Sprachmeldungen und Anonymisierung, einfach erklärt

Warum überhaupt mündliche Meldungen anbieten

Artikel 9(2) der Richtlinie erlaubt internen Kanälen, Meldungen schriftlich, mündlich oder in beiden Formen entgegenzunehmen, und wo ein Kanal mündliche Meldungen annimmt, müssen sie "telefonisch oder über andere Sprachnachrichtensysteme" möglich sein. Mehrere nationale Gesetze machen einen mündlichen Weg zur Pflicht: Die Niederlande verlangen ihn, und die italienische Aufsichtsbehörde ANAC erwartet schriftliche und mündliche Meldungen. Auch wo er freiwillig ist, sagen manche Menschen, was sie nicht aufschreiben würden. Welchen Weg Sie auch wählen (eine besetzte Telefonleitung, eine Voicemail-Box, eine Aufnahme im Browser) — das Ziel ist dasselbe: Eine meldende Person muss ihre Darstellung laut geben können, nicht nur tippen.

Die Entscheidung, vor der jeder Kanalbetreiber tatsächlich steht

Sprachmeldung zu unterstützen bedeutet nicht nur "ein Mikrofon einschalten". Eine rohe Sprachaufnahme ist selbst identifizierende Daten — Art. 4(14) der DSGVO definiert biometrische Daten als personenbezogene Daten, die aus einer Verarbeitung physischer oder verhaltensbezogener Merkmale resultieren, die eine Person identifizieren können, und eine Stimme fällt eindeutig darunter. Jeder, der Sprachmeldung anbietet, muss entscheiden, was mit der Aufnahme passiert, und die üblichen Ansätze stehen im Zielkonflikt zueinander:

• Die rohe Audioaufnahme behalten. Die einfachste Option, und standardmäßig die häufigste — aber auch die größte Datenschutzlücke. Eine rohe Aufnahme im Speicher ist etwas, das die meldende Person allein anhand der Stimme identifizieren könnte, solange sie aufbewahrt wird, unabhängig davon, ob anderswo ein Name an der Meldung hängt.
• Transkribieren und die Audiodatei verwerfen. Das entfernt die Stimme selbst als identifizierendes Signal, verliert aber Tonfall, Zögern und Betonung, die dafür relevant sein können, wie eine Darstellung tatsächlich verstanden wird — und meist kommt ein menschlicher Transkribierer ins Spiel (intern oder ein Drittanbieter), der die rohe Aufnahme mindestens einmal hört, bevor sie umgewandelt wird.
• Die Audioaufnahme selbst anonymisieren. Technisch aufwendiger als beides oben, aber die einzige Option, die die Aufnahme behält — Tonfall, Pausen, Betonung und alles — und dabei die Verbindung zurück zur sprechenden Person durchbricht. Das ist der Ansatz, den Provoxis wählt.

Jede Aufnahme wird anonymisiert — nicht nur die anonymen

Das Detail, das Menschen überrascht, wenn man das richtig machen will: Sprachanonymisierung sollte nicht davon abhängen, ob eine meldende Person sich für eine anonyme Meldung oder eine unter ihrem eigenen Namen entschieden hat. Die Begründung betrifft die Aufnahme selbst, nicht die geäußerte Präferenz der meldenden Person — die rohe Stimme einer identifizierten meldenden Person, die jahrelang im Speicher liegt, ist immer noch etwas, das später allein anhand der Aufnahme zu ihrer Identifizierung genutzt werden könnte, unabhängig davon, ob ihr Name anderswo an der Meldung hängt. Provoxis führt jede Aufnahme unbedingt durch denselben Prozess, unabhängig davon, wie sich die meldende Person für die Einreichung entschieden hat.

Wie Provoxis' Verschiebung tatsächlich funktioniert

Provoxis verarbeitet jede Aufnahme mit etablierten Open-Source-Signalverarbeitungswerkzeugen, die intern betrieben werden statt über eine Drittanbieter-API. Drei Dinge passieren bewusst mit jeder Aufnahme:

• Die Tonhöhe wird um einen zufälligen Betrag verschoben, nicht um einen einzelnen festen Faktor. Eine konstante Verschiebung wäre selbst ein Risiko: Würde diese eine Transformation bekannt, ließe sich mit ihrer Umkehrung etwas nahe an der ursprünglichen Stimme wiederherstellen. Die Randomisierung pro Aufnahme schließt das aus.
• Formanten werden verschoben, nicht beibehalten. Formanten sind die Resonanzen des jeweils eigenen Stimmtrakts einer Person — der Teil einer Stimme, der identifiziert, wer spricht, getrennt von der Tonhöhe. Nur die Tonhöhe zu verschieben und die Formanten unangetastet zu lassen, würde immer noch erkennbar nach derselben Person klingen; beides zu verschieben ist das, was Re-Identifizierung tatsächlich verhindert.
• Das Tempo bleibt unverändert. Audio naiv umzuresamplen, um die Tonhöhe zu ändern, ändert auch die Geschwindigkeit, was sowohl ein Verräter als auch ein Barriereproblem ist. Tonhöhe und Formanten werden verschoben, ohne die Aufnahme zu beschleunigen oder zu verlangsamen.

Was mit der Originalaufnahme passiert

Der rohe Upload wird nur vorübergehend gehalten — im temporären Speicher für die Dauer des Anonymisierungsauftrags — und sofort gelöscht, sobald die anonymisierte Version sicher gespeichert ist. Er wird nie in die dauerhafte Fallakte geschrieben, und keine Rolle, auch nicht Provoxis- Mitarbeiter, kann nach Abschluss der Verarbeitung darauf zugreifen. Schlägt der Auftrag fehl, wird die Rohdatei nach Erschöpfung der Wiederholungsversuche trotzdem gelöscht, statt unbegrenzt im Speicher zu bleiben. Die anonymisierte Aufnahme ist die einzige Version, die jemals irgendjemand — Fallbearbeiter oder meldende Person — zu hören bekommt.

Weil die Anonymisierung intern geschieht statt über eine Drittanbieter-API zur Sprachverarbeitung, fügt sie auch keinen Auftragsverarbeiter zu Ihrer Auftragsverarbeitungsvereinbarung hinzu — ein Anbieter weniger, den der eigene Datenschutzbeauftragte eines Unternehmens verfolgen und offenlegen muss, und ein Ort weniger, an dem eine rohe Aufnahme außerhalb der eigenen Kontrolle liegen könnte.

Rechtsgrundlage

• Art. 9(2), Richtlinie (EU) 2019/1937 — Meldungen schriftlich, mündlich oder in beiden Formen; mündliche Meldungen per Telefon oder anderen Sprachnachrichtensystemen.
• Art. 4(14), DSGVO — die Definition biometrischer Daten als personenbezogene Daten, die aus einer Verarbeitung physischer oder verhaltensbezogener Merkmale resultieren, die eine Person identifizieren können, worunter eine rohe, unveränderte Sprachaufnahme fallen kann.