Konsultacja z pacjentem, rozmowa z klientem, protokół z oględzin szkody — nagrywa się coś poufnego i chce mieć z tego czysty tekst. Zanim jednak padnie wybór konkretnej aplikacji, warto zadać niewygodne pytanie: nie tylko „czy nagranie trafia do chmury?”, ale „czyje prawo może po nie sięgnąć tam, gdzie się znajdzie?”. Właśnie na tym opiera się transkrypcja zgodna z RODO — mniej na liście funkcji, a bardziej na tym, gdzie lądują dane audio i kto ma do nich dostęp.

„Zgodna z RODO” to nie jeden checkbox

Gdy nagranie zawiera nazwiska, głosy lub dane o zdrowiu, dochodzi do przetwarzania danych osobowych — i RODO ma zastosowanie. Podstawa prawna, ograniczenie celu, okresy przechowywania, środki bezpieczeństwa: to pozostaje obowiązkiem administratora, niezależnie od wybranej aplikacji. Jedno jednak zmienia się wraz z technologią i waży więcej niż cała reszta: czy nagranie w ogóle opuszcza obszar odpowiedzialności administratora.

Prawdziwy węzeł: czyje prawo sięga po nagranie?

Wysłanie nagrania do usługi chmurowej z siedzibą w USA lub należącej do amerykańskiego koncernu oznacza przekazanie danych do państwa trzeciego. Jest to dopuszczalne wyłącznie na warunkach Rozdziału V RODO — w praktyce najczęściej na podstawie decyzji Komisji Europejskiej o adekwatności.

Ta podstawa jest jednak historycznie chwiejna. W 2015 roku Trybunał Sprawiedliwości UE unieważnił porozumienie „Safe Harbour” (Schrems I), w 2020 jego następcę „Privacy Shield” (Schrems II). Od 2023 roku obowiązuje Data Privacy Framework — i również on jest już podważany. Pod koniec czerwca 2026 roku Sąd Najwyższy USA orzekł w sprawie Trump v. Slaughter, że Federalna Komisja Handlu (FTC) nie jest niezależna od prezydenta. Problem w tym, że decyzja UE o adekwatności setki razy powołuje się właśnie na tę niezależność. Organizacja noyb kierowana przez Maxa Schremsa zapowiedziała kolejną skargę do Trybunału Sprawiedliwości UE.

Schemat jest aż nazbyt czytelny: każda z tych konstrukcji wytrzymywała kilka lat, po czym upadała. Kto dziś powierza poufne nagrania amerykańskiej chmurze, opiera swoją zgodność na podstawie prawnej z wbudowaną datą ważności.

„Ale serwery stoją w Europie”

Najczęstszy argument — i niestety żadne wyjście. Amerykańska ustawa CLOUD Act zobowiązuje firmy z USA do wydania danych władzom USA niezależnie od tego, gdzie stoją serwery. Prawo idzie za firmą, nie za serwerem. Centrum danych we Frankfurcie należące do amerykańskiego dostawcy chmury leży geograficznie w UE, ale prawnie — już nie tylko.

Dochodzi do tego szczegół szczególnie kłopotliwy dla RODO: przy takim dostępie dostawca często nie może nawet poinformować osób, których dane dotyczą. Przejrzystość — jeden z filarów rozporządzenia — trafia w próżnię. Naklejka „dane w UE” na szafie serwerowej niewiele tu zmienia.

Na urządzeniu: uniknąć problemu transferu

Najprostszym rozwiązaniem problemu transferu jest brak transferu. Gdy zamiana mowy na tekst odbywa się bezpośrednio na urządzeniu, nagranie nie opuszcza obszaru odpowiedzialności administratora. Żadnego państwa trzeciego, żadnej decyzji o adekwatności, od której zależy zgodność, żadnego pytania o CLOUD Act na tym etapie. Dlaczego przetwarzanie lokalne to solidniejszy punkt wyjścia, opisujemy szerzej w artykule dlaczego lokalnie oraz w tekście o lokalnym rozpoznawaniu mowy.

Tak właśnie działa Bygmind: transkrypcja na urządzeniu, w ponad 25 językach, bez konta. „Na urządzeniu” nie oznacza przy tym „bez serwerów za wszelką cenę” — opcjonalna synchronizacja przez Bygmind Cloud lub własny serwer jest możliwa, ale pozostaje wyborem użytkownika. Różnica polega na tym, że tryb offline jest normą, a nie rozwiązaniem awaryjnym.

Samo nagrywanie i tak wymaga podstawy prawnej

Uparcie powraca pewne nieporozumienie: „skoro wszystko zostaje lokalnie, mogę nagrywać, co chcę”. Otóż nie. Lokalnie rozstrzyga się to, gdzie odbywa się przetwarzanie — a nie to, czy wolno nagrywać. Samo nagrywanie potrzebuje własnej podstawy prawnej w rozumieniu RODO (art. 6), najczęściej zgody. W polskim prawie nagrywanie rozmowy, w której samemu się uczestniczy, jest zwykle dopuszczalne, ale nie zwalnia to z obowiązków wobec pozostałych uczestników wynikających z RODO. Inaczej jest z sięganiem po cudzą komunikację: bezprawne uzyskanie informacji nieprzeznaczonej dla danej osoby podlega art. 267 Kodeksu karnego. Żadna technologia nie zdejmuje tego obowiązku.

Dla kogo ma to szczególne znaczenie

Najostrzej różnicę widać w zawodach objętych tajemnicą zawodową. Ujawnienie osobie trzeciej informacji uzyskanej w związku z wykonywaną pracą lub funkcją może naruszać art. 266 Kodeksu karnego — a „osobą trzecią” jest również dostawca chmury. Prawo dopuszcza wprawdzie korzystanie z podmiotu przetwarzającego, ale tylko przy odpowiednich umowach i zabezpieczeniach — a tego nakładu przetwarzanie na urządzeniu w ogóle nie wywołuje. W praktyce lekarskiej podczas wywiadu, w kancelarii prawnej podczas rozmowy z klientem czy przy wrażliwych danych w ubezpieczeniach jest po prostu spokojniej, gdy nagranie nigdy nie opuszcza gabinetu.

Lista kontrolna: transkrypcja zgodna z RODO w praktyce

  • Czy ustalono podstawę prawną lub zgodę na nagrywanie (RODO art. 6)?
  • Czy transkrypcja odbywa się lokalnie, czy audio wędruje do chmury?
  • Jeśli chmura: dostawca z USA lub spółka matka z USA? Wtedy trzeba przeanalizować kwestię transferu do państwa trzeciego i CLOUD Act — samo położenie serwera nie wystarcza.
  • Czy aplikacja nie wymaga konta, które w tle wysyła dane?
  • Czy włączone jest szyfrowanie urządzenia i kontrola dostępu?
  • Czy określono zasady usuwania i okres przechowywania?
  • Czy uwzględniono szczególne kategorie danych, np. dane o zdrowiu?

Podsumowanie

Największe ryzyko dla ochrony danych w transkrypcji rzadko tkwi w funkcji oprogramowania — tkwi w pytaniu, czyje prawo sięga po nagranie. Dopóki trafia ono do chmury powiązanej z USA, zależy się od porozumień, które już dwukrotnie upadły, oraz od lokalizacji serwera, która chroni mniej, niż obiecuje. Przetwarzanie na urządzeniu tę zależność usuwa. Pozostałych obowiązków RODO nie zdejmuje, ale sama zgodność staje się wyraźnie prostsza.

Ten artykuł ma charakter ogólny i nie stanowi porady prawnej. W konkretnej sprawie warto skorzystać z fachowej konsultacji.