GDPR для записи встреч: чек-лист для IT и compliance-команд

Большинство команд решают самую простую часть соответствия GDPR при записи встреч в первый же день: выбирают правовое основание и сообщают участникам о записи. Но когда в анкете клиента просят соглашение об обработке данных (DPA) с вашим вендором, или сотрудник из Германии спрашивает, согласовано ли это с профсоюзом, ответа часто нет. Именно на этом этапе программы соответствия дают сбой, а не на этапе получения согласия.

Это руководство является второй частью истории. Если вам нужны основы, наш гид по GDPR для записи встреч подробно рассказывает о правовых основаниях, согласии, хранении и правах субъектов данных. Здесь мы разберём документы, которые нужно подготовить IT или compliance-команде: решение о DPIA, запись в Реестре обработки данных (ROPA), проверку вендоров, консультации с сотрудниками и чек-лист безопасности для аудиторов.

Почему “Мы просим согласие” ещё не означает соответствия

Программа записи может объявлять о записи каждого звонка, соблюдать сроки хранения, но провалить проверку, потому что никто не задокументировал решения. Принцип подотчётности GDPR требует показать работу, а не просто молча делать всё правильно. Для записи встреч документация обычно делится на пять категорий:

Документированное решение о необходимости оценки рисков (DPIA)
Запись в Реестре обработки данных (ROPA)
Проверка вендоров записи и транскрипции
Подтверждение консультаций с представителями сотрудников (где требуется)
Письменные меры технической и организационной безопасности

Пропустите один пункт, и сама запись может быть законной, но файл соответствия окажется пустым. Вот как заполнить каждый раздел.

Нужна ли вам DPIA для записи встреч?

Оценка воздействия на защиту данных (DPIA) представляет собой обязательную оценку рисков по GDPR, если обработка может создать “высокий риск” для прав людей. Обычная запись внутренних встреч редко подпадает под это определение. Запись звонков с клиентами, стендапов или тренингов с уведомлением и коротким сроком хранения относится к стандартной низкорисковой активности.

DPIA нужна (или хотя бы документ о её отсутствии), если запись попадает под одно из этих условий:

Систематический мониторинг сотрудников, например запись всех звонков поддержки для оценки работы, а не выборочные проверки
Особые категории данных в больших объёмах, например обсуждение здоровья в HR или медицинских консультациях
Новые технологии в масштабе, например внедрение AI-транскрипции или анализа эмоций впервые для всей компании
Автоматизированные решения на основе записи, например алгоритмы оценки продавцов или “рисковых” звонков без участия человека

Если ничего из этого нет, достаточно краткой внутренней заметки, почему DPIA не требуется. Если есть, в DPIA нужно описать обработку, оценить необходимость и соразмерность, выявить риски и перечислить меры по их снижению: ограничения доступа, сокращение сроков хранения или удаление чувствительных фрагментов.

Добавьте запись встреч в Реестр обработки данных (ROPA)

Статья 30 GDPR требует вести Реестр обработки данных (ROPA), то есть список того, какие персональные данные вы обрабатываете, зачем и как. Запись встреч часто забывают, потому что она кажется частью инфраструктуры, а не отдельной “обработкой”.

Запись в ROPA для записи встреч должна включать:

Поле	Пример
Цель	Ведение заметок, разбор звонков, обучение
Категории данных	Аудио, видео, имена, контент с экрана, AI-транскрипт
Категории людей	Сотрудники, клиенты, кандидаты
Правовое основание	Законные интересы (внутренние) или согласие (звонки с клиентами)
Срок хранения	90 дней для внутренних, срок контракта для клиентских
Получатели	Только внутренняя команда или указанные третьи лица
Международные передачи	Где хранятся и обрабатываются записи
Меры безопасности	Шифрование, контроль доступа, логирование

Если у вас уже есть ROPA, добавьте запись встреч отдельной строкой, а не в общую категорию “коммуникации”. Регуляторы и аудиторы ищут её именно так.

Попробуйте Record Meeting

Записывайте Google Meet прямо из браузера без бота на звонке. Записи, транскрипты и резюме остаются в вашем Google Workspace, что упрощает ROPA и контроль доступа.

Начать бесплатно

Проверка вендора: DPA, субпроцессоры и трансферы

Любой инструмент записи или транскрипции, который не разработан внутри компании, считается обработчиком данных по GDPR. Требуется письменный Договор об обработке данных (DPA) между вами и вендором перед передачей любых данных. Это то, что многие пропускают, потому что подписка на инструмент записи кажется установкой ПО, а не назначением обработчика.

Перед использованием вендора убедитесь в следующем.

Что должно быть в DPA

Категории обрабатываемых данных (аудио, видео, транскрипты) и цель
Подтверждение, что вендор обрабатывает данные только по вашим инструкциям
Обязательства по конфиденциальности для всех, кто имеет доступ со стороны вендора
Меры безопасности, желательно со ссылкой на стандарт или сертификат
Сроки уведомления об утечках от вендора к вам
Удаление или возврат данных при прекращении использования
Список субпроцессоров вендора (кто ещё имеет доступ к записям)

Репутационные вендоры публикуют DPA для онлайн-подписания или по запросу. Если его нет, это красный флаг, а не мелкий пробел.

Международные трансферы данных

Если вендор хранит или обрабатывает данные вне ЕС или Великобритании, нужен механизм трансфера, обычно Стандартные договорные условия (SCCs) Еврокомиссии, поверх DPA. Спросите прямо, где хранятся записи и транскрипты, а не только где зарегистрирована компания. Хранение записей в вашей инфраструктуре, а не в облаке вендора, почти полностью снимает этот вопрос.

Профсоюзы и консультации с сотрудниками

Это шаг, который пропускают большинство гайдов, и он же чаще всего подводит международные команды. В нескольких странах ЕС запись сотрудников считается мониторингом рабочего места, что требует консультаций с представителями сотрудников, причём это требование существует отдельно от GDPR.

Германия. Betriebsrat (профсоюз) обычно имеет права соучастия в системах, способных мониторить поведение или работу сотрудников. Внедрение записи встреч или оценки звонков без согласия профсоюза часто оказывается пробелом.
Франция и Нидерланды. Аналогичные обязательства через comité social et économique и ondernemingsraad, особенно для инструментов, анализирующих поведение.
Критерий. Триггером служит возможность мониторинга, а не факт просмотра каждой записи. Инструмент, который можно использовать для оценки, часто требует согласия, даже если сейчас он только для заметок.

Если в вашей компании есть представители сотрудников, подключите HR и юристов до внедрения записи, а не после. Согласие профсоюза или документ о его отсутствии входят в файл соответствия наравне с DPIA и ROPA.

Чек-лист мер безопасности

GDPR требует мер, “соответствующих риску”, что намеренно размыто. Для записей встреч аудиторы обычно проверяют:

Шифрование при передаче и хранении для записей и транскриптов
Ролевой доступ, чтобы записи видели только те, кому это нужно по работе
Отключённый доступ по ссылке по умолчанию (“любой с ссылкой” только по выбору)
Логирование просмотров, скачиваний и пересылок
Автоматическое удаление по графику из ROPA, а не вручную
Двухфакторная аутентификация для доступа к архиву
Инструкции по инцидентам для случаев утечки или ошибочной пересылки

Оформите этот список как внутренний стандарт и используйте при оценке инструментов. Это превращает “соответствует ли” в чек-лист.

Что считается утечкой с записью встречи

Утечка персональных данных означает любой инцидент с их уничтожением, потерей, изменением или несанкционированным доступом. Для записей возможны:

Запись, доступная “по ссылке”, пересланная вне компании
Ошибочная отправка не той группе
Взлом аккаунта вендора с доступом к записям
Бывший сотрудник с доступом к общему диску после ухода

Если такое произошло и в записи есть персональные данные, у вас обычно 72 часа на уведомление регулятора, а в серьёзных случаях и затронутых лиц. Централизованное хранение записей с контролем доступа позволяет быстро оценить масштаб и уложиться в срок. Подробнее читайте в нашем гиде по безопасности записей Google Meet.

Полный чек-лист соответствия

Используйте это для проверки программы записи:

Дополните этот список нашим шаблоном политики записи встреч и гайдом по этике записи для повседневных норм.

Частые вопросы

Нужна ли DPIA для записи встреч?

Обычно нет, если речь о стандартных звонках с уведомлением и разумным сроком хранения. DPIA нужна при систематическом мониторинге сотрудников, больших объёмах особых данных, AI-оценке или автоматизированных решениях на основе записи. Даже если DPIA не требуется, задокументируйте это решение.

Требует ли GDPR DPA с вендором записи встреч?

Да. Любой вендор, который хранит или обрабатывает записи, транскрипты или резюме, считается обработчиком по GDPR. DPA должно включать субпроцессоров и сроки уведомления об утечках.

Нужно ли согласие профсоюза для записи встреч в Германии?

Часто да. Немецкие профсоюзы обычно имеют права соучастия в системах мониторинга, и запись встреч может подпадать, даже если используется только для заметок. Подключите HR и юристов до внедрения.

Можно ли хранить записи встреч вне ЕС и соответствовать GDPR?

Да, но нужен механизм трансфера, например SCCs поверх DPA. Уточните у вендора, где именно обрабатываются данные, а не только где зарегистрирована компания.

Что считается утечкой с записью встречи?

Любая несанкционированная передача записи с персональными данными: ошибочная пересылка, взлом аккаунта вендора или доступ бывшего сотрудника. У вас 72 часа на уведомление регулятора, поэтому записи должны храниться с контролем доступа.

Итог

Соответствие GDPR при записи встреч зависит от документов не меньше, чем от политик. Начните с основ (правовое основание, уведомление, сроки хранения), затем закройте пробелы, которые проверяют аудиторы: DPIA, ROPA, DPA с вендорами, согласование с профсоюзами и чек-лист безопасности.

Соберите файл один раз, обновляйте его при смене вендоров, и программа записи станет тем, что можно показать аудитору без паники. Для старта сверьтесь с обзором безопасности Record Meeting.