RGPD et vidéos clients : qui est responsable des données ?

Le RGPD s’applique à un enregistrement d’écran dès qu’il contient des données personnelles : un visage, une voix, un nom, une liste de clients dans un back-office. Pour les vidéos que votre agence envoie sur son propre travail, vous êtes en général responsable du traitement ; quand vous enregistrez les données de votre client en travaillant pour lui, vous êtes en général son sous-traitant. Dans les deux cas, l’outil qui héberge vos vidéos est lui aussi un sous-traitant : il vous faut donc un accord de traitement des données (DPA) avec lui, une trace écrite de ce que vous faites, et une limite à la durée en ligne des copies partagées.

Voici chacun de ces points expliqué simplement, avec les références au texte du RGPD, puis ce qu’il faut faire en pratique.

Quand une vidéo client contient des données personnelles

Le RGPD définit les données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable » (article 4.1). Dans une vidéo client typique, cela inclut :

• Vous et votre équipe. Votre visage dans la bulle caméra et votre voix suffisent à vous identifier.
• Les personnes à l’écran. Des noms dans un CRM, les e-mails des clients dans le back-office d’une boutique, le nom d’un collègue dans la barre latérale de Slack.
• Les personnes dont vous parlez. « Julien, de la compta, a demandé ce changement » est une donnée personnelle, dans l’audio comme dans les sous-titres.

Une vidéo d’un prototype Figma avec du texte factice et sans caméra n’en contient peut-être aucune. La plupart des vraies vidéos client en contiennent. C’est pour ça que notre checklist confidentialité avant d’enregistrer l’écran commence par garder les données des autres hors du cadre : une donnée qui n’est pas dans la vidéo n’a pas besoin d’être protégée.

Responsable du traitement ou sous-traitant : qui est responsable

Le RGPD répartit les responsabilités entre deux rôles :

• Le responsable du traitement « détermine les finalités et les moyens du traitement » (article 4.7). Il décide pourquoi et comment les données sont traitées.
• Le sous-traitant « traite des données à caractère personnel pour le compte du responsable du traitement » (article 4.8). Il suit les instructions du responsable du traitement.

Les lignes directrices du Comité européen de la protection des données (EDPB) sur ces notions insistent : les rôles dépendent de ce que chaque partie fait réellement dans une situation donnée, pas du nom que leur donne un contrat. Dans le travail client, trois situations reviennent sans cesse :

Situation	Responsable du traitement	Sous-traitant
Vous envoyez une vidéo sur votre propre travail : un devis, une revue de maquette, un point d’avancement	Votre agence	L’outil vidéo qui l’héberge
Vous enregistrez le back-office, le CRM ou les statistiques de votre client en production pour corriger ou expliquer quelque chose pour lui	Votre client	Votre agence, et l’outil vidéo comme sous-traitant ultérieur
Votre client enregistre un signalement de bug et vous l’envoie	Votre client (pour l’enregistrement)	Dépend de ce que vous en faites

Les rôles dépendent des faits de chaque cas. Ceci n’est pas un avis juridique.

C’est la deuxième ligne qui compte le plus. Si vous traitez les données des clients de votre client en tant que sous-traitant, le RGPD prévoit que vous ne recrutez pas un autre sous-traitant, comme un service d’hébergement vidéo, « sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement » (article 28.2). Votre contrat avec le client doit le prévoir, en général avec la liste des outils que vous utilisez.

Ce que chaque rôle doit faire

Les deux rôles n’ont pas les mêmes obligations. Voici celles qui comptent le plus pour les vidéos client :

Obligation	Responsable du traitement	Sous-traitant	RGPD
Décider pourquoi et comment les données sont traitées	✓	✗ suit des instructions documentées	Art. 4.7, 28.3.a
Choisir la base légale	✓	✗	Art. 6
Répondre aux personnes qui exercent leurs droits	✓	~ aide le responsable du traitement	Art. 28.3.e
Avoir un contrat de sous-traitance	✓ avec chaque sous-traitant	✓ et avec ses propres sous-traitants ultérieurs	Art. 28.3, 28.4
Faire appel à un autre sous-traitant	✓ l’autorise	~ seulement avec une autorisation écrite	Art. 28.2
Tenir un registre des activités de traitement	✓	✓	Art. 30.1, 30.2
Prendre des mesures de sécurité	✓	✓	Art. 32
Notifier une violation de données	✓ à l’autorité, si possible dans les 72 heures	~ au responsable du traitement, dans les meilleurs délais	Art. 33
Supprimer ou renvoyer les données en fin de prestation	Choisit l’option	✓	Art. 28.3.g

Version simplifiée du texte du RGPD publié sur EUR-Lex. Ceci n’est pas un avis juridique.

La base légale, simplement

Tout traitement doit reposer sur l’une des six bases légales de l’article 6.1. Pour les vidéos client, trois sont pertinentes :

• Le contrat (article 6.1.b) : le traitement est nécessaire à l’exécution d’un contrat avec la personne concernée. Cela correspond au freelance qui s’enregistre pour un client avec qui il a un contrat.
• L’intérêt légitime (article 6.1.f) : le traitement est nécessaire aux intérêts légitimes que vous poursuivez, à moins que les droits de la personne ne prévalent. Expliquer votre travail à un client en vidéo est un intérêt raisonnable ; montrer des données de tiers dont le spectateur n’a pas besoin est plus difficile à justifier.
• Le consentement (article 6.1.a) : souvent la première idée, et souvent la base la plus fragile. Les lignes directrices de l’EDPB sur le consentement expliquent que le consentement des salariés est rarement donné librement, à cause du déséquilibre des rapports de force avec l’employeur.

Quand vous agissez comme sous-traitant de votre client, c’est à lui de déterminer la base légale : vous suivez ses instructions.

L’accord de traitement des données

L’article 28.3 prévoit que le traitement par un sous-traitant « est régi par un contrat ou un autre acte juridique » qui lie le sous-traitant à l’égard du responsable du traitement. Ce contrat doit notamment prévoir que le sous-traitant :

• ne traite les données que sur instruction documentée du responsable du traitement, y compris pour les transferts hors de l’UE ;
• veille à ce que les personnes qui traitent les données soient tenues à la confidentialité ;
• prend les mesures de sécurité exigées par l’article 32 ;
• ne fait appel à d’autres sous-traitants que dans les conditions de l’article 28 ;
• aide le responsable du traitement à répondre aux personnes qui exercent leurs droits ;
• supprime ou renvoie les données à la fin de la prestation ;
• met à disposition les informations nécessaires pour démontrer le respect de ses obligations, et permet les audits.

En pratique, vous croiserez des DPA à deux endroits. Avec votre outil vidéo, le DPA de l’éditeur couvre les vidéos qu’il héberge pour vous. Les grands éditeurs ont en général un modèle standard : celui d’Atlassian, qui couvre Loom, s’applique automatiquement, comme nous le décrivons dans Loom et RGPD. Avec votre client, si vous agissez comme son sous-traitant, il vous demandera souvent de signer son DPA, ou vous pouvez proposer le vôtre.

Le registre des activités de traitement

L’article 30 demande à chaque responsable du traitement de tenir « un registre des activités de traitement effectuées sous leur responsabilité », et à chaque sous-traitant de tenir un registre des traitements qu’il effectue pour le compte des responsables du traitement. Le registre indique par exemple les finalités, les catégories de personnes et de données, les destinataires, les transferts hors de l’UE, les délais de conservation et les mesures de sécurité.

Il existe une exemption pour les organisations de moins de 250 employés (article 30.5), mais elle ne s’applique pas quand le traitement n’est pas occasionnel, est susceptible de comporter un risque ou porte sur des catégories particulières de données. Envoyer des vidéos client chaque semaine peut difficilement passer pour occasionnel : pour la plupart des agences, une courte fiche est donc le choix prudent. L’UE a proposé d’assouplir cette règle pour les petites entreprises, et l’EDPB et le Contrôleur européen de la protection des données (CEPD) ont rendu leur avis sur cette proposition en 2025 : vérifiez le texte en vigueur avant de compter sur l’exemption.

Une fiche pour les vidéos client peut tenir en cinq lignes : ce que vous enregistrez, pourquoi, quel outil stocke les copies partagées et où, qui reçoit les liens, et combien de temps les copies restent en ligne.

Combien de temps garder les copies partagées

Le principe de limitation de la conservation du RGPD prévoit que les données personnelles doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées » (article 5.1.e).

Pour une vidéo de retours, la finalité est atteinte une fois que le client l’a regardée et a répondu. La garder en ligne pendant des années ne sert pas cette finalité. Des liens qui expirent, ou une règle de conservation qui supprime les anciennes vidéos, appliquent ce principe sans que personne ait à y penser. Nous expliquons le côté pratique dans pourquoi les liens vidéo qui expirent sont plus sûrs.

Données dans l’UE ou transferts

Stocker les données dans l’UE (ou plus largement dans l’Espace économique européen) vous maintient dans le cadre normal du RGPD. Les envoyer vers un pays hors de l’UE constitue un transfert, et le chapitre V du RGPD ne l’autorise que sous certaines conditions (article 44) :

• une décision d’adéquation de la Commission européenne pour ce pays (article 45). Pour les États-Unis, la Commission en a adopté une le 10 juillet 2023 pour le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework), qui couvre les entreprises qui y adhèrent ;
• des garanties appropriées (article 46), le plus souvent les clauses contractuelles types adoptées par la Commission.

Un outil américain n’est donc pas exclu d’office, mais vous devez savoir sur quel mécanisme il s’appuie, et l’inscrire dans votre registre. Un outil qui stocke les copies partagées dans l’UE supprime cette étape pour l’hébergement lui-même. Vérifiez aussi ses sous-traitants : la transcription et les fonctionnalités d’IA sont souvent le point par où les données quittent la région.

Ce qu’une agence doit faire en pratique

Si vous mettez en place un fonctionnement vidéo de zéro, notre guide de la vidéo asynchrone pour la communication client couvre le côté pratique, et notre page sur l’enregistrement d’écran pour les agences montre comment JustRec s’intègre à une équipe.

La place de JustRec

Nous avons conçu JustRec pour que la partie RGPD demande moins de travail, pas pour que vous puissiez l’ignorer. Votre rôle et votre registre restent votre affaire ; quelques-unes des étapes ci-dessus deviennent plus courtes.