Quem pode ouvir a gravação de um atendimento

O critério, antes da lista

A LGPD não diz que o supervisor pode ouvir e o estagiário não. Ela estabelece um teste no art. 6º, III: o tratamento deve se limitar ao mínimo necessário para a realização das finalidades, com pertinência, proporcionalidade e não excesso. Quem tem finalidade declarada para aquela gravação acessa; quem não tem, não acessa, independentemente do cargo.

Na prática isso significa que a pergunta "quem pode ouvir" se decompõe em duas: quem dentro da empresa, e quem fora dela. As duas têm respostas diferentes, e a segunda é onde mora a maior parte do risco real: inclui o próprio titular, que tem prazo legal para receber, e o BPO, que frequentemente é quem detém o acervo. As obrigações que cercam esse acervo estão reunidas em regras, prazos e prova na gravação de chamadas.

Dentro da empresa: perfis, não cargos

O desenho que sobrevive a auditoria separa acesso por função exercida, com escopo limitado e prazo:

Monitor de qualidade. Ouve chamadas da carteira que avalia, no período em avaliação. Não precisa acessar o acervo histórico inteiro nem filas de outras operações. Exportação de arquivo, na maioria dos casos, não é necessária para o trabalho dele. Ouvir dentro da plataforma basta, e bloquear o download elimina a maior fonte de vazamento.

Supervisor e coordenador. Ouvem chamadas da própria equipe, para feedback. Escopo igual ao do monitor, recorte por equipe.

Jurídico e compliance. Acessam por evento: existe uma reclamação, uma notificação, um protocolo contestado. O acesso é amplo em escopo e estreito em gatilho, e deveria ser registrado com a referência do caso.

Segurança da informação e TI. Administram a infraestrutura. Precisam de acesso ao sistema, e quase nunca de acesso ao conteúdo. Separar privilégio administrativo de leitura de áudio é um controle barato e raro.

Treinamento. É o perfil que mais escapa ao controle. Áudio usado em sala de aula sai da plataforma, vira arquivo em pendrive ou em pasta compartilhada e perde toda a trilha. Se o treinamento precisa de exemplos, use trecho anonimizado, com dado pessoal removido, e trate o conjunto como material com ciclo de vida próprio.

Dois princípios amarram o desenho. O primeiro é acesso por exceção documentada em vez de acesso amplo por padrão: pedido, aprovação e registro para tudo que saia do escopo rotineiro. O segundo é revisão periódica, porque a causa mais comum de acesso indevido em call center raramente é invasão: costuma ser a conta do analista que mudou de área há oito meses e continua enxergando a fila antiga.

Há ainda um recorte que quase ninguém faz e que compensa. Fila que contém dado sensível (autorização de procedimento em operadora de saúde, orientação de enfermagem, negociação de dívida com informação de saúde) atrai o regime do art. 11 e deveria ter acervo e perfil próprios. Sem essa segregação, o regime mais rígido contamina o acervo inteiro, inclusive gravações que nunca tiveram dado sensível. As obrigações específicas do setor estão reunidas na página de atendimento em saúde suplementar.

O titular pode ouvir a própria gravação

Pode, e com prazo. O art. 18, II assegura o acesso aos dados, e o art. 19 fixa duas vias: resposta em formato simplificado, imediata, ou declaração clara e completa em até 15 dias contados do requerimento.

Em SAC regulado, o prazo é mais curto e a obrigação é autônoma da LGPD: o Decreto 11.034/2022 garante ao consumidor acesso ao histórico de demandas sem custo, com envio em 5 dias corridos, por correspondência ou meio eletrônico à escolha dele, incluindo o conteúdo da resposta do fornecedor. Algumas regras estaduais de cobrança fixam prazos próprios, e há estado com 7 dias úteis.

Não existe hierarquia limpa entre esses prazos. Para a mesma gravação podem conviver 5, 7 e 15 dias, e a calibragem prudente do SLA é pelo mais curto aplicável à fila. Uma operação de telecom que trata todo pedido como 15 dias vai descumprir o decreto na metade dos casos sem perceber.

Dois cuidados que a pressa atropela:

Identificação de quem pede. Entregar o áudio à pessoa errada é incidente de segurança, não atendimento diligente. Exija identificação suficiente antes de liberar, e padronize a via de pedido para que ela não dependa do agente decidir na hora.

Terceiros na gravação. A chamada frequentemente contém dado de outra pessoa: o cônjuge que ligou pelo titular, o nome do médico, o dado do beneficiário mencionado por um pai. O art. 18 dá acesso aos dados do requerente, não aos de terceiros. Em pedidos assim, a saída usual é entregar com supressão dos trechos de terceiro, registrando a decisão e o motivo. Vale alinhar o critério com o encarregado antes de o primeiro caso chegar.

Sobre eliminação, a via é o art. 18, IV, para dado desnecessário, excessivo ou tratado em desconformidade. A negativa é legítima quando há obrigação legal ou regulatória de guarda (art. 16, I) ou exercício regular de direito em processo (art. 7º, VI). O que não é legítimo é negar sem explicar. Responda citando a norma, o prazo e a data em que a eliminação efetivamente ocorrerá.

O agente gravado também é titular

A empresa é controladora em relação ao empregado como é em relação ao cliente. O agente pode pedir acesso às próprias gravações e às avaliações feitas sobre elas, e negar esse pedido é a maneira mais rápida de transformar uma discussão de nota em reclamação trabalhista.

Há um ponto adicional quando a análise da gravação alimenta decisão com efeito sobre a pessoa: nota que entra em remuneração variável, ranking que pesa em desligamento. O art. 20 dá direito à revisão e à informação sobre os critérios. Revisão humana documentada, com o trecho de áudio à vista do agente e possibilidade de contestação, cumpre o requisito e, na prática, é o que sustenta o programa. O Anexo II da NR-17, que admite a monitoração com conhecimento do trabalhador, é a outra metade da mesma conversa, detalhada em o que a NR-17 proíbe no formulário de monitoria.

Na mesma direção, o uso mais subestimado do acervo é proteger quem atende. Cliente que ameaça, acusação de destrato que não aconteceu, contestação de nota. Sem gravação, a versão do cliente prevalece por padrão. Com gravação e trecho localizável, a apuração vira factual. Esse costuma ser o argumento que resolve a resistência interna ao programa.

Fora da empresa: fornecedores, BPO e reguladores

Operadores e subprocessadores. Nuvem, gravador, plataforma de análise e serviço de transcrição tratam dados em nome do controlador (art. 5º, VII). Eles acessam nos limites do contrato e das instruções lícitas recebidas, e o art. 42 prevê responsabilização solidária quando o operador descumpre a lei ou essas instruções. Se o prestador passa a usar as gravações para finalidade própria (treinar um modelo, alimentar um produto, fazer benchmark comercial entre clientes), ele deixou de agir em nome do contratante e assumiu papel de controlador naquele tratamento.

BPO de atendimento. A regra é a contratante ser controladora e o BPO, operador: quem decide gravar, para quê, por quanto tempo e quem acessa é quem contratou. Três cláusulas resolvem a maior parte dos problemas: acesso da contratante às gravações durante toda a vigência; devolução do acervo em formato aberto com metadados na rescisão, com comprovação de eliminação posterior; e notificação de incidente em prazo curto o bastante para a controladora cumprir o próprio dever do art. 48 perante a ANPD e os titulares. "Prazo razoável" no contrato não serve. O detalhamento está em o que exigir em contrato de BPO de call center.

Processamento fora do país. Transcrição ou análise executadas no exterior configuram transferência internacional e exigem mecanismo do art. 33. A Resolução CD/ANPD nº 19/2024 aprovou as cláusulas-padrão e deu 12 meses para incorporá-las aos contratos, prazo que venceu em agosto de 2025. Levante onde cada fornecedor da cadeia processa o áudio antes de discutir perfil de acesso interno, porque esse é o ponto onde a exposição é maior e a correção é contratual.

Fiscalização e Judiciário. Órgão fiscalizador e autoridade judicial acessam nos termos da norma que os habilita: a disponibilização à fiscalização está prevista no próprio Decreto do SAC, e o atendimento a ordem judicial é obrigação autônoma. O que a empresa controla aqui é a capacidade de localizar e extrair com rastro: identificador, protocolo, hash conferido, responsável pela extração.

Sem log, não existe controle de acesso

Política de acesso sem trilha de auditoria é declaração de intenção. O log precisa registrar quem ouviu, quando, de onde, qual arquivo e o que exportou, e serve a dois fins ao mesmo tempo: demonstrar as medidas de segurança que o art. 46 cobra e demonstrar que a evidência não circulou de forma que permitisse adulteração.

Dois eventos merecem alerta, não só registro:

Exportação em massa. Analista que baixa 400 arquivos numa tarde tem uma razão, e alguém precisa perguntar qual é no mesmo dia.
Acesso fora do escopo. Supervisor ouvindo fila de outra operação, conta acessando em horário atípico, acesso a gravação de pessoa que também é cliente conhecido internamente.

Um alerta de exportação em massa é barato de implementar e é o controle que mais frequentemente pega o problema antes de ele virar incidente comunicável.

Vale lembrar que transcrição não é anonimização. Converter o áudio em texto elimina o risco biométrico, porque não se extrai modelo de voz de um texto, e não elimina o risco de dado pessoal: a transcrição continua contendo CPF, endereço, diagnóstico e valor de dívida, e é muito mais fácil de pesquisar e de vazar em volume do que o áudio. Perfil de acesso, retenção e log da transcrição precisam ser desenhados com o mesmo cuidado dedicado à gravação. E, com frequência, não são, porque o texto parece inofensivo.

Um desenho mínimo que funciona

Perfis por função, com escopo de fila e janela de tempo, e download desabilitado por padrão.
Segregação do acervo que contém dado sensível, com perfil próprio.
Privilégio administrativo separado de leitura de conteúdo.
Acesso por exceção documentada, com pedido, aprovação e referência do caso.
Revisão trimestral de contas e de escopo, com corte automático na mudança de área.
Log de acesso e de exportação, com alerta para volume atípico.
Procedimento de pedido de titular com identificação do requerente e SLA calibrado pelo prazo mais curto aplicável.
Inventário de operadores e subprocessadores atualizado, incluindo onde cada um processa.

Quem tem monitoria de qualidade com IA rodando sobre o acervo ganha um efeito colateral útil aqui: a classificação e a transcrição indexada reduzem a necessidade de acesso exploratório, porque o analista encontra a chamada certa pela busca em vez de ouvir dezenas até achar. Menos escuta às cegas é menos exposição.

Desenhe os itens acima com o encarregado da sua empresa e valide a matriz de acesso com o jurídico antes de publicá-la. Este texto é informativo e a configuração correta depende das filas, dos reguladores e dos contratos de cada operação.

Para continuar

Citações da LGPD, do Decreto 11.034/2022, da NR-17 Anexo II e da Resolução CD/ANPD nº 19/2024 conferidas em texto oficial. Material informativo; valide a matriz de acesso com o encarregado e o jurídico da sua empresa.