Datatilsynet har inlett en utredning av IDA Forsikring Forsikringsformidling F.M.B.A. användning av artificiell intelligens (AI) för att analysera om företagets behandling av personuppgifter överstämmer med kraven i dataskyddsförordningen (GDPR). Datatilsynet har nu avslutat sin handläggning av ärendet.
Av beslutet framgår att Datatilsynet den 1 mars 2023 inlett en utredning på eget initiativ av IDA Forsikrings användning av AI för att analysera bolagets telefonsamtal med personer som ringer till IDA Forsikrings kundtjänst.
IDA Forsikring har uppgett att inkommande telefonsamtal spelas in, varefter ljudfilerna från inspelningarna skickas för analys av ett personuppgiftsbiträde, som omvandlar filerna till textunderlag med hjälp av egenutvecklad taligenkänning. Taligenkänningen är en generisk modell som har utvecklats och optimerats av personuppgiftsbiträdet under de senaste åtta åren för att kunna identifiera de mest relevanta elementen från ljudfilen som grund för vidare analys och för att göra ljudfilerna sökbara. IDA Forsikrings intervjuer har inte använts för att träna taligenkännaren. Om ämnesspecifika ord inte redan fanns i ordboken, som består av negativa och positiva ord, kunde dessa läggas till via plattformen så att ordboken uppdateras. IDA Forsikring har i detta sammanhang uppgett att listan över negativa och positiva ord har tagits fram på grundval av erfarenheter från mer än 30 miljoner samtal.
Analysen av samtalen görs i syfte att förbättra IDA Forsikrings medlemsservice, kvalitetssäkring och hjälpa den enskilde medarbetaren med insikt i sina egna samtal och förståelse för möjligheterna att göra bättre ifrån sig i medlemmarnas tjänst.
I ärendet fann Datatilsynet att IDA Forsikring, inom ramen för dataskyddsreglerna, kan spela in och analysera inkommande telefonsamtal. Denna behandling av personuppgifter måste dock ha en rättslig grund i artikel 6 GDPR. Om IDA Forsikring behandlar uppgifter som omfattas av artikel 9 GDPR måste även denna bestämmelse uppfyllas. Datatilsynets utredning visade att IDA Forsikring hämtar in ett kollektivt samtycke för både dokumentations- och kvalitetssäkringsändamål (utbildning). Den som ringer har således inte möjlighet att välja att samtycka till endast ett av ändamålen.
Datatilsynet anser att det samtycke som IDA Forsikring hämtar in inte är tillräckligt detaljerat varför det inte kan betraktas som frivilligt. Samtycket är därför inte giltigt och kan därför inte utgöra en grund för behandlingen. Datatilsynet konstaterade därmed att IDA Forsikrings nuvarande process för att inhämta samtycke från den som ringer inte är förenlig med artiklarna 6.1 (a), 6.1 (f), 7, 9.1 och 9.2 (a) GDPR.
Eftersom Datatilsynet inte tidigare har övervägt hur samtycke inhämtas via telefon när en personuppgiftsansvarig har flera syften, fann myndigheten inte särskild anledning att framföra kritik.