Чи законно записувати й аналізувати розмови з клієнтами в Україні

Два різні питання, які постійно плутають

Коли питають «чи можна записувати розмову», зазвичай мають на увазі одну з двох зовсім різних ситуацій.

Перша — людина записує розмову, в якій сама бере участь, щоб мати доказ. Тут українська практика доволі ліберальна: суди визнають такі записи допустимими доказами, якщо вони не порушують приватність інших осіб. Саме про це пишуть більшість статей у мережі.

Друга — компанія систематично записує сотні розмов із клієнтами, зберігає їх, аналізує й будує на цьому звіти. Це вже не «диктофон у кишені», а обробка персональних даних, і регулюється вона Законом України «Про захист персональних даних» № 2297-VI. Поради з першої ситуації тут не працюють.

Якщо ви читаєте цю статтю як власник бізнесу з телефонією — вас стосується друга ситуація.

Що саме вимагає закон

Підстава для обробки

Стаття 11 Закону перелічує підстави, на яких взагалі можна обробляти персональні дані. Для запису розмов бізнесу зазвичай релевантні три:

• згода субʼєкта — класичний варіант: людина почула попередження й лишилася на лінії;
• укладення або виконання правочину — коли розмова є частиною оформлення замовлення;
• законний інтерес володільця — контроль якості обслуговування та навчання персоналу сюди вкладаються, але цей інтерес треба вміти обґрунтувати й не виходити за його межі.

Практичний висновок: для контролю якості дзвінків найчастіше спираються на законний інтерес плюс належне інформування. Але якщо ви плануєте робити з записами щось ширше — наприклад, навчати на них власні моделі чи передавати партнерам — самого законного інтересу вже не вистачить.

Інформування співрозмовника

Стаття 12 вимагає повідомити людину про те, хто збирає дані, які саме, з якою метою і кому вони передаються, а також про її права. Коли дані збирають безпосередньо в особи — повідомити треба одразу, тобто на початку розмови, а не постфактум.

Передача даних за кордон

Стаття 29 дозволяє передавати дані іноземним отримувачам за умови належного захисту. Держави ЄЕП і країни — учасниці Конвенції Ради Європи вважаються такими, що забезпечують належний захист; для інших потрібна окрема підстава, зокрема згода субʼєкта чи необхідність виконання договору. Для вас це має значення, якщо ваш сервіс аналізу працює на американських AI-моделях — а сьогодні це майже завжди так.

Чого робити не можна

Стаття 163 Кримінального кодексу карає за порушення таємниці телефонних розмов — це про прослуховування чужих розмов і поширення їх змісту. Тому запис власних робочих дзвінків — одне, а переслати транскрипт стороннім людям, викласти фрагмент у соцмережі чи використати його для тиску на клієнта — зовсім інше. Записи й транскрипти мають лишатися всередині компанії, з доступом за ролями.

Як правильно попереджати клієнтів

Найпростіший і найпоширеніший спосіб — голосове привітання перед зʼєднанням. Якщо ви користуєтеся віртуальною АТС, воно налаштовується в кабінеті телефонії за кілька хвилин.

Важливий нюанс, який більшість компаній пропускає: якщо розмови аналізує AI, у попередженні варто сказати й про це. Формулювання «для контролю якості обслуговування» технічно не покриває передачу запису сторонньому AI-провайдеру.

Текст попередження продублюйте в політиці конфіденційності на сайті: саме туди ви відправляєте людину за деталями, і там мають бути перелічені отримувачі даних та строки зберігання.

Про працівників забувають найчастіше

Голос менеджера, його прізвище в звіті, оцінка його роботи — це теж персональні дані, а сам менеджер — такий самий субʼєкт даних, як і клієнт. Причому працівник перебуває у залежному становищі, тож «згода» від нього — слабка підстава: вважається, що відмовитися він фактично не може.

Тому надійніше зробити так:

• прописати контроль якості дзвінків у внутрішньому документі — положенні про обробку персональних даних або правилах внутрішнього трудового розпорядку;
• ознайомити працівників із цим документом під підпис;
• пояснити межі: що саме оцінюється (зручно спиратися на чек-лист із 12 критеріїв), хто бачить звіти і що записи не використовуються поза контролем якості;
• обмежити доступ ролями, щоб менеджери не читали розмови одне одного.

Це не формальність. Конфлікт із працівником через «таємне прослуховування» — найімовірніший сценарій претензії, значно вірогідніший за скаргу клієнта.

AI-аналіз: що змінюється, коли підключається модель

Технічно AI-аналіз — це передача запису та його тексту сторонньому обробнику. З погляду закону зʼявляється новий отримувач даних, який до того ж зазвичай перебуває за межами України. Що це означає на практиці:

• Назвіть отримувача в політиці. Не «треті особи», а конкретно: який сервіс, у якій країні, для чого.
• Перевірте, що дані не йдуть на навчання моделей. У провайдерів корпоративних API це зазвичай так за замовчуванням, але це має бути зафіксовано в їхніх умовах, а не в маркетинговому тексті.
• Мінімізуйте те, що передаєте. Номери телефонів, картки та email можна вирізати з тексту ще до відправки — для оцінки скрипта вони не потрібні.
• Не аналізуйте зайве. Розмови з особливими категоріями даних (здоровʼя, релігійні чи політичні переконання) і розмови з дітьми потребують окремої підстави. Простіше виключити такі лінії з аналізу, ніж потім доводити правомірність.

Чек-лист перед запуском

1. Визначте підставу обробки й запишіть її (найчастіше — законний інтерес).
2. Додайте попередження про запис і AI-обробку в голосове привітання.
3. Оновіть політику конфіденційності: мета, отримувачі даних, строки зберігання, права людини, контакт для звернень.
4. Ознайомте працівників під підпис із контролем якості дзвінків.
5. Обмежте доступ до записів і звітів ролями.
6. Встановіть строк зберігання й видаляйте старі записи.
7. Виключіть з аналізу лінії, де можливі особливо чутливі розмови.

Що ми зробили з нашого боку

Call AI працює як розпорядник даних: записи належать вашій компанії, ми обробляємо їх лише за вашим дорученням. Щоб зменшити ризики:

• аудіо завантажується тільки на час розпізнавання й у нас не зберігається;
• перед текстовим аналізом із транскрипту прибираються номери телефонів, карток і email, а в метаданих не передаються імʼя співробітника й номер клієнта;
• ключі телефонії зберігаються зашифрованими;
• дані кожної компанії ізольовані, всередині діють ролі й доступ за відділами;
• перелік отримувачів даних відкрито описаний у Політиці конфіденційності.

Коротко

Записувати й аналізувати розмови можна. Ризик створює не сам аналіз, а мовчання: коли клієнта не попередили, працівників не ознайомили, а політика конфіденційності не згадує, куди насправді йдуть дані. Усе перелічене закривається за один робочий день.