Role i cel przetwarzania
Organizacja powinna najpierw ustalić, w jakim celu rejestruje spotkanie i na jakiej podstawie przetwarza dane. Jeżeli dostawca przetwarza nagranie w imieniu organizacji, zakres obowiązków wymaga odpowiedniego uregulowania.
Artykuł 28 RODO określa wymagania wobec podmiotu przetwarzającego i umowy powierzenia. UODO podkreśla, że administrator powinien korzystać z podmiotu zapewniającego wystarczające gwarancje oraz mieć możliwość uzyskania informacji i prowadzenia kontroli.
Checklista przed przekazaniem nagrania
- Gdzie fizycznie i prawnie przetwarzane są dane?
- Jakie podmioty uczestniczą w hostingu, transkrypcji i obsłudze?
- Czy dane są używane do trenowania modeli, a jeśli nie, gdzie jest to zapisane?
- Kto ma dostęp administracyjny i jak jest on rejestrowany?
- Jak długo przechowywane są pliki, wyniki, logi i kopie zapasowe?
- Jak wygląda usunięcie projektu oraz zakończenie umowy?
- Jak obsługiwane są incydenty i żądania osób, których dane dotyczą?
- Jakie środki techniczne i organizacyjne są objęte dokumentacją?
Minimalizacja i retencja
Do pilotażu nie należy wysyłać większej ilości danych niż potrzebna. Jeżeli wystarczy krótka próbka albo materiał publiczny, ogranicza to ryzyko. Okres retencji powinien wynikać z celu, procedury organizacji i dokumentacji usługi.
Konta i uprawnienia
Dostęp należy nadawać osobom, które rzeczywiście pracują nad materiałem. Istotne są rozdzielenie ról, możliwość odebrania dostępu, historia operacji i procedura dla pracowników odchodzących z zespołu.
Informacja publiczna nie oznacza braku ryzyka
To, że sesja była transmitowana, nie zwalnia z oceny zakresu dalszego przetwarzania, przechowywania i publikacji. Transkrypcja ułatwia wyszukiwanie danych, przez co może zmienić praktyczne ryzyko względem samego nagrania.
Dokumentacja konkretnego wdrożenia
Dokładne informacje o infrastrukturze, retencji, podmiotach przetwarzających i warunkach powierzenia muszą znaleźć się w dokumentach przekazanych przed wdrożeniem. Niniejsza strona jest checklistą i nie zastępuje analizy prawnej organizacji.
Źródła: RODO w EUR-Lex, stanowisko UODO o obowiązkach administratora i procesora.