Головне
- Жоден сервіс транскрибації не відповідає GDPR за замовчуванням. Позначка «відповідає GDPR»: це твердження постачальника, а відповідність залежить від договору та від того, як ви користуєтеся сервісом.
- Вирішують п'ять речей: договір обробника (стаття 28), де обробляється аудіо (розділ V), чи навчається постачальник на ваших записах, як довго зберігаються аудіо й розшифровки, та безпека (стаття 32).
- Що чутливіше аудіо, то вигідніше обрати хостинг у ЄС або мовну модель на власних серверах. Дані про здоров'я є особливою категорією за статтею 9.
Що потрібно транскрипції для відповідності GDPR?
Сервіс транскрипції підтримує дотримання GDPR, коли його договори й налаштування відповідають вашій законній меті. До надсилання записів перевірте договір за статтею 28, використання для навчання, зберігання, доступ і передачі. Хостинг у ЄС допомагає виконати вимоги до розташування, але не замінює цих перевірок і вашої відповідальності за запис.
Шість запитань до будь-якого сервісу транскрибації
| Запитання | Як виглядає добра відповідь | Підстава в GDPR |
|---|---|---|
| Чи підпишете договір про обробку даних? | Так, з інструкціями, субобробниками, безпекою, видаленням і аудитами. | Стаття 28(3) |
| Де обробляється і зберігається аудіо? | У ЄС чи ЄЕП, або передача з правовим механізмом: рішення про адекватність, сертифікація за Рамками конфіденційності даних ЄС–США чи стандартні договірні положення. | Розділ V, статті з 44 по 46 |
| Чи використовуєте наші записи для навчання моделей? | Ні, або лише з нашої явної згоди. | Стаття 5(1)(b), стаття 28(3)(a) |
| Як довго ви зберігаєте аудіо й розшифровки і чи можемо видалити на вимогу? | Короткий, налаштовуваний строк зберігання і механізм видалення, підтверджені письмово. | Стаття 5(1)(e), стаття 17 |
| Хто ваші субобробники? | Опублікований перелік із попередженням перед змінами. | Стаття 28(2) і 28(4) |
| Як захищені дані? | Шифрування під час передачі та зберігання, контроль доступу і журнали. | Стаття 32 |
Який тип сервісу для якого випадку
| Тип сервісу | Де підходить | Що перевірити насамперед |
|---|---|---|
| Сервіс транскрибації з хостингом у ЄС | Повсякденні бізнес-записи | Договір, субобробників і будь-яке використання для навчання |
| Глобальний сервіс із регіоном у ЄС | Команди, що вже користуються постачальником | Що налаштування ЄС охоплює зберігання й обробку, і хто має доступ підтримки |
| Сервіс поза ЄС | Лише аудіо низької чутливості | Механізм передачі та чи чинна сертифікація постачальника |
| Мовна модель на ваших серверах чи в хмарному акаунті в ЄС | Медичні, юридичні, HR чи конфіденційні записи та великі обсяги | Хто її запускає, оновлює й моніторить |
Для найчутливішого аудіо запуск мовної моделі на власній інфраструктурі знімає питання про передачу даних і субобробників ціною її експлуатації. Наші посібники про розгортання розпізнавання мовлення на власних серверах чи в хмарі та про медичне розпізнавання мовлення розбирають обидва варіанти глибше.
Що ви все одно маєте зробити, який би сервіс не обрали
- Повідомте записуваних людей, що аудіо розшифровує сервіс, хто його експлуатує і як довго воно зберігається (статті 13 і 14).
- Оберіть і задокументуйте правову підставу для запису (стаття 6), а також умову зі статті 9, якщо є дані про здоров'я.
- Проведіть оцінку впливу на захист даних, якщо записуєте у великому обсязі чи обробляєте особливі категорії (стаття 35).
- Підпишіть договір обробника до першого завантаження, а не після.
Опишіть обсяг записів, мови та вимоги до даних. Сплануємо транскрипцію в ЄС або на ваших серверах із контролем зберігання й перевірки.
Спланувати систему транскрипціїFAQ
Чи існує сертифікат GDPR для сервісів транскрибації?
GDPR передбачає сертифікацію (стаття 42), але значок «відповідає GDPR» у постачальника зазвичай є самодекларацією. Сприймайте його як твердження й самі перевіряйте договір, хостинг і строки зберігання.
Чи можна використовувати американський сервіс транскрибації за GDPR?
Так, якщо передача має правовий механізм: постачальник сертифікований за Рамками конфіденційності даних ЄС–США (Імплементаційне рішення Комісії (ЄС) 2023/1795) або ви спираєтеся на стандартні договірні положення. Перевірте, що сертифікація чинна і що рамки залишаються в силі, а для чутливого аудіо розгляньте хостинг у ЄС.
Чи є запис дзвінка персональними даними?
Так. Голос людини й те, що вона говорить, стосуються ідентифікованої особи, тому GDPR застосовується і до аудіо, і до розшифровки.
Джерела
- Регламент (ЄС) 2016/679 (GDPR), статті 5, 6, 9, 13, 14, 17, 28, 32, 35, 42 і з 44 по 46, Офіційний вісник ЄС
- Імплементаційне рішення Комісії (ЄС) 2023/1795 від 10 липня 2023 року про належний рівень захисту за Рамками конфіденційності даних ЄС–США
- Європейська рада із захисту даних, Настанови 07/2020 щодо понять контролера й обробника в GDPR
Про автора
Erik Salo Akimov · Співзасновник · Інженерія
Erik очолює інженерію в ESADEX. Він проєктує платформи, інфраструктуру та засоби безпеки, що стоять за системами клієнтів.
