Nagrywanie i transkrypcja spotkań za pomocą narzędzi AI to coraz częstsza metoda optymalizacji procesów biznesowych stosowana przez przedsiębiorców. Korzystanie z pomocy wirtualnego asystenta jest co do zasady dozwolone. Każdy przedsiębiorca musi jednak pamiętać o wdrożeniu odpowiednich rozwiązań prawnych, w tym w szczególności w zakresie ochrony danych osobowych.

Czy potrzebna jest zgoda na nagrywanie spotkań?

Uczestnik spotkania, które ma być nagrywane musi być uprzednio o tym poinformowany.  Uzyskanie zgody uczestnika stanowi fundament zgodności z prawem nagrywania. Wyrażona przez uczestnika zgoda musi mieć charakter dobrowolny. Oznacza to, że uzyskiwanie ważnych zgód może być trudne do zastosowania w przypadku systemowego nagrywania wszystkich spotkań. Zgody mogą natomiast znaleźć zastosowanie w odniesieniu do wybranych, jasno oznaczonych spotkań, w których charakter uzasadnia ich nagrywanie. W takim przypadku konieczne jest:

• uprzednie poinformowanie uczestników o nagrywaniu przy użyciu narzędzia AI,
• precyzyjne określenie celu nagrywania spotkania,
• zapewnienie możliwości niewyrażenia zgody na nagrywanie bez ponoszenia negatywnych konsekwencji (np. wykluczenia ze spotkania).

Ważne jest to, że w przypadku stosunków, w których występuje element podrzędności (np. pracodawca – pracownik), ważność wyrażonych zgód może być zakwestionowana. W szczególności chodzi o element dobrowolności. Należy wykazać, że pracownik miał faktycznie możliwość niewyrażenia zgody. Co więcej brak tej zgody nie wiązał się dla pracownika z żadnymi negatywnymi konsekwencjami.

Wykazanie powyższego leży w gestii pracodawcy. Pracodawca musi być w stanie wykazać, że:

• uczestnicy nagrywanego spotkania wyrazili na to zgodę,
• zgody były dobrowolne,
• pracownicy, którzy nie wyrazili zgody nie ponieśli z tego tytułu żadnych negatywnych konsekwencji.

W celu wykazania powyższego przedsiębiorca powinien zadbać o dokumentowanie decyzji uczestników.

Zgoda na nagranie a podstawa prawna przetwarzania danych osobowych nagrywanych osób

Kwestią nierozstrzygniętą jest to, czy zgoda na nagranie jest tożsama ze zgodą na przetwarzanie danych. W praktyce spotkać można dwa rozwiązania:

• podstawą prawną przetwarzania danych osobowych nagrywanych osób jest zgoda (dorozumiana ze zgody na nagranie spotania) albo
• podstawą prawną przetwarzania danych osobowych nagrywanych osób jest prawnie uzasadniony interes administratora danych oparty na wyrażonej zgodzie na nagrywanie.  

Wybór podstawy prawnej przetwarzania danych jest istotny między innymi z uwagi na różne prawa przysługujące podmiotom danych oraz obowiązki administratora danych. W przypadku zgody podmiot danych ma bezwarunkowe prawo do wycofania zgody na przetwarzanie danych utrwalonych na nagraniach. W przypadku prawnie uzasadnionego interesu podmiot danych ma prawo do złożenia sprzeciwu z przyczyn związanych z jego szczególną sytuacją. Dodatkowo w przypadku skorzystania z podstawy prawnie uzasadnionego interesu administrator musi wykonać tzw. test równowagi.

Uzyskanie zgody na nagranie daje podstawę do przyjęcia, że podstawą prawną przetwarzania danych osoby nagrywanej jest prawnie uzasadniony interes administratora danych.

Transkrypcja spotkań i notatki ze spotkania  

Tworzenie transkrypcji spotkania i notatek ze spotkania z wykorzystaniem narzędzia AI można oprzeć na prawnie uzasadnionym interesie z zastrzeżeniem, że:

• administrator danych musi wykonać test równowagi a wynik testu musi wykazać, że przetwarzanie danych osobowych utrwalonych na transkrypcji lub notatkach nie narusza praw i wolności osób, których dane dotyczą,
• uczestnicy spotkania są informowani o włączeniu takiej funkcji oraz o tym, że transkrypcję i notatki wykonuje narzędzie AI,
• ostateczną treść notatki tworzy i akceptuje człowiek (jest to niezbędne dla uniknięcia zarzutu, że dochodzi do zautomatyzowanego podejmowania decyzji, którego nie można oprzeć na prawnie uzasadnionym interesie administratora danych).

W ocenie autorki dobrą praktyką jest również włączanie funkcji notatki razem z funkcją transkrypcji. Pozwala to zweryfikować poprawność notatki zaproponowanej przez AI.

Wybór dostawcy 

Decydując się na wykorzystanie narzędzi AI do nagrywania spotkań, robienia notatek czy transkrypcji przedsiębiorca musi zweryfikować czy dostawca narzędzia zapewnia bezpieczeństwo przetwarzanych danych. Jednym z obligatoryjnych elementów jest zawarcie z dostawcą zgodnej z przepisami RODO umowy powierzenia przetwarzania danych. Zweryfikowania wymaga między innymi:

• w jaki sposób dostawca chroni przetwarzane dane, w tym czy są szyfrowane w trakcie transmisji i przechowywania,
• czy dane mają być przetwarzane poza Europejskim Obszarem Gospodarczym, a jeśli tak to jakie mechanizmy zabezpieczenia danych gwarantuje dostawca,
• jaki okres retencji danych zapewnia dostawca i czy pozostaje on w zgodzie z zasadą ograniczenia przechowywania danych,
• czy „włożone” do narzędzia dane mogą służyć do trenowania modeli, a jeśli tak to czy administrator ma możliwość wyłączenia tej opcji (przedsiębiorca nie powinien pozwalać na trenowanie modelu w opaciu o dane osobowe, których jest administratorem),
• czy wykorzystywane narzędzie może analizować emocje, ton głosu lub dane biometryczne (tego rodzaju funkcje wymagają od administratora szczególnej ostrożności i pogłębionej analizy prawnej dopuszczalności takiego działania).

Korzystanie z narzędzi AI a dokumentacja RODO

Korzystanie z narzędzi AI wymaga uwzględnienia tego faktu w wewnętrznej dokumentacji dotyczącej ochrony danych osobowych. Dotyczy to między innymi rejestrów czynności przetwarzania danych oraz analizy ryzyka.

Prawo dostępu do danych

Decydując się na nagrywanie spotkań przedsiębiorca musi pamiętać, że każda osoba, której dane są utrwalone na nagraniu ze spotkania ma prawo realizacji prawa dostępu do danych. Realizacja praw danej osoby nie może naruszać praw lub wolności innych osób (innych uczestników spotkania).

Podsumowanie

Narzędzia AI dają przedsiębiorcom dużo nowych możliwości. Korzystając z tych możliwości przedsiębiorcy nie mogą zapomnieć jednak o obowiązujących wymogach prawnych, w tym związanych z ochroną przetwarzanych danych. Wdrożenie procedur zapewniających spełnienie tych wymogów  daje przedsiębiorcy bezpieczeństwo prawne, a dodatkowo wzmacnia wizerunek organizacji.

radca prawny Patrycja Wasilewska, szefowa praktyki prawa ochrony danych osobowych

Zapewniamy obsługę prawną w zakresie ochrony danych osobowych