Персональные данные в записях звонков: как защищать

Короткий ответ

Запись звонка полна персональных данных: имя клиента, телефон, адрес, иногда номер карты, сведения о здоровье или финансах. Когда записи попадают в систему анализа, их защита сводится к четырём вопросам: кто и к каким записям имеет доступ, сколько они хранятся, как проверяется маскирование, если оно используется, и как и кем запись удаляется.

Эта статья — технический чек-лист, а не юридическая консультация. Требования к записи звонков, согласию, срокам хранения и передаче данных зависят от страны, отрасли и местонахождения клиента. В Азербайджане персональные данные регулируются отдельным законом; конкретные обязательства проверьте с юристом.

Какие данные содержит запись звонка

1. 1ИдентифицирующиеИмя, фамилия, телефон, адрес, номер удостоверения личности, дата рождения.
2. 2ФинансовыеНомер карты, номер счёта, сумма долга, зарплата. Хранение данных карты в записи звонка создаёт отдельные стандарты и риски.
3. 3ЧувствительныеЗдоровье, болезнь, лечение, семейное положение — частые темы в звонках клиник, страховых компаний и банков.
4. 4Данные оператораИмя, голос и показатели работы оператора — тоже персональные данные, их тоже нужно защищать.
5. 5Производные данныеТранскрипт, резюме, оценка и перевод несут ту же информацию, что и аудиофайл, и должны подчиняться тем же правилам.

Доступ: кто что видит

• Доступ к записям и транскриптам есть только у тех, кому он нужен для работы, — QA, тимлиды, определённые руководители
• Оператор видит оценки своих звонков, а не звонков коллег — если для обучения не договорились отдельно
• Загрузка и скачивание записей — отдельные права; скачанный файл выходит из-под контроля
• Доступ для внешнего подрядчика или пилота выдаётся на срок и закрывается по его окончании
• Если возможно, ведётся запись о том, кто какую запись просматривал

Срок хранения

Хранить записи вечно «на всякий случай» — один из самых частых рисков. Для каждого типа данных нужно записать цель и срок. Разбивка ниже — иллюстративный пример:

1. 1АудиофайлСтолько, сколько нужно для анализа качества и возможных споров. Если закон требует дольше, это отмечается отдельно.
2. 2Транскрипт и оценкаМогут храниться дольше аудио для обучения и анализа трендов — но тоже со сроком.
3. 3Учебные примерыФрагменты звонков для учебных материалов по возможности очищаются от персональных данных.
4. 4Данные пилотаУдаляются в согласованный срок после окончания пилота; удаление подтверждается.

Маскирование: проверять, а не обещать

Маскирование (redaction) — скрытие номеров карт, телефонов и других чувствительных данных в транскрипте или аудио — полезный инструмент, но не полная гарантия. В документации AWS по маскированию чувствительных данных тоже отмечено, что автоматическое маскирование может найти не все случаи, результат нужно проверять, а исходный файл остаётся единственной полной записью.

1. 1Что маскируетсяКакие типы данных маскируются, а какие нет, — записанный список.
2. 2Где маскируетсяТолько в транскрипте или и в аудио? Где остаётся исходный аудиофайл?
3. 3Как проверяетсяЧеловек регулярно ищет в выборочных звонках немаскированные чувствительные данные — особенно там, где числа произносятся словами.
4. 4Когда не срабатываетЧисла по частям, смешанные языки, плохой звук — здесь маскирование ошибается чаще всего.

Процесс удаления

• Кто может удалять и чьё согласование для этого нужно
• Удаление — это удаление самого файла, а не скрытие из списка; проверьте это
• Удаляются ли вместе с аудиофайлом транскрипт, перевод, резюме и оценка?
• Что происходит в резервных копиях и когда они очищаются?
• Какие шаги выполняются, когда клиент просит удалить его данные?

Иллюстративный технический чек-лист

Список ниже — иллюстративный пример; ответьте на каждый пункт, прежде чем передавать записи в систему анализа.

1. 1Правовое основаниеОснование для записи и анализа звонков и уведомление клиентов проверены с юристом.
2. 2Место храненияГде хранятся записи и результаты, в какой стране и кем.
3. 3ДоступРоли записаны, определено, что видит каждая роль, срочные доступы закрываются.
4. 4ХранениеУ каждого типа данных есть срок и ответственный.
5. 5МаскированиеЕсли используется — записано, что оно охватывает, и регулярно проверяется; если нет — это открыто известно.
6. 6УдалениеПроцесс удаления проверен: файл действительно удаляется.
7. 7ИнцидентЕсть план, кто что делает, если запись попала не к тому человеку.

Передача записей для пилота

Больше всего рисков возникает на этапе пилота: записи отбирают в спешке, пересылают по почте, они остаются на чьём-то ноутбуке. Простые правила для пилота:

1. 1Минимальная выборкаСтолько звонков, сколько нужно пилоту, — десятки, а не сотни. Звонки на чувствительные темы по возможности исключаются.
2. 2Защищённый каналЗаписи передаются по каналу с ограниченным доступом, а не с личной почты или по открытой ссылке.
3. 3Письменное соглашениеЗаписано, что анализирующая сторона может делать с данными, где их хранить и когда удалить.
4. 4Подтверждённое удалениеПо окончании пилота удаляются аудиофайлы, транскрипты и результаты, и это подтверждается письменно.

Прозрачность для операторов

Операторы тоже участники процесса, и их данные тоже обрабатываются. Заранее объяснить, что звонки анализируются с помощью AI, для чего используются результаты и для чего не используются, как оспорить оценку, — важно и этически, и практически. Скрытый анализ подрывает доверие и мешает принять результаты. Нужно открыто сказать и то, что AI-балл не будет единственным основанием для оплаты, взысканий или увольнения.

Типичные ошибки

• Отправлять записи для пилота с личной почты или по открытой ссылке
• Писать имя и телефон клиента в имени файла
• Считать транскрипт менее чувствительным, чем аудиофайл
• Один раз проверить маскирование и больше не смотреть
• Забывать записи, которые выглядят удалёнными, но остались в резервной копии

Ограничения

• Этот список — не юридическая консультация; требования к согласию, хранению и передаче проверяются с юристом для вашей страны и отрасли
• Никакое маскирование не гарантирует, что найдёт все чувствительные данные
• Система анализа не обеспечивает автоматически соответствие какому-либо закону; соответствие обеспечивают процессы компании
• Голос и данные о работе оператора — тоже персональные данные, их нужно защищать

Что есть в Vexvon Audio Analyzer

• Записи звонков и результаты анализа хранятся раздельно по компаниям
• При удалении звонка из списка его аудиофайл удаляется и из хранилища — запись не просто скрывается
• Имя файла сохраняется как заголовок звонка и может быть изменено — поэтому особенно важно не писать в имена файлов персональные данные
• Функции автоматического маскирования нет; правила для чувствительных данных задают ваши процессы доступа и хранения

Подробнее: Vexvon Audio Analyzer. Общий подход Vexvon к безопасности описан на странице безопасности, а поля записи — в статье метаданные записей звонков.

Первый шаг

Заполните список из семи пунктов выше для ваших текущих записей и отметьте пункты без ответа. Это пробелы, которые нужно закрыть до перехода к системе анализа. Статья входит в раздел внедрение и надёжность аудиоанализа. Если есть вопросы, свяжитесь с нами.

Продолжение темы: контроль звонков в банке и страховании, качество звонков в клинике.