Giden Arama Çağrı Merkezleri için GDPR Uyumu

Dış arama ile AB Genel Veri Koruma Tüzüğü (2016/679 sayılı AB Tüzüğü; Birleşik Krallık'ta UK GDPR ile karşılığı bulunur) rahatsız edici ölçüde iç içedir. Yaptığınız her arama kişisel veri içerir: bir telefon numarası, bir isim, bir borç bakiyesi, bir müşteri adayı puanı ya da kaydedilmiş bir ses. Bu, temsilcileriniz AB veya Birleşik Krallık'taki kişileri aramaya başladığı anda GDPR'ın operasyonunuzun neredeyse her yönüne uygulandığı anlamına gelir — ve hata yapmanın cezaları küresel cironun bir yüzdesi olarak ölçülür.

Bu rehber, GDPR'ın dış arama ekipleri için en önemli kısımlarını ele alıyor: hukuki dayanak seçimi, ePrivacy kurallarıyla etkileşim, veri sahibi haklarının yönetimi, aramaların hukuka uygun şekilde kaydedilmesi, saklama, sınır ötesi aktarımlar ve tedarikçilerinizle yapmanız gereken sözleşmeler. Şu pazarları arayan BPO'lar, tahsilat operasyonları, telekom bayileri ve düzenlemeye tabi çağrı merkezleri için yazılmıştır: AB ve Birleşik Krallık pazarları.

GDPR Dış Aramaya Neden Uygulanır?

GDPR, "kişisel verilerin" — kimliği belirli veya belirlenebilir yaşayan bir kişiye ilişkin her türlü bilginin — işlenmesini düzenler. Dış arama bağlamında bu; telefon numarasının kendisini, kişinin adını ve adresini, hesap veya borç ayrıntılarını, arama sonuçlarını, temsilci notlarını ve görüşmenin her türlü kaydını kapsar. Bir "aranmasın" işareti bile, kimliği belirli bir kişiyle ilgili olduğu için kişisel veridir.

İki rol önemlidir. Veri sorumlusu kişisel verilerin neden ve nasıl işleneceğine karar verir — genellikle ürünleri, alacakları veya hizmetleri hakkında arama yapılan işletmedir. Veri işleyen ise veri sorumlusunun belgelenmiş talimatlarıyla hareket eder — örneğin bir teknoloji sağlayıcısı veya dış kaynaklı bir arama ortağı. Bir müşteri adına arama yapan bir BPO iseniz, genellikle o müşterinin verileri için veri işleyen, kendi personel verileriniz için ise veri sorumlususunuz. Bu rolleri doğru belirlemek, kimin neden sorumlu olduğunu belirler.

Dış Aramalar İçin Hukuki Dayanak Seçimi

Kişisel verileri, şu düzenleme kapsamında bir hukuki dayanak olmadan işleyemezsiniz: 6. Madde. Pazarlama ve iletişim amaçlı dış aramalarda iki dayanak öne çıkar: açık rıza ve meşru menfaat. Tahsilat ve hizmet aramaları ise çoğu zaman sözleşmeye veya yasal yükümlülüğe dayanır.

Onay

GDPR kapsamında açık rıza; özgür iradeyle, belirli bir konuda, bilgilendirilerek ve açık bir olumlu eylemle verilmiş ve tereddüde yer bırakmayan nitelikte olmalıdır. Önceden işaretlenmiş kutular, sessizlik veya hareketsizlik rıza sayılmaz. Rızanın verildiğini kanıtlayabilmeli, nasıl ve ne zaman verildiğinin kaydını tutmalı ve geri çekilmesini verilmesi kadar kolay hale getirmelisiniz. Bir amaç için alınan rıza başka bir amacı otomatik olarak kapsamaz.

Meşru Menfaat

Meşru menfaat belirli dış arama faaliyetlerine dayanak olabilir — örneğin işletmeler arası (B2B) iletişim veya mevcut müşterilerle yakından ilişkili hizmetler hakkında temas. Belgelenmiş üç aşamalı bir dengeleme testi gerektirir: meşru menfaati tanımlayın, işlemenin bunu sağlamak için gerekli olduğunu gösterin ve kişinin hakları ve beklentilerinin buna ağır basmadığını teyit edin. GDPR'ın 47. gerekçe paragrafı doğrudan pazarlamanın meşru bir menfaat olabileceğini açıkça kabul eder — ancak bu, kişinin mutlak itiraz hakkını hiçbir zaman ortadan kaldırmaz.

Hangi dayanağı seçerseniz seçin, bu kararı önce aramaya başlamadan vermeli, belgelemeli ve gizlilik bildiriminizde açıklamalısınız. Bir uyum açığını kapatmak için dayanağı geriye dönük olarak değiştiremezsiniz.

ePrivacy Direktifi ve Pazarlama Aramaları

Elektronik pazarlamada GDPR hikâyenin tamamı değildir. Üye devletlerde ulusal hukuka ve Birleşik Krallık'ta PECR'a aktarılan ePrivacy Direktifi (2002/58/EC, değişiklikleriyle birlikte), istenmeyen pazarlama aramaları için özel kurallar koyar. Bu kurallar GDPR ile birlikte uygulanır ve geçerli oldukları durumlarda pazarlama kanalının kendisi için önceliklidir.

Pratik sonuçlar ülkeye göre değişir. Bazı üye devletler aramadan önce karşılaştırmanız gereken opt-out kayıt sistemleri işletir; diğerleri tüketicilere yapılan canlı pazarlama aramaları için önceden rıza ister. Otomatik veya önceden kaydedilmiş aramalara ilişkin kurallar genellikle daha katıdır ve yargı alanından bağımsız olarak çoğu zaman açık rıza gerektirir. Ulusal uygulamalar farklı olduğundan, birden fazla AB pazarını arayan bir operasyon tek bir genel politika yerine her hedef için geçerli en katı kuralı uygulamalıdır. Beklemedeki AB ePrivacy Tüzüğü'nün bu alanın bir kısmını uyumlaştırması bekleniyor; ancak yürürlüğe girene kadar ulusal hukuk geçerlidir.

Sistemlerinizin Desteklemesi Gereken Veri Sahibi Hakları

GDPR bireylere, çağrı merkezi süreçlerinizin ve teknolojinizin genellikle talepten itibaren bir ay içinde karşılayabilmesi gereken, uygulanabilir haklar tanır. Dış arama ekipleri için en önemli haklar şunlardır:

• Erişim hakkı (Md. 15): Kişi, arama kayıtları, ses kayıtları ve notlar dahil hakkında hangi verileri tuttuğunuzu sorabilir ve bir kopyasını alabilir.
• Silme hakkı (Md. 17): "Unutulma hakkı", verilerin saklanması için ağır basan hukuki bir gerekçe bulunmadığında bireylerin silinme talep etmesine olanak tanır.
• İtiraz hakkı (Md. 21): Doğrudan pazarlama söz konusu olduğunda bu hak mutlaktır — biri itiraz ettiğinde, herhangi bir dengeleme testi olmaksızın o kişiye pazarlama yapmayı durdurmalısınız.
• Düzeltme hakkı (Md. 16): Yanlış iletişim veya hesap verilerinin düzeltilmesi.
• İşlemeyi kısıtlama hakkı (Md. 18) ve veri taşınabilirliği hakkı (Md. 20) ilgili koşullarda geçerlidir.

Uygulamada bu, tek bir kişiyi dialer'ınızda, CRM'inizde, kayıtlarınızda ve müşteri adayı listelerinizde bulabilmeniz ve talebini hızla yerine getirebilmeniz gerektiği anlamına gelir. Dağınık, kiracılar arasında çoğaltılmış veya dizinlenmemiş kayıtlara gömülü veriler hak taleplerini yavaş ve hataya açık hale getirir — ve atlanan bir silme talebi ya da itirazdan sonra devam eden bir arama, tam da düzenleyicilerin cezalandırdığı türden bir hatadır.

GDPR Kapsamında Çağrı Kaydı

Ses kaydı kişisel veridir ve özel nitelikli veriler de içerebilir (örneğin bir tahsilat veya sigorta görüşmesinde paylaşılan sağlık bilgileri). Hukuka uygun kayıt, kendi hukuki dayanağını ve açık bir şeffaflığı gerektirir. Temel beklentiler şunlardır:

• Bildirim: Arayana görüşmenin kaydedilebileceğini ve nedenini, tercihen aramanın başında söyleyin.
• Amaçla sınırlılık: Yalnızca belirtilen amaçlar (kalite, eğitim, anlaşmazlık çözümü, yasal yükümlülükler) için kayıt yapın ve kayıtları başka amaçlarla kullanmayın.
• Güvenlik: Kayıtları depolamada ve aktarımda şifreleyin ve erişimi bilmesi gereken ilkesine göre kısıtlayın.
• Saklama: Kayıtları yalnızca belirtilen amacın gerektirdiği süre boyunca saklayın, ardından silin.

Bazı sektörler ve üye devletler ek veya çelişen kurallar getirir — bazı finansal hizmet rejimleri belirli sürelerle kayıt ve saklamayı zorunlu kılarken bazı ulusal yasalar kaydı sınırlar. Kayıt kurallarını büyük ölçekte uygulamaya almadan önce pazar bazında haritalayın.

Veri Saklama ve Minimizasyon

GDPR'ın saklama sınırlaması ilkesi, kişisel verileri amaç için gerekli olandan daha uzun süre saklamamanızı gerektirir. Tek bir "GDPR gün sayısı" yoktur — saklama süresi her veri türü ve amaç için gerekçelendirilmelidir. Yaygın bir yaklaşım; müşteri adayı verileri, çağrı kayıtları, arama sonuçları ve rıza kayıtları için ayrı süreler belirleyen ve süre dolduğunda otomatik silme veya anonimleştirme uygulayan yazılı bir saklama takvimidir. Veri minimizasyonu da geçerlidir: yalnızca gerçekten ihtiyaç duyduğunuz alanları toplayın ve arayın.

Sınır Ötesi Veri Aktarımları

Kişisel veriler AEA veya Birleşik Krallık dışına çıkıyorsa — yurt dışındaki bir destek ekibine, bulut bölgesine veya alt işleyene aktarım dahil — V. Bölüm kapsamında geçerli bir aktarım mekanizmasına ihtiyacınız vardır. Uygulamada bu genellikle Standart Sözleşme Maddeleri (SCC'ler veya Birleşik Krallık'ın IDTA/Addendum'u), hedef ülkeyi kapsayan bir yeterlilik kararı ya da çoğu zaman bir aktarım etki değerlendirmesiyle desteklenen başka bir tanınmış güvence anlamına gelir. Bir dış arama operasyonu için temel sorular şunlardır: Dialer'ınız nerede barındırılıyor, kayıtlar nerede saklanıyor ve platformu kim yönetiyor? AB/Birleşik Krallık verilerini bölge içinde tutmak bunu önemli ölçüde kolaylaştırır.

Veri İşleme Sözleşmeleri ve Alt İşleyenler

28. madde, her veri sorumlusu ile veri işleyen arasında yazılı bir sözleşme — bir veri işleme sözleşmesi (DPA) — yapılmasını gerektirir. DPA; işlemenin konusunu, süresini, niteliğini ve amacını, veri türlerini ve kişi kategorilerini ve veri sorumlusunun talimatlarını belirtmelidir. Ayrıca veri işleyeni gizlilik, güvenlik önlemleri, veri sahibi haklarına destek, ihlal bildirimi, sözleşme sonunda verilerin silinmesi veya iade edilmesi ve denetim hakları konusunda bağlamalıdır.

Veri işleyenler alt işleyenleri yalnızca veri sorumlusunun izniyle görevlendirebilir ve aynı yükümlülükleri sözleşmeyle onlara da yansıtmalıdır. Bir çağrı merkezi için alt işleyenler genellikle bulut barındırma, telefon operatörleri (burada genel olarak anılmıştır) ve analitik araçlarını içerir. Güncel bir alt işleyen listesi tutmalı ve değişiklikleri veri sorumlularına bildirmelisiniz. Herhangi bir dialer sağlayıcısını değerlendirirken DPA'sını ve alt işleyen listesini en baştan isteyin.

DialerBee GDPR'a Uygun Operasyonları Nasıl Destekler?

DialerBee bir uyumluluk garantisi olarak değil, uyumluluğu destekleyen bir platform olarak tasarlanmıştır: veri sorumlusu kuruluşunuz olarak kalır ve hukuki dayanaktan, bildirimlerden ve aracın nasıl yapılandırıldığından sorumludur. Bu çerçevede DialerBee, AB ve Birleşik Krallık operasyonlarının savunulabilir şekilde çalışmasına yardımcı olan uyumluluğu destekleyen kontroller sunar — yapılandırılabilir rıza ve aranmama (DNC) yönetimi, pazarlama itirazlarının engellenmesi ve kampanya bazında tanımladığınız saklama ayarlarıyla çağrı kaydı politikaları dahil.

Çok kiracılı mimarisi her müşterinin verilerini izole tutar; bu, birden fazla veri sorumlusu için veri işleyen olarak hareket eden BPO'lar ve telekom bayileri için önemlidir ve tek bir kişinin hak talebini bulup yerine getirmeyi daha yönetilebilir kılar. Denetim kayıtları hesap verebilirlik için yapılandırma değişikliklerini ve erişimleri kaydeder ve AB/Birleşik Krallık içinde bölgesel çalışma sınır ötesi aktarım karmaşıklığını azaltmaya yardımcı olur. DialerBee'nin dil farkında yapay zekası 11 dili desteklediğinden, çok uluslu ekipler kayıt ve rıza bildirimlerini arayanın dilinde sunabilir. Bir veri işleme sözleşmesi mevcuttur; güvenlik ve uyumluluk duruşumuzu da Güven sayfasındainceleyebilirsiniz. Belirli pilot koşullarında ekipler, merkezi engelleme ve rıza takibinin itirazları yerine getirmek için gereken manuel eforu azalttığını bildirdi — sonuçlar kuruluma ve yapılandırmaya göre değişir.

Sıkça sorulan sorular

GDPR'a göre giden arama yapan çağrı merkezleri her arama için rıza almalı mı?

Her zaman değil. Açık rıza hukuki dayanaklardan biridir; ancak meşru menfaat, bir dengeleme testini belgelemeniz koşuluyla B2B iletişim veya mevcut müşterilerle ilgili hizmetler hakkında temas gibi bazı dış arama faaliyetlerine dayanak olabilir. Bununla birlikte ulusal ePrivacy kuralları belirli pazarlama aramaları için yine de rıza gerektirebilir ve bireyler doğrudan pazarlamaya itiraz etme konusunda her zaman mutlak bir hakka sahiptir.

GDPR'a göre çağrı kaydı yasal mı?

Evet, doğru yapılırsa. Geçerli bir hukuki dayanağınız varsa, arayana görüşmenin kaydedilebileceğini ve nedenini söylerseniz, kullanımı belirtilen amaçlarla sınırlarsanız, kayıtları şifreleme ve erişim kontrolleriyle korursanız ve saklama süresi dolduğunda silerseniz kayıt hukuka uygundur. Bazı finansal ve düzenlemeye tabi sektörler ayrıca kaydı zorunlu kılarken bazı yargı alanları kısıtlar; bu yüzden pazar bazında kontrol edin.

Çağrı kayıtlarını ve müşteri adayı verilerini ne kadar süre saklayabiliriz?

Yalnızca onları topladığınız amaç için gerekli olduğu süre boyunca. GDPR sabit bir gün sayısı belirlemez. En iyi uygulama; müşteri adayı verileri, kayıtlar, arama sonuçları ve rıza kayıtları için ayrı süreler içeren yazılı bir saklama takvimi ve her süre sona erdiğinde otomatik silme veya anonimleştirmedir. Düzenlemeye tabi bazı faaliyetler, varsayılan takviminizin önüne geçen sabit asgari saklama süreleri gerektirir.

DPA nedir ve dialer sağlayıcımızla bir DPA imzalamamız gerekir mi?

Veri işleme sözleşmesi, bir veri sorumlusu bir veri işleyen kullandığında gereken 28. madde sözleşmesidir. İşlemenin kapsamını tanımlar ve veri işleyeni güvenlik, gizlilik, hak taleplerine destek, ihlal bildirimi ve verilerin silinmesi konusunda bağlar. Evet — sizin adınıza kişisel veri işleyen her dialer sağlayıcısıyla bir DPA imzalamanız ve alt işleyen listesini incelemeniz gerekir.

Ekibimiz veya sunucularımız AB dışındaysa AB'deki kişileri arayabilir miyiz?

Arayabilirsiniz; ancak kişisel verilerin AEA veya Birleşik Krallık dışına her aktarımı, Standart Sözleşme Maddeleri, Birleşik Krallık IDTA'sı veya bir yeterlilik kararı gibi geçerli bir mekanizma gerektirir ve çoğu zaman bir aktarım etki değerlendirmesiyle desteklenir. Bu; sunucularınızı, kayıt depolamanızı, destek personelinizi ve alt işleyenlerinizi kapsar. AB ve Birleşik Krallık verilerini bölge içinde barındırmak ve yönetmek bu karmaşıklığı önemli ölçüde azaltır.

Bir dialer bizi GDPR uyumlu hale getirir mi?

Hiçbir araç sizi tek başına uyumlu hale getiremez. Hukuki dayanağınızdan, gizlilik bildirimlerinizden ve yapılandırmanızdan sorumlu veri sorumlusu siz olmaya devam edersiniz. DialerBee gibi uyumluluğu destekleyen bir dialer; rıza ve aranmama yönetimi, itiraz engelleme, kayıt ve saklama ayarları, kiracı veri izolasyonu, denetim kayıtları ve mevcut bir DPA gibi savunulabilir çalışmayı kolaylaştıran kontroller sunar, ancak hesap verebilirlik kuruluşunuzda kalır.

Bu makale genel bilgilendirme amaçlıdır ve hukuki tavsiye değildir. GDPR'ın yorumu üye devletlere göre değişir ve gelişir; yetkin bir veri koruma danışmanına veya hukuk danışmanına başvurun.