Zgłoszenia głosowe i anonimizacja, wyjaśnione prosto

Dlaczego w ogóle oferować zgłaszanie ustne

Artykuł 9 ust. 2 dyrektywy pozwala kanałom wewnętrznym przyjmować zgłoszenia na piśmie, ustnie lub w obu formach, a jeśli kanał przyjmuje zgłoszenia ustne, muszą one być możliwe "telefonicznie lub za pośrednictwem innych systemów komunikacji głosowej". Kilka ustaw krajowych czyni drogę ustną obowiązkową: wymaga jej Holandia, a włoski regulator ANAC oczekuje zgłoszeń pisemnych i ustnych. Nawet tam, gdzie jest opcjonalna, niektórzy powiedzą to, czego nigdy by nie napisali. Jakąkolwiek drogę wybierzesz (obsadzoną linię telefoniczną, skrzynkę poczty głosowej, nagrywanie w przeglądarce), cel jest ten sam: zgłaszający musi móc przedstawić swoją relację na głos, nie tylko ją napisać.

Decyzja, przed którą faktycznie staje każdy operator kanału

Obsługa zgłoszeń głosowych to nie tylko "włącz mikrofon". Surowe nagranie głosowe samo w sobie jest danymi identyfikującymi — art. 4 pkt 14 RODO definiuje dane biometryczne jako "dane osobowe, które wynikają ze specjalnego przetwarzania technicznego, dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej oraz umożliwiają lub potwierdzają jednoznaczną identyfikację tej osoby", a głos mieści się dokładnie w tym zakresie. Każdy, kto oferuje zgłaszanie głosowe, musi zdecydować, co dzieje się z nagraniem, a typowe podejścia wiążą się z wzajemnymi kompromisami:

• Zachowanie surowego dźwięku. Najprostsza opcja, i domyślnie najczęstsza — ale też największa luka w prywatności. Surowe nagranie leżące w magazynie danych to coś, co mogłoby zidentyfikować zgłaszającego po samym głosie, tak długo, jak jest przechowywane, niezależnie od tego, czy gdzie indziej do zgłoszenia dołączono nazwisko.
• Transkrypcja i odrzucenie dźwięku. Usuwa to sam głos jako sygnał identyfikujący, ale traci ton, wahanie i akcent, które mogą mieć znaczenie dla tego, jak relacja jest faktycznie rozumiana — i zwykle wprowadza ludzkiego transkrybenta (wewnętrznego lub zewnętrzną usługę), który słyszy surowe nagranie przynajmniej raz przed jego konwersją.
• Anonimizacja samego dźwięku. Bardziej złożone technicznie niż obie powyższe opcje, ale to jedyna, która zachowuje nagranie — ton, pauzy, akcent i całą resztę — jednocześnie zrywając powiązanie z tym, kto mówi. To podejście przyjęte przez Provoxis.

Każde nagranie jest anonimizowane — nie tylko te anonimowe

Szczegół, który zaskakuje ludzi przy dobrym wykonaniu tego: anonimizacja głosu nie powinna zależeć od tego, czy zgłaszający zdecydował się zgłosić anonimowo, czy pod własnym nazwiskiem. Rozumowanie dotyczy samego nagrania, nie deklarowanej preferencji zgłaszającego — surowy głos zidentyfikowanego zgłaszającego leżący w magazynie danych przez lata to nadal coś, co mogłoby później posłużyć do zidentyfikowania go po samym nagraniu, niezależnie od tego, czy gdzie indziej do zgłoszenia dołączono jego nazwisko. Provoxis przepuszcza każde nagranie przez ten sam proces, bezwarunkowo, niezależnie od tego, jak zgłaszający zdecydował się złożyć zgłoszenie.

Jak faktycznie działa przesunięcie w Provoxis

Provoxis przetwarza każde nagranie przy użyciu ugruntowanych, otwartoźródłowych narzędzi przetwarzania sygnału, uruchamianych wewnętrznie, a nie przez zewnętrzne API. Z każdym nagraniem celowo dzieją się trzy rzeczy:

• Wysokość dźwięku jest przesuwana o losową wartość, nie o jeden stały współczynnik. Stałe przesunięcie samo w sobie byłoby ryzykiem: gdyby ta jedna transformacja kiedykolwiek stała się znana, zastosowanie jej odwrotności mogłoby odtworzyć coś bliskiego oryginalnemu głosowi. Losowanie dla każdego nagrania to wyklucza.
• Formanty są przesuwane, nie zachowywane. Formanty to rezonanse specyficznego dla danej osoby toru głosowego — część głosu, która identyfikuje, kto mówi, niezależnie od wysokości dźwięku. Przesunięcie samej wysokości dźwięku przy pozostawieniu formantów nietkniętych nadal brzmiałoby rozpoznawalnie jak ta sama osoba; przesunięcie obu jest tym, co faktycznie uniemożliwia ponowną identyfikację.
• Tempo pozostaje nietknięte. Naiwne resamplowanie dźwięku w celu zmiany wysokości zmienia też prędkość, co jest zarówno sygnałem zdradzającym, jak i problemem dostępności. Wysokość dźwięku i formanty są przesuwane bez przyspieszania ani zwalniania nagrania.

Co dzieje się z oryginalnym nagraniem

Surowy przesłany plik jest przechowywany tylko przejściowo — w pamięci tymczasowej na czas trwania zadania anonimizacji — i usuwany natychmiast po bezpiecznym zapisaniu wersji zanonimizowanej. Nigdy nie jest zapisywany do trwałych akt sprawy, i żadna rola, w tym personel Provoxis, nie ma do niego dostępu po zakończeniu przetwarzania. Jeśli zadanie się nie powiedzie, surowy plik jest mimo to usuwany po wyczerpaniu ponownych prób, zamiast pozostawać w magazynie danych na czas nieokreślony. Zanonimizowane nagranie to jedyna wersja, którą ktokolwiek — osoba obsługująca czy zgłaszający — kiedykolwiek odsłuchuje.

Ponieważ anonimizacja odbywa się wewnętrznie, a nie przez zewnętrzne API do przetwarzania głosu, nie dodaje też podprocesora do Twojej umowy powierzenia przetwarzania danych — jednego dostawcy mniej do śledzenia i ujawniania przez własnego IOD firmy, i jednego miejsca mniej, w którym surowe nagranie mogłoby leżeć poza Twoją kontrolą.

Podstawa prawna

• Art. 9 ust. 2, dyrektywa (UE) 2019/1937 — zgłoszenia pisemne, ustne lub w obu formach; ustne przez telefon lub inne systemy komunikacji głosowej.
• Art. 4 pkt 14 RODO — definicja danych biometrycznych jako danych osobowych wynikających ze specjalnego przetwarzania technicznego, dotyczących cech fizycznych, fizjologicznych lub behawioralnych, umożliwiających jednoznaczną identyfikację, w którą może się wpisywać surowe, nieprzesunięte nagranie głosowe.