Transkrypcja a ochrona danych: co ustalić przed wysłaniem pliku

Plik audio z głosami rzadko jest niewinny. Gdy wiadomo, kto mówi, przetwarzasz dane osobowe – i często coś więcej: wywiad badawczy zawiera historie życia, spotkanie zespołu sprawy personalne, konsultacja medyczna dane o zdrowiu. Transkrypcja niczego w tym nie zmienia; tylko sprawia, że treść da się przeszukiwać. Ten artykuł porządkuje to, co warto ustalić przed wysłaniem. To nie jest porada prawna – w razie wątpliwości decyduje inspektor ochrony danych albo prawnik.

Najpierw: czy nagranie w ogóle było dozwolone?

Wybór usługi transkrypcji przychodzi za późno, jeśli samo nagranie było niezgodne z prawem. W Niemczech § 201 kodeksu karnego czyni przestępstwem nagrywanie wypowiedzi w rozmowie niepublicznej bez upoważnienia – dotyczy to zarówno potajemnie nagranych rozmów i spotkań, jak i dyktafonu zostawionego po cichu w trakcie. Wiele jurysdykcji ma podobne przepisy, a niektóre wymagają zgody wszystkich uczestników. Wystąpienie przed dużą publicznością to co innego niż rozmowa jeden na jeden, a zapytanie na początku „czy mogę to nagrać?” to najtańsze zabezpieczenie, jakie w ogóle istnieje.

• Zapowiedz nagrywanie, zanim się zacznie – i zarejestruj zgodę na nagraniu
• W grupie zapytaj wszystkich obecnych, nie tylko gospodarza
• Przy wykładach sprawdź regulamin uczelni; wiele dopuszcza nagrania wyłącznie do użytku osobistego
• Podczas rozmowy telefonicznej druga strona ma takie same prawa jak osoba w pokoju
• Brakującej zgody nie da się naprawić po fakcie

Która podstawa prawna uzasadnia przetwarzanie?

Art. 6 RODO wymaga podstawy prawnej dla każdego przetwarzania danych osobowych. W codziennej transkrypcji liczą się trzy: zgoda, wykonanie umowy i prawnie uzasadniony interes. Która z nich obowiązuje, zależy od kontekstu – wywiad badawczy opiera się na innej podstawie niż protokół z wewnętrznego spotkania.

Szczególne kategorie: tam, gdzie kończy się wygoda

Art. 9 RODO daje szczególną ochronę określonym kategoriom: zdrowiu, pochodzeniu etnicznemu, poglądom politycznym, przekonaniom religijnym, przynależności do związków zawodowych, życiu seksualnemu i danym biometrycznym. Takie treści pojawiają się w transkrypcjach częściej, niż ludzie zakładają w chwili wysyłania – w zdaniu podrzędnym wywiadu, w zwolnieniu lekarskim wspomnianym na zespołowym spotkaniu. Przetwarzanie tych kategorii jest zasadniczo zakazane, z wąskimi wyjątkami. Jeśli z nimi pracujesz, potrzebujesz mocnego wyjątku, oceny ryzyka i – co do zasady – dostawcy z umownie gwarantowanymi zabezpieczeniami, a nie pierwszego lepszego darmowego narzędzia, jakie akurat masz pod ręką.

Transkrypcja w pracy: umowy powierzenia

Gdy transkrybujesz w imieniu organizacji – uczelni, redakcji, kancelarii, firmy – usługa transkrypcji przetwarza dane zgodnie z twoimi poleceniami. Art. 28 RODO wymaga umowy powierzenia przetwarzania danych, obejmującej cel, czas trwania, polecenia, podwykonawców, środki bezpieczeństwa i usuwanie danych. Bez takiej umowy przetwarzanie jest formalnie niedopuszczalne, bez względu na to, jak starannie dostawca działa technicznie. Nie dotyczy to prywatnych notatek; dotyczy wszystkiego, co robisz zawodowo.

Jak rozpoznać czystą usługę transkrypcji

Dostawcy różnią się mniej dokładnością niż tym, co dzieje się z twoim audio potem. Poważna usługa odpowiada publicznie na te sześć pytań, bez konieczności pytania o nie:

• Jak długo przechowywane są audio i transkrypcja – i co w praktyce znaczy „usunięte”?
• Kim są podwykonawcy i w jakich krajach znajdują się ich serwery?
• Czy moje nagrania są wykorzystywane do trenowania modeli? (Odpowiedź powinna brzmieć jednoznacznie: nie.)
• Czy istnieje umowa powierzenia przetwarzania danych i czy mogę ją dostać bez rozmowy z handlowcem?
• Jakie dane powstają przy okazji – konto, adres IP, pliki cookie analityczne?
• Co się dzieje przy naruszeniu ochrony danych i jak szybko mnie o tym poinformują?

W Sprechverlauf rozpoznawanie przebiega przez OpenRouter w Stanach Zjednoczonych: w darmowym okresie próbnym korzysta się z Whisper Large v3 Turbo u DeepInfra lub Groq, w płatnych planach z Microsoft MAI-Transcribe-2 na Azure. Każde zapytanie wysyłane jest z zerową retencją danych, więc dostawcy nie mogą ani przechowywać audio i tekstu, ani trenować na nich. Na naszym serwerze plik zostaje tylko do końca przetwarzania (najwyżej dwie godziny), a transkrypcja jest trzymana w pamięci przez maksymalnie dwie godziny; audio nigdy nie jest przechowywane na stałe. Tekst transkrypcji i nazwy plików zachowywane są tylko wtedy, gdy jesteś zalogowany – i wtedy wyłącznie zaszyfrowane na twoim koncie. Do wypróbowania usługi nie potrzebujesz konta, więc nie podajesz też imienia ani adresu. To wystarcza w wielu przypadkach – przy danych o zdrowiu i informacjach objętych tajemnicą zawodową to już wyraźnie za mało.

Minimalizacja danych to najskuteczniejszy środek

Najbezpieczniejsze przetwarzanie to takie, które w ogóle nie zachodzi. Zanim wyślesz dwugodzinne nagranie, warto zapytać, czy naprawdę potrzebny jest cały plik, czy tylko dwadzieścia minut, które mają znaczenie. Imiona można zastąpić inicjałami w transkrypcji, zanim ją udostępnisz, a pliki audio rzadko powinny leżeć na stałe w chmurze, do której ma dostęp cały zespół.

• Transkrybuj tylko potrzebny fragment zamiast całego nagrania
• Pseudonimizuj transkrypcje przed udostępnieniem lub cytowaniem
• Po zakończeniu pracy naprawdę usuń audio, również z kosza
• Ustal okres przechowywania z góry, zamiast szukać go później
• Ogranicz dostęp do osób, które naprawdę potrzebują tekstu

Prawa osób nagranych

Osoba nagrana zachowuje swoje prawa do transkrypcji: dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw. W praktyce oznacza to, że musisz wiedzieć, gdzie znajduje się dane nagranie i jak je odnaleźć, gdy ktoś zadzwoni pół roku później. Prosty spis z datą nagrania, celem, uczestnikami i miejscem przechowywania lepiej służy temu celowi niż późniejsze przeszukiwanie systemu plików – a w projektach badawczych i tak jest częścią dobrej praktyki.