AI-notulist en de AVG: waar let je op?
Een AI-notulist verwerkt alles wat er in een gesprek wordt gezegd. Volgens de AVG ben jij, of je organisatie, daarvoor verantwoordelijk: jij bepaalt waarom je opneemt en wie je informeert. Kies daarom een notulist die gespreksinhoud in de EU houdt, een verwerkersovereenkomst biedt en je gesprekken niet gebruikt om AI te trainen.
Wat de AVG vraagt bij gespreksopnames
- Een grondslag. Je mag persoonsgegevens alleen verwerken met een van de zes grondslagen uit de AVG, bijvoorbeeld toestemming of een gerechtvaardigd belang. Je bepaalt de grondslag voordat je begint. Gaat het om gezondheid of andere bijzondere persoonsgegevens, dan heb je ook een uitzondering op het verwerkingsverbod nodig (art. 9 AVG).
- Informeer de deelnemers. Vertel aan het begin van het gesprek dat je opneemt, waarvoor en waar mensen meer kunnen lezen (art. 13 en 14 AVG). Neem alleen gesprekken op waaraan je zelf deelneemt.
- Dataminimalisatie. Neem alleen op wat je echt nodig hebt voor je doel (art. 5 AVG).
- Bewaartermijn. Bewaar opnames en verslagen niet langer dan nodig. Stel een termijn in en houd je eraan.
- Rechten van betrokkenen. De mensen die je opneemt hebben recht op onder meer inzage en verwijdering (art. 15 tot en met 22 AVG). Zorg dat je daaraan kunt voldoen.
- Een verwerkersovereenkomst. Laat je een leverancier de opnames verwerken, dan is een verwerkersovereenkomst verplicht (art. 28 AVG).
- Een DPIA bij hoog risico. Bij een waarschijnlijk hoog privacyrisico, zoals grootschalige verwerking van gezondheidsgegevens, moet je eerst een DPIA uitvoeren (art. 35 AVG).
Checklist: zo beoordeel je een AI-notulist
Stel deze vragen aan elke leverancier. Per vraag zie je ook het antwoord van My Notetaker.
| Vraag | Waarom | My Notetaker |
|---|---|---|
| Waar wordt gespreksinhoud verwerkt en opgeslagen? | Buiten de EU gelden andere regels voor toegang tot gegevens. | In de EU. Spraakherkenning, analyse en opslag via Artific in Google Cloud, regio europe-west4 (Nederland). De applicatieserver en database staan in Frankfurt. |
| Welke subverwerkers zijn er? | Je moet weten wie er nog meer bij je gegevens kan. | Een openbare lijst met dienst, locatie en waarborgen. Een nieuwe subverwerker melden we ten minste 30 dagen vooraf. |
| Is er een verwerkersovereenkomst? | Verplicht bij zakelijk gebruik (art. 28 AVG). | Ja, voor zakelijke klanten. Een datalek melden we uiterlijk binnen 36 uur. Voor een DPIA leveren we op verzoek kosteloos informatie. |
| Hoe is alles versleuteld? | Beveiliging is verplicht (art. 32 AVG). | Onderweg via HTTPS met TLS 1.2 of 1.3. In rust met AES-256. Audio die tijdelijk in onze database staat, versleutelen we daarnaast zelf (AES-256-GCM). |
| Wordt mijn data gebruikt om AI te trainen? | Dan verlaat je gesprek het doel waarvoor je het opnam. | Nee. We gebruiken je gesprekken niet om AI-modellen te trainen of te verbeteren. |
| Kan ik alles exporteren en verwijderen? | Nodig om rechten van betrokkenen en bewaartermijnen na te komen. | Ja. Je downloadt al je gegevens als JSON-bestand en verwijdert losse gesprekken of je hele account, ook bij Artific. Gesprekken blijven bewaard tot je ze verwijdert, of je stelt zelf een bewaartermijn in. |
| Wie kan de gesprekken zien? | Hoe minder mensen toegang hebben, hoe kleiner het risico. | Alleen de gebruiker zelf, ook binnen een team. Een beheerder ziet alleen naam, e-mailadres, rol en opgenomen minuten. |
De bronnen voor deze antwoorden: de privacyverklaring, de lijst met subverwerkers en de verwerkersovereenkomst.
Wat jouw verantwoordelijkheid blijft
Bij zakelijk gebruik is je organisatie verwerkingsverantwoordelijke en is My AI verwerker. Een notulist kan veel regelen, maar een aantal dingen blijft bij jou:
- de grondslag voor het opnemen en, bij bijzondere persoonsgegevens, de uitzondering die je gebruikt;
- het informeren van de mensen met wie je spreekt;
- de bewaartermijn die past bij je doel;
- de beoordeling of je een DPIA nodig hebt;
- het afhandelen van verzoeken van mensen die je hebt opgenomen.
Werk je in de zorg? Lees dan ook AI-notulist voor de zorg.
Veelgestelde vragen
Is een AI-notulist AVG-proof?
Een tool alleen maakt je gebruik niet in orde met de AVG. Of je een gesprek mag opnemen en verwerken, hangt af van je grondslag, hoe je de deelnemers informeert en hoe lang je bewaart. Een notulist kan het wel makkelijker maken, bijvoorbeeld met verwerking in de EU, een verwerkersovereenkomst en export en verwijderen.
Moet ik toestemming vragen om een gesprek op te nemen?
Niet altijd: toestemming is een van de zes grondslagen uit de AVG. Je moet de deelnemers wel altijd vertellen dat je opneemt en waarvoor. Neem alleen gesprekken op waaraan je zelf deelneemt, want een gesprek opnemen waaraan je niet deelneemt is strafbaar.
Wie is verantwoordelijk: ik of de leverancier?
Bij zakelijk gebruik is je organisatie verwerkingsverantwoordelijke en is My AI verwerker. Dat staat in de verwerkersovereenkomst. Gebruik je My Notetaker privé, dan verwerk je de gegevens van je gesprekspartners namens jezelf.
Heb ik een DPIA nodig?
Dat beoordeel je zelf. Een DPIA is verplicht als de verwerking waarschijnlijk een hoog privacyrisico oplevert, bijvoorbeeld bij grootschalige verwerking van gezondheidsgegevens. Wij leveren op verzoek kosteloos informatie over de verwerking, onze verwerkers en de beveiliging.
Wat gebeurt er met mijn gesprekken als ik stop?
Je kunt al je gegevens altijd zelf downloaden als JSON-bestand. Bij zakelijk gebruik kan dat tot ten minste 30 dagen na het einde van de overeenkomst. Verwijder je je account, dan wordt alles gewist, ook bij Artific.
Probeer My Notetaker 14 dagen gratis. Geen betaalgegevens nodig.
Bronnen
- Autoriteit Persoonsgegevens: Grondslagen AVG uitgelegd
- Autoriteit Persoonsgegevens: Verwerkersovereenkomst
- Autoriteit Persoonsgegevens: Privacyrechten AVG
- Autoriteit Persoonsgegevens: Data protection impact assessment (DPIA)
- Algemene verordening gegevensbescherming (EUR-Lex)
Deze pagina is algemene informatie, geen juridisch advies. Bespreek je eigen situatie met je functionaris gegevensbescherming of jurist.