Guia da AEPD de abril de 2026 para empresas que gravam reuniões: o que mudou e o que você precisa fazer

O que mudou

Em 20 de abril de 2026, a Agência Espanhola de Proteção de Dados (AEPD) publicou um guia específico sobre o cumprimento do RGPD (GDPR) em ferramentas de transcrição automática de voz com IA. É o segundo em quatro meses (o primeiro foi em janeiro de 2026), e a combinação dos dois traça uma linha clara para qualquer empresa ou profissional que use IA para transcrever reuniões, chamadas ou qualquer outro áudio com dados pessoais.

Se você grava reuniões com clientes, pacientes, consultores, candidatos ou funcionários, este guia afeta você. Não é opcional.

Por que agora

A adoção de ferramentas de transcrição e anotação com IA cresceu muito nos últimos 18 meses. A AEPD vê dois problemas paralelos:

1. Adoção acrítica. A maioria dos profissionais e empresas que usam essas ferramentas não fez a diligência prévia sobre onde os dados são processados, com o que são treinados os modelos ou como se gerenciam os direitos dos outros participantes da gravação.
2. Produto pensado nos EUA para o mercado dos EUA. Os principais atores foram desenhados para jurisdições de consentimento unilateral (a Califórnia é a exceção). O modelo do "bot que entra sozinho com opção de recusa por e-mail 1 hora antes" não cumpre os padrões europeus de consentimento específico e informado.

O guia não proíbe essas ferramentas. Esclarece o que a empresa ou o profissional que as usa deve fazer para evitar uma infração.

Os quatro requisitos, explicados

1. Consentimento específico por sessão

O que diz a AEPD: o consentimento deve ser específico para cada sessão de gravação. Um aviso genérico ao aderir ao serviço ("ao usar este produto você aceita que suas reuniões sejam gravadas") não constitui consentimento válido. Cada gravação é um ato de tratamento separado.

Na prática: - Não basta que você, como anfitrião, tenha aceitado os termos do serviço. É preciso confirmar que cada participante de cada reunião concorda que aquela reunião específica seja gravada. - O consentimento deve ser prévio à gravação, não posterior. Avisar "esta chamada está sendo gravada" aos 30 segundos é problemático. - O consentimento deve ficar registrado. Se alguém perguntar "prove que o cliente X consentiu com a gravação em 11 de março às 16h", você precisa poder mostrar a evidência.

Como cumprir: - Procedimento documentado antes de cada reunião. Frase específica, sem parafrasear: "esta reunião será gravada e transcrita com o AudioMap. Você concorda?". Registre a resposta. - Se você usa um bot que entra sozinho: verifique se o fluxo de recusa por e-mail funciona, se não depende apenas do e-mail (e se o participante não o abrir?) e se também é sinalizado no início da sessão. - Se você usa captura intencional (você sobe o áudio): peça consentimento explícito antes de começar. O AudioMap registra isso em um log de auditoria imutável (IP + User Agent + versão + data e hora) cada vez que você aceita o modal.

2. Direito de acesso também em gravações com vários falantes

O que diz a AEPD: o direito de acesso do art. 15 do RGPD (GDPR) também se aplica quando a gravação contém vários falantes. Não é possível negar o acesso a um titular alegando a proteção dos dados pessoais dos demais participantes.

Na prática: - Se um participante da reunião pedir acesso aos "seus dados" e a gravação incluir outras vozes, você não pode recusar com base na proteção da privacidade dos outros. - Você deve entregar pelo menos a parte da transcrição que lhe pertence, ou documentar por que isso não é tecnicamente possível. - Vale também para a portabilidade (art. 20), a retificação (art. 16), a exclusão (art. 17) e a oposição (art. 21).

Como cumprir: - A sua ferramenta de transcrição precisa oferecer uma diarização razoavelmente boa (separação por falante). Sem diarização, o cumprimento é quase impossível. - Procedimento interno claro: ao receber uma solicitação de acesso de um titular, entregue a parte dele dentro de um mês (art. 12.3 do RGPD). - Se você grava reuniões com terceiros que não são seus usuários (clientes, candidatos, pacientes), precisa de um canal para ELES pedirem acesso diretamente a você, sem passar pela ferramenta. O AudioMap está construindo esse endpoint público.

3. Diligência prévia com o fornecedor

O que diz a AEPD: o responsável pelo tratamento (a empresa ou o profissional que grava) deve documentar a diligência na escolha do provedor de transcrição. Isso inclui: a jurisdição real do processamento, os suboperadores, a política de retenção e a política de treinamento de modelos.

Na prática: - "Eles têm um DPA" não é uma resposta suficiente. Você deve saber explicar o que o DPA diz, que suboperadores usam e o que acontece com o seu áudio em cada etapa. - "Eles estão no Quadro de Privacidade de Dados UE-EUA" também não é suficiente. O quadro é válido hoje, mas a NOYB está litigando para invalidá-lo (é a terceira tentativa: as duas anteriores caíram). Basear a sua conformidade nele é construir sobre areia. - Você deve ter uma Avaliação de Impacto da Transferência (TIA) para cada suboperador com sede nos EUA. A AEPD já sancionou empresas que tinham SCC assinadas, mas nenhuma TIA documentada.

Como cumprir: - Peça ao fornecedor a lista pública de suboperadores. Se ele não a tem ou não quer fornecê-la, você já tem a sua resposta. - Peça a política de retenção por escrito. "30 dias" não é o mesmo que "indefinido para backup/exigências legais". - Peça a política de treinamento. "Não treinamos com o seu conteúdo" deve estar por contrato no DPA, não apenas no marketing. - Considere fornecedores europeus. O AudioMap processa 100% em território da UE (Hetzner DE + AssemblyAI UE + Vertex UE + R2 UE) e publica tudo: /legal/subprocessors, /legal/data-residency, /legal/aepd-compliance.

4. Transcrever ≠ funcionalidade técnica

O que diz a AEPD: a transcrição não é um utilitário técnico de baixo risco. É um tratamento de dados pessoais que exige governança contínua, transparência clara e salvaguardas proativas.

Na prática: - Você precisa de uma AIPD (Avaliação de Impacto sobre a Proteção de Dados, art. 35 do RGPD) se o tratamento for de alto risco. Gravar reuniões com clientes ou pacientes é: há vários falantes, dados potencialmente sensíveis e tratamento automatizado com IA. - Você precisa de um registro de atividades de tratamento (art. 30 do RGPD) que inclua a transcrição com IA como atividade documentada. - Você precisa de uma política de retenção escrita e aplicada (não "retemos o que o fornecedor quiser"). - Você precisa de um fluxo de notificação de violações (art. 33 do RGPD, 72 horas) que inclua o cenário "vazamento no fornecedor de transcrição".

Como cumprir: - AIPD: se você não sabe fazer uma, contrate um DPO externo. Eles começam em 80 euros por hora. Uma AIPD bem feita de transcrição com IA cabe em 4 a 6 páginas. - Registro de atividades: acrescente uma entrada concreta "Transcrição automática de reuniões com clientes" com base legal, finalidade, categorias de dados e prazos de retenção. - Política de retenção: documente quanto você retém e quanto o fornecedor retém. O AudioMap retém por 30 dias após o encerramento da conta e publica esse compromisso em /privacy.

O que NÃO muda

O guia da AEPD não proíbe a transcrição com IA. Não exige o uso de ferramentas europeias. Não anula os DPAs já assinados. O que faz é elevar o patamar do que conta como "uso conforme" na Espanha.

As empresas que já tinham um programa de conformidade maduro (consentimento registrado, AIPD, atendimento procedimentado de solicitações de titulares, gestão de fornecedores) estão bem posicionadas para continuar como estão. Quem presumiu que "ter um DPA" bastava tem trabalho a fazer.

Sanções possíveis

A AEPD pode sancionar o descumprimento com multas de até 4% do faturamento anual global ou 20 milhões de euros, o que for maior (art. 83 do RGPD). Na prática, as sanções a empresas médias espanholas por questões ligadas a transcrição ou gravação ficam entre 5.000 e 200.000 euros, conforme a gravidade e a cooperação com o inspetor.

Mais relevante do que a multa possível é o custo reputacional e a perturbação operacional de uma inspeção da AEPD. Se o seu negócio depende da confiança dos clientes (assessoria tributária, escritório de advocacia, clínica), uma inspeção aberta já é um problema antes de qualquer resolução.

Como o AudioMap cumpre

O AudioMap mapeia os quatro requisitos ponto a ponto. A página /legal/aepd-compliance detalha tudo com precisão técnica. Em resumo:

1. Consentimento específico: consentimento por nota + log de auditoria imutável + tipos segregados (arts. 7 e 9 do RGPD).
2. Acesso com vários falantes: painel do usuário + endpoint público para terceiros em construção + diarização por falante.
3. Diligência prévia com o fornecedor: processamento 100% na UE, suboperadores públicos, Whisper local como alternativa para eliminar a dependência da nuvem.
4. Governança contínua: AIPD em construção, retenção de 30 dias, fluxo de notificação de violações em 72 h, suboperadores com aviso prévio de mudanças.

Próximo passo

Se você dirige uma assessoria tributária, um escritório de advocacia, uma clínica ou uma consultoria na Espanha e ainda não revisou a conformidade da sua transcrição com IA frente a este guia, recomendo:

1. Auditoria rápida (2 horas): lista das ferramentas de IA que você usa, onde processam e que consentimento você obtém.
2. Vitórias rápidas (1 semana): registro de consentimento por reunião, política escrita na intranet, lista de DPAs assinados.
3. Trabalho de fundo (1 mês): AIPD, TIA, procedimento para solicitações de titulares.
4. Troca de fornecedor, se for o caso (nos próximos 3 meses): se a sua ferramenta atual processa nos EUA e você lida com dados sensíveis, avalie uma alternativa europeia.

Se o AudioMap se encaixa no seu caso, experimente grátis ou fale conosco. Assinamos DPAs conforme o art. 28 do RGPD no mesmo dia.

---

Fontes: - Guia da AEPD sobre transcrição automática de voz, 20 de abril de 2026. - Regulamento Geral sobre a Proteção de Dados (RGPD / GDPR), arts. 6, 7, 9, 12-22, 28, 30, 33-34, 35, 83. - Acórdão Schrems II, TJUE C-311/18, 16 de julho de 2020. - Resolução da AEPD PS-00121/2023.