RGPD et transcription : ce que les entreprises doivent savoir

Quiconque enregistre des réunions, transcrit des entretiens ou traite des dictées traite des données personnelles. Voix, noms, opinions, parfois données de santé ou secrets d’affaires – tout cela relève du règlement général sur la protection des données (RGPD). Pourtant, de nombreuses entreprises recourent à des services de transcription sans connaître les exigences légales.

Cet article explique quelles obligations s’appliquent, où se situent les erreurs les plus fréquentes et comment utiliser la transcription de manière conforme à la protection des données.

Pourquoi les enregistrements audio sont particulièrement sensibles

Les enregistrements audio contiennent des caractéristiques biométriques (la voix), souvent des noms et régulièrement des informations sensibles sur le fond. En Allemagne, la parole non publique est en outre protégée par le § 201 du code pénal, en Autriche par le § 120. Un enregistrement à l’insu des personnes concernées peut donc être passible de sanctions pénales.

Le RGPD qualifie le traitement de données audio de traitement de données personnelles au sens de l’art. 4, point 2. Cela signifie : tout enregistrement, toute conservation et toute transcription nécessite une base juridique.

Bases juridiques de la transcription

La base juridique la plus sûre pour les transcriptions est le consentement explicite de toutes les personnes concernées au sens de l’art. 6, par. 1, point a, du RGPD. Les alternatives comme l’intérêt légitime ou l’exécution d’un contrat sont difficiles à faire valoir en pratique, car les tribunaux considèrent les comptes rendus manuels comme un moyen moins intrusif.

L’art. 6, par. 1, du RGPD énonce plusieurs bases juridiques possibles. Trois sont pertinentes pour les transcriptions :

• Le consentement (art. 6, par. 1, point a) – la base la plus sûre. Toutes les personnes concernées doivent être informées avant l’enregistrement et donner activement leur accord. Le consentement doit être libre, éclairé et révocable.
• L’intérêt légitime (art. 6, par. 1, point f) – théoriquement possible, difficile en pratique. Les tribunaux et les autorités de protection des données font valoir que les comptes rendus manuels constituent un moyen moins intrusif.
• L’exécution d’un contrat (art. 6, par. 1, point b) – recevable seulement dans des cas exceptionnels, par exemple lorsque la transcription fait expressément partie du contrat.

Recommandation pratique : recueillez toujours un consentement explicite. Pour les réunions, cela devrait se faire par écrit dans l’invitation et oralement au début.

Catégories particulières : données de santé et autres

Si des enregistrements contiennent des données de santé (dictées médicales), l’appartenance syndicale ou des convictions religieuses, l’art. 9 du RGPD s’applique. Ces catégories particulières exigent un consentement explicite – un accord tacite ne suffit pas.

Obligations de transparence : ce que vous devez communiquer

Les art. 13 et 14 du RGPD obligent les entreprises à informer pleinement les personnes concernées avant l’enregistrement :

• Le fait que l’enregistrement et la transcription ont lieu et à quelle finalité
• Combien de temps les enregistrements et les transcriptions sont conservés
• Qui a accès aux données (en interne et en externe)
• Si un prestataire tiers (service de transcription) est utilisé
• Quels droits ont les personnes concernées (accès, effacement, opposition)

Le problème des services de transcription dans le cloud

De nombreux outils de transcription traitent l’audio sur des serveurs situés hors de l’UE. C’est problématique en matière de protection des données :

• Transfert vers un pays tiers : sans niveau de protection adéquat (décision d’adéquation, clauses contractuelles types), le transfert est illicite.
• Sous-traitance : le service de transcription est sous-traitant au sens de l’art. 28 du RGPD – un contrat de sous-traitance est obligatoire.
• Accès par le prestataire : en cas de traitement côté serveur, le prestataire a accès au texte en clair – un risque que de nombreuses entreprises sous-estiment.

La solution la plus sûre : le chiffrement côté client

Le chiffrement côté client est la mesure de protection technique la plus forte au sens de l’art. 32 du RGPD. Les fichiers audio sont chiffrés dans le navigateur avant d’atteindre le serveur. Même en cas de fuite de données chez le prestataire, les données sont sans valeur sans la clé de l’utilisateur.

Avec le chiffrement côté client les fichiers audio sont chiffrés dès le navigateur, avant d’atteindre le serveur. La transcription est elle aussi enregistrée sous forme chiffrée – même le prestataire ne peut pas lire les contenus stockés.

Pour le RGPD, cela signifie : même en cas de fuite de données chez le prestataire, les données sont sans valeur, car elles ne peuvent pas être déchiffrées sans la clé de l’utilisateur. C’est la mesure technique la plus forte au sens de l’art. 32 du RGPD.

Liste de contrôle pour une transcription conforme au RGPD

• Recueillir le consentement de toutes les personnes concernées avant l’enregistrement
• Documenter la finalité et la durée de conservation
• Conclure un contrat de sous-traitance avec le prestataire
• Vérifier où les données sont traitées et stockées (UE ou pays tiers)
• Garantir le chiffrement – idéalement côté client
• Définir un concept d’effacement : quand les enregistrements et les transcriptions sont-ils supprimés ?
• Garantir les droits des personnes concernées (accès, effacement, opposition)
• Tenir un registre des activités de traitement conformément à l’art. 30 du RGPD

Conclusion

Une transcription sans protection des données est un risque juridique. Le RGPD pose des exigences claires en matière de consentement, de transparence et de mesures techniques de protection. Les entreprises qui traitent des enregistrements audio devraient examiner attentivement leur service de transcription – en particulier le point de savoir si le prestataire a accès au texte en clair et où les données sont stockées.

Remarque : cet article fournit des informations générales et ne remplace pas un conseil juridique au cas par cas.