Conformità al GDPR per i call center outbound: cosa c'è da sapere

Le chiamate in uscita e il Regolamento generale sulla protezione dei dati (Regolamento (UE) 2016/679, recepito nel Regno Unito dal GDPR britannico) sono strettamente collegati. Ogni chiamata effettuata implica dati personali: un numero di telefono, un nome, un saldo del debito, un punteggio di un potenziale cliente o una registrazione vocale. Ciò significa che, dal momento in cui i vostri operatori iniziano a chiamare i contatti nell'UE o nel Regno Unito, il GDPR si applica praticamente a tutte le attività aziendali, e le sanzioni per le violazioni si misurano in percentuale sul fatturato globale.

Questa guida illustra le parti del GDPR più importanti per i team outbound: la scelta di una base giuridica, l'interazione con le norme ePrivacy, la gestione dei diritti degli interessati, la registrazione legale delle chiamate, la conservazione dei dati, i trasferimenti transfrontalieri e i contratti necessari con i fornitori. È pensata per BPO, operazioni di recupero crediti, rivenditori di telecomunicazioni e contact center regolamentati che effettuano chiamate in entrata. Mercati dell'UE e del Regno Unito.

Perché il GDPR si applica alle chiamate in uscita

Il GDPR disciplina il trattamento dei "dati personali", ovvero qualsiasi informazione relativa a una persona fisica identificata o identificabile. Nel contesto delle chiamate in uscita, ciò include il numero di telefono stesso, il nome e l'indirizzo del contatto, i dettagli del conto o del debito, l'esito delle chiamate, le note dell'operatore e qualsiasi registrazione della conversazione. Anche un'etichetta "non chiamare" è considerata dato personale perché si riferisce a un individuo identificato.

Due ruoli contano. Il controller decide perché e come vengono elaborati i dati personali, in genere l'azienda i cui prodotti, debiti o servizi vengono richiesti. processor Agisce in base alle istruzioni documentate del titolare del trattamento, ad esempio un fornitore di tecnologia o un partner esterno per le chiamate. Se sei un'azienda di BPO che effettua chiamate per conto di un cliente, di solito sei un responsabile del trattamento dei dati di quel cliente e un titolare del trattamento dei dati del tuo personale. Definire correttamente questi ruoli determina chi è responsabile di cosa.

Scelta di una base giuridica per le chiamate in uscita

Non è possibile trattare i dati personali senza una base giuridica ai sensi Articolo 6Per il marketing outbound e le attività di contatto con i clienti, due elementi fondamentali dominano la conversazione: il consenso e il legittimo interesse. Le chiamate di sollecito e di servizio, invece, si basano spesso su contratti o obblighi di legge.

Consenso

Ai sensi del GDPR, il consenso deve essere libero, specifico, informato e inequivocabile, espresso mediante un'azione affermativa chiara. Le caselle preselezionate, il silenzio o l'inattività non sono sufficienti. È necessario essere in grado di dimostrare che il consenso è stato prestato, conservare una registrazione delle modalità e dei tempi di erogazione e rendere la revoca altrettanto semplice quanto la sua concessione. Il consenso ottenuto per una finalità non si estende automaticamente a un'altra.

Interesse legittimo

L'interesse legittimo può giustificare determinate attività in uscita, ad esempio le attività di contatto tra aziende o il contatto con clienti esistenti per offrire servizi strettamente correlati. È necessario un test di bilanciamento documentato in tre fasi: identificare l'interesse legittimo, dimostrare che il trattamento è necessario per raggiungerlo e confermare che non vi siano prevalenze rispetto ai diritti e alle aspettative dell'interessato. Il considerando 47 del GDPR riconosce espressamente che il marketing diretto può costituire un interesse legittimo, ma ciò non elimina mai il diritto assoluto dell'interessato di opporsi.

Qualunque base tu scelga, devi deciderlo before Si inizia a effettuare chiamate, si documenta l'operazione e la si dichiara nell'informativa sulla privacy. Non è possibile cambiare sede retroattivamente per colmare una lacuna di conformità.

La direttiva ePrivacy e le chiamate di marketing

Il GDPR non è l'unica normativa in materia di marketing elettronico. La Direttiva ePrivacy (2002/58/CE, e successive modifiche), recepita nel diritto nazionale degli Stati membri e nel PECR del Regno Unito, stabilisce norme specifiche per le chiamate di marketing non richieste. Queste norme si affiancano al GDPR e, laddove applicabili, prevalgono sul canale di marketing stesso.

Le conseguenze pratiche variano da paese a paese. Alcuni Stati membri gestiscono registri di opt-out che è necessario consultare; altri richiedono il consenso preventivo per le chiamate di marketing effettuate da operatori in carne e ossa ai consumatori. Le norme relative alle chiamate automatizzate o preregistrate sono generalmente più rigide e spesso richiedono il consenso esplicito, indipendentemente dalla giurisdizione. Poiché l'attuazione a livello nazionale differisce, un'attività che opera in più mercati dell'UE deve applicare la norma più restrittiva applicabile per ciascuna destinazione, e non una politica unica e generalizzata. Si prevede che il Regolamento UE sulla privacy elettronica (ePrivacy) in fase di approvazione armonizzerà alcuni di questi aspetti, ma fino alla sua entrata in vigore, la normativa nazionale è quella di riferimento.

Diritti dell'interessato che i vostri sistemi devono supportare

Il GDPR conferisce agli individui diritti esigibili che i processi e la tecnologia del tuo call center devono essere in grado di soddisfare, di solito entro un mese dalla richiesta. I diritti più rilevanti per i team outbound sono:

• Diritto di accesso (Art. 15): Una persona può chiedere quali dati sono in tuo possesso, inclusi registri delle chiamate, registrazioni e note, e riceverne una copia.
• Diritto alla cancellazione (Art. 17): Il "diritto all'oblio" consente alle persone di richiedere la cancellazione dei propri dati qualora non sussista un motivo legale prevalente per conservarli.
• Diritto di opposizione (art. 21): Per il marketing diretto questo è absolute — una volta che qualcuno solleva un'obiezione, devi interrompere le attività di marketing rivolte a quella persona, senza alcun tentativo di bilanciamento.
• Diritto di rettifica (art. 16): Correzione di dati di contatto o di account inesatti.
• Diritto di limitare il trattamento (Art. 18) and portabilità dei dati (art. 20) nelle circostanze pertinenti.

In pratica, ciò significa che è necessario individuare un singolo contatto tra il dialer, il CRM, le registrazioni e gli elenchi di lead, e agire rapidamente in base alla sua richiesta. I dati sparsi, duplicati tra i diversi tenant o nascosti in registrazioni non indicizzate rendono le richieste di accesso lente e soggette a errori, e una mancata cancellazione o una chiamata continuata dopo un'obiezione sono esattamente il tipo di errore che gli enti regolatori sanzionano.

Registrazione delle chiamate ai sensi del GDPR

Una registrazione vocale costituisce dato personale e può includere dati di categoria speciale (ad esempio, informazioni sanitarie divulgate durante una chiamata di recupero crediti o assicurativa). La registrazione deve essere legale e deve garantire la massima trasparenza. I requisiti fondamentali includono:

• Avviso: Informate chi chiama che la conversazione potrebbe essere registrata e spiegate il motivo, possibilmente all'inizio della chiamata.
• Limitazione dello scopo: Registrare esclusivamente per gli scopi dichiarati (qualità, formazione, risoluzione delle controversie, obblighi normativi) e non riutilizzare le registrazioni per altri scopi.
• Sicurezza: Crittografa le registrazioni sia a riposo che in transito e limita l'accesso solo a chi ne ha effettivamente bisogno.
• Ritenzione: Conserva le registrazioni solo per il tempo necessario allo scopo dichiarato, dopodiché cancellale.

Alcuni settori e Stati membri impongono norme aggiuntive o contrastanti: alcuni regimi dei servizi finanziari prevedono l'obbligo di registrazione e conservazione per periodi determinati, mentre alcune leggi nazionali limitano tale obbligo. È fondamentale mappare le norme di registrazione per ciascun mercato prima di implementarle su larga scala.

Conservazione e minimizzazione dei dati

Il principio di limitazione della conservazione previsto dal GDPR impone di conservare i dati personali solo per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti. Non esiste un unico "numero di giorni" stabilito dal GDPR: la conservazione deve essere giustificata in base al tipo di dato e alla finalità. Un approccio comune prevede la definizione di un piano di conservazione scritto che stabilisca periodi distinti per i dati dei potenziali clienti, le registrazioni delle chiamate, le decisioni prese e i dati relativi al consenso, con cancellazione automatica o anonimizzazione al termine del periodo. Anche la minimizzazione dei dati è fondamentale: raccogliere e utilizzare solo i dati effettivamente necessari.

Trasferimenti transfrontalieri di dati

Se i dati personali escono dallo Spazio economico europeo (SEE) o dal Regno Unito, anche verso un team di supporto, una regione cloud o un sub-responsabile del trattamento all'estero, è necessario un meccanismo di trasferimento valido ai sensi del Capitolo V. In pratica, ciò significa solitamente l'utilizzo di Clausole Contrattuali Standard (SCC) o dell'IDTA/Addendum del Regno Unito, una decisione di adeguatezza relativa al paese di destinazione o un'altra garanzia riconosciuta, spesso supportata da una valutazione d'impatto del trasferimento. Per un'operazione in uscita, le domande chiave sono: dove è ospitato il sistema di composizione automatica dei numeri, dove vengono archiviate le registrazioni e chi gestisce la piattaforma? Mantenere i dati UE/Regno Unito all'interno della regione semplifica notevolmente la questione.

Accordi sul trattamento dei dati e sub-responsabili del trattamento

L'articolo 28 richiede un contratto scritto — un accordo sul trattamento dei dati (DPA) — tra ogni titolare del trattamento e responsabile del trattamento. L'accordo sul trattamento dei dati (DPA) deve definire l'oggetto, la durata, la natura e lo scopo del trattamento, le tipologie di dati e le categorie di persone, nonché le istruzioni del titolare del trattamento. Deve inoltre vincolare il responsabile del trattamento alla riservatezza, alle misure di sicurezza, all'assistenza nell'esercizio dei diritti dell'interessato, alla notifica delle violazioni, alla cancellazione o alla restituzione dei dati al termine del contratto e al diritto di audit.

I processori possono solo interagire sub-processors con l'autorizzazione del titolare del trattamento e devono trasmettere gli stessi obblighi tramite contratto. Per un call center, i sub-responsabili del trattamento includono in genere l'hosting cloud, gli operatori di telefonia (qui indicati genericamente) e gli strumenti di analisi. È necessario mantenere un elenco aggiornato dei sub-responsabili del trattamento e notificare ai titolari del trattamento eventuali modifiche. Quando si valuta un fornitore di dialer, è opportuno richiedere in anticipo l'accordo sul trattamento dei dati (DPA) e l'elenco dei sub-responsabili del trattamento.

Come DialerBee supporta le operazioni conformi al GDPR

DialerBee è concepito come una piattaforma a supporto della conformità, non come una garanzia di conformità: la tua organizzazione rimane il titolare del trattamento dei dati ed è responsabile della base giuridica, delle informative e della configurazione dello strumento. All'interno di tale quadro, DialerBee fornisce controlli a supporto della conformità che aiutano le operazioni nell'UE e nel Regno Unito a operare in modo difendibile, tra cui la gestione configurabile del consenso e del "non chiamare", la soppressione delle obiezioni al marketing e le politiche di registrazione delle chiamate con impostazioni di conservazione personalizzabili per ogni campagna.

La sua architettura multi-tenant mantiene isolati i dati di ciascun cliente, il che è importante per i BPO e i rivenditori di telecomunicazioni che agiscono come processori per più titolari del trattamento, e rende più gestibile l'individuazione e l'azione sulla richiesta di diritti di un singolo contatto. I registri di controllo registrano le modifiche di configurazione e l'accesso per la responsabilità e Operazioni in loco nell'UE/Regno Unito Contribuisce a ridurre la complessità dei trasferimenti transfrontalieri. Grazie all'intelligenza artificiale di DialerBee, che riconosce 9 lingue, i team multinazionali possono presentare avvisi di registrazione e di consenso nella lingua del chiamante. È disponibile un accordo sul trattamento dei dati.e puoi rivedere il nostro livello di sicurezza e conformità su Pagina di fiduciaIn alcune condizioni pilota selezionate, i team hanno riferito che la soppressione centralizzata e il monitoraggio del consenso hanno ridotto lo sforzo manuale necessario per dare seguito alle obiezioni; i risultati variano a seconda dell'implementazione e della configurazione.

Domande frequenti

Ai sensi del GDPR, i call center in uscita devono ottenere il consenso per ogni chiamata?

Non sempre. Il consenso è una base giuridica, ma l'interesse legittimo può supportare alcune attività di marketing diretto, come il contatto B2B o il contatto con i clienti esistenti per offrire servizi correlati, a condizione che venga documentato un bilanciamento degli interessi. Tuttavia, le normative nazionali sulla privacy elettronica potrebbero comunque richiedere il consenso per determinate chiamate di marketing, e gli individui conservano sempre il diritto assoluto di opporsi al marketing diretto.

La registrazione delle chiamate è legale ai sensi del GDPR?

Sì, se fatto correttamente. La registrazione è legale quando si ha una valida base giuridica, si informa l'interlocutore che la chiamata potrebbe essere registrata e del perché, si limita l'uso agli scopi dichiarati, si proteggono le registrazioni con crittografia e controlli di accesso e le si elimina al termine del periodo di conservazione. Alcuni settori finanziari e regolamentati impongono inoltre la registrazione, mentre altre giurisdizioni la limitano, quindi è necessario verificare le normative specifiche di ciascun mercato.

Per quanto tempo possiamo conservare le registrazioni delle chiamate e i dati dei potenziali clienti?

Solo per il tempo necessario allo scopo per cui sono stati raccolti. Il GDPR non stabilisce un numero fisso di giorni. La prassi migliore prevede un piano di conservazione scritto con periodi distinti per i dati dei lead, le registrazioni, le disposizioni e i registri dei consensi, oltre alla cancellazione automatica o all'anonimizzazione al termine di ciascun periodo. Alcune attività regolamentate richiedono un periodo di conservazione minimo fisso che prevale sul piano predefinito.

Cos'è un DPA e ne abbiamo bisogno con il nostro fornitore di dialer?

Un accordo sul trattamento dei dati è il contratto previsto dall'articolo 28, obbligatorio ogni volta che un titolare del trattamento si avvale di un responsabile del trattamento. Esso definisce l'ambito del trattamento e vincola il responsabile del trattamento alla sicurezza, alla riservatezza, all'assistenza nelle richieste relative ai diritti, alla notifica delle violazioni e alla cancellazione dei dati. Sì, è necessario un accordo sul trattamento dei dati con qualsiasi fornitore di sistemi di composizione automatica che elabori dati personali per conto dell'utente, ed è opportuno esaminare l'elenco dei suoi sub-responsabili del trattamento.

Possiamo contattare i nostri referenti nell'UE se il nostro team o i nostri server si trovano al di fuori dell'Unione Europea?

È possibile, ma qualsiasi trasferimento di dati personali al di fuori dello Spazio economico europeo (SEE) o del Regno Unito richiede un meccanismo valido, come le Clausole contrattuali standard, l'accordo internazionale sui trasferimenti di dati (IDTA) del Regno Unito o una decisione di adeguatezza, spesso accompagnata da una valutazione d'impatto del trasferimento. Questo include i server, l'archiviazione dei dati, il personale di supporto e i subappaltatori. Mantenere i dati UE e del Regno Unito ospitati e gestiti all'interno della regione riduce notevolmente questa complessità.

L'utilizzo di un sistema di composizione automatica ci rende conformi al GDPR?

Nessuno strumento da solo può garantire la conformità. Rimani il titolare del trattamento dei dati, responsabile della base giuridica, delle informative sulla privacy e della configurazione. Un dialer che supporta la conformità come DialerBee fornisce controlli (gestione del consenso e del "non chiamare", soppressione delle obiezioni, impostazioni di registrazione e conservazione, isolamento dei dati degli utenti, registri di controllo e un accordo sul trattamento dei dati disponibile) che semplificano le operazioni in modo difendibile, ma la responsabilità rimane in capo alla tua organizzazione.

Questo articolo ha scopo puramente informativo e non costituisce consulenza legale. L'interpretazione del GDPR varia da Stato membro a Stato membro ed è soggetta a continue evoluzioni: si consiglia di consultare un consulente o un legale qualificato in materia di protezione dei dati.