Transkription och dataskydd: vad du bör reda ut innan du laddar upp

En ljudfil med röster i är sällan ofarlig. Så snart det är klart vem som talar behandlar du personuppgifter — och ofta mer än så: en forskningsintervju innehåller levnadshistorier, ett teammöte innehåller personalärenden, ett medicinskt samtal innehåller hälsouppgifter. Transkriptionen ändrar inget av det; den gör bara innehållet sökbart. Den här artikeln reder ut vad som bör vara klart före uppladdningen. Det är inte juridisk rådgivning; när du tvekar är det ditt dataskyddsombud eller en jurist som avgör.

Först: var inspelningen tillåten överhuvudtaget?

Att välja transkriptionstjänst kommer för sent om själva inspelningen var olaglig. I Tyskland gör § 201 i strafflagen (StGB) det brottsligt att spela in det talade ordet i ett icke offentligt samtal utan tillstånd — det omfattar lika väl hemligt inspelade samtal och möten som en diktafon som i tysthet lämnats på. Många jurisdiktioner har liknande regler, och vissa kräver samtycke från varje deltagare. Ett föredrag inför en stor publik är något annat än ett samtal mellan två personer, och att fråga ”får jag spela in det här?” i början är det billigaste skyddet som finns.

• Berätta om inspelningen innan den startar — och fånga överenskommelsen på inspelningen
• I grupper: fråga alla närvarande, inte bara värden
• För föreläsningar, kontrollera institutionens regler; många tillåter inspelningar endast för eget bruk
• Vid ett samtal har den andra sidan samma rättigheter som någon i rummet
• Saknat tillstånd kan inte repareras i efterhand

Vilken rättslig grund bär behandlingen?

Artikel 6 GDPR kräver en rättslig grund för all behandling av personuppgifter. Tre av dem spelar roll i vardaglig transkription: samtycke, fullgörande av avtal och berättigat intresse. Vilken som gäller beror på sammanhanget — en forskningsintervju vilar på en annan grund än protokollet från ett internt möte.

Särskilda kategorier: där bekvämligheten tar slut

Artikel 9 GDPR ger särskilt skydd åt vissa kategorier: hälsa, etniskt ursprung, politiska åsikter, religiös övertygelse, fackföreningsmedlemskap, sexualliv och biometriska uppgifter. Sådant innehåll dyker upp oftare i transkript än många förväntar sig när de laddar upp — i en bisats i en intervju, i ett sjukintyg som nämns under ett teammöte. Behandling av dessa kategorier är i princip förbjuden, med snäva undantag. Om du arbetar med dem behöver du ett gediget undantag, en riskbedömning och som regel en leverantör med avtalsgarantier för skyddet — inte det första gratisverktyget till hands.

Transkribering i arbetet: personuppgiftsbiträdesavtal

Så snart du transkriberar på uppdrag av en organisation — ett universitet, en redaktion, en advokatbyrå, ett företag — behandlar transkriptionstjänsten uppgifterna enligt dina instruktioner. Artikel 28 GDPR kräver ett personuppgiftsbiträdesavtal som täcker syfte, varaktighet, instruktioner, underbiträden, säkerhetsåtgärder och radering. Utan det avtalet är behandlingen formellt otillåten, hur noggrant leverantören än arbetar tekniskt. Det gäller inte privata anteckningar; det gäller allt som sker i yrket.

Så känner du igen en ren transkriptionstjänst

Leverantörer skiljer sig mindre i noggrannhet än i vad som händer med ditt ljud efteråt. En seriös tjänst besvarar dessa sex frågor offentligt, utan att du behöver fråga:

• Hur länge lagras ljud och transkript — och vad betyder ”raderat” i praktiken?
• Vilka är underbiträdena, och i vilka länder finns deras servrar?
• Används mina inspelningar för att träna modeller? (Svaret bör vara ett tydligt nej.)
• Finns ett personuppgiftsbiträdesavtal, och kan jag få det utan ett säljsamtal?
• Vilka uppgifter uppstår vid sidan om — konto, IP-adress, analyscookies?
• Vad händer vid ett dataintrång, och hur snabbt får jag veta?

På Sprechverlauf sker igenkänningen via OpenRouter i USA: gratiskörningar använder Whisper Large v3 Turbo hos DeepInfra eller Groq, betalda körningar använder Microsoft MAI-Transcribe-2 på Azure. Varje förfrågan skickas med Zero Data Retention, så leverantörerna får varken lagra ljud och text eller träna på dem. På vår egen server finns filen bara tills bearbetningen är klar (högst två timmar) och transkriptet hålls i minnet i upp till två timmar; ljud lagras aldrig permanent; transkripttext och filnamn sparas bara om du är inloggad, och då enbart krypterat på ditt konto. Att prova tjänsten kräver inget konto, så inga namn- eller adressuppgifter heller. Det räcker för många användningsfall — för hälsouppgifter och sekretessbelagda klientuppgifter räcker det uttryckligen inte.

Dataminimering är den effektivaste åtgärden

Den säkraste behandlingen är den som aldrig sker. Innan du laddar upp en tvåtimmarsinspelning är det värt att fråga om hela filen verkligen behövs eller bara de tjugo minuter som spelar roll. Namn kan ersättas med initialer i transkriptet när det delas, och ljudfiler hör sällan hemma permanent i en molnmapp som hela teamet kan läsa.

• Transkribera bara den del du behöver i stället för hela inspelningen
• Pseudonymisera transkript innan du delar eller citerar dem
• Radera ljudet på riktigt när arbetet är klart, även från papperskorgen
• Bestäm lagringstiden i förväg i stället för att leta efter en senare
• Begränsa åtkomsten till de personer som verkligen behöver texten

De inspelades rättigheter

Den som spelats in behåller sina rättigheter över transkriptet: tillgång, rättelse, radering, begränsning, invändning. I praktiken betyder det att du måste veta var en viss inspelning finns och hur du hittar den när någon ringer sex månader senare. En enkel förteckning med inspelningsdatum, syfte, deltagare och lagringsplats tjänar det ändamålet bättre än någon senare sökning i filsystemet — och ingår ändå i god praxis i forskningsprojekt.