RGPD et transcription d'enregistrements : les points à vérifier

Un enregistrement est presque toujours une donnée personnelle

Le Règlement général sur la protection des données (RGPD) s'applique aux informations qui permettent d'identifier une personne, directement ou indirectement. Une voix enregistrée en fait partie : on peut souvent reconnaître quelqu'un à sa voix, et les propos eux-mêmes contiennent des prénoms, des lieux, un employeur, une fonction. Une transcription n'efface pas ces éléments ; elle les rend même plus faciles à rechercher et à copier.

Certains enregistrements vont plus loin et touchent à des catégories particulières de données : santé, opinions politiques, convictions religieuses, appartenance syndicale, orientation sexuelle, origine ethnique. Un entretien sociologique sur le parcours professionnel, une réunion de CSE, un témoignage de patient ou un groupe de discussion sur le logement en contiennent fréquemment. Ces données bénéficient d'une protection renforcée, et c'est là que les vérifications méritent le plus d'attention.

Ce qui suit s'adresse à la personne qui organise l'enregistrement et la transcription : chercheur, responsable RH, journaliste, consultant, bénévole d'association. Dans une organisation, la référence est le délégué à la protection des données (DPO) : interrogez-le avant de lancer un projet sensible.

Avant d'enregistrer : finalité, base légale, information

Trois questions se posent avant même d'appuyer sur le bouton d'enregistrement.

La finalité, d'abord : pourquoi enregistrez-vous et pourquoi transcrivez-vous ? « Analyser les entretiens d'une thèse », « rédiger le compte rendu d'un comité de direction » ou « produire des sous-titres pour une formation » sont des finalités différentes, qui justifient des durées de conservation et des niveaux de détail différents.

La base légale, ensuite. Le RGPD en prévoit plusieurs : le consentement, l'exécution d'un contrat, une obligation légale, une mission d'intérêt public ou l'intérêt légitime de l'organisme. Une université publique s'appuie souvent sur sa mission d'intérêt public pour la recherche, tandis qu'une association recueillant des témoignages passera plutôt par le consentement. Le choix ne vous revient pas toujours : il dépend de votre structure, et votre DPO saura vous orienter.

L'information des personnes, enfin. Les participants doivent savoir qu'ils sont enregistrés, à quoi servira l'enregistrement, qui y aura accès, s'il sera transcrit par un service extérieur et combien de temps il sera conservé. Dans un formulaire de consentement de recherche, une phrase sur la transcription automatique et le prestataire utilisé évite bien des questions par la suite. Le guide sur la gestion des données de recherche issues d'enregistrements (en anglais) détaille ces documents.

Le service de transcription, un sous-traitant à examiner

Quand vous confiez un fichier audio à un service en ligne pour le transcrire, ce service agit généralement comme sous-traitant au sens du RGPD : il traite des données pour votre compte. Vous restez responsable du traitement et devez donc vous assurer que le prestataire présente des garanties suffisantes.

Concrètement, les points à vérifier dans les conditions du service et sa politique de confidentialité sont les suivants :

• ce qui est réellement envoyé : le fichier complet, la vidéo avec les visages, ou seulement l'audio ;
• la sécurité de la transmission (connexion chiffrée en HTTPS au minimum) ;
• la durée pendant laquelle les fichiers et les résultats restent sur les serveurs ;
• l'usage éventuel de vos données pour d'autres finalités que votre transcription ;
• la localisation du traitement et les éventuels transferts hors de l'Union européenne ;
• l'existence de clauses contractuelles adaptées entre vous et le prestataire, si votre organisation l'exige.

Si votre politique interne interdit tout traitement externe pour certains enregistrements, la seule option est de transcrire en local, par exemple avec Whisper installé sur un ordinateur de l'organisation. Cela demande des compétences techniques et une machine suffisante, mais aucune donnée ne quitte alors votre poste. L'article sur la confidentialité du traitement de la parole dans le cloud (en anglais) compare ces approches.

Minimiser ce que vous envoyez

Le principe de minimisation demande de ne traiter que les données nécessaires. Appliqué à la transcription, il se traduit par des gestes simples :

1. Coupez avant l'envoi les passages hors sujet : discussion informelle avant l'entretien, appel téléphonique pendant la réunion, présentation des participants si elle n'est pas utile.
2. N'envoyez que l'audio quand l'image n'apporte rien à la transcription.
3. Demandez aux participants d'éviter de citer des noms de tiers quand ce n'est pas nécessaire.
4. Ne transcrivez intégralement que si l'analyse l'exige ; une retranscription ciblée suffit souvent.

Ce dernier point rejoint une question méthodologique que notre article sur la retranscription intégrale ou ciblée traite en détail.

Conservation : enregistrement, transcription et copies

Une erreur fréquente consiste à fixer une durée de conservation pour l'enregistrement et à oublier tout le reste. Or un même entretien existe souvent en plusieurs exemplaires : le fichier sur l'enregistreur ou le téléphone, une copie sur l'ordinateur, une autre sur un service de stockage en ligne, la transcription brute, la transcription corrigée, des extraits dans un rapport.

Faites l'inventaire de ces copies et décidez pour chacune : supprimer l'enregistrement une fois la transcription vérifiée, conserver la transcription pseudonymisée pendant la durée du projet, archiver ou détruire à la fin. Notez ces décisions dans le registre des traitements de votre organisme si elle en tient un. Pour la recherche, les règles peuvent aussi venir de votre établissement, de votre financeur ou d'un comité d'éthique.

Pseudonymiser une transcription

Une fois le texte obtenu, la pseudonymisation réduit nettement les risques. Elle consiste à remplacer les éléments identifiants par des codes ou des descriptions neutres, en conservant la table de correspondance à part, en lieu sûr.

Gardez en tête qu'une donnée pseudonymisée reste une donnée personnelle tant que la correspondance existe ou que la personne reste reconnaissable par recoupement. L'anonymisation véritable, irréversible, est plus difficile à atteindre qu'on ne le pense pour des entretiens riches en détails biographiques. L'article sur l'éthique de la transcription par IA en recherche (en anglais) aborde ces nuances.

Ce que mydubly fait de vos fichiers

mydubly est une application web de transcription et de traduction qui a été conçue pour limiter ce qui quitte votre appareil. Voici les faits, à intégrer dans votre propre analyse :

Vidéo

le fichier vidéo reste dans votre navigateur ; il n'est pas envoyé

Ce qui est envoyé

uniquement la piste audio, extraite par le navigateur

Transmission

connexion HTTPS

Suppression

audio envoyé et résultats supprimés du serveur dans les 30 minutes suivant la fin du traitement

Onglet

fermer ou quitter l'onglet annule le traitement en cours

Pour une transcription confidentielle, la démarche est la suivante : depuis la page sur la traduction vidéo privée (en anglais), déposez votre fichier, laissez l'interrupteur « Full translation output » (ou « Audio and text output » pour un fichier audio) désactivé, puis cliquez sur « Transcribe video » ou « Transcribe audio ». Téléchargez ensuite le texte avec « Download transcript » ou « Download timestamped transcript ». À partir de là, les fichiers sont sur votre ordinateur, et leur sécurité dépend de vous.

Soyons clairs sur ce que mydubly ne prétend pas : il n'affiche aucune certification, ne se présente pas comme une solution juridique clé en main et ne remplace pas votre analyse. L'audio est bien traité sur un serveur, pas sur votre machine. Il n'y a pas non plus de fonction d'anonymisation automatique ni d'identification des locuteurs : la pseudonymisation se fait à la main dans le fichier téléchargé. Pour comprendre l'architecture, l'article sur le traitement vidéo dans le navigateur (en anglais) explique ce qui se passe localement.

Côté budget, un projet de 12 entretiens de 50 minutes représente 600 minutes, soit 600 crédits (US$ 0,60) au tarif transcription.

Hors de l'Union européenne

Le RGPD s'applique dans l'Union européenne, donc en France et en Belgique, ainsi qu'aux organismes qui ciblent des personnes situées dans l'Union. Les autres pays francophones ont leurs propres règles. La Suisse applique sa loi fédérale sur la protection des données, révisée en 2023. Le Québec a renforcé son cadre avec la loi 25. Plusieurs pays d'Afrique francophone, comme le Sénégal, la Côte d'Ivoire ou le Maroc, disposent de lois et d'autorités de protection des données personnelles.

Les principes se ressemblent souvent (information, finalité, sécurité, durée limitée), mais les obligations précises diffèrent. Si votre projet réunit des participants de plusieurs pays, par exemple une enquête entre Lyon, Genève et Montréal, demandez à votre DPO ou au service juridique de votre établissement quelles règles s'appliquent. Pour la suite du travail, notre guide pour retranscrire un entretien semi-directif aborde la mise en forme du texte.