Een voicebot die de telefoon opneemt, verwerkt vanaf de eerste seconde persoonsgegevens: het telefoonnummer van de beller, de inhoud van het gesprek en vaak ook gegevens die de bot opzoekt in je eigen systemen. Daarmee valt de voicebot automatisch onder de AVG, net als elke medewerker die dezelfde telefoon zou opnemen. Het verschil is dat een geautomatiseerd systeem een aantal vragen scherper maakt: welke grondslag geldt er, wat moet je de beller vertellen, en hoe lang mag je het gesprek bewaren?

Dit artikel loopt die vragen praktisch langs, van grondslag tot bewaartermijn, zodat je een voicebot die inkomende gesprekken zelfstandig afhandelt kunt inzetten zonder achteraf tegen een privacyprobleem aan te lopen. De insteek is niet juridisch uitputtend, maar praktisch: wat een Nederlands bedrijf moet regelen voordat de bot live gaat.

Welke gegevens verwerkt een voicebot precies

Een voicebot verwerkt in de kern drie soorten gegevens. Ten eerste metadata van het gesprek zelf: het gebelde nummer, het tijdstip en de duur, gegevens die vaak al automatisch worden gelogd door de telefooncentrale en die op zichzelf een beperkt privacyrisico vormen. Ten tweede de gespreksinhoud, vaak omgezet naar tekst zodat de bot kan reageren en zodat een medewerker het gesprek later kan naleven, waarbij die transcriptie net zo gevoelig is als een geluidsopname en dus dezelfde bescherming verdient. Ten derde gegevens die de bot tijdens het gesprek opzoekt in je CRM, orderadministratie of planningssysteem, zoals een klantnummer of een afspraakstatus, waarmee het gesprek gekoppeld raakt aan een bestaand klantprofiel in plaats van op zichzelf te staan.

Zodra een beller iets vertelt over gezondheid, financiële problemen of een andere bijzondere categorie, telt dat gesprek zwaarder mee in je risicobeoordeling, ook al heeft de bot er niet expliciet naar gevraagd. Een voicebot die alleen bedoeld is om een afspraak te bevestigen, kan alsnog in een gevoelige categorie belanden zodra de beller ongevraagd een medische reden voor de afspraak noemt. Bouw daarom een vangnet in het gespreksscript: zodra de bot een signaal herkent dat op bijzondere persoonsgegevens wijst, schakelt hij door naar een medewerker in plaats van het gesprek zelfstandig af te handelen en op te slaan.

Welke grondslag geldt voor het verwerken van een gesprek

Voor inkomende zakelijke gesprekken is gerechtvaardigd belang meestal de aangewezen grondslag, omdat de beller zelf contact zoekt en de verwerking nodig is om die vraag te beantwoorden. Je moet die afweging wel kunnen tonen: waarom het belang van je bedrijf opweegt tegen de privacy van de beller, en welke maatregelen je neemt om dat belang niet te laten doorslaan. Zodra het gesprek een marketingdoel dient, of zodra de bot gevoelige gegevens verwerkt, wordt expliciete toestemming de veiligere route. Leg de gekozen grondslag per gespreksstroom vast, zodat je bij een vraag van de Autoriteit Persoonsgegevens direct kunt aantonen waarom je voor die grondslag hebt gekozen.

Wat moet je bellers vertellen bij het begin van het gesprek

De AVG en de Telecommunicatiewet verplichten je om de beller bij aanvang te informeren dat het gesprek wordt opgenomen of door een geautomatiseerd systeem wordt afgehandeld, en waarvoor die gegevens worden gebruikt. Een korte melding vooraf voldoet, zolang die duidelijk is en de beller de kans krijgt om daarop te reageren voordat het inhoudelijke deel van het gesprek begint. Verwijs in diezelfde melding of in je privacyverklaring naar het recht op inzage, correctie en verwijdering, zodat bellers weten waar ze terechtkunnen met vragen over hun gegevens.

Waar mag de data van je voicebot worden verwerkt

Een spraakmodel dat binnen de Europese Economische Ruimte draait, is zonder extra maatregelen toegestaan, omdat verwerking dan onder hetzelfde AVG-regime blijft vallen als je eigen bedrijf. Zodra verwerking buiten die zone plaatsvindt, heb je een adequaatheidsbesluit of een andere geldige overdrachtsgrond nodig, zoals modelcontractbepalingen, en moet je kunnen aantonen dat die overdracht is gedekt voordat de eerste oproep binnenkomt. Hoeveel partijen bij die verwerking betrokken zijn, bepaalt bovendien hoeveel werk je verwerkersovereenkomsten kosten, want elke subverwerker in de keten moet apart worden vastgelegd, gecontroleerd en bij een audit kunnen worden aangewezen.

Belfabriek bouwt voicebots op het eigen IVR-platform en routeert gesprekken over het eigen vaste netwerk, in plaats van via een doorverkoper die op zijn beurt weer van externe partijen afhankelijk is. Die opzet houdt de keten van verwerkers kort: waar een gesprek bij een reseller via meerdere onderaannemers kan lopen voordat het bij de uiteindelijke platformleverancier landt, blijft het bij een eigen platform bij één partij die je zelf kunt aanwijzen in je verwerkingsregister. Als licentiehouder in veertien Europese landen, actief op een eigen platform zonder tussenschakel, is die keten kort en traceerbaar, wat de verwerkersovereenkomst en de bijbehorende audit aanzienlijk eenvoudiger maakt dan bij een aanbieder die zelf weer bij een derde partij inkoopt.

Hoe lang mag je gesprekken en transcripten bewaren

Bewaartermijnen volgen uit het doel van de verwerking, niet uit een vast wettelijk getal. Voor kwaliteitscontrole en het afhandelen van klachten is een termijn van enkele maanden tot een jaar gebruikelijk. Voor puur operationele routering, zoals het doorverbinden naar de juiste afdeling, is een veel kortere termijn te verdedigen zodra het gesprek is afgerond. Leg de gekozen termijn per doel vast in je verwerkingsregister en zorg dat verwijdering automatisch gebeurt zodra de termijn verstrijkt, zodat oude transcripten niet blijven rondslingeren in een vergeten back-up.

Wanneer is een DPIA verplicht bij een voicebot

Een gegevensbeschermingseffectbeoordeling is verplicht zodra de verwerking op grote schaal en systematisch bellers monitort of profileert, bijvoorbeeld bij stemherkenning die gekoppeld wordt aan een profiel, of bij geautomatiseerde besluitvorming zonder menselijke tussenkomst die rechtsgevolgen heeft voor de beller. Een voicebot die veelgestelde vragen afhandelt, een afspraak bevestigt of bij twijfel doorschakelt naar een medewerker, valt doorgaans buiten die verplichting. Documenteer die afweging niettemin schriftelijk, zodat je kunt aantonen waarom een DPIA in jouw situatie niet nodig was, mocht daar later naar worden gevraagd.

Een voicebot goed inrichten draait dus om meer dan gespreksscripts en doorschakelregels alleen: grondslag, transparantie richting de beller en een opgeruimd verwerkersregister bepalen samen of de bot houdbaar is zodra iemand ernaar vraagt. Wie die drie onderdelen bij de start regelt, hoeft er daarna nauwelijks meer naar om te kijken.