Vos enregistrements de tests utilisateurs : la zone aveugle RGPD

Pour la plupart des UX researchers, un enregistrement de test n'est qu'un outil de travail : on filme, on revoit, on cite. Mais juridiquement, ce fichier est un concentré de données à caractère personnel, et souvent bien plus que celles du participant que vous avez recruté.

Dressez l'inventaire de ce qu'une session de 45 minutes capte réellement :

• Le visage et la voix du participant — données biométriques au sens large, identifiantes par nature.
• Son nom, parfois prononcé, parfois visible dans un coin de l'écran partagé.
• Le contenu de son écran lorsqu'il teste sur son propre environnement : onglets ouverts, notifications, début d'un e-mail, nom d'un client à lui.
• Des verbatims sensibles : santé, opinions, situation financière, qui surgissent quand on parle d'usages réels.

Le point aveugle est là : vous pensez collecter l'avis d'un utilisateur sur une interface, vous collectez en réalité un fragment de sa vie numérique, et parfois des données appartenant à des tiers qui n'ont jamais rien consenti. Cette réalité change la nature de vos obligations.

Beaucoup de professionnels font signer une vague « autorisation » au début de l'étude et considèrent l'affaire réglée. Le RGPD raisonne autrement : il distingue des finalités différentes, et chacune requiert son propre fondement.

Un participant peut très bien accepter de participer mais refuser d'être filmé, ou accepter l'enregistrement à usage interne mais pas sa projection devant le comité de direction du client. Regrouper tout cela dans une seule case cochée d'avance, c'est s'exposer à un consentement non valide — donc à un traitement sans base légale.

S'ajoute le droit à l'image et à la voix, distinct du RGPD : même valablement collecté, un extrait diffusé hors du périmètre consenti peut fonder une réclamation personnelle du participant. Le formulaire de consentement n'est pas une formalité, c'est votre première ligne de défense.

Le RGPD répartit les obligations selon un rôle : êtes-vous responsable de traitement (vous décidez des finalités et des moyens) ou sous-traitant (vous traitez pour le compte d'un client qui, lui, décide) ?

En freelance pour le compte d'une marque, vous êtes le plus souvent sous-traitant : le client définit la recherche, vous l'exécutez. L'article 28 du RGPD impose alors un contrat de sous-traitance écrit, qui encadre vos obligations de sécurité, de confidentialité et de suppression des données en fin de mission.

Le piège : si ce contrat n'existe pas — et il manque dans une majorité de missions UX —, vous vous retrouvez à traiter des données personnelles sans cadre. En cas d'incident, vous ne pouvez pas vous abriter derrière le client : votre responsabilité propre est directement engagée.

À l'inverse, quand vous menez une recherche en votre nom (étude de marché auto-financée, recrutement via votre propre panel), vous devenez responsable de traitement, avec toutes les obligations qui en découlent : information des personnes, registre, gestion des droits d'accès et de suppression. Clarifier ce rôle avant chaque mission n'est pas un confort juridique : c'est ce qui détermine qui paie le jour où une donnée fuite.

Imaginez votre bibliothèque de sessions stockée sur un service cloud, partagée par lien avec une équipe produit. Un lien transféré sans précaution, un dossier mal configuré en accès public, un compte compromis par hameçonnage : des dizaines de vidéos de participants identifiables deviennent accessibles.

L'enchaînement est mécanique et coûteux :

• Notification à la CNIL sous 72 heures si la violation présente un risque pour les personnes — avec, à la clé, une instruction du dossier.
• Information des participants concernés, qui peuvent réagir mal en découvrant que leur visage et leurs propos circulent.
• Réclamations individuelles au titre du droit à l'image et du préjudice moral.
• Mise en cause par le client, dont la conformité RGPD est éclaboussée par votre faille.

Le coût ne tient pas qu'à une éventuelle sanction : il tient surtout aux frais de gestion de crise — expertise technique pour comprendre la fuite, accompagnement juridique pour la notification, communication. C'est exactement ce que prend en charge une garantie cyber : assistance à la notification, enquête forensique, défense, et indemnisation des tiers lésés.

Le préjudice immatériel causé au client par votre erreur de conformité relève, lui, de votre RC Professionnelle. Les deux garanties sont complémentaires, car un même incident mêle presque toujours faute de prestation et atteinte aux données.

La règle d'or du RGPD est la minimisation : ne collecter que ce qui est strictement nécessaire. Appliquée à la recherche UX, elle réduit drastiquement votre exposition, à coût nul.

Concrètement, plusieurs réflexes désamorcent l'essentiel du risque avant même qu'il n'apparaisse :

• Pseudonymisez dès la collecte : remplacez les noms par des identifiants (P01, P02) dans vos notes, transcriptions et livrables.
• Cadrez l'écran partagé : demandez au participant de fermer ses onglets personnels, sa boîte mail, ses notifications avant de filmer.
• Fixez une durée de conservation courte et tenez-la : supprimez les vidéos brutes une fois l'analyse terminée, ne gardez que des extraits anonymisés si nécessaire.
• Séparez les identités des données : la table de correspondance entre participants et identifiants doit vivre ailleurs, protégée, accessible à vous seul.

Moins vous détenez de données identifiantes, moins une fuite a de conséquences, et plus votre défense est solide en cas de contrôle. La conformité n'est pas l'ennemie de la recherche de qualité : un protocole propre rassure aussi les participants, et améliore la sincérité de leurs réponses.

Sécuriser votre activité ne demande pas une armée de juristes, mais trois pièces que vous pouvez constituer une fois pour toutes :

1. Un formulaire de consentement à options, distinguant participation, enregistrement et diffusion, avec cases séparées et durée de conservation indiquée.
2. Un contrat de sous-traitance type à faire signer au client, fixant qui décide, qui sécurise et qui supprime les données en fin de mission.
3. Une note de protocole RGPD décrivant où sont stockées les données, qui y accède et comment elles sont supprimées — votre preuve de diligence en cas de contrôle.

Ces documents transforment une zone de risque diffuse en un cadre maîtrisé. Et lorsqu'un incident survient malgré tout, ils démontrent votre sérieux et facilitent la prise en charge par votre assureur. Le détail des garanties applicables figure sur notre fiche assurance UX researcher.