Trascrizione e protezione dei dati: cosa chiarire prima di caricare

Un file audio con voci dentro raramente è innocuo. Appena si capisce chi parla, stai trattando dati personali, e spesso molto di più: un'intervista di ricerca contiene storie di vita, una riunione di squadra contiene questioni del personale, una visita medica contiene dati sanitari. La trascrizione non cambia nulla di tutto questo: rende solo il contenuto ricercabile. Questo articolo chiarisce cosa va stabilito prima del caricamento. Non è consulenza legale; nel dubbio decidono il responsabile della protezione dei dati o un avvocato.

Prima di tutto: la registrazione era lecita?

Scegliere un servizio di trascrizione arriva troppo tardi se la registrazione stessa era illecita. In Germania, il § 201 del codice penale rende reato registrare la parola pronunciata in una conversazione non pubblica senza autorizzazione: vale tanto per le chiamate e le riunioni registrate di nascosto quanto per un registratore lasciato acceso di proposito. Molte giurisdizioni hanno regole analoghe, e alcune richiedono il consenso di tutti i partecipanti. Un discorso davanti a un grande pubblico è una cosa diversa da una conversazione a due, e chiedere “posso registrare?” all'inizio è la protezione più economica che esista.

• Annuncia la registrazione prima che inizi e fai registrare anche l'assenso
• In gruppo, chiedi a tutti i presenti, non solo a chi organizza
• Per le lezioni, verifica le regole dell'istituto: molte consentono le registrazioni solo per uso personale
• In una telefonata, l'altra parte ha gli stessi diritti di chi è nella stanza
• Un'autorizzazione mancante non si può sanare a posteriori

Quale base giuridica sostiene il trattamento?

L'articolo 6 del GDPR richiede una base giuridica per ogni trattamento di dati personali. Tre contano nella trascrizione quotidiana: consenso, esecuzione di un contratto e legittimo interesse. Quale valga dipende dal contesto: un'intervista di ricerca si basa su una base diversa dal verbale di una riunione interna.

Categorie particolari: dove finisce la comodità

L'articolo 9 del GDPR concede una protezione speciale a determinate categorie: salute, origine etnica, opinioni politiche, convinzioni religiose, appartenenza sindacale, vita sessuale, dati biometrici. Questi contenuti compaiono nelle trascrizioni più spesso di quanto ci si aspetti al momento del caricamento: in una frase subordinata di un'intervista, in un certificato medico citato durante una riunione di squadra. Trattare queste categorie è in linea di principio vietato, con eccezioni strette. Se ci lavori, ti servono un'eccezione solida, una valutazione del rischio e, di regola, un fornitore con garanzie contrattuali — non il primo strumento gratuito a portata di mano.

Trascrivere sul lavoro: accordi con i responsabili del trattamento

Appena trascrivi per conto di un'organizzazione — un'università, una redazione, uno studio legale, un'azienda — il servizio di trascrizione tratta i dati seguendo le tue istruzioni. L'articolo 28 del GDPR richiede un accordo sul trattamento dei dati che copra finalità, durata, istruzioni, sub-responsabili, misure di sicurezza e cancellazione. Senza quel contratto il trattamento è formalmente non consentito, per quanto il fornitore lavori bene dal punto di vista tecnico. Questo non vale per gli appunti privati; vale per tutto ciò che è professionale.

Come riconoscere un servizio di trascrizione pulito

I fornitori differiscono meno per precisione che per quello che succede al tuo audio dopo. Un servizio serio risponde pubblicamente a queste sei domande, senza che tu debba chiederlo:

• Per quanto tempo vengono conservati audio e trascrizione — e cosa significa in pratica «cancellato»?
• Chi sono i sub-responsabili e in quali paesi si trovano i loro server?
• Le mie registrazioni servono ad addestrare modelli? (La risposta dovrebbe essere un no chiaro.)
• C'è un accordo sul trattamento dei dati, e posso averlo senza una telefonata commerciale?
• Quali dati si accumulano di lato — account, indirizzo IP, cookie di analisi?
• Cosa succede in caso di violazione dei dati, e quanto in fretta vengo informato?

Su Sprechverlauf il riconoscimento passa da OpenRouter negli Stati Uniti: le elaborazioni gratuite usano Whisper Large v3 Turbo presso DeepInfra o Groq, quelle a pagamento usano Microsoft MAI-Transcribe-2 su Azure. Ogni richiesta viene inviata con zero data retention, quindi i fornitori non possono né conservare audio e testo né addestrarsi su di essi. Sul nostro server il file resta solo fino al termine dell'elaborazione (al massimo due ore) e la trascrizione viene tenuta in memoria per un massimo di due ore; l'audio non viene mai conservato in modo permanente; il testo della trascrizione e i nomi dei file vengono conservati solo se hai effettuato l'accesso, e solo cifrati nel tuo account. Provare il servizio non richiede un account, quindi nemmeno dati di nome o indirizzo. Per molti casi d'uso basta; per dati sanitari e informazioni riservate dei clienti non è adatto, e lo diciamo esplicitamente.

Ridurre i dati al minimo è la misura più efficace

Il trattamento più sicuro è quello che non avviene mai. Prima di caricare una registrazione di due ore, vale la pena chiedersi se serve davvero l'intero file o solo i venti minuti che contano. Una volta condivisa, la trascrizione può sostituire i nomi con le iniziali, e i file audio raramente devono stare per sempre in una cartella cloud che tutta la squadra può leggere.

• Trascrivi solo la sezione che ti serve invece dell'intera registrazione
• Pseudonimizza le trascrizioni prima di condividerle o citarle
• Elimina davvero l'audio quando il lavoro è finito, anche dal cestino
• Decidi in anticipo il periodo di conservazione invece di cercarne uno dopo
• Limita l'accesso alle persone che hanno davvero bisogno del testo

I diritti delle persone registrate

Chi è stato registrato conserva i propri diritti sulla trascrizione: accesso, rettifica, cancellazione, limitazione, opposizione. In pratica devi sapere dove si trova una certa registrazione e come ritrovarla quando qualcuno ti chiama sei mesi dopo. Un semplice elenco con data della registrazione, finalità, partecipanti e luogo di conservazione serve a questo meglio di qualsiasi ricerca successiva nel file system — ed è comunque parte della buona pratica nei progetti di ricerca.