In breve. Quando un'azienda adotta uno strumento che registra e trascrive le riunioni, non basta avvisare chi partecipa: serve una decisione a livello di organizzazione. Questa checklist mette in fila le dieci verifiche da fare prima del rollout: finalità e base giuridica, registro dei trattamenti, Statuto dei lavoratori, valutazione d'impatto, fornitore e DPA, trasferimenti extra UE, conservazione, diritti degli interessati, riconoscimento vocale e AI Act. Sono informazioni generali, non consulenza legale: ogni punto va adattato con il tuo DPO o un avvocato.
Il consenso dei partecipanti e la frase da dire a inizio call sono trattati in un articolo a parte: registrare una riunione e GDPR. Qui guardiamo la parte che spetta all'azienda.
Perché serve una checklist aziendale
Un singolo dipendente che registra una call per non perdere i dettagli sembra un fatto piccolo. Moltiplicato per un team, diventa un archivio di centinaia di ore di voci, nomi di clienti, numeri e opinioni. Per il GDPR il titolare di quell'archivio è di regola l'azienda, e le scelte vanno fatte prima che lo strumento si diffonda da solo.
La checklist
1. Finalità e base giuridica scritte
Metti per iscritto a cosa serve la trascrizione: verbali, passaggio di consegne, memoria di progetto. Per ogni finalità indica la base giuridica (legittimo interesse, contratto, consenso). Con i dipendenti il consenso è fragile, perché difficilmente è libero in un rapporto di lavoro: spesso si ragiona sul legittimo interesse, con un bilanciamento documentato.
2. Registro dei trattamenti aggiornato
Il registro previsto dall'articolo 30 del GDPR deve includere il nuovo trattamento: categorie di dati (voce, trascrizioni, eventualmente dati di clienti), destinatari, fornitori, paesi di trasferimento e tempi di conservazione.
3. Statuto dei lavoratori, articolo 4
In Italia gli strumenti dai quali derivi anche la possibilità di controllo a distanza dell'attività dei lavoratori possono essere usati solo per esigenze organizzative, produttive, di sicurezza o di tutela del patrimonio, e richiedono un accordo sindacale o, in mancanza, l'autorizzazione dell'Ispettorato del lavoro. L'eccezione riguarda gli strumenti usati per rendere la prestazione lavorativa.
Un sistema che registra e archivia le riunioni interne può rientrare nel primo caso, soprattutto se le trascrizioni sono consultabili da chi valuta il personale. Va valutato prima, non dopo: i dati raccolti senza rispettare l'articolo 4 rischiano di non essere utilizzabili.
4. Valutazione d'impatto (DPIA)
L'elenco del Garante dei trattamenti che richiedono una valutazione d'impatto (provvedimento n. 467 dell'11 ottobre 2018) include, tra gli altri, i trattamenti nel rapporto di lavoro tramite sistemi tecnologici da cui derivi la possibilità di controllo a distanza dei dipendenti, e quelli con tecnologie innovative come i sistemi di intelligenza artificiale e lo scanning vocale, quando ricorre almeno un altro criterio di rischio. Un notetaker AI usato sistematicamente con i dipendenti difficilmente resta fuori da entrambe le voci.
5. Fornitore e DPA
Il fornitore dello strumento è un responsabile del trattamento: serve un accordo ai sensi dell'articolo 28 del GDPR (il DPA). Controlla almeno:
- l'elenco dei sub-responsabili e come vieni avvisato quando cambia;
- le misure di sicurezza (cifratura a riposo e in transito, controllo degli accessi, log);
- l'impegno a non usare i contenuti per addestrare modelli;
- cosa succede ai dati alla fine del contratto.
6. Trasferimenti fuori dall'UE
Chiedi in quale paese stanno audio, trascrizioni e riassunti, e dove girano i modelli AI che li elaborano. Se i dati vanno negli Stati Uniti o altrove, verifica lo strumento giuridico (decisione di adeguatezza, Data Privacy Framework, clausole contrattuali standard) e riportalo nell'informativa. Tenere tutto in UE semplifica registro, informativa e DPIA.
7. Conservazione e cancellazione
Fissa tempi diversi per oggetti diversi: l'audio serve per verificare la trascrizione nei primi giorni, il verbale può servire per anni. Uno strumento che cancella l'audio in automatico dopo un numero di giorni stabilito rende la regola applicabile senza affidarsi alla memoria di qualcuno.
8. Diritti degli interessati
Chi parla in una riunione può chiedere l'accesso ai propri dati, la rettifica o la cancellazione. Verifica che lo strumento permetta di trovare le riunioni in cui compare una persona, esportarle ed eventualmente cancellarle. Decidi chi in azienda risponde a queste richieste.
9. Riconoscimento dei parlanti
Molti strumenti assegnano le frasi a chi le ha pronunciate. Se lo fanno creando un'impronta vocale per riconoscere una persona tra una riunione e l'altra, quei modelli possono essere dati biometrici trattati per identificare una persona, cioè una categoria particolare di dati ai sensi dell'articolo 9 del GDPR. Chiedi al fornitore come funziona, dove sono conservati i profili vocali e se si possono disattivare. Il Garante elenca anche i trattamenti sistematici di dati biometrici tra quelli da sottoporre a valutazione d'impatto.
10. AI Act: niente analisi delle emozioni
Dal 2 febbraio 2025 l'AI Act vieta l'uso di sistemi di AI per inferire le emozioni delle persone sul luogo di lavoro e negli istituti di istruzione, salvo motivi medici o di sicurezza. Alcuni notetaker offrono punteggi di "sentiment" o di coinvolgimento dei partecipanti: con i dipendenti, verifica su quali dati si basano e, nel dubbio, disattivali.
La checklist in sintesi
| Verifica | Chi se ne occupa | Documento |
|---|---|---|
| Finalità e base giuridica | Titolare con il DPO | Bilanciamento del legittimo interesse |
| Registro dei trattamenti | DPO o privacy | Registro art. 30 |
| Statuto dei lavoratori | HR e consulente del lavoro | Accordo sindacale o autorizzazione |
| Valutazione d'impatto | DPO | DPIA |
| Fornitore | Acquisti e legale | DPA art. 28 |
| Trasferimenti | Legale | Informativa, clausole o adeguatezza |
| Conservazione | IT e DPO | Policy di conservazione |
| Diritti degli interessati | Privacy | Procedura di risposta |
| Riconoscimento vocale | IT e DPO | Scheda del fornitore |
| AI Act | IT e legale | Elenco funzioni attive |
Come aiuta la scelta dello strumento
Lo strumento giusto non fa la compliance al posto tuo, ma può rendere ogni punto più semplice. Diurna, per esempio, registra dal computer (Mac o Windows) senza bot, può lavorare solo sul computer senza inviare nulla, tiene i dati cloud su server in Spagna e Germania, cancella l'audio dopo i giorni che scegli e non usa le riunioni per addestrare modelli. I dettagli sono nella pagina Privacy di Diurna; il confronto tra elaborazione locale e cloud è in trascrizione locale o cloud.
Domande frequenti
Serve sempre una DPIA per trascrivere le riunioni?
Non sempre, ma spesso. Se lo strumento è usato in modo sistematico con i dipendenti, usa l'intelligenza artificiale o riconosce le persone dalla voce, ricadi facilmente nei criteri dell'elenco del Garante. Il DPO è la persona giusta per decidere.
Basta il consenso dei partecipanti?
Per i dipendenti il consenso raramente è la base giusta, perché nel rapporto di lavoro non è considerato pienamente libero. Restano comunque obbligatorie l'informativa e, in Italia, la verifica dell'articolo 4 dello Statuto dei lavoratori.
Le trascrizioni sono dati personali come l'audio?
Sì. Una trascrizione contiene nomi, opinioni e informazioni su persone identificabili. Valgono le stesse regole su conservazione, accesso e sicurezza.
Un'app che trascrive solo sul computer è fuori dal GDPR?
No. Il trattamento esiste comunque; cambiano i rischi. Senza invio a server esterni si riducono fornitori, trasferimenti e superficie di attacco, e molte voci della checklist diventano più semplici.
Fonti
- Regolamento (UE) 2016/679 (GDPR), articoli 9, 28, 30 e 35.
- Garante privacy, provvedimento n. 467 dell'11 ottobre 2018 e allegato 1, elenco dei trattamenti soggetti a DPIA.
- Legge 20 maggio 1970, n. 300 (Statuto dei lavoratori), articolo 4.
- AI Act, articolo 5, divieti applicabili dal 2 febbraio 2025.