Transcrire un message vocal, est-ce un enregistrement d'appel au sens du RGPD ?

Transcrire un message vocal n'est pas enregistrer un appel : base légale, information du correspondant, conservation et sous-traitance expliquées pour les avocats.

— Équipe VoxNow — 10 min de lecture

Non. Transcrire un message vocal qu'un correspondant a déposé volontairement sur votre messagerie n'obéit pas au même régime qu'enregistrer une conversation téléphonique en cours. Les deux opérations traitent des données personnelles et tombent sous le RGPD, mais leur qualification, leur base légale et leur niveau de risque diffèrent. C'est ce point précis, presque jamais expliqué, qui détermine ce que vous devez mettre en place dans votre cabinet.

La distinction que (presque) personne n'explique

L'écoute et l'enregistrement d'une conversation téléphonique en cours sont un sujet que les autorités de protection des données encadrent strictement, souvent parce que la personne enregistrée n'a pas toujours conscience, à l'instant où elle parle, qu'un dispositif capture ses propos. En Belgique, le principe de départ est même l'interdiction : l'Autorité de protection des données rappelle qu'il est en principe interdit d'enregistrer une communication électronique, professionnelle ou privée, et que seules des exceptions précises permettent d'y déroger : le consentement de toutes les personnes impliquées, deux exceptions techniques (centres d'appels, preuve d'une transaction commerciale), ou une autorisation légale spécifique.

Le message vocal déposé sur une messagerie est une situation différente. Le correspondant compose un numéro, tombe sur un message d'accueil, entend qu'il peut laisser un message, et choisit de le faire. Il sait qu'il s'adresse à une boîte vocale et pas à un interlocuteur en direct. Sa finalité n'est pas de garder une trace pour lui-même ou de piéger qui que ce soit : il veut que sa demande soit traitée. Ce geste volontaire, posé en connaissance de la mécanique, rapproche le message vocal d'un courrier électronique ou d'un formulaire de contact plus que d'une écoute téléphonique. La CNIL elle-même, dans sa doctrine sur l'enregistrement des conversations, distingue les situations où la personne a accepté de contractualiser ou d'échanger par ce canal de celles où l'enregistrement se fait à son insu.

Cette distinction ne dispense d'aucune obligation RGPD. Elle change l'analyse : la base légale envisageable, le niveau de vigilance sur l'information préalable, la manière dont vous justifiez le traitement dans votre registre. Restons prudents sur sa portée : elle repose sur la nature du geste, un dépôt volontaire sur une boîte vocale identifiée comme telle, pas sur une exemption générale de la messagerie professionnelle. Un message d'accueil muet sur l'existence d'un traitement automatisé resterait un problème de transparence, quelle que soit la qualification retenue.

Deux traitements distincts, deux régimes

Le deuxième point technique, rarement détaillé, tient à ceci : l'enregistrement du message vocal et sa transcription par IA ne sont pas une seule et même opération au sens du RGPD. Ce sont deux traitements de données personnelles, chacun avec sa propre finalité, sa propre base légale possible et sa propre durée de conservation.

Le premier traitement est la captation et le stockage du fichier audio, dont la finalité est de conserver la trace sonore le temps que le cabinet y accède. Le second est la transcription et le résumé automatisés : un traitement algorithmique appliqué au contenu, destiné à produire un texte exploitable et à le transmettre par email à l'avocat. Un troisième, souvent oublié, est l'envoi du SMS automatique au correspondant : le numéro de téléphone y est utilisé à une fin distincte, accompagner la personne vers la suite de sa demande.

Traiter ces trois opérations comme un seul bloc indifférencié est l'erreur la plus fréquente. Elle conduit à leur appliquer une durée de conservation unique, généralement trop longue, et à ne documenter qu'une seule finalité dans le registre alors qu'il en existe plusieurs. La norme simplifiée de la CNIL sur l'écoute et l'enregistrement des conversations téléphoniques, bien qu'elle ait perdu sa valeur contraignante depuis l'entrée en application du RGPD le 25 mai 2018, donne un repère chiffré que la CNIL invite encore à utiliser comme point de départ : les enregistrements bruts ne devraient pas être conservés au-delà de six mois à compter de leur collecte, et les documents d'analyse tirés de ces enregistrements, un an maximum. Un message vocal professionnel conservé indéfiniment dans une boîte mail, sans purge ni politique documentée, ne respecte ce repère dans aucune de ses composantes.

Les 6 obligations concrètes du cabinet

Concrètement, un cabinet qui fait transcrire ses messages vocaux par un service comme VoxNow reste responsable de traitement pour les données de ses correspondants. Six obligations en découlent directement.

Une base légale identifiée. Pour la majorité des appels reçus par un cabinet d'avocats, l'intérêt légitime du cabinet à traiter les demandes entrantes est la base la plus solide, éventuellement combiné à l'exécution ou la préparation d'un contrat lorsque le correspondant est déjà client. Documentez ce choix, ne le laissez pas implicite.

L'information du correspondant. Le message d'accueil doit mentionner, même brièvement, qu'un dispositif de traitement automatisé (transcription) s'applique aux messages laissés, et renvoyer vers une politique de confidentialité accessible sur le site du cabinet pour le détail : identité du responsable de traitement, finalités, durée de conservation, droits de la personne. Une simple phrase orale ne suffit pas si rien ne la complète par écrit.

La minimisation. Ne faites transcrire et ne conservez que ce qui sert la finalité déclarée. Un cabinet n'a pas besoin de garder le fichier audio brut une fois la transcription vérifiée et le dossier ouvert, sauf motif spécifique documenté.

Une durée de conservation définie et appliquée. Fixez une durée pour chaque traitement (audio, transcription, SMS envoyé) et assurez-vous qu'elle est techniquement appliquée, pas seulement écrite dans une procédure que personne ne suit.

La sécurité. Accès restreint aux seules personnes du cabinet qui en ont besoin, chiffrement des échanges, traçabilité des accès.

Le registre des traitements. Chaque cabinet, même individuel, doit consigner ce traitement dans son registre : finalités, catégories de données, destinataires, durées, mesures de sécurité.

Ces six points ne sont pas théoriques. L'Autorité de protection des données belge a sanctionné en mai 2026 la Société Wallonne des Eaux à hauteur de 86 000 euros pour des manquements qui touchent directement ce type de traitement téléphonique : un défaut de transparence envers les appelants enregistrés, l'absence de mécanisme simple pour s'y opposer, une conservation au-delà du délai applicable, et un contrat de sous-traitance resté non finalisé pendant près de cinq ans avec le prestataire chargé d'analyser les appels. Aucun de ces manquements n'est propre aux grandes structures : un cabinet de trois avocats peut commettre exactement les mêmes.

Le prestataire est un sous-traitant : ce que cela change

Le service qui transcrit vos messages vocaux traite des données personnelles pour votre compte et selon vos instructions. Au sens de l'article 28 du RGPD, c'est un sous-traitant, et vous restez responsable de traitement. Cette relation impose un contrat de traitement des données écrit, pas une simple mention dans les conditions générales d'utilisation.

Ce contrat doit couvrir des clauses précises : l'interdiction de réutiliser vos données pour entraîner des modèles d'IA, la localisation du traitement et du stockage dans l'Union européenne, une durée de conservation alignée sur vos propres politiques, la liste des sous-traitants ultérieurs (hébergeur, fournisseur du modèle de transcription), et une clause de notification en cas de violation de données. Un rappel : la chaîne de sous-traitance doit être surveillée, pas seulement signée une fois.

La localisation mérite une attention particulière lorsque le sous-traitant fait appel à un modèle de transcription hébergé hors Union européenne. Vérifiez où vos données transitent et sont stockées, et sur quel fondement un éventuel transfert hors UE serait encadré. Ce sujet est détaillé dans notre article sur l'hébergement des données de transcription vocale en Europe.

Quand une analyse d'impact devient nécessaire

L'analyse d'impact relative à la protection des données (AIPD), prévue à l'article 35 du RGPD, n'est pas systématique pour un traitement de transcription vocale en cabinet d'avocats. La CNIL rappelle qu'elle s'impose lorsque le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, et publie à cet effet des listes de traitements pour lesquels une AIPD est requise ou ne l'est pas.

Le piège classique est l'AIPD oubliée parce que le traitement paraît anodin : « ce n'est qu'un répondeur ». Deux facteurs peuvent faire basculer la transcription vocale dans la zone à risque élevé. La nature du cabinet, d'abord : un cabinet de droit pénal, de droit de la famille ou de droit de la santé traite des données sensibles ou relatives à des infractions dès le premier message. L'échelle, ensuite : un réseau de cabinets qui centralise plusieurs milliers d'appels par an chez un même prestataire ne raisonne plus comme un cabinet individuel recevant quelques dizaines de messages par semaine. Dans le doute, une analyse de risque simplifiée, même non formalisée en AIPD complète, documente au moins que la question a été posée. C'est souvent ce que les autorités reprochent en premier : pas l'absence de risque zéro, l'absence de réflexion tracée.

La checklist de conformité à conserver

Avant de signer avec un prestataire de transcription vocale, ou pour auditer votre installation actuelle, vérifiez chacun de ces points :

Copiez cette liste dans votre propre document de conformité et cochez-la à chaque révision de vos outils.

La double contrainte de l'avocat

L'avocat qui utilise un service de transcription vocale porte une double casquette rarement pensée ensemble. D'un côté, il est responsable de traitement au sens du RGPD. De l'autre, il reste soumis au secret professionnel, une obligation déontologique qui préexiste au RGPD et ne s'efface pas devant lui. Le Conseil National des Barreaux et la CNIL ont formalisé cette articulation par une convention renouvelée, où la CNIL rappelle que le respect des règles de protection des données est indispensable aux principes déontologiques de la profession, secret professionnel compris.

Le choix d'un prestataire de transcription ne peut donc pas se limiter à une conformité RGPD de façade : il faut que la mécanique protège aussi le contenu couvert par le secret, chiffrement et absence de réutilisation compris. Ce point, spécifique à la profession, fait l'objet d'un développement séparé dans notre article sur l'IA et le secret professionnel de l'avocat en Belgique.

Questions fréquentes

Faut-il informer le correspondant que son message vocal sera transcrit ?

Oui. Même lorsque le message est déposé volontairement, la transparence reste une exigence RGPD : le message d'accueil doit signaler l'existence d'un traitement automatisé, et une politique de confidentialité accessible doit en détailler les finalités et les modalités.

Quelle base légale utiliser pour la transcription des messages vocaux d'un cabinet ?

Dans la majorité des cas, l'intérêt légitime du cabinet à traiter les demandes entrantes est la base la plus adaptée, combiné le cas échéant à l'exécution ou la préparation d'un contrat lorsque l'appelant est déjà client. Documentez ce choix dans votre registre des traitements.

Combien de temps conserver un message vocal et sa transcription ?

Il n'existe pas de durée unique imposée pour la transcription de messagerie vocale d'un cabinet d'avocats, mais le repère donné par la CNIL pour l'écoute et l'enregistrement téléphonique (six mois pour l'audio, un an pour les documents d'analyse) reste une base de travail raisonnable, à adapter et documenter selon votre propre finalité.

Un télésecrétariat ou un service de transcription vocale est-il un sous-traitant au sens du RGPD ?

Oui, dès lors qu'il traite les données de vos correspondants pour votre compte et selon vos instructions, un tel prestataire est un sous-traitant au sens de l'article 28 du RGPD. Un contrat de traitement écrit est obligatoire, avec des clauses sur la durée de conservation, la localisation et la sous-traitance ultérieure.

Un cabinet d'avocats doit-il réaliser une AIPD pour la transcription de ses messages vocaux ?

Pas systématiquement. Le risque augmente avec la nature sensible des données traitées (droit pénal, droit de la famille, droit de la santé) et avec le volume d'appels centralisés chez un même prestataire. Dans le doute, documentez au minimum une analyse de risque simplifiée plutôt que de ne rien tracer du tout.

En pratique avec VoxNow

VoxNow transcrit vos messages vocaux et les résume dans votre boîte mail, pendant que votre correspondant reçoit un SMS de réponse, par exemple vers un formulaire d'ouverture de dossier connecté à Symplicy. Un point d'honnêteté avant d'aller plus loin : la transcription automatique se trompe parfois sur les noms propres ou les références de dossier, un point détaillé dans notre article sur les erreurs de messagerie vocale à surveiller, et elle ne remplace pas un secrétariat humain pour les urgences. Testez VoxNow gratuitement pendant 30 jours, sans carte bancaire.