RODO a analiza rozmów: checklista operacyjna

Cel powinien opisywać konkretną potrzebę, na przykład kontrolę określonego procesu jakościowego lub rozpoznanie przyczyn ponownych kontaktów. „Analityka”, „AI” albo „poprawa obsługi” są zbyt szerokie, by wyznaczyć granice. Dla każdego celu trzeba wskazać decyzję, użytkowników wyniku, kategorie osób, dane wejściowe i planowany skutek.

Następnie właściwa funkcja prawna lub inspektor ochrony danych ocenia podstawę prawną przetwarzania oraz zgodność dalszego użycia z pierwotnym celem zebrania nagrania. Nie istnieje jedna podstawa właściwa dla każdej analizy rozmów. Ocena zależy między innymi od relacji z osobą, kontekstu kontaktu, rodzaju danych, celu, skali i krajowych regulacji szczególnych.

Dokument powinien rozdzielać podstawę nagrywania, przechowywania, transkrypcji, wzbogacania i użycia wyniku, jeżeli są to odrębne operacje. Trzeba też ustalić sposób realizacji obowiązku informacyjnego i praw osób. Nie należy uruchamiać nowego zastosowania tylko dlatego, że nagrania są już w archiwum.

Inwentarz danych obejmuje nagranie, transkrypt, znaczniki czasu, identyfikatory klienta i konsultanta, metadane połączenia, etykiety, oceny oraz dane połączone z CRM. Każde pole powinno przejść pytanie: czy bez niego można osiągnąć zapisany cel? Jeżeli tak, należy je usunąć z procesu albo zastąpić mniej identyfikującą reprezentacją.

Rozmowa może zawierać dane ujawnione spontanicznie, w tym informacje należące do szczególnych kategorii. Filtry, maskowanie i reguły wyłączeń ograniczają ekspozycję, ale nie zastępują oceny celu i ryzyka. Trzeba sprawdzić ich skuteczność na realnej, kontrolowanej próbce oraz ustalić postępowanie, gdy wrażliwa treść pozostanie w transkrypcie.

Dostęp nadaje się według roli i zasady najmniejszych uprawnień. Innych danych potrzebuje osoba oceniająca jakość modelu, innych lider procesu, a jeszcze innych administrator systemu. Należy ograniczać możliwość pobrania pełnych nagrań, rejestrować odczyty i eksporty, regularnie przeglądać uprawnienia oraz odbierać je po zmianie roli.

Nie ma jednego uniwersalnego okresu przechowywania dla wszystkich nagrań i wyników analizy. Organizacja powinna powiązać retencję z celem, podstawą prawną, obowiązkami sektorowymi, terminami dochodzenia roszczeń i oceną ryzyka. Dłuższe przechowywanie „na przyszłość” wymaga osobnego uzasadnienia, a nie milczącego przedłużenia.

Harmonogram powinien osobno obejmować nagrania, transkrypty, kopie robocze, zbiory ewaluacyjne, etykiety, wyniki zagregowane, logi i kopie zapasowe. Usunięcie nagrania z aplikacji nie gwarantuje usunięcia jego transkryptu ani eksportu u dostawcy. Dla każdej warstwy trzeba wskazać system, termin, mechanizm usunięcia i sposób potwierdzenia wykonania.

Warto testować proces usuwania tak samo jak odzyskiwanie danych. Próbne żądanie powinno ujawnić wszystkie kopie i zależności, a wynik trafić do ewidencji. Jeżeli dane muszą zostać zachowane z określonego powodu, ograniczenie przetwarzania i dostęp powinny odpowiadać temu wyjątkowi, zamiast pozostawiać materiał w zwykłym obiegu analitycznym.

RODO wymaga oceny skutków dla ochrony danych, gdy dany rodzaj przetwarzania z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw i wolności osób. To ocena konkretnego zastosowania, nie etykieta nadawana każdej analityce rozmów. Skala, systematyczne monitorowanie, nowe technologie, łączenie zbiorów, osoby wymagające szczególnej ochrony i rodzaj danych mogą zwiększać ryzyko.

Zespół powinien wcześnie skierować opis procesu do inspektora ochrony danych lub właściwej funkcji prywatności. Jeżeli DPIA jest potrzebna, powinna opisać operacje, niezbędność i proporcjonalność, ryzyka, środki ograniczające oraz ryzyko pozostałe. Dokument aktualizuje się po istotnej zmianie celu, danych, modelu, dostawcy lub sposobu użycia wyniku.

Dla każdego podmiotu przetwarzającego trzeba znać rolę, lokalizację przetwarzania, podwykonawców, zakres instrukcji, środki bezpieczeństwa, pomoc w realizacji praw, obsługę incydentów i sposób zwrotu lub usunięcia danych. Umowa powierzenia i ocena transferów są częścią procesu, ale trzeba również technicznie sprawdzić konfigurację, logi i faktyczny przepływ danych.

Rola człowieka nie może sprowadzać się do formalnego kliknięcia akceptacji. Osoba nadzorująca potrzebuje kompetencji, czasu, kontekstu, informacji o ograniczeniach i realnej możliwości zignorowania, skorygowania albo zatrzymania wyniku. Interfejs powinien pokazywać podstawę wskazania i poziom pewności, a proces — rejestrować korekty oraz ich przyczyny.

Rozporządzenie w sprawie sztucznej inteligencji stosuje obowiązki zależnie od roli organizacji, rodzaju systemu i sposobu użycia. Sama obecność modelu nie przesądza klasy ryzyka, a nazwa funkcji nie zastępuje analizy prawnej. Trzeba ustalić, czy rozwiązanie mieści się w definicjach rozporządzenia, jaką rolę pełni organizacja i czy konkretne zastosowanie podlega zakazom albo obowiązkom dla określonej kategorii.

Ocena AI Act i RODO powinna być skoordynowana, lecz nie są to te same obowiązki. Dokumentacja danych, logi, nadzór, monitorowanie i obsługa incydentów mogą się wspierać, ale każdy wymóg należy przypisać do właściwej podstawy i właściciela. Szczególnie ostrożnie trzeba traktować wyniki używane do oceny osób lub podejmowania decyzji wywołujących istotne skutki.

Dokumentacja nie kończy się na zgodzie projektowej. Rejestr powinien łączyć cel, podstawę prawną, kategorie danych i osób, odbiorców, retencję, środki bezpieczeństwa, dostawców, ocenę ryzyka, wersję modelu, testy, incydenty i decyzje właścicieli. Powiązanie z systemem zmian pozwala ustalić, kiedy wymagana jest ponowna ocena.

Należy wyznaczyć regularny przegląd oraz zdarzenia uruchamiające go poza harmonogramem: nowy cel, kanał, grupa osób, źródło danych, model, integracja, dostawca, transfer, znaczący błąd lub zmiana prawa. Wynik przeglądu powinien kończyć się decyzją o utrzymaniu, korekcie, ograniczeniu lub wyłączeniu procesu, wraz z terminem i właścicielem.

Poniższa lista nie jest potwierdzeniem zgodności ani substytutem porady prawnej. Ma pomóc zespołowi zebrać fakty potrzebne do właściwej oceny. Odpowiedzi „nie wiadomo” są użyteczne: pokazują miejsca, których nie należy zakrywać deklaracją zgodności przed uruchomieniem lub rozszerzeniem analizy.