Přepis pomocí AI v souladu s GDPR: sedm kontrolních bodů pro advokátní kanceláře a ordinace před výběrem služby
Nahrávka rozhovoru s klientem, terapeutického sezení nebo výzkumného rozhovoru není obyčejný soubor. Obsahuje hlasy, jména a často údaje o zdraví. Kdo ji předá službě s AI k přepisu, předává osobní údaje třetí straně, a GDPR pro to stanoví podmínky.
Tento článek je kontrolní seznam sedmi otázek, které byste měli položit poskytovateli, než nahrajete první nahrávku. Základy najdete v článku „GDPR a přepis: co musí firmy vědět“, obecné otázky v „5 otázek, které byste měli položit své přepisovací službě“; zde jde o advokátní kanceláře a ordinace, s články GDPR v ruce.
1. Existuje smlouva o zpracování osobních údajů podle článku 28?
Kdo používá přepisovací službu, je správcem; služba je zpracovatelem. Článek 28 GDPR vyžaduje písemnou smlouvu, která upravuje předmět, dobu trvání, povahu a účel zpracování, vázanost pokyny, mlčenlivost, technická a organizační opatření podle článku 32 a další zpracovatele. Bez této smlouvy není zpracování zákonné, ať je technika jakkoli bezpečná. Žádejte dokument, ne ujištění.
2. Kde se nahrávka zpracovává a ukládá a kdo se na tom podílí?
Datové centrum v EU je nejjednodušší odpověď. Pokud je server mimo EU, předání vyžaduje právní základ podle kapitoly V, například rámec EU-USA pro ochranu údajů (Data Privacy Framework) nebo standardní smluvní doložky, a posouzení cílové země. Žádejte úplný seznam dalších zpracovatelů se sídlem a místem zpracování: mnoho služeb běží na cloudové platformě, která sama sídlí mimo EU nebo je odtud spravována. Poskytovatel, který tento seznam neuvádí ve svých zásadách ochrany osobních údajů, neudělal domácí úkol.
3. Používají se nahrávky k trénování modelů?
Někteří poskytovatelé si vyhrazují právo používat nahrávky nebo přepisy ke zlepšování svých modelů. Jde o samostatný účel zpracování, který správce neschválil, a u údajů o zdraví je bez výslovného souhlasu subjektů údajů nepřípustný. Odpověď musí být jasné ne a musí být uvedena ve smlouvě.
4. Jak je soubor zašifrován a kdo drží klíč?
Šifrování při přenosu (HTTPS) je dnes standard a mnoho neříká. Důležitější je: je soubor zašifrován i v úložišti poskytovatele a šifruje se už v zařízení uživatele před nahráním? A rozhodující otázka: kdo drží klíč? Pokud ho má poskytovatel, může číst, co ukládá, a na příkaz to musí vydat. Pokud ho má jen uživatel, je uložený obsah pro poskytovatele nečitelný. Nechte si vysvětlit koncept klíčů, nejen slovo „šifrováno“.
5. Kdo má u poskytovatele přístup a je to zaznamenáváno?
Ptejte se na přístupová práva zaměstnanců, na záznamy o přístupech a na to, zda pracovníci podpory mohou nahlížet do obsahu. Článek 32 vyžaduje opatření přiměřená riziku; u rozhovorů s klienty nebo pacienty je riziko vysoké.
6. Jak dlouho se nahrávka a přepis uchovávají a jak se mažou?
Podle článku 28 odst. 3 písm. g musí zpracovatel po skončení poskytování služby údaje vymazat nebo vrátit. Ptejte se na konkrétní lhůty: co se stane s původní nahrávkou po zpracování, co po výpovědi, co při smazání účtu a existují zálohy s vlastní lhůtou? Odpověď typu „vaše data zůstanou po výpovědi 90 dní dostupná a poté budou úplně smazána“ je ověřitelná; „s vašimi daty zacházíme důvěrně“ ne.
7. Jde o zvláštní kategorie údajů a je nutné posouzení vlivu?
Údaje o zdraví, sexuální orientaci, politických názorech nebo náboženství spadají pod článek 9. Terapeutické sezení nebo lékařská konzultace je obsahuje téměř vždy. Pak je kromě právního základu nutné ověřit, zda je potřeba posouzení vlivu na ochranu osobních údajů podle článku 35. To je úkol správce, ale dobrý poskytovatel dodá technické informace, které jsou k tomu potřeba.
Co to znamená pro výběr služby
Sedm otázek tvoří jednoduchou mřížku: smlouva, místo a zúčastnění, účel, šifrování, přístup, mazání, riziko. Poskytovatel, který má na každou otázku konkrétní písemnou odpověď, je ověřitelný. Ten, kdo odkazuje na své zásady ochrany osobních údajů, většinou ne.
Pro úplnost, takto scryp na tyto otázky odpovídá: smlouva o zpracování osobních údajů podle článku 28 je k dispozici online. Nahrávky, přepisy a názvy souborů se šifrují v prohlížeči pomocí AES-256-GCM; hlavní klíč (MEK) je odvozen z hesla a nikdy neopouští prohlížeč. Na serverech je pouze zašifrovaný obsah, který scryp bez tohoto klíče nemůže přečíst, ani na příkaz úřadu. Původní nahrávka se po zpracování maže. Žádné trénování na datech zákazníků, žádné sledování na webu. Po výpovědi 90 dní přístupu, poté úplné smazání; smazání účtu platí okamžitě. Posouzení vlivu za nikoho scryp neudělá, ale dodá k němu potřebné údaje.