Transcription RGPD : où vont vos enregistrements de réunion ?

Ce que contient réellement un enregistrement de réunion

Un fichier audio de réunion est une donnée personnelle à plusieurs titres : la voix des participants, leurs noms prononcés, et souvent des informations sur des tiers absents. S'y ajoutent la transcription, le résumé généré et les métadonnées, comme la date, la durée ou la liste des participants.

Chacun de ces éléments peut être stocké à des endroits différents et pour des durées différentes. C'est pourquoi il faut raisonner sur l'ensemble du parcours des données, pas seulement sur le fichier d'origine.

Transcription RGPD : les cinq questions à poser à un fournisseur

Les réponses à ces questions figurent en général dans la politique de confidentialité, les conditions d'utilisation ou l'accord de traitement des données du fournisseur. Si elles sont absentes ou floues, demandez-les par écrit.

• Où les données sont-elles hébergées, et des sous-traitants situés hors d'Europe interviennent-ils ?
• Les enregistrements ou transcriptions servent-ils à entraîner des modèles ?
• Quelle est la durée de conservation, et peut-on supprimer ses données à la demande ?
• Qui, chez le fournisseur, peut accéder aux contenus, et dans quelles conditions ?
• Comment sont protégés les accès aux outils connectés, comme le CRM ou l'espace documentaire ?

Informer les participants et recueillir leur consentement

Quel que soit l'outil, les personnes enregistrées doivent être informées. Selon le contexte, un consentement explicite peut être requis. En Europe, le RGPD encadre ces traitements ; au Maroc, la loi 09-08 relative à la protection des données personnelles s'applique, sous le contrôle de la CNDP. Les obligations précises varient selon votre situation : faites valider votre démarche par un conseiller juridique.

Sur le plan pratique, une démarche simple et répétable limite les oublis.

1. Mentionnez l'enregistrement dans l'invitation à la réunion.
2. Rappelez-le oralement en début de séance et laissez la possibilité de refuser.
3. Utilisez un indicateur visible d'enregistrement lorsque l'outil en propose un.
4. Conservez une trace de l'information donnée, par exemple un message dans le chat de la réunion.
5. Limitez la diffusion du compte rendu aux personnes qui en ont besoin.

Où vont les données avec TheNotesOfSally

Pour illustrer ces questions avec un cas concret, voici les réponses de TheNotesOfSally. La transcription est réalisée avec des modèles Whisper exécutés sur les serveurs de l'entreprise, et les données sont hébergées en Europe. Les contenus des clients ne sont pas utilisés pour entraîner des modèles. Les jetons d'accès aux connecteurs, comme Notion ou un CRM, sont chiffrés et stockés côté serveur, et révocables depuis chaque fournisseur.

L'extension de navigateur pour Google Meet, Microsoft Teams et Zoom sur le web affiche un indicateur REC et peut publier un message d'information et de consentement dans le chat de Meet ou de Teams. Les utilisateurs peuvent demander l'accès, la rectification ou la suppression de leurs données par e-mail à salistarcompany@gmail.com.

Réduire les risques au quotidien

La conformité ne dépend pas uniquement du fournisseur. Les pratiques internes comptent autant : ne pas envoyer la transcription complète dans des espaces partagés à toute l'entreprise, supprimer les enregistrements devenus inutiles, séparer les réunions sensibles, comme les entretiens RH ou les réunions juridiques, des réunions courantes.

Documentez enfin ces choix dans votre registre des traitements ou votre politique interne. En cas de question d'un participant, vous pourrez expliquer clairement où vont ses données et comment les faire supprimer.