Personuppgifter och datalagring

”Leverantören är svensk, så samtalet stannar i Sverige.” Det gäller en länk av sex.

Det är det vanligaste lugnande beskedet när ett företag köper en röstagent, och det stämmer ofta för bolaget på fakturan. Ett telefonsamtal genom en agent passerar oftast fler bolag än så.

Sett genom en glasvägg in i ett litet mötesrum: en man i mörk stickad tröja sitter vid ett ljust ekbord och läser ett tjockt, häftat dokument med mobilen liggande vid armbågen, medan en kvinna i mörkblå kavaj står vid fönstret med mobilen mot örat.

”Vi har valt en svensk leverantör, så samtalen stannar i Sverige.”

Meningen dyker upp i nästan varje upphandling av en röstagent. Den hamnar i protokollet, den lugnar dataskyddsombudet, och den kontrolleras sällan igen. Den stämmer ofta för bolaget på fakturan. Det är bara inte det bolaget som hör mest av samtalet.

Varför den är lätt att tro på

Det finns tre goda skäl till att meningen överlever.

Avtalet. Ni har ett avtal, en faktura och ett namn att förhålla er till. Allt som händer bakom det namnet står i en bilaga med underbiträden som få läser efter att avtalet är påskrivet.

Marknadsföringen. Suveränitet har blivit ett säljargument i sig. När OVH i somras slutförde köpet av den franska transkriberingstjänsten Gladia var ”starkare europeiska garantier för datalagring” ett av huvudargumenten. Det är ett verkligt argument – för den enda länk det gäller.

Telefonin. Numret är svenskt, operatören är svensk, och samtalet kommer in på ett svenskt nät. Den första länken i kedjan är ofta precis så lokal som den låter. Det är lätt att låta den första länken stå för hela kedjan.

Vad som faktiskt händer med ett samtal

En kund ringer och uppger namn, personnummer och vad hon ringer om. Innan agenten har svarat henne har samtalet oftast passerat de här länkarna:

  1. Telefonlinjen. Operatören tar emot samtalet och skickar ljudet vidare. Här är det ofta svenskt hela vägen.
  2. Plattformen. Bolaget ni har avtal med, som styr samtalet. Här ligger konfigurationen och oftast loggarna.
  3. Taligenkänningen. Ljudet blir text – med namnet, personnumret och ärendet i. Det är ofta en egen, specialiserad tjänst.
  4. Språkmodellen. Texten skickas till modellen som avgör vad agenten ska svara. De mest använda modellerna levereras av ett fåtal stora amerikanska bolag. Många av dem erbjuder behandling i Europa, men det är ett val som någon måste ha gjort – det sker inte av sig självt.
  5. Talsyntesen. Svaret görs om till ljud igen. Ibland hos ännu en leverantör.
  6. Lagringen efteråt. Inspelningar, transkriptioner och analyser kan ligga någon annanstans än där samtalet behandlades i realtid.

Använder agenten en tal-till-tal-modell slås länk tre, fyra och fem ihop till en. Det gör kedjan kortare. Det gör den inte automatiskt mer lokal.

Var och en av de sex länkarna kan vara ett eget bolag, i ett eget land, med egna underbiträden. ”Samtalet stannar i Sverige” är bara sant om det är sant för alla sex. Det är samma mönster som återkommer i resten av en röstagent: varje länk i samtalet har sin egen ägare, och kapaciteten är det lägsta av fyra tal som ägs av fyra parter. Dataflödet följer samma logik.

Vill du prata med någon som har gjort det här förut?

Femton minuter på telefon eller video. Vi säger ärligt om en röstagent passar er – och vad som måste vara klart innan den går i drift.

15 minuter · förutsättningslöst · välj tid själv

Var data finns, och vem som kan kräva ut dem

Även när alla sex länkarna behandlar samtalet i Europa är frågan bara till hälften besvarad. Det finns två frågor här, och de slås ofta ihop.

Den första är var data behandlas och lagras. Den andra är vem som kan kräva att de lämnas ut. En amerikansk leverantör med datacenter i Frankfurt omfattas fortfarande av amerikansk lag, bland annat CLOUD Act från 2018, som ger amerikanska myndigheter rätt att kräva ut data som bolaget kontrollerar – oavsett var de lagras. Ett europeiskt datacenter besvarar den första frågan. Det besvarar inte den andra.

Det betyder inte att sådana leverantörer är uteslutna. Överföringar till USA vilar i dag i stor utsträckning på EU–US Data Privacy Framework, som EU:s tribunal fastställde i september 2025. Målet har överklagats till EU-domstolen – samma domstol som ogiltigförklarade båda föregångarna, Safe Harbor och Privacy Shield.

Var gränsen ska gå för er är en fråga för ert dataskyddsombud, inte för ett blogginlägg. Men det är ni som är personuppgiftsansvariga, och ni kan inte bedöma en kedja ni inte har sett.

Tre frågor som avgör saken

Vilka bolag hanterar ljudet eller texten från ett samtal? Inte ”våra underbiträden”. En lista med namn, en rad per länk i kedjan ovan.

Var behandlas det, och var lagras det efteråt? Två svar per länk. Behandling i realtid och lagring av inspelningar sker ofta på två olika ställen, och hur länge spåret ska sparas är ett eget beslut.

Vem äger bolaget som behandlar det? Det är den frågan ett europeiskt datacenter inte besvarar, och det är den som oftast saknas i svaret ni får.

Meningen är inte osann

Den är ofullständig. ”Samtalet stannar i Sverige” beskriver oftast den första länken i kedjan och lämnar de fem nästa obesvarade.

Threll.ai bygger röstagenter på svenska, norska och danska, och vår telefoni går över Telenors SIP-trunk på nordisk infrastruktur. Det är en länk. Ställ de tre frågorna till oss också – och till alla andra ni överväger.