In breve. La voce di una persona è un dato personale: se registri una riunione tratti dati personali e, in ambito professionale, entrano in gioco il GDPR e altre norme. Le domande da porsi sono sempre quattro: perché registro (finalità), su quale base (consenso o altra base giuridica), chi ne è informato (informativa) e dove e per quanto tempo resta la registrazione (conservazione e fornitori). Questo articolo offre informazioni generali, non consulenza legale: per una situazione concreta rivolgiti a un avvocato o al tuo responsabile della protezione dei dati.
Perché la registrazione è un trattamento di dati
Il GDPR (Regolamento UE 2016/679) si applica a qualsiasi operazione su dati personali, compresa la registrazione e la trascrizione della voce. Una riunione può contenere, oltre ai nomi e alle voci, informazioni su clienti, colleghi, salute, finanze. Basta questo perché serva un minimo di metodo.
Il primo punto è capire il tuo ruolo. Se registri per lavoro, di solito il titolare del trattamento è l'organizzazione, non tu personalmente: le regole vanno concordate con chi se ne occupa in azienda. Se registri per uso strettamente personale (per esempio una telefonata privata), il GDPR non si applica allo stesso modo, ma altre norme sul rispetto della riservatezza e sulla diffusione dei contenuti restano rilevanti.
I quattro elementi da chiarire
1. Finalità
Scrivi a cosa serve la registrazione: "redigere il verbale e controllare le decisioni", non "per qualsiasi esigenza". I dati non vanno riutilizzati per scopi incompatibili con quello dichiarato. Se oggi registri per il verbale, domani non puoi usare gli stessi audio per, per esempio, valutare le prestazioni delle persone senza una nuova valutazione.
2. Base giuridica
Il trattamento richiede una base giuridica tra quelle previste dal GDPR. Nelle riunioni si incontrano soprattutto:
- il consenso dei partecipanti, che dev'essere libero, specifico, informato e revocabile;
- il legittimo interesse del titolare, da bilanciare con i diritti delle persone;
- l'esecuzione di un contratto o un obbligo di legge, in casi particolari.
Attenzione al rapporto di lavoro: quando c'è una posizione di forza (datore e dipendente) il consenso può non essere considerato realmente libero, e ci sono norme specifiche sui controlli a distanza. Se registri persone che lavorano per te o con te in modo strutturato, fatti consigliare.
3. Informativa
Le persone registrate devono sapere, in modo chiaro, chi tratta i dati, perché, per quanto tempo, con chi li condivide, se li trasferisce fuori dall'Unione europea e come esercitare i propri diritti (accesso, cancellazione, opposizione e altri). In una riunione pratica significa due cose:
- un avviso all'inizio, a voce e possibilmente per iscritto (nell'invito, in chat);
- un'informativa completa disponibile a chi la chiede, o inviata prima.
4. Conservazione e sicurezza
Tieni la registrazione solo per il tempo che serve alla finalità. Se l'audio serve per scrivere il verbale, dopo qualche giorno può bastare il verbale. Proteggi i file: accessi limitati, disco cifrato, niente invii per email a caso.
Cosa dire all'inizio di una riunione
Una formula semplice, da adattare:
"Prima di iniziare: registro questa riunione per scrivere il verbale. L'audio sarà conservato per [tempo] e visto solo da [chi]. Chi non è d'accordo può dirlo ora o scrivermelo in chat e non registrerò la sua parte. Le informazioni complete sono qui: [link]."
Poi verbalizza che l'avviso è stato dato e che nessuno si è opposto. E rispetta l'opposizione: se una persona rifiuta, la scelta corretta è di solito non registrare, oppure registrare solo ciò che non la riguarda.
Checklist prima di registrare
- So perché registro e l'ho scritto?
- Ho una base giuridica (e se è il consenso, posso dimostrarlo)?
- I partecipanti sono stati informati prima, non solo a riunione iniziata?
- Ho deciso per quanto tempo conservare audio e testo?
- So dove finiscono i file (computer, cartella condivisa, server di un fornitore)?
- Se usi un fornitore esterno, c'è un contratto che regola il trattamento?
- Ho un modo per gestire richieste di cancellazione o accesso?
- La riunione riguarda dati particolari (salute, sindacato, opinioni)? In quel caso serve più cautela e conviene consultare un professionista.
Dove finiscono i dati: le domande da fare
Il punto che spesso si sottovaluta è il percorso del dato. Chiediti:
- Dove viene registrato? Sul tuo computer, sul cloud della piattaforma di call, sui server di un servizio di note.
- Dove viene trascritto? Sul dispositivo o su un servizio esterno. In quest'ultimo caso, in quale paese?
- Chi è il fornitore e con quale contratto? Se un fornitore tratta dati per tuo conto, in genere serve un accordo sul trattamento (il cosiddetto DPA).
- Fuori dall'Unione europea? Il trasferimento di dati verso paesi terzi richiede garanzie specifiche.
- Per quanto tempo lo conserva? E il fornitore usa i dati per addestrare i propri modelli? Cerca la risposta nella documentazione, non nel materiale promozionale.
- Come si cancella? Se non puoi cancellare, non puoi rispondere a una richiesta di cancellazione.
Confronto tra elaborazione locale e cloud, con pro e contro, in trascrizione locale o cloud.
Errori frequenti
- Registrare "per sicurezza", senza una finalità precisa.
- Considerare il silenzio di chi entra dopo come consenso.
- Conservare i file per sempre nella cartella Download.
- Inviare la registrazione a chi non era presente senza averlo previsto nell'informativa.
- Usare servizi gratuiti senza leggere dove finiscono i dati.
- Confondere il consenso alla registrazione con il permesso di pubblicarla.
Domande frequenti
Devo sempre chiedere il consenso per registrare una riunione?
Non è detto che il consenso sia l'unica base possibile, ma in pratica è quella più usata e la più semplice da dimostrare. In ogni caso serve un'informativa. Per il tuo caso chiedi a un professionista.
Basta dire "questa riunione viene registrata"?
È un buon inizio, ma da solo spesso non basta: servono anche finalità, tempi di conservazione, destinatari e diritti degli interessati, almeno in un'informativa accessibile.
Posso registrare di nascosto una conversazione a cui partecipo?
Le regole sul tema sono delicate e cambiano se lo scopo è personale, professionale o di difesa in giudizio, e per come poi si usa il contenuto. Non è un tema da affrontare con una regola generale: rivolgiti a un avvocato.
Chi partecipa dalla propria casa è tutelato allo stesso modo?
Sì: il trattamento riguarda la persona, non il luogo. Ricorda però che chi partecipa può avere in casa altre persone che compaiono nell'audio.
Per quanto tempo posso conservare la registrazione?
Per il tempo necessario alla finalità dichiarata. Stabilisci un termine e rispettalo.
Le trascrizioni sono dati personali come l'audio?
Sì: un testo che contiene nomi, opinioni e informazioni riferibili a persone è un dato personale, anche senza l'audio. Vale lo stesso ragionamento su finalità e conservazione.