15 mars 20267 min de lecture

Pourquoi vos transcriptions devraient rester dans l’UE

Les enregistrements audio de réunions, d’entretiens ou de dictées contiennent presque toujours des données personnelles – voix, noms, opinions, parfois données de santé ou secrets d’affaires. Pourtant, la plupart des services de transcription traitent ces données sur des serveurs situés aux États-Unis.

Pour les entreprises, cabinets, cabinets médicaux et administrations européens, ce n’est pas seulement un risque théorique – c’est un véritable problème en matière de protection des données. Cet article explique pourquoi le lieu de traitement des données est déterminant et ce à quoi vous devez prêter attention.

Le problème des serveurs américains

Les données européennes hébergées sur des serveurs américains relèvent du CLOUD Act américain. Les autorités américaines peuvent en exiger la communication – même sans décision de justice européenne. Cela entre en contradiction directe avec le RGPD et a été confirmé par l’arrêt Schrems II de la CJUE.

Le CLOUD Act américain (Clarifying Lawful Overseas Use of Data Act, 2018) autorise les autorités américaines à exiger des entreprises américaines la communication de données – quel que soit le pays où se trouvent les serveurs. Un service de transcription dont le siège est aux États-Unis est soumis à cette loi, même s’il exploite des centres de données en Europe.

L’arrêt Schrems II de la Cour de justice de l’Union européenne (affaire C-311/18, juillet 2020) a confirmé que les États-Unis n’offrent pas un niveau de protection des données adéquat au sens du RGPD. Le Privacy Shield a été invalidé. L’EU-US Data Privacy Framework (DPF) de 2023 est censé résoudre le problème, mais fait déjà l’objet de contestations juridiques.

Pour les entreprises, cela signifie : quiconque confie à un service américain des enregistrements audio contenant des données personnelles assume le risque que la base juridique du transfert de données disparaisse à nouveau.

Ce que « données dans l’UE » signifie concrètement

Tout service qui se targue de « centres de données dans l’UE » n’offre pas pour autant une véritable souveraineté des données. Trois points sont déterminants :

Siège de l’entreprise : une entreprise américaine disposant de serveurs dans l’UE reste soumise au CLOUD Act. Seule une entreprise ayant son siège dans l’UE est entièrement soumise au droit européen.
Exploitant de l’infrastructure : qui exploite physiquement les serveurs ? Un hébergeur européen comme Hetzner est exclusivement soumis au droit européen. AWS, Google Cloud ou Azure – même avec des régions UE – sont des entreprises américaines.
Certifications : ISO 27001 est la norme internationale pour les systèmes de management de la sécurité de l’information. Elle atteste que l’exploitant du centre de données a mis en place des mesures de protection systématiques en matière de confidentialité, d’intégrité et de disponibilité.

Pourquoi Hetzner comme centre de données

scryp traite et stocke toutes les données exclusivement chez Hetzner, en Allemagne. C’est un choix d’architecture délibéré :

Certifié ISO/IEC 27001 – le système de management de la sécurité de l’information est régulièrement contrôlé par des auditeurs indépendants.
Entreprise 100 % allemande – pas de maison mère américaine, pas d’accès au titre du CLOUD Act. Hetzner est exclusivement soumis au droit allemand et européen.
Centres de données géoredondants en Allemagne – vos données ne quittent jamais l’UE.
Matériel propre – Hetzner exploite ses propres serveurs et sa propre infrastructure réseau. Aucune dépendance vis-à-vis des hyperscalers américains.

Entreprise autrichienne, valeurs européennes

scryp est une entreprise autrichienne. L’ensemble de notre équipe, notre direction et notre structure juridique se trouvent dans l’UE. Cela signifie :

Nous sommes exclusivement soumis au droit européen – RGPD, DSG (Autriche), pas de CLOUD Act.
Aucune maison mère américaine ne peut être contrainte de communiquer des données.
Notre politique de confidentialité suit le droit autrichien et européen – et non les lois sur la protection des données de Californie ou du Delaware.

Le chiffrement comme protection supplémentaire

L’emplacement du serveur ne suffit pas à lui seul. Même sur des serveurs européens, des données peuvent être compromises – par des cyberattaques, des accès internes ou des erreurs techniques. C’est pourquoi scryp associe l’emplacement dans l’UE au chiffrement côté client:

L’audio est chiffré dans le navigateur avant d’atteindre le serveur.
Les transcriptions sont enregistrées sous forme chiffrée– le serveur ne voit jamais le texte en clair.
Même en cas de fuite de données, celles-ci seraient sans valeur sans la clé personnelle de l’utilisateur.

C’est la différence décisive avec les services qui vantent certes un « AES-256 at rest », mais traitent le texte en clair sur le serveur et peuvent potentiellement l’y consulter.

Liste de contrôle : souveraineté des données dans les services de transcription

Où l’entreprise a-t-elle son siège ? (UE ou États-Unis)
Qui exploite les serveurs ? (hébergeur européen ou hyperscaler américain)
Le centre de données est-il certifié ISO 27001 ?
Le prestataire est-il soumis au CLOUD Act américain ?
Les données sont-elles chiffrées côté client ou seulement côté serveur ?
Les enregistrements originaux sont-ils supprimés après le traitement ?
Existe-t-il un contrat de sous-traitance (DPA) conformément à l’art. 28 du RGPD ?

Conclusion

Le lieu de traitement des données n’est pas un détail marketing – il détermine le système juridique auquel vos données sont soumises. Pour les entreprises européennes, la combinaison d’un siège du prestataire dans l’UE, d’un centre de données européen certifié ISO 27001 et d’un chiffrement côté client est la voie la plus sûre pour traiter des données audio de manière conforme à la protection des données. Quiconque n’offre pas cette protection reporte le risque sur vous.