מועצת הרגולטורים לפרטיות של מדינות האיחוד האירופי (European Data Protection Board - EDPB) פרסמה להערות הציבור טיוטת הנחיות על היבטי הגנת המידע הכרוכים בסייענים-וירטואליים קוליים (Virtual Voice Assistants). טיוטת ההנחיה מדגישה כי לאור מהות הטכנולוגיה, סייענים קוליים מעבדים היקפים גדולים של מידע אישי, מה שמחייב תשומת לב מיוחדת להיבטי הגנת מידע אישי. בנוסף, היות שמדובר בטכנולוגיה המערבת גם אחסון מידע במכשיר הקצה, לא רק הוראות ה-GDPR חלות על מפעילי טכנולוגיה כזו, אלא גם הוראות הדירקטיבה האירופית על פרטיות ברשתות תקשורת אלקטרונית, המסדירה בין היתר את הכללים על אחסון מידע במכשירי קצה.
טיוטת ההנחיות מדגישה בין היתר את הנושאים הבאים הטעונים תשומת לב מצד מפתחי ומפעילי טכנולוגיית סייענים קוליים:
- זכויות נושאי המידע כגון תיקון מידע, מחיקתו, מסירת עותק ממנו וכו' - צריכות להיות זמינות באמצעות פקודות קוליות של המשתמש.
- בעלי שליטה במידע ומעבדי מידע. גורם המפתח את התשתית הטכנולוגית לסייען קולי עבור חברה אחרת הקובעת את מטרות העיבוד ואמצעי העיבוד, יכול להחשב למעבד מידע עבור החברה הנחשבת לבעלת השליטה במידע. אולם אם המפתח גם משתמש במידע לצורך טיוב טכנולוגית הזיהוי הקולי שלו, הוא יחשב לבעל שליטה במידע ביחס לעיבוד הזה.
- בסיס חוקי לעיבוד המידע. עיבוד המידע הקולי לצורך ביצוע פקודה או בקשה של המשתמש נשען על הבסיס החוקי בדבר ביצוע חוזה לאספקת שירות. עיבוד המידע לצורך בקרת איכות, שיפור יכולת הזיהוי הקולית ודיוק המוצר לא יכול להשען על הבסיס החוקי בדבר ביצוע חוזה. עיבוד המידע לצורך הגשת פרסומות מותאמות למאפייני המשתמש חייב להשען על הסכמה מפורשת של המשתמש.
- עיבוד מידע רגיש. נתוני טביעת קול המאפשרים לזהות אדם נחשבים למידע ביומטרי רגיש לפי ה-GDPR. עיבוד של מידע כזה מחייב הסכמה חופשית ומפורשת של המשתמש, ולכן יש לאפשר למשתמש לבחור גם בחלופה שלא מצריכה עיבוד של טביעת הקול שלו לצורך זיהויו. יש לשמור ולעבד את נתוני טביעת הקול במכשיר הקצה בלבד ולא בשרתים מרוחקים.
- מזעור מידע, עיצוב לפרטיות ופרטיות כברירת מחדל. מפעיל או מפתחת הטכנולוגיה נדרש, בסבירות גבוהה, לערוך תסקיר השפעה על הפרטיות (Data Protection Impact Assessment). יש ליישם טכנולוגיה לסינון קולות רקע של אחרים, כך שככל הניתן רק קולו של המשתמש יוקלט ויעובד. בנוסף, מחיקת המידע האישי צריכה להיעשות באופן יזום ע"י מפעיל הטכנולוגיה, בהתאם לעיקרון "מזעור המידע", ולא רק בעת הוראת מחיקה של המשתמש.
טיוטת ההנחיות פתוחה להערות הציבור עד ל-23 באפריל, 2021.