GDPR и записът на среща: какво трябва да направи фирмата

Записът на среща съдържа гласове на разпознаваеми хора и всичко, което те са казали. Това са лични данни, независимо дали срещата е вътрешна, дали някой е дал изрично съгласие и дали записът се пази пет минути или пет години. Оттук нататък важат правила, и по-голямата част от тях са по-скучни и по-изпълними, отколкото звучат.

Това не е правен съвет. Правният съвет идва от юрист, който познава вашия случай. Това е списък с въпросите, на които ще трябва да отговорите.

Кой отговаря за какво

Има две роли и е важно да знаете коя е вашата.

Администратор е този, който решава защо и как се обработват данните. Когато вашата фирма записва своята среща, администраторът сте вие. Вие решавате, че ще има запис, за какво ще служи и колко ще се пази.

Обработващ е доставчикът, който прави обработката по ваше указание. Инструментът за записки, доставчикът на разпознаване на реч и хранилището са обработващи.

Практическото следствие: задълженията към хората в срещата са ваши, не на доставчика. Доставчикът дължи на вас сигурност, прозрачност какво прави с данните и договор, който го описва.

На какво основание

GDPR иска основание за всяка обработка. За запис на делова среща на практика се използват две.

Легитимен интерес. Работи за вътрешни срещи, където записът служи на ясна работна цел, интересът е претеглен срещу очакванията на хората и има разумни граници. Изисква да сте направили преценката и да можете да я покажете.

Съгласие. Изглежда най-безопасно и има уловка: съгласието трябва да е свободно дадено. Между работодател и служител то рядко е свободно, защото отказът има цена. За външни участници съгласието работи по-добре, а най-чистата му форма е една ясно казана и приета фраза в началото.

Изборът зависи от случая. Това, което не работи в нито един случай, е тайният запис.

Какво трябва да кажете и кога

Хората имат право да знаят преди записа, не след него. Минимумът е:

• че се записва;
• за какво ще служи записът;
• колко ще се пази;
• кой ще има достъп.

В разговор това е едно изречение: „Записвам, за да имам записки от срещата. Записът се изтрива след обработката, текстът остава при нас.“ Ако някой възрази, не записвате. Написали сме отделно кой трябва да знае и как се казва.

В писмен вид същото трябва да е и в политиката ви за поверителност, ако записвате редовно.

Колко се пази

По-малкото е по-добре и това не е само етика: данни, които не пазите, не могат да изтекат, не подлежат на искане за достъп и не влизат в отчет за нарушение.

Разделете двете неща, защото рискът им е различен:

• Аудиото е суровината. Носи гласа, тона, всичко случайно казано. Пазете го само ако имате конкретна причина.
• Текстът е резултатът. Носи съдържанието, което ви трябва, без гласа.

По подразбиране Minuvo изтрива аудиото веднага след като записките са готови. Ако имате причина да го пазите, избирате 7, 30 или 90 дни. Няма вариант „завинаги“, и това е нарочно. Колко дълго да пазите записа е отделен текст с практическите съображения.

Къде отиват данните

Прехвърлянето извън ЕС не е забранено, но иска основание и документиране. Най-простият начин да избегнете въпроса е да не прехвърляте.

В Minuvo има настройка „Само доставчици с данни в ЕС“. Когато е включена и няма подходящ доставчик, обработката спира с грешка, вместо да премине към доставчик извън ЕС. Разликата е важна: отказът е видим, а тихото преминаване не е.

Аудиото не минава през нашия сървър. Приложението го качва директно в защитено хранилище с еднократен адрес, а разпознаването го чете оттам.

Правата на хората в записа

Участник може да поиска достъп до данните си, поправка или изтриване. Практически това значи, че трябва да можете:

• да намерите записа, в който участва даден човек;
• да го изтриете, включително аудиото;
• да обясните какво е било обработено и от кого.

Търсенето в архива и изтриването на срещи покриват първите две. Изтриването на среща премахва и аудиото ѝ, ако още е било налично.

Какво не правим и защо е важно

Две неща, които се очаква да поискате изрично, а при нас просто ги няма:

Няма гласови профили между срещи. Говорителите се разделят само в рамките на една среща и имената, които им давате, важат за нея. Постоянен гласов отпечатък е биометрични данни по смисъла на член 9, тоест специална категория с много по-тежък режим. Не ги събираме.

Няма анализ на емоции. Извеждането на емоции от глас на работно място е сред практиките, забранени от Регламента за изкуствения интелект. Не го правим.

Това не са продуктови решения, които може да се променят следващото тримесечие.

Кратък списък преди първия запис

1. Решете основанието и го запишете някъде.
2. Формулирайте изречението, което казвате в началото на срещата.
3. Изберете срок за съхранение на аудиото и го настройте.
4. Проверете дали ви трябва обработка само в ЕС и я включете.
5. Подпишете споразумение за обработка на лични данни с доставчика, ако записвате редовно.
6. Допълнете политиката си за поверителност.

Пълното описание на ролите, сроковете и това какво стига до кой доставчик е на страницата за GDPR.