GDPR och samtalsinspelning: därför 60 månaders lagring

Samtalsinspelning är ett av de mest reglerade områdena i modern företagstelefoni. Frågan "hur länge får vi spara inspelningarna?" har inget enkelt svar – det beror på laglig grund, bransch och syfte. I den här artikeln går vi igenom varför Telinks molnväxel erbjuder upp till 60 månaders retention och hur du som dataägare ska tänka kring GDPR, Brottsbalken och tillsynsmyndigheternas praxis.

60 månader är inte en slumpmässig siffra. Det är den längsta retention som krävs av Finansinspektionen och försäkringstillsynen – och samtidigt den övre gränsen för vad IMY anser vara proportionerligt i de flesta affärsmässiga sammanhang.

Vad säger GDPR om samtalsinspelning?

Enligt GDPR artikel 5(1)(e) ska personuppgifter inte sparas längre än vad som är nödvändigt för det ändamål som de samlats in för (lagringsminimering). Det betyder att du måste:

1. Definiera ett specifikt ändamål (kvalitetsuppföljning, bevisning, regulatoriskt krav)
2. Identifiera en laglig grund (samtycke, berättigat intresse, rättslig förpliktelse)
3. Sätta en retention-tid som matchar ändamålet – varken längre eller kortare
4. Dokumentera beslutet i ditt register över behandlingar (artikel 30)

Brottsbalken 4 kap 9a § – vad gäller?

I Sverige reglerar Brottsbalken 4 kap 9a § olovlig avlyssning. Den korta regeln: minst en part i samtalet måste känna till och godkänna inspelningen. För företagsinspelningar uppfylls detta normalt genom att medarbetaren informeras (och samtycker via anställningsavtal) – inte nödvändigtvis kunden.

Däremot kräver GDPR att kunden informeras vid samtalets början ("Detta samtal kan spelas in för…"). Skillnaden är viktig: Brottsbalken handlar om att inte begå brott, GDPR om transparens och rättigheter.

Branschkrav på retention

Telinks 60-månaders retention täcker alla ovan utan att du behöver migrera till en annan plattform när ni växer in i en reglerad bransch.

Samtycke eller berättigat intresse?

För B2B-samtal är berättigat intresse (GDPR artikel 6(1)(f)) oftast rätt grund för:

• Kvalitetsuppföljning och coaching
• Bevissäkring vid avtalstvist
• Utbildning av AI-modeller (om inspelningen pseudonymiseras)

För känsligare ändamål (marknadsföring, profilering, AI-analys av enskilda kunders röst) krävs uttryckligt samtycke – med tydlig opt-in och möjlighet att återkalla.

IMY:s praxis 2024–2025 har gång på gång slagit fast att mall-formulering "för att förbättra vår service" inte räcker som information. Var konkret: säg vad inspelningen används till, hur länge den sparas och vem som har åtkomst.

Teknisk hantering hos Telink

Retention är inte bara en juridisk fråga – det är också en arkitekturfråga. Telinks molnväxel hanterar samtalsinspelning enligt:

• EU-baserad lagring – inspelningar lagras uteslutande i datacenter inom EU/EES
• AES-256-kryptering at rest, TLS 1.2+ in transit
• Rollbaserad åtkomst (RBAC) – endast definierade roller kan lyssna, exportera eller radera
• Automatisk gallring vid retention-periodens slut, med audit-logg på varje radering
• Per-användar-retention – olika team kan ha olika perioder (7 dagar för support, 60 månader för finans)
• Legal hold – pausa automatisk gallring vid pågående tvist eller utredning
• DPA och sub-processor-lista tillgängliga på begäran

Praktisk checklista

Innan du sätter retention-tid, gå igenom:

1. Vilken laglig grund har vi för varje ändamål?
2. Vilka regulatoriska krav styr vår bransch?
3. Har vi rutin för registerutdrag (artikel 15) som även täcker inspelningar?
4. Vem får lyssna på inspelningar – och loggar vi det?
5. Hur informerar vi kunden vid samtalsstart?
6. Har vi separat retention per ändamål eller en gemensam policy?

Vanliga frågor

Hur länge får man spara samtalsinspelningar enligt GDPR?

GDPR sätter ingen absolut tidsgräns – retention ska matcha ändamålet. För kvalitetsuppföljning brukar 3–6 månader vara rimligt, för finansiella transaktioner krävs minst 60 månader enligt MiFID II.

Måste kunden informeras om att samtalet spelas in?

Ja, enligt GDPR artikel 13–14. Information ges normalt vid samtalsstart ("Detta samtal kan spelas in för…") och kompletteras med en länk till integritetspolicyn i e-postsignatur eller hemsida.

Är det lagligt att spela in samtal i Sverige utan kundens samtycke?

Enligt Brottsbalken 4 kap 9a § räcker det att en part (din medarbetare) känner till och godkänner inspelningen. Men GDPR kräver att kunden ändå informeras. Samtycke från kunden krävs endast för specifika ändamål som marknadsföring eller AI-träning.

Vad händer med inspelningarna efter 60 månader?

De raderas automatiskt enligt din retention-policy. Telink loggar varje radering med tidsstämpel och hash, vilket fungerar som bevis i en eventuell granskning från IMY.

Kan vi pausa raderingen vid en pågående rättstvist?

Ja. Funktionen heter legal hold och pausar automatisk gallring för utvalda samtal, användare eller hela köer tills holden lyfts manuellt av en administratör.

För teknisk fördjupning, se dokumentationen för samtalsinspelning och samtalsloggning-funktionen.