Aristotelis Zervos
Aristotelis Zervos, directeur de la rédaction de 2B Advice, allie expertise juridique et journalistique en Protection des données, informatique-Conformité et la réglementation de l'IA.
L'utilisation croissante des fonctions de transcription dans les environnements de communication numériques soulève, dans la pratique, des questions classiques en matière de protection des données. Les nouvelles technologies telles que les haut-parleurs intelligents de Microsoft Teams, Voice Match ainsi que les procédés d'identification et de reconnaissance vocales confèrent à ces questions une importance accrue. Ce à quoi il faut prêter attention lors de leur utilisation.
De la transcription à l'identification
La transcription des réunions sert à Documentation, l'assurance qualité ou la conservation des preuves.
Mais les systèmes modernes vont encore plus loin : non seulement ils convertissent la parole en texte, mais ils tentent également d'identifier chaque locuteur.
C'est là qu'interviennent des technologies telles que Voice Match. Celle-ci compare la voix d'une personne à des profils vocaux enregistrés afin d'attribuer les interventions de manière univoque. Associée aux „ Microsoft Teams Intelligent Speakers ”, cette fonctionnalité s'avère particulièrement utile lors de réunions hybrides auxquelles plusieurs personnes participent ensemble dans une même salle. Ces appareils analysent les caractéristiques acoustiques et attribuent la transcription à chaque personne.
Ces procédés peuvent être classés en deux catégories : l„” identification de l'orateur „ (attribution d'une intervention à une personne précise) et la ” reconnaissance de l'orateur » (reconnaissance d'une voix à partir de caractéristiques).
Référence à une personne et dimension biométrique dans la transcription
La base technique même de ces systèmes, à savoir le stockage temporaire et l'analyse des données audio, constitue déjà une Traitement données à caractère personnel, car la voix peut être directement associée à une personne identifiable. Elle est donc directement soumise aux exigences de la RGPD ainsi que, à titre complémentaire, les dispositions pénales.
Dans le cas de l'enregistrement suivant, il n'est généralement pas possible d'identifier sans ambiguïté une personne physique. Ce n'est qu'avec l'ajout de l'identification automatisée du locuteur que le degré d'intrusion augmente considérablement.
Lorsque des caractéristiques vocales sont traitées de manière ciblée afin d'identifier une personne de manière univoque, il s'agit, conformément à l'article 4, point 14, RGPD les données biométriques. Selon la jurisprudence de la CJUE et le considérant 51, la condition préalable est RGPDque les Traitement effectué spécifiquement à des fins d'identification – ce qui est généralement le cas pour la reconnaissance vocale. Dans ce cas, les exigences plus strictes de l'article 9 s'appliquent RGPD, notamment l'interdiction de principe du traitement, avec Réserve d'autorisation.
En tout état de cause, lorsqu'il y a clairement individualisation des propos, le risque pour les personnes concernées augmente considérablement, notamment en ce qui concerne le contrôle des performances ou du comportement dans le contexte professionnel.
Intérêt légitime en matière de transcription
En particulier lors de réunions internes, de formations ou d'entretiens structurés, la simple transcription peut relever de l'article 6, paragraphe 1, point f) RGPD (intérêt légitime).
Dans la mesure où le Responsable Lorsqu'on invoque un intérêt légitime comme fondement juridique, il est nécessaire de procéder à une mise en balance des intérêts minutieuse et justifiable.
- Il convient tout d'abord de vérifier si la transcription est réellement nécessaire pour atteindre l'objectif visé. Son utilisation n'est autorisée que dans les cas où il n'existe aucun moyen moins intrusif et tout aussi efficace. Si la rédaction d'un procès-verbal manuel suffit, il n'y a pas de Nécessité. Toutefois, dans le cas de situations complexes nécessitant une transcription fidèle au mot près, une transcription automatique peut s'avérer nécessaire.
- Il convient alors de procéder à une mise en balance des intérêts. Conformément à l'article 6, paragraphe 1, point f) RGPD est la Traitement n'est autorisé que si l'intérêt légitime du responsable du traitement l'emporte et que les droits des personnes concernées ne sont pas affectés de manière disproportionnée. Il convient notamment de prendre en compte les aspects suivants : Confidentialité, de prendre en compte les inconvénients potentiels liés à l'enregistrement ainsi que le risque d'un contrôle des performances ou du comportement.
- Enfin, une approche transparente Documentation la mise en balance effectuée est nécessaire pour pouvoir motiver de manière compréhensible la décision rendue dans le litige.
Dans le contexte de l'emploi, l'article 6, paragraphe 1, point f) RGPD mais son application est toutefois limitée. Dans la mesure où la transcription sert à la gestion de la relation de travail, l'article 26 de la BDSG, en tant que norme plus spécifique, doit être pris en compte en priorité. Pour des finalités allant au-delà, telles que l'assurance qualité ou Documentation, on s'en tient à la mise en balance générale prévue à l'article 6, paragraphe 1, point f) RGPD, la relation de dépendance structurelle venant généralement aggraver la situation.
La transcription est-elle autorisée ? Le consentement comme fondement juridique
C'est justement dans le cas de technologies telles que la reconnaissance vocale qu'il est régulièrement nécessaire de Consentement nécessaire, car la Traitement qui nécessite une intervention particulièrement importante.
Le site Consentement doit être donné de manière libre, éclairée et sans ambiguïté. Afin que la Consentement est valable, il faut que la concernés La personne doit manifester clairement son consentement par un geste actif. Cela peut se faire, par exemple, en cliquant sur un bouton ou d’une autre manière. Le simple fait de garder le silence ou de ne pas modifier les options prédéfinies ou les fonctions activées automatiquement dans les outils de conférence ne suffit pas à cet effet.
Dans le cadre d'une relation de travail notamment, il existe toutefois des doutes considérables quant au caractère volontaire de la Consentement. Des dispositions complémentaires sont ici nécessaires. Conformément à l'article 26, paragraphe 4, de la BDSG, les accords d'entreprise sont expressément reconnus comme une base juridique autonome pour le traitement des données dans le contexte de l'emploi et offrent, par rapport à la Consentement l'avantage d'être négociées collectivement et de pouvoir compenser en partie le déséquilibre structurel des pouvoirs entre l'employeur et les salariés.
Autres Bases juridiques sont certes envisageables, mais ne jouent qu'un rôle secondaire dans la pratique :
- L'exécution du contrat est généralement exclue, car les transcriptions sont rarement absolument nécessaires.
- En règle générale, il n'y a pas d'obligations légales.
Dans le cas des systèmes dotés d'une fonction d'identification du locuteur, il convient en outre de vérifier si une Analyse d'impact relative à la protection des données selon l'art. 35 RGPD est nécessaire. Étant donné que des données biométriques sont traitées, c'est régulièrement le cas selon les listes positives établies par les autorités de contrôle allemandes.
Conseil de lecture : Le consentement au traitement des données à caractère personnel
Risques pénaux : article 201 du Code pénal allemand (StGB)
Outre la législation relative à la protection des données, il convient également de tenir compte du droit pénal. Conformément à l'article 201 du Code pénal allemand (StGB), l'enregistrement non autorisé de propos non publics est punissable. Étant donné que les systèmes de transcription nécessitent généralement un enregistrement audio, il existe un risque considérable en l'absence d'autorisation correspondante.
Une approche efficace Consentement peut constituer un motif de justification tant au regard du droit de la protection des données qu'au regard du droit pénal. Il est toutefois important de faire la distinction suivante : alors qu'en droit pénal, un consentement excluant la constitution d'un délit peut, dans certaines circonstances, être exprimé de manière implicite, la RGPD une procédure claire et documentée Consentement, dans le cas des données biométriques visées à l'article 9, paragraphe 2, point a) RGPD en outre, une mention expresse.
Pour les systèmes dotés de la fonction de reconnaissance vocale, cela signifie que la simple participation à une réunion ne suffit pas pour garantir la validité juridique de l'identification.
Mesures techniques et organisationnelles
La mise en œuvre de telles technologies nécessite une approche globale mesures techniques et organisationnelles. Il s'agit notamment :
- Le respect de la vie privée dès la conception et par défaut, notamment grâce à la désactivation par défaut des fonctions d'enregistrement et d'identification du locuteur.
- Restrictions d'accèsn aux transcriptions et aux fichiers audio.
- Cryptage lors du stockage et de la transmission.
- Formations destinées aux salariés.
Un élément central est en outre un Stratégie d'extinction. Les enregistrements audio, en particulier, devraient être supprimés une fois les transcriptions établies, à moins qu'ils ne soient nécessaires à d'autres fins.
Exigences réglementaires supplémentaires liées à l'utilisation de l'IA
La reconnaissance vocale repose souvent sur des systèmes d'IA. Selon leur contexte d'utilisation, ces systèmes peuvent être soumis à des exigences réglementaires supplémentaires, notamment en vertu du règlement sur l'IA.
Les systèmes d’identification biométrique des personnes physiques doivent être classés comme des systèmes d’IA à haut risque conformément à l’annexe III, point 1, du règlement sur l’IA, sauf s’il s’agit d’une identification biométrique à distance en temps réel, qui est largement interdite en vertu de l’article 5 du règlement sur l’IA. Dans le contexte typique d’une réunion, cela signifie que les systèmes de reconnaissance des intervenants relèvent de la catégorie à haut risque, avec les obligations correspondantes en matière d’évaluation de la conformité, techniques Documentation, Transparence envers les personnes concernées et la supervision humaine.
Il convient de distinguer cela de l'utilisation de systèmes de reconnaissance des émotions sur le lieu de travail : celle-ci est en principe interdite en vertu de l'article 5, paragraphe 1, point f), du règlement sur l'IA. Des exceptions ne sont prévues que pour des fins strictement limitées, par exemple pour protéger la santé et la sécurité des salariés. Dans le contexte des réunions, cette interdiction devrait donc s’appliquer en règle générale.
Les exigences réglementaires du règlement sur l'IA s'ajoutent ainsi à celles en matière de protection des données et de droit pénal, ce qui alourdit considérablement la charge de travail liée aux contrôles pour les entreprises.
Exigences élevées en matière d'utilisation de la transcription dans le respect de la législation
L'utilisation de la transcription et de l'identification du locuteur dans le respect du droit nécessite un examen minutieux à plusieurs niveaux : la base juridique en matière de protection des données, la conformité au droit pénal conformément à l'article 201 du Code pénal allemand (StGB) ainsi que, en cas d'utilisation de systèmes basés sur l'IA, les exigences du règlement sur l'IA. Les entreprises doivent toujours vérifier si des alternatives moins intrusives permettent d’atteindre le même objectif. Lorsque l’identification de la voix est réellement nécessaire, le consentement explicite reste Consentement des personnes concernées, accompagnée d'une Accord d'entreprise, la voie la plus sûre vers la sécurité juridique.
Les exigences légales sont complexes, mais leur mise en œuvre pratique ne doit pas nécessairement l'être. Nous vous aidons à intégrer des solutions de transcription dans vos processus en toute conformité juridique : du choix de la base juridique appropriée à la mise en œuvre technique et organisationnelle, en passant par l'élaboration d'accords d'entreprise.
N'hésitez pas à nous contacter pour nous faire part de votre application concrète.
Source : Document succinct du GDD : transcription d'un entretien
Aristotelis Zervos est directeur éditorial chez 2B Advice, juriste et journaliste avec un savoir-faire approfondi en matière de protection des données, RGPD, informatique-Conformité et la gouvernance de l'IA. Il publie régulièrement des articles approfondis sur la réglementation de l'IA, RGPD-Conformité et la gestion des risques. Pour en savoir plus sur lui, rendez-vous sur son Page du profil de l'auteur.
Questions et réponses
La transcription automatique des réunions est-elle autorisée au regard de la législation sur la protection des données ?
Une transcription automatique est en cours de traitement données à caractère personnel et nécessite donc une base juridique appropriée. Dans le cadre de réunions internes, de formations ou d'entretiens structurés, un intérêt légitime au sens de l'article 6, paragraphe 1, point f), peut être invoqué sous certaines conditions RGPD peuvent être pris en considération. Il convient notamment d'examiner les Nécessité, une mise en balance minutieuse des intérêts et une présentation claire de celle-ci Documentation.
À partir de quand les enregistrements vocaux deviennent-ils des données biométriques ?
Les enregistrements vocaux peuvent constituer des données biométriques au sens de la RGPD lorsque des caractéristiques vocales sont traitées de manière ciblée afin d'identifier une personne de manière univoque. Cela s'applique notamment aux procédés de reconnaissance vocale automatisée. Dans ce cas, les exigences plus strictes relatives aux catégories particulières de données à caractère personnel prévues à l'article 9 s'appliquent également. RGPD.
La participation à une réunion suffit-elle à valoir consentement à la transcription ou à l'identification de l'intervenant ?
Non. La simple participation à une réunion ne suffit pas à garantir la conformité avec la réglementation sur la protection des données en matière de transcription automatisée ou d'identification des intervenants. Une Consentement doit être claire et précise. Dans le cas de la Traitement L'utilisation de données biométriques à des fins d'identification nécessite en principe un consentement explicite Consentement est nécessaire.
Quels sont les points à prendre en compte en matière de transcription et d'identification des locuteurs dans le cadre d'une relation de travail ?
Dans le cadre d'une relation de travail, il convient d'examiner avec une attention particulière la base juridique sur laquelle repose la Traitement a lieu. En raison du lien de dépendance entre l'employeur et le salarié, le caractère volontaire d'une Consentement peuvent poser problème. Les accords d'entreprise peuvent donc constituer une base importante pour encadrer l'utilisation de ces technologies.
Une analyse d'impact relative à la protection des données est-elle nécessaire pour les systèmes d'identification des locuteurs ?
Dans le cas des systèmes qui traitent des données biométriques à des fins d'identification des personnes, il convient de vérifier si une Analyse d'impact relative à la protection des données selon l'art. 35 RGPD est nécessaire. En raison du risque accru de Traitement Le traitement des données biométriques peut rendre un tel contrôle nécessaire, notamment dans le cas des systèmes d'identification automatisée des locuteurs.
Quelles mesures les entreprises devraient-elles prendre lorsqu'elles utilisent des systèmes de transcription et de reconnaissance vocale ?
Les entreprises devraient notamment mettre en place des paramètres par défaut respectueux de la protection des données, des restrictions d'accès claires, Cryptage, des formations et un Stratégie d'extinction prévoir. Les enregistrements audio doivent être supprimés une fois la transcription établie, dans la mesure où ils ne sont plus nécessaires aux fins initialement prévues. En outre, selon la technologie utilisée, il convient également de tenir compte des dispositions pénales et des exigences du règlement sur l'IA.
German 
English 
Italian 
French