CNPD: enregistrement des réunions privées — intérêt légitime sous conditions

Le 8 juillet 2026, la CNPD a publié une guidance sur l’«Enregistrement sonore des réunions» dans le secteur privé. Message central: le consentement est difficile à valider en pratique; l’intérêt légitime n’est possible qu’après un test rigoureux de nécessité et de mise en balance; et l’audio doit être supprimé dès validation du procès-verbal. Voir CNPD, Enregistrement sonore des réunions (08/07/2026): CNPD.

L’affaire

La CNPD précise le cadre de licéité au regard du RGPD, les exigences d’information et la durée de conservation. Point saillant: «quelle que soit la condition de licéité retenue, […] la durée de conservation relative aux enregistrements est intrinsèquement liée à la retranscription […] dans le procès-verbal»; les fichiers audio «doivent donc être supprimés dès lors que le procès-verbal a été rédigé et signé et approuvé.»

Le raisonnement juridique

1) Base légale — Article 6 RGPD

• Consentement (art. 6(1)(a)): valable uniquement s’il est libre, spécifique, éclairé et univoque. En réunion, l’asymétrie de pouvoir et l’absence d’alternative rendent souvent ce consentement non libre. Réf.: EDPB 05/2020, CNPD.
• Intérêt légitime (art. 6(1)(f)): trois conditions cumulatives — intérêt légitime réel et licite; nécessité (pas d’alternative aussi efficace et moins intrusive); mise en balance favorable (attentes raisonnables, nature des données, contexte, conséquences). Réf.: EDPB 1/2024; CJUE, C‑252/21.

2) Information — Article 13 RGPD

Information complète et préalable sur le fondement, les finalités, les destinataires, la durée, les droits et d’éventuels transferts hors UE. En pratique: une note d’information dédiée avant la réunion, puis un rappel oral en début de séance. Base: art. 13 RGPD.

3) Minimisation/nécessité et durée — Articles 5(1)(c) et 5(1)(e)

• Nécessité: rechercher des moyens alternatifs aussi efficaces et moins intrusifs (scribe, prise de notes, outils de transcription sans conservation du brut). Réf.: CNPD.
• Durée: suppression de l’audio dès signature/approbation du PV; l’audio n’est pas une archive. Base: art. 5(1)(e) RGPD.

4) Attentes raisonnables et contexte

Être enregistré peut inhiber la libre expression; la nature et le rythme des réunions influent sur la mise en balance. Réf.: EDPB 1/2024.

Ce que ça change concrètement

• Pour les directions, DPO et CISO: l’enregistrement «pour se simplifier le PV» n’est pas automatiquement licite. Sans alternative pour ceux qui refusent, le consentement tombe. Sur l’intérêt légitime, documentez un LIA prouvant l’utilité réelle, l’absence d’alternative aussi efficace et des garde-fous (pas d’analyse secondaire, chiffrement, accès restreint, suppression à J0 après approbation du PV). Pour l’accompagnement, un DPO certifié peut cadrer la base légale et le LIA.
• Réunions sensibles (audit, RH, relations sociales, M&A): le test de nécessité est rarement satisfait. Privilégier des prises de notes renforcées, une relecture contradictoire et un workflow d’approbation rapide. Réf.: CNPD.
• Réunions récurrentes: si un usage ponctuel aide à résoudre un désaccord objectif, le baliser contractuellement, informer ex ante, déclencher uniquement au moment utile, isoler l’extrait nécessaire et supprimer le reste dès arrêt du PV.
• Outils IA de transcription: rôle du prestataire (sous-traitant), lieu de traitement, garanties de transferts, suppression automatique, interdiction d’entraînement. Base: art. 28 et 44–49 RGPD. Pour cadrer vos usages, voyez notre offre en gouvernance IA.

Pièges fréquents

1. Remplacer le consentement individuel par un «vote en réunion». Unanimité ≠ consentement univoque et pérenne. Réf.: CNPD.
2. Absence d’alternative pour ceux qui refusent: sans possibilité de parler hors enregistrement, le consentement n’est pas libre. Réf.: EDPB 05/2020.
3. Durées de conservation «confort»: conserver «jusqu’à la prochaine réunion» viole l’art. 5(1)(e). La suppression est requise dès approbation du PV. Réf.: CNPD.
4. Information incomplète (art. 13): un bandeau «cette réunion est enregistrée» ne suffit pas. Réf.: RGPD.
5. Sous-traitant IA non encadré: absence de DPA conforme (art. 28) et contrôles de transferts (chap. V). Réf.: RGPD.

Check-list opérationnelle

• Clarifier la finalité: aide à la rédaction/validation du PV uniquement.
• Choisir la base légale:
  • Consentement: alternatives réelles, refus sans préjudice, traçabilité, arrêt à la demande. Réf.: EDPB 05/2020.
  • Intérêt légitime: LIA documenté, nécessité prouvée, mesures atténuantes, mise en balance consignée. Réf.: EDPB 1/2024.
• Informer (art. 13): note préalable + rappel oral en début de réunion.
• Paramétrer l’outil: enregistrement local chiffré, accès restreint, pas d’analyse secondaire ni d’entraînement IA.
• Supprimer l’audio dès approbation du PV; journaliser la suppression (preuve). Pour un cadrage RGPD au Luxembourg, voir les articles 5, 6 et 13 du RGPD.

Sources officielles

• CNPD (Luxembourg), Enregistrement sonore des réunions — 08/07/2026: https://cnpd.public.lu/fr/dossiers-thematiques/enregistrement-sonore-reunions.html
• EDPB, Guidelines 05/2020 (consent): https://www.edpb.europa.eu/documents/guideline/guidelines-052020-on-consent-under-regulation-2016679_en
• EDPB, Guidelines 1/2024 (art. 6(1)(f)): https://www.edpb.europa.eu/public-consultations/guidelines-12024-on-processing-of-personal-data-based-on-article-61f-gdpr_en
• CJUE, Meta v. Bundeskartellamt, C‑252/21: https://infocuria.curia.europa.eu/tabs/redirect/juris/liste.jsf?num=C-252/21
• RGPD (EUR‑Lex, art. 5, 6, 13): https://eur-lex.europa.eu/legal-content/EN-SV/TXT/?uri=CELEX%3A32016R0679

En synthèse

Dans le privé, l’enregistrement des réunions est une exception à baliser, pas un réflexe de confort. Les organisations luxembourgeoises doivent justifier la base légale, prouver la nécessité, informer clairement — et supprimer l’audio dès que le PV est approuvé.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.