GDPRとは？

対象となる範囲

一般データ保護規則は、個人データの取り扱いに適用されます。第4条(1)は、個人データを、識別された、または識別可能な自然人に関するあらゆる情報と定義しており、氏名、識別番号、位置データ、オンライン識別子が含まれます。電話番号やアカウントに紐づく音声録音や、氏名に言及する文字起こしは、どちらもこの定義に入ります。

第3条が適用範囲を定めています。EU域内にある管理者または処理者の拠点の活動の過程における取り扱いに、取り扱いが行われる場所を問わず適用されます。また、EU域外の管理者または処理者であっても、取り扱いがEU域内の人々への商品やサービスの提供、またはそこでの行動の監視に関係する場合は適用されます。したがって、ヨーロッパ外の企業が欧州の顧客からの電話を受ける場合も、対象となり得ます。

2つの役割が重要です。管理者は、取り扱いの目的と手段を決めます。処理者は、管理者に代わって個人データを取り扱います（第4条(7)および(8)）。音声エージェントを導入する企業は通常は管理者で、利用するプラットフォームや音声ベンダーは処理者であることが多いでしょう。

何が求められるか

• 第5条は原則を定めており、データは、その目的に必要な期間を超えて識別可能な形で保管してはならないという原則も含みます（第5条(1)(e)）。
• 第6条(1)は、取り扱いの適法性の根拠を6つ挙げています。同意、契約、法的義務、生命に関する利益、公共の利益、正当な利益です。管理者は、目的ごとに少なくとも1つが必要です。
• 第9条は、人を一意に識別するために用いる生体データと、健康に関するデータの取り扱いを、明示的な同意などの例外が適用される場合を除き禁じています。
• 第13条は、管理者に対し、データを取得する時点で、自らが誰であり、なぜデータを取り扱うのかを本人に伝えることを求めています。
• 第22条は、法的効果、または同様に重大な影響を及ぼす、自動化された取り扱いのみに基づく決定の対象とされない権利を、人々に与えています。
• 第28条は、管理者と処理者の間で、とりわけ処理者が文書化された指示にのみ従って行動することを定める契約を求めています。
• 第44条から第49条は、その章の条件を満たす場合に限り、EU域外への個人データの移転を認めています。
• 第83条(5)は、基本原則、データ主体の権利、移転規則の違反について、最大2,000万ユーロ、または全世界の年間売上高の4%のいずれか高い額の制裁金を認めています。

規則は、一般的な「GDPR認証」という地位を設けていません。第42条は承認された認証の仕組みを認めており、第42条(4)は、認証が管理者または処理者の責任を軽減しないと述べています。

音声エージェントにとっての意味

通話が生み出すもの1つひとつについて適法性の根拠を選び、発信者に早めに伝えてください。通話の冒頭に短い音声での告知を入れるのが一般的な理由の1つです。録音や文字起こしをどれだけ保管するか(データ保持)、ベンダーが何も保存しないか(ゼロデータ保持)も決めてください。

音声がどこへ行くかを確認してください。音声ベンダー、LLMの提供者、通信事業者は、それぞれ別の国で通話を取り扱うことがあり、それぞれが契約を結ぶべき処理者です。エージェントが声で発信者を識別するなら、それは生体データの取り扱いであり、第9条の問題が生じます。ベンダーのSOC 2レポートはセキュリティ統制について述べるもので、第28条の契約の代わりにはなりません。各国の通話録音の規則は別の層です。通話録音の同意を参照してください。インフラの観点については、オンプレミス音声AIのガイドをお読みください。

法務担当に確認する質問

1. 自社のユースケースで通話を録音し文字起こしするのに、どの適法性の根拠が適切か。
2. 自社は管理者か、処理者か、その両方か。処理者と復処理者は誰か。
3. 音声や文字起こしをEU域外に移す手順はあるか。それをどの移転の仕組みがカバーするか。
4. 話者の識別や音声認証は、自社にとって生体データの取り扱いにあたるか。
5. エージェントの決定のうち、第22条を発動させる法的効果や同様に重大な影響を持つものはあるか。

関連用語

• データ保持
• ゼロデータ保持
• HIPAA
• SOC 2

ガイド

• オンプレミス音声AIとは：仕組みと導入方法

出典

• Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex