La traduction à partir d’une photo consiste à soumettre une image – ordonnance, contrat, panneau, document interne – à un outil de reconnaissance optique de caractères (OCR) couplé à un moteur de traduction. Le texte extrait est ensuite traité, souvent sur des serveurs distants. Ce processus soulève une question précise : que devient l’image transmise, et quelles données personnelles contient-elle au-delà du texte visible au premier regard ?
Ce que la photo transmet réellement au-delà du texte visible
Lorsqu’on photographie un document pour le traduire, l’image capturée contient rarement uniquement le texte cible. Un document médical photographié sur un bureau peut laisser apparaître un nom de patient en arrière-plan. Une photo prise dans un espace de travail peut révéler des coordonnées, un organigramme ou des informations financières partiellement visibles.
Ce constat dépasse le seul contenu du document principal. Une photo destinée à être traduite peut traiter des données de tiers – personnes physiques identifiables – sans que l’utilisateur en ait conscience au moment de la prise de vue. Dans un contexte professionnel, cela peut concerner des données de santé, des informations d’identité ou des données liées à l’emploi, toutes catégories sensibles au sens du RGPD.
La question à se poser avant toute transmission n’est donc pas seulement « ce document est-il confidentiel ? », mais « l’ensemble de ce que la photo montre est-il maîtrisé ? »
Risques de confidentialité liés aux outils de traduction photo en ligne
La majorité des outils de traduction photo grand public fonctionnent en mode cloud : l’image est téléversée vers un serveur distant pour y être traitée. Plusieurs questions se posent alors sur le plan de la protection des données.
La première concerne la conservation de l’image. Certains fournisseurs conservent les images soumises pour améliorer leurs modèles ou à des fins de journalisation. La durée et les conditions de cette conservation varient selon les politiques de confidentialité, rarement lues dans leur intégralité.
La deuxième question porte sur les accès. La bonne question n’est pas seulement « la photo est-elle stockée ? », mais aussi « qui peut y accéder et pour quelles opérations ? » Un fournisseur dont les serveurs sont hébergés en Europe peut tout à fait accorder des accès à distance depuis des pays tiers, ce qui déclenche les règles sur les transferts internationaux de données prévues au chapitre V du RGPD.
Pour les entreprises belges, la loi du 30 juillet 2018 complète le RGPD sans s’y substituer. L’hébergement en Belgique n’est donc pas, à lui seul, le critère décisif : les accès à distance et les garanties contractuelles applicables aux sous-traitants méritent une attention au moins aussi grande que la localisation du serveur.
Traitement sur l’appareil : une alternative, pas une garantie absolue
Certaines applications de traduction photo proposent un traitement dit « sur l’appareil » (on-device), présenté comme fonctionnant hors ligne, sans téléversement ni collecte de données. Cette architecture réduit effectivement l’exposition aux risques liés au transfert vers un serveur distant.
Pour autant, une déclaration commerciale ne constitue pas une vérification indépendante. Une application disponible sur une boutique d’applications peut afficher des engagements de confidentialité dont les déclarations du développeur n’ont pas été auditées par la plateforme de distribution. Distinguer une affirmation du fournisseur d’une garantie certifiée reste une étape que les utilisateurs professionnels ne peuvent pas contourner.
Pour les organisations soumises à des obligations réglementaires – secteur médical, juridique, financier – l’autoévaluation du fournisseur ne suffit pas. Une analyse d’impact relative à la protection des données (AIPD) peut s’imposer dès lors que le traitement porte sur des données sensibles, y compris lorsque le document source est une simple photo.
Bonnes pratiques pour traduire des photos sans exposer des données sensibles
La protection des données lors d’une traduction photo repose sur plusieurs niveaux d’action complémentaires. Voici les points de vérification à intégrer avant de transmettre une image à un outil de traduction :
- Recadrer ou masquer les zones hors périmètre : avant de soumettre une photo, identifier et occulter toute information visible en arrière-plan qui ne concerne pas le texte à traduire – nom d’une personne, coordonnées, données de santé partiellement lisibles.
- Lire la politique de confidentialité du fournisseur : vérifier explicitement si les images sont conservées, pour combien de temps, et si elles peuvent être utilisées à des fins d’entraînement de modèles. En l’absence de réponse claire sur ces points, préférer un autre outil.
- Vérifier les sous-traitants et les accès à distance : pour un usage professionnel, demander la liste des sous-traitants du fournisseur et les garanties applicables aux transferts hors Espace économique européen, pas uniquement la localisation du serveur principal.
- Préférer un service professionnel avec accord de confidentialité : pour les documents dont le contenu photographié inclut des données personnelles de tiers, un traducteur ou une agence liés par un NDA (accord de non-divulgation) offrent un cadre contractuel que les outils gratuits ne proposent pas.
- Évaluer le traitement sur l’appareil : pour les documents très sensibles, privilégier les outils qui traitent les images localement, à condition de pouvoir vérifier cette affirmation par une documentation technique ou un audit indépendant.
RGPD et traduction photo : ce que les entreprises doivent vérifier
Pour une entreprise qui utilise des outils de traduction photo dans le cadre de ses activités, le RGPD s’applique dès lors que les images traitées contiennent des données personnelles – ce qui est fréquent en contexte professionnel.
Le recours à un outil tiers de traduction photo constitue un traitement sous-traité au sens du règlement. Cela implique la signature d’un accord de traitement des données avec le fournisseur, la vérification de ses garanties techniques et organisationnelles, et la documentation du traitement dans le registre interne.
Les transferts vers des pays hors EEE – même sous forme d’accès à distance – doivent s’appuyer sur l’une des bases légales prévues par le RGPD : clauses contractuelles types, décision d’adéquation ou règles d’entreprise contraignantes. Un hébergement en Europe ne neutralise pas l’obligation d’examiner les accès à distance depuis des pays tiers.
Les données de santé, d’identité ou relatives à la situation professionnelle de tiers visibles sur une photo relèvent des catégories particulières de données au sens de l’article 9 du RGPD. Leur traitement par un outil de traduction, même involontaire, appelle une vigilance accrue et peut nécessiter une AIPD.
Vérifier qu’aucune information de tiers n’est visible sur une photo avant de la soumettre à un outil de traduction reste la mesure préventive la plus simple – et la plus souvent négligée.
