Checklist RGPD pour l'enregistrement des réunions

La plupart des équipes pensent avoir résolu la conformité RGPD des enregistrements de réunions dès le premier jour : elles choisissent une base légale et informent les participants. Puis un questionnaire de sécurité client demande un contrat de traitement des données avec votre fournisseur d’enregistrement, ou un employé en Allemagne s’interroge sur l’accord du comité d’entreprise, et personne n’a de réponse. C’est là que les projets de conformité échouent réellement, pas sur le consentement.

Ce guide couvre la seconde partie du sujet. Si vous avez besoin des bases, notre guide RGPD sur l’enregistrement des réunions détaille les bases légales, le consentement, la conservation et les droits des personnes. Ici, nous passons en revue les documents que les équipes IT ou conformité doivent produire : une décision d’analyse d’impact, une entrée dans le registre des activités de traitement, un dossier de due diligence sur les fournisseurs, une preuve de consultation des représentants du personnel, et une checklist sécurité à présenter aux auditeurs.

Pourquoi “nous demandons le consentement” ne suffit pas

Un programme d’enregistrement peut annoncer chaque appel, respecter les durées de conservation, et échouer quand même à un audit de conformité parce que personne n’a documenté les décisions sous-jacentes. Le principe de responsabilité du RGPD exige que vous puissiez prouver votre conformité, pas juste l’appliquer discrètement. Pour les enregistrements de réunions, cette paperasse se divise généralement en cinq catégories :

Une décision documentée sur la nécessité d’une analyse d’impact
Une entrée dans votre registre des activités de traitement
Un dossier de due diligence sur chaque fournisseur d’enregistrement ou transcription
Une preuve de consultation des représentants du personnel, quand c’est requis
Un document listant les mesures de sécurité techniques et organisationnelles

Oubliez l’une de ces étapes et vos enregistrements peuvent être parfaitement légaux tandis que votre dossier de conformité reste vide. Voici comment remplir chaque catégorie.

Avez-vous besoin d’une AIPD pour l’enregistrement des réunions ?

Une Analyse d’Impact sur la Protection des Données (AIPD) est une évaluation des risques que le RGPD exige avant tout traitement “susceptible d’engendrer un risque élevé” pour les droits des personnes. La plupart des enregistrements internes courants ne franchissent pas ce seuil. Enregistrer des appels commerciaux, des standups ou des sessions de formation avec un avis clair et une courte durée de conservation relève d’une activité professionnelle normale à faible risque.

Vous devriez réaliser une AIPD, ou au moins documenter pourquoi vous avez décidé de ne pas le faire, quand l’enregistrement touche à l’un de ces aspects :

Surveillance systématique des employés, comme l’enregistrement de tous les appels clients pour évaluation des performances plutôt que des contrôles ponctuels
Données sensibles à grande échelle, par exemple des informations de santé discutées en RH ou lors d’appels médicaux
Nouvelle technologie déployée largement, comme une transcription IA ou une analyse des émotions utilisée pour la première fois à l’échelle de l’entreprise
Décisions automatisées basées sur l’enregistrement, comme un algorithme notant les commerciaux ou signalant des appels “à risque” sans revue humaine

Si aucun de ces cas ne s’applique, une note interne expliquant pourquoi une AIPD complète n’était pas nécessaire suffit pour un auditeur. Si un cas s’applique, l’AIPD doit décrire le traitement, évaluer sa nécessité et proportionnalité, identifier les risques pour les personnes enregistrées, et lister les mesures pour les réduire : restrictions d’accès, durées de conservation plus courtes, ou masquage des segments sensibles.

Ajoutez l’enregistrement des réunions à votre registre des activités de traitement

L’article 30 du RGPD exige que la plupart des organisations tiennent un registre des activités de traitement (RAT), un inventaire des données personnelles traitées, pourquoi et comment. L’enregistrement des réunions est souvent oublié car perçu comme une infrastructure plutôt qu’une “activité de traitement” distincte.

Une entrée RAT pour les enregistrements doit contenir :

Champ	Exemple
Finalité	Prise de notes interne, revue d’appels commerciaux, formation
Catégories de données	Voix, vidéo, nom, contenu partagé à l’écran, transcription IA
Catégories de personnes	Employés, clients, candidats
Base légale	Intérêt légitime (interne) ou consentement (appels clients)
Durée de conservation	90 jours en interne, durée du contrat pour les appels clients
Destinataires	Équipe interne uniquement, ou tiers nommés
Transferts internationaux	Où l’outil stocke et traite les données
Mesures de sécurité	Chiffrement, contrôles d’accès, journalisation

Si vous tenez déjà un RAT pour d’autres systèmes, ajoutez l’enregistrement comme une ligne distincte plutôt que de le fondre dans une entrée générique “communications”. Les régulateurs le recherchent spécifiquement.

Essayez Record Meeting

Enregistrez Google Meet depuis le navigateur sans bot sur l'appel. Les enregistrements, transcriptions et résumés restent dans votre Google Workspace, simplifiant votre RAT et les contrôles d'accès.

Essai gratuit

Évaluer votre fournisseur d’enregistrement : contrats, sous-traitants et transferts

Tout outil d’enregistrement ou de transcription qui n’est pas développé en interne est un sous-traitant agissant sur vos instructions. Le RGPD exige un contrat de traitement des données (CTD) écrit entre vous et le fournisseur avant tout envoi de données personnelles. C’est l’étape que la plupart des équipes sautent, car souscrire à un outil d’enregistrement semble comme installer un logiciel, pas nommer un sous-traitant.

Avant de vous reposer sur un fournisseur, vérifiez :

Ce que le CTD doit couvrir

Les catégories de données traitées (audio, vidéo, transcriptions) et la finalité
La confirmation que le fournisseur ne traite les données que sur instruction documentée
Des obligations de confidentialité pour tout accès côté fournisseur
Les mesures de sécurité, idéalement référençant une norme ou certification
Les délais de notification en cas de violation
La suppression ou restitution des données à la fin du contrat
La liste des sous-traitants du fournisseur, pour savoir qui d’autre accède aux enregistrements

La plupart des fournisseurs sérieux publient un CTD à accepter en ligne ou à demander aux ventes. Si un outil ne peut en produire, c’est un motif de disqualification.

Les transferts internationaux de données

Si votre fournisseur traite ou stocke des données hors UE/Royaume-Uni, vous avez besoin d’un mécanisme de transfert valide, typiquement les Clauses Contractuelles Types (CCT) de la Commission européenne, en plus du CTD. Demandez explicitement où sont traités et stockés les enregistrements, pas juste le siège de l’entreprise. Garder les enregistrements dans une infrastructure que vous contrôlez déjà élimine presque cette question.

CSE et consultation des employés

C’est l’étape que la plupart des guides oublient, et celle qui piège le plus les équipes multinationales. Dans plusieurs pays de l’UE, enregistrer les employés compte comme une forme de surveillance au travail, déclenchant des droits de représentation du personnel qui s’ajoutent au RGPD.

Allemagne. Un Betriebsrat (comité d’entreprise) a généralement des droits de codécision sur les systèmes techniques capables de surveiller la conduite ou performance des employés. Déployer des outils d’enregistrement ou d’évaluation d’appels sans accord du comité est une faille courante et coûteuse.
France et Pays-Bas. Des obligations similaires s’appliquent via le comité social et économique et l’ondernemingsraad, surtout pour les outils enregistrant ou analysant le comportement des employés.
Champ du comité. Le déclencheur est généralement la capacité à surveiller, pas l’usage actuel. Un outil pouvant servir à évaluer les performances a souvent besoin d’approbation même si vous ne l’utilisez que pour la prise de notes.

Si votre organisation opère dans un pays avec représentation statutaire du personnel, impliquez les RH et le juridique local avant le déploiement, pas après. Un accord signé du comité, ou une documentation expliquant pourquoi il n’est pas requis, appartient au même dossier de conformité que votre AIPD et entrée RAT.

Checklist des mesures de sécurité techniques et organisationnelles

Le RGPD exige des mesures “appropriées au risque”, ce qui est volontairement vague. Pour les enregistrements, les auditeurs et questionnaires de sécurité clients vérifient généralement :

Chiffrement en transit et au repos pour les enregistrements, transcriptions et résumés
Accès par rôle, limitant la visibilité aux personnes ayant une raison professionnelle
Pas de partage public par défaut, avec “toute personne ayant le lien” désactivé sauf choix explicite
Journalisation des consultations, téléchargements et partages
Suppression automatique, liée à votre RAT plutôt qu’au nettoyage manuel
Authentification multifacteur sur tout compte accédant aux archives
Procédure d’incident documentée spécifique aux enregistrements exposés

Notez cette liste comme standard interne, puis utilisez-la pour évaluer tout nouvel outil. Cela transforme “est-ce conforme” d’un débat en checklist.

Qu’est-ce qui compte comme une violation impliquant un enregistrement ?

Une violation de données personnelles est tout incident conduisant à une destruction, perte, altération ou divulgation non autorisée. Pour les enregistrements, les scénarios réalistes sont :

Un enregistrement partagé avec “toute personne ayant le lien” et diffusé hors organisation
Un enregistrement envoyé par erreur à la mauvaise liste de diffusion
Un compte fournisseur compromis exposant des enregistrements
Un ancien employé conservant l’accès aux enregistrements après son départ

Si l’un de ces cas se produit et que l’enregistrement contient des données personnelles, vous avez généralement 72 heures pour notifier votre autorité de contrôle, et dans les cas à risque plus élevé, les personnes concernées. Centraliser les enregistrements dans un emplacement contrôlé permet d’évaluer rapidement une violation pour respecter ce délai. Pour une vue d’ensemble, consultez notre guide confidentialité des enregistrements Google Meet.

La checklist complète de conformité

Utilisez cette liste pour revoir votre programme d’enregistrement :

Associez cette checklist à notre modèle de politique d’enregistrement pour créer un document utilisable par toute l’équipe, et notre guide d’étiquette pour l’enregistrement pour les bonnes pratiques quotidiennes.

Questions fréquentes

Ai-je besoin d'une AIPD pour enregistrer des réunions ?

Généralement non pour les appels internes ou clients courants avec un avis clair et une conservation raisonnable. Il en faut une quand l'enregistrement implique une surveillance systématique des employés, des données sensibles à grande échelle, une notation IA ou des décisions automatisées. Même sans AIPD, documentez cette décision.

Le RGPD exige-t-il un CTD avec un fournisseur d'enregistrement ?

Oui. Tout fournisseur stockant ou traitant des enregistrements, transcriptions ou résumés est un sous-traitant au sens du RGPD, et un CTD écrit est requis avant tout envoi de données personnelles. Le CTD doit aussi lister les sous-traitants du fournisseur et couvrir les délais de notification en cas de violation.

Faut-il l'accord du CSE pour enregistrer des réunions en France ?

Souvent, oui. Les comités sociaux ont généralement un droit de consultation sur les systèmes capables de surveiller l'activité ou performance des employés, et l'enregistrement peut qualifier même pour prise de notes. Impliquez RH et juridique avant déploiement, et gardez l'accord ou l'exemption documentée avec vos autres preuves RGPD.

Est-ce conforme au RGPD de stocker des enregistrements hors UE ?

C'est possible, mais un mécanisme de transfert valide comme les CCT est requis en plus du CTD. Demandez à votre fournisseur où sont exactement traitées et stockées les données, pas juste le siège, et confirmez les garanties avant d'utiliser l'outil pour du contenu régulé.

Qu'est-ce qui compte comme violation pour un enregistrement ?

Toute exposition accidentelle ou non autorisée d'un enregistrement contenant des données personnelles, comme un partage erroné, un compte compromis ou un ancien employé conservant l'accès. En cas d'incident, vous avez généralement 72h pour notifier l'autorité, donc les enregistrements doivent être stockés où vous pouvez rapidement évaluer les accès.

Conclusion

La conformité RGPD des enregistrements est autant une question de documentation que de politique. Appliquez d’abord les bases (base légale, avis, conservation), puis comblez les lacunes révélées par les audits et questionnaires : décision d’AIPD, entrée RAT, CTD signés, accord du CSE si nécessaire, et checklist sécurité à portée de main.

Construisez ce dossier une fois, maintenez-le à jour, et un programme d’enregistrement initialement risqué deviendra quelque chose que vous pourrez présenter à un auditeur sans panique. Pour commencer, comparez votre configuration actuelle à notre aperçu sécurité de Record Meeting.

Conformité RGPD des enregistrements de réunions : la checklist complète pour les équipes IT et conformité