Registrazioni audio: forse l'impianto è tuo, ma la voce no!

Eh, si... quasi lo stesso titolo dell'articolo appena pubblicato "Videosorveglianza: forse l'impianto è tuo, ma le immagini no!"

Ma nei dettagli sta la vera differenza e oggi si parla d'altro: l'articolo in tema di videosorveglianza riguarda una recentissima sanzione verso LIDL, meritata per aver pensato che le immagini videoregistrate fossero roba sua e non della persona ripresa. Oggi si torna sul medesimo argomento, grazie a ENEL, ma con riferimento alle registrazioni audio che, di fatto, sono utilizzate come vocal order ovunque vi sia un call-center che deve gestire attivazioni, variazioni contrattuali, richieste varie.

Il tema comune è cruciale: l'effettività del diritto di accesso dell'interessato (Art. 15 GDPR) in presenza di registrazioni multimediali (audio o video) che coinvolgono dati di terzi (dipendenti, operatori di customer care o altri clienti).

Una bella gatta da pelare per i titolari del trattamento e DPO, spesso troppo timidi nella gestione e, come in questo caso, sbilanciati verso un garantismo stiracchiato sino a diventare ostacolo all'applicazione della norma e all'esercizio dei diritti. Entrambe le decisioni del Garante censurano severamente la prassi aziendale di utilizzare la "tutela della privacy dei dipendenti" o la "complessità delle procedure interne" come scudo per negare o ritardare la consegna dei dati richiesti. Ad Enel è andata meglio, ricevendo un ammonimento anziché una sanzione pecuniaria, solo perché è riuscita a rimediare in tempo utile.

Dunque, rieccolo, sempre lui, il mitico Mister XX, il fantomatico soggetto che, a quanto pare, prima va alla Lidl per fare a sganassoni con i commessi, poi funesta i callcenter Enel litigando con gli operatori. Vorrei tanto conoscerlo. Mister XX ha richiesto formalmente copia della registrazione di una telefonata tra lui e il Servizio Clienti Enel. L'azienda ha negato l'accesso ritenendo che, dovendo bilanciare il diritto del cliente con la riservatezza dell'operatore telefonico (che durante la chiamata aveva fornito nome e matricola ed era identificabile dalla voce), quest'ultimo avesse una legittima aspettativa alla riservatezza. Inoltre, Enel ha sostenuto che l'operatore avrebbe potuto subire contestazioni disciplinari qualora la registrazione fosse stata consegnata al cliente.

Pars Destruens

Il fatto che siano presenti dati di terzi (il volto del dipendente o la voce dell'operatore del call center) non può giustificare un rifiuto in bianco di dare corso all'accesso. Si parla di flat refusal o di diniego assoluto e non sono una buona strategia. Anche in questo caso, il Garante cita le linee guida EDPB 1/2022 sul diritto di accesso. Per i tecnici, il rimando è al considerando 63 del GDPR e alla sezione 5 delle Linee Guida EDPB 1/2022.

Il titolare ha un preciso ed oneroso obbligo di sforzo proattivo e di applicazione del principio di proporzionalità: deve sforzarsi per conciliare i diritti contrapposti, adottando (a volte inventando) misure tecniche di mitigazione che siano adeguante ed efficaci (come l'oscuramento dei volti o il mascheramento delle voci). 

Ma non siano mica dei grafici!

Ma non abbiamo un tecnico del suono!

Ma costa un botto!

Ma se lo faccio fare a mio cugggino poi è peggio!

Ma non sappiamo come fare!

Ma che caxxo vuole questo?

...

"Ecchissenefrega, caxxituoi" ha risposto il Garante.

La seconda scusa è più pittoresca e divertente. Sia Enel che Lidl hanno cercato di giustificare il diniego sostenendo che il dato multimediale fosse trattato per esclusive finalità aziendali interne (Enel: valutazione della qualità del servizio; Lidl: tutela del patrimonio) e che, quindi, la consegna dei dati avrebbe esposto i dipendenti a ritorsioni o procedimenti disciplinari.

Enel ha sostenuto che, in base agli accordi contrattuali con il fornitore del servizio di customer care, la registrazione delle telefonate era effettuata all'esclusivo scopo di monitorare la qualità complessiva del servizio. L'operatore aveva quindi la legittima aspettativa che i suoi dati vocali e anagrafici non sarebbero stati trattati per altre finalità, come la consegna a terzi.

Capisco lo stato d'animo dei colleghi DPO, si fa di tutto per proteggere il proprio cliente, si arriverebbe a negare l'esistenza della luce del sole... ma c'è un limite alla decenza.  Il Garante ha chiarito che le finalità interne del Titolare non possono annullare il diritto di accesso del cliente sulle proprie informazioni personali e che il rischio di un contenzioso o di una contestazione del lavoratore non legittima la compressione del diritto fondamentale di controllo sui propri dati personali riconosciuto all'interessato.

Pars Construens

Eccoci alla ciccia, la parte bella e sugosa, che fa sangue, quella utile per chi si trova, più o meno, nella stessa situazione descritta nei due casi posti all'attenzione del Garante: riprese video o registrazioni audio; ma gli stessi identici principi sono applicabili anche in tanti altri casi, come il rilascio di certificati di formazione, documenti aziendali, delle email, la foto della nonna lasciata nell'armadietto dello spogliatoio, ecc..

Ovviamente richiamo qui ciò che ho già scritto nell'articolo precedente che resta valido ai fini organizzativi. Cerco ora di estrapolare dai provvedimenti alcune misure tecniche di compliance richieste, valutate, suggerite tra le righe o imposte dal Garante, utili a tutti per gestire situazioni simili:

in base allo "stato dell'arte" e alle Linee Guida EDPB 1/2022 (par. 173 ed esempio 35), le misure si articolano in tre opzioni graduate:

Prima opzione: Oscuramento e Silenziamento Selettivo dei Dati Identificativi Diretti

È la misura tecnica più elementare, che agisce sullo spettro d'onda del file audio per eliminare i riferimenti testuali o anagrafici espliciti:

• Come si applica: L'amministratore di sistema o l'operatore IT della società deve isolare i segmenti temporali della registrazione in cui il terzo, l'operatore del customer care, pronuncia il proprio nome, cognome o codice identificativo/matricola.
• Azione sul file: Questi segmenti vengono "tagliati" o sostituiti con un segnale acustico neutro (es. un beep o un silenzio inserito nel canale audio), impedendo l'acquisizione di dati anagrafici diretti da parte dell'utente, ma lasciando intatta la registrazione della restante parte della conversazione.
  
  

Seconda opzione: Tecniche di Camouflage Vocale (Voice Morphing / Voice Masking)

Laddove l'identificabilità dell'operatore risieda non solo nelle parole pronunciate ma nelle caratteristiche biometriche e foniche della sua voce, il Garante richiede l'applicazione di filtri software di alterazione vocale:

• Come si applica: Si utilizzano algoritmi di elaborazione dei segnali acustici volti ad alterare in modo permanente le caratteristiche biometriche della voce dell'operatore (frequenza fondamentale, timbro, intonazione, velocità del parlato).
• Effetto di compliance: Il risultato è un file audio in cui la voce del dipendente viene "mascherata" e resa irriconoscibile (neutralizzando qualsiasi software di identificazione o analisi dell'impronta vocale), pur preservando la piena intelligibilità del contenuto, delle parole e del tono del colloquio. Questa tecnica protegge l'identità del lavoratore senza alterare il significato o il valore probatorio delle dichiarazioni scambiate con il cliente.
  
  

Terza opzione:  La Trascrizione Testuale come Extrema Ratio

Il Garante, in linea con il Considerando 63 del GDPR e l'orientamento consolidato della Corte di Giustizia dell'Unione Europea (CGUE), ha valutato l'opportunità di ricorrere alla trascrizione scritta qualora le misure tecnologiche sul file audio non fossero praticabili o risultassero sproporzionate per il Titolare:

• Come si applica: Il Titolare provvede a redigere una trascrizione testuale fedele e completa della telefonata, riportando integralmente le parole pronunciate da entrambi i soggetti.
• Garanzie da applicare: Il testo scritto deve essere preventivamente depurato da qualsiasi informazione identificativa riferibile all'operatore (quali nomi propri, codici interni o riferimenti che possano condurre alla sua individuazione).
• Validità: Secondo la CGUE e il Garante, la consegna della trascrizione in forma intelligibile è sufficiente a soddisfare il diritto di accesso, poiché permette all'interessato di prendere piena cognizione dei propri dati e di verificarne l'esattezza e la liceità del trattamento.

Piccola nota a margine, tanto per ridimensionare quella geniale idea appena balenata nella testa del lettore: NO, dare in pasto il file audio ad un sistema AI per ottenere la trascrizione non è affatto una buona idea e comporta una miriade di ulteriori problemi di compliance dovuti alla data retention, trasferimento dati extra-UE e contitolarità occulta con i vendor di AI, ma questa è tutta un'altra storia.

In parallelo, anzi, meglio, prima... è necessario strutturare i sistemi di registrazione telefonica aziendali secondo i principi di Privacy by Design e by Default (Art. 25 GDPR), in coordinamento con l'Articolo 32 (Sicurezza del trattamento). Come fare?

• Integrazione nativa delle funzioni di export sicuro: I sistemi informatici di gestione delle telefonate (es. piattaforme CTI dei call center) non devono essere progettati per la sola archiviazione massiva, ma devono includere funzionalità native che consentano l'estrazione rapida e l'oscuramento/camouflage automatico dei flussi audio in caso di richiesta di accesso.
• Minimizzazione dei dati di sottofondo: I progettisti e i fornitori di software di assistenti vocali o di call recording dovrebbero implementare tecnologie in grado di filtrare il rumore di fondo e le voci accidentali di terzi che potrebbero essere captate involontariamente dal microfono dell'operatore, riducendo all'origine la quantità di dati non pertinenti memorizzati. 

Il Garante parla ai titolari ma, in realtà, come quando si parla alla nuora perchè la suocera intenda, le orecchie che dovrebbero captare queste parole sono quelle attaccate al cranio dei provider e di chi sviluppa tali sistemi. Il titolare dovrebbe scegliere solo sistemi che permettono queste funzionalità. Gli altri? Che periscano nell'oscurità dell'oblio.

Aggiungerei un consiglio da DPO: meglio predisporre un modello di verbale di bilanciamento ed includere nel registro delle attività del Titolare una procedura scritta che documenti la valutazione "caso per caso" effettuata prima di riscontrare l'istanza, dimostrando l'Accountability del Titolare anche in caso di limitazioni parziali del diritto di accesso.

"Piccolo spazio pubblicità..."
Questo è proprio il genere di cose che, come DPO, faccio da una vita.
Be my guest! 

Pars Querula 

Eh, già... non posso esimermi dall'osservare e annotare alcuni argomenti utilizzati dal Garante. Saranno molto utili in altri contesti.

Per il Garante, il bilanciamento degli interessi deve tenere conto di alcune circostanze determinanti: 

1. La natura meramente professionale del colloquio: il dialogo non riguardava aspetti intimi o privati dei soggetti coinvolti, ma si inseriva in una conversazione di carattere lavorativo e commerciale (inerente al contratto di fornitura di gas dell'utente).
2. L'assenza di un rischio reale per l'operatore: l'aspettativa di riservatezza dell'operatore deve essere contemperata con il diritto fondamentale dell'utente di controllare i propri dati personali contenuti nella telefonata. Il sospetto astratto di contenziosi o ritorsioni non costituisce un "pregiudizio concreto" sufficiente a comprimere l'esercizio dei diritti ex Art. 15.

Naturalmente, queste considerazioni sono ampiamente condivisibili, e, se fosse per me, le scolpirei nella pietra.

Potrebbe essere molto utile tenere presenti questi criteri ed argomentazioni ed utilizzarlo qualora si debba giustificare un bilanciamento di interessi contrapposti che si possa fondare su mera ipotesi di contenzioso ed in ambito lavorativo professionale.

Su questo blog ci sono altri 204 articoli.
Esplora, cerca, curiosa in giro...

Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di sostenere il mio lavoro.

Puoi farlo in tre modi:
- Condividendo sui tuoi social. Così facendo aiuterai altre persone a trovarlo.
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. Aiuterai me a dedicare tempo al Blog.

Un messaggio speciale per i colleghi professionisti della privacy: il confronto è essenziale per migliorarsi, fammi sapere la tua opinione. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ti ha ispirato nell'ambito di una riunione? Ti ha agevolato nella stesura di un parere? O, semplicemente, ti ha evitato un brutto scivolone con un cliente?
Se la risposta è sì... allora una birra virtuale è d'obbligo!