Transcription et protection des données : ce qu'il faut régler avant l'envoi

Un fichier audio contenant des voix est rarement anodin. Dès qu'on identifie qui parle, vous traitez des données personnelles, et souvent bien davantage : un entretien de recherche contient des récits de vie, une réunion d'équipe des questions de personnel, une consultation médicale des données de santé. La transcription n'y change rien, elle rend simplement le contenu consultable. Cet article met de l'ordre dans ce qu'il faut régler avant l'envoi. Il ne remplace pas un conseil juridique ; en cas de doute, votre délégué à la protection des données ou un avocat tranche.

D'abord : l'enregistrement était-il permis ?

Choisir un service de transcription arrive trop tard si l'enregistrement lui-même était illicite. Dans de nombreux pays, enregistrer une conversation non publique sans autorisation est interdit ; en Allemagne, l'article 201 du code pénal le sanctionne. Cela vaut pour les appels et réunions captés en secret comme pour un dictaphone laissé en marche sans le dire. Une conférence devant un large public n'est pas la même chose qu'un entretien en tête-à-tête, et demander « puis-je enregistrer ? » au début reste la protection la moins coûteuse qui soit.

• Annoncer avant de lancer l'enregistrement et capter l'accord dans l'enregistrement lui-même
• En groupe, demander à toutes les personnes présentes, pas seulement à l'organisateur
• Pour les cours, vérifier le règlement de l'établissement ; beaucoup n'autorisent qu'un usage personnel
• Au téléphone, l'autre partie a les mêmes droits qu'une personne dans la pièce
• Une autorisation manquante ne se rattrape pas après coup

Quelle base légale porte le traitement ?

L'article 6 du RGPD exige une base légale pour tout traitement de données personnelles. Trois d'entre elles comptent au quotidien : le consentement, l'exécution d'un contrat et l'intérêt légitime. Laquelle s'applique dépend du contexte : un entretien de recherche ne repose pas sur la même base que le compte rendu d'une réunion interne.

Catégories particulières : là où le confort s'arrête

L'article 9 du RGPD protège spécifiquement certaines catégories : santé, origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, vie sexuelle, données biométriques. Ces contenus apparaissent dans les transcriptions plus souvent qu'on ne le pense au moment de l'envoi : dans une incise d'entretien, dans un arrêt maladie évoqué en réunion. Leur traitement est en principe interdit, avec des exceptions étroites. Si vous travaillez avec, il vous faut une exception solide, une analyse de risques et, en règle générale, un prestataire offrant des garanties contractuelles, pas le premier outil gratuit venu.

Si vous transcrivez à titre professionnel : la sous-traitance

Dès que vous transcrivez au nom d'une organisation — université, rédaction, cabinet, entreprise —, le service de transcription traite des données pour votre compte. L'article 28 du RGPD impose un contrat de sous-traitance couvrant finalité, durée, instructions, sous-traitants ultérieurs, mesures de sécurité et effacement. Sans ce contrat, le traitement n'est formellement pas admissible, quelle que soit la rigueur technique du prestataire. Cela ne concerne pas les notes privées ; cela concerne tout usage professionnel.

Comment reconnaître un service propre

Les prestataires diffèrent moins par la précision que par ce qu'ils font de votre audio ensuite. Un service sérieux répond publiquement à ces six questions, sans qu'on ait à les poser :

• Combien de temps l'audio et la transcription sont-ils conservés, et que signifie « supprimé » concrètement ?
• Qui sont les sous-traitants et dans quels pays se trouvent leurs serveurs ?
• Mes enregistrements servent-ils à entraîner des modèles ? (La réponse devrait être un non clair.)
• Existe-t-il un contrat de sous-traitance, et l'obtient-on sans passer par un commercial ?
• Quelles données sont collectées au passage : compte, adresse IP, cookies de mesure ?
• Que se passe-t-il en cas de violation de données, et à quelle vitesse suis-je informé ?

Chez Sprechverlauf, la reconnaissance passe par l'API Replicate aux États-Unis. Selon sa politique de conservation, les entrées, sorties, fichiers et journaux des prédictions sont supprimés automatiquement après environ une heure ; sur notre propre serveur, l'audio, le texte, les noms de fichiers et les prompts ne sont pas conservés durablement. Il n'y a pas de compte, donc pas de nom ni d'adresse. C'est suffisant pour de nombreux usages ; pour des données de santé ou couvertes par le secret professionnel, cela ne l'est expressément pas.

La minimisation est la mesure la plus efficace

Le traitement le plus sûr est celui qui n'a pas lieu. Avant d'envoyer un enregistrement de deux heures, il vaut la peine de se demander si tout le fichier est nécessaire ou seulement les vingt minutes utiles. Les noms peuvent être remplacés par des initiales dès que la transcription circule, et les fichiers audio n'ont guère leur place durablement dans un dossier partagé avec toute l'équipe.

• Ne transcrire que l'extrait nécessaire plutôt que l'enregistrement entier
• Pseudonymiser les transcriptions avant de les partager ou de les citer
• Supprimer réellement l'audio une fois le travail terminé, corbeille comprise
• Fixer la durée de conservation à l'avance plutôt que de la chercher ensuite
• Limiter l'accès aux personnes qui ont vraiment besoin du texte

Les droits des personnes enregistrées

Les personnes enregistrées conservent leurs droits sur la transcription : accès, rectification, effacement, limitation, opposition. En pratique, cela suppose de savoir où se trouve un enregistrement donné et comment le retrouver si quelqu'un appelle six mois plus tard. Une simple liste indiquant date, finalité, participants et lieu de stockage remplit mieux cet office que n'importe quelle recherche ultérieure dans les fichiers — et fait de toute façon partie des bonnes pratiques en recherche.