Votre employeur a activé l’enregistrement automatique de vos réunions en visioconférence, un assistant d’intelligence artificielle transcrit chaque échange, rédige un compte rendu, repère les décisions et archive le tout sur un serveur que personne ne vous a décrit. Vous l’avez découvert par hasard, en voyant apparaître un encart « enregistrement en cours » ou en recevant un résumé d’une réunion à laquelle vous participiez sans avoir été prévenu. La question se pose immédiatement : l’entreprise avait-elle le droit de capter votre voix, vos propos et parfois votre image sans information préalable, de conserver ces traces pendant des mois et de les réutiliser pour évaluer votre travail ? La réponse tient en trois verrous cumulatifs que la Commission nationale de l’informatique et des libertés rappelle pour tout dispositif de contrôle de l’activité du personnel : justification et proportionnalité du dispositif, consultation des représentants du personnel et information préalable des salariés. Quand l’un de ces verrous manque, le dispositif est illicite, les enregistrements deviennent difficilement utilisables contre vous et l’employeur s’expose à une plainte devant la CNIL, à un contrôle, à une mise en demeure puis à une sanction. Cet article décrit la méthode complète : qualifier le traitement et les rôles de chacun, vérifier la licéité du dispositif, exercer vos droits d’opposition et d’effacement, saisir la CNIL et l’inspection du travail, contester l’usage des transcriptions devant le conseil de prud’hommes et obtenir réparation. Il s’adresse aussi aux dirigeants et aux directions des ressources humaines qui déploient ces outils : régulariser vite coûte toujours moins cher qu’une sanction publique.
I. Vérifier si l’enregistrement et la transcription de vos réunions sont licites
A. Trois conditions cumulatives : proportionnalité, consultation du CSE et information préalable
Un outil qui enregistre vos réunions et les fait transcrire par une intelligence artificielle constitue un traitement de données à caractère personnel : votre voix, vos propos, votre image et les métadonnées de connexion permettent de vous identifier directement. Le règlement européen impose dès lors que les données soient traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence), collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités, et adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Enregistrer toutes les réunions par défaut, conserver l’intégralité des transcriptions et les rendre accessibles à des managers qui n’ont pas besoin de les lire heurte ces trois principes ensemble : loyauté envers les participants, finalité précise et minimisation des données.
Premier test, celui de la justification et de la proportionnalité. Le code du travail dispose que nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché, selon l’article L. 1121-1 du code du travail. La CNIL en déduit qu’un dispositif de contrôle doit être proportionné à l’objectif poursuivi et ne pas porter d’atteinte excessive aux droits et libertés des personnes, et avertit qu’une surveillance constante est excessive : placer le personnel sous surveillance permanente est en général considéré comme une atteinte excessive. La capture systématique de chaque réunion, avec transcription intégrale et indexation des propos de chacun, ressemble à une surveillance constante dès lors qu’elle s’applique à tous sans distinction. L’employeur doit démontrer qu’il poursuit un objectif précis — par exemple établir des comptes rendus fiables pour des réunions techniques complexes — et qu’aucun moyen moins intrusif ne permet de l’atteindre : prise de notes tournante, enregistrement limité aux seules réunions qui l’exigent, transcription désactivée par défaut avec activation au cas par cas. La CNIL illustre cette logique par un exemple resté célèbre : un logiciel d’enregistrement de frappe au clavier pour surveiller un salarié ou une salariée en télétravail est disproportionné, car il ne distingue pas les informations professionnelles et personnelles et place le salarié sous surveillance constante. Le parallèle avec une transcription intégrale de toutes les réunions est direct : les échanges mêlent contenus professionnels et confidences personnelles, pauses et apartés, et l’outil capte tout sans discernement.
La jurisprudence sociale applique la même grille avec sévérité. La chambre sociale a jugé que des enregistrements issus d’une caméra braquée en permanence sur un salarié isolé, attentatoire à la vie personnelle du salarié et disproportionné au but allégué par l’employeur de sécurité des personnes et des biens, n’étaient pas opposables au salarié, selon l’arrêt de la Cour de cassation, chambre sociale, du 23 juin 2021, n° 19-13.856. Un dispositif de transcription permanente de vos réunions, activé sans tri ni limitation de durée, s’analyse de la même façon : captation continue, atteinte à la vie personnelle qui se prolonge au travail, et finalité invoquée — le confort documentaire — manifestement disproportionnée face à l’ampleur de la collecte. À l’inverse, quand le dispositif poursuit des finalités déterminées et légitimes, que le traitement ultérieur reste compatible avec ces finalités et que le salarié a été informé, la preuve tirée des enregistrements peut être déclarée recevable : c’est ce qu’a jugé la chambre sociale le 21 mai 2025 à propos d’images de vidéoprotection d’aéroport, en relevant que les données à caractère personnel concernant le salarié avaient été collectées pour des finalités déterminées et légitimes et avaient été traitées ultérieurement d’une manière compatible avec ces finalités, le salarié ayant été informé des finalités du dispositif de contrôle et de son droit d’accès aux enregistrements le concernant, selon l’arrêt n° 22-19.925. La leçon est symétrique et claire : sans finalité déterminée et sans information préalable, les transcriptions de vos réunions ne peuvent pas servir contre vous ; avec une finalité précise et une information réelle, l’employeur peut s’en prévaloir. Tout se joue donc sur les deux autres conditions.
Deuxième condition, la consultation des représentants du personnel. Le code du travail prévoit que le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés, selon l’article L. 2312-38 du code du travail. Un outil de transcription automatique des réunions permet de contrôler l’activité — présence, temps de parole, teneur des interventions — et entre donc dans ce champ, dans les entreprises d’au moins cinquante salariés. La CNIL confirme qu’avant toute mise en œuvre d’un dispositif de surveillance, l’employeur doit consulter le comité social et économique, et donne l’exemple d’une mise en œuvre illicite par l’installation d’équipements de contrôle sans consultation préalable du CSE. Concrètement, demandez aux élus s’ils ont été consultés et exigez le procès-verbal : son absence constitue déjà un premier manquement exploitable devant le juge comme devant la CNIL.
Troisième condition, l’information individuelle préalable de chaque participant. Le code du travail est sans détour : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance, selon l’article L. 1222-4 du code du travail. La CNIL ajoute que le dispositif doit être porté à la connaissance des personnes concernées préalablement à sa mise en place, pour satisfaire aux obligations de loyauté et d’information de l’employeur, comme elle l’expose dans sa page sur le contrôle de l’activité des personnes employées. Le règlement européen détaille le contenu de cette information : identité du responsable, finalités, base légale, destinataires, durée de conservation et droits dont chacun dispose, selon l’article 13 du règlement (UE) 2016/679. Un simple bandeau « cette réunion est enregistrée » affiché au moment où l’enregistrement démarre ne suffit pas : il ne dit ni pourquoi, ni sur quel fondement, ni combien de temps, ni à qui s’adresser pour s’y opposer. La Cour de cassation a cassé une décision qui validait des preuves vidéo alors que les salariés n’avaient été informés qu’après la mise en place du dispositif, en rappelant que les salariés concernés doivent être informés, préalablement à la mise en œuvre d’un traitement de données à caractère personnel, de l’identité du responsable du traitement, selon l’arrêt de la chambre sociale du 10 novembre 2021, n° 20-12.263. Si vous découvrez la transcription après coup, conservez la preuve de cette absence d’information : capture du paramétrage, témoignages de collègues, message annonçant l’activation a posteriori.
B. Le contrat avec l’éditeur, la base légale, les durées et les transferts hors Union
Derrière l’outil se cache une chaîne d’acteurs que le droit oblige à identifier. Votre employeur détermine les finalités et les moyens : il est responsable du traitement. L’éditeur de la visioconférence et du module d’intelligence artificielle, qui traite pour son compte, est sous-traitant, et son hébergeur devient sous-traitant ultérieur. Or lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées, selon l’article 28 du règlement européen. Le contrat doit encadrer l’objet, la durée, la nature et la finalité du traitement, interdire toute réutilisation des transcriptions pour entraîner les modèles de l’éditeur sans instruction documentée, limiter les accès aux seules personnes habilitées et organiser le sort des données en fin de contrat. Si l’éditeur s’autorise contractuellement à exploiter vos réunions pour améliorer ses modèles, à les faire annoter par des prestataires non déclarés ou à les conserver après la résiliation, le responsable du traitement manque à son obligation de n’engager que des sous-traitants offrant des garanties suffisantes. Demandez la communication du contrat de sous-traitance et du registre des traitements : le refus ou l’embarras de la direction en dit long sur l’état de la conformité.
Vient ensuite la base légale, c’est-à-dire ce qui autorise l’employeur à traiter ces données. Le règlement européen pose que le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie, selon l’article 6 du même texte. En pratique, l’employeur invoque l’intérêt légitime à documenter les réunions : le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. Cette base suppose une mise en balance réelle, documentée par écrit, entre l’utilité du dispositif et l’intrusion qu’il génère. Le consentement du salarié, parfois avancé, est une fausse solution : le lien de subordination vicie la liberté du consentement, et un salarié qui refuse la transcription ne doit subir aucune conséquence. L’exécution du contrat de travail ne fonde la transcription que pour les réunions où elle est objectivement nécessaire à l’accomplissement de la mission, jamais pour une captation généralisée. Retenez le point décisif : quand l’employeur se prévaut de son intérêt légitime, chaque participant peut s’y opposer pour des raisons tenant à sa situation particulière et exiger l’effacement, comme la suite de cet article l’explique.
Les durées de conservation forment le troisième point de contrôle. Le principe de minimisation s’applique dans le temps comme dans l’espace : ne garder ni tout, ni longtemps, ni accessible à tous. Pour l’enregistrement des appels sur le lieu de travail, dont la logique est transposable aux réunions, la CNIL admet que les enregistrements peuvent être conservés jusqu’à six mois au maximum et que les documents d’analyse peuvent quant à eux être conservés jusqu’à un an, et recommande la pratique de l’enregistrement tampon : écoute rapide, rédaction du compte rendu utile, puis suppression de l’enregistrement à bref délai. Appliquée aux réunions transcrites par intelligence artificielle, cette doctrine donne une grille simple : conservation de l’audio et de la vidéo le temps strictement nécessaire à la validation du compte rendu, quelques jours à quelques semaines, puis suppression ; conservation du compte rendu validé pour la durée utile à son objet ; purge documentée avec journal des suppressions. Une entreprise qui archive trois ans de transcriptions intégrales, accessibles à toute la hiérarchie, viole la minimisation. Le Conseil d’État l’a rappelé dans un contexte voisin, celui de la géolocalisation permanente de véhicules : la conservation de la totalité des données de géolocalisation des véhicules tous les 500 mètres n’était pas nécessaire au regard des finalités poursuivies, et la société conservait les données de géolocalisation pour une durée excessive, selon la décision du 6 décembre 2023, n° 467368, société Ubeeqo. La captation exhaustive et durable de vos paroles de réunion s’analyse exactement de la même manière.
Dernier point, souvent ignoré : le lieu de traitement. Beaucoup de modules de transcription envoient l’audio vers des serveurs situés hors de l’Union européenne, aux États-Unis notamment, pour un traitement ou un support technique. Tout accès depuis un pays tiers constitue un transfert, qui doit reposer sur un fondement propre du chapitre V du règlement : décision d’adéquation, clauses contractuelles types, garanties et évaluation du droit du pays de destination. L’absence de ce fondement vicie le dispositif en entier, indépendamment des conditions françaises. Interrogez par écrit l’employeur et le délégué à la protection des données sur les pays de stockage et d’accès, l’identité des sous-traitants ultérieurs et les garanties mises en place ; l’absence de réponse précise dans un délai d’un mois nourrit à la fois la plainte CNIL et le dossier prud’homal. Enfin, pour les déploiements à grande échelle — transcription généralisée à toute l’entreprise, scoring des interventions, analyse des émotions ou des opinions — le règlement impose d’examiner le risque avant de traiter : lorsqu’un type de traitement, en particulier par le recours à de nouvelles technologies, est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, le responsable du traitement effectue, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données, selon l’article 35. Exigez la communication de cette analyse d’impact : son absence, pour un dispositif nouveau et intrusif, constitue un manquement autonome.
II. Agir : droits individuels, plainte CNIL, inspection du travail et juge prud’homal
A. Salarié : exiger l’arrêt, l’effacement et la réparation, puis saisir les autorités
Commencez par écrire, vite et par écrit. Adressez au service des ressources humaines et au délégué à la protection des données une demande précise : communication des finalités, de la base légale, des destinataires, des durées de conservation, des pays de traitement et de l’analyse d’impact ; opposition à la transcription de vos interventions pour des raisons tenant à votre situation particulière ; effacement des enregistrements et transcriptions vous concernant ; désactivation du dispositif à votre égard tant que la réponse n’est pas apportée. Le règlement européen vous donne le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement des données à caractère personnel vous concernant fondé sur l’article 6, paragraphe 1, point e) ou f), y compris un profilage fondé sur ces dispositions, selon l’article 21, et le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel vous concernant, selon l’article 17. Le responsable doit répondre dans un délai d’un mois. Conservez chaque envoi et chaque réponse : l’absence de réponse, une réponse évasive ou un refus non motivé constituent des manquements distincts, sanctionnables indépendamment du fond du dispositif.
Si l’employeur maintient le dispositif, saisissez la CNIL par une plainte circonstanciée. Joignez la chronologie, vos demandes restées sans réponse utile, les captures montrant l’activation de l’enregistrement ou de la transcription, le paramétrage par défaut de l’outil, la liste des réunions captées et, si possible, les attestations de collègues et l’avis des élus. La CNIL peut ordonner au responsable de lui communiquer toute information nécessaire à ses missions, diligenter un contrôle, prononcer une mise en demeure publique de mise en conformité, puis infliger une sanction : ordonner au responsable du traitement et au sous-traitant de lui communiquer toute information dont elle a besoin pour l’accomplissement de ses missions fait partie des pouvoirs d’enquête de chaque autorité de contrôle, selon l’article 58 du règlement. L’échelle des sanctions françaises est dissuasive, et le Conseil d’État la valide régulièrement. Le 1er mars 2021, il a rejeté le recours d’une société condamnée à une sanction pécuniaire d’un montant de 500 000 euros avec publication de la délibération pendant une durée de deux ans, assortie d’une injonction de mise en conformité sous astreinte de 500 euros par jour de retard, selon la décision n° 437808, société Futura Internationale. Et le 6 décembre 2023, il a confirmé une sanction de 175 000 euros contre un opérateur qui géolocalisait en permanence ses utilisateurs, en jugeant que son montant ne présente pas un caractère disproportionné au regard de la nature des manquements, du nombre de personnes concernées et de la situation financière du groupe, selon la décision n° 467368. Une entreprise qui transcrit systématiquement les réunions de centaines de salariés sans information ni base solide s’expose à la même sévérité, avec la publicité de la sanction en prime.
Parallèlement, saisissez l’inspection du travail, compétente pour le contrôle des dispositifs de surveillance et les atteintes aux droits des salariés, et alertez les élus du comité social et économique, qui peuvent exiger la suspension du dispositif tant que la consultation n’a pas eu lieu. Si des transcriptions sont utilisées contre vous — entretien d’évaluation dégradé, avertissement fondé sur des propos tenus en réunion, licenciement motivé par des échanges captés — portez le litige devant le conseil de prud’hommes en contestant la preuve elle-même. La méthode du juge, fixée par la chambre sociale le 8 mars 2023, joue en votre faveur quand le dispositif est clandestin : le juge doit d’abord s’interroger sur la légitimité du contrôle et vérifier l’existence de raisons concrètes, puis rechercher si l’employeur ne pouvait pas atteindre un résultat identique en utilisant d’autres moyens plus respectueux de la vie personnelle du salarié, et enfin apprécier le caractère proportionné de l’atteinte portée à la vie personnelle au regard du but poursuivi, selon l’arrêt n° 21-17.802. Une transcription généralisée, déployée sans consultation ni information pour un simple confort documentaire, échoue aux trois étapes : ni raison concrète impérieuse, ni impossibilité de prendre des notes, ni proportion entre la captation permanente et l’objectif affiché. Les enregistrements doivent alors être écartés, et le licenciement qui reposait sur eux s’effondre avec sa preuve. Ajoutez la demande de réparation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi, selon l’article 82. La perte de contrôle sur votre parole professionnelle, l’anxiété liée à une surveillance permanente, l’atteinte à la réputation quand un résumé automatique déforme vos propos constituent un préjudice moral indemnisable, sans qu’il soit nécessaire de démontrer une diffusion externe. Chiffrez aussi le préjudice matériel : temps passé à faire valoir vos droits, frais de procédure, conséquences sur la rémunération variable quand l’évaluation s’appuie sur des transcriptions illicites.
B. Employeur : régulariser en cinq chantiers avant le contrôle
Dirigeants, directions des ressources humaines et délégués à la protection des données, la régularisation suit un ordre imposé par les textes, et chaque étape documentée réduit le risque de sanction. Premier chantier, la finalité et la proportionnalité : définissez par écrit l’objectif précis — par exemple sécuriser les comptes rendus des réunions de pilotage de projets — limitez le périmètre aux réunions qui l’exigent, désactivez l’enregistrement et la transcription par défaut, et démontrez qu’aucun moyen moins intrusif n’atteint le même résultat. Bannissez la captation permanente et l’analyse des comportements individuels à partir des transcriptions : évaluation au temps de parole, détection des opinions, scoring des participants. Ces usages détournés transforment un outil documentaire en surveillance des personnes et cumulent les manquements aux principes de finalité et de minimisation.
Deuxième chantier, le dialogue social et l’information. Consultez le comité social et économique avant toute mise en œuvre et avant toute extension du dispositif, recueillez son avis et versez-le au dossier de conformité. Informez ensuite chaque participant, préalablement et individuellement : identité du responsable, finalités exactes, base légale retenue avec la mise en balance qui la justifie, destinataires et habilitations, durées de conservation, pays de traitement et garanties, droits d’accès, d’opposition et d’effacement avec le contact du délégué. Prévoyez un rappel visible au démarrage de chaque réunion captée et une possibilité réelle de s’y opposer sans conséquence sur l’évaluation ou la carrière. La CNIL exige de l’employeur qu’il puisse prouver le respect de ces conditions, analyse de nécessité et cycle de vie des données à l’appui, comme elle le rappelle sur sa page consacrée au contrôle de l’activité des personnes employées.
Troisième chantier, le contrat avec l’éditeur. Exigez un contrat de sous-traitance complet, l’interdiction de réutiliser les contenus pour entraîner des modèles, la liste des sous-traitants ultérieurs, des mesures de sécurité vérifiables — chiffrement, journalisation des accès, cloisonnement par équipe — et un engagement de suppression en fin de contrat avec attestation. Vérifiez les pays de stockage et d’accès : si l’audio transite hors de l’Union européenne, mettez en place le fondement du chapitre V avant de poursuivre, faute de quoi le dispositif entier repose sur une illicéité que ni la consultation du CSE ni l’information des salariés ne purgent. Pour les aspects contractuels et la négociation avec l’éditeur, notre page dédiée aux contrats commerciaux à Paris décrit la méthode de sécurisation des relations avec les prestataires. Si votre contentieux porte plus largement sur une surveillance numérique au travail — traceurs d’activité, captures d’écran, webcam permanente — notre article sur le télétravail surveillé expose les recours parallèles devant la CNIL et les prud’hommes.
Quatrième chantier, les durées et les droits. Appliquez la doctrine de l’enregistrement tampon : conservez l’audio et la vidéo le temps de valider le compte rendu, puis supprimez ; ne gardez que le compte rendu utile, pour sa durée d’usage ; purgez selon un calendrier documenté. Organisez le traitement des demandes d’accès, d’opposition et d’effacement avec un circuit de réponse à un mois et un registre des suites données. Les États membres peuvent d’ailleurs prévoir des règles plus spécifiques pour protéger les salariés, puisque le règlement prévoit que des règles plus spécifiques peuvent assurer la protection des droits et libertés en ce qui concerne le traitement des données à caractère personnel des employés dans le cadre des relations de travail, selon l’article 88 : le code du travail français, avec ses exigences de proportionnalité, d’information préalable et de consultation, constitue précisément cet encadrement renforcé.
Cinquième chantier, l’anticipation du contrôle. Si la CNIL vous notifie une mise en demeure, traitez-la comme une dernière chance : le Conseil d’État valide les sanctions prises après une mise en demeure restée sans effet suffisant, comme l’illustre l’affaire Futura Internationale où la société avait disposé de deux mois pour se mettre en conformité avant la sanction de 500 000 euros. Suspendez le dispositif contesté le temps de la régularisation, documentez chaque correction, et ne rejouez pas devant la formation restreinte un dossier inchangé. En cas de sanction, le recours devant le Conseil d’État reste ouvert, mais il ne prospère que contre une erreur de droit ou une disproportion manifeste : les décisions Futura et Ubeeqo montrent que le juge administratif approuve des sanctions lourdes et publiques quand la collecte est massive, durable et mal informée.
En synthèse, la transcription de vos réunions par intelligence artificielle n’est ni interdite par principe ni libre par défaut : elle doit poursuivre une finalité déterminée, rester proportionnée, avoir été soumise au comité social et économique et portée à votre connaissance avant toute captation, reposer sur un contrat de sous-traitance solide et des durées courtes, et respecter vos droits d’opposition et d’effacement. Quand l’employeur a coché toutes ces cases, les transcriptions peuvent servir de preuve loyale ; quand il en manque une seule, le dispositif est contestable devant la CNIL, l’inspection du travail et les prud’hommes, et le préjudice subi est réparable. Dans les deux cas, le temps joue contre celui qui subit en silence : écrivez vite, conservez les preuves de l’absence d’information et faites vérifier le dispositif avant que les enregistrements ne soient utilisés contre vous.
Besoin d’un avis rapide sur votre dossier
Pour un avis sur votre dossier en numérique et données personnelles : consultation téléphonique : 80 EUR TTC avec Maître Reda KOHEN, avocat au Barreau de Paris. Téléphone : 06 46 60 58 22. Contact : formulaire de contact.