DPIA voorbeeld voor gespreksopnames

Je gaat gesprekken van je team opnemen of laten analyseren, en iemand vraagt naar de DPIA. Een leeg sjabloon helpt dan weinig, want de lastige vragen zitten in wat je invult.

Hieronder staat een DPIA voorbeeld voor gespreksopnames, opgebouwd langs wat de AVG minimaal vraagt. Per onderdeel staat erbij wat je voor gesprekken opschrijft.

Wanneer een DPIA verplicht is

De AVG noemt de DPIA een gegevensbeschermingseffectbeoordeling. Volgens artikel 35 van de AVG voer je er een uit vóór de verwerking, als die "waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen". Heb je een functionaris gegevensbescherming, dan vraag je die om advies (lid 2).

De Autoriteit Persoonsgegevens (AP) heeft een lijst van verwerkingen waarvoor een DPIA verplicht is (Staatscourant 2019, 64418). Drie punten op die lijst zijn hier van belang:

Punt 11, controle werknemers: grootschalige verwerking van persoonsgegevens en/of stelselmatige monitoring van activiteiten van werknemers.
Punt 13, communicatiegegevens: grootschalige verwerking en/of stelselmatige monitoring van communicatiegegevens die herleidbaar zijn tot personen.
Punt 15, profilering: een systematische en uitgebreide beoordeling van persoonlijke aspecten op basis van geautomatiseerde verwerking, zoals de beoordeling van beroepsprestaties.

Staat je verwerking niet op de lijst, dan beoordeel je zelf het risico. De AP verwijst naar negen criteria van de Europese toezichthouders, met als vuistregel dat je een DPIA uitvoert bij twee of meer. Werknemers tellen daar als kwetsbare personen, vanwege de ongelijke machtsverhouding met de werkgever. Zie de DPIA-pagina van de AP.

Wat er minimaal in een DPIA moet staan

Een DPIA uitvoeren mag met elke methode, zolang de vier onderdelen uit artikel 35, lid 7 erin staan:

een systematische beschrijving van de verwerking en de doeleinden, met het gerechtvaardigd belang als je daarop steunt
een beoordeling van de noodzaak en de evenredigheid
een beoordeling van de risico's voor de mensen van wie je gegevens verwerkt
de maatregelen om die risico's aan te pakken en aan te tonen dat je aan de AVG voldoet

Begin zo vroeg mogelijk, adviseert de AP, ook als nog niet alle details vaststaan. Een DPIA is geen eenmalige opdracht: verandert de verwerking, dan werk je hem bij.

Een DPIA voorbeeld voor gespreksopnames

Zo kan elk onderdeel eruitzien voor een team dat zakelijke telefoongesprekken opneemt en laat analyseren om te coachen:

Beschrijving en doel: opnames van zakelijke telefoongesprekken van het team, omgezet naar tekst en beoordeeld op de eigen criteria van het team. Doel is coaching en training op gesprekken. Grondslag is het gerechtvaardigd belang, met de belangenafweging uitgeschreven. Noem wie toegang heeft, welke leveranciers meedoen en hoe lang je bewaart.
Noodzaak en evenredigheid: waarom opnames nodig zijn voor dit doel, waarom je elk gesprek analyseert en geen steekproef, en welke lichtere alternatieven je hebt overwogen, zoals meeluisteren of rollenspellen. Noem ook wat je bewust niet doet, bijvoorbeeld de analyses gebruiken als grond voor een beoordeling of ontslag.
Risico's: medewerkers die zich gecontroleerd voelen, gebruik voor een ander doel dan coaching, gegevens van klanten in het gesprek, gevoelige informatie die een klant zelf noemt, een analyse die het mis heeft, en doorgifte buiten de EU via leveranciers.
Maatregelen: een melding bij elk gesprek voor medewerker en klant, toegang per rol, een vaste bewaartermijn, verwerkersovereenkomsten met de juiste waarborgen bij doorgifte, een mens die meekijkt bij twijfel, en schriftelijke afspraken met de ondernemingsraad over waar het niet voor gebruikt wordt.

Blijft er na de maatregelen een hoog risico over dat je niet kunt beperken, dan overleg je eerst met de AP. Dat heet een voorafgaande raadpleging.

Callab in beeld

De DPIA is van jullie als verwerkingsverantwoordelijke. Callab is de verwerker en levert de feiten die erin moeten. Jullie eigen telefonie maakt de opname. Callab bewaart die versleuteld in Frankfurt en laat hem omzetten naar tekst op het Europese datacenter van de spraakleverancier, die de opname niet bewaart. De taalanalyse draait op modellen van aanbieders in de Verenigde Staten, onder een verwerkersovereenkomst met de standaardcontractbepalingen van de Europese Commissie, zonder opslag en zonder gebruik voor training.

Een medewerker ziet alleen de eigen gesprekken, een teamlead ziet het team, en elke keer dat een Callab-beheerder meekijkt wordt vastgelegd. Standaard verdwijnt een gesprek na twaalf maanden vanzelf. Callab leidt geen emoties af uit stem en neemt geen besluiten over medewerkers. Twijfelt het model over een score, dan krijgt het gesprek de status "needs review" en kijkt er een mens naar. De volledige beschrijving staat op de pagina over hoe Callab met data omgaat.

Daarna: ondernemingsraad en team

Valt je systeem ook onder het instemmingsrecht als personeelsvolgsysteem, dan is de DPIA het stuk dat je ondernemingsraad wil zien. Wat je medewerkers en klanten vertelt, staat bij gesprekken opnemen als werkgever. Laat je de gesprekken door AI beoordelen, neem dan ook de AI Act voor werkgevers mee in de risico's.