Conservation des données RGPD : durée audio, transcription et CR

Un DPO ou un RSSI reçoit souvent la même question après le déploiement d'un outil de transcription : « Combien de temps on conserve les fichiers audio et les transcripts ? » La réponse attendue est rarement un chiffre unique. Le RGPD impose une limitation de conservation (article 5-1-e) : garder les données le temps nécessaire à la finalité, pas « pour toujours ». Ce guide applique la conservation des données RGPD à la chaîne concrète : enregistrement → transcription → compte rendu. Pour choisir l'outil (localisation, DPA, anonymisation), voir notre outil de transcription conforme au RGPD.

Agilotext, solution française de transcription et de compte rendu, héberge les données en France chez AZ Network (hébergeur certifié HDS v2 et ISO 27001:2022) et positionne des durées paramétrables, jamais une conservation illimitée.

Conservation des données RGPD : le principe (pas de durée unique)

La CNIL rappelle que les données personnelles ne peuvent pas être conservées indéfiniment. La durée doit être déterminée par le responsable de traitement selon l'objectif qui a justifié la collecte. Ce principe figure dans le RGPD et la loi Informatique et Libertés.

Deux conséquences pratiques pour les équipes qui enregistrent des réunions :

• Il n'existe pas de durée maximale universelle pour « toutes les données personnelles ». Les tableaux sectoriels (RH, santé, facturation) sont des aides à la décision, pas un plafond unique applicable à votre transcript de comité.

• Vous restez responsable de traitement même si un sous-traitant SaaS héberge les fichiers. Vous devez pouvoir expliquer, dans le registre et auprès des personnes concernées, pourquoi l'audio et le texte sont encore présents.

Le Service public rappelle également les obligations de protection des données pour les entreprises : finalité, minimisation, sécurité et information des personnes (fiche F24270). La durée de conservation n'est qu'un volet de ce cadre ; elle ne remplace ni le consentement / l'information préalable, ni le contrat de sous-traitance.

Les trois âges de la donnée

La CNIL décrit un cycle de vie en phases successives. Pour un même traitement, vous pouvez (et devez souvent) distinguer :

L'archivage intermédiaire et l'archivage définitif ne sont pas automatiques. Leur nécessité se justifie traitement par traitement. Conserver un fichier audio « au cas où » sans finalité écrite n'est pas une politique de rétention : c'est une dette de conformité.

Mini-tableau : quelques repères de finalités (pas un catalogue exhaustif)

Les guides juridiques multi-secteurs dominent la SERP avec de longs tableaux RH ou comptables. Voici uniquement des repères pour cadrer la conversation en comité, sans prétendre remplacer un référentiel CNIL ou une analyse métier :

Pour les référentiels officiels (santé, RH, social…), partez de la page CNIL sur les durées et du guide pratique associé, puis adaptez à votre traitement.

Chaîne audio → transcription → compte rendu : trois objets, trois calendriers

Le piège classique consiste à appliquer une seule durée à tout le dossier réunion. Or vous manipulez souvent trois objets distincts, avec des finalités qui divergent vite.

L'enregistrement audio

L'audio contient la voix (donnée personnelle) et souvent le contenu identifiant des échanges. Sa finalité la plus fréquente en entreprise est d'aider à produire un compte rendu ou un PV fidèle. Une fois le document écrit validé, la bande-son perd en général sa justification opérationnelle.

La CNIL, dans le contexte de l'écoute et de l'enregistrement des appels sur le lieu de travail, insiste sur des durées limitées et sur des pratiques de type « tampon » : écouter rapidement, produire le document d'analyse, puis supprimer l'enregistrement sauf texte ou justification particulière. Transposer cette logique aux réunions : fixer une durée courte en base active, documenter toute exception (contentieux, obligation sectorielle).

La transcription

Le transcript textuel reste une donnée personnelle (noms, fonctions, propos). Il peut rester utile un peu plus longtemps que l'audio (relecture, reformulation, génération de CR via prompts), mais il n'est pas un archivage définitif par défaut. Limitez les accès, évitez les copies sur des Drive personnels, et prévoyez une purge alignée sur votre registre.

Le compte rendu (ou PV)

Le livrable écrit est souvent l'objet qui doit vivre plus longtemps : décisions, actions, preuve de délibération. Sa durée dépend alors de la nature du document (réunion projet, instance, archives administratives) et non de la durée de l'outil de transcription. Séparez mentalement : l'outil accélère la production ; votre politique d'archivage documentaire gouverne le CR.

Pour la licéité de l'enregistrement lui-même (information, base légale), voir pourquoi le consentement est essentiel et le guide pratique enregistrement de réunion. Cet article-ci ne traite que la rétention après un enregistrement déjà cadré.

Workflow en 6 étapes pour fixer votre politique de rétention

• Écrire la finalité

Exemple : « production du compte rendu de la réunion hebdomadaire produit ». Sans phrase claire, aucune durée n'est défendable.

• Lister les catégories d'objets

Audio brut, transcript, exports PDF/Word, pièces jointes de contexte, copies e-mail. Chaque catégorie peut avoir son propre calendrier.

• Fixer base active vs intermédiaire

Qui peut encore ouvrir l'audio après validation du CR ? Si personne n'a besoin opérationnel, sortez de la base active.

• Nommer le sous-traitant et le lieu de stockage

Pays des datacenters, hébergeur, DPA. Voir sous-traitant RGPD et DPA transcription et hébergement France pour la transcription.

• Décrire la purge opérationnelle

Qui déclenche la suppression ? Sous quel délai après validation ? Comment répondre à une demande d'effacement (article 17) ?

• Choisir la sortie : suppression ou anonymisation

Si vous devez encore partager un extrait, masquez d'abord les identifiants avec Agiloshield (détection d'entités, pseudonymisation réversible contrôlée). L'anonymisation n'est pas un prétexte pour tout garder nominatif « au cas où ».

Erreurs fréquentes (dont la promesse « illimité »)

Tout garder « au cas où ». Sans finalité, c'est contraire à la limitation de conservation. Un disque plein n'est pas une politique RGPD.

Confondre volume d'usage et durée de stockage. Des heures de transcription mensuelles (forfait Free, Pro, Business) mesurent la consommation du service, pas le droit de conserver indéfiniment chaque fichier. Ne transformez pas un forfait généreux en promesse de conservation illimitée.

Oublier les copies aval. Le risque naît souvent après export : pièce jointe, Drive ouvert, messagerie. Votre durée SaaS ne protège pas une copie oubliée ailleurs.

Se contenter du slogan « conforme RGPD ». Sans procédure de purge et sans registre, le badge marketing ne tient pas un contrôle.

Promettre une conservation illimitée (Business inclus). Ce discours est incompatible avec l'article 5-1-e et avec une posture d'éditeur responsable. Exigez des durées paramétrables et une capacité d'effacement réelle.

Comment Agilotext aide sans promettre l'illimité

Agilotext conçoit la conformité comme un critère de design produit, pas comme un argument décoratif.

• Hébergement France : données hébergées en France chez AZ Network, hébergeur certifié HDS v2 et ISO/IEC 27001:2022.

• Rétention paramétrable : l'objectif est de coller à votre politique (finalité, purge, anonymisation), pas de stocker « pour toujours ».

• Usage métier : transcription, compte rendu, éditeur avancé, assistant IA (email de suivi, post LinkedIn), apps iOS/Android sur les fonctions cœur, extension Chrome Agilotext pour la dictée dans le navigateur.

• Anonymisation : Agiloshield à partir de 19 € HT/mois (essai 14 jours sans CB) pour masquer personnes, organisations, adresses, identifiants avant diffusion.

• Tarifs publics : Free jusqu'à 6 h/mois, Pro à 13,99 € HT/mois (jusqu'à environ 34 h/mois), Business à 25 € HT/user/mois pour un usage intensif d'équipes. Des volumes généreux, jamais une conservation illimitée. Détail sur les tarifs Agilotext.

Essayer Agilotext pour tester le parcours audio → transcript → CR dans un cadre France documentable, puis caler vos durées avec votre DPO.