Aristotelis Zervos
Aristotelis Zervos, direttore editoriale di 2B Advice, unisce competenze giuridiche e giornalistiche in Protezione dei dati, IT-Conformità e la regolamentazione dell'IA.
Il crescente utilizzo delle funzioni di trascrizione negli ambienti di comunicazione digitale solleva, nella pratica, le classiche questioni relative alla protezione dei dati. Le nuove tecnologie, quali Microsoft Teams Intelligent Speakers, Voice Match e i processi di identificazione e riconoscimento del parlante, conferiscono alla questione un’ulteriore rilevanza. A cosa occorre prestare attenzione durante il loro utilizzo.
Dalla trascrizione all'identificazione
La trascrizione delle riunioni serve a Documentazione, garanzia della qualità o conservazione delle prove.
I sistemi moderni, però, sono in grado di fare ancora di più: non solo convertono la voce in testo, ma cercano anche di riconoscere i singoli parlanti.
È qui che entrano in gioco tecnologie come Voice Match. Questa tecnologia confronta la voce di una persona con i profili vocali memorizzati, al fine di attribuire in modo univoco i contributi. In combinazione con i „Microsoft Teams Intelligent Speakers”, questa funzione diventa particolarmente rilevante nelle riunioni ibride, in cui più persone partecipano insieme in una stessa stanza. I dispositivi analizzano le caratteristiche acustiche e attribuiscono la trascrizione alle singole persone.
Questi metodi possono essere classificati come „Speaker Identification” (attribuzione di un intervento a una persona specifica) e „Speaker Recognition” (riconoscimento di una voce sulla base di determinate caratteristiche).
Riferimento alla persona e dimensione biometrica nella trascrizione
Già la base tecnica di tali sistemi, ovvero la memorizzazione temporanea e l’analisi dei dati audio, rappresenta una Elaborazione dati personali, poiché la lingua può essere direttamente ricondotta a una persona identificabile. Pertanto, essa è soggetta direttamente ai requisiti previsti dalla GDPR nonché, a titolo integrativo, alle disposizioni di diritto penale.
Nel caso della seguente trascrizione, spesso non è possibile identificare in modo univoco una persona fisica. Tuttavia, è solo grazie all’ulteriore identificazione automatizzata del parlante che l’intensità dell’intervento aumenta in modo significativo.
Qualora le caratteristiche vocali vengano trattate in modo mirato al fine di identificare in modo univoco una persona, si tratta, ai sensi dell’art. 4, n. 14, GDPR riguardo ai dati biometrici. Secondo la giurisprudenza della Corte di giustizia dell’Unione europea e il considerando 51, il presupposto è GDPRche il Elaborazione effettuata specificatamente a fini di identificazione – come avviene tipicamente nel caso del riconoscimento vocale. In questo caso si applicano i requisiti più rigorosi di cui all’art. 9 GDPR, in particolare il divieto generale di trattamento con Riserva di autorizzazione.
In ogni caso, qualora le affermazioni siano chiaramente personalizzate, il rischio per le persone interessate aumenta notevolmente, ad esempio per quanto riguarda il controllo delle prestazioni o del comportamento in ambito lavorativo.
Interesse legittimo nella trascrizione
In particolare nel caso di riunioni interne, corsi di formazione o colloqui strutturati, la semplice trascrizione può essere effettuata ai sensi dell’art. 6, comma 1, lett. f GDPR (interesse legittimo).
A condizione che il Persone responsabili Quando si ricorre all’interesse legittimo come base giuridica, è necessario effettuare una valutazione degli interessi accurata e comprensibile.
- Occorre innanzitutto verificare se la trascrizione sia effettivamente necessaria per il raggiungimento dello scopo perseguito. Il suo utilizzo è ammesso solo nei casi in cui non siano disponibili mezzi meno invasivi ma altrettanto efficaci. Se è sufficiente la redazione di un verbale manoscritto, manca il Necessità. Tuttavia, nel caso di situazioni complesse che richiedono una trascrizione fedele alla lettera, può essere necessaria una trascrizione automatica.
- A quel punto occorre procedere a una ponderazione degli interessi. Ai sensi dell’art. 6, comma 1, lett. f GDPR è il Elaborazione ammissibile solo se l’interesse legittimo del titolare del trattamento prevale e i diritti degli interessati non vengono lesi in modo sproporzionato. In questo contesto vanno considerati in particolare gli aspetti Riservatezza, tenere conto dei potenziali svantaggi derivanti dalla registrazione e del rischio di un controllo delle prestazioni o del comportamento.
- Infine, una trasparente Documentazione necessario per la valutazione effettuata, al fine di poter motivare in modo comprensibile la decisione nella controversia.
Nel contesto lavorativo, l’art. 6, comma 1, lett. f GDPR tuttavia applicabile solo in misura limitata. Nella misura in cui la trascrizione serva all’esecuzione del rapporto di lavoro, occorre verificare in via prioritaria l’articolo 26 della BDSG in quanto norma più specifica. Per finalità che vanno oltre tale ambito, ad esempio la garanzia della qualità o Documentazione, si applica la valutazione generale ai sensi dell’art. 6, comma 1, lett. f GDPR, per cui il rapporto di dipendenza strutturale costituisce di norma un'aggravante.
È consentita la trascrizione? Il consenso come base giuridica
Soprattutto nel caso di tecnologie come il riconoscimento vocale, è spesso necessario un Consenso necessario, poiché il Elaborazione richiede un intervento particolarmente intenso.
Il Consenso deve avvenire in modo volontario, consapevole e inequivocabile. Affinché la Consenso è valida, la colpiti La persona deve manifestare chiaramente il proprio consenso attraverso un’azione attiva. Ciò può avvenire, ad esempio, cliccando su un pulsante o in altro modo. Il semplice silenzio o le opzioni preimpostate o le funzioni attivate automaticamente negli strumenti di conferenza non sono sufficienti a tal fine.
In particolare nel rapporto di lavoro, tuttavia, sussistono notevoli dubbi sulla natura volontaria della Consenso. In questo ambito sono necessarie disposizioni integrative. Ai sensi dell’articolo 26, paragrafo 4, della BDSG, gli accordi aziendali sono espressamente riconosciuti come base giuridica autonoma per il trattamento dei dati in ambito lavorativo e offrono, rispetto alla Consenso il vantaggio di essere negoziati collettivamente e di poter in parte compensare lo squilibrio strutturale di potere tra datore di lavoro e lavoratori.
Altri Base giuridica sono sì ipotizzabili, ma nella pratica rivestono un ruolo secondario:
- L'adempimento del contratto è solitamente escluso, poiché le trascrizioni sono raramente indispensabili.
- Di norma non sussistono obblighi di legge.
Nei sistemi dotati di identificazione del parlante occorre inoltre verificare se un Valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR è necessario. Poiché vengono trattati dati biometrici, ciò si verifica regolarmente in base alle liste positive delle autorità di vigilanza tedesche.
Suggerimento di lettura: Consenso al trattamento dei dati personali
Rischi penali: articolo 201 del Codice penale tedesco (StGB)
Oltre alla normativa sulla protezione dei dati, occorre tenere conto anche del diritto penale. Ai sensi dell’articolo 201 del Codice penale tedesco (StGB), la registrazione non autorizzata di dichiarazioni non rese pubbliche è punibile. Poiché i sistemi di trascrizione richiedono di norma una registrazione audio, senza l’autorizzazione necessaria sussiste un rischio considerevole.
Un'efficace Consenso può costituire un elemento giustificativo sia ai sensi della normativa sulla protezione dei dati che del diritto penale. È tuttavia importante operare una distinzione: mentre nel diritto penale il consenso che esclude la configurazione del reato può, in determinate circostanze, essere espresso anche in modo implicito, la GDPR una procedura chiara e documentata Consenso, nel caso di dati biometrici ai sensi dell’art. 9, comma 2, lett. a) GDPR oltre a ciò, una espressa.
Per i sistemi dotati di riconoscimento vocale, ciò significa che la semplice partecipazione a una riunione non è sufficiente a garantire la validità giuridica dell’identificazione.
Misure tecniche e organizzative
L'impiego di tali tecnologie richiede una conoscenza approfondita misure tecniche e organizzative. Tra questi figurano in particolare:
- Privacy by Design e by Default, ad esempio tramite la disattivazione delle funzioni predefinite di registrazione e identificazione del parlante.
- Restrizioni di accesson su trascrizioni e file audio.
- Crittografia durante la memorizzazione e la trasmissione.
- Corsi di formazione per i dipendenti.
Un elemento fondamentale è inoltre un Piano di estinzione. In particolare, le registrazioni audio dovrebbero essere cancellate una volta redatte le trascrizioni, a meno che non sussista un’altra finalità.
Requisiti normativi aggiuntivi relativi all'uso dell'intelligenza artificiale
Il riconoscimento vocale si basa spesso su sistemi di intelligenza artificiale. A seconda del contesto di utilizzo, tali sistemi possono essere soggetti a ulteriori requisiti normativi, in particolare ai sensi del regolamento sull’intelligenza artificiale.
I sistemi di identificazione biometrica delle persone fisiche devono essere classificati come sistemi di IA ad alto rischio ai sensi dell’allegato III, n. 1, del regolamento sull’IA, a meno che non si tratti di identificazione biometrica a distanza in tempo reale, che è in gran parte vietata ai sensi dell’articolo 5 del regolamento sull’IA. Nel contesto tipico di una riunione, ciò significa che i sistemi di riconoscimento dei relatori rientrano nella categoria ad alto rischio, con i relativi obblighi in materia di valutazione della conformità e di requisiti tecnici Documentazione, Trasparenza nei confronti delle persone coinvolte e della supervisione umana.
Da ciò va distinto l’impiego di sistemi di riconoscimento delle emozioni sul posto di lavoro: tale impiego è, in linea di principio, vietato ai sensi dell’art. 5, comma 1, lett. f del Regolamento sull’IA. Sono previste eccezioni solo per finalità strettamente limitate, ad esempio per la tutela della salute e della sicurezza dei lavoratori. Nel contesto delle riunioni, il divieto dovrebbe quindi trovare applicazione nella maggior parte dei casi.
I requisiti normativi previsti dal regolamento sull’IA si aggiungono quindi, in via cumulativa, alle disposizioni in materia di protezione dei dati e di diritto penale, aumentando notevolmente l’onere di verifica a carico delle imprese.
Requisiti rigorosi per un utilizzo della trascrizione conforme alla normativa
L’utilizzo della trascrizione e dell’identificazione del parlante nel rispetto della normativa richiede un’attenta valutazione su più livelli: la base giuridica in materia di protezione dei dati, la copertura penale ai sensi dell’articolo 201 del Codice penale tedesco (StGB) e – in caso di utilizzo di sistemi basati sull’intelligenza artificiale – i requisiti del regolamento sull’IA. Le aziende dovrebbero sempre verificare se esistono alternative meno invasive in grado di soddisfare in egual misura lo scopo perseguito. Laddove l’identificazione del parlante sia effettivamente necessaria, rimane l’esplicito Consenso delle persone interessate, affiancata da una Accordo aziendale, la via più sicura per garantire la certezza del diritto.
I requisiti legali sono complessi, ma la loro applicazione pratica non deve necessariamente esserlo. Vi aiutiamo a integrare nei vostri processi soluzioni di trascrizione conformi alla normativa: dalla scelta della base giuridica adeguata, alla definizione di accordi aziendali, fino all’attuazione tecnica e organizzativa.
Contattateci per illustrarci la vostra applicazione specifica.
Fonte: Documento sintetico GDD: trascrizione di una conversazione
Aristotelis Zervos è direttore editoriale di 2B Advice, avvocato e giornalista esperto di protezione dei dati, GDPR, IT-Conformità e la governance dell'IA. Pubblica regolarmente articoli approfonditi sulla regolamentazione dell'IA, GDPR-Conformità e la gestione dei rischi. Per saperne di più su di lui, visitate il suo Pagina del profilo dell'autore.
Domande e risposte
La trascrizione automatica delle riunioni è consentita ai sensi della normativa sulla protezione dei dati?
Elaborazione di una trascrizione automatica Dati personali e richiede pertanto un'adeguata base giuridica. Nel caso di riunioni interne, corsi di formazione o colloqui strutturati, a determinate condizioni può sussistere un interesse legittimo ai sensi dell'art. 6, comma 1, lett. f GDPR possono essere presi in considerazione. È necessario, in particolare, verificare la Necessità, un'attenta valutazione degli interessi e la sua trasparenza Documentazione.
Quando le registrazioni vocali diventano dati biometrici?
Le registrazioni vocali possono costituire dati biometrici ai sensi della GDPR si verificano quando le caratteristiche vocali vengono elaborate in modo mirato per identificare in modo univoco una persona. Ciò è particolarmente rilevante nei casi in cui si ricorra a procedure di riconoscimento automatico del parlante (Speaker Recognition). In tal caso si applicano inoltre i requisiti più rigorosi previsti per le categorie particolari di dati personali ai sensi dell’articolo 9 GDPR.
La partecipazione a una riunione è sufficiente come consenso alla trascrizione o all’identificazione di chi parla?
No. La semplice partecipazione a una riunione non è sufficiente per garantire la conformità alle norme sulla protezione dei dati in caso di trascrizione automatica o identificazione del parlante. Una Consenso deve essere informata e chiara. Nel caso della Elaborazione Il trattamento dei dati biometrici a fini di identificazione richiede, in linea di principio, un consenso esplicito Consenso richiesto.
A cosa occorre prestare attenzione in materia di trascrizione e identificazione del parlante nel contesto di un rapporto di lavoro?
Nel rapporto di lavoro occorre verificare con particolare attenzione su quale base giuridica si fonda il Elaborazione avviene. A causa del rapporto di dipendenza tra datore di lavoro e dipendente, la natura volontaria di una Consenso potrebbe risultare problematico. Gli accordi aziendali possono quindi costituire una base importante per un impiego regolamentato delle tecnologie in questione.
È necessaria una valutazione d'impatto sulla protezione dei dati per i sistemi di identificazione del parlante?
Nel caso di sistemi che trattano dati biometrici ai fini dell'identificazione delle persone, occorre verificare se vi sia una Valutazione d'impatto sulla protezione dei dati ai sensi dell'art. 35 GDPR è necessario. A causa dell'aumentato rischio di Elaborazione Il controllo dei dati biometrici può rivelarsi necessario, in particolare nei sistemi di identificazione automatica del parlante.
Quali misure dovrebbero adottare le aziende quando utilizzano sistemi di trascrizione e di riconoscimento vocale?
Le aziende dovrebbero, tra l'altro, adottare impostazioni predefinite che garantiscano la tutela dei dati personali, chiare restrizioni di accesso, Crittografia, corsi di formazione e un Piano di estinzione prevedere. Le registrazioni audio dovrebbero essere cancellate una volta redatta la trascrizione, qualora non siano più necessarie per lo scopo originario. Inoltre, a seconda della tecnologia utilizzata, occorre tenere conto anche delle disposizioni di diritto penale e dei requisiti previsti dal regolamento sull’intelligenza artificiale.
German 
English 
Italian 
French