Главное
- Ни один сервис транскрибации не соответствует GDPR по умолчанию. Отметка «соответствует GDPR»: это утверждение поставщика, а соответствие зависит от договора и от того, как вы пользуетесь сервисом.
- Решают пять вещей: договор обработчика (статья 28), где обрабатывается аудио (глава V), обучается ли поставщик на ваших записях, как долго хранятся аудио и расшифровки, и безопасность (статья 32).
- Чем чувствительнее аудио, тем выгоднее выбрать хостинг в ЕС или речевую модель на собственных серверах. Данные о здоровье: особая категория по статье 9.
Что нужно транскрипции для соответствия GDPR?
Сервис транскрипции поддерживает соблюдение GDPR, когда его договоры и настройки соответствуют вашей законной цели. До отправки записей проверьте договор по статье 28, использование для обучения, хранение, доступ и передачи. Хостинг в ЕС помогает выполнить требования к расположению, но не заменяет эти проверки и вашу ответственность за запись.
Шесть вопросов к любому сервису транскрибации
| Вопрос | Как выглядит хороший ответ | Основание в GDPR |
|---|---|---|
| Подпишете ли вы договор об обработке данных? | Да, с инструкциями, субобработчиками, безопасностью, удалением и аудитами. | Статья 28(3) |
| Где обрабатывается и хранится аудио? | В ЕС или ЕЭП, либо передача с правовым механизмом: решение об адекватности, сертификация по Рамкам конфиденциальности данных ЕС–США или стандартные договорные условия. | Глава V, статьи с 44 по 46 |
| Используете ли вы наши записи для обучения моделей? | Нет, или только с нашего явного согласия. | Статья 5(1)(b), статья 28(3)(a) |
| Как долго вы храните аудио и расшифровки и можем ли мы удалить по требованию? | Короткий, настраиваемый срок хранения и механизм удаления, подтверждённые письменно. | Статья 5(1)(e), статья 17 |
| Кто ваши субобработчики? | Опубликованный список с уведомлением перед изменениями. | Статья 28(2) и 28(4) |
| Как защищены данные? | Шифрование при передаче и хранении, контроль доступа и журналы. | Статья 32 |
Какой тип сервиса для какого случая
| Тип сервиса | Где подходит | Что проверить в первую очередь |
|---|---|---|
| Сервис транскрибации с хостингом в ЕС | Повседневные бизнес-записи | Договор, субобработчиков и любое использование для обучения |
| Глобальный сервис с регионом в ЕС | Команды, которые уже пользуются поставщиком | Что настройка ЕС охватывает хранение и обработку, и у кого есть доступ поддержки |
| Сервис вне ЕС | Только аудио низкой чувствительности | Механизм передачи и действует ли сертификация поставщика |
| Речевая модель на ваших серверах или в облачном аккаунте в ЕС | Медицинские, юридические, HR- или конфиденциальные записи и большие объёмы | Кто её запускает, обновляет и мониторит |
Для самого чувствительного аудио запуск речевой модели на собственной инфраструктуре снимает вопросы о передаче данных и субобработчиках ценой её эксплуатации. Наши руководства о развёртывании распознавания речи на своих серверах или в облаке и о медицинском распознавании речи разбирают оба варианта глубже.
Что вы всё равно должны сделать, какой бы сервис ни выбрали
- Сообщите записываемым людям, что аудио расшифровывает сервис, кто его эксплуатирует и как долго оно хранится (статьи 13 и 14).
- Выберите и задокументируйте правовое основание для записи (статья 6), а также условие из статьи 9, если есть данные о здоровье.
- Проведите оценку воздействия на защиту данных, если записываете в большом объёме или обрабатываете особые категории (статья 35).
- Подпишите договор обработчика до первой загрузки, а не после.
Опишите объём записей, языки и требования к данным. Спланируем транскрипцию в ЕС или на ваших серверах с контролем хранения и проверки.
Спланировать систему транскрипцииFAQ
Существует ли сертификат GDPR для сервисов транскрибации?
GDPR предусматривает сертификацию (статья 42), но значок «соответствует GDPR» у поставщика обычно является самодекларацией. Воспринимайте его как утверждение и сами проверяйте договор, хостинг и сроки хранения.
Можно ли использовать американский сервис транскрибации по GDPR?
Да, если у передачи есть правовой механизм: поставщик сертифицирован по Рамкам конфиденциальности данных ЕС–США (Имплементационное решение Комиссии (ЕС) 2023/1795) или вы опираетесь на стандартные договорные условия. Проверьте, что сертификация действует и что рамки остаются в силе, а для чувствительного аудио рассмотрите хостинг в ЕС.
Является ли запись звонка персональными данными?
Да. Голос человека и то, что он говорит, относятся к идентифицируемому лицу, поэтому GDPR применяется и к аудио, и к расшифровке.
Источники
- Регламент (ЕС) 2016/679 (GDPR), статьи 5, 6, 9, 13, 14, 17, 28, 32, 35, 42 и с 44 по 46, Официальный журнал ЕС
- Имплементационное решение Комиссии (ЕС) 2023/1795 от 10 июля 2023 года об адекватном уровне защиты по Рамкам конфиденциальности данных ЕС–США
- Европейский совет по защите данных, Руководство 07/2020 о понятиях контролёра и обработчика в GDPR
Об авторе
Erik Salo Akimov · Сооснователь · Инженерия
Erik возглавляет инженерию в ESADEX. Он проектирует платформы, инфраструктуру и средства безопасности, стоящие за системами клиентов.
