Conformidade com a gravação de chamadas: um guia prático (2026)

Isenção de responsabilidade: Este artigo contém informações gerais e não constitui aconselhamento jurídico. As leis relativas à gravação de chamadas, consentimento e proteção de dados variam muito de país para país, de estado para estado e de setor para setor — e estão sujeitas a alterações. Confirme as suas obrigações específicas com um advogado qualificado antes de adotar qualquer prática aqui descrita.

A gravação de chamadas é uma das atividades mais úteis — e juridicamente sensíveis — de um contact center de atendimento ativo. As gravações são essenciais para o controle de qualidade, o treinamento de agentes, a resolução de disputas e a comprovação para fins regulatórios. No entanto, uma gravação feita sem o devido consentimento ou gerenciada sem as devidas precauções pode se transformar de um ativo em um passivo. Este guia aborda as principais questões que toda empresa de BPO, operação de cobrança, revendedora de telecomunicações e contact center regulamentado deve responder: quando é permitido gravar, como informar as pessoas sobre isso, por quanto tempo as gravações podem ser armazenadas e quais controles técnicos realmente garantem a conformidade.

Consentimento de uma das partes versus consentimento de duas (todas as partes)

O conceito mais importante na legislação sobre gravação de chamadas é quem tem que concordar antes que uma conversa seja gravada. De forma geral, as jurisdições se dividem em dois grupos:

• Consentimento de uma das partes: Apenas um dos participantes da chamada precisa consentir com a gravação. Como seu próprio agente participa da chamada e consente ao fazer a gravação, as regras de consentimento de apenas um participante geralmente são o padrão mais fácil de atender.
• Consentimento de todas as partes (duas partes): Todos os participantes devem consentir. Na prática, isso significa que você precisa do consentimento informado da outra parte — geralmente obtido por meio de uma declaração clara no início da chamada, além da participação contínua ou de um "sim" explícito.

Nos Estados Unidos, essa divisão varia de estado para estado. A maioria dos estados adota o sistema de partido único, mas alguns exigem o consentimento de todos os partidos. Califórnia é o exemplo mais frequentemente citado, e outros estados como Flórida, Illinois, Pensilvânia e Washington são comumente agrupados na categoria mais restritiva. A lista exata e suas nuances mudam com o tempo e de acordo com o contexto dos fatos, por isso nós deliberadamente fazemos não Publique aqui uma tabela completa com os 50 estados — considere estes apenas como exemplos conhecidos e verifique a regra atual para cada estado em que você entrar em contato.

Duas complicações práticas são importantes para as equipes que realizam viagens internacionais:

• Chamadas internacionais. Quando as partes estão em jurisdições diferentes, a regra mais rigorosa pode ser aplicada. Uma prática padrão segura para campanhas multiestaduais ou internacionais é operar como se o consentimento de todas as partes fosse necessário.
• O teste da "expectativa razoável de privacidade". Muitas leis dependem da expectativa razoável de que a conversa fosse privada por uma das partes. A divulgação clara e antecipada resolve essa questão, eliminando a expectativa de uma chamada privada e não gravada.

Divulgação e notificação: a opção padrão na prática

Como muitas vezes não é possível saber antecipadamente qual a regra da jurisdição que rege uma determinada chamada, a melhor prática operacional é: divulgar a gravação de todas as chamadasUm aviso curto e claro — "Esta chamada poderá ser gravada para fins de qualidade e treinamento" — logo no início da conversa já resolve grande parte do problema:

• Isso elimina qualquer expectativa razoável de privacidade.
• Isso dá à parte chamada a oportunidade de apresentar objeções ou desligar antes de uma discussão substancial.
• Isso cria um padrão consistente e auditável em todas as campanhas e idiomas.

Para operações multilíngues, a divulgação deve ser feita no idioma em que a chamada é realizada. Consistência e comprovação são tão importantes quanto a redação: ser capaz de demonstrar que um aviso de divulgação foi acionado em uma determinada chamada costuma ser mais valioso do que qualquer variação isolada do script.

GDPR : fundamento jurídico e transparência na UE

Na UE e no Reino Unido, uma gravação de voz que pode identificar uma pessoa é dados pessoaisAssim, o Regulamento Geral de Proteção de Dados (RGPD) aplica-se em conjunto com quaisquer regras de consentimento para registo de dados. Dois pilares GDPR são especialmente relevantes:

• Fundamento jurídico. É necessário ter uma base legal válida para processar a gravação — geralmente interesses legítimos (com uma análise de ponderação documentada), execução de um contrato ou consentimento explícito, dependendo da finalidade. Consentimento para ser gravado e uma base legal para processo As gravações estão relacionadas, mas são distintas.
• Transparência. Os indivíduos devem ser informados, de forma clara e antecipada, de que estão sendo gravados, o motivo, por quanto tempo a gravação será mantida e como exercer seus direitos (acesso, exclusão, objeção). Dados de categoria especial (por exemplo, informações de saúde que surgem em uma coleta de dados ou em uma ligação para serviços de saúde) estão sujeitos a condições mais rigorosas.

Para uma análise mais detalhada do GDPR aplicado às chamadas de saída, consulte o nosso guia. Guia GDPR para centrais de atendimento de chamadas outbound.

Considerações PDPL do GCC

Em todo o Conselho de Cooperação do Golfo (CCG), as leis de proteção de dados pessoais (PDPLs) em mercados como Arábia Saudita, Emirados Árabes Unidos, Bahrein e Catar impõem cada vez mais obrigações semelhantes GDPR : uma base legal definida, transparência para o indivíduo, limitação da finalidade, minimização de dados e — em vários regimes — controles de residência de dados ou transferência transfronteiriça. Se você grava chamadas para clientes ou pessoas que ligam para o CCG, planeje os requisitos de notificação locais e esteja preparado para documentar onde as gravações são armazenadas e quem pode acessá-las. Como em qualquer outro lugar, confirme o texto atual e quaisquer regras setoriais com um advogado local.

Sobreposições setoriais: PCI-DSS e saúde

Alguns conteúdos são tão sensíveis que regras gerais não são suficientes:

• Dados de cartão de pagamento (PCI-DSS). Se um interlocutor ler o número do cartão e o código de segurança, armazenar esse áudio pode sujeitar sua empresa à regulamentação PCI-DSS. A abordagem padrão é... pausar e retomar A gravação — ou mascaramento do áudio — ocorre no momento em que os dados do cartão são capturados, de forma que dados de autenticação sensíveis nunca sejam gravados na gravação.
• Assistência médica e outras categorias especiais. Informações de saúde, detalhes sobre dificuldades financeiras e outros conteúdos sensíveis semelhantes elevam o nível de exigência em termos de legalidade, controle de acesso e retenção. Minimize o que você coleta, restrinja quem pode ouvir e reduza o período de retenção sempre que possível.

Armazenamento seguro: criptografia em trânsito e em repouso.

Uma gravação só é considerada em conformidade se o ambiente que a contém também estiver. As expectativas básicas para operações regulamentadas incluem:

• Criptografia em trânsito Dessa forma, as gravações e seus metadados ficam protegidos durante a transferência entre sistemas.
• Criptografia em repouso Assim, os áudios e transcrições armazenados tornam-se ilegíveis se o armazenamento subjacente estiver comprometido.
• Segregação e integridade Assim, as gravações são separadas logicamente por tenant ou campanha e não podem ser alteradas silenciosamente.

Controles de acesso e privilégio mínimo

Quem pode ouvir uma gravação é tão importante quanto a própria existência dela. Aplique os princípios do menor privilégio: conceda acesso por função, não indiscriminadamente; exija autenticação; e, crucialmente, Registre cada acesso. Assim, você pode mostrar quem ouviu o quê e quando. Os registros de acesso são frequentemente a evidência que satisfaz um auditor ou responde a uma reclamação do titular dos dados. A redação ou o mascaramento de campos sensíveis limitam ainda mais a exposição, mesmo para funcionários autorizados.

Retenção e exclusão

"Por quanto tempo devemos guardar as gravações de chamadas?" é uma das perguntas mais comuns — e há não existe um único número universalA retenção de talentos é impulsionada por forças concorrentes, e o período ideal resulta do equilíbrio entre elas, considerando o seu setor e jurisdição.

• Mínimos regulamentares. Alguns regimes exigem que você mantenha certos registros por um período definido (por exemplo, provas de disputa ou verificação em contextos financeiros ou de telecomunicações regulamentados).
• Disputas e litígios suspensos. As gravações relacionadas a uma disputa, reclamação ou questão legal em andamento devem ser preservadas até o encerramento do caso, prevalecendo sobre a exclusão rotineira.
• Pressão de minimização de dados. Regulamentos semelhantes GDPR e PDPL seguem na direção oposta — não conservar dados pessoais por mais tempo do que o necessário para a finalidade declarada.

A resposta prática é definir um cronograma de retenção documentado Para cada tipo de gravação, aplique a exclusão automática quando o período expirar e implemente medidas legais que suspendam a exclusão de registros específicos. Como os valores mínimos e as normas variam bastante, defina seu cronograma com um advogado, em vez de adotar um valor que você encontrou online.

Considerações sobre transcrição por IA

Transcrever e analisar gravações agrega valor — perguntas e respostas pesquisáveis, sinalizadores de palavras-chave, resumos — mas uma transcrição ainda é um dado pessoal e herda as mesmas obrigações do áudio original. Pontos a serem considerados no planejamento:

• As transcrições e as análises derivadas se enquadram na categoria de mesma base legal, acesso e retenção. regras como gravação de origem.
• O processamento automatizado pode gerar maior transparência ou, em alguns regimes, salvaguardas em torno de decisões automatizadas significativas — manter um ser humano envolvido para garantir resultados relevantes.
• A transcrição multilíngue deve ser feita por IA com reconhecimento de linguagem Assim, a precisão se mantém em todos os idiomas que seus agentes realmente falam.

Veja como a transcrição se encaixa com a gravação em Transcrição DialerBee.

Melhores práticas por dimensão

Controles de gravação que dão suporte à conformidade

A política só funciona quando as ferramentas a impõem. DialerBee fornece isso. controles de suporte à conformidade que tornam as práticas acima operacionais, em vez de apenas aspiracionais:

• Solicitações de consentimento e divulgação — Anúncios gravados configuráveis que são reproduzidos automaticamente, por campanha e por idioma, com um registro de que o comando foi acionado. Veja gravação de chamada.
• Criptografia — gravações e transcrições protegidas em trânsito e em repouso.
• Configurações de retenção — planos de retenção por tipo com exclusão automática e suporte para retenções legais.
• Registros de acesso — Acesso baseado em funções, com registro de quem ouviu o quê e quando.
• Automação de políticas — reunir as regras de gravação, consentimento e retenção com piloto automático de conformidade e o mais amplo controles de conformidade.

Esses controles auxiliam — mas não garantem por si só — a conformidade; suas políticas, treinamentos e análises jurídicas continuam sendo essenciais. Para as regras relacionadas sobre quando você pode discar, consulte também nosso [link para o documento/sistema/etc.]. Guia de conformidade TCPA.

Perguntas frequentes

Preciso do consentimento de uma ou de ambas as partes para gravar uma chamada?

Depende da localização das partes. Algumas jurisdições permitem o consentimento de apenas uma das partes, o que significa que somente um participante (geralmente seu agente) precisa concordar, enquanto outras exigem o consentimento de todas as partes (duas partes) — a Califórnia é um exemplo conhecido da regra mais rigorosa. Em campanhas que abrangem vários estados ou fronteiras, a prática mais segura é tratar cada chamada como se o consentimento de todas as partes fosse necessário e divulgar a gravação antecipadamente. Confirme as regras específicas aplicáveis com um advogado.

Dizer "esta chamada pode ser gravada" é suficiente?

Uma divulgação clara no início da chamada é uma prática recomendada e, em muitas jurisdições de consentimento unilateral, garante o consentimento necessário, pois elimina qualquer expectativa razoável de privacidade e dá à pessoa a oportunidade de se opor. Em jurisdições de consentimento bilateral e sob regimes de proteção de dados como GDPR , você também pode precisar de consentimento documentado ou outra base legal, além de um aviso de transparência mais completo. A divulgação é necessária, mas nem sempre suficiente por si só.

Por quanto tempo devo guardar as gravações de chamadas?

Não existe um número único e universal. O período de retenção é determinado por requisitos mínimos regulamentares, pendências judiciais ou litígios em andamento e regras de minimização de dados que incentivam a retenção de dados apenas pelo tempo necessário. A abordagem prática consiste em um cronograma de retenção documentado para cada tipo de registro, exclusão automática ao término do período e exceções às regras de retenção legal — definidas em conjunto com seu advogado, considerando seu setor e jurisdição, em vez de simplesmente copiar um valor genérico.

Como posso manter a conformidade com o PCI-DSS quando os clientes leem os números dos cartões em voz alta?

Evite capturar dados do cartão na gravação. A técnica padrão é pausar e retomar a gravação — ou mascarar o áudio — no momento exato em que o número do cartão e o código de segurança são falados, para que os dados de autenticação sensíveis nunca sejam gravados no armazenamento. Isso mantém a gravação útil para controle de qualidade e reduz o escopo da sua conformidade com o PCI-DSS.

As transcrições de chamadas têm as mesmas obrigações legais que o áudio?

Sim. Uma transcrição que possa identificar uma pessoa é considerada dado pessoal e herda as mesmas obrigações legais, de controle de acesso e de retenção que a gravação original. A análise automatizada pode adicionar requisitos de transparência e, para resultados importantes, é recomendável manter um profissional envolvido. Trate as transcrições — incluindo as multilíngues produzidas por IA com reconhecimento de linguagem — com o mesmo cuidado que as gravações originais.