Rechten van betrokkenen bij transcripties: praktische gids

Juridische kaders en verantwoordelijkheden

De basis van elke discussie over transcripties en privacy begint bij de verhoudingen tussen de partijen. In de context van de Algemene Verordening Gegevensbescherming bent u als organisatie doorgaans de verwerkingsverantwoordelijke. Dit betekent dat u bepaalt waarom en hoe de persoonsgegevens worden verwerkt tijdens een vergadering of interview. De technologie die u gebruikt om spraak naar tekst om te zetten fungeert als de verwerker. Het is cruciaal om te beseffen dat stemgeluid geldt als een biometrisch persoonsgegeven wanneer dit wordt gebruikt om iemand te identificeren. Daarnaast bevat de inhoud van het gesprek vaak tal van andere persoonsgegevens zoals namen, functies en inhoudelijke standpunten.

De verantwoordelijkheid voor het honoreren van de rechten van betrokkenen ligt wettelijk gezien volledig bij u als verantwoordelijke. U kunt zich in geval van een klacht of audit niet verschuilen achter de technische beperkingen van uw softwareleverancier of IT-afdeling. Daarom is het essentieel om vooraf te weten of uw systemen in staat zijn om selectieve verwijdering of rectificatie toe te passen zonder dat de integriteit van uw archief verloren gaat. Zonder deze controle vooraf loopt u het risico dat u wel wilt voldoen aan een verzoek maar technisch geblokkeerd wordt door uw eigen tools.

Het recht op inzage in de praktijk

Een van de meest voorkomende verzoeken is het beroep op het recht op inzage zoals vastgelegd in artikel 15 van de verordening. Dit recht houdt in dat een gespreksdeelnemer mag vragen of u gegevens van hem of haar verwerkt en zo ja welke. Bij transcripties is dit vaak complexer dan het lijkt omdat de data ongestructureerd is. Het gaat namelijk niet enkel om het overhandigen van de letterlijke tekst of het audiobestand. U moet ook informatie verschaffen over de verwerkingsdoeleinden, de gehanteerde bewaartermijn en de categorieën van ontvangers. Als u een transcriptie deelt met een externe partij of opslaat in een cloudomgeving buiten de Europese Economische Ruimte moet u dit transparant melden aan de betrokkene.

In de praktijk betekent dit dat u een kopie van de persoonsgegevens moet verstrekken. Bij een audio-opname kan dit het geluidsbestand zijn maar ook de volledig uitgeschreven tekst geldt als een valide kopie. Let hierbij wel scherp op de rechten van andere deelnemers in het gesprek. Als een vergadering vertrouwelijke informatie over derden bevat of als andere sprekers bezwaar hebben tegen het delen van hun inbreng kan het nodig zijn om delen van de transcriptie onleesbaar te maken of audiofragmenten te wissen voordat u deze verstrekt. Dit vraagt om software die nauwkeurige redactie mogelijk maakt.

Verwijdering en het recht op vergetelheid

Het meest ingrijpende verzoek is het recht op gegevenswissing dat in de volksmond ook wel het recht op vergetelheid wordt genoemd. Artikel 17 schrijft voor dat u persoonsgegevens zonder onredelijke vertraging moet wissen wanneer deze niet langer nodig zijn voor het doel waarvoor ze zijn verzameld of wanneer de betrokkene zijn toestemming intrekt. Bij transcripties betekent dit vaak dat u rigoureus te werk moet gaan: zowel het originele audiobestand als de uitgeschreven tekst en eventuele samenvattingen moeten worden vernietigd. Dit is echter geen absoluut recht en kent belangrijke nuances.

Als u wettelijk verplicht bent om bepaalde vergadernotulen te bewaren bijvoorbeeld voor fiscale doeleinden of in het kader van een medische behandelrelatie dan gaat die wettelijke plicht voor op het verzoek tot verwijdering. Het is van groot belang dat u dit onderscheid duidelijk en juridisch onderbouwd communiceert naar de verzoeker. In situaties waar geen bewaarplicht geldt moet uw systeem in staat zijn om een totale verwijdering uit te voeren. Dit betekent dat de data niet alleen uit de actieve interface verdwijnt maar ook uit back-ups en audit logs waar de spraakdata eventueel nog aanwezig zou kunnen zijn.

Stappenplan fase 1 verificatie en beoordeling

Om deze verzoeken gestructureerd en foutloos af te handelen is een vast stappenplan onmisbaar voor elke organisatie die met transcripties werkt.

1. Verificatie van de identiteit van de verzoeker. Omdat een transcriptie vaak gevoelige bedrijfs- of persoonsinformatie bevat wilt u er absoluut zeker van zijn dat u de gegevens aan de juiste persoon verstrekt of voor de juiste persoon verwijdert. Een onterechte inzage is immers een datalek op zich. Vraag indien nodig om een veilige identificatie maar voorkom dat u hiervoor weer extra gevoelige data verzamelt die u niet nodig heeft zoals een volledige kopie van een paspoort zonder afscherming.
2. De inhoudelijke beoordeling van het verzoek. Is het verzoek gegrond? Is er sprake van een wettelijke uitzondering waardoor u de data niet mag verwijderen of aanpassen? In deze fase raadpleegt u indien nodig uw Functionaris Gegevensbescherming of juridisch adviseur om de risico's in kaart te brengen. Het is belangrijk om te documenteren waarom u een verzoek wel of niet honoreert zodat u bij een eventuele klacht bij de toezichthouder kunt aantonen dat u zorgvuldig en volgens protocol heeft gehandeld.

Stappenplan fase 2 uitvoering en communicatie

De volgende fase in het stappenplan betreft de technische uitvoering van het verzoek. Wanneer u besluit om over te gaan tot verwijdering of rectificatie moet dit gebeuren in alle systemen waar de data leeft. Dit is vaak het moment waarop organisaties tegen de grenzen van hun software aanlopen en de complexiteit van hun IT-landschap ervaren. Als u de opnames lokaal op apparaten heeft staan en vervolgens heeft geüpload naar een cloud-dienst en daarna heeft gedeeld via e-mail staan er kopieën op drie verschillende plekken. U moet als verwerkingsverantwoordelijke zorgen dat al deze kopieën worden aangepakt om compliant te zijn.

Gebruik bij voorkeur tools die centrale beheersing mogelijk maken en waarbij u zeker weet dat een verwijderopdracht ook echt definitief is op alle locaties. Stap vier is de terugkoppeling naar de betrokkene. U bent verplicht om binnen een maand te reageren op het verzoek al mag deze termijn bij complexe verzoeken met twee maanden worden verlengd. Laat weten welke acties er zijn ondernomen en bewijs indien mogelijk dat de data is verwijderd of aangepast. Een heldere communicatie in deze fase voorkomt vaak escalatie en versterkt het vertrouwen in uw organisatie.

Bewaartermijnen en dataminimalisatie

Naast de rechten van individuen speelt ook het beleid omtrent bewaartermijnen een grote rol in compliance en risicobeheersing. Het principe van opslagbeperking stelt dat u gegevens niet langer mag bewaren dan strikt noodzakelijk is voor het doel. Voor transcripties van vergaderingen is het raadzaam om onderscheid te maken tussen verschillende soorten overleg en hier beleid op te maken. Een formeel besluitvormend overleg vereist een langere bewaartermijn vanwege de bewijslast dan een wekelijkse brainstormsessie of een informele check-in die na een maand niet meer relevant is.

Stel waar mogelijk automatische retentieperiodes in binnen uw software zodat audiobestanden en transcripties na een bepaalde periode vanzelf worden verwijderd zonder menselijke tussenkomst. Dit minimaliseert het risico bij datalekken aanzienlijk en zorgt voor een opgeruimd archief. Als de data er niet meer is kan deze immers ook niet meer lekken of gestolen worden. Communiceer deze termijnen proactief naar uw medewerkers en gesprekspartners zodat zij weten wat ze kunnen verwachten. Dit schept duidelijkheid en vermindert het aantal individuele verwijderverzoeken omdat men weet dat de data toch tijdig en automatisch wordt gewist.

Bijzondere persoonsgegevens en extra waarborgen

Een specifiek aandachtspunt is de verwerking van bijzondere persoonsgegevens. In de zorg, de juridische sector of bij HR-gesprekken over ziekteverzuim worden vaak gegevens besproken die extra bescherming genieten. Artikel 9 van de privacywetgeving is hierop van toepassing en stelt strengere eisen aan de verwerking dan bij reguliere data. Als u dergelijke gesprekken opneemt en transcribeert moet u extra waarborgen inbouwen in uw proces en techniek. Denk hierbij aan:

• Versleuteling van de bestanden
• Strikte toegangscontrole via multifactorauthenticatie
• Gedetailleerde logging van wie welk document heeft ingezien

Bij een verzoek om inzage in een medisch dossier dat deels bestaat uit transcripties moet u uiterst zorgvuldig te werk gaan. Het kan zijn dat de professional in zijn persoonlijke aantekeningen of tijdens intervisie observaties heeft gedaan die niet direct gedeeld hoeven te worden onder het inzagerecht. Het is van belang om hierin de balans te vinden tussen het inzagerecht van de patiënt of cliënt en de professionele autonomie van de behandelaar of adviseur. Zorg dat uw software onderscheid kan maken tussen het officiële gespreksverslag en interne notities.

Keuze van leveranciers en datalocatie

De rol van de verwerker oftewel uw softwareleverancier is in dit hele proces doorslaggevend voor uw compliance. U bent als verantwoordelijke verplicht om enkel verwerkers in te schakelen die voldoende garanties bieden met betrekking tot de beveiliging en privacyrechten. Dit betekent dat u moet controleren waar de servers staan en welk recht van toepassing is op de data. Data-opslag binnen de Europese Unie heeft de sterke voorkeur omdat u daarmee conflicten met buitenlandse wetgeving zoals de Amerikaanse Cloud Act voorkomt, die toegang door buitenlandse overheden mogelijk maakt.

Zorg dat u een getekende verwerkersovereenkomst heeft waarin expliciet staat hoe de leverancier u ondersteunt bij verzoeken van betrokkenen.

• Kunnen zij snel data verwijderen als u daarom vraagt?
• Bieden ze logs aan waarmee u kunt bewijzen wie toegang heeft gehad?
• Zijn back-ups versleuteld?

Deze technische mogelijkheden zijn geen luxe maar een noodzakelijke voorwaarde om aan uw wettelijke plicht te kunnen voldoen en boetes te voorkomen.

Transparantie vooraf voorkomt problemen achteraf

Tot slot is het belangrijk om transparantie te betrachten richting uw medewerkers en gesprekspartners nog voordat het gesprek begint. Het heimelijk opnemen van gesprekken is in veel situaties juridisch en ethisch verwijtbaar en kan bewijsmateriaal onbruikbaar maken. Door vooraf duidelijk te melden dat een gesprek wordt opgenomen voor transcriptiedoeleinden en daarbij te wijzen op de rechten die men heeft voorkomt u veel problemen en discussies achteraf. Neem dit op in:

• Uw privacyverklaring
• Uw algemene voorwaarden
• Het interne personeelshandboek

Een duidelijke policy zorgt ervoor dat iedereen weet waar hij aan toe is en wat er met de opname gebeurt. Dit verlaagt de drempel voor het gebruik van technologie en zorgt ervoor dat de voordelen van efficiënte verslaglegging niet worden overschaduwd door angst voor privacy-inbreuk. U creëert hiermee een cultuur waarin technologie ondersteunend werkt en waarin de rechten van het individu gerespecteerd worden als integraal onderdeel van de bedrijfsvoering.

Conclusie

De balans tussen technologische vooruitgang en privacybescherming vraagt om constante aandacht en zorgvuldigheid van elke organisatie. Door rechten van betrokkenen serieus te nemen en proactief beleid te maken bouwt u aan een duurzame vertrouwensrelatie met uw klanten en medewerkers.

Het correct afhandelen van inzage- en verwijderverzoeken is daarbij meer dan een administratieve last; het is een teken van goed bestuur en professionaliteit. Zorg dat uw processen op orde zijn en dat uw tools u hierin faciliteren in plaats van tegenwerken. Met een platform als RecapAI dat specifiek is ingericht op de Nederlandse markt en dataverwerking binnen Europa garandeert beschikt u over de juiste instrumenten om deze privacyvraagstukken veilig en efficiënt te beheren.