AVG en spraakopnames: wat mag je vastleggen van een telefoongesprek?

Zodra je een telefoongesprek vastlegt, verwerk je persoonsgegevens: de stem is er één, en wat er gezegd wordt bevat er meestal nog een handvol. Dat betekent niet dat het niet mag. Het betekent dat je vier dingen op orde moet hebben.

1. Een grondslag

Voor een interne IT-servicedesk is dat doorgaans het gerechtvaardigd belang: je moet kunnen reconstrueren wat er is afgesproken en je wilt de kwaliteit van je dienstverlening bewaken. Leg die afweging vast — welk belang, waarom weegt dat op tegen de privacy van de beller, welke maatregelen heb je genomen. Dat document heet een belangenafweging en je hebt hem nodig zodra iemand ernaar vraagt.

Toestemming is meestal een slechtere grondslag dan mensen denken: in een werkgever-werknemerrelatie is die zelden vrij gegeven, en je moet 'nee' kunnen accepteren zonder de dienst te weigeren.

2. Informeren, aan het begin van het gesprek

De beller moet weten dat er wordt vastgelegd, door wie en waarom, vóórdat het gebeurt. Eén zin bij de begroeting volstaat, met een verwijzing naar je privacyverklaring voor het lange verhaal. Wordt er met een AI-assistent gesproken, vermeld dat dan ook expliciet — bij overheidsorganisaties is dat inmiddels de norm en bij bedrijven is het simpelweg verstandig.

3. Een bewaartermijn die je kunt uitleggen

Er bestaat geen wettelijk vastgelegde termijn voor servicedeskopnames. Je moet zelf een termijn bepalen die past bij het doel — en je eraan houden. Wat we in de praktijk als redelijk zien:

• Geluidsopname: 30 dagen, of helemaal niet bewaren. Ongeveer de helft van onze klanten kiest voor het laatste.
• Transcript: even lang als de melding zelf bewaard wordt, want het is onderdeel van het dossier.
• Samenvatting in de melding: volgt de bewaartermijn van je meldingenadministratie.
• Technische logs zonder inhoud: 14 dagen, voor storingsonderzoek.

De vraag is niet of je mag opnemen, maar of je kunt uitleggen waarom je het nog hebt.

4. Rechten die je ook echt kunt uitvoeren

Een beller mag inzage vragen in wat er over hem is vastgelegd, en verwijdering vragen als de grondslag vervalt. Dat klinkt vanzelfsprekend, maar het valt of staat bij de vraag of je het terug kunt vinden. Als je opnames alleen chronologisch zijn opgeslagen zonder koppeling aan een melder, kun je een inzageverzoek niet beantwoorden zonder alle andere gesprekken te doorzoeken — en dat mag dan weer niet.

Zorg dus dat vastlegging vanaf het begin gekoppeld is aan de melder en de melding. Dat is niet alleen een privacy-eis; het is ook de enige manier waarop de vastlegging operationeel bruikbaar is.

Wat een AI-assistent hieraan verandert

Twee dingen. Ten eerste komt er een verwerker bij, namelijk de partij die het taalmodel levert. Die moet in je verwerkersregister staan en er moet een afspraak liggen dat er niet op jouw gegevens getraind wordt. Vraag daar expliciet naar; het staat lang niet altijd standaard aan.

Ten tweede wordt vastlegging veel vollediger dan bij een menselijke medewerker. Waar een mens een samenvatting typt, staat er nu een woordelijk transcript. Dat is winst voor je dossiervorming en tegelijk een grotere verantwoordelijkheid: meer gegevens, dus een strakkere bewaartermijn en een preciezere afbakening van wie erbij kan.

Dit artikel is algemene uitleg, geen juridisch advies. Voor de definitieve afweging in jouw organisatie is je eigen functionaris gegevensbescherming aan zet — en die kan van ons alle documentatie krijgen die daarvoor nodig is.