Łatwo nacisnąć Record. Trudniej wyjaśnić to organowi nadzorczemu

Wygodna funkcja staje się procesem przetwarzania danych

Mało kto zastanawia się nad konsekwencjami chwili, w której naciska Record podczas spotkania w Google Meet, Zoom lub Microsoft Teams.

Gdy do rozmowy dołącza Otter.ai, Fireflies.ai, tl;dv albo Fathom — aby przygotować transkrypcję, podsumowanie i listę zadań.

Gdy Gong analizuje rozmowy zespołu sprzedaży.

Gdy Genesys Cloud, NiCE CXone, Five9 albo Dialpad rejestrują i analizują rozmowy prowadzone przez contact center.

Dziś wszystkie te działania wyglądają niemal tak samo: kilka znajomych nazw, krótkie powiadomienie i czerwona kropka w rogu ekranu.

Dla użytkownika jest to wygodna funkcja.

Dla organizacji — początek nowego procesu przetwarzania danych.

Głos trafia do chmury.

Nagranie zmienia się w tekst.

Tekst — we wnioski modelu.

Wnioski — w zadania, wpisy w CRM, oceny pracowników, raporty menedżerskie i pamięć firmowego asystenta AI.

Jedna rozmowa może jednocześnie istnieć jako nagranie spotkania, transkrypcja, kopia zapasowa, wpis w CRM, wiadomość w komunikatorze, rekord w systemie analitycznym i element firmowej bazy wiedzy.

Wraz z tymi kopiami pojawia się odpowiedzialność.

Pytania, które pojawiają się wraz z kopiami

Kto określił cel nagrywania?

Na jakiej podstawie prawnej przetwarzana jest rozmowa?

O czym dokładnie poinformowano uczestników?

Kto uzyskał dostęp do nagrania i transkrypcji?

Czy rozmowa może zostać wykorzystana do oceny pracownika, profilowania klienta albo trenowania systemu?

Jak długo będą przechowywane kopie?

Kto będzie mógł znaleźć tę rozmowę za rok?

I czy organizacja rzeczywiście potrzebuje całej rozmowy — słowo w słowo i bez jasno określonego terminu usunięcia?

Stwierdzenie „korzystaliśmy tylko ze standardowej usługi” nie odpowiada na żadne z tych pytań.

Zaangażowanie zewnętrznego dostawcy dodaje kolejnego uczestnika przetwarzania, ale nie usuwa obowiązków samej organizacji. Dokładny podział ról zależy od konfiguracji, celów przetwarzania i umów, jednak przekazanie danych dostawcy nie oznacza automatycznego przekazania mu całej odpowiedzialności.

Ryzyko nie jest wyłącznie teoretyczne

W przypadku najpoważniejszych naruszeń RODO górna granica administracyjnej kary pieniężnej może wynosić 20 milionów euro albo 4% całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego — zastosowanie ma wyższa kwota.

Jest to ustawowy maksymalny poziom kary, a nie automatyczna sankcja za naciśnięcie przycisku Record.

Ryzyko nie jest jednak wyłącznie teoretyczne.

16 października 2025 roku francuski organ CNIL nałożył na spółkę z sektora call center karę w wysokości 250 000 euro. Wśród wskazanych naruszeń znalazły się problemy z minimalizacją danych, okresem ich przechowywania oraz bezpieczeństwem.

Inny przykład nie dotyczy samego rozpoczęcia nagrywania, lecz tego, co dzieje się z danymi później.

18 listopada 2025 roku Europejska Rada Ochrony Danych opublikowała informację o karze w wysokości 100 000 euro nałożonej przez włoski organ ochrony danych na bank. Sprawa dotyczyła prawa klientów do uzyskania dostępu do ich danych osobowych zawartych w nagraniach telefonicznych zleceń.

Nagrania już istniały.

Organizacja musiała jednak wiedzieć, gdzie znajdują się dane, jak je odnaleźć i jak zapewnić osobie dostęp do dotyczących jej informacji.

Dlatego główne pytanie nie brzmi wyłącznie:

Czy wolno było nacisnąć Record?

Równie ważne jest inne:

Co stanie się z rozmową później?

Przed uruchomieniem: droga danych

Wyjściem nie jest panika ani całkowita rezygnacja z nagrywania.

Najlepszą ochroną jest wiedza o drodze, którą przechodzą dane.

Przed uruchomieniem procesu organizacja powinna wiedzieć:

• co dokładnie jest nagrywane;
• dlaczego nagranie jest rzeczywiście potrzebne;
• na jakiej podstawie prawnej odbywa się przetwarzanie;
• które zewnętrzne usługi otrzymują dane;
• gdzie powstają dodatkowe kopie;
• kto ma dostęp do nagrania, transkrypcji i wniosków AI;
• jak długo przechowywane są dane;
• w jaki sposób osoba może uzyskać kopię danych, poprawić je albo zażądać ich usunięcia;
• jak weryfikowane są wnioski wygenerowane przez AI;
• czy pełną transkrypcję można zastąpić minimalnym zestawem potwierdzonych decyzji, faktów i zadań.

Context / Record

Temu właśnie poświęcony jest Context / Record — interaktywna analiza tego, co naprawdę zostaje uruchomione wraz z przyciskiem Record.

Projekt pokazuje drogę rozmowy: od przechwycenia głosu przez przetwarzanie w chmurze, transkrypcję i analizę AI aż po CRM, bazę wiedzy oraz długoterminową pamięć firmowego asystenta.

Nie obiecuje magicznego bezpieczeństwa prawnego.

Daje coś bardziej użytecznego: możliwość zobaczenia całego procesu, zanim wygodna funkcja zmieni się w skargę, wyciek danych, nakaz organu nadzorczego albo karę pieniężną.

Ograniczenia i zakres

Materiał nie twierdzi, że każde nagranie jest automatycznie niezgodne z prawem. Konkretne obowiązki zależą od celu, kategorii danych, roli organizacji, wykorzystywanych dostawców, prawa krajowego oraz faktycznej konfiguracji systemu.

To publikacja informacyjna, a nie indywidualna porada prawna; konkretne rozwiązanie dotyczące nagrywania wymaga oceny jego własnych okoliczności i właściwego prawa.

Nagrywanie może zakończyć się po godzinie. Odpowiedzialność za utworzone dane może pozostać na lata.

Sprawdź konsekwencje przed rozpoczęciem nagrywania →