Spraakmeldingen en anonimisering, eenvoudig uitgelegd

Waarom mondeling melden aanbieden

Artikel 9, lid 2 van de richtlijn laat interne kanalen meldingen schriftelijk, mondeling of op beide manieren aannemen, en als een kanaal mondelinge meldingen aanneemt, moeten die mogelijk zijn "via de telefoon of via andere spraakberichtsystemen." Verschillende nationale wetten maken een mondelinge route verplicht: in Nederland vereist artikel 2 van de Wbk die, en de Italiaanse toezichthouder ANAC verwacht schriftelijke en mondelinge meldingen. Ook waar het optioneel is, vertellen sommige mensen wat ze nooit zouden opschrijven. Welke route u ook kiest (een bemande telefoonlijn, een voicemailbox, opname in de browser), het doel is hetzelfde: een melder moet zijn verhaal hardop kunnen doen, niet alleen typen.

De beslissing waar elke kanaalbeheerder daadwerkelijk voor staat

Spraakmelding ondersteunen is niet zomaar "zet een microfoon aan." Een ruwe spraakopname is zelf identificerende data — art. 4, lid 14 AVG definieert biometrische gegevens als "persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot de fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon op grond waarvan eenduidige identificatie van die natuurlijke persoon mogelijk is of wordt bevestigd," en een stem valt daar recht onder. Iedereen die spraakmelding aanbiedt, moet beslissen wat er met de opname gebeurt, en de gangbare benaderingen wegen tegen elkaar op:

• De ruwe audio bewaren. De eenvoudigste optie, en standaard de meest voorkomende — maar ook het grootste privacygat. Een ruwe opname die in opslag ligt, is iets dat de melder alleen al aan de stem zou kunnen identificeren, zolang deze wordt bewaard, of er nu elders een naam aan de melding is gekoppeld of niet.
• Transcriberen en de audio verwijderen. Dit haalt de stem zelf weg als identificerend signaal, maar verliest toon, aarzeling en nadruk die kunnen meewegen bij hoe een verhaal daadwerkelijk wordt begrepen — en het introduceert doorgaans een menselijke transcribent (intern of een externe dienst) die de ruwe opname minstens één keer hoort voordat deze wordt omgezet.
• De audio zelf anonimiseren. Technisch ingewikkelder dan beide bovenstaande opties, maar het is de enige optie die de opname behoudt — toon, pauzes, nadruk en alles — terwijl de link naar wie er spreekt wordt verbroken. Dit is de aanpak die Provoxis volgt.

Elke opname wordt geanonimiseerd — niet alleen de anonieme

Het detail dat mensen verrast over dit goed doen: stemanonimisering zou niet moeten afhangen van of een melder ervoor koos anoniem te melden of onder eigen naam. De redenering gaat over de opname zelf, niet over de aangegeven voorkeur van de melder — de ruwe stem van een geïdentificeerde melder die jarenlang in opslag ligt, is nog steeds iets dat later gebruikt zou kunnen worden om die persoon alleen al aan de opname te identificeren, ongeacht of ergens anders een naam aan de melding is gekoppeld. Provoxis laat elke opname onvoorwaardelijk door hetzelfde proces gaan, ongeacht hoe de melder ervoor koos in te dienen.

Hoe de verschuiving van Provoxis daadwerkelijk werkt

Provoxis verwerkt elke opname met gevestigde, opensource signaalverwerkingstools, intern uitgevoerd in plaats van via een externe API. Er gebeuren bewust drie dingen met elke opname:

• De toonhoogte wordt met een willekeurig bedrag verschoven, geen enkele vaste factor. Een constante verschuiving zou zelf een risico zijn: als die ene transformatie ooit bekend zou worden, zou het toepassen van de inverse ervan iets dicht bij de oorspronkelijke stem kunnen terughalen. Per opname willekeurig maken sluit dat uit.
• Formanten worden verschoven, niet behouden. Formanten zijn de resonanties van iemands specifieke stemkanaal — het deel van een stem dat identificeert wie er spreekt, los van toonhoogte. Alleen de toonhoogte verschuiven terwijl de formanten onaangeroerd blijven, zou nog steeds herkenbaar naar dezelfde persoon klinken; beide verschuiven is wat heridentificatie daadwerkelijk doorbreekt.
• Het tempo blijft ongemoeid. Audio naïef resamplen om de toonhoogte te veranderen, verandert ook de snelheid, wat zowel een verraderlijk signaal als een toegankelijkheidsprobleem is. Toonhoogte en formanten worden verschoven zonder de opname te versnellen of te vertragen.

Wat er met de originele opname gebeurt

De ruwe upload wordt slechts tijdelijk bewaard — in tijdelijke opslag voor de duur van de anonimiseringstaak — en direct verwijderd zodra de geanonimiseerde versie veilig is opgeslagen. Deze wordt nooit naar het permanente zaakdossier geschreven, en geen enkele rol, ook niet het personeel van Provoxis, kan er na verwerking nog bij. Als de taak mislukt, wordt het ruwe bestand alsnog verwijderd zodra de nieuwe pogingen zijn uitgeput, in plaats van onbeperkt in opslag te blijven staan. De geanonimiseerde opname is de enige versie die iemand — behandelaar of melder — ooit terughoort.

Omdat de anonimisering intern gebeurt in plaats van via een externe spraakverwerkings-API, voegt het ook geen subverwerker toe aan uw verwerkersovereenkomst — één leverancier minder om bij te houden en bekend te maken voor de eigen FG van een bedrijf, en één plek minder waar een ruwe opname buiten uw eigen controle zou kunnen staan.

Juridische basis

• Art. 9, lid 2, Richtlijn (EU) 2019/1937 — schriftelijk, mondeling of beide melden; mondeling per telefoon of ander spraakberichtsysteem.
• Artikel 2, Wbk — in Nederland ten minste schriftelijk en mondeling melden, en een persoonlijk gesprek op verzoek.
• Art. 4, lid 14, AVG — de definitie van biometrische gegevens als persoonsgegevens die het resultaat zijn van een specifieke technische verwerking met betrekking tot fysieke, fysiologische of gedragsgerelateerde kenmerken op grond waarvan eenduidige identificatie mogelijk is, waar een ruwe, onverschoven spraakopname recht onder kan vallen.