Kepatuhan GDPR untuk Call Center Outbound

Panggilan outbound dan General Data Protection Regulation Uni Eropa (Regulation (EU) 2016/679, yang dicerminkan di Inggris oleh UK GDPR) memiliki hubungan yang sangat erat. Setiap panggilan yang Anda lakukan melibatkan data pribadi: nomor telepon, nama, saldo utang, skor lead, atau suara yang direkam. Artinya, begitu agen Anda mulai menelepon kontak di UE atau Inggris, GDPR berlaku untuk hampir semua yang dilakukan operasi Anda — dan sanksi atas kesalahan dihitung sebagai persentase dari omzet global.

Panduan ini membahas bagian-bagian GDPR yang paling penting bagi tim outbound: memilih dasar hukum, keterkaitannya dengan aturan ePrivacy, menangani hak subjek data, merekam panggilan secara sah, retensi, transfer lintas batas, dan kontrak yang Anda perlukan dengan vendor. Panduan ini ditulis untuk BPO, operasi penagihan, reseller telekomunikasi, dan pusat kontak teregulasi yang menelepon ke pasar UE dan Inggris.

Mengapa GDPR Berlaku untuk Panggilan Outbound

GDPR mengatur pemrosesan “data pribadi” — informasi apa pun yang berkaitan dengan orang hidup yang teridentifikasi atau dapat diidentifikasi. Dalam konteks outbound, ini mencakup nomor telepon itu sendiri, nama dan alamat kontak, detail akun atau utang, disposisi panggilan, catatan agen, dan rekaman percakapan apa pun. Bahkan penanda “do not call” adalah data pribadi karena berkaitan dengan individu yang teridentifikasi.

Ada dua peran yang penting. Pengendali menentukan mengapa dan bagaimana data pribadi diproses — biasanya bisnis yang produk, piutang, atau layanannya menjadi topik panggilan. Pemroses bertindak berdasarkan instruksi terdokumentasi dari pengendali — misalnya, vendor teknologi atau mitra panggilan alih daya. Jika Anda adalah BPO yang menelepon atas nama klien, Anda biasanya merupakan pemroses untuk data klien tersebut dan pengendali untuk data karyawan Anda sendiri. Menetapkan peran ini dengan benar menentukan siapa bertanggung jawab atas apa.

Memilih Dasar Hukum untuk Panggilan Outbound

Anda tidak dapat memproses data pribadi tanpa dasar hukum berdasarkan Pasal 6. Untuk pemasaran dan penjangkauan outbound, dua dasar hukum mendominasi pembahasan: persetujuan dan kepentingan yang sah. Panggilan penagihan dan layanan sering kali mengandalkan kontrak atau kewajiban hukum.

Persetujuan

Persetujuan menurut GDPR harus diberikan secara bebas, spesifik, berdasarkan informasi, dan tidak ambigu, melalui tindakan afirmatif yang jelas. Kotak yang sudah dicentang sebelumnya, diam, atau tidak bertindak tidak dihitung. Anda harus dapat membuktikan bahwa persetujuan telah diberikan, menyimpan catatan tentang bagaimana dan kapan, serta membuat penarikannya semudah pemberiannya. Persetujuan yang diperoleh untuk satu tujuan tidak otomatis mencakup tujuan lain.

Kepentingan yang Sah

Kepentingan yang sah dapat mendukung aktivitas outbound tertentu — misalnya, penjangkauan antarbisnis (B2B) atau menghubungi pelanggan yang sudah ada tentang layanan yang berkaitan erat. Dasar ini memerlukan uji keseimbangan tiga bagian yang terdokumentasi: identifikasi kepentingan yang sah, tunjukkan bahwa pemrosesan diperlukan untuk mencapainya, dan pastikan kepentingan itu tidak dikalahkan oleh hak dan ekspektasi individu. Recital 47 GDPR secara tegas mengakui bahwa pemasaran langsung dapat menjadi kepentingan yang sah — tetapi hal itu tidak pernah menghapus hak mutlak individu untuk menolak.

Dasar mana pun yang Anda pilih, Anda harus menetapkannya sebelum Anda mulai menelepon, mendokumentasikannya, dan mengungkapkannya dalam pemberitahuan privasi Anda. Anda tidak dapat mengganti dasar hukum secara surut untuk menutup celah kepatuhan.

ePrivacy Directive dan Panggilan Pemasaran

GDPR bukan satu-satunya aturan untuk pemasaran elektronik. ePrivacy Directive (2002/58/EC, sebagaimana telah diubah), yang diadopsi ke dalam hukum nasional di seluruh negara anggota dan ke dalam PECR di Inggris, menetapkan aturan khusus untuk panggilan pemasaran yang tidak diminta. Aturan ini berlaku berdampingan dengan GDPR, dan bila berlaku, aturan ini didahulukan untuk saluran pemasaran itu sendiri.

Konsekuensi praktisnya berbeda di setiap negara. Sebagian negara anggota mengoperasikan register opt-out yang wajib Anda periksa; yang lain mewajibkan persetujuan sebelumnya untuk panggilan pemasaran langsung ke konsumen. Aturan untuk panggilan otomatis atau rekaman umumnya lebih ketat dan sering kali mewajibkan persetujuan eksplisit di yurisdiksi mana pun. Karena penerapan nasionalnya berbeda, operasi yang menelepon ke beberapa pasar UE harus menerapkan aturan berlaku yang paling ketat per tujuan — bukan satu kebijakan seragam. ePrivacy Regulation UE yang masih tertunda diharapkan menyelaraskan sebagian hal ini, tetapi sampai berlaku, hukum nasional yang mengatur.

Hak Subjek Data yang Harus Didukung Sistem Anda

GDPR memberikan hak yang dapat ditegakkan kepada individu, yang harus dapat dipenuhi oleh proses dan teknologi call center Anda, biasanya dalam satu bulan sejak permintaan. Hak yang paling relevan bagi tim outbound adalah:

• Hak akses (Pasal 15): Seseorang dapat menanyakan data apa yang Anda simpan, termasuk catatan panggilan, rekaman, dan catatan, serta menerima salinannya.
• Hak untuk dihapus (Pasal 17): “Hak untuk dilupakan” memungkinkan individu meminta penghapusan jika tidak ada alasan hukum yang lebih kuat untuk menyimpan data tersebut.
• Hak untuk menolak (Pasal 21): Untuk pemasaran langsung, hak ini bersifat mutlak — begitu seseorang menolak, Anda harus berhenti memasarkan kepadanya, tanpa uji keseimbangan.
• Hak untuk perbaikan (Pasal 16): Memperbaiki data kontak atau akun yang tidak akurat.
• Hak untuk membatasi pemrosesan (Pasal 18) dan portabilitas data (Pasal 20) dalam keadaan yang relevan.

Dalam praktiknya, ini berarti Anda perlu menemukan satu kontak di seluruh dialer, CRM, rekaman, dan daftar lead Anda, lalu menindaklanjuti permintaannya dengan cepat. Data yang tersebar, terduplikasi di berbagai tenant, atau terkubur dalam rekaman yang tidak terindeks membuat permintaan hak menjadi lambat dan rawan kesalahan — dan penghapusan yang terlewat atau panggilan yang tetap dilakukan setelah ada keberatan adalah jenis kegagalan yang dihukum regulator.

Perekaman Panggilan Menurut GDPR

Rekaman suara adalah data pribadi, dan dapat memuat data kategori khusus (misalnya, informasi kesehatan yang diungkapkan dalam panggilan penagihan atau asuransi). Perekaman yang sah memerlukan dasar hukumnya sendiri dan transparansi yang jelas. Ekspektasi utamanya meliputi:

• Pemberitahuan: Beri tahu penelepon bahwa panggilan mungkin direkam dan alasannya, idealnya di awal panggilan.
• Pembatasan tujuan: Rekam hanya untuk tujuan yang dinyatakan (kualitas, pelatihan, penyelesaian sengketa, kewajiban regulasi) dan jangan menggunakan rekaman untuk tujuan lain.
• Keamanan: Enkripsi rekaman saat disimpan dan saat dikirim, serta batasi akses berdasarkan kebutuhan.
• Retensi: Simpan rekaman hanya selama diperlukan untuk tujuan yang dinyatakan, lalu hapus.

Sebagian sektor dan negara anggota menetapkan aturan tambahan atau yang bertentangan — rezim layanan keuangan tertentu mewajibkan perekaman dan retensi untuk periode tetap, sementara sebagian hukum nasional membatasi perekaman. Petakan aturan perekaman per pasar sebelum Anda menerapkannya dalam skala besar.

Retensi dan Minimisasi Data

Prinsip pembatasan penyimpanan GDPR mewajibkan Anda menyimpan data pribadi tidak lebih lama dari yang diperlukan untuk tujuannya. Tidak ada satu “angka GDPR” dalam hari — retensi harus dijustifikasi per jenis data dan tujuan. Pendekatan yang umum adalah jadwal retensi tertulis yang menetapkan periode terpisah untuk data lead, rekaman panggilan, disposisi, dan catatan persetujuan, dengan penghapusan atau anonimisasi otomatis saat periode berakhir. Minimisasi data juga berlaku: hanya kumpulkan dan gunakan kolom yang benar-benar Anda perlukan.

Transfer Data Lintas Batas

Jika data pribadi keluar dari EEA atau Inggris — termasuk ke tim dukungan, region cloud, atau subprosesor di luar negeri — Anda memerlukan mekanisme transfer yang sah berdasarkan Bab V. Dalam praktiknya, ini biasanya berarti Standard Contractual Clauses (SCC, atau IDTA/Addendum di Inggris), keputusan kecukupan (adequacy decision) yang mencakup negara tujuan, atau pengamanan lain yang diakui, sering kali didukung oleh penilaian dampak transfer. Untuk operasi outbound, pertanyaan kuncinya adalah: di mana dialer Anda di-hosting, di mana rekaman disimpan, dan siapa yang mengelola platform? Menyimpan data UE/Inggris di dalam wilayahnya sangat menyederhanakan hal ini.

Perjanjian Pemrosesan Data dan Subprosesor

Pasal 28 mewajibkan kontrak tertulis — sebuah perjanjian pemrosesan data (DPA) — antara setiap pengendali dan pemroses. DPA harus menetapkan pokok permasalahan, durasi, sifat dan tujuan pemrosesan, jenis data dan kategori individu, serta instruksi pengendali. DPA juga harus mengikat pemroses pada kerahasiaan, langkah keamanan, bantuan atas hak subjek data, pemberitahuan pelanggaran data, penghapusan atau pengembalian data di akhir kontrak, dan hak audit.

Pemroses hanya boleh melibatkan subprosesor dengan otorisasi pengendali dan harus meneruskan kewajiban yang sama melalui kontrak. Untuk call center, subprosesor biasanya mencakup hosting cloud, operator telefoni (disebut secara umum di sini), dan alat analitik. Anda sebaiknya memelihara daftar subprosesor yang terkini dan memberi tahu pengendali jika ada perubahan. Saat mengevaluasi vendor dialer mana pun, mintalah DPA dan daftar subprosesornya sejak awal.

Bagaimana DialerBee Mendukung Operasi yang Sadar GDPR

DialerBee dibangun sebagai platform yang mendukung kepatuhan, bukan jaminan kepatuhan: organisasi Anda tetap menjadi pengendali data dan bertanggung jawab atas dasar hukum, pemberitahuan, dan cara alat ini dikonfigurasi. Dalam kerangka itu, DialerBee menyediakan kontrol yang mendukung kepatuhan yang membantu operasi di UE dan Inggris beroperasi secara dapat dipertanggungjawabkan — termasuk penanganan persetujuan dan do-not-call yang dapat dikonfigurasi, supresi keberatan pemasaran, serta kebijakan perekaman panggilan dengan pengaturan retensi yang Anda tetapkan per kampanye.

Arsitektur multi-tenant-nya menjaga data setiap klien tetap terisolasi, yang penting bagi BPO dan reseller telekomunikasi yang bertindak sebagai pemroses bagi banyak pengendali, dan membuat penemuan serta penanganan permintaan hak dari satu kontak lebih mudah dikelola. Log audit mencatat perubahan konfigurasi dan akses demi akuntabilitas, dan operasi di dalam wilayah UE/Inggris membantu mengurangi kerumitan transfer lintas batas. Karena AI DialerBee yang peka bahasa mendukung 11 bahasa, tim multinasional dapat menyampaikan pemberitahuan perekaman dan persetujuan dalam bahasa penelepon. Perjanjian pemrosesan data tersedia, dan Anda dapat meninjau postur keamanan dan kepatuhan kami di halaman Trust. Dalam kondisi uji coba tertentu, tim melaporkan bahwa supresi dan pelacakan persetujuan yang terpusat mengurangi upaya manual dalam menindaklanjuti keberatan — hasil bervariasi menurut penerapan dan konfigurasi.

Pertanyaan yang Sering Diajukan

Apakah call center outbound memerlukan persetujuan untuk setiap panggilan menurut GDPR?

Tidak selalu. Persetujuan adalah salah satu dasar hukum, tetapi kepentingan yang sah dapat mendukung sebagian aktivitas outbound seperti penjangkauan B2B atau menghubungi pelanggan yang sudah ada tentang layanan terkait, asalkan Anda mendokumentasikan uji keseimbangan. Namun, aturan ePrivacy nasional mungkin tetap mewajibkan persetujuan untuk panggilan pemasaran tertentu, dan individu selalu memiliki hak mutlak untuk menolak pemasaran langsung.

Apakah merekam panggilan legal menurut GDPR?

Ya, jika dilakukan dengan benar. Perekaman sah jika Anda memiliki dasar hukum yang valid, memberi tahu penelepon bahwa panggilan mungkin direkam dan alasannya, membatasi penggunaan pada tujuan yang dinyatakan, mengamankan rekaman dengan enkripsi dan kontrol akses, serta menghapusnya saat periode retensi berakhir. Sebagian sektor keuangan dan teregulasi juga mewajibkan perekaman, sementara sebagian yurisdiksi membatasinya, jadi periksa per pasar.

Berapa lama kami boleh menyimpan rekaman panggilan dan data lead?

Hanya selama diperlukan untuk tujuan pengumpulannya. GDPR tidak menetapkan jumlah hari yang pasti. Praktik terbaiknya adalah jadwal retensi tertulis dengan periode terpisah untuk data lead, rekaman, disposisi, dan catatan persetujuan, ditambah penghapusan atau anonimisasi otomatis saat setiap periode berakhir. Sebagian aktivitas teregulasi mewajibkan retensi minimum tetap yang mengesampingkan jadwal default Anda.

Apa itu DPA dan apakah kami memerlukannya dengan vendor dialer?

Perjanjian pemrosesan data adalah kontrak berdasarkan Pasal 28 yang diwajibkan setiap kali pengendali menggunakan pemroses. Perjanjian ini menetapkan ruang lingkup pemrosesan dan mengikat pemroses pada keamanan, kerahasiaan, bantuan atas permintaan hak, pemberitahuan pelanggaran data, dan penghapusan data. Ya — Anda memerlukan DPA dengan vendor dialer mana pun yang memproses data pribadi atas nama Anda, dan Anda sebaiknya meninjau daftar subprosesornya.

Bolehkah kami menelepon kontak di UE jika tim atau server kami berada di luar UE?

Boleh, tetapi setiap transfer data pribadi ke luar EEA atau Inggris memerlukan mekanisme yang sah seperti Standard Contractual Clauses, UK IDTA, atau keputusan kecukupan, sering kali disertai penilaian dampak transfer. Ini mencakup server, penyimpanan rekaman, staf dukungan, dan subprosesor Anda. Menyimpan dan mengelola data UE dan Inggris di dalam wilayahnya secara substansial mengurangi kerumitan ini.

Apakah dialer membuat kami patuh GDPR?

Tidak ada alat yang dapat membuat Anda patuh dengan sendirinya. Anda tetap menjadi pengendali data yang bertanggung jawab atas dasar hukum, pemberitahuan privasi, dan konfigurasi Anda. Dialer yang mendukung kepatuhan seperti DialerBee menyediakan kontrol — penanganan persetujuan dan do-not-call, supresi keberatan, pengaturan perekaman dan retensi, isolasi data tenant, log audit, serta DPA yang tersedia — yang memudahkan Anda beroperasi secara dapat dipertanggungjawabkan, tetapi akuntabilitas tetap berada pada organisasi Anda.

Artikel ini ditujukan sebagai informasi umum dan bukan nasihat hukum. Interpretasi GDPR berbeda di setiap negara anggota dan terus berkembang — konsultasikan dengan penasihat perlindungan data atau penasihat hukum yang berkualifikasi.