Segnalazioni vocali e anonimizzazione, spiegate in modo semplice

Perché offrire la segnalazione orale

L'articolo 9(2) della Direttiva consente ai canali interni di ricevere segnalazioni in forma scritta, orale o in entrambe le forme, e quando un canale riceve segnalazioni orali, queste devono essere possibili "tramite linea telefonica o altri sistemi di messaggistica vocale". In Italia la scelta non c'è: le Linee guida ANAC chiedono agli enti di garantire entrambe le forme, e lo stesso vale per i Paesi Bassi. Anche dove è facoltativa, alcune persone diranno ciò che non scriverebbero mai. Qualunque via scegliate (una linea telefonica presidiata, una casella vocale, la registrazione in browser), l'obiettivo è lo stesso: chi segnala deve poter dare la propria versione a voce, non solo digitarla.

La decisione che ogni gestore di canale deve davvero affrontare

Supportare la segnalazione vocale non significa semplicemente "accendere un microfono". Una registrazione vocale grezza è essa stessa un dato identificativo — l'art. 4(14) del GDPR definisce i dati biometrici come dati personali ottenuti da un trattamento tecnico relativo alle caratteristiche fisiche o comportamentali di una persona fisica in grado di consentirne o confermarne l'identificazione univoca, e una voce vi rientra pienamente. Chiunque offra la segnalazione vocale deve decidere cosa succede alla registrazione, e gli approcci comuni comportano un compromesso reciproco:

• Conservare l'audio grezzo. L'opzione più semplice, e la più comune per default — ma è anche la lacuna di privacy più grande. Una registrazione grezza in archivio è qualcosa che potrebbe identificare chi segnala dalla sola voce, per tutto il tempo in cui viene conservata, che un nome sia o meno collegato altrove alla segnalazione.
• Trascriverla e scartare l'audio. Questo elimina la voce stessa come segnale identificativo, ma perde il tono, le esitazioni e l'enfasi che possono contare per come viene davvero compresa una versione dei fatti — e di solito introduce un trascrittore umano (interno o un servizio di terze parti) che ascolta la registrazione grezza almeno una volta prima che venga convertita.
• Anonimizzare l'audio stesso. Più impegnativo tecnicamente di entrambe le opzioni precedenti, ma è l'unica opzione che conserva la registrazione — tono, pause, enfasi e tutto il resto — spezzando al contempo il collegamento con chi sta parlando. È l'approccio adottato da Provoxis.

Ogni registrazione viene anonimizzata — non solo quelle anonime

Il dettaglio che sorprende chi fa bene questo lavoro: l'anonimizzazione vocale non dovrebbe dipendere dal fatto che chi segnala abbia scelto di segnalare in forma anonima o con il proprio nome. Il ragionamento riguarda la registrazione in sé, non la preferenza dichiarata di chi segnala — la voce grezza di una persona identificata, conservata in archivio per anni, resta comunque qualcosa che potrebbe in seguito essere usata per identificarla dalla sola registrazione, indipendentemente dal fatto che il suo nome sia collegato altrove alla segnalazione. Provoxis sottopone ogni registrazione allo stesso processo, incondizionatamente, indipendentemente da come chi segnala ha scelto di inviarla.

Come funziona davvero lo spostamento di Provoxis

Provoxis elabora ogni registrazione usando strumenti di elaborazione del segnale open-source e consolidati, eseguiti internamente anziché tramite un'API di terze parti. Tre cose accadono a ogni registrazione, deliberatamente:

• Il tono viene spostato di una quantità casuale, non di un unico fattore fisso. Uno spostamento costante sarebbe esso stesso un rischio: se quella singola trasformazione diventasse mai nota, applicarne l'inverso recupererebbe qualcosa di molto vicino alla voce originale. Randomizzare per ogni registrazione chiude questa possibilità.
• I formanti vengono spostati, non preservati. I formanti sono le risonanze specifiche del tratto vocale di una persona — la parte di una voce che identifica chi sta parlando, separatamente dal tono. Spostare solo il tono lasciando intatti i formanti suonerebbe ancora riconoscibilmente come la stessa persona; spostare entrambi è ciò che davvero impedisce la reidentificazione.
• Il tempo resta invariato. Ricampionare ingenuamente l'audio per cambiare il tono cambia anche la velocità, il che è sia un indizio rivelatore sia un problema di accessibilità. Tono e formanti vengono spostati senza accelerare o rallentare la registrazione.

Cosa succede alla registrazione originale

Il caricamento grezzo viene conservato solo transitoriamente — in archiviazione temporanea per la durata del processo di anonimizzazione — e cancellato immediatamente non appena la versione anonimizzata è archiviata in sicurezza. Non viene mai scritto nel registro permanente del caso, e nessun ruolo, incluso il personale di Provoxis, può accedervi una volta completata l'elaborazione. Se il processo fallisce, il file grezzo viene comunque cancellato una volta esauriti i tentativi, invece di restare in archivio indefinitamente. La registrazione anonimizzata è l'unica versione che chiunque — gestore o chi segnala — ascolta mai in seguito.

Poiché l'anonimizzazione avviene internamente anziché tramite un'API di elaborazione vocale di terze parti, non aggiunge nemmeno un sub-responsabile del trattamento al vostro accordo sul trattamento dei dati — un fornitore in meno da monitorare e comunicare per il DPO di un'azienda, e un posto in meno in cui una registrazione grezza potrebbe trovarsi al di fuori del vostro controllo.

Base giuridica

• Art. 9(2), Direttiva (UE) 2019/1937 — segnalazione scritta, orale o entrambe; quella orale tramite linea telefonica o altri sistemi di messaggistica vocale.
• Linee guida ANAC n. 1/2025, par. 2.2 — gli enti devono garantire sia la forma scritta sia quella orale.
• Art. 4(14), GDPR — la definizione di dati biometrici come dati personali ottenuti da un trattamento tecnico relativo alle caratteristiche fisiche o comportamentali di una persona fisica in grado di consentirne o confermarne l'identificazione univoca, categoria in cui può rientrare una registrazione vocale grezza e non modificata.