Transskription og databeskyttelse: hvad du skal afklare, før du uploader

En lydfil med stemmer i er sjældent harmløs. Så snart det er klart, hvem der taler, behandler du personoplysninger — og ofte mere end det: et forskningsinterview indeholder livshistorier, et teammøde indeholder personaleforhold, en lægekonsultation indeholder helbredsoplysninger. Transskription ændrer ikke på noget af det; den gør blot indholdet søgbart. Denne artikel gennemgår, hvad der bør afklares før upload. Det er ikke juridisk rådgivning; i tvivlstilfælde er det din databeskyttelsesrådgiver eller en advokat, der afgør det.

Først: var optagelsen overhovedet tilladt?

Valget af transskriptionstjeneste kommer for sent, hvis selve optagelsen var ulovlig. I Tyskland gør § 201 i straffeloven det strafbart at optage det talte ord i en ikke-offentlig samtale uden tilladelse — det gælder lige så meget hemmeligt optagede opkald og møder som en diktafon, der stille og roligt er efterladt tændt. Mange jurisdiktioner har tilsvarende regler, og nogle kræver samtykke fra alle deltagere. Et oplæg foran et stort publikum er noget andet end en samtale mellem to personer, og at spørge »må jeg optage det her?« i starten er den billigste sikkerhed, der findes.

• Annoncér optagelsen, før den starter — og få aftalen med på optagelsen
• I grupper skal du spørge alle til stede, ikke kun værten
• Ved forelæsninger skal du tjekke institutionens regler; mange tillader kun optagelser til eget brug
• Ved et opkald har den anden part de samme rettigheder som en person i rummet
• Manglende tilladelse kan ikke rettes bagefter

Hvilket behandlingsgrundlag bærer behandlingen?

Artikel 6 i GDPR kræver et behandlingsgrundlag for enhver behandling af personoplysninger. Tre af dem har betydning i almindelig transskription: samtykke, opfyldelse af en kontrakt og legitim interesse. Hvilket der gælder, afhænger af konteksten — et forskningsinterview hviler på et andet grundlag end referatet fra et internt møde.

Særlige kategorier: hvor bekvemmeligheden slutter

Artikel 9 i GDPR giver særlig beskyttelse til bestemte kategorier: helbred, etnisk oprindelse, politiske holdninger, religiøs overbevisning, medlemskab af fagforening, seksuelle forhold og biometriske data. Sådant indhold optræder oftere i transskriptioner, end folk regner med, når de uploader: i en bisætning i et interview eller i en sygemelding, der nævnes på et teammøde. Behandling af disse kategorier er principielt forbudt med snævre undtagelser. Arbejder du med dem, skal du have et solidt undtagelsesgrundlag, en risikovurdering og som hovedregel en udbyder med kontraktligt sikrede garantier — ikke det første gratisværktøj, du finder.

Transskription på arbejdet: databehandleraftaler

Så snart du transskriberer på vegne af en organisation — et universitet, en redaktion, et advokatkontor, en virksomhed — behandler transskriptionstjenesten data efter dine instrukser. Artikel 28 i GDPR kræver en databehandleraftale, der dækker formål, varighed, instrukser, underdatabehandlere, sikkerhedsforanstaltninger og sletning. Uden den kontrakt er behandlingen formelt utilladelig, uanset hvor omhyggeligt udbyderen arbejder teknisk. Det gælder ikke private noter; det gælder til gengæld alt det faglige.

Sådan genkender du en ordentlig transskriptionstjeneste

Udbydere adskiller sig mindre på præcision end på, hvad der sker med din lyd bagefter. En seriøs tjeneste besvarer disse seks spørgsmål offentligt, uden at du skal spørge:

• Hvor længe gemmes lyd og transskription — og hvad betyder »slettet« i praksis?
• Hvem er underdatabehandlerne, og i hvilke lande ligger deres servere?
• Bliver mine optagelser brugt til at træne modeller? (Svaret bør være et klart nej.)
• Findes der en databehandleraftale, og kan jeg få den uden et salgsopkald?
• Hvilke data opstår i baggrunden — konto, IP-adresse, analysecookies?
• Hvad sker der ved et databrud, og hvor hurtigt får jeg besked?

Hos Sprechverlauf kører genkendelsen via OpenRouter i USA: gratis kørsler bruger Whisper Large v3 Turbo hos DeepInfra eller Groq, betalte kørsler bruger Microsoft MAI-Transcribe-2 på Azure. Hver anmodning sendes med zero data retention, så udbyderne hverken må gemme lyden og teksten eller træne på dem. På vores egen server bliver filen kun liggende, indtil behandlingen er færdig (højst to timer), og transskriptionen holdes i hukommelsen i op til to timer; lyden gemmes aldrig permanent; transskriptionstekst og filnavne gemmes kun, hvis du er logget ind, og så kun krypteret i din konto. At prøve tjenesten kræver ingen konto, og derfor heller ingen navne- eller adresseoplysninger. Det er nok til mange anvendelser — til helbredsdata og fortrolige klientoplysninger er den udtrykkeligt ikke egnet.

Dataminimering er den mest effektive foranstaltning

Den sikreste behandling er den, der aldrig finder sted. Før du uploader en to timer lang optagelse, er det værd at spørge, om hele filen virkelig er nødvendig, eller kun de tyve minutter, der betyder noget. Navne kan erstattes med initialer i transskriptionen, når den deles, og lydfiler hører sjældent hjemme permanent i en cloudmappe, som hele teamet kan læse.

• Transskribér kun det afsnit, du har brug for, i stedet for hele optagelsen
• Pseudonymisér transskriptioner, før du deler eller citerer dem
• Slet lyden, når arbejdet er færdigt, også fra papirkurven
• Fastlæg opbevaringsperioden på forhånd i stedet for at lede efter en senere
• Begræns adgangen til de personer, der virkelig har brug for teksten

De optagedes rettigheder

Den, der er optaget, beholder sine rettigheder over transskriptionen: indsigt, berigtigelse, sletning, begrænsning og indsigelse. I praksis betyder det, at du skal vide, hvor en given optagelse ligger, og hvordan du finder den, når nogen ringer seks måneder senere. En simpel liste med optagelsesdato, formål, deltagere og lagringssted gør det bedre end enhver senere søgning i filsystemet — og er under alle omstændigheder en del af god praksis i forskningsprojekter.