Consentement RGPD : enregistrer et transcrire un entretien

Réponse courte : En vertu du RGPD, l'enregistrement d'un entretien de recherche constitue un traitement de données à caractère personnel dès l'instant où vous lancez l'enregistrement.

Les chercheurs de l'UE doivent disposer d'une base légale valable au titre de l'article 6, du consentement éclairé de chaque participant avant le début de l'enregistrement, et d'un contrat de sous-traitance (DPA) signé avec tout service de transcription tiers qu'ils utilisent.

Cette règle s'applique que l'entretien ait lieu en présentiel, sur Zoom ou par téléphone.

Pourquoi le RGPD s'applique dès l'instant où vous lancez l'enregistrement

Un enregistrement d'entretien est une donnée à caractère personnel.

Dès l'instant où un enregistrement capte la voix d'une personne accompagnée de son nom, de sa fonction ou de tout autre élément identifiant, il relève de la définition des données à caractère personnel au sens de l'article 4(1) du RGPD.

Cela fait du chercheur le responsable du traitement, du participant à l'entretien la personne concernée, et de tout service externe qui manipule l'enregistrement, y compris un outil de transcription dans le cloud, un sous-traitant.

La portée extraterritoriale du RGPD (article 3) signifie que ces obligations s'appliquent quel que soit le lieu d'établissement du chercheur ou de son institution.

Si les participants résident dans l'UE, le règlement s'applique.

Cela vaut pour les équipes de recherche basées aux États-Unis, en Australie ou ailleurs.

En avril 2026, le Comité européen de la protection des données (CEPD) a publié le projet de Lignes directrices 1/2026 sur le traitement des données à caractère personnel à des fins de recherche scientifique. Il s'agit de la prise de position réglementaire la plus détaillée à ce jour sur l'application du RGPD aux activités de recherche. Ces lignes directrices sont encore soumises à consultation publique et ne sont donc pas définitives.

Elles ne visent pas nommément la transcription d'entretiens. Mais elles couvrent des domaines qui concernent directement les chercheurs dans cette situation.

Cela inclut le consentement pour des études dont la portée complète n'est pas connue d'emblée, la répartition des responsabilités entre responsables du traitement et sous-traitants, et les obligations de transparence applicables lorsque les données sont collectées directement auprès des participants. L'un des exemples concrets développés par le CEPD porte d'ailleurs sur des entretiens.

Ensemble, ces éléments annoncent une attention accrue des autorités de contrôle quant à la manière dont les établissements de recherche gèrent le consentement et leurs relations avec les sous-traitants.

Gardez à l'esprit que, pour les chercheurs qui réalisent une transcription de recherche qualitative, la conformité n'est pas une tâche administrative distincte qui intervient avant le début de la recherche. Elle fait partie intégrante de la conception même de la recherche.

Choisir votre base légale : consentement ou intérêt public ?

De nombreux chercheurs optent par défaut pour le consentement, car il leur paraît être l'option la plus sûre.

Mais en réalité, le consentement n'est pas toujours la base légale la plus appropriée pour les entretiens de recherche au titre de l'article 6, et dans certaines situations, il est juridiquement invalide.

L'article 6 prévoit six bases légales pour le traitement des données à caractère personnel. Trois sont particulièrement pertinentes pour les entretiens de recherche :

1. Consentement : article 6(1)(a)

L'article 6(1)(a) exige un accord clair et positif, libre, spécifique, éclairé et univoque.

En vertu du considérant 43 du RGPD et des lignes directrices du CEPD sur le consentement, le consentement n'est pas réputé « libre » lorsqu'il existe un déséquilibre manifeste des pouvoirs entre la personne concernée et le responsable du traitement.

Cela pose un problème direct lorsqu'un chercheur est aussi manager, supérieur hiérarchique ou enseignant vis-à-vis du participant : le déséquilibre des pouvoirs peut rendre le consentement juridiquement invalide dès le départ.

2. Intérêt public : article 6(1)(e)

L'article 6(1)(e) couvre le traitement nécessaire à l'exécution d'une mission d'intérêt public, prévue par le droit de l'UE ou le droit national. La recherche financée par une université, assortie d'un protocole publié, remplit souvent cette condition.

Cette base n'élimine pas l'obligation d'informer les participants.

Mais comme l'intérêt public ne repose pas sur le consentement, les participants n'ont aucun consentement à retirer. Ils conservent le droit d'opposition au titre de l'article 21, que le responsable du traitement peut écarter si le traitement est nécessaire à l'exécution d'une mission d'intérêt public.

L'article 21(6) rend ce pouvoir de passer outre explicite pour la recherche en particulier. C'est ce qui rend l'intérêt public plus solide pour la recherche longitudinale que le consentement, qu'un participant peut retirer purement et simplement, mettant immédiatement fin à tout traitement futur.

3. Intérêt légitime : article 6(1)(f)

Disponible pour les organismes privés mais généralement pas pour les autorités publiques. Il requiert une mise en balance et se justifie plus difficilement pour une recherche par entretiens impliquant des données à caractère personnel.

Le projet de lignes directrices 2026 du CEPD confirme que le consentement large est admissible pour la recherche scientifique lorsque les usages futurs précis ne peuvent pas être pleinement définis au moment de la collecte des données, à condition que les chercheurs décrivent clairement le domaine de recherche et appliquent des garanties telles que la pseudonymisation.

Utilisez le cadre suivant pour déterminer quelle base convient à votre projet :

Que se passe-t-il lorsque vos entretiens touchent à des catégories particulières de données ?

Le consentement RGPD standard ne suffit pas lorsqu'un entretien capte ce que le règlement appelle des « catégories particulières » de données à caractère personnel au titre de l'article 9. Il s'agit de types de données qui présentent un risque accru de discrimination ou de préjudice en cas de mauvaise utilisation.

Les catégories particulières que l'article 9 du RGPD protège expressément comprennent :

• L'origine raciale ou ethnique
• Les opinions politiques
• Les convictions religieuses ou philosophiques
• L'appartenance syndicale
• Les données concernant la santé (y compris la santé mentale, le handicap, les antécédents médicaux)
• Les données concernant l'orientation sexuelle
• Les données génétiques
• Les données biométriques traitées aux fins d'identifier une personne de manière unique

Les entretiens de recherche peuvent faire émerger des données sensibles même lorsque le chercheur n'a pas l'intention de les collecter.

Par exemple, un participant décrivant ses conditions de travail peut mentionner un handicap. Une personne évoquant ses expériences communautaires peut révéler son origine ethnique ou sa religion.

S'il existe une probabilité raisonnable que votre entretien suscite ce type de données, vous devez le prévoir avant le début de l'enregistrement.

Pour les données sensibles, l'article 9 exige soit :

a. Consentement explicite : article 9(2)(a)

Une norme plus stricte que le consentement standard. Le participant doit faire une déclaration claire, spécifique et positive qui nomme la catégorie de données sensibles traitée.

Une case à cocher générale indiquant « J'accepte de participer à cette étude » ne satisfait pas à cette norme. Il vous faut un élément de consentement distinct et spécifique, formulé par exemple ainsi : « Je consens à l'enregistrement et au traitement d'informations relatives à mon état de santé dans le cadre de cette recherche. »

b. Exemption pour la recherche scientifique : article 9(2)(j)

Le traitement à des fins de recherche scientifique, à condition qu'il soit autorisé par le droit national et assorti de garanties appropriées au titre de l'article 89(1), y compris la pseudonymisation dans la mesure du possible.

La possibilité de recourir à cette voie dépend de la transposition nationale du RGPD dans votre État membre.

L'Allemagne, la France, les Pays-Bas et d'autres ont adopté une législation d'habilitation, mais les conditions précises varient.

Ce qu'un formulaire de consentement conforme au RGPD pour les entretiens de recherche doit contenir

Un formulaire de consentement RGPD pour les entretiens de recherche n'est pas une simple formalité. Au titre de l'article 7(1), le chercheur doit être en mesure de démontrer que le consentement a été donné, ce qui fait du formulaire (ou d'un enregistrement du consentement verbal) un élément de la piste d'audit de la recherche.

Chaque élément ci-dessous correspond à une obligation RGPD précise.

1. Identité du responsable du traitement : article 13(1)(a)

Le nom complet du chercheur et son rattachement institutionnel. Si l'établissement est le responsable du traitement, nommez-le et fournissez un point de contact.

2. Finalité du traitement et base légale : article 13(1)(c)

Une description précise de la finalité de la recherche, ainsi que la base légale sur laquelle vous vous appuyez (consentement, intérêt public, etc.).

« Recherche universitaire » ne suffit pas ; précisez à quoi servira l'enregistrement : analyse, publication de citations anonymisées, archivage, ou une combinaison de ces usages.

Si vous recherchez un consentement large pour un domaine de recherche défini, vous devez décrire ce domaine clairement.

3. Qui aura accès à l'enregistrement et à la transcription : article 13(1)(e)

Nommez les catégories de personnes ayant accès : le chercheur principal, les co-chercheurs, un service de transcription, un superviseur.

Si vous utilisez un outil de transcription tiers, les participants doivent en être informés avant le début de l'enregistrement.

4. Durée de conservation : article 13(2)(a)

Indique combien de temps les enregistrements et les transcriptions seront conservés et à quel moment ils seront supprimés.

Si la conservation est liée à une date de fin de projet ou à un calendrier de publication, précisez-le.

5. Droits des participants : articles 13(2)(b) à (d)

Renvoie au droit des participants d'accéder à leurs données, au droit à l'effacement et au droit de retirer leur consentement à tout moment sans pénalité, avec un point de contact pour exercer ces droits.

Si votre base légale est l'intérêt public plutôt que le consentement, indiquez plutôt que les participants disposent du droit d'opposition au titre de l'article 21.

6. Transferts hors UE/EEE : article 13(1)(f)

Obligatoire si les serveurs ou les sous-traitants ultérieurs de votre service de transcription sont situés hors de l'UE ou de l'EEE. Indiquez le mécanisme de transfert utilisé, par exemple les clauses contractuelles types.

Vous pouvez aussi recourir à un service de transcription européen qui conserve vos données au sein de l'UE.

Reportez-vous à l'art. 13 du RGPD pour en savoir plus.

7. Consentement granulaire pour chaque activité de traitement

L'enregistrement, la transcription par un tiers, la publication de citations directes et l'archivage des données nécessitent chacun un élément de consentement distinct. Une seule case « J'accepte de participer » ne satisfait pas à l'exigence de spécificité du RGPD.

Le consentement verbal est admis par le RGPD, mais le chercheur doit en conserver la preuve, généralement l'enregistrement lui-même, le consentement verbal étant recueilli au début.

Pour les besoins de la piste d'audit, le consentement écrit ou par e-mail est vivement recommandé, en particulier pour les projets qui feront l'objet d'une procédure d'approbation éthique.

Vous chargez des entretiens sur un service de transcription ? Voici ce que vous devez vérifier au préalable

Lorsque vous chargez l'enregistrement d'un entretien de recherche sur une plateforme de transcription dans le cloud, vous transférez des données à caractère personnel à un tiers.

L'article 28 du RGPD exige que cette relation soit encadrée par un contrat de sous-traitance (DPA) écrit entre vous (le responsable du traitement) et le prestataire de transcription (le sous-traitant).

Un DPA n'est pas facultatif. Sans lui, vous traitez des données à caractère personnel en dehors de tout cadre légal, quelle que soit la robustesse des pratiques de sécurité du prestataire.

Dans un contexte de transcription, le DPA doit préciser :

• La finalité et la base légale du traitement de vos fichiers audio par le prestataire
• Le lieu de stockage des données (UE/EEE ou un pays de transfert approuvé)
• Les mesures de sécurité en place (chiffrement en transit et au repos, contrôles d'accès)
• La liste des sous-traitants ultérieurs auxquels le prestataire fait appel, y compris les éventuels modèles d'IA tiers
• Les obligations de notification de violation du prestataire : au titre de l'article 33(2), le sous-traitant doit alerter le responsable du traitement dans les meilleurs délais dès qu'il a connaissance d'une violation, afin que le responsable du traitement puisse respecter son propre délai de 72 heures pour notifier l'autorité de contrôle
• Les obligations de suppression : comment et quand le fichier audio et toute donnée de traitement intermédiaire seront supprimés une fois la transcription terminée

Utilisez HappyScribe pour transcrire vos entretiens de recherche

HappyScribe est un outil de transcription, basé à Barcelone, qui transforme l'audio et la vidéo en texte, en proposant à la fois la transcription par IA et des options relues par des humains. Les chercheurs l'utilisent pour les transcriptions d'entretiens, les groupes de discussion et les enregistrements de terrain.

Voici comment HappyScribe répond aux exigences de consentement RGPD que nous avons abordées jusqu'ici :

1. Hébergement des données dans l'UE : HappyScribe exploite ses serveurs au sein de l'Union européenne, dans un centre de données Tier IV, conforme aux normes ISO 27001 et PCI DSS. Les données ne quittent pas l'EEE pour leur traitement.

2. Certification SOC 2 Type II : Des auditeurs indépendants examinent les contrôles de sécurité de la plateforme au titre de la norme SOC 2 Type II. Les comités d'éthique universitaires et les comités d'éthique de la recherche (IRB) exigent de plus en plus cette documentation dans le cadre de l'approbation éthique.

3. Contrat de sous-traitance (DPA) : Les utilisateurs institutionnels et en entreprise peuvent contacter directement l'équipe pour demander un DPA. Il définit par écrit la relation entre responsable du traitement et sous-traitant, les finalités du traitement, les obligations de sécurité et les délais de suppression, comme l'exige l'article 28.

4. Relecture humaine pour une précision de 99 % : Pour les projets où la précision sur des contenus d'entretiens sensibles n'est pas négociable, le service de relecture professionnelle de HappyScribe confie les transcriptions à des linguistes experts de langue maternelle, qui signent un accord de confidentialité (NDA) avant d'examiner le moindre contenu. Le processus reste à tout moment dans le cadre de traitement encadré par le DPA.

5. Suppression des fichiers sur demande : Les chercheurs peuvent supprimer définitivement les fichiers audio de la plateforme une fois la transcription terminée. Cela favorise la minimisation des données et facilite le respect des demandes d'effacement des participants.

Inscrivez-vous sur HappyScribe et commencez à transcrire, ou contactez l'équipe commerciale pour un forfait sur mesure.

Anonymiser vos transcriptions : ce que dit le RGPD

Une fois la transcription réalisée, la distinction essentielle est celle entre pseudonymisation et anonymisation, car elles ont des implications très différentes au regard du RGPD.

Suivez ces étapes pratiques pour pseudonymiser vos transcriptions :

• Attribuez des codes aux participants (P1, P2) dès la transcription, avant que la transcription ne soit partagée avec un membre de l'équipe
• Supprimez les noms d'employeurs, les lieux précis, les dates et les fonctions lorsqu'ils restreignent l'identification. Généralisez plutôt que de supprimer dans la mesure du possible, car cela préserve la valeur analytique : remplacez une date exacte par un trimestre ou une année, remplacez un employeur nommé par son secteur d'activité, remplacez une ville précise par une région
• Stockez la clé de ré-identification (table de correspondance code-nom) séparément des transcriptions, en limitant l'accès au chercheur principal
• Traitez la clé de ré-identification elle-même comme une donnée à caractère personnel : elle doit être protégée et conservée selon les mêmes règles de sécurité et de conservation que le reste de votre jeu de données
• Si un participant exerce son droit à l'effacement, évaluez si la transcription pseudonymisée permet encore une ré-identification ; si tel est le cas, elle doit être supprimée ou davantage anonymisée

Intégrez la conformité à votre processus de recherche

La conformité au RGPD pour la recherche par entretiens se résume à quelques décisions prises en amont : la bonne base légale, un formulaire de consentement qui tient vraiment la route, et un partenaire de transcription qui ne deviendra pas votre maillon faible.

Réglez ces questions avant de lancer l'enregistrement, et le reste — anonymisation, pseudonymisation, conservation et droits des participants — suivra naturellement.

HappyScribe prend en charge la partie infrastructure : hébergement des données dans l'UE, certification SOC 2 Type II et DPA sur demande, pour que vous puissiez vous concentrer sur les décisions de conception de la recherche que vous seul pouvez prendre.