Loom et RGPD : encadrer vidéos, accès et conservation

Une capture Loom peut montrer un dossier client, enregistrer une voix et produire une transcription consultable longtemps après la réunion. Pour une PME, la décision consiste à autoriser des usages précis, avec des destinataires et une durée définis. Le contrat Atlassian et les réglages de l’espace doivent correspondre à cette décision.

Définir ce qui peut être enregistré

Une démonstration sur un environnement fictif, une formation interne et un entretien individuel ne présentent pas les mêmes risques. Établissez une règle simple : fermer les applications inutiles, masquer les notifications, utiliser des données de démonstration et vérifier la vidéo avant de la partager. La collecte doit rester nécessaire à sa finalité. RGPD, art. 5(1)(b) et (c).

Une image ou une voix identifiable constitue une donnée personnelle. Elle n’est pas automatiquement une donnée biométrique relevant de l’article 9 : cette qualification suppose notamment le traitement technique et la finalité d’identification unique prévus par les textes. Le contenu peut toutefois révéler une information de santé, syndicale ou une autre catégorie particulière. RGPD, art. 4(14) ; art. 9(1).

Déterminez une base légale pour chaque usage et informez les personnes concernées. L’intérêt légitime exige une analyse de nécessité et une mise en balance ; le consentement doit pouvoir être refusé librement. Le contrat de travail ne suffit pas à justifier toute captation. Pour un changement d’audience, voyez la réutilisation d’une démonstration commerciale enregistrée. RGPD, art. 6(1) et 7 ; art. 13(1)–(3).

Vérifier le contrat applicable à Loom

Archivez le bon de commande, le contrat, le DPA applicable et la liste des sous-traitants correspondant à votre utilisation. Le DPA Atlassian affiché est applicable depuis le 17 août 2026. Il organise le traitement pour le compte du client, mais distingue aussi les activités pour lesquelles Atlassian agit comme responsable de traitement. Ses instructions comprennent les configurations choisies par le client. DPA Atlassian, §§1.1, 2.1 et annexe 1 §6.3.

La qualification contractuelle ne dispense pas de vérifier les garanties de sécurité, l’assistance aux droits, les notifications d’incidents et la suppression. Demandez quel parcours s’applique à un espace historique Loom et à un espace administré dans Atlassian. Notre guide de l’article 28 du RGPD aide à contrôler les engagements requis. RGPD, art. 28(1) et (3).

Résidence en Allemagne : vérifier l’espace réel

La documentation Loom décrit une résidence en Allemagne, à Francfort, lancée en mai 2026. Elle se choisit lors de la création d’un nouvel espace via l’administration Atlassian. Au 26 septembre 2026, la documentation ne permet pas de déplacer un espace existant dans cette région ni d’y transférer ses anciennes vidéos. Les clients historiques doivent également tenir compte de leur migration vers la plateforme Atlassian. Documentation Loom sur la résidence.

Le périmètre régional annoncé comprend les vidéos, transcriptions et contenus générés par l’IA. Certaines données de compte et de fonctionnement restent traitées globalement. Conservez donc la preuve de la région de votre espace, puis examinez séparément les flux hors région. Une option européenne ne constitue pas une garantie que tout traitement personnel reste dans l’Union. Même documentation, données régionales et données globales.

Pour les transferts, identifiez le destinataire et le mécanisme juridique réellement applicable. L’analyse d’impact des transferts concerne notamment les garanties de l’article 46 ; elle n’est pas automatiquement imposée à un transfert couvert par une décision d’adéquation. Voir le cadre des transferts de l’article 44. CNIL, guide des AITD.

Régler le partage avant les premiers enregistrements

Les paramètres par défaut ne corrigent pas les vidéos anciennes. Un administrateur doit donc contrôler aussi les liens déjà distribués. La possibilité d’imposer des restrictions dépend du plan et du mode d’administration ; un simple réglage par défaut peut rester modifiable par le créateur. Loom, paramètres de confidentialité.

Pour un tutoriel RH ou un dossier client, privilégiez l’accès nominatif. Vérifiez également les intégrations : Loom précise qu’activer les aperçus Slack peut révéler le titre et l’aperçu à des personnes qui ne peuvent pas regarder la vidéo. Un titre contenant le nom d’un salarié ou une difficulté médicale peut déjà divulguer une information. Loom, confidentialité des aperçus.

Encadrer les transcriptions et les fonctions IA

L’absence d’entraînement des modèles d’un prestataire tiers ne signifie pas absence de traitement. Les conditions IA Atlassian interdisent à ses sous-traitants d’utiliser les entrées et sorties pour entraîner ou améliorer leurs modèles. Les autres usages par Atlassian doivent être examinés dans les conditions, la documentation et les réglages applicables. Ne transposez pas automatiquement à Loom un réglage annoncé seulement pour Jira ou Confluence. Conditions IA Atlassian, §2.1.

Faites relire les transcriptions et résumés avant qu’ils deviennent une consigne, une évaluation ou un compte rendu RH. L’entreprise reste responsable de l’exactitude des données qu’elle utilise et de la limitation des destinataires. Une AIPD est obligatoire lorsque le traitement est susceptible d’engendrer un risque élevé ; elle ne devient pas obligatoire pour toute vidéo par le seul nom du logiciel. RGPD, art. 5(1)(d) ; art. 35(1).

Organiser une véritable suppression

Attribuez à chaque catégorie de vidéo un responsable et un événement de fin : remplacement du tutoriel, clôture d’un accompagnement ou fin d’une finalité documentée. Le RGPD ne fixe pas une durée unique pour toutes les vidéos d’entreprise. RGPD, art. 5(1)(e).

Loom propose des règles automatiques pour les espaces administrés par Atlassian sur les plans Enterprise et Premium. Le calcul part de la création de la vidéo ; activer une durée courte peut donc supprimer des contenus déjà anciens. Vérifiez les règles des différents espaces avant activation. Loom, conservation automatique.

L’archivage masque une vidéo sans effacer ses données. La suppression doit aussi être coordonnée avec les téléchargements et documents dérivés conservés ailleurs. Lors du départ d’un salarié, décidez quels contenus professionnels transmettre et lesquels supprimer avant de fermer le compte. Loom, suppression et archivage.

Ce qu’il faut retenir

• Autorisez des usages définis et préparez les écrans avant l’enregistrement.
• Vérifiez le contrat, la région effective et les flux restant hors région.
• Corrigez les anciens liens ; un nouveau réglage par défaut ne les sécurise pas.
• Traitez la vidéo, sa transcription et ses copies dans la politique de conservation.

FAQ

Toutes les anciennes vidéos Loom peuvent-elles passer en Allemagne ?

La documentation actuelle ne prévoit pas leur transfert vers le nouvel espace régional. Vérifiez ce point avant de choisir une nouvelle offre ou de promettre une localisation européenne aux personnes filmées.

Un lien non indexé est-il confidentiel ?

Non. Un lien public Loom reste consultable par une personne qui le reçoit, même si un moteur de recherche ne l’indexe pas. Utilisez les accès restreints lorsque seuls des destinataires précis doivent regarder.

Archiver répond-il à une demande d’effacement ?

L’archivage conserve les données. Il faut d’abord examiner si le droit à l’effacement s’applique et ses éventuelles exceptions, puis réaliser la suppression appropriée lorsqu’elle est due. RGPD, art. 17(1) et (3).

Recevez nos analyses pratiques de conformité dans la newsletter.

À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.