L’autorité finlandaise de protection des données[1] a apporté, le 21 octobre 2021, des éclaircissements sur la façon dont les données pouvaient être communiquées, en accord avec le RGPD[2].

Une personne avait demandé à une entreprise dont elle était cliente de lui communiquer une copie de ses données à caractère personnel[3], notamment les enregistrements des appels téléphoniques passés entre elle et la société. La société a répondu à sa demande, mais en communiquant la retranscription des appels enregistrés plutôt que le son original.

La Commission a indiqué que le responsable de traitement est libre de choisir la forme sous laquelle les données étaient transmises[4] et considère donc acceptable que les enregistrements audios soient transmis sous forme de texte, si l’entreprise le souhaite et à condition que :

  • la demande de la personne concerne le contenu de l’enregistrement et non pas sur la voix elle-même ;
  • le texte soit une représentation exacte de l’enregistrement.

La Commission a également rappelé que la voix d’une personne est considérée comme une donnée à caractère personnel, car une personne peut être identifiée à partir de sa voix[5].

Par ailleurs, la personne ayant fait la demande de droits étant un professionnel, la Commission a indiqué que son statut n’avait pas d’incidence[6].

Lire :

Notes et références

  1. Autorité finlandaise de protection des données : Tietosuojavaltuutetun toimisto (tietosuoja.fi).
  2. RGPD : Règlement Général sur la Protection des Données (Règlement (UE) 2016/679).
  3. Le RGPD donne un certain nombre de droits aux personnes, dont celui de demander une copie des données à caractère personnel traitées par une entreprise (source : RGPD, article 15-3). Voir « Quels droits le RGPD donne-t-il aux personnes ? ».
  4. Le RGPD demande aux responsables du traitement des données de fournir les données « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples », « par écrit ou par d’autres moyens » (source : RGPD, article 12-1). Le choix du format des données est donc libre, à condition de respecter les autres critères.
  5. Le RGPD définit une donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable » (source : RGPD, article 4-1). La voix d’une personne peut permettre d’identifier une personne. Elle est donc considérée comme une donnée à caractère personnel. Voir « La voix d’une personne est-elle une donnée à caractère personnel ? ».
  6. Le RGPD définit une donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable » (source : RGPD, article 4-1). Le statut de la personne, particulier ou professionnel ne modifie pas cette définition. Voir « Doit-on respecter le RGPD lorsqu’on traite des données relatives à des professionnels ? ».