Een lezer vroeg me:
Al een tijd gebruik ik voor zakelijke en privébelletjes een AI-agent die mijn gesprekken automatisch transcribeert. Erg handig, ik kan zo altijd terugvinden wat ik heb besproken en de opname dient als bewijs. Maar nu hoorde ik van iemand dat dat verboden is, omdat het bedrijf achter de AI-agent geen deelnemer aan het gesprek is?De kwalificatie “geen deelnemer aan het gesprek” is inderdaad erg relevant bij de vraag of een gesprek opnemen mag. Het is namelijk strafbaar om telefoongesprekken op te nemen als je daar geen deelnemer aan bent (art. 139a Wetboek van Strafrecht).
Ben je wél deelnemer, dan mag opnemen dus – en zelfs zonder het te melden. Als je opneemt in een zakelijke context, valt de opname al snel onder de AVG en dan krijg je met informatieplichten te maken waardoor je het toch moet melden, maar dat even terzijde.
Hier wordt de opname gemaakt door een derde partij – het bedrijf dat de dienst van AI-transcriptie mogelijk maakt. In het strafrecht is hierin voorzien. De wet omschrijft het namelijk als “zonder deelnemer aan dat gesprek te zijn en anders dan in opdracht van zulk een deelnemer” opnemen van gesprekken. De AI-aanbieder handelt natuurlijk in opdracht van een van de deelnemers, en dat is genoeg.
Vermoedelijk zit er achter het bezwaar van die iemand dat het bedrijf zelf bepaalt wat ze met de opnames doen, naast jou er een kopie met transcriptie van geven. Dat is goed mogelijk, en in de AVG-context leidt dat tot ingewikkelde discussies over of dat bedrijf dan nog steeds verwerker is of een verwerkingsverantwoordelijke met alle gevolgen van dien.
Voor de strafrechtelijke vraag of je de opname mag maken, is dit echter niet relevant. Er ligt een opdracht, meer is er eigenlijk niet nodig. Dat de opdrachtnemer van de opname deze vervolgens bij wijze van spreken op de radio uitzendt, maakt de opname niet strafbaar.
Voor de AVG-context – je transcribeert zakelijke gesprekken – kan het indirect wél relevant zijn. Je klant of wederpartij kan dan willen weten waar de opname heen gaat en wat die partij met de gegevens gaat doen. En minstens zo relevant: wat is de grondslag voor de opname? Toestemming valt immers af, en een noodzaak voor opnemen is er nu eenmaal niet.
Toch maar weer dat gerechtvaardigd belang? Bij een zelfgemaakte opname zie ik dat wel, zeker in een zakelijke context. Als jij dan wat tegen mij zegt, dan mag ik dat onthouden en opschrijven, dus waarom niet opnemen voor bewijsvoering? Goed, bewaartermijnen zijn een ding en er is HVJ-jurisprudentie die zegt “voor het geval dat” is geen belang, maar daar kom je wel uit.
Wat wel blijft staan, is welke positie dat AI-bedrijf heeft ten aanzien van jouw organisatie. Het is zeer waarschijnlijk (zeker bij een simpele app of standaard SaaS oplossing) dat het bedrijf zelf verwerkingsverantwoordelijke is, met grote kans dat de opnames naar de VS gaan. Laat ik dat heel politiek zeggen: dat is een netelige kwestie om geheel AVG compliant in te regelen.
Arnoud
De AVG speelt toch alleen als je een B2C relatie met je klant hebt? Als het een B2B relatie is dan komt de AVG toch niet om de hoek kijken? Of mis ik nu iets?
“alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon”
Het is een persoon bij het bedrijf die je spreekt. Het zijn personen waarover je spreekt. Dat maakt het persoonsgegevens. Ook B2B valt onder de AVG.
strijd met naburig recht?
Dat zou juist een argument voor transcriptie kunnen zijn: dan is er geen opname nodig.
Als ze de transcripties (of opnames) voor eigen doel en middelen gebruiken, zijn ze dan niet per definitie verwerkingsverantwoordelijke daarvoor? Of wat maakt de discussie ingewikkeld?
De kern is wat er juridisch gebeurt als je afspreekt dat iemand verwerker is maar toch voor eigen doeleinden verwerkt. Is hij dan voor alles een verantwoordelijke, alleen voor wat hij voor zichzelf doet? Of is dit een verwerker die zijn afspraken schendt, waarbij alle verwerkingen toch aan de klant toegeschreven worden?
Een verwerker verwerkt alleen persoonsgegevens ten behoeve van de verwerkingsverantwoordelijke. Ik (niet-jurist) heb altijd begrepen dat de feitelijke gedragingen leidend zijn, niet dat wat je afspreekt. Met andere woorden: je kunt wel afspreken dat je verwerker bent, maar als je je als verantwoordelijke gaat gedragen, word je (naar ik altijd begrepen heb) voor dat deel ook verwerkersverantwoordelijke. De verwerker die voor eigen doeleinden gaat verwerken, schendt hoe dan ook de verwerkersovereenkomst. Maar dat maakt toch niet dat hij (tegelijkertijd) geen AVG-verantwoordelijke kan zijn? De verwerker kan toch tegelijkertijd verwerker én verantwoordelijke zijn (zelfs met overlap voor dezelfde set gegevens)? Dat het in strijd is met de vwo en de AVG lijkt me evident. De verkrijging lijkt me onrechtmatig (uitgaande van de verantwoordelijke-pet bij de voormalige verwerker).
Je hebt gelijk, je kijkt naar de feitelijke situatie. Maar stel we spreken af “alle gegevensverwerking die ik doe, is voor jou en ik ben 100% verwerker” en daarna doe ik toch wat voor mezelf met eigen doelen etc. Ben ik nu voor jou dan toch iets aan het doen dat niet (goed) afgesproken is, of ben ik buiten de afspraken voor mezelf bezig?
Deze benadering levert namelijk op dat je een slechte verwerker bent maar géén verantwoordelijke. Jouw benadering is, je doet het voor eigen doelen en dat máákt je verantwoordelijke. Beiden zijn nog niet beantwoord in de jurisprudentie.
Moet het of/of zijn? Als leek zou ik zeggen: allebei. Je schendt de contractuele afspraken (uit de vwo) én de AVG.
Heel benieuwd of dit op termijn een keer aan de orde komt in jurisprudentie.
Dat is inderdaad ook nog een mogelijke uitkomst. Maar het maakt uit of iemand als verwerker verzaakt of als verwerkingsverantwoordelijke, al is het maar omdat in het laatste geval de opdrachtgever er geen boete of schadeclaim voor kan krijgen. Als het eigen gebruik “falend verwerkerschap” is, dan kan dat wél.
Ik zie het als allebei. In de relatie met de opdrachtgever is het een geval van slecht verwekerschap (en contractbreuk), maar omdat het buiten het contract valt (niet alleen slordig) is er ook onafhankelijk verwerkingsverantwoordelijkheid.
Het hangt erg af van of het onzorgvuldigdigheid is, of dat het een bewuste actief is.
Arnoud
Je bent veel te braaf. In een niet huishoudelijke context zie ik dat niet rond geraken naar AVG of je zou de transcriptie achteraf lokaal moeten doen en dan nog.
Zit het AVG probleem er vooral in dat de opname naar een externe partij gaat?
Als de app de opname lokaal maakt en met een lokaal algoritme naar tekst omzet, dus zonder het via internet te versturen, zou het AVG technisch prima zijn? Dit is immers niet wezenlijk anders dan zelf een opname maken, terugluisteren en uittypen.
Of als de app helemaal geen audio opslaat maar gesproken woord live naar tekst omzet en alleen de tekst opslaat? Dat is eigenlijk hetzelfde als tijdens het gesprek snel meeschrijven.
Is het de verantwoordelijkheid van de gebruikers van dergelijke apps om uit te zoeken hoe de app technisch werkt?
De kwaliteit van AI-transcriptie is momenteel nog zo slecht, dat het opvoeren van AI-transcriptie als bewijs dat iets gezegd is geen enkele waarde zou moeten mogen toekomen. Lees maar eens in een MS Teams-gesprek mee met de live-transcriptie; wat een bagger komt daaruit. Als gebruiker en wederpartij die opgenomen wordt, zou ik alleen al daarom juist graag willen dat niet alleen getranscribeerd wordt, maar de audio ook integraal opgenomen wordt en met een timestamp gehasht bewaard blijft. Alleen op die manier (waarbij je desnoods met de audio kan bewijzen dat de transcriptie klopt) kan de schriftelijke transcriptie echt meerwaarde bieden bij een geschil. Zonder de onderliggende audio of later gemaakte paper-trail, is een AI-transcript (voorlopig) uiterst onbetrouwbaar en dus waardeloos.
Je spreekt over HVJ-jurisprudentie die zegt at “voor het geval dat” geen belang is. Over welke zaken gaat dit?
CJEU, judgment of 11 December 2019, Case C?708/18, Asocia?ia de Proprietari bloc M5A-ScaraA (ECLI:EU:C:2019:1064), para. 44. Ik zag het staan in de EDPB Guidelines over gerechtvaardigd belang.
Zijn er niet betaalde AI-oplossingen waarbij de afspraak is dat de AI-aanbieder zelf verder niks met de gegevens doet, en ook niet mag doen? Bij vertaaltools als DeepL wel, dacht ik.
In dat geval is die transcriptieserver toch gewoon een tool, een hulpmiddel, gebruikt door de deelnemer, en heeft de AI-aanbieder toch helemaal geen voor de AVG of strafrecht relevante rol?
Als ik een ouderwetse dictafoon gebruik, is de fabrikant daarvan toch ook niet verantwoordelijk of aansprakelijk?
Als ik zelf een verslag of transcriptie tik met MSWord (al dan niet in de cloud), is Microsoft toch niet aansprakelijk voor de tekst, of voor de rechtmatigheid van het maken van die tekst?
Hoe is een AI-transcriptie juridisch anders? Alleen slimmer en handiger, denk ik.
Het gaat om de positie van de fabrikant/leverancier. Inderdaad, als ik een dictafoon op de markt breng en jij koopt en gebruikt die, dan heb ik vervolgens geen enkele bemoeienis met wat jij daarmee doet. Maar als ik een SaaS dictafoondienst aanbied, dan heb ik wél bemoeienis. Ik zorg immers dat deze online blijft, dat de kwaliteit goed is, ik screen op misbruik, ik kies backupmaatregelen et cetera. Dat soort handelen maakt de AVG relevant.
Ook interessant in dit verband: https://www.ziptone.nl/worden-klantgesprekken-gebruikt-om-ai-te-trainen/