Signalements vocaux et anonymisation, expliqués simplement

Pourquoi proposer un signalement oral

L'article 9(2) de la directive permet aux canaux internes de recueillir les signalements par écrit, par oral, ou les deux, et lorsqu'un canal recueille des signalements oraux, ceux-ci doivent être possibles « par téléphone ou via d'autres systèmes de messagerie vocale ». Plusieurs droits nationaux rendent la voie orale obligatoire : les Pays-Bas l'exigent, et le régulateur italien, l'ANAC, attend des signalements écrits et oraux. Même là où elle est facultative, certaines personnes diront ce qu'elles n'écriraient pas. Quelle que soit la voie choisie (une ligne téléphonique avec personnel, une boîte vocale, un enregistrement dans le navigateur), l'objectif est le même : un lanceur d'alerte doit pouvoir livrer son récit à voix haute, pas seulement le taper.

La décision à laquelle tout exploitant de canal fait réellement face

Prendre en charge le signalement vocal ne se résume pas à « activer un microphone ». Un enregistrement vocal brut est lui-même une donnée identifiante — l'art. 4(14) du RGPD définit les données biométriques comme des données à caractère personnel résultant d'un traitement technique lié aux caractéristiques physiques ou comportementales d'une personne, permettant son identification, et une voix relève pleinement de cette définition. Quiconque propose le signalement vocal doit décider de ce qu'il advient de l'enregistrement, et les approches courantes présentent chacune leurs propres compromis :

• Conserver l'audio brut. L'option la plus simple, et la plus courante par défaut — mais aussi la plus grande faille de confidentialité. Un enregistrement brut conservé dans le stockage est quelque chose qui pourrait identifier le lanceur d'alerte à partir de la seule voix, aussi longtemps qu'il est conservé, qu'un nom soit ou non associé au signalement par ailleurs.
• Le transcrire et supprimer l'audio. Cela retire la voix elle-même comme signal identifiant, mais fait perdre le ton, les hésitations et les accentuations qui peuvent compter dans la façon dont un récit est réellement compris — et cela introduit généralement un transcripteur humain (interne ou prestataire tiers) qui entend l'enregistrement brut au moins une fois avant sa conversion.
• Anonymiser l'audio lui-même. Plus complexe techniquement que les deux options précédentes, mais c'est la seule qui conserve l'enregistrement — ton, pauses, accentuations comprises — tout en rompant le lien vers l'identité de la personne qui parle. C'est l'approche retenue par Provoxis.

Chaque enregistrement est anonymisé — pas seulement ceux des signalements anonymes

Le détail qui surprend le plus sur la bonne manière de procéder : l'anonymisation vocale ne devrait pas dépendre du choix du lanceur d'alerte de signaler anonymement ou sous son propre nom. Le raisonnement porte sur l'enregistrement lui-même, pas sur la préférence déclarée du lanceur d'alerte — la voix brute d'un lanceur d'alerte identifié, conservée pendant des années, reste quelque chose qui pourrait plus tard servir à l'identifier à partir du seul enregistrement, indépendamment du fait que son nom soit associé ou non au signalement par ailleurs. Provoxis fait passer chaque enregistrement par le même processus, sans condition, quelle que soit la manière dont le lanceur d'alerte a choisi de soumettre son signalement.

Comment le décalage de Provoxis fonctionne réellement

Provoxis traite chaque enregistrement à l'aide d'outils de traitement du signal établis et open-source, exécutés en interne plutôt que via une API tierce. Trois choses se produisent, de façon délibérée, pour chaque enregistrement :

• La hauteur (pitch) est décalée d'une valeur aléatoire, et non d'un facteur fixe unique. Un décalage constant constituerait lui-même un risque : si cette transformation unique venait à être connue, appliquer son inverse permettrait de retrouver quelque chose de proche de la voix d'origine. Randomiser par enregistrement referme cette possibilité.
• Les formants sont décalés, pas préservés. Les formants sont les résonances propres au conduit vocal d'une personne — la partie d'une voix qui identifie qui parle, indépendamment de la hauteur. Décaler uniquement la hauteur en laissant les formants intacts sonnerait encore de façon reconnaissable comme la même personne ; décaler les deux est ce qui empêche réellement la ré-identification.
• Le tempo n'est pas modifié. Ré-échantillonner naïvement l'audio pour changer la hauteur modifie aussi la vitesse, ce qui constitue à la fois un indice révélateur et un problème d'accessibilité. La hauteur et les formants sont décalés sans accélérer ni ralentir l'enregistrement.

Ce qu'il advient de l'enregistrement d'origine

Le fichier brut téléversé n'est conservé que de façon transitoire — dans un stockage temporaire le temps du traitement d'anonymisation — et supprimé immédiatement une fois la version anonymisée stockée en sécurité. Il n'est jamais écrit dans le dossier permanent du cas, et aucun rôle, y compris le personnel de Provoxis, ne peut y accéder une fois le traitement terminé. Si le traitement échoue, le fichier brut est tout de même supprimé une fois les tentatives épuisées, plutôt que de rester indéfiniment en stockage. L'enregistrement anonymisé est la seule version que quiconque — gestionnaire ou lanceur d'alerte — entend jamais en retour.

Comme l'anonymisation se déroule en interne plutôt que via une API tierce de traitement vocal, elle n'ajoute pas non plus de sous-traitant à votre accord de traitement des données — un fournisseur de moins pour le DPO propre de l'entreprise à suivre et à déclarer, et un endroit de moins où un enregistrement brut pourrait se trouver en dehors de votre propre contrôle.

Fondement juridique

• Art. 9(2), directive (UE) 2019/1937 — signalement par écrit, par oral, ou les deux ; l'oral par téléphone ou par d'autres systèmes de messagerie vocale.
• Art. 4(14), RGPD — la définition des données biométriques comme données à caractère personnel résultant d'un traitement technique lié aux caractéristiques physiques ou comportementales d'une personne permettant son identification, dans laquelle un enregistrement vocal brut et non modifié peut entrer.