1. Un enregistrement est une donnée personnelle
La voix identifie une personne aussi sûrement qu’un nom. Un enregistrement de parole est donc une donnée personnelle, et ce qu’il contient l’est tout autant : un entretien de recherche livre des opinions, une réunion RH une situation professionnelle, une consultation des éléments de santé ou de patrimoine.
Conséquence directe : vous êtes responsable de traitement. Le service de transcription, lui, est votre sous-traitant au sens de l’article 28 du RGPD. C’est vous qui répondez de ce qu’il en fait, pas lui.
2. Ce que le contrat doit contenir
L’article 28 exige un contrat écrit entre vous et le prestataire. Dans les faits, ce sont ses conditions générales ou son accord de sous-traitance. Quatre points doivent y figurer, et leur absence est en soi un signal :
- L’interdiction d’utiliser vos données pour autre chose que la prestation — en particulier pour entraîner des modèles.
- La liste des sous-traitants ultérieurs et leur localisation. Un service de transcription en emploie toujours au moins un : le moteur de reconnaissance vocale.
- Le sort des données à la fin. Suppression ou restitution, et dans quel délai.
- Les mesures de sécurité : chiffrement en transit et au repos, cloisonnement des comptes.
Un service qui ne publie aucune liste de sous-traitants ne vous permet pas de tenir votre propre registre. Ce n’est pas un détail administratif : c’est vous qui serez interrogée en cas de contrôle.
3. La question qu’on ne pose jamais : où sont les serveurs ?
La plupart des outils de transcription sont américains et traitent par défaut aux États-Unis. Transférer des données hors de l’Union suppose un cadre juridique, prévu aux articles 44 et suivants du RGPD. Aujourd’hui, deux mécanismes servent en pratique :
- Le Data Privacy Framework, décision d’adéquation de la Commission européenne de 2023, qui couvre les entreprises américaines certifiées. Le Tribunal de l’Union européenne a rejeté le recours formé contre lui le 3 septembre 2025 : le cadre reste valide.
- Les clauses contractuelles types de la Commission, pour les prestataires non certifiés, assorties d’une analyse d’impact des transferts.
Deux remarques s’imposent néanmoins. D’abord, ces cadres ont une histoire mouvementée : le Safe Harbor est tombé en 2015, le Privacy Shield en 2020, et un pourvoi reste possible contre la décision de 2025. Ensuite, un cadre valide vous met en règle — il ne rend pas la donnée inaccessible aux autorités américaines. Choisir un traitement européen, c’est supprimer la question plutôt que la gérer.
4. Les quatre questions à poser à n’importe quel service
| Question | Pourquoi elle compte | Une bonne réponse ressemble à |
|---|---|---|
| Où mon fichier est-il stocké, et où est-il transcrit ? | Ce sont deux endroits différents. Un stockage européen n’empêche pas une transcription américaine. | Des pays nommés, pas « dans le cloud » |
| Combien de temps gardez-vous l’audio ? | C’est la minimisation. Un fichier conservé sans raison est un fichier qui peut fuiter. | Une durée chiffrée et automatique |
| Utilisez-vous mes contenus pour entraîner vos modèles ? | Une réponse floue vaut oui. Vos entretiens deviendraient alors un actif du prestataire. | Un non écrit dans le contrat, pas dans une FAQ |
| Qui sont vos sous-traitants ? | Sans la liste, vous ne pouvez pas tenir votre registre ni informer les personnes. | Une liste publique, avec les rôles et les pays |
5. Les cas où vous n’avez pas le choix
Pour la plupart des usages, un cadre de transfert valide suffit. Trois situations demandent davantage de prudence :
- Le secret professionnel. L’avocat, le médecin, le notaire sont tenus à un secret dont la violation est pénalement sanctionnée. Confier un entretien couvert par le secret à un prestataire suppose, au minimum, de s’assurer qu’il est contractuellement tenu à la confidentialité et que les données restent accessibles au seul client.
- Les données sensibles de l’article 9. Santé, opinions, convictions, orientation sexuelle, appartenance syndicale. Un entretien de recherche en sciences sociales en contient très souvent sans qu’on y pense.
- Les données de mineurs et les entretiens réalisés en milieu scolaire ou médico-social, où la responsabilité de l’établissement s’ajoute à la vôtre.
Dans ces trois cas, la bonne question n’est pas « ai-je le droit ? » mais « saurai-je expliquer mon choix ? ». Un traitement entièrement européen se justifie en une phrase.
6. Ce que vous devez à la personne enregistrée
L’information due au titre des articles 13 et 14 du RGPD ne se réduit pas à « c’est enregistré ». Elle porte sur la finalité, la durée de conservation, les destinataires et les droits de la personne. En pratique, deux phrases au moment de l’annonce suffisent si elles sont exactes :
« Cet entretien est enregistré pour en établir la transcription. Le fichier audio est traité par un prestataire européen, supprimé sous 24 heures, et vous pouvez demander à tout moment la suppression du texte. »
Et si vous ne pouvez pas dire cela honnêtement, c’est le prestataire qu’il faut changer, pas la phrase. Les règles à respecter avant d’appuyer sur le bouton sont détaillées dans notre guide sur ce que la loi autorise quand on enregistre une réunion.
7. Ce que fait Verbatim
Puisque l’article pose les questions, autant y répondre pour ce service. Vos enregistrements sont stockés en Europe et transcrits dans l’Union européenne ; le fichier audio est effacé automatiquement 24 heures après son envoi ; le texte est supprimé chez le moteur de transcription dès qu’il nous est remis ; rien n’est utilisé pour entraîner quoi que ce soit, ni revendu.
La liste complète des sous-traitants, avec leur rôle et le pays de leurs serveurs, figure dans notre politique de confidentialité — c’est exactement la liste que vous devriez exiger de n’importe quel prestataire, celui-ci compris.
Deux cas particuliers
Les entretiens de recherche menés pour un mémoire ou une thèse posent une question de plus : ce n’est généralement pas l’étudiant qui est responsable de traitement, mais son établissement — et la base légale n’est presque jamais celle qu’on croit.
Les réunions de comité social et économique relèvent d’un régime propre. La Cour de cassation a jugé le 7 octobre 2026 qu’un employeur enregistrant les séances pour contrôler la fidélité des procès-verbaux ne poursuit pas d’intérêt légitime au sens du RGPD.
Questions fréquentes
Faut-il une analyse d’impact (AIPD) pour transcrire des entretiens ? Rarement pour un usage ponctuel. Elle devient nécessaire en cas de traitement à grande échelle de données sensibles, ou de suivi systématique de personnes — un enregistrement généralisé des salariés, par exemple.
Le consentement est-il la bonne base légale ? Pas toujours. Pour un entretien de recherche, c’est souvent l’intérêt légitime ou la mission d’intérêt public ; entre un employeur et un salarié, le consentement est considéré comme rarement libre. Choisissez la base avant d’enregistrer, pas après.
Que faire si la personne demande la suppression ? Supprimez l’audio et la transcription, et vérifiez que le prestataire les a bien effacés de son côté. Un service qui permet de tout supprimer depuis son compte vous fait gagner ce temps-là.
Cet article décrit l’état du droit au 28 septembre 2026. Il donne des repères généraux et ne remplace pas l’analyse d’un professionnel sur une situation précise.