文字起こしとデータ保護：アップロード前に確認すべきこと

声が入った音声ファイルが無害であることは、めったにありません。誰が話しているかがわかった時点で、個人データを扱っています。しかも、それだけにとどまらないことも多いです。研究インタビューには人生の話が、チームの会議には人事に関わる話が、診察の相談には健康データが含まれます。文字起こしでそれが変わるわけではなく、内容を検索できるようになるだけです。この記事では、アップロードの前に決めておくべきことを整理します。これは法律上の助言ではありません。判断に迷うときは、データ保護責任者や弁護士に確認してください。

まず：そもそも録音は許されていたか？

録音そのものが違法だった場合、文字起こしサービスを選んでも手遅れです。ドイツでは、刑法第201条により、非公開の会話の話し言葉を無許可で録音することは犯罪になります。秘密裏に録音した通話や会議はもちろん、こっそり動かしたままのボイスレコーダーも対象です。多くの法域で同様のルールがあり、参加者全員の同意を求める国もあります。大勢の聴衆の前での講演は、1対1の会話とは事情が異なります。最初に「録音してもよいですか？」と尋ねるのが、最も手軽な予防策です。

• 録音を始める前に伝え、同意を録音に残す
• グループの場合は、主催者だけでなく全員に確認する
• 講義の場合は、所属機関のルールを確認する。個人の学習用としてのみ録音を認めている機関が多い
• 通話では、相手側も、同じ部屋にいる人と同じ権利を持つ
• 許可がなかった場合は、後から取り繕うことはできない

どの法的根拠で処理が成り立つか？

GDPR（EU一般データ保護規則）第6条は、個人データのあらゆる処理に法的根拠を求めています。日常的な文字起こしで重要なのは、そのうち3つです。同意、契約の履行、正当な利益。どれが当てはまるかは状況によります。研究インタビューは、社内会議の議事録とは別の根拠に基づきます。

特別な種類のデータ：便利さが終わる場所

GDPR第9条は、次のような特定の種類のデータを特別に保護しています。健康、人種的・民族的出自、政治的意見、宗教・思想的信条、労働組合への加入、性生活、生体データ。こうした内容は、アップロードの時点で想像するより頻繁に文字起こしに現れます。インタビューの従属節の中に、あるいはチーム会議で話題に出た病欠の連絡の中に、という具合です。これらの種類のデータの処理は、原則として禁止されており、例外は限定的です。扱う場合には、確かな例外規定、リスク評価、そして原則として契約で安全対策を保証したプロバイダーが必要です。手元にあった最初の無料ツールで済ませてよい話ではありません。

仕事での文字起こし：処理委託契約

大学、編集部、法律事務所、企業などの組織の依頼で文字起こしをする時点で、文字起こしサービスはあなたの指示に従ってデータを処理することになります。GDPR第28条は、目的、期間、指示、再委託先、安全対策、削除を定めたデータ処理契約を求めています。その契約がなければ、プロバイダーが技術的にどれほど丁寧に作業していても、処理は形式上認められません。個人的なメモには当てはまりませんが、仕事に関わるものはすべて対象になります。

信頼できる文字起こしサービスの見分け方

プロバイダーの違いは、精度よりも、音声がその後どう扱われるかにあります。信頼できるサービスは、次の6つの質問に、尋ねなくても公開して答えています。

• 音声と文字起こしはどのくらい保存されるのか。「削除」は実際には何を意味するのか？
• 再委託先はどこか。そのサーバーはどの国にあるか？
• 録音はモデルの学習に使われるか？（答えは明確に「いいえ」であるべきです。）
• データ処理契約はあるか。営業の電話をしなくても入手できるか？
• 付随してどんなデータが発生するか。アカウント、IPアドレス、アナリティクスのCookieなど？
• データ漏えいが起きたら何が起こり、どれくらい早く知らされるか？

Sprechverlaufでは、認識はアメリカのOpenRouterを経由して行われます。無料の処理はDeepInfraまたはGroqのWhisper Large v3 Turboを使い、有料の処理はAzure上のMicrosoft MAI-Transcribe-2を使います。すべてのリクエストは、データ保存なし（Zero Data Retention）で送信されます。そのため、プロバイダーは音声もテキストも保存できず、学習に使うこともできません。当社のサーバーでは、ファイルは処理が終わるまでだけ（最長2時間）保存され、文字起こしは最長2時間メモリに保持されます。音声は永続的に保存されません。文字起こしのテキストとファイル名は、ログインしている場合に限って保存され、その場合もアカウント内で暗号化されます。サービスを試すのにアカウントは不要なので、氏名や住所のデータも必要ありません。多くの用途には、これで十分です。ただし、健康データや守秘義務の対象となる依頼者情報には、十分ではないことを明記しています。

データの最小化がもっとも効果的な対策

もっとも安全な処理は、そもそも行わない処理です。2時間の録音をアップロードする前に、ファイル全体が本当に必要か、重要な20分だけで足りないかを考える価値があります。共有するときには、文字起こし内の名前をイニシャルに置き換えられます。音声ファイルは、チーム全員が読める共有クラウドフォルダーに永続的に置いておくべきものではないことがほとんどです。

• 録音全体ではなく、必要な区間だけを文字起こしする
• 文字起こしを共有・引用する前に、仮名化する
• 作業が終わったら、ごみ箱の中のものも含めて、音声を実際に削除する
• 保存期間は、後から探すのではなく、事前に決めておく
• テキストが本当に必要な人だけにアクセスを制限する

録音された人の権利

録音された人は、文字起こしについての権利を持ち続けます。アクセス、訂正、消去、制限、異議申し立てです。実際には、ある録音がどこにあるのか、半年後に誰かから問い合わせがあったときにどう見つけるのかを把握しておく必要があります。録音日、目的、参加者、保存場所を並べたシンプルな一覧があれば、後からファイルシステムを探し回るよりずっと役立ちます。研究プロジェクトでも、もともとよいやり方の一部です。