Transcriptie en gegevensbescherming: wat vóór het uploaden geregeld moet zijn

Een audiobestand met stemmen is zelden onschuldig. Zodra herkenbaar is wie er spreekt, verwerk je persoonsgegevens — en vaak meer dan dat: een onderzoeksinterview bevat levensverhalen, een teamoverleg personeelszaken, een consult gezondheidsgegevens. De transcriptie verandert daar niets aan, ze maakt de inhoud alleen doorzoekbaar. Dit artikel zet op een rij wat vóór het uploaden geregeld moet zijn. Het vervangt geen juridisch advies; bij twijfel beslist je functionaris voor gegevensbescherming of een jurist.

Eerst: mocht de opname überhaupt gemaakt worden?

De keuze van een transcriptiedienst komt te laat als de opname zelf al niet mocht. In veel landen is het opnemen van een niet-openbaar gesprek zonder toestemming verboden; in Duitsland is dat strafbaar op grond van § 201 van het wetboek van strafrecht. Dat geldt voor stiekem opgenomen telefoongesprekken en vergaderingen net zo goed als voor een recorder die ongemerkt blijft doorlopen. Een lezing voor een groot publiek is iets anders dan een gesprek onder vier ogen, en „mag ik dit opnemen?” aan het begin is de goedkoopste zekerheid die er is.

• Aankondigen voordat de opname start en de instemming meteen mee opnemen
• Bij groepen iedereen vragen, niet alleen de gastheer of gastvrouw
• Bij colleges de regels van de instelling nagaan; veel staan alleen eigen gebruik toe
• Aan de telefoon heeft de andere partij dezelfde rechten als iemand in de kamer
• Ontbrekende toestemming is achteraf niet te repareren

Welke rechtsgrond draagt de verwerking?

Artikel 6 AVG vereist voor elke verwerking van persoonsgegevens een rechtsgrond. In de transcriptiepraktijk zijn er drie relevant: toestemming, uitvoering van een overeenkomst en gerechtvaardigd belang. Welke geldt, hangt af van de context: een onderzoeksinterview rust op een andere grond dan het verslag van een intern overleg.

Bijzondere categorieën: hier houdt het gemak op

Artikel 9 AVG beschermt bijzondere categorieën apart: gezondheid, etnische afkomst, politieke opvattingen, religieuze overtuiging, vakbondslidmaatschap, seksueel leven en biometrische gegevens. Zulke inhoud duikt vaker op in transcripties dan je bij het uploaden denkt — in een bijzin van een interview, in een ziekmelding tijdens een teamoverleg. Verwerking daarvan is in beginsel verboden, met nauwe uitzonderingen. Werk je ermee, dan heb je een deugdelijke uitzondering nodig, een risicobeoordeling en in de regel een leverancier met contractuele waarborgen — niet de eerste de beste gratis tool.

Transcriberen voor het werk: verwerkersovereenkomst

Zodra je namens een organisatie transcribeert — universiteit, redactie, advocatenkantoor, bedrijf — verwerkt de transcriptiedienst gegevens in jouw opdracht. Artikel 28 AVG vereist daarvoor een verwerkersovereenkomst met afspraken over doel, duur, instructies, subverwerkers, beveiliging en verwijdering. Zonder dat contract is de verwerking formeel niet toegestaan, hoe zorgvuldig de aanbieder technisch ook werkt. Voor privéaantekeningen geldt dit niet; voor alles zakelijks wel.

Waaraan je een nette transcriptiedienst herkent

Aanbieders verschillen minder in nauwkeurigheid dan in wat er daarna met je audio gebeurt. Een serieuze dienst beantwoordt deze zes vragen openbaar, zonder dat je erom hoeft te vragen:

• Hoe lang worden audio en transcriptie bewaard — en wat betekent „verwijderd” concreet?
• Wie zijn de subverwerkers en in welke landen staan hun servers?
• Worden mijn opnames gebruikt om modellen te trainen? (Het antwoord hoort een duidelijk nee te zijn.)
• Is er een verwerkersovereenkomst, en krijg ik die zonder verkoopgesprek?
• Welke gegevens ontstaan er terloops: account, IP-adres, analysecookies?
• Wat gebeurt er bij een datalek, en hoe snel word ik geïnformeerd?

Bij Sprechverlauf loopt de herkenning via de Replicate-API in de Verenigde Staten. Volgens hun bewaarbeleid worden invoer, uitvoer, bestanden en logs van predictions standaard na ongeveer een uur verwijderd; op de eigen server worden audio, transcriptietekst, bestandsnamen en prompts niet duurzaam opgeslagen. Er is geen account, dus ook geen naam- of adresgegevens. Voor veel toepassingen is dat genoeg; voor gezondheidsgegevens en beroepsgeheim uitdrukkelijk niet.

Dataminimalisatie is de effectiefste maatregel

De veiligste verwerking is die welke niet plaatsvindt. Voordat je een opname van twee uur uploadt, loont de vraag of het hele bestand nodig is of alleen de twintig minuten waar het om gaat. Namen kunnen in de transcriptie door initialen worden vervangen zodra die gedeeld wordt, en audiobestanden horen zelden permanent in een cloudmap die het hele team kan lezen.

• Alleen het benodigde fragment transcriberen in plaats van de hele opname
• Transcripties pseudonimiseren voordat ze worden gedeeld of geciteerd
• Audio na afronding echt verwijderen, ook uit de prullenbak
• De bewaartermijn vooraf vastleggen in plaats van er later naar te zoeken
• Toegang beperken tot de mensen die de tekst echt nodig hebben

De rechten van de opgenomen personen

Wie is opgenomen, behoudt zijn rechten op de transcriptie: inzage, rectificatie, verwijdering, beperking en bezwaar. In de praktijk betekent dat dat je moet weten waar een bepaalde opname staat en hoe je die terugvindt als iemand een half jaar later belt. Een eenvoudige lijst met opnamedatum, doel, betrokkenen en bewaarplaats doet dat beter dan welke latere zoektocht in het bestandssysteem ook — en hoort bij onderzoeksprojecten sowieso bij goed gebruik.