AVG en transcriptie: wat ondernemingen moeten weten

Wie vergaderingen opneemt, interviews transcribeert of dictaten verwerkt, verwerkt persoonsgegevens. Stemmen, namen, meningen, soms gezondheidsgegevens of bedrijfsgeheimen – dat valt allemaal onder de Algemene verordening gegevensbescherming (AVG). Toch gebruiken veel ondernemingen transcriptiediensten zonder de wettelijke eisen te kennen.

Dit artikel legt uit welke verplichtingen gelden, waar de meest voorkomende fouten zitten en hoe je transcriptie privacyconform inzet.

Waarom audio-opnames bijzonder gevoelig zijn

Audio-opnames bevatten biometrische kenmerken (stem), vaak namen en regelmatig inhoudelijk gevoelige informatie. In Duitsland is het niet-openbaar gesproken woord daarnaast beschermd door § 201 StGB, in Oostenrijk door § 120 StGB. Een opname zonder medeweten van de betrokkenen kan daarom strafbaar zijn.

De AVG classificeert de verwerking van audiogegevens als verwerking van persoonsgegevens conform art. 4 nr. 2. Dat betekent: elke opname, opslag en transcriptie heeft een rechtsgrondslag nodig.

Rechtsgrondslagen voor de transcriptie

De veiligste rechtsgrondslag voor transcripties is de uitdrukkelijke toestemming van alle betrokkenen conform art. 6 lid 1 onder a AVG. Alternatieven als gerechtvaardigd belang of uitvoering van een overeenkomst zijn in de praktijk moeilijk hard te maken, omdat rechters handmatige verslagen als een lichter middel beschouwen.

Art. 6 lid 1 AVG noemt meerdere mogelijke rechtsgrondslagen. Voor transcripties zijn er drie relevant:

• Toestemming (art. 6 lid 1 onder a) – De veiligste grondslag. Alle betrokkenen moeten vóór de opname geïnformeerd worden en actief instemmen. De toestemming moet vrij, geïnformeerd en herroepbaar zijn.
• Gerechtvaardigd belang (art. 6 lid 1 onder f) – Theoretisch mogelijk, in de praktijk lastig. Rechters en toezichthouders betogen dat handmatige verslagen een lichter middel zijn.
• Uitvoering van een overeenkomst (art. 6 lid 1 onder b) – Alleen in uitzonderingsgevallen houdbaar, bijvoorbeeld wanneer de transcriptie uitdrukkelijk deel uitmaakt van de overeenkomst.

Praktijkaanbeveling: Vraag altijd uitdrukkelijke toestemming. Bij vergaderingen zou dat schriftelijk in de uitnodiging en mondeling aan het begin moeten gebeuren.

Bijzondere categorieën: gezondheidsgegevens en meer

Bevatten opnames gezondheidsgegevens (medische dictaten), vakbondslidmaatschap of religieuze overtuigingen, dan grijpt art. 9 AVG in. Deze bijzondere categorieën vereisen een uitdrukkelijke toestemming – een stilzwijgende instemming volstaat niet.

Transparantieverplichtingen: wat je moet meedelen

Art. 13 en 14 AVG verplichten ondernemingen om betrokkenen vóór de opname uitgebreid te informeren:

• Dat en met welk doel de opname en transcriptie plaatsvinden
• Hoelang opnames en transcripten worden opgeslagen
• Wie toegang tot de gegevens krijgt (intern en extern)
• Of er een derde partij (transcriptiedienst) wordt ingezet
• Welke rechten de betrokkenen hebben (inzage, verwijdering, bezwaar)

Het probleem met cloudtranscriptiediensten

Veel transcriptietools verwerken audio op servers buiten de EU. Dat is juridisch problematisch:

• Doorgifte naar een derde land: Zonder een passend beschermingsniveau (adequaatheidsbesluit, modelcontractbepalingen) is de doorgifte ongeoorloofd.
• Verwerking namens de verwerkingsverantwoordelijke: De transcriptiedienst is verwerker conform art. 28 AVG – een verwerkersovereenkomst is verplicht.
• Toegang door de aanbieder: Bij verwerking aan de serverzijde heeft de aanbieder toegang tot de platte tekst – een risico dat veel ondernemingen onderschatten.

De veiligste oplossing: versleuteling aan de clientzijde

Versleuteling aan de clientzijde is de sterkste technische beschermingsmaatregel conform art. 32 AVG. Audiobestanden worden in de browser versleuteld voordat ze de server bereiken. Zelfs bij een datalek bij de aanbieder zijn de gegevens zonder de sleutel van de gebruiker waardeloos.

Bij versleuteling aan de clientzijde worden audiobestanden al in de browser versleuteld voordat ze de server bereiken. Het transcript wordt eveneens versleuteld opgeslagen – zelfs de aanbieder kan de opgeslagen inhoud niet lezen.

Voor de AVG betekent dat: zelfs bij een datalek bij de aanbieder zijn de gegevens waardeloos, omdat ze zonder de sleutel van de gebruiker niet kunnen worden ontsleuteld. Dat is de sterkste technische maatregel conform art. 32 AVG.

Checklist voor privacyconforme transcriptie

• Toestemming van alle betrokkenen vóór de opname inwinnen
• Doel en bewaartermijn documenteren
• Verwerkersovereenkomst met de aanbieder sluiten
• Nagaan waar de gegevens worden verwerkt en opgeslagen (EU vs. derde land)
• Versleuteling waarborgen – idealiter aan de clientzijde
• Verwijderingsbeleid vastleggen: wanneer worden opnames en transcripten verwijderd?
• Rechten van betrokkenen waarborgen (inzage, verwijdering, bezwaar)
• Verwerkingsregister conform art. 30 AVG bijhouden

Conclusie

Transcriptie zonder privacybescherming is een juridisch risico. De AVG stelt duidelijke eisen aan toestemming, transparantie en technische beschermingsmaatregelen. Ondernemingen die audio-opnames verwerken, zouden hun transcriptiedienst zorgvuldig moeten toetsen – met name of de aanbieder toegang heeft tot de platte tekst en waar de gegevens worden opgeslagen.

Let op: Deze bijdrage dient ter algemene informatie en vervangt geen juridisch advies in het concrete geval.