Wyciek transkryptu ze spotkania: kiedy spedycja musi zgłosić naruszenie do UODO

Spedytor wysyła klientowi podsumowanie ustaleń i przez pomyłkę dokleja cały transkrypt poprzedniej rozmowy — tej o stawkach dla innego zleceniodawcy i o kandydacie na kierowcę, którego akurat omawiano. Albo laptop z folderem nagrań zostaje w taksówce na lotnisku. Albo handlowiec odchodzi do konkurencji, a jego konto w narzędziu do notatek działa dalej, bo nikt go nie wyłączył. W każdym z tych trzech przypadków pytanie jest identyczne i niewygodne: czy to naruszenie ochrony danych, które trzeba zgłosić Prezesowi UODO w ciągu 72 godzin, czy zdarzenie, które wystarczy opisać u siebie.

Pytanie przestało być teoretyczne, odkąd nagrywanie spotkań i automatyczna transkrypcja weszły do biur spedycyjnych. Skala zgłoszeń rośnie bardzo szybko: w 2025 roku do Prezesa UODO wpłynęło 22 435 zgłoszeń naruszeń ochrony danych wobec 14 842 rok wcześniej, organ przeprowadził 76 kontroli i nałożył 32 kary pieniężne na łączną kwotę ponad 64,4 mln zł (UODO, 2026-09-01). Transkrypt to przy tym plik gęstszy niż typowy wyciek z systemu — w jednym dokumencie jest zazwyczaj więcej osób i więcej kategorii danych niż w eksporcie z TMS.

Nagranie i transkrypt to dane osobowe wielu osób naraz

Rozmowa o zleceniu rzadko dotyczy wyłącznie ładunku. W transkrypcie zostaje imię i nazwisko kierowcy, numer telefonu podyktowany na głos, nazwa i NIP przewoźnika, stawka i warunki płatności, czasem numer rachunku, czasem informacja, że konkretny kierowca jest na zwolnieniu albo czeka na zezwolenie na pobyt. Dwie ostatnie kategorie to już dane szczególnych kategorii albo dane, których ujawnienie realnie uderza w konkretnego człowieka. Warto też wiedzieć, czym zapis głosu nie jest automatycznie: danymi biometrycznymi staje się dopiero wtedy, gdy jest przetwarzany specjalnymi metodami technicznymi w celu jednoznacznej identyfikacji osoby, co wynika wprost z definicji w art. 4 pkt 14 RODO (EUR-Lex, 2016-04-27). Samo nagranie spotkania, które służy do zrobienia notatki, w tę definicję nie wchodzi — ale cała reszta treści i tak jest danymi osobowymi.

Kiedy zgłoszenie jest obowiązkowe, a kiedy nie

Punktem wyjścia jest art. 33 ust. 1 RODO: administrator zgłasza naruszenie organowi nadzorczemu, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych. UODO wrócił do tej przesłanki w komunikacie z początku października i wyjaśnił ją na przykładach, które dla spedycji są akurat bardzo trafne. Jeśli ujawnione zostały wyłącznie dane osoby prowadzącej działalność gospodarczą, jawne w CEIDG — imię i nazwisko, nazwa firmy, NIP i adres działalności — to utrata ich poufności zwykle nie otwiera nowych możliwości szkodzenia tej osobie, więc zgłoszenie zazwyczaj nie jest wymagane. Obowiązek pojawia się wtedy, gdy razem z danymi jawnymi wyszło coś więcej: numer PESEL, informacje finansowe albo szczegóły ujawniające stan zdrowia lub inne dane szczególnych kategorii, bo wtedy w grę wchodzi kradzież tożsamości, wyłudzenie, fałszywa faktura lub socjotechnika (UODO, 2026-10-05).

Dla firmy transportowej to rozróżnienie jest ważne z prozaicznego powodu: większość kontrahentów to jednoosobowe działalności, więc pierwszy odruch bywa taki, że „to przecież dane publiczne”. W transkrypcie rozmowy handlowej rzadko jednak zostaje tylko NIP. Zostaje też to, ile klient płaci, komu spedytor obiecał lepszą stawkę i który kierowca ma problem z dokumentami.

Siedemdziesiąt dwie godziny i rejestr, który musisz mieć w obu wariantach

Termin liczy się od stwierdzenia naruszenia, nie od wysłania maila do złego adresata, i wynosi 72 godziny; przy wysokim ryzyku dla osób trzeba dodatkowo zawiadomić je same na podstawie art. 34 RODO. Najważniejsza praktyczna konsekwencja komunikatu UODO dotyczy jednak sytuacji, w której zgłoszenia nie składasz. Nawet wtedy trzeba przeprowadzić rzetelną ocenę ryzyka, udokumentować ją i wpisać do wewnętrznego rejestru naruszeń przesłanki uzasadniające brak zgłoszenia, bo RODO wymaga dokumentowania wszystkich naruszeń, a nie tylko tych zgłoszonych (UODO, 2026-10-05). Innymi słowy: „uznaliśmy, że nic się nie stało” bez śladu w dokumentach jest gorszą odpowiedzią na kontrolę niż samo zdarzenie. Warto przy tym pamiętać, że polska spedycja zgłasza naruszenie do jednego organu — Prezesa UODO; obowiązek zawiadamiania organów wszystkich państw, których dotyczy naruszenie, Europejska Rada Ochrony Danych odniosła do administratorów bez jednostki organizacyjnej w Unii (EDPB, 2023-04-04).

Trzy sytuacje z biura spedycji

Transkrypt rozmowy rekrutacyjnej z kandydatem na kierowcę, wysłany do niewłaściwej osoby, to najtrudniejszy z tych przypadków. Kandydat nie jest przedsiębiorcą, w rozmowie padają dane z dokumentu tożsamości, często kwestia obywatelstwa i prawa do pracy, czasem stan zdrowia przy pytaniach o badania. Tu domyślną odpowiedzią jest zgłoszenie i poważne rozważenie zawiadomienia samego kandydata. Zgubiony laptop z nagraniami to przypadek, w którym wynik oceny zależy od technikaliów: jeśli dysk był zaszyfrowany, urządzenie wyłączone, a klucz nie wyciekł, ryzyko bywa niskie — ale żeby móc tak napisać w rejestrze, trzeba wiedzieć, czy szyfrowanie faktycznie było włączone, i to zweryfikować, a nie założyć. Aktywne konto byłego pracownika jest z kolei naruszeniem rozciągniętym w czasie: liczy się nie tylko to, co zobaczył, ale też to, ile dni dostęp istniał i czy w logach widać, co z niego pobrano.

Czego w tej sprawie po prostu nie ma

Nie ma wytycznych UODO ani Europejskiej Rady Ochrony Danych poświęconych konkretnie narzędziom do notatek AI, transkrypcji spotkań ani ocenie wycieku transkryptu. Zostają ogólne przepisy o naruszeniach, komunikaty organu i własna, spisana argumentacja. Transportu nie ma również w planie kontroli sektorowych UODO na 2026 rok — na liście są podmioty przetwarzające dane w wielkoskalowych systemach UE, placówki medyczne stosujące monitoring, operatorzy BIP, podmioty prowadzące marketing oraz internetowe platformy dostaw, przy czym kontrole platform przesunięto na 2027 rok (UODO, 2026-01-08). To nie znaczy, że branża jest poza zasięgiem: kontrola najczęściej wychodzi ze skargi albo z własnego zgłoszenia naruszenia, a firmy logistyczne w Polsce bywały celem ataków ransomware wymierzonych w cały sektor (RMF24, 2022-10-15).

Pole rażenia zmniejsza się przed wyciekiem, nie po nim

Najtańsza odpowiedź na pytanie „co było w tym pliku” to taka architektura nagrywania, w której plików jest mniej i leżą w mniejszej liczbie miejsc. Echo nagrywa spotkanie lokalnie na urządzeniu osoby, która je prowadzi — na macOS i Windows z dźwięku systemowego i mikrofonu, na iPhonie i iPadzie z mikrofonu przy spotkaniach stacjonarnych — więc do spotkania nie dołącza żaden bot ani dodatkowy uczestnik. Tryb w pełni lokalny, oparty na whisper.cpp i sherpa-onnx, włącza się jednym kliknięciem i wtedy dźwięk nie opuszcza urządzenia; to skraca listę miejsc, z których coś może wyciec, ale przenosi ciężar na szyfrowanie dysku i blokadę ekranu, więc trzeba to w firmie faktycznie wymusić. Tryb domyślny jest chmurowy, transkrypcja idzie przez Gemini na Vertex AI i nie obiecujemy przy nim rezydencji danych w Unii Europejskiej, bo byłaby to obietnica, której nie dotrzymamy.

Przy samej ocenie naruszenia pomagają dwie rzeczy, które Echo robi niezależnie od trybu. Przy spotkaniach zewnętrznych aplikacja odtwarza komunikat głosowy z pytaniem o zgodę i zapisuje ją w logu ze znacznikiem czasu, a każdy uczestnik dostaje link, pod którym widzi swoje dane i może zażądać ich usunięcia — wraz z logiem tych operacji. Gdy przychodzi moment, w którym trzeba w 72 godziny napisać, czyje dane i jakich kategorii znalazły się w pliku, kto miał do niego dostęp i co z nim zrobił, ta dokumentacja jest różnicą między zgłoszeniem opartym na faktach a zgłoszeniem opartym na pamięci spedytora. Echo działa po polsku i po angielsku, podpowiada start nagrania z Kalendarza Google, a przez MCP spotkania można podłączyć do własnego asystenta AI. Reszta jest organizacyjna i żadne narzędzie tego nie załatwi: krótka retencja nagrań, odbieranie dostępów w dniu odejścia pracownika i rejestr naruszeń, do którego ktoś naprawdę wpisuje każdy przypadek, także ten niezgłoszony.

Echo jest dostępne pod adresem echo.humi.digital. Jeśli chcesz zobaczyć, jak ustalenia z rozmów, maile i dokumenty trafiają do jednej sprawy z pełną historią dostępu, umów krótkie demo Cord OS poniżej.