La voix d'une personne est-elle une donnée personnelle ?

Oui. La CNIL indique que la voix, comme l'image, permet d'identifier indirectement une personne, et qu'elle est donc une donnée personnelle.

Faut-il informer les personnes enregistrées ?

La CNIL indique qu'un organisme qui collecte des informations sur une personne doit lui proposer une information claire. Le contenu exact des mentions se valide avec votre délégué à la protection des données.

Un outil de transcription hébergé à l'étranger est-il interdit ?

La page CNIL lue ne traite pas des transferts. Cette question relève du délégué à la protection des données et du contrat de l'éditeur.

Transcription audio et RGPD : ce qu'il faut vérifier

Transcrire un entretien, un appel ou une réunion produit un texte qui contient souvent des noms, des avis, parfois des informations sensibles. La voix elle-même est une donnée personnelle : la CNIL le dit. Ce guide reprend les pages de la CNIL lues le 15/11/2026 et donne les points à vérifier avant le premier enregistrement. Il ne remplace pas l'avis de votre délégué à la protection des données.

La voix est une donnée personnelle

La CNIL définit une donnée personnelle comme une information qui permet d'identifier une personne, directement ou indirectement. Sa page donne l'exemple d'un numéro de téléphone ou d'une plaque d'immatriculation, « mais aussi la voix ou l'image ». Dans sa présentation vidéo, elle écrit : « sa voix ou encore son image sont des données personnelles ».

La conséquence est simple : un fichier audio de salarié, de client ou de candidat est une donnée personnelle, même si aucun nom n'est écrit dedans. Un traitement en local reste un traitement de données personnelles. C'est la nature de la donnée qui compte, pas l'endroit où elle est stockée.

Informer les personnes

La page de la CNIL sur vos droits indique : « Un organisme qui collecte des informations sur vous doit vous proposer une information claire ». Elle rappelle aussi le droit d'accès, c'est-à-dire « obtenir et vérifier les données qu'un organisme détient sur vous », et le droit à l'effacement.

En pratique, prévoyez avant l'enregistrement :

un message écrit : qui enregistre, pourquoi, combien de temps le fichier est gardé ;
la possibilité de refuser l'enregistrement ;
une réponse à toute demande d'accès ou d'effacement, qui couvre aussi la transcription.

Le texte exact des mentions se valide avec votre délégué à la protection des données. Ce guide ne propose pas de formule toute faite.

Consentement : à vérifier avant de s'appuyer dessus

La CNIL définit le consentement comme « l'accord de la personne concernée à ce que ses données soient collectées et utilisées ». Il doit être « libre, spécifique, éclairé et univoque ». Un accord donné sous contrainte, qui couvre plusieurs usages à la fois, ou sans explication, ne remplit pas ces conditions.

Le consentement n'est pas la seule base possible pour un traitement. Le choix de la base juridique se fait avec votre délégué, en fonction de votre activité. Ce guide ne tranche pas ce choix.

Durée de conservation

La CNIL indique : « une durée de conservation doit être déterminée par le responsable de traitement ». Quand aucun texte ne la fixe, elle se détermine « en fonction de la finalité du traitement ». Les données personnelles « ne peuvent pas être conservées indéfiniment ».

Concrètement :

fixez la durée avant d'enregistrer, par exemple le temps de rédiger le compte rendu ;
supprimez l'audio à l'échéance ;
décidez séparément si le texte transcrit doit être gardé, et pendant combien de temps.

Les deux éléments n'ont pas forcément le même délai. Une fois la durée fixée, notez-la dans la fiche du traitement.

Le sous-traitant et le contrat

La CNIL définit le sous-traitant comme une personne physique ou morale « qui traite des données pour le compte d'un autre organisme ». Un service de transcription en ligne qui reçoit vos fichiers est, en général, un sous-traitant. Sa page indique que les obligations du sous-traitant doivent figurer dans le contrat. Elle cite notamment la transparence et la traçabilité, la prise en compte de la protection des données dès la conception, la sécurité des données, et une obligation d'assistance et d'alerte, avec une procédure de notification des violations.

Avant de signer avec un éditeur, demandez :

le contrat de traitement des données ;
la liste de ses propres sous-traitants ;
le lieu de stockage et la durée de conservation chez lui ;
s'il réutilise vos fichiers pour entraîner ses modèles.

Les conditions diffèrent d'un éditeur à l'autre. Les prix et les options des interfaces de programmation sont comparés sur API de transcription : les prix, mais les conditions de données restent à lire chez chaque éditeur.

Hébergement : trois situations

Situation	Où partent les données	Point à vérifier
Modèle installé sur votre poste, comme Whisper	Nulle part, si vous ne l'envoyez pas ailleurs	Sécurité du poste, sauvegardes, accès des collaborateurs
Dictée intégrée (Word, Windows, Mac)	Chez Microsoft ou Apple, selon le réglage	Conditions de l'éditeur et réglages du poste
Service en ligne ou interface de programmation	Chez le fournisseur	Contrat, sous-traitants, lieu de traitement

Pour un modèle local, voir installer Whisper en local : la transcription reste sur la machine, mais le fichier, lui, reste une donnée personnelle.

Avant le premier enregistrement

Demandez l'avis de votre délégué à la protection des données ou, à défaut, de la personne chargée de la conformité.
Inscrivez le traitement dans votre registre, si vous en tenez un.
Limitez les données : ne transcrivez que ce qui sert au travail prévu. Évitez les données qui ne servent à rien.
Rédigez l'information des personnes et conservez-la.
Relisez le contrat de l'éditeur, en particulier la partie sous-traitance.

Ce guide ne donne pas d'avis juridique. Pour votre cas précis, adressez-vous à votre délégué à la protection des données. Les pages de la CNIL citées restent la référence publique à lire en premier.