Visioconference et webinaires (Zoom, Teams, Google Meet) : les obligations RGPD avant d'enregistrer ou de collecter des inscriptions
Publie le 04/11/2026 · Temps de lecture : 10 min
Un rendez-vous client sur Zoom, une reunion d'equipe sur Teams, un webinaire de presentation diffuse via Google Meet : ces outils sont devenus le quotidien de la plupart des TPE et PME. Ce qu'on oublie souvent, c'est que chacun de ces usages traite des donnees personnelles au sens du RGPD, que ce soit le nom et l'email collectes a l'inscription, ou la voix et l'image des participants filmes pendant la reunion.
Deux series d'obligations se superposent : celles liees a la collecte des inscriptions, et celles liees a l'enregistrement de la reunion elle-meme. S'y ajoute une difficulte propre a ces outils : Zoom, Microsoft Teams et Google Meet sont tous les trois edites par des entreprises americaines, ce qui pose une question de transfert de donnees hors Union europeenne.
Sommaire
- Deux traitements distincts a ne pas confondre
- Les donnees d'inscription a un webinaire : quelle base legale ?
- Enregistrer une reunion : l'information prealable est obligatoire
- Zoom, Teams, Google Meet : des outils americains et le sujet des transferts hors UE
- Combien de temps conserver les enregistrements et les inscriptions ?
- Cas particulier : utiliser un webinaire pour la prospection commerciale
- Checklist avant votre prochain webinaire
- Questions frequentes
Deux traitements distincts a ne pas confondre
La premiere erreur consiste a traiter la visioconference comme un seul bloc. En realite, un webinaire ou une reunion en ligne recouvre generalement deux traitements de donnees separes, qui n'ont pas la meme finalite et peuvent justifier des bases legales differentes :
- le formulaire d'inscription : nom, prenom, email, parfois fonction ou entreprise, collectes avant l'evenement pour envoyer le lien de connexion ;
- l'enregistrement de la session elle-meme (voix, image, partage d'ecran, messages dans le chat), conserve pour une diffusion en replay ou un archivage interne.
Une entreprise peut parfaitement avoir besoin de collecter des inscriptions sans jamais enregistrer la session, ou inversement enregistrer une reunion interne sans aucun formulaire d'inscription. Chaque traitement doit etre analyse pour lui-meme, avec sa propre base legale au sens de l'article 6 du RGPD et sa propre duree de conservation.
Les donnees d'inscription a un webinaire : quelle base legale ?
Collecter un nom et un email pour permettre l'acces a un webinaire gratuit repose generalement sur l'interet legitime de l'organisateur (article 6.1.f du RGPD) : il est logique qu'une entreprise ait besoin de savoir qui va se connecter pour envoyer le lien et gerer les capacites techniques. Si le webinaire est payant, la base legale devient l'execution d'un contrat (article 6.1.b).
Dans les deux cas, l'article 13 du RGPD impose d'informer la personne, au moment meme de l'inscription, de la finalite exacte de la collecte, de la duree de conservation prevue et de ses droits. Un simple champ email sans aucune mention n'est pas conforme, meme si l'outil d'inscription est fourni directement par Zoom ou Microsoft : c'est l'organisateur, pas l'editeur de l'outil, qui reste responsable du traitement au sens de l'article 4 du RGPD.
Enregistrer une reunion : l'information prealable est obligatoire
Enregistrer la voix et l'image de personnes identifiables constitue un traitement de donnees personnelles a part entiere. Avant de lancer l'enregistrement, les participants doivent etre informes clairement : objectif de l'enregistrement (compte-rendu interne, diffusion en replay, formation), duree de conservation et personnes qui y auront acces. La plupart des outils affichent desormais un bandeau automatique a cet effet, mais cette notification technique ne dispense pas l'organisateur de verifier qu'elle apparait bien et qu'elle correspond a l'usage reel prevu.
Independamment du RGPD, le droit francais protege de maniere generale l'enregistrement de la parole ou de l'image d'une personne realise sans son accord dans un cadre prive (article 226-1 du code penal, qui prevoit jusqu'a un an d'emprisonnement et 45 000 euros d'amende). Ce texte vise avant tout les situations de la vie privee, mais il rappelle un principe simple qui s'applique aussi au cadre professionnel : on n'enregistre pas quelqu'un dans son dos.
Un exemple concret illustre ce que la collecte excessive peut couter en reputation, independamment de toute sanction legale : en avril 2020, Zoom a du retirer sa fonctionnalite de suivi de l'attention des participants (« attendee attention tracking »), qui permettait a l'organisateur de savoir si une autre fenetre etait active sur l'ecran d'un participant, apres une vague de critiques sur le respect de la vie privee des utilisateurs.
Zoom, Teams, Google Meet : des outils americains et le sujet des transferts hors UE
Zoom Video Communications, Microsoft et Google sont des entreprises americaines. Dès lors que les donnees de vos inscrits ou le contenu de vos reunions sont traites par leurs serveurs, la question d'un transfert de donnees hors Union europeenne se pose, au sens du chapitre V du RGPD.
Depuis le 10 juillet 2023, la Commission europeenne a adopte une decision d'adequation reconnaissant le Data Privacy Framework comme cadre suffisant pour les transferts vers les entreprises americaines qui s'y sont certifiees. Avant de choisir un outil de visioconference, il est donc utile de verifier si l'editeur figure sur le registre officiel (dataprivacyframework.gov) : c'est l'element de preuve le plus simple a presenter en cas de controle.
Les trois principaux editeurs proposent egalement des options de localisation des donnees : Microsoft met a disposition une limite de traitement et de stockage a l'Union europeenne pour les clients professionnels de Teams, Google Workspace permet de choisir une region de stockage europeenne pour certains services, et Zoom propose de selectionner les centres de donnees utilises pour router le contenu d'une reunion. Activer ces options ne remplace pas une analyse de conformite complete, mais reduit concretement le volume de donnees qui quitte effectivement l'UE. Le sujet est le meme que pour tout outil americain utilise par une TPE ou une PME (voir notre article sur les transferts de donnees hors UE).
Combien de temps conserver les enregistrements et les inscriptions ?
Le RGPD ne fixe pas de duree legale unique pour un enregistrement de reunion ou une liste d'inscrits : l'article 5.1.e impose seulement une conservation « limitee a ce qui est necessaire au regard des finalites ». En pratique, cela signifie fixer une regle claire et s'y tenir :
- un replay de webinaire destine aux inscrits n'a generalement plus d'utilite au-dela de quelques semaines a quelques mois apres l'evenement ;
- un compte-rendu de reunion interne peut etre conserve plus longtemps s'il documente une decision, mais doit alors etre traite comme une archive et non comme un enregistrement video brut comportant l'image de chacun ;
- la liste des inscrits a un webinaire ponctuel n'a plus de raison d'etre conservee une fois l'evenement termine, sauf si les personnes ont donne leur accord pour recevoir d'autres communications.
Cette regle doit figurer, au moins sous forme resumee, dans le registre des traitements de l'entreprise.
Cas particulier : utiliser un webinaire pour la prospection commerciale
Un webinaire est souvent un excellent outil de generation de prospects, mais cet usage doit etre anticipe des le formulaire d'inscription. Si l'objectif est de relancer commercialement les participants apres l'evenement, le formulaire doit le dire explicitement, avec une case dediee lorsque cela depasse le cadre strict de l'evenement. Les regles qui s'appliquent ensuite sont celles, deja connues, de l'emailing commercial : consentement prealable en B2C, exception encadree pour la prospection B2B vers une adresse professionnelle (voir notre article sur l'emailing et le RGPD). Melanger les deux finalites dans une seule case a cocher au libelle flou est l'une des erreurs les plus frequemment relevees lors des controles portant sur la prospection digitale.
Checklist avant votre prochain webinaire
Avant de publier le formulaire d'inscription de votre prochain evenement en ligne, verifiez ces six points :
- le formulaire d'inscription mentionne la finalite exacte de la collecte et la duree de conservation ;
- une case distincte existe si vous prevoyez d'envoyer des communications commerciales apres l'evenement ;
- les participants sont informes avant le debut de tout enregistrement de la session ;
- une date de suppression du replay et de la liste d'inscrits est fixee a l'avance ;
- l'outil choisi (Zoom, Teams, Google Meet ou autre) est verifie sur le registre du Data Privacy Framework ;
- le registre des traitements de l'entreprise mentionne ce traitement, meme de maniere resumee.
Une fois ces points verifies, le risque principal — celui de ne rien pouvoir presenter en cas de controle — est leve, meme si l'outil retenu reste un service americain.
Documentez vos traitements en quelques minutes
ConformiteFacile genere votre registre des traitements, vos mentions d'information et vos modeles de formulaires conformes, sans jargon juridique.
Mettre mon site en conformiteQuestions frequentes
Dois-je obtenir le consentement de chaque participant avant d'enregistrer une reunion Teams ou Zoom ?
Le RGPD n'impose pas systematiquement le consentement comme base legale : l'interet legitime peut suffire pour une reunion professionnelle, a condition d'informer clairement les participants avant le debut de l'enregistrement (objet, duree de conservation, destinataires) et de leur laisser la possibilite de s'y opposer ou de couper leur camera. Le consentement devient necessaire quand l'enregistrement sert a un usage different de la reunion elle-meme, par exemple une publication publique des echanges.
Les donnees collectees via le formulaire d'inscription a mon webinaire Zoom appartiennent-elles a Zoom ?
Non. L'entreprise qui organise le webinaire reste responsable du traitement au sens de l'article 4 du RGPD : c'est elle qui decide de la finalite (organiser l'evenement, relancer les participants) et des moyens. Zoom, Teams ou Google Meet n'agissent que comme sous-traitants au sens de l'article 28, ce qui implique un contrat de sous-traitance encadrant l'usage de ces donnees, generalement integre aux conditions d'utilisation professionnelles de l'outil.
Peut-on envoyer des emails commerciaux aux participants d'un webinaire apres l'evenement ?
Cela depend du statut du destinataire et de l'information donnee au moment de l'inscription. En B2C, une prospection par email necessite en principe un consentement prealable distinct de l'inscription au webinaire. En B2B, l'exception de prospection vers une adresse professionnelle s'applique sous conditions (lien avec la fonction du destinataire, lien de desinscription clair). Dans tous les cas, le formulaire d'inscription doit annoncer cet usage a l'avance, conformement a l'article 13 du RGPD.
Que risque une entreprise qui utilise Zoom, Teams ou Google Meet sans verifier les transferts de donnees ?
Le risque principal n'est pas l'usage de l'outil en lui-meme, mais l'absence de verification et de documentation. En cas de controle, la CNIL demande generalement de justifier la base legale, l'information donnee aux personnes et les garanties encadrant le transfert hors UE. Une TPE ou une PME de bonne foi qui ne peut presenter aucun element s'expose d'abord a une mise en demeure de se mettre en conformite dans un delai donne, avant toute sanction financiere.
A lire aussi
Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir
Lire
Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee
Lire