Ja, i Sverige får du spela in ett samtal du själv deltar i. Det följer av brottsbalken, och det gäller oavsett om den andra parten vet om det. Men när en verksamhet sparar, analyserar eller delar inspelningen blir den en personuppgiftsbehandling, och då gäller GDPR fullt ut med krav på rättslig grund och information till den som spelats in.
Kort sagt:
- För kundtjänst är berättigat intresse ofta lämpligast, men ni måste dokumentera intresseavvägningen före inspelningen och visa varför mindre ingripande alternativ inte räcker.
- Informera den som ringer i början av samtalet om inspelningen och syftet, ange en konkret gallringstid och radera automatiskt efter exempelvis 30–90 dagar.
- Kryptera inspelningar vid lagring och överföring, begränsa åtkomsten till nödvändiga roller och kontrollera att avtalet omfattar underleverantörer samt att uppgifterna lagras inom EU eller Schengenområdet.
- Besvara begäranden om tillgång eller radering inom en månad, förläng vid komplicerade ärenden med två månader och begränsa behandlingen om en pågående tvist kräver fortsatt lagring.
Innehållsförteckning
- Brottsbalken och olovlig avlyssning: vad gäller i praktiken?
- När omfattas en inspelning av GDPR?
- Vilken rättslig grund kan stödja inspelning i verksamhet?
- Konkreta steg för att följa GDPR när ni spelar in samtal
- Hur ni tekniskt och organisatoriskt skyddar inspelningar
- Så hanterar ni begäranden från registrerade kopplat till inspelningar
- Hur ett GDPR-anpassat CRM kan stödja säkra samtalsinspelningar
- Författarperspektiv: vad beslutsfattare bör prioritera nu
- Notyfile: stöd för GDPR-säkra samtalsinspelningar
- Vanliga frågor
- Källor
Brottsbalken och olovlig avlyssning: vad gäller i praktiken?
Utgångspunkten i svensk rätt är enkel. Brottsbalken 4 kap. 9 a § säger att det är tillåtet att spela in ett samtal om du själv är en av deltagarna. Du behöver inte fråga om lov eller meddela i förväg, straffrättsligt sett. Det som är förbjudet är att i hemlighet avlyssna eller spela in ett samtal som du själv inte deltar i.
Gränsen går alltså vid deltagande, inte vid samtycke från motparten. Några exempel visar var linjen dras:
- Att placera en dold mikrofon i ett rum där du inte själv är med räknas som olovlig avlyssning.
- Att spela in ett samtal mellan två kollegor utan att själv vara part i samtalet är straffbart.
- Att koppla in en tredje person som lyssnar på ett telefonsamtal utan att deltagarna vet om det är också olagligt.
Olovlig avlyssning kan ge böter eller fängelse i högst två år, enligt brottsbalken. Det är ett straffrättsligt skydd för den personliga integriteten, helt skilt från dataskyddsreglerna. En verksamhet kan alltså följa brottsbalken till punkt och pricka och ändå bryta mot GDPR om inspelningen sedan hanteras fel.
När omfattas en inspelning av GDPR?
Här delar sig vägen mellan privatpersoner och verksamheter. Spelar du in ett samtal för eget minne, utan avsikt att sprida det vidare, räknas det normalt som privat bruk och GDPR blir då sällan tillämpligt. Så fort inspelningen används i ett yrkesmässigt sammanhang, exempelvis sparas i ett företags system, analyseras av personal eller delas med andra, blir den en personuppgiftsbehandling.
Det handlar inte om tekniken utan om syftet och sammanhanget. Tre vanliga situationer illustrerar skillnaden:
- Kundtjänst som spelar in samtal för kvalitetsuppföljning behandlar personuppgifter och omfattas av GDPR fullt ut.
- En säljare som spelar in ett avtalssamtal för att dokumentera villkor gör det inom ramen för en affärsrelation, vilket också är en behandling.
- Intern utbildning där inspelade samtal spelas upp för nyanställda kräver samma rättsliga grund och samma informationsinsats som andra användningsområden.
Riskerna ökar när inspelningar sprids internt utan kontroll, eller när de analyseras av fler personer eller system än vad som ursprungligen avsetts. En inspelning som skulle kunna motiveras för ett enda syfte, exempelvis kvalitetssäkring, blir svårare att försvara om den sedan används för prestationsutvärdering eller marknadsföring utan att den registrerade informerats om det. Varje ny användning kräver att ni på nytt frågar er om den rättsliga grunden fortfarande håller.
Vilken rättslig grund kan stödja inspelning i verksamhet?
GDPR kräver att varje behandling vilar på en rättslig grund, och för samtalsinspelningar finns i praktiken tre realistiska alternativ, enligt IMY:s vägledning:
- Samtycke: Fungerar bäst när den som ringer verkligen kan tacka nej utan konsekvens. Problemet uppstår när det finns ett beroendeförhållande, till exempel mellan kund och leverantör, där samtycket sällan är helt frivilligt i juridisk mening.
- Avtal: Kan användas när inspelningen är nödvändig för att fullgöra eller dokumentera ett avtal, exempelvis vid muntliga orderbekräftelser inom telefonförsäljning.
- Berättigat intresse: Den vanligaste grunden i praktiken för kundtjänst och kvalitetsuppföljning, men den kräver en dokumenterad intresseavvägning som visar att verksamhetens behov väger tyngre än den registrerades integritet.
En intresseavvägning ska beskriva ändamålet med inspelningen, varför den är nödvändig, vilket intrång den innebär och om mindre ingripande alternativ finns. Den ska också ange hur länge inspelningen sparas och vem som har åtkomst, enligt IMY. Utan den dokumentationen faller grunden vid en eventuell granskning.
Proffstips: Skriv intresseavvägningen innan ni börjar spela in, inte efteråt. Den blir svagare och mindre trovärdig om den tillkommer som ett svar på en tillsyn.
Konkreta steg för att följa GDPR när ni spelar in samtal
Att ha en rättslig grund räcker inte. Artikel 13 kräver att ni informerar den registrerade om vem som behandlar uppgifterna, varför, hur länge de sparas och vilka rättigheter som finns, och den informationen ska ges i samband med att behandlingen sker, inte bara finnas undangömd på webbplatsen. IMY har förelagt telebolag som enbart hänvisat till en generell policy utan att faktiskt informera vid själva samtalet.
Så bygger ni en rutin som håller:
- Lägg ett kort meddelande i början av samtalet som talar om att det spelas in och varför, till exempel inför köplaceringen i en telefonväxel.
- Länka till en fullständig integritetspolicy där den som vill kan läsa mer om lagringstid, mottagare och rättigheter.
- Sätt en konkret gallringstid utifrån syftet, exempelvis 30 till 90 dagar för kvalitetsuppföljning, och radera automatiskt därefter.
- Begränsa åtkomsten till inspelningarna till de roller som faktiskt behöver dem, och logga varje uppspelning.
Principen om uppgiftsminimering innebär att ni bara ska spara det som är nödvändigt för det angivna syftet. En kvalitetsuppföljning kräver sällan att inspelningen sparas i flera år, och ju kortare lagringstid desto mindre risk vid en eventuell incident.
Några ytterligare punkter som ofta avgör om rutinen håller i praktiken:
- Använd fyra-ögon-principen vid känsliga genomlyssningar, där minst två personer är inblandade i beslutet att lyssna.
- Dokumentera varje tillfälle då en inspelning används utanför det ursprungliga syftet.
- Se till att personal som hanterar inspelningar har fått utbildning i vad som gäller.
Proffstips: Sätt gallringstiden som en teknisk regel i systemet istället för att förlita er på att någon kommer ihåg att radera manuellt.
Hur ni tekniskt och organisatoriskt skyddar inspelningar
Säkerheten kring inspelningar handlar om att minska skadan om något går fel, inte bara om att följa en regel på pappret. Grundkraven är välkända men ofta eftersatta i praktiken:
- Kryptera inspelningar både när de lagras och när de överförs mellan system.
- Begränsa åtkomsten till namngivna roller och granska behörigheterna regelbundet, inte bara vid införandet.
- Avpersonalisera eller korta av inspelningar där det är möjligt, till exempel genom att ta bort personnummer som nämns muntligt.
- Kontrollera att leverantören lagrar data inom EU eller Schengenområdet och att personuppgiftsbiträdesavtalet reglerar underleverantörer.
IMY pekar särskilt på kryptering, kort lagringstid och begränsad åtkomst som konkreta åtgärder som minskar integritetsriskerna vid samtalsinspelning. Det är inte tekniska detaljer för IT-avdelningen att lösa i efterhand, utan villkor som bör vara på plats innan den första inspelningen görs.
Var data lagras spelar större roll än många tror. Ett personuppgiftsbiträdesavtal som bara reglerar er egen leverantör men missar dennes underleverantörer lämnar ett hål som blir synligt först när något faktiskt händer, till exempel vid ett dataintrång eller en begäran om radering som inte går att verkställa fullt ut.
Så hanterar ni begäranden från registrerade kopplat till inspelningar
Den som spelats in har samma rättigheter som vid all annan personuppgiftsbehandling: rätt att få veta vad som finns sparat, rätt att få en kopia, rätt att begära radering och rätt att invända mot behandlingen. En tydlig process gör skillnaden mellan en hanterbar begäran och en stressig brandsläckning.
- Verifiera identiteten innan ni lämnar ut en inspelning, till exempel genom att be om uppgifter som bara den registrerade rimligen känner till.
- Svara inom en månad, vilket är huvudregeln enligt GDPR, och förläng vid behov med ytterligare två månader om begäran är komplex.
- Dokumentera varje begäran, vad som begärts, när den kom in och hur ni svarat, så att ni kan visa efterlevnad vid en eventuell granskning.
- Ha en färdig mall för svar som beskriver vad som sparats, varför och hur länge, så att processen inte uppfinns på nytt varje gång.
En begäran om radering kräver att ni också kontrollerar om det finns en rättslig skyldighet att spara inspelningen längre, till exempel vid en pågående tvist. I så fall begränsar ni behandlingen istället för att radera direkt, och informerar den registrerade om varför.
Hur ett GDPR-anpassat CRM kan stödja säkra samtalsinspelningar
Ett CRM som är byggt med dataskydd i grunden gör mycket av arbetet ovan till en inställning istället för ett manuellt projekt. Vi på Notyfile har sett att företag som hanterar samtalsinspelningar i ett ostrukturerat system ofta tappar bort just det som tillsynsmyndigheten frågar efter: vem som haft åtkomst, hur länge data sparats och var dokumentationen av den rättsliga grunden finns.
De moduler som gör störst skillnad i praktiken:
- En inbyggd dialer som kopplar samtalsinspelningen direkt till rätt kundpost, istället för att inspelningen lever sitt eget liv i ett separat system.
- Åtkomstkontroll på rollnivå, så att bara de som faktiskt behöver lyssna på en inspelning kan göra det.
- Automatiserade retention-regler som gallrar inspelningar enligt den tid ni satt, utan manuell uppföljning.
- E-signering och avtalsmoduler som dokumenterar samtycke och villkor i samma flöde som själva kundkontakten.
- Naia, vår AI-assistent, som kan analysera affärsmöjligheter utifrån mötesdata utan att kompromettera åtkomstbegränsningarna ni satt upp.
Proffstips: Konfigurera retention-policyn i CRM:et innan ni aktiverar inspelningsfunktionen, så slipper ni städa upp gamla data i efterhand.
En GDPR-kompatibel CRM-checklista hjälper er gå igenom konfiguration, roller och dokumentation steg för steg innan ni sätter igång.
Författarperspektiv: vad beslutsfattare bör prioritera nu
Det vanligaste misstaget jag ser är att företag löser den juridiska frågan men glömmer den praktiska. Ni skriver en policy, men ingen säger till kunden att samtalet spelas in förrän det redan är igång. Det är precis det IMY reagerat på i flera ärenden.
Prioritera i den här ordningen: information som faktiskt når den registrerade i stunden, en intresseavvägning som står skriven innan ni börjar spela in, och tekniska åtkomstbegränsningar som gör att ni kan svara på frågan "vem har lyssnat på det här" utan att gissa.
Inför en eventuell tillsyn, fråga er: kan vi visa vår rättsliga grund på papper? Vet vi exakt var inspelningarna lagras? Kan vi radera på begäran inom en månad? Om svaret är nej på någon av dem, börja där.
— Joakim
Notyfile: stöd för GDPR-säkra samtalsinspelningar
Att få kontroll över samtalsinspelningar handlar sällan om att skriva en bättre policy. Det handlar om att ha ett system där rätt sak händer automatiskt varje gång, utan att någon behöver komma ihåg det manuellt. Det är precis vad vi byggt Notyfile för att lösa.
Vi samlar kundhistorik, samtalsinspelningar och dokumentation av rättslig grund på samma plats, med:
- Säker lagring med krypterad åtkomst och tydlig rollstyrning.
- Automatiserade gallringsregler som följer er retention-policy utan manuell uppföljning.
- En AI-assistent som kan analysera affärsmöjligheter från mötesdata inom de åtkomstramar ni satt.
Vi erbjuder paketen ESSENTIAL, AMBITION, VÄXA och MASTER, med priser från 149 SEK per månad per användare, enligt vår prissida. Boka en visning och se hur vi kan göra era samtalsinspelningar enklare att hantera rätt från start.
Vanliga frågor
Får man spela in ett samtal utan att den andra vet?
Ja, enligt brottsbalken är det tillåtet att spela in ett samtal du själv deltar i, även utan att motparten vet om det. Däremot gäller GDPR separat om inspelningen sedan sparas eller används i en verksamhets system, och då krävs information till den som spelats in.
Vad säger GDPR om att lagra personuppgifter?
GDPR kräver att varje lagring av personuppgifter, inklusive samtalsinspelningar, har en rättslig grund och en tydlig gallringstid kopplad till syftet. IMY:s vägledning beskriver samtycke, avtal och berättigat intresse som de vanligaste grunderna, och betonar att uppgifter inte ska sparas längre än nödvändigt.
Kan man spela in ett telefonsamtal?
Ja, du får spela in ett telefonsamtal du själv deltar i enligt svensk rätt. Om samtalet rör en verksamhet och inspelningen sparas i dess system krävs dessutom att ni informerar den uppringande om inspelningen och har en rättslig grund enligt GDPR.
Är personnummer GDPR?
Ja, personnummer räknas som en personuppgift under GDPR och omfattas av samma krav på rättslig grund, information och skydd som andra personuppgifter. Nämns ett personnummer i en samtalsinspelning gäller samma regler för lagring, åtkomst och gallringstid som för resten av inspelningen.