En studieapp kan have oplysninger om din konto, din brug af tjenesten og mennesker, der optræder i dit materiale. GDPR giver dig rettigheder over oplysninger om dig, men er ikke en generel ejendomsret til alle filer på kontoen.
Det er især vigtigt ved forelæsningsoptagelser: underviserens stemme og medstuderendes bidrag kan være deres personoplysninger. En faglig forklaring bliver ikke automatisk dine personoplysninger, fordi du har optaget den. Skeln derfor mellem at eksportere dit studiemateriale og at bruge dine GDPR-rettigheder.
Hvad kan du bede om?
Datatilsynets oversigt over rettigheder er et godt udgangspunkt. Rettighederne har forskellige formål:
| Dit problem | Relevant rettighed | Vigtig begrænsning |
|---|---|---|
| Du vil vide, hvilke personoplysninger en tjeneste har om dig | Indsigt, artikel 15 | Andres rettigheder kan begrænse, hvad der udleveres |
| Der står forkerte oplysninger om dig | Berigtigelse, artikel 16 | En uenighed om en faglig vurdering er ikke altid en faktuel fejl |
| Oplysninger bør ikke længere opbevares | Sletning, artikel 17 | Retten har betingelser og undtagelser |
| Du vil flytte bestemte oplysninger til en anden tjeneste | Dataportabilitet, artikel 20 | Gælder bestemte egne oplysninger og behandlingsgrundlag |
| Du vil modsætte dig en bestemt behandling | Indsigelse, artikel 21 | Afhænger blandt andet af behandlingsgrundlaget; direkte markedsføring har en særlig regel |
Du kan også have ret til begrænsning af behandlingen. Den konkrete vurdering afhænger af situationen; ingen af rettighederne betyder, at en hel lydfil med mange deltagere ubetinget skal udleveres til dig i alle sammenhænge.
Sletning er ikke det samme som at lukke kontoen
En sletteknap kan fjerne dit indhold, mens virksomheden fortsat har oplysninger, den skal gemme af andre grunde. Omvendt er det ikke nok at lukke adgangen til kontoen, hvis en berettiget anmodning om sletning også kræver, at oplysninger fjernes.
Bed om at få oplyst, hvad der slettes, hvad der eventuelt bevares og hvorfor. Datatilsynet har understreget, at en henvisning til retlige forpligtelser skal være konkret nok til, at du kan forstå begrundelsen. På et universitet kan blandt andet administrative og arkivmæssige forpligtelser betyde, at du ikke kan få alle studieoplysninger slettet på anmodning.
Eksport er ikke altid dataportabilitet
Dataportabilitet handler om egne personoplysninger, du har givet, når de behandles automatisk på grundlag af samtykke eller kontrakt. Udledte analyser kan falde udenfor. Det fremgår af Datatilsynets vejledning, afsnit 8.
En forelæsningsfil er derfor ikke automatisk omfattet i sin helhed, blot fordi du uploader den. AI-noter kan også falde uden for portabilitetsretten. En eksportknap til Word eller PDF kan stadig være nyttig og give mere end det, retten kræver. Prøv eksporten med et lille dokument, før du lægger et helt semesters materiale ind.
Sådan beder du om indsigt
Find den dataansvarlige i privatlivspolitikken. Ved en privat forbrugerkonto vil det typisk være virksomheden bag tjenesten. Ved en institutionskonto kan ansvarsfordelingen være anderledes; universitetets vejledning bør forklare, hvem du skal kontakte.
En konkret anmodning kan lyde:
Jeg anmoder om indsigt i de personoplysninger, I behandler om mig. Min konto bruger [mailadresse]. Jeg vil gerne have en kopi af oplysningerne samt information om formål, modtagere, opbevaring og eventuelle overførsler uden for EU/EØS. Hvis I behøver yderligere oplysninger for at identificere kontoen, bedes I oplyse hvilke.
Du behøver ikke bruge præcis den formulering. Beskriv gerne en relevant periode eller den behandling, du vil forstå. Send ikke unødvendige identifikationsdokumenter med fra begyndelsen; brug virksomhedens sikre kanal, hvis yderligere identifikation bliver nødvendig.
Hovedfristen er svar uden unødig forsinkelse og senest en måned efter modtagelsen. En nødvendig forlængelse på op til to måneder skal meddeles og begrundes inden for den første måned. Som udgangspunkt er anmodningen gratis; åbenbart grundløse eller overdrevne anmodninger og yderligere kopier kan være undtagelser. Se vejledningens afsnit 2 og 4.
Gem anmodningen og svaret. Hvis du ikke får svar, så følg op skriftligt. Du kan klage til Datatilsynet, hvis du mener, rettighederne ikke er respekteret.
Gælder GDPR for din egen optagelse?
Datatilsynet beskriver en undtagelse for rent personlige eller familiemæssige aktiviteter. Det er en konkret vurdering af aktiviteten og sammenhængen, ikke en enkel regel om, at eget drev altid er tilladt, og deling altid er forbudt.
Undtagelsen ophæver heller ikke universitetets optagelsesregler, ophavsret eller fortrolighed. Og en leverandørs behandling af filen er et særskilt spørgsmål. Læs reglerne om at optage forelæsninger, og få både optagelse og planlagt brug afklaret.
Til interviews i et bachelorprojekt eller speciale skal du følge projektets regler om dataansvar, information til deltagere og godkendte værktøjer. Den særskilte interviewguide gennemgår den arbejdsgang.
Lagring i EU er kun ét spørgsmål
En tjeneste kan opbevare noter i EU og samtidig behandle lyd hos en leverandør i USA. Supportadgang eller andre underleverandører kan også have betydning. Produktets hjemland fortæller ikke i sig selv, hvor behandlingen sker.
Datatilsynets side om overførsler til USA beskriver EU-U.S. Data Privacy Framework som et muligt overførselsgrundlag for relevante certificerede modtagere. Kontrollér den konkrete organisation og certificeringens omfang.
Standardkontraktbestemmelser er en anden mulig vej. De er ikke en automatisk godkendelse: Datatilsynet kræver en vurdering af beskyttelsen i praksis ved brug af sådanne artikel 46-værktøjer. Der kan være behov for supplerende foranstaltninger. Et gyldigt overførselsgrundlag erstatter heller ikke de øvrige krav til lovlig behandling.
Spørg derfor både, hvor filen lagres, hvor den behandles, hvem der får adgang, og hvilket grundlag der bruges. EU-lagring alene er ikke svar på alle fire spørgsmål.
Før du uploader undervisningsmateriale
Lav en lille afprøvning med materiale, du må bruge. Kontrollér derefter:
- Tilladelse og institutionens regler: om materialet må behandles i en ekstern tjeneste, og om der er særlige krav til persondata.
- Formål og adgang: om tjenesten kun udfører den ønskede opgave, og hvem der kan se filen eller resultatet.
- Leverandører og behandlingslande: om politikken forklarer både lagring og AI-behandling.
- Opbevaring: hvornår rå lyd, tekst, kontodata og eventuelle kopier slettes.
- Eksport og sletning: om du faktisk kan hente og fjerne materialet på den måde, du har brug for.
- Modeltræning: hvad der gælder for både tjenesten og dens leverandører, inklusive eventuelle indstillinger.
Gem en kopi af vilkårene eller notér datoen, når oplysningerne er afgørende for dit valg. Brug institutionens godkendte løsning til fortroligt materiale, hvis dens regler kræver det; en privat gratis konto er ikke nødvendigvis dækket af universitetets aftaler.
Hvor Notibo passer ind
Notibo lagrer indhold i EU hos Supabase i Frankfurt, mens transskription og AI-noter behandles hos amerikanske databehandlere. Privatlivspolitikken beskriver leverandører og overførselsgrundlag. Lyden slettes efter vellykket behandling; ved fejl kan den opbevares midlertidigt til et nyt forsøg.
Noter og transskription kan eksporteres til Word eller PDF. Det er en produktfunktion, ikke et løfte om, at eksporten i sig selv opfylder enhver GDPR-anmodning. Brug kontaktoplysningerne i privatlivspolitikken, hvis du vil gøre en rettighed gældende.
Er behandlingen tilladt til dit materiale, kan du prøve Notibo på et kort eksempel og vurdere både tekstkvalitet og eksport, før du flytter mere indhold.