שמירת נתונים בשיחות וידאו: מדריך לצוותים משפטיים ותאימות
הקלטות של שיחות וידאו, תמלולים, יומני צ'אט ומטא-דאטה מהווים בו זמנית ראיות, נכסי הדרכה, קניין רוחני ונתונים אישיים. צוותי משפט וצוותי ציות זקוקים לגישה מובנית לגבי משך הזמן שבו נתונים אלה נשמרים, מי יכול לגשת אליהם, מתי יש למחוק אותם וכיצד להתמודד עם דרישות סותרות בין תחומי שיפוט ותקנות. מדריך זה מספק את המסגרת, הטבלאות ורשימות התיוג הדרושים לכם כדי לבנות תוכנית שמירה ראויה להגנה.
למה שמירת נתונים חשובה עבור שיחות וידאו
ארגונים מתמודדים עם לחץ מכיוונים רבים בכל הנוגע לעמידה בנתונים:
- מנדטים רגולטוריים דורשים שמירה לתקופות מוגדרות (כלל 17a-4 של ה-SEC, סעיף 16 ב-MiFID II, HIPAA).
- תקנות הפרטיות מחייבות מחיקה כאשר הנתונים אינם נחוצים עוד (עקרון הגבלת האחסון של סעיף 5(1)(e) ב-GDPR).
- החזקות משפטיות דורשות שמירה שתעקוף לוחות זמנים רגילים למחיקה.
- צרכים תפעוליים מניעים בקשות לשמירת נתונים לצורך הדרכה, אבטחת איכות וניהול ידע.
סעיף 5(1)(ה) בתקנת ה-GDPR - הגבלת אחסון: "נתונים אישיים יישמרו בצורה המאפשרת זיהוי של נושאי הנתונים למשך זמן לא ארוך מהנדרש למטרות שלשמן מעובדים הנתונים האישיים." זה יוצר חובה חוקית להגדיר ולאכוף מגבלות אחסון.
הגדירו מה אתם שומרים
לא כל נתוני הפגישות שווים. יש לבצע רכישה של כל סוג נתונים ולמפות אותו לכללי שמירה רלוונטיים:
תבנית לוח זמנים לשמירה לפי סוג נתונים
| סוג נתונים | תֵאוּר | טריגר רגולטורי נפוץ | שמירת ברירת מחדל מומלצת | הערות |
|---|---|---|---|---|
| מטא-דאטה של פגישה | רשימת משתתפים, זמני הצטרפות/עזיבה, משך, כותרת פגישה | דרישות ביקורת GDPR, HIPAA ו-SOC 2 | 1–3 שנים | עלות אחסון נמוכה; שימושי לאימות תאימות |
| הודעות צ'אט | צ'אט טקסט במהלך פגישה | GDPR, סעיף 17a-4, FINRA 4511 | 3–7 שנים (מוסדר) / שנה אחת (כללי) | עשוי להכיל מידע אישי מזהה או מידע קריטי לעסקים |
| הקלטות וידאו | צילום אודיו/וידאו מלא של הפגישה | סעיף 17א-4, סעיף 16 לחוק MiFID II, HIPAA, חוקי רישום מדינתיים | 3–7 שנים (מוסדר) / 90 יום (כללי) | עלות האחסון הגבוהה ביותר; ההשפעה הגדולה ביותר על הפרטיות |
| הקלטות שמע בלבד | לכידת קול ללא וידאו | אותו דבר כמו הקלטות וידאו | 3–7 שנים (מוסדר) / 90 יום (כללי) | עלות אחסון נמוכה יותר; אותו יחס משפטי כמו וידאו |
| תמלולים | תמלול טקסט של תוכן מדובר | GDPR (מידע אישי), SEC/FINRA, HIPAA | זהה להקלטה המתאימה | מטופל כמידע אישי; ניתן לחיפוש - סיכון גבוה יותר לגילוי |
| סיכומי בינה מלאכותית | סיכומי פגישות שנוצרו על ידי בינה מלאכותית | GDPR (עיבוד אוטומטי), HIPAA (ePHI) | זהה להקלטה המקבילה או קצרה יותר | עשוי להכיל מידע משוער; מסמך בסיס חוקי |
| קבצים משותפים / צילומי מסך | מסמכים ששותפו במהלך הפגישה | GDPR, מדיניות קניין רוחני | בהתאם למדיניות ניהול מסמכים | עשוי לשכפל מסמכים שנשמרו במקום אחר |
| יומני ביקורת | יומני אירועים שנוצרו על ידי המערכת | SOC 2, ISO 27001, HIPAA, סעיף 5(2) לתקנת ה-GDPR | 3–7 שנים | חיוני להוכחת תאימות; תוכן נמוך של מידע מזהה אישי |
דרישות שימור ספציפיות למגזר
| מִגזָר | תקנה ראשונית | תקופת שמירה מינימלית | דרישת מפתח |
|---|---|---|---|
| שירותים פיננסיים (ארה"ב) | כלל 17a-4 של ה-SEC; כלל 4511 של FINRA | 3–6 שנים | יש לשמור תקשורת עסקית בפורמט שאינו ניתן לכתיבה חוזרת ובלתי ניתן למחיקה במשך השנתיים הראשונות. |
| שירותים פיננסיים (האיחוד האירופי) | סעיף 16(7) לתקנות MiFID II | 5–7 שנים | יש לתעד ולשמור תקשורת הקשורה להזמנה; יש לספק אותה לרגולטורים לפי דרישה |
| שירותים פיננסיים (בריטניה) | FCA COBS 11.8 | 5 שנים | יש לשמור ולאפשר אחזור של תקשורת הקשורה להזמנות של לקוחות. |
| שירותי בריאות (ארה"ב) | HIPAA (45 CFR § 164.530(j)) | 6 שנים | יש לשמור מדיניות ותיעוד הקשורים לתאימות ל-HIPAA למשך 6 שנים; חוקי רשומות רפואיות של המדינה עשויים לחייב תקופות ארוכות יותר |
| שירותי בריאות (האיחוד האירופי) | GDPR + חוקי בריאות לאומיים | משתנה בהתאם למדינה החברה | עקרון הגבלת האחסון חל; חוקים לאומיים עשויים לציין תקופות שמירת רשומות רפואיות |
| מִשׁפָּטִי | כללי לשכת עורכי הדין; חובות החזקה במשפט | משך החומר + תקופה לאחר הסגירה | יש להגן על חומרים פרטיים; התביעה המשפטית מבטלת את לוחות הזמנים של המחיקה |
| ממשלה (ארה"ב) | חוק הרישומים הפדרלי; לוחות זמנים של NARA | משתנה לפי סוג הרשומה | סוכנויות פדרליות חייבות לפעול לפי לוחות זמנים של שמירה שאושרו על ידי NARA |
| חינוך (ארה"ב) | FERPA (סעיף 1232g לחוק 20 USC) | כל עוד נשמרים רישומים | רישומי חינוך סטודנטים דורשים הגנה; שמירתם תואמת את המדיניות המוסדית |
| מסחר כללי (האיחוד האירופי) | סעיף 5(1)(ה) לתקנת ה-GDPR | לא יותר מהנדרש | יש להצדיק את תקופת השמירה; למחוק כאשר המטרה הושגה |
בניית מדיניות שימור
שלב 1: סוגי נתוני מלאי
קטלוג כל סוג נתונים שפלטפורמת הווידאו שלך מייצרת או מאחסנת. כלול מטא-דאטה, צ'אט, הקלטות (וידאו ואודיו), תמלולים, פלטי בינה מלאכותית, קבצים משותפים ויומני מערכת.
שלב 2: מיפוי לתקנות וחובות
עבור כל סוג נתונים, זהו את כל התקנות, ההתחייבויות החוזיות ודרישות השמירה במקרה של ליטיגציה רלוונטיות. כאשר חלים מספר תקנות, השתמשו בתקופת השמירה הארוכה ביותר הנדרשת כמינימום שלכם וודאו שהשמירה אינה מתנגשת עם המקסימום של חוקי הפרטיות.
שלב 3: הגדרת רמות שימור
צרו רמות שימור בהתאם לסוגי הפגישות שלכם. DigitalMeet תומך במדיניות שימור לפי סוג פגישה, המאפשרת לכם להחיל לוחות זמנים שונים על שיחות לקוחות (שימור ארוך), פגישות פנימיות (שימור קצר) והקלטות של מפגשי הדרכה (שימור בינוני).
שלב 4: יישום הליכי החזקה משפטית
עצירה משפטית חייבת לעקוף מחיקה אוטומטית כאשר צפויה התדיינות משפטית, חקירה רגולטורית או ביקורת או כאשר היא פעילה. יש להגדיר מי יכול ליזום ולשחרר עצירות, כיצד מתועברות עצירות וכיצד הן מקיימות אינטראקציה עם שמירה אוטומטית. תכונת העצירה המשפטית של DigitalMeet מונעת מחיקה אוטומטית של פגישות ספציפיות והנתונים הקשורים אליהן.
שלב 5: אוטומציה ובדיקה
מחיקה ידנית בקנה מידה גדול מועדת לטעויות. הגדר מדיניות שמירה אוטומטית בפלטפורמת הווידאו שלך ובדוק אותן בסביבת בימוי. ודא כי:
- הנתונים נמחקים לפי לוח הזמנים כאשר אין חסימה פעילה
- החזקות משפטיות מונעות מחיקה כצפוי
- יומני ביקורת לוכדים את כל אירועי המחיקה והיצוא
- בקשות למחיקת נושא המידע מעובדות במסגרת הזמן הנדרשת
בקשות מחיקה ובקשות של נושאי נתונים
על פי GDPR וחוקי פרטיות דומים, לנושאי נתונים יש את הזכות לבקש מחיקת הנתונים האישיים שלהם (סעיף 17). מדיניות שמירת הנתונים שלך חייבת לכלול:
- מחיקה אוטומטית כאשר תקופות השמירה פוקעות, אלא אם כן שמירה חוקית או דרישה רגולטורית גוברת עליה
- בקשות מחיקה אישיות שעובדו בתוך מסגרת הזמן הרגולטורית (חודש אחד תחת GDPR)
- מחיקה חלקית במידת האפשר מבחינה טכנית - לדוגמה, הסרת משתתף מהקלטה תוך שמירה על השאר
- תיעוד ביקורת של כל פעולות המחיקה לצורך אימות תאימות
DigitalMeet תומך בתהליכי עבודה של ייצוא ומחיקה עם עקבות ביקורת מלאות. לשיקולים חוצי גבולות, יש להחיל את הכלל המחמיר ביותר. לקבלת הנחיות ספציפיות ל-GDPR, ראה תאימות ל-GDPR עבור שיחות וידאו .
רשימת בדיקה תפעולית
- ☐ לוח זמנים כתוב לשמירה הקשור לקטגוריות פגישות וסוגי נתונים
- ☐ תקופות שמירה ממופות לכל התקנות והחוזים הרלוונטיים
- ☐ נהלי עצירה משפטיים מתועדים עם נתיבי הסלמה ברורים
- ☐ מדיניות שמירה אוטומטית שהוגדרו ונבדקו בתהליכי staging
- ☐ נהלי בקשת נושא נתונים מוגדרים עם יעדי SLA
- ☐ בעלים ייעודי לעדכוני מדיניות ולסקירה שנתית
- ☐ הדרכת צוות בנושא רישום הסכמה, מדדי שמירה ונהלי אחסנה
- ☐ תהליך סקירת יומן ביקורת נקבע עבור אירועי מחיקה וייצוא
- ☐ סכסוכי שמירה חוצי גבולות שתועדו בגישת פתרון
- ☐ סקירה שנתית של מדיניות שמירה מתוכננת עם בעלי עניין משפטיים, ציות ו-IT
שאלות נפוצות
כמה זמן כדאי לשמור על הקלטות פגישות?
אין תשובה אוניברסלית. תקופת השמירה שלך צריכה להיקבע על פי הדרישה הרגולטורית הארוכה ביותר הרלוונטית, ההתחייבות החוזית או החזקת המידע התביעתי - תוך איזון עם עקרון הגבלת האחסון של GDPR. השתמש בטבלה הספציפית למגזר לעיל כנקודת התחלה.
האם תמלולים מטופלים באותו אופן כמו הקלטות למטרות שמירת נתונים?
באופן כללי כן. תמלולים מכילים מידע אישי ולעתים קרובות כפופים לאותן תקנות כמו ההקלטות מהן הם נגזרים. הם גם נושאים סיכון גבוה יותר לגילוי מכיוון שניתן לחפש אותם בטקסט.
האם DigitalMeet יכול לאכוף שמירת נתונים באופן אוטומטי?
כן. יש להגדיר מדיניות שמירה לפי פגישה במסוף הניהול. מחיקה אוטומטית מתרחשת לפי לוח הזמנים אלא אם כן היא מבוטלת על ידי החזקה משפטית. יש לבדוק מדיניות בשלבי אחסון לפני פריסת הייצור.
כיצד אנו מתמודדים עם דרישות שמירה סותרות?
כאשר חובה רגולטורית דורשת שמירה (למשל, SEC 17a-4, 6 שנים) וחוק פרטיות דורש מחיקה (למשל, הגבלת אחסון GDPR), חובת הרגולציה בדרך כלל גוברת על תקופת השמירה המחייבת. תעדו את הסכסוך ואת הפתרון שלכם ברשומות הגנת המידע שלכם. לקבלת הנחיות מפורטות, ראו פגישות וידאו מאובטחות עבור שירותים פיננסיים .
מהי החזקה משפטית ומתי אנו משתמשים בה?
החזקה משפטית (נקראת גם החזקה משפטית) היא הנחיה לשמירה על נתונים רלוונטיים כאשר צפויים באופן סביר התדיינות משפטית, חקירה רגולטורית או ביקורת. היא גוברת על לוחות זמנים רגילים של שמירה ומחיקה. אי יישום של החזקה עלולה לגרום לסנקציות בגין גרימת ראיות.
כיצד אנו מטפלים בבקשות מחיקת נתונים של נושאי מידע במהלך החזקה משפטית?
בדרך כלל, החזקות משפטיות מקבלות עדיפות על פני בקשות מחיקה למשך תקופת ההחזקה. יש לתעד את הסכסוך, להודיע לנושא הנתונים שבקשתו מושעית זמנית עקב חובה חוקית, ולעבד את המחיקה כאשר ההחזקה משוחררת.
האם DigitalMeet תומך במדיניות שמירה שונות עבור סוגי פגישות שונים?
כן. שמירה לפי פגישה היא תכונה מרכזית. ניתן להגדיר לוחות זמנים שונים של שמירה עבור שיחות לקוחות, פגישות פנימיות, מפגשי הדרכה וקטגוריות פגישות אחרות.
כיצד עלינו לטפל בסיכומים שנוצרו על ידי בינה מלאכותית במדיניות השמירה שלנו?
סיכומי בינה מלאכותית נגזרים מהקלטות ועשויים להכיל נתונים אישיים או מידע משוער. יש להחיל את אותה תקופת שמירה או תקופת קצרה יותר כמו ההקלטה המקורית. יש לתעד את הבסיס החוקי לפעילות עיבוד הבינה המלאכותית. ראה שיחות וידאו תואמות HIPAA לקבלת שיקולים ספציפיים לבינה מלאכותית בתחום הבריאות.