Un enregistrement de séance contient des données personnelles d'élus, d'agents et parfois d'administrés. Le confier à un tiers fait de lui un sous-traitant au sens de l'article 28 du RGPD, avec un contrat écrit obligatoire. Les huit clauses à exiger, et le seuil de marché public qui a changé le 1er avril 2026.
Que doit contenir le contrat avec un prestataire de transcription de conseil municipal ? Les huit mentions de l'article 28.3 du RGPD, dont l'instruction documentée, la confidentialité du personnel, les mesures de sécurité, l'autorisation préalable de sous-traitance ultérieure, l'assistance en cas de violation, et surtout le sort des données en fin de prestation. Le contrat écrit est obligatoire, sans exception, y compris pour un abonnement à quelques dizaines d'euros par mois.
C'est le point que la commande d'un service en ligne fait facilement oublier. On souscrit en trois clics, on téléverse un fichier audio, et la commune s'est constituée un traitement de données personnelles sans le cadre juridique qui va avec.
Pourquoi un enregistrement de séance est un traitement de données personnelles
La voix est une donnée personnelle. Un enregistrement de conseil municipal en contient plusieurs dizaines, identifiables et associées à des prises de position publiques.
S'y ajoutent, selon les séances :
- les noms des élus et le sens de leur vote, dont l'article L2121-15 du CGCT impose la mention au procès-verbal
- les noms d'agents cités dans les débats
- des situations individuelles d'administrés, en particulier sur les dossiers d'urbanisme, de voirie ou d'aide sociale
- parfois des éléments couverts par le huis clos décidé au titre de l'article L2121-16
Dès lors que ce fichier part chez un tiers pour être transcrit, la commune reste responsable de traitement et le prestataire devient sous-traitant. L'article 28 du RGPD s'applique intégralement.
Les huit clauses que le contrat doit contenir
L'article 28.3 exige un acte juridique écrit, papier ou électronique. Des conditions générales suffisent à condition qu'elles reprennent toutes les mentions, ce qui est rarement le cas des offres grand public.
Le contrat doit d'abord préciser le cadre du traitement : objet, durée, nature et finalité, type de données personnelles, catégories de personnes concernées, obligations et droits de la commune. Puis les huit engagements du prestataire :
- Traiter uniquement sur instruction documentée de la commune, y compris pour tout transfert hors de l'Union européenne.
- Garantir la confidentialité du personnel habilité à accéder aux données, par engagement contractuel ou obligation légale.
- Mettre en œuvre les mesures de sécurité de l'article 32 : chiffrement, contrôle d'accès, journalisation, restauration en cas d'incident.
- Ne pas recruter d'autre sous-traitant sans autorisation préalable de la commune. C'est la clause la plus souvent absente, alors que presque tous ces services reposent sur un hébergeur et un fournisseur de modèle tiers.
- Aider la commune à répondre aux demandes d'exercice des droits des personnes concernées.
- Assister la commune sur la sécurité, la notification des violations et l'analyse d'impact.
- Supprimer ou restituer intégralement les données au terme de la prestation, sauf obligation légale de conservation.
- Mettre à disposition les informations nécessaires pour démontrer la conformité et permettre des audits.
La CNIL propose des clauses contractuelles types entre responsable de traitement et sous-traitant. Elles ne sont pas obligatoires si le contrat contient déjà tous les éléments de l'article 28, mais elles constituent une base de comparaison commode quand on relit les conditions générales d'un prestataire.
Les quatre questions qui départagent les offres
Au delà des mentions formelles, quatre réponses déterminent si l'offre est réellement utilisable par une collectivité.
Où sont hébergées les données, et qui contrôle l'hébergeur ? Un datacenter européen exploité par une société de droit américain reste exposé au Cloud Act. La question n'est pas seulement géographique, elle est capitalistique. Nous détaillons ce raisonnement dans IA et collectivités : ce que vous devez exiger de votre prestataire.
Quel modèle de transcription est utilisé, et où tourne-t-il ? Beaucoup d'offres présentées comme françaises sont des interfaces posées sur une API américaine. Le nom du modèle et sa localisation doivent figurer au contrat, pas dans une page marketing.
Combien de temps l'audio et la transcription sont-ils conservés ? Pour un fichier de traitement, la réponse défendable est la suppression après export. Le RGPD ne fixe pas de durée : elle découle de la finalité, au titre de l'article 5.1.e. Le sujet est traité en détail dans Combien de temps conserver l'enregistrement audio d'un conseil municipal ?.
Les données servent-elles à entraîner un modèle ? L'exclusion doit être contractuelle, pas déclarative. Une mention dans une FAQ ne vaut pas engagement.
Le seuil de marché public a changé le 1er avril 2026
Point que beaucoup de guides en ligne n'ont pas encore intégré : le décret n° 2025-1386 du 29 décembre 2025 a relevé le seuil de dispense de publicité et de mise en concurrence préalables.
| Avant | Depuis le 1er avril 2026 | |
|---|---|---|
| Fournitures et services | 40 000 € HT | 60 000 € HT |
| Travaux | 40 000 € HT | 100 000 € HT |
Le relèvement s'applique aux marchés dont la consultation est engagée, ou l'avis d'appel à la concurrence envoyé à la publication, à compter du 1er avril 2026.
En pratique, un abonnement de transcription pour une commune se situe très largement sous ce seuil. La dispense porte toutefois sur la procédure de passation, pas sur les obligations RGPD : l'absence de mise en concurrence ne dispense d'aucune des huit clauses ci-dessus. C'est une confusion fréquente et coûteuse.
Rappelons aussi que la dispense n'exonère pas du principe de bon usage des deniers publics : il reste prudent de documenter le choix, ne serait-ce que par une comparaison écrite de deux ou trois offres.
L'erreur la plus fréquente : le compte personnel
Le scénario que nous rencontrons le plus souvent n'est pas un mauvais contrat, c'est l'absence de contrat. Un agent, pressé par le délai d'arrêt du procès-verbal, souscrit à titre individuel à un service de transcription et y dépose l'enregistrement de la séance.
Conséquences : aucun contrat de sous-traitance, aucune entrée au registre des traitements, aucune maîtrise de la durée de conservation, et des données qui restent accessibles depuis un compte qui suivra l'agent s'il quitte la collectivité.
La parade n'est pas la circulaire d'interdiction, qui ne résout pas le problème de délai à l'origine du contournement. C'est de fournir un outil conforme, disponible tout de suite.
Ce que nous mettons à disposition
Rostra est conçu pour être le sous-traitant qu'une commune peut contractualiser sans négociation préalable :
- Modèle de transcription Voxtral, de Mistral, entreprise française, hébergement en France
- Audio supprimé après traitement, contenus chiffrés en AES-256-GCM, purge à trente jours
- Contrat de traitement des données et inventaire des sous-traitants documentés, communicables sur demande
- Aucun entraînement de modèle sur vos contenus, par clause contractuelle
Un délégué à la protection des données mutualisé peut instruire le dossier sur pièces, sans avoir à reconstituer l'information à partir de pages commerciales.
En résumé
Un enregistrement de conseil municipal confié à un tiers déclenche l'application pleine de l'article 28 du RGPD. Le contrat écrit est obligatoire, quel que soit le montant, et doit couvrir les huit obligations, avec une attention particulière à l'autorisation de sous-traitance ultérieure et au sort des données en fin de prestation.
Le relèvement du seuil de dispense à 60 000 € HT simplifie la passation depuis le 1er avril 2026. Il ne change rien aux obligations de protection des données, qui ne connaissent pas de seuil.
Sources : article 28 du RGPD, clauses contractuelles types de la CNIL entre responsable de traitement et sous-traitant, décret n° 2025-1386 du 29 décembre 2025.