Voicebot en GDPR

Een voicebot verwerkt per definitie persoonsgegevens: een stem, een telefoonnummer, een naam en wat de beller vertelt. Dit artikel overloopt wat de GDPR daarvoor vraagt, en waar de echte risico's zitten.

Welke persoonsgegevens verwerkt een voicebot?

Wanneer is een stem biometrisch?

De GDPR definieert biometrische gegevens als gegevens die de unieke identificatie van een persoon mogelijk maken of bevestigen. Artikel 9 verbiedt de verwerking ervan met het oog op unieke identificatie, behoudens uitzonderingen^[1]. Het onderscheid:

• Spraak omzetten naar tekst om de vraag te begrijpen: geen biometrische identificatie.
• Stemherkenning om een beller te herkennen of te verifiëren ("uw stem is uw wachtwoord"): wel. Dan heb je in de regel uitdrukkelijke toestemming nodig, met een gelijkwaardig alternatief voor wie dat niet wil.

De Europese privacytoezichthouders (EDPB) schrijven in hun richtsnoeren over spraakassistenten dat stemgegevens "inherent biometrisch" zijn, maar koppelen de strengere regels aan identificatie of aan gevoelige inhoud^[3]. Die richtsnoeren gaan over spraakassistenten op toestellen; ze zijn nuttig als richting, niet als regel voor telefonische voicebots.

Gevoelige inhoud: gezondheid en andere bijzondere gegevens

Los van de stem kan wat de beller zegt een bijzonder persoonsgegeven zijn: een reden van consultatie, een medische klacht, een religieuze of vakbondsachtergrond. Dan geldt artikel 9 voor die inhoud^[1]. Voor een zorgpraktijk betekent dat:

• een geldige uitzondering, bijvoorbeeld zorgverlening onder beroepsgeheim (art. 9(2)(h) en 9(3)) of uitdrukkelijke toestemming;
• zo weinig mogelijk medische details laten vragen of noteren;
• een gegevensbeschermingseffectbeoordeling (DPIA) als je gezondheidsgegevens op grote schaal verwerkt (art. 35(3)(b))^[1];
• het beroepsgeheim (sinds 1 september 2026 artikel 352 van het Strafwetboek) blijft gelden; de zorgverlener blijft verantwoordelijk voor wat een leverancier te zien krijgt^[4].

Meer in voicebots voor zorgpraktijken.

Rechtsgrond per doel

De GDPR vraagt een rechtsgrond voor elk doel (art. 6)^[1]. Een gangbare indeling, die je per situatie moet nagaan:

Toestemming is zelden de handigste grond voor inkomende gesprekken: ze moet vrij zijn en kan altijd ingetrokken worden. Over het opnemen zelf lees je meer in telefoongesprekken opnemen.

Informatie en bewaring

• Informeren (art. 13): wie verantwoordelijk is, waarvoor, op welke grond, wie de gegevens ontvangt (zoals de voicebotleverancier), hoe lang, welke rechten de beller heeft en of gegevens buiten de EU gaan^[1]. Kort in het gesprek, samen met de verplichte melding dat de beller met een AI spreekt^[2], en volledig op een andere plek die ook bereikbaar is zonder internet^[5].
• Bewaren (art. 5(1)(e)): niet langer dan nodig^[1]. Voor bewijsopnames geldt de bovengrens van artikel 10/1 van de wet van 30 juli 2018^[6]. Stel automatisch wissen in en hou je eraan: de Gegevensbeschermingsautoriteit beboette in 2026 een organisatie die opnames langer bewaarde dan ze aankondigde^[5].
• Minimaliseren: laat de voicebot enkel vragen wat nodig is, en laat hem in je CRM enkel zien wat hij voor zijn rol nodig heeft. Zie een voicebot koppelen.

De leverancier: verwerkersovereenkomst en onderaannemers

Een voicebot is bijna altijd een keten: een telefonieplatform, spraakherkenning, een taalmodel, spraaksynthese en soms een automatisatietool. Elk van die partijen verwerkt gegevens in jouw opdracht. De GDPR verplicht een verwerkersovereenkomst (art. 28)^[1], en de leverancier moet zijn onderaannemers kenbaar maken. In de SWDE-zaak legde de Gegevensbeschermingsautoriteit een aparte boete van 1.000 euro op voor een ontbrekende verwerkersovereenkomst^[5].

Vraag bij je keuze uitdrukkelijk:

1. Welke onderaannemers verwerken de audio en de tekst, en in welk land?
2. Worden gesprekken gebruikt om modellen van de leverancier te trainen? Kan dat uitgeschakeld worden?
3. Hoe lang bewaart elke schakel de gegevens, en kan ik dat zelf instellen?
4. Krijg ik toegang tot transcripten en opnames, en kan ik ze laten wissen?

Een uitgebreidere vragenlijst staat in een voicebot kiezen.

Doorgifte naar de Verenigde Staten

Veel taal- en spraakmodellen draaien bij Amerikaanse aanbieders. Doorgifte naar de VS is toegestaan naar ontvangers die gecertificeerd zijn onder het EU-US Data Privacy Framework. Dat kader blijft van kracht: het Gerecht van de EU verwierp in september 2025 een beroep ertegen; een hogere voorziening bij het Hof van Justitie loopt nog^[7]. Omdat de toekomst van het kader niet zeker is, kiezen veel bedrijven waar mogelijk voor verwerking in de EU, of leggen ze standaardcontractbepalingen klaar als terugval.

Is een DPIA nodig?

Een gegevensbeschermingseffectbeoordeling is verplicht bij een verwerking met een waarschijnlijk hoog risico. Voor een eenvoudige onthaalbot zonder stemherkenning is dat niet automatisch zo. Wel wanneer je gezondheidsgegevens op grote schaal verwerkt^[1], en de EDPB acht een DPIA bij spraakassistenten in het algemeen "zeer waarschijnlijk" nodig^[3]. Ook als het niet verplicht is, is een korte DPIA een nuttige oefening: ze dwingt je om doel, gegevens en bewaring op papier te zetten.

Veelgestelde vragen

Is een stemopname een biometrisch gegeven?

Pas als je de stem gebruikt om iemand uniek te identificeren of te verifiëren. Een voicebot die spraak enkel omzet naar tekst om de vraag te begrijpen, verwerkt de stem als gewoon persoonsgegeven.

Heb ik toestemming nodig om een voicebot te gebruiken?

Meestal niet. Voor het afhandelen van een vraag of afspraak volstaat doorgaans de uitvoering van een (pre)contractuele verhouding, voor opnames vaak een gerechtvaardigd belang. Wel moet je de beller informeren. Voor stemherkenning is uitdrukkelijke toestemming wel de regel.

Mag een voicebot gegevens naar de VS sturen?

Ja, naar ontvangers die gecertificeerd zijn onder het EU-US Data Privacy Framework, dat in oktober 2026 nog geldig is. Omdat er nog een procedure loopt bij het Hof van Justitie, verkiezen veel bedrijven verwerking in de EU waar dat kan.

Wie is verantwoordelijk: ik of de voicebotleverancier?

Het bedrijf dat de voicebot inzet, is in de regel de verwerkingsverantwoordelijke. De leverancier en zijn onderaannemers zijn verwerkers. Daarom is een verwerkersovereenkomst verplicht.

Mag een voicebot in een dokterspraktijk werken?

Ja, maar met extra voorzichtigheid: de reden van een afspraak kan een gezondheidsgegeven zijn, het beroepsgeheim blijft gelden en bij verwerking op grote schaal is een DPIA verplicht. Laat de voicebot nooit medisch advies of triage geven.