Kepatuhan GDPR untuk Pusat Panggilan Keluar

Panggilan keluar dan Peraturan Perlindungan Data Umum Uni Eropa (Peraturan (EU) 2016/679, yang dicerminkan di Inggris oleh GDPR Inggris) berada dalam hubungan yang sangat dekat. Setiap panggilan yang Anda lakukan melibatkan data pribadi: nomor telepon, nama, saldo utang, skor prospek, atau rekaman suara. Itu berarti saat agen Anda mulai menghubungi kontak di Uni Eropa atau Inggris, GDPR berlaku untuk hampir semua yang dilakukan operasi Anda — dan sanksi atas kesalahan tersebut diukur sebagai persentase dari omset global.

Panduan ini membahas bagian-bagian GDPR yang paling penting bagi tim outbound: memilih dasar hukum, interaksi dengan aturan ePrivacy, menangani hak subjek data, merekam panggilan secara sah, retensi, transfer lintas batas, dan kontrak yang Anda perlukan dengan vendor Anda. Panduan ini ditulis untuk BPO, operasi penagihan, reseller telekomunikasi, dan pusat kontak yang diatur yang melakukan panggilan ke pelanggan. Pasar Uni Eropa dan Inggris.

Mengapa GDPR Berlaku untuk Panggilan Keluar?

GDPR mengatur pemrosesan "data pribadi" — setiap informasi yang berkaitan dengan orang hidup yang teridentifikasi atau dapat diidentifikasi. Dalam konteks panggilan keluar, ini termasuk nomor telepon itu sendiri, nama dan alamat kontak, detail rekening atau hutang, hasil panggilan, catatan agen, dan rekaman percakapan apa pun. Bahkan tanda "jangan hubungi" pun merupakan data pribadi karena berkaitan dengan individu yang teridentifikasi.

Dua peran penting. pengontrol Pihak yang menentukan mengapa dan bagaimana data pribadi diproses — biasanya perusahaan yang produk, utang, atau jasanya ditanyakan. prosesor Bertindak berdasarkan instruksi yang didokumentasikan oleh pengontrol—misalnya, vendor teknologi atau mitra panggilan pihak ketiga. Jika Anda adalah BPO yang melakukan panggilan atas nama klien, Anda biasanya bertindak sebagai pemroses data klien dan pengontrol data staf Anda sendiri. Memahami peran-peran ini dengan benar menentukan siapa yang bertanggung jawab atas apa.

Memilih Dasar Hukum untuk Panggilan Keluar

Anda tidak dapat memproses data pribadi tanpa dasar hukum yang sah. Pasal 6Untuk pemasaran dan penjangkauan keluar, dua hal yang mendominasi percakapan adalah: persetujuan dan kepentingan yang sah. Penagihan dan panggilan layanan seringkali bergantung pada kontrak atau kewajiban hukum.

Izin

Persetujuan berdasarkan GDPR harus diberikan secara bebas, spesifik, berdasarkan informasi yang lengkap, dan tidak ambigu, serta diberikan melalui tindakan afirmatif yang jelas. Kotak centang yang sudah dicentang sebelumnya, diam, atau ketidakaktifan tidak dihitung. Anda harus dapat menunjukkan bahwa persetujuan telah diberikan, menyimpan catatan tentang bagaimana dan kapan persetujuan diberikan, dan mempermudah proses penarikan persetujuan seperti halnya proses pemberian persetujuan. Persetujuan yang diperoleh untuk satu tujuan tidak secara otomatis mencakup tujuan lain.

Kepentingan yang Sah

Kepentingan sah dapat mendukung aktivitas keluar tertentu — misalnya, menjangkau bisnis ke bisnis atau menghubungi pelanggan yang sudah ada tentang layanan yang terkait erat. Hal ini memerlukan uji keseimbangan tiga bagian yang terdokumentasi: mengidentifikasi kepentingan sah, menunjukkan bahwa pemrosesan diperlukan untuk mencapainya, dan mengkonfirmasi bahwa hal itu tidak dikesampingkan oleh hak dan harapan individu. Pertimbangan 47 GDPR secara tegas mengakui bahwa pemasaran langsung dapat menjadi kepentingan sah — tetapi hal itu tidak pernah menghilangkan hak mutlak individu untuk menolak.

Apa pun dasar yang Anda pilih, Anda harus memutuskannya. sebelum Anda mulai menelepon, mendokumentasikannya, dan mengungkapkannya dalam pemberitahuan privasi Anda. Anda tidak dapat mengganti basis data secara retroaktif untuk memperbaiki celah kepatuhan.

Arahan ePrivasi dan Panggilan Pemasaran

GDPR bukanlah keseluruhan cerita untuk pemasaran elektronik. Direktif ePrivacy (2002/58/EC, sebagaimana telah diubah), yang diimplementasikan ke dalam hukum nasional di seluruh negara anggota dan ke dalam PECR Inggris, menetapkan aturan khusus untuk panggilan pemasaran yang tidak diminta. Aturan-aturan ini berjalan bersamaan dengan GDPR , dan jika berlaku, aturan-aturan ini lebih diutamakan untuk saluran pemasaran itu sendiri.

Konsekuensi praktisnya bervariasi di setiap negara. Beberapa negara anggota menerapkan sistem pendaftaran opt-out yang harus Anda periksa; negara lain mensyaratkan persetujuan sebelumnya untuk panggilan pemasaran langsung kepada konsumen. Aturan untuk panggilan otomatis atau pra-rekaman umumnya lebih ketat dan seringkali memerlukan persetujuan eksplisit terlepas dari yurisdiksi. Karena implementasi nasional berbeda, operasi yang melakukan panggilan di berbagai pasar Uni Eropa harus menerapkan aturan yang paling ketat yang berlaku untuk setiap tujuan — bukan kebijakan umum tunggal. Peraturan ePrivasi Uni Eropa yang sedang dalam proses diharapkan dapat menyelaraskan sebagian dari hal ini, tetapi sampai peraturan tersebut berlaku, hukum nasional yang berlaku.

Hak Subjek Data yang Harus Didukung oleh Sistem Anda

GDPR memberikan hak-hak yang dapat ditegakkan secara hukum kepada individu, yang harus dipenuhi oleh proses dan teknologi pusat panggilan Anda, biasanya dalam waktu satu bulan setelah permintaan diajukan. Hak-hak yang paling relevan bagi tim panggilan keluar adalah:

• Hak akses (Pasal 15): Seseorang dapat meminta data apa yang Anda simpan, termasuk catatan panggilan, rekaman, dan catatan, serta menerima salinannya.
• Hak untuk penghapusan (Pasal 17): "Hak untuk dilupakan" memungkinkan individu untuk meminta penghapusan data jika tidak ada alasan hukum yang mendesak untuk menyimpan data tersebut.
• Hak untuk mengajukan keberatan (Pasal 21): Untuk pemasaran langsung, ini adalah mutlak — begitu seseorang keberatan, Anda harus berhenti memasarkan kepada mereka, tanpa uji keseimbangan apa pun.
• Hak untuk melakukan koreksi (Pasal 16): Memperbaiki data kontak atau akun yang tidak akurat.
• Hak untuk membatasi pemrosesan (Pasal 18) Dan portabilitas data (Pasal 20) dalam keadaan yang relevan.

Dalam praktiknya, ini berarti Anda perlu menemukan satu kontak di seluruh sistem panggilan, CRM , rekaman, dan daftar prospek Anda, dan menindaklanjuti permintaan mereka dengan cepat. Data yang tersebar, duplikat di berbagai tenant, atau terkubur dalam rekaman yang tidak terindeks membuat permintaan hak akses menjadi lambat dan rawan kesalahan — dan penghapusan yang terlewat atau panggilan yang berlanjut setelah keberatan adalah jenis kegagalan yang akan dikenai sanksi oleh regulator.

Perekaman Panggilan Berdasarkan GDPR

Rekaman suara merupakan data pribadi, dan dapat mencakup data kategori khusus (misalnya, informasi kesehatan yang diungkapkan selama panggilan penagihan atau asuransi). Perekaman yang sah memerlukan dasar hukum tersendiri dan transparansi yang jelas. Harapan utama meliputi:

• Melihat: Beri tahu penelepon bahwa panggilan tersebut mungkin direkam dan jelaskan alasannya, idealnya di awal panggilan.
• Batasan tujuan: Rekam hanya untuk tujuan yang telah ditentukan (kualitas, pelatihan, penyelesaian sengketa, kewajiban peraturan) dan jangan menggunakan kembali rekaman tersebut untuk tujuan lain.
• Keamanan: Enkripsikan rekaman saat disimpan dan saat ditransmisikan, serta batasi akses berdasarkan prinsip kebutuhan untuk mengetahui.
• Penyimpanan: Simpan rekaman hanya selama tujuan yang dinyatakan membutuhkannya, lalu hapus.

Beberapa sektor dan negara anggota memberlakukan aturan tambahan atau yang saling bertentangan — rezim layanan keuangan tertentu mewajibkan pencatatan dan penyimpanan untuk jangka waktu tetap, sementara beberapa undang-undang nasional membatasi pencatatan. Petakan aturan pencatatan per pasar sebelum Anda menerapkannya dalam skala besar.

Retensi dan Minimalisasi Data

Prinsip pembatasan penyimpanan GDPR mengharuskan Anda menyimpan data pribadi tidak lebih lama dari yang diperlukan untuk tujuan tersebut. Tidak ada satu pun "angka GDPR " yang pasti untuk jumlah hari — penyimpanan harus dibenarkan per jenis data dan tujuan. Pendekatan umum adalah jadwal penyimpanan tertulis yang menetapkan periode terpisah untuk data prospek, rekaman panggilan, disposisi, dan catatan persetujuan, dengan penghapusan otomatis atau anonimisasi ketika periode berakhir. Minimalisasi data juga berlaku: hanya kumpulkan dan gunakan data yang benar-benar Anda butuhkan.

Transfer Data Lintas Batas

Jika data pribadi keluar dari EEA atau Inggris — termasuk ke tim dukungan, wilayah cloud, atau sub-prosesor di luar negeri — Anda memerlukan mekanisme transfer yang sah berdasarkan Bab V. Dalam praktiknya, ini biasanya berarti Klausul Kontrak Standar (SCC, atau IDTA/Addendum Inggris), keputusan kecukupan yang mencakup negara tujuan, atau perlindungan lain yang diakui, yang sering kali didukung oleh penilaian dampak transfer. Untuk operasi keluar, pertanyaan kuncinya adalah: di mana dialer Anda dihosting, di mana rekaman disimpan, dan siapa yang mengelola platform tersebut? Menyimpan data EU/UK di wilayah tersebut sangat menyederhanakan hal ini.

Perjanjian Pemrosesan Data dan Sub-Prosesor

Pasal 28 mensyaratkan kontrak tertulis — sebuah perjanjian pemrosesan data ( DPA ) — antara setiap pengendali dan pengolah data. DPA harus menetapkan pokok bahasan, durasi, sifat dan tujuan pemrosesan, jenis data dan kategori individu, serta instruksi pengendali. Perjanjian tersebut juga harus mengikat pengolah data pada kerahasiaan, langkah-langkah keamanan, bantuan terkait hak subjek data, pemberitahuan pelanggaran, penghapusan atau pengembalian data pada akhir kontrak, dan hak audit.

Prosesor hanya dapat terlibat subprosesor dengan otorisasi dari pengendali dan harus meneruskan kewajiban yang sama melalui kontrak. Untuk pusat panggilan, sub-prosesor biasanya mencakup hosting cloud, operator telepon (disebut secara umum di sini), dan alat analitik. Anda harus memelihara daftar sub-prosesor yang terbaru dan memberi tahu pengendali tentang perubahan. Saat Anda mengevaluasi vendor dialer mana pun, mintalah DPA dan daftar sub-prosesornya di awal.

Bagaimana DialerBee Mendukung Operasi yang Memperhatikan GDPR

DialerBee dibangun sebagai platform pendukung kepatuhan, bukan jaminan kepatuhan: organisasi Anda tetap menjadi pengendali data dan bertanggung jawab atas dasar hukum, pemberitahuan, dan bagaimana alat tersebut dikonfigurasi. Dalam kerangka kerja tersebut, DialerBee menyediakan kontrol pendukung kepatuhan yang membantu operasional di Uni Eropa dan Inggris Raya berjalan secara aman — termasuk penanganan persetujuan dan larangan panggilan yang dapat dikonfigurasi, penekanan keberatan pemasaran, dan kebijakan perekaman panggilan dengan pengaturan retensi yang Anda tentukan per kampanye.

Arsitektur multi-tenant-nya menjaga agar data setiap klien terisolasi, yang penting bagi BPO dan reseller telekomunikasi yang bertindak sebagai pemroses untuk beberapa pengendali, dan membuat pencarian dan penindaklanjutan permintaan hak akses dari satu kontak menjadi lebih mudah dikelola. Log audit mencatat perubahan konfigurasi dan akses untuk akuntabilitas, dan Operasi di wilayah Uni Eropa/Inggris Membantu mengurangi kompleksitas transfer lintas batas. Karena AI DialerBee yang peka terhadap bahasa mendukung 11 bahasa, tim multinasional dapat menampilkan rekaman dan pemberitahuan persetujuan dalam bahasa penelepon. Perjanjian pemrosesan data tersedia., dan Anda dapat meninjau postur keamanan dan kepatuhan kami di Halaman kepercayaanDalam kondisi uji coba terpilih, tim melaporkan bahwa penekanan terpusat dan pelacakan persetujuan mengurangi upaya manual dalam memenuhi keberatan — hasilnya bervariasi tergantung pada penerapan dan konfigurasi.

Pertanyaan yang Sering Diajukan

Apakah pusat panggilan keluar memerlukan persetujuan untuk setiap panggilan berdasarkan GDPR ?

Tidak selalu. Persetujuan adalah salah satu dasar hukum yang sah, tetapi kepentingan sah dapat mendukung beberapa aktivitas keluar seperti menjangkau pelanggan B2B atau menghubungi pelanggan yang sudah ada tentang layanan terkait, asalkan Anda mendokumentasikan uji keseimbangan. Namun, peraturan ePrivacy nasional mungkin masih memerlukan persetujuan untuk panggilan pemasaran tertentu, dan individu selalu memiliki hak mutlak untuk menolak pemasaran langsung.

Apakah perekaman panggilan legal menurut GDPR ?

Ya, jika dilakukan dengan benar. Perekaman sah menurut hukum jika Anda memiliki dasar hukum yang valid, memberi tahu penelepon bahwa panggilan mungkin direkam dan alasannya, membatasi penggunaan hanya untuk tujuan yang dinyatakan, mengamankan rekaman dengan enkripsi dan kontrol akses, serta menghapusnya setelah masa penyimpanan berakhir. Beberapa sektor keuangan dan yang diatur juga mewajibkan perekaman, sementara beberapa yurisdiksi membatasinya, jadi periksa peraturan di setiap wilayah.

Berapa lama kita dapat menyimpan rekaman panggilan dan data prospek?

Hanya selama diperlukan untuk tujuan pengumpulan data tersebut. GDPR tidak menetapkan jumlah hari yang tetap. Praktik terbaik adalah jadwal penyimpanan tertulis dengan periode terpisah untuk data prospek, rekaman, disposisi, dan catatan persetujuan, ditambah penghapusan otomatis atau anonimisasi ketika setiap periode berakhir. Beberapa aktivitas yang diatur memerlukan penyimpanan minimum tetap yang menggantikan jadwal default Anda.

Apa itu DPA dan apakah kita membutuhkannya dengan vendor dialer kita?

Perjanjian pemrosesan data adalah kontrak Pasal 28 yang diperlukan setiap kali pengendali data menggunakan pengolah data. Perjanjian ini mendefinisikan ruang lingkup pemrosesan dan mengikat pengolah data pada keamanan, kerahasiaan, bantuan dalam permintaan hak, pemberitahuan pelanggaran, dan penghapusan data. Ya — Anda memerlukan DPA dengan vendor dialer mana pun yang memproses data pribadi atas nama Anda, dan Anda harus meninjau daftar sub-prosesornya.

Bisakah kita menghubungi kontak di Uni Eropa jika tim atau server kita berada di luar Uni Eropa?

Anda bisa, tetapi setiap transfer data pribadi ke luar EEA atau Inggris Raya memerlukan mekanisme yang sah seperti Klausul Kontrak Standar, IDTA Inggris Raya, atau keputusan kecukupan, seringkali disertai dengan penilaian dampak transfer. Ini mencakup server Anda, penyimpanan rekaman, staf pendukung, dan sub-prosesor. Menyimpan dan mengelola data Uni Eropa dan Inggris Raya di wilayah tersebut secara substansial mengurangi kerumitan ini.

Apakah aplikasi panggilan otomatis membuat kita mematuhi GDPR ?

Tidak ada alat yang dapat membuat Anda sepenuhnya patuh. Anda tetap menjadi pengendali data yang bertanggung jawab atas dasar hukum, pemberitahuan privasi, dan konfigurasi Anda. Aplikasi panggilan otomatis yang mendukung kepatuhan seperti DialerBee menyediakan kontrol — penanganan persetujuan dan penolakan panggilan, penekanan keberatan, pengaturan perekaman dan penyimpanan, isolasi data tenant, log audit, dan DPA yang tersedia — yang memudahkan pengoperasian secara terpertanggungjawabkan, tetapi akuntabilitas tetap berada di organisasi Anda.

Artikel ini bertujuan untuk memberikan informasi umum dan bukan merupakan nasihat hukum. Interpretasi GDPR berbeda-beda di setiap negara anggota dan terus berkembang — konsultasikan dengan penasihat atau konsultan perlindungan data yang berkualifikasi.