Dans le cadre de leurs activités, les entreprises, associations et autres organisations organisent régulièrement des réunions pour discuter des sujets inscrits à l’ordre du jour. À l’issue de ces échanges, un procès-verbal peut être rédigé afin de consigner par écrit les points abordés et les décisions prises. La question se pose de savoir si un enregistrement audio des réunions pourrait être envisagé afin de résumer les points principaux de la réunion ou de garantir la fidélité des retranscriptions des discussions dans un procès-verbal. La CNPD, confrontée à cette problématique dans le cadre de plusieurs dossiers, souhaite clarifier cette question dans la présente guidance. Celui-ci se concentre uniquement sur l’enregistrement de réunions intervenues dans le secteur privé (entreprises et associations) et non dans le secteur public (communes, Chambre des députés, etc.).
Tout d’abord, la question des enregistrements audio des réunions n’est pas directement prévue par la loi luxembourgeoise. L'analyse doit ainsi être fondée sur les dispositions en vigueur du RGPD ainsi que sur la jurisprudence pertinente.
La licéité des enregistrements de réunions pourrait différer en fonction de la condition de licéité choisie sur base de l’article 6 du RGPD. Dans cet article, la CNPD se concentre sur les conditions de licéité suivantes, les autres conditions du RGPD ne paraissant pas pertinentes en l’espèce :
- le consentement (point A ci-dessous) ;
- l’intérêt légitime (point B ci-dessous).
Le choix de l’une ou l’autre condition de licéité pourrait différer en fonction de la nature de l’entité, de ses missions et de la régularité des réunions.
A) SUR LE CONSENTEMENT
Le consentement (article 6 (1) a) du RGPD) pourrait, en théorie, être envisagé comme condition de licéité pour le traitement relatif à l’enregistrement audio de réunions. Toutefois, en pratique, il semble difficile de toujours remplir les conditions d’un consentement valide. Afin que ce dernier soit valide[1], il doit être :
- Libre : pour que le consentement soit libre, le responsable du traitement doit mettre en place des mesures permettant aux personnes concernées de ne pas consentir à l’enregistrement de leur parole sans pour autant être lésées (par exemple, prévoir une possibilité de couper l’enregistrement lorsque la personne parle, ou bien ne pas enregistrer la réunion si tous les participants n’ont pas consenti). Toutefois, il est à noter qu’en fonction du contexte du traitement, il est difficile de remplir cette condition en l’absence de mesures alternatives.
- Spécifique : le consentement doit être spécifiquement donné pour le traitement d’enregistrement audio.
- Eclairé : une information complète et préalable doit être fournie aux personnes concernées, contenant toute l’information obligatoire conformément à l’article 13 du RGPD.
- Univoque : doit être donné par un acte positif clair et non ambigu. Le consentement devant être univoque et devant être donné par chaque personne concernée individuellement.
Compte tenu de la nature des réunions et du nombre de participants, le recueil d’un consentement valide peut s’avérer, en pratique, complexe pour le responsable du traitement. A titre d’exemple, si aucune mesure alternative à l’enregistrement n’est prévue par le responsable du traitement, les personnes concernées qui refusent d’être soumises à ce traitement seront de fait automatiquement lésées. Le consentement ne serait donc pas libre.
Autre exemple, lorsque l’enregistrement des réunions découle d’un choix des membres présents lors d’une réunion. Un vote ne pourrait pas se substituer indéfiniment à un consentement, puisque les membres sont amenés à changer dans le temps et que viendra donc un temps où les membres qui ont unanimement votés sont différents des membres effectifs. De plus, en cas de conflits d’intérêts, le vote ne pourrait pas refléter le choix de chaque personne concernée. Le consentement ne serait donc pas univoque.
Au regard de ces éléments, il est raisonnable d’estimer que dans ce contexte, le consentement puisse être une condition de licéité valable dans certains cas spécifiques, mais difficile à recueillir et à être valide dans la plupart des cas de figure se présentant en pratique.
--------------------------------------------------------------------------------------------------
[1] Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 du 4 mai 2020.
B) SUR L’INTERET LEGITIME
Pour savoir si un traitement peut être basé sur l’intérêt légitime (article 6 (1) f) du RGPD), il y a lieu d’analyser si les 3 conditions cumulatives suivantes[1] sont remplies :
- Le responsable du traitement poursuit un intérêt légitime ;
L’intérêt est considéré « légitime » dans la mesure où celui-ci est licite au regard du droit, suffisamment clair et précis et non fictif[2].
L’enregistrement vidéo n’est pas interdit par la loi et peut revêtir une utilité concrète pour le responsable du traitement, notamment en garantissant la fidélité des retranscriptions. Il est donc raisonnable de considérer que le responsable du traitement pourrait invoquer un intérêt légitime.
- Le traitement envisagé est nécessaire à l’intérêt poursuivi ;
Il s’agit de vérifier si le traitement concerné permet d’atteindre la finalité/l’intérêt légitime poursuivi(e). Pour cela, il faut s’assurer en pratique qu’il n’existe pas de moyen alternatif aussi efficace et moins intrusif pour la vie privée d’atteindre cet objectif que de mettre en œuvre le traitement envisagé.
Il apparaît raisonnable d’estimer que d’autres moyens alternatifs aussi efficaces existent et puissent parfois être envisagés pour atteindre l’objectif poursuivi. Par exemple, il serait possible d’impliquer une personne tierce de confiance ayant une formation spécifique en la matière ou encore avoir recours à des techniques de prise de notes rapides, d’outils de transcription automatisés, etc. Néanmoins, en cas de désaccord entre une ou plusieurs personnes quant au contenu d’un procès-verbal, seule la réécoute de l’enregistrement de la réunion serait à même de pouvoir trancher le conflit.
Au regard de ces considérations, il convient donc d’apprécier au cas par cas si la condition de nécessité est remplie.
- Le traitement ne doit pas créer de déséquilibre au détriment des droits et libertés des personnes dont les données sont traitées.
Enfin, il est nécessaire que les intérêts du responsable du traitement l’emportent sur les droits et libertés des personnes concernées (balance des intérêts).
Pour réaliser cette mise en balance, le responsable du traitement doit tenir compte de plusieurs critères.
En l’espèce, les critères suivants paraissent importants à prendre en considération[3] (en faveur des droits et libertés des personnes concernées) :
- les intérêts, droits et libertés des personnes concernées ;
- l’incidence du traitement sur les personnes concernées : risque que les personnes ne se sentent pas libres de s’exprimer librement sachant qu’elles sont enregistrées ;
- la nature des données qui sont traitées ;
- le contexte et les conséquences du traitement ;
- les « attentes raisonnables » des personnes concernées.
- une balance des droits des personnes concernées et des intérêts du responsable du traitement avec la considération de circonstances atténuantes.
Compte tenu de ces éléments, il est essentiel de faire preuve de vigilance quant à l'impact potentiel du traitement, ainsi qu'au contexte et aux attentes raisonnables des personnes concernées. Il convient en particulier de prendre en compte la nature de l’entité concernée, ses missions, la régularité et l’importance des réunions, et le besoin précis qui pourrait justifier l’enregistrement.
------------------------------------------------------------------------------------------
[1] CJUE, jugement du 4 juillet 2024 C-252/21 Meta v. Bundeskartellamt.
[2] Groupe « article 29 » sur la protection des données, opinion 06/2014 sur la notion de l’intérêt légitime du responsable du traitement .
[3] Lignes directrices 1/2024 sur le traitement des données à caractère personnel basé sur l’article 6(1)(f) du RGPD adopté le 8 octobre 2024.
C) DUREES DE CONSERVATION DES DONNEES
Quelle que soit la condition de licéité retenue, la CNPD considère enfin que la durée de conservation relative aux enregistrements est intrinsèquement liée à la retranscription des discussions dans le procès-verbal. Les enregistrements doivent donc être supprimés dès lors que le procès-verbal a été rédigé et signé et approuvé.