Definizione
Il GDPR è il regolamento dell'Unione europea, Regolamento (UE) 2016/679, che disciplina il trattamento dei dati personali da parte di organizzazioni stabilite nell'UE e di quelle altrove che offrono beni o servizi a persone nell'UE o vi monitorano il comportamento. La registrazione o la trascrizione di una persona identificabile che chiama è un dato personale.
Cosa comprende
Il Regolamento generale sulla protezione dei dati si applica al trattamento di dati personali. L’articolo 4, punto 1, definisce i dati personali come qualsiasi informazione riguardante una persona fisica identificata o identificabile, il che comprende un nome, un numero di identificazione, dati relativi all’ubicazione o un identificativo online. Una registrazione vocale collegata a un numero di telefono o a un conto, e una trascrizione che menziona un nome, rientrano entrambe in quella definizione.
L’articolo 3 stabilisce l’ambito. Si applica al trattamento effettuato nell’ambito delle attività di uno stabilimento di un titolare o di un responsabile del trattamento nell’UE, indipendentemente dal luogo in cui il trattamento avviene. Si applica anche a un titolare o responsabile fuori dall’UE quando il trattamento riguarda l’offerta di beni o servizi a persone nell’UE, o il monitoraggio del loro comportamento. Un’azienda fuori dall’Europa che riceve chiamate di clienti europei può quindi essere coperta.
Contano due ruoli. Il titolare determina le finalità e i mezzi del trattamento. Il responsabile tratta i dati personali per conto del titolare (articolo 4, punti 7 e 8). Un’azienda che impiega un agente vocale è di solito il titolare, e la piattaforma e i fornitori vocali che usa sono spesso responsabili.
Cosa richiede
- L’articolo 5 stabilisce i principi, tra cui quello per cui i dati sono conservati in forma identificabile per un arco di tempo non superiore al conseguimento delle finalità (articolo 5, paragrafo 1, lettera e).
- L’articolo 6, paragrafo 1, elenca sei basi giuridiche del trattamento: consenso, contratto, obbligo legale, interessi vitali, interesse pubblico e interessi legittimi. Il titolare ne ha bisogno di almeno una per ogni finalità.
- L’articolo 9 vieta di trattare i dati biometrici intesi a identificare in modo univoco una persona, e i dati relativi alla salute, salvo che si applichi un’eccezione, come il consenso esplicito.
- L’articolo 13 impone al titolare di dire alle persone chi è e perché tratta i loro dati nel momento in cui li raccoglie.
- L’articolo 22 dà alle persone il diritto di non essere sottoposte a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente su di esse.
- L’articolo 28 richiede un contratto tra titolare e responsabile che, tra l’altro, preveda che il responsabile agisca soltanto su istruzione documentata.
- Gli articoli da 44 a 49 consentono il trasferimento di dati personali fuori dall’UE solo quando sono rispettate le condizioni di quel capo.
- L’articolo 83, paragrafo 5, consente sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, se superiore, per violazioni dei principi di base, dei diritti degli interessati e delle norme sui trasferimenti.
Il regolamento non crea uno status generale di «certificato GDPR». L’articolo 42 consente meccanismi di certificazione approvati, e l’articolo 42, paragrafo 4, dice che una certificazione non riduce la responsabilità del titolare o del responsabile.
Cosa significa per un agente vocale
Si scelga una base giuridica per ciascuna cosa che una chiamata produce, e si informi presto chi chiama. È un motivo in più per cui un breve avviso a voce all’inizio della chiamata è comune. Si stabilisca per quanto tempo vivono registrazioni e trascrizioni (conservazione dei dati) e se il fornitore non conservi alcun dato (zero data retention).
Si verifichi dove va l’audio. Un fornitore vocale, un fornitore di LLM e un operatore telefonico possono trattare ciascuno la chiamata in paesi diversi, e ognuno è un responsabile con cui serve un contratto. Se l’agente identifica chi chiama dalla voce, si tratta di trattamento biometrico e si pone la questione dell’articolo 9. Il rapporto SOC 2 di un fornitore riguarda i suoi controlli di sicurezza ma non sostituisce il contratto dell’articolo 28. Le norme sulla registrazione delle chiamate dei singoli paesi sono un livello a parte; si veda il consenso alla registrazione delle chiamate. Per la visione infrastrutturale, si legga la guida sull’IA vocale on-premise.
Domande da porre al consulente legale
- Quale base giuridica si adatta alla registrazione e alla trascrizione delle chiamate nel nostro caso d’uso?
- Siamo titolari, responsabili o entrambi, e chi sono i nostri responsabili e sub-responsabili?
- Alcuni passaggi spostano audio o trascrizioni fuori dall’UE, e quale meccanismo di trasferimento li copre?
- L’identificazione del parlante o la verifica vocale conta per noi come trattamento biometrico?
- Alcune decisioni del nostro agente hanno effetti giuridici o analogamente significativi che attivano l’articolo 22?
Termini correlati
Guide
Fonti
Questa pagina offre informazioni generali, non consulenza legale. Le regole cambiano da paese a paese, da stato a stato e da caso d'uso a caso d'uso, e si evolvono. Consulta le fonti indicate e chiedi a un legale qualificato prima di farvi affidamento.
Ultima verifica il 19 ottobre 2026