات شخصية لأنها تتعلق بفرد محدد.

هناك دورين مهمين. controller يُحدد سبب وكيفية معالجة البيانات الشخصية - وعادةً ما يكون ذلك من قبل الشركة التي يتم الاتصال بشأن منتجاتها أو ديونها أو خدماتها. processor يتصرف الموظف بناءً على تعليمات موثقة من جهة التحكم، كبائع التكنولوجيا أو شريك الاتصال الخارجي. إذا كنتَ تعمل في مجال خدمات التعهيد الخارجي وتتصل نيابةً عن عميل، فأنتَ عادةً ما تكون مسؤولاً عن معالجة بيانات ذلك العميل، ومسؤولاً عن بيانات موظفيك. تحديد هذه الأدوار بدقة يُحدد مسؤولية كل فرد عن ماذا.

اختيار أساس قانوني للمكالمات الصادرة

لا يجوز لك معالجة البيانات الشخصية دون أساس قانوني بموجب المادة 6في مجال التسويق والتواصل الخارجي، يهيمن أساسان على الحوار: الموافقة والمصلحة المشروعة. أما عمليات التحصيل وخدمات العملاء، فغالباً ما تعتمد على العقد أو الالتزام القانوني.

موافقة

يجب أن يكون الحصول على الموافقة بموجب اللائحة العامة لحماية البيانات (GDPR) طوعيًا ومحددًا ومستنيرًا وواضحًا لا لبس فيه، وذلك من خلال إجراء إيجابي صريح. ولا يُعتدّ بتحديد الخانات مسبقًا أو الصمت أو عدم القيام بأي إجراء. يجب أن تكون قادرًا على إثبات منح الموافقة، والاحتفاظ بسجل لكيفية ووقت منحها، وتسهيل سحبها بنفس سهولة منحها. ولا تُغطي الموافقة التي تم الحصول عليها لغرض ما تلقائيًا غرضًا آخر.

المصلحة المشروعة

يمكن أن يدعم المصلحة المشروعة بعض الأنشطة التسويقية الخارجية، كالتواصل بين الشركات أو الاتصال بالعملاء الحاليين بشأن خدمات ذات صلة وثيقة. ويتطلب ذلك اختبارًا موثقًا للموازنة من ثلاثة أجزاء: تحديد المصلحة المشروعة، وإثبات ضرورة المعالجة لتحقيقها، والتأكد من عدم تعارضها مع حقوق الفرد وتوقعاته. وتقر الفقرة 47 من اللائحة العامة لحماية البيانات (GDPR) صراحةً بأن التسويق المباشر قد يكون مصلحة مشروعة، لكن ذلك لا يُلغي أبدًا حق الفرد المطلق في الاعتراض.

أياً كان الأساس الذي تختاره، يجب عليك أن تقرره. before بمجرد بدء الاتصال، وثّق ذلك، واذكره في إشعار الخصوصية الخاص بك. لا يمكنك تغيير القواعد بأثر رجعي لتصحيح ثغرة في الامتثال.

توجيه الخصوصية الإلكترونية ومكالمات التسويق

لا يُمثّل قانون حماية البيانات العامة (GDPR) الصورة الكاملة للتسويق الإلكتروني. إذ يُحدّد توجيه الخصوصية الإلكترونية (2002/58/EC، بصيغته المعدّلة)، الذي تمّ إدراجه في القوانين الوطنية في الدول الأعضاء وفي لائحة خصوصية الاتصالات الإلكترونية (PECR) في المملكة المتحدة، قواعد مُحدّدة للمكالمات التسويقية غير المرغوب فيها. وتُطبّق هذه القواعد بالتوازي مع قانون حماية البيانات العامة، وعند انطباقها، تُصبح لها الأولوية على قناة التسويق نفسها.

تختلف العواقب العملية باختلاف الدول. فبعض الدول الأعضاء تُفعّل سجلات إلغاء الاشتراك التي يجب التحقق منها؛ بينما تشترط دول أخرى الحصول على موافقة مسبقة لإجراء مكالمات تسويقية مباشرة للمستهلكين. أما قواعد المكالمات الآلية أو المسجلة مسبقًا فهي عمومًا أكثر صرامة، وغالبًا ما تتطلب موافقة صريحة بغض النظر عن الولاية القضائية. ونظرًا لاختلاف التطبيق الوطني، يجب على أي عملية تتصل عبر أسواق متعددة في الاتحاد الأوروبي تطبيق القاعدة الأكثر صرامة المطبقة على كل وجهة، وليس سياسة عامة واحدة. ومن المتوقع أن يُساهم قانون الخصوصية الإلكترونية للاتحاد الأوروبي، الذي لا يزال قيد الدراسة، في توحيد بعض هذه القواعد، ولكن إلى حين تطبيقه، يبقى القانون الوطني هو الساري.

حقوق أصحاب البيانات التي يجب أن تدعمها أنظمتك

يمنح قانون حماية البيانات العامة (GDPR) الأفراد حقوقًا قابلة للتنفيذ، يجب أن تكون عمليات مركز الاتصال وتقنياته قادرة على تلبيتها، عادةً في غضون شهر واحد من تقديم الطلب. أهم الحقوق التي تهم فرق الاتصال الصادرة هي:

• حق الوصول (المادة 15): يمكن لأي شخص أن يسأل عن البيانات التي تحتفظ بها، بما في ذلك سجلات المكالمات والتسجيلات والملاحظات، وأن يحصل على نسخة منها.
• الحق في المحو (المادة 17): يُتيح "الحق في النسيان" للأفراد طلب حذف بياناتهم في حال عدم وجود سبب قانوني مُلزم للاحتفاظ بها.
• حق الاعتراض (المادة 21): هذا هو التسويق المباشر absolute — بمجرد أن يعترض أحدهم، يجب عليك التوقف عن التسويق له، دون أي اختبار للموازنة.
• الحق في التصحيح (المادة 16): تصحيح بيانات الاتصال أو الحساب غير الدقيقة.
• الحق في تقييد المعالجة (المادة 18) and قابلية نقل البيانات (المادة 20) في الظروف ذات الصلة.

يعني هذا عمليًا أنك بحاجة إلى تحديد جهة اتصال واحدة في نظام الاتصال الآلي، ونظام إدارة علاقات العملاء، والتسجيلات، وقوائم العملاء المحتملين، والاستجابة لطلبها بسرعة. فالبيانات المتناثرة، أو المكررة بين المستخدمين، أو المدفونة في تسجيلات غير مفهرسة، تجعل طلبات الحقوق بطيئة وعرضة للأخطاء، ويُعدّ عدم حذف البيانات أو استمرار المكالمة بعد الاعتراض من قبيل المخالفات التي تُعاقب عليها الجهات التنظيمية.

تسجيل المكالمات بموجب اللائحة العامة لحماية البيانات

يُعدّ التسجيل الصوتي بيانات شخصية، وقد يتضمن بيانات حساسة (مثل المعلومات الصحية التي يتم الكشف عنها أثناء مكالمات التحصيل أو التأمين). ويتطلب التسجيل القانوني أساسًا قانونيًا وشفافية تامة. ومن أهم التوقعات ما يلي:

• يلاحظ: أخبر المتصل بأن المكالمة قد يتم تسجيلها، واشرح له السبب، ويفضل أن يكون ذلك في بداية المكالمة.
• تحديد الغرض: لا تقم بالتسجيل إلا للأغراض المحددة (الجودة، والتدريب، وحل النزاعات، والالتزامات التنظيمية) ولا تقم بإعادة استخدام التسجيلات لأغراض أخرى.
• حماية: قم بتشفير التسجيلات المخزنة والمنقولة، وقيد الوصول إليها على أساس الحاجة إلى المعرفة.
• حفظ: احتفظ بالتسجيلات فقط طالما يتطلب الغرض المحدد ذلك، ثم احذفها.

تفرض بعض القطاعات والدول الأعضاء قواعد إضافية أو متضاربة؛ فبعض أنظمة الخدمات المالية تلزم بتسجيل البيانات والاحتفاظ بها لفترات محددة، بينما تحد بعض القوانين الوطنية من التسجيل. لذا، يُنصح بتحديد قواعد التسجيل لكل سوق على حدة قبل تطبيقها على نطاق واسع.

الاحتفاظ بالبيانات وتقليلها

ينص مبدأ تقييد التخزين في اللائحة العامة لحماية البيانات (GDPR) على ضرورة الاحتفاظ بالبيانات الشخصية لفترة لا تتجاوز ما هو ضروري للغرض المطلوب. لا يوجد عدد محدد للأيام في اللائحة العامة لحماية البيانات، بل يجب تبرير مدة الاحتفاظ بالبيانات لكل نوع من أنواعها ولكل غرض. يتمثل أحد الأساليب الشائعة في وضع جدول زمني مكتوب للاحتفاظ بالبيانات، يحدد فترات زمنية منفصلة لبيانات العملاء المحتملين، وتسجيلات المكالمات، وبيانات التصرفات، وسجلات الموافقة، مع حذفها أو إخفاء هويتها تلقائيًا عند انتهاء الفترة. وينطبق مبدأ تقليل البيانات أيضًا: أي جمع البيانات والاتصال فقط بالبيانات التي تحتاجها فعليًا.

نقل البيانات عبر الحدود

إذا غادرت البيانات الشخصية المنطقة الاقتصادية الأوروبية أو المملكة المتحدة - بما في ذلك إلى فريق دعم أو منطقة سحابية أو معالج فرعي في الخارج - فأنت بحاجة إلى آلية نقل صالحة بموجب الفصل الخامس. عمليًا، يعني هذا عادةً بنودًا تعاقدية قياسية (SCCs، أو ملحق IDTA/الملحق الخاص بالمملكة المتحدة)، أو قرار كفاية يغطي البلد المُستقبِل، أو أي ضمانة معترف بها أخرى، مدعومة غالبًا بتقييم لأثر النقل. بالنسبة للعمليات الصادرة، تتمثل الأسئلة الرئيسية في: أين تتم استضافة نظام الاتصال الخاص بك، وأين تُخزَّن التسجيلات، ومن يُدير المنصة؟ يُسهِّل الاحتفاظ ببيانات الاتحاد الأوروبي/المملكة المتحدة داخل المنطقة هذه العملية بشكل كبير.

اتفاقيات معالجة البيانات والمعالجات الفرعية

تنص المادة 28 على ضرورة وجود عقد مكتوب. اتفاقية معالجة البيانات (DPA) — بين كل جهة تحكم ومعالج بيانات. يجب أن تحدد اتفاقية حماية البيانات موضوع المعالجة ومدتها وطبيعتها والغرض منها، وأنواع البيانات وفئات الأفراد، وتعليمات جهة التحكم. كما يجب أن تلزم جهة المعالجة بالحفاظ على السرية، واتخاذ التدابير الأمنية، وتقديم المساعدة فيما يتعلق بحقوق أصحاب البيانات، والإبلاغ عن أي خرق للبيانات، وحذف البيانات أو إعادتها عند انتهاء مدة العقد، وحقوق التدقيق.

لا يجوز للمدربين المشاركة إلا sub-processors بتفويض من المتحكم، ويجب أن تُنقل نفس الالتزامات بموجب العقد. بالنسبة لمراكز الاتصال، تشمل المعالجات الفرعية عادةً خدمات الاستضافة السحابية، وشركات الاتصالات (المشار إليها هنا بشكل عام)، وأدوات التحليل. يجب عليك الاحتفاظ بقائمة محدثة للمعالجات الفرعية وإبلاغ المتحكمين بأي تغييرات. عند تقييم أي مورد لأنظمة الاتصال، اطلب منه تقديم اتفاقية حماية البيانات وقائمة المعالجات الفرعية مسبقًا.

كيف يدعم DialerBee العمليات المتوافقة مع اللائحة العامة لحماية البيانات (GDPR)

تم تصميم DialerBee كمنصة داعمة للامتثال، وليست ضمانة له: تظل مؤسستك هي المتحكمة في البيانات، وهي المسؤولة عن الأساس القانوني والإشعارات وكيفية تهيئة الأداة. وفي هذا الإطار، يوفر DialerBee الضوابط الداعمة للامتثال والتي تساعد عمليات الاتحاد الأوروبي والمملكة المتحدة على العمل بشكل قابل للدفاع - بما في ذلك الموافقة القابلة للتكوين ومعالجة عدم الاتصال، وقمع اعتراضات التسويق، وسياسات تسجيل المكالمات مع إعدادات الاحتفاظ التي تحددها لكل حملة.

تحافظ بنية النظام متعددة المستأجرين على عزل بيانات كل عميل، وهو أمر بالغ الأهمية لشركات خدمات الأعمال الخارجية وموزعي خدمات الاتصالات الذين يعملون كمعالجين لبيانات جهات تحكم متعددة، كما يُسهّل تحديد موقع طلب حقوق جهة اتصال واحدة والتعامل معه. وتسجل سجلات التدقيق تغييرات التكوين وصلاحيات الوصول لضمان المساءلة، عملية إقليمية مشتركة بين الاتحاد الأوروبي والمملكة المتحدة يُساعد ذلك في تقليل تعقيد عمليات نقل البيانات عبر الحدود. وبفضل دعم تقنية الذكاء الاصطناعي اللغوية في DialerBee لتسع لغات، يُمكن للفرق متعددة الجنسيات عرض إشعارات التسجيل والموافقة بلغة المتصل. اتفاقية معالجة البيانات متاحةويمكنكم الاطلاع على وضعنا الأمني والامتثال على صفحة الثقةفي ظروف تجريبية مختارة، أفادت الفرق أن القمع المركزي وتتبع الموافقة قلل من الجهد اليدوي المطلوب لتلبية الاعتراضات - وتختلف النتائج حسب النشر والتكوين.

الأسئلة الشائعة

هل تحتاج مراكز الاتصال الصادرة إلى موافقة لكل مكالمة بموجب اللائحة العامة لحماية البيانات (GDPR)؟

ليس دائمًا. يُعدّ الرضا أحد الأسس القانونية، ولكن المصلحة المشروعة قد تدعم بعض الأنشطة التسويقية الخارجية، مثل التواصل بين الشركات أو الاتصال بالعملاء الحاليين بشأن الخدمات ذات الصلة، شريطة توثيق اختبار الموازنة. مع ذلك، قد تشترط قوانين الخصوصية الإلكترونية الوطنية الحصول على موافقة لإجراء بعض المكالمات التسويقية، ويحتفظ الأفراد دائمًا بحقهم المطلق في الاعتراض على التسويق المباشر.

هل تسجيل المكالمات قانوني بموجب اللائحة العامة لحماية البيانات (GDPR)؟

نعم، إذا تمّ ذلك بشكل صحيح. يُعدّ التسجيل قانونيًا عند وجود أساس قانوني سليم، وإبلاغ المتصل بإمكانية تسجيل المكالمة وسبب ذلك، وحصر الاستخدام بالأغراض المحددة، وتأمين التسجيلات بالتشفير وضوابط الوصول، وحذفها عند انتهاء فترة الاحتفاظ. تُلزم بعض القطاعات المالية والتنظيمية بالتسجيل، بينما تُقيّده بعض السلطات القضائية، لذا يُرجى التحقق من القوانين في كل سوق على حدة.

إلى متى يمكننا الاحتفاظ بتسجيلات المكالمات وبيانات العملاء المحتملين؟

يُحتفظ بالبيانات فقط طالما كان ذلك ضروريًا للغرض الذي جُمعت من أجله. لا يحدد قانون حماية البيانات العامة (GDPR) عددًا ثابتًا من الأيام. يُنصح بوضع جدول زمني مكتوب للاحتفاظ بالبيانات، يتضمن فترات منفصلة لبيانات العملاء المحتملين، والتسجيلات، والتصرفات، وسجلات الموافقة، بالإضافة إلى الحذف التلقائي أو إخفاء الهوية عند انتهاء كل فترة. تتطلب بعض الأنشطة الخاضعة للتنظيم حدًا أدنى ثابتًا للاحتفاظ بالبيانات، يتجاوز الجدول الزمني الافتراضي.

ما هو اتفاقية حماية البيانات (DPA) وهل نحتاج إلى واحدة مع مورد نظام الاتصال الخاص بنا؟

اتفاقية معالجة البيانات هي العقد المنصوص عليه في المادة 28، وهو شرط أساسي عند استخدام جهة تحكم البيانات لجهة معالجة. تحدد هذه الاتفاقية نطاق المعالجة، وتلزم جهة المعالجة بالحفاظ على أمن البيانات وسريتها، وتقديم المساعدة في طلبات الحقوق، والإبلاغ عن أي خرق للبيانات، وحذفها. نعم، أنت بحاجة إلى اتفاقية معالجة بيانات مع أي مزود لخدمات الاتصال الهاتفي الذي يعالج بياناتك الشخصية نيابةً عنك، ويُنصح بمراجعة قائمة جهات المعالجة الفرعية التابعة له.

هل يمكننا الاتصال بجهات اتصال في الاتحاد الأوروبي إذا كان فريقنا أو خوادمنا خارج الاتحاد الأوروبي؟

يمكنك ذلك، ولكن أي نقل للبيانات الشخصية خارج المنطقة الاقتصادية الأوروبية أو المملكة المتحدة يتطلب آلية معتمدة، مثل البنود التعاقدية القياسية، أو اتفاقية تبادل المعلومات والبيانات في المملكة المتحدة، أو قرار كفاية، وغالبًا ما يتضمن ذلك تقييمًا لأثر النقل. ويشمل ذلك خوادمك، ومساحة تخزين التسجيلات، وفريق الدعم، والمعالجات الفرعية. ويُقلل الاحتفاظ ببيانات الاتحاد الأوروبي والمملكة المتحدة وإدارتها داخل المنطقة من هذا التعقيد بشكل كبير.

هل يجعلنا برنامج الاتصال متوافقين مع اللائحة العامة لحماية البيانات (GDPR)؟

لا يمكن لأي أداة أن تضمن امتثالك للقوانين بمفردها. أنت تبقى المتحكم بالبيانات المسؤول عن أساسك القانوني، وإشعارات الخصوصية، والإعدادات. يوفر برنامج الاتصال الداعم للامتثال، مثل DialerBee، أدوات تحكم - مثل معالجة الموافقة وعدم الاتصال، وكتم الاعتراضات، وإعدادات التسجيل والاحتفاظ، وعزل بيانات المستأجر، وسجلات التدقيق، وقانون حماية البيانات المتاح - مما يُسهّل العمل بشكل قانوني، لكن تبقى المسؤولية على عاتق مؤسستك.

هذه المقالة لأغراض إعلامية عامة فقط، ولا تُعدّ استشارة قانونية. يختلف تفسير اللائحة العامة لحماية البيانات (GDPR) باختلاف الدول الأعضاء، وهو يتطور باستمرار - لذا يُرجى استشارة مستشار أو محامٍ مؤهل في مجال حماية البيانات.