Zoom en 2026 : de la controverse à la conformité
Mars 2020. Le site américain Motherboard dévoile une pratique inquiétante de l'application Zoom : les données personnelles des utilisateurs iOS (modèle de téléphone, fuseau horaire, heure d'ouverture, adresse IP) sont envoyées à Facebook sans consentement ni information préalable. Un véritable scandale au moment où la pandémie de COVID-19 propulse Zoom de 10 millions d'utilisateurs en décembre 2019 à 200 millions en mars 2020.
La révélation tombe au pire moment. Alors que le monde entier se tourne vers la visioconférence pour maintenir une activité professionnelle, préserver les liens sociaux et assurer la continuité pédagogique, Zoom apparaît comme une solution fiable, stable, avec une bonne qualité audio et vidéo. Sanofi, HSBC, Uber : les plus grandes entreprises l'adoptent déjà. Mais les failles de sécurité s'accumulent : webcams vulnérables, conversations non chiffrées, "Zoom bombing" (infiltrations malveillantes dans les réunions), transfert de données à Facebook...
Près de six ans plus tard, en 2026, le paysage a radicalement changé. Suite aux scandales de 2020 et à la pression des autorités (FBI, procureure de New York, CNIL, DINUM), Zoom a procédé à d'innombrables mises à jour de son application et de sa politique de confidentialité. L'entreprise a investi massivement dans la sécurité et la conformité RGPD.
Aujourd'hui, Zoom offre un chiffrement AES-256, un chiffrement de bout en bout (E2EE) optionnel désormais post-quantique, une conformité au Data Privacy Framework UE-États-Unis, des serveurs européens dédiés, et des certifications multiples (SOC 2, ISO 27001). L'application s'est professionnalisée et sécurisée. Mais peut-on pour autant l'utiliser en toute confiance et en conformité avec le RGPD ? Quelles précautions prendre ? Quelles alternatives existent ?
Les données collectées par Zoom en 2026
La CNIL rappelle régulièrement que "la gratuité des applications n'est souvent qu'apparente et qu'elles peuvent rentabiliser leur service en traitant des informations vous concernant". Zoom, comme la plupart des services numériques, reste particulièrement intéressé par vos données personnelles, même si les pratiques se sont considérablement améliorées depuis 2020.
Une transparence accrue mais une collecte toujours importante
Aujourd'hui, Zoom agit plus conformément aux règles du RGPD qu'en 2020. L'entreprise a mis en place des mécanismes de consentement explicite pour les utilisateurs européens, clarifié sa politique de confidentialité, et nommé des responsables dédiés à la protection des données. Toutefois, la lecture de la politique de confidentialité mérite toute votre attention, car le nombre de données traitées reste conséquent.
Données collectées par Zoom :
- Informations d'identification : nom, prénom, date de naissance, photo de profil
- Coordonnées : adresse email, numéro de téléphone, adresse postale
- Données techniques : adresse IP, localisation, appareil utilisé, système d'exploitation, fournisseur d'accès internet, navigateur
- Données d'utilisation : calendrier des réunions, heures d'utilisation, préférences de langue, historique de connexion
- Données de réunion : métadonnées (date, heure, durée, nom de la réunion, participants), historique des discussions, enregistrements audio et vidéo (si activés)
- Identifiants et mot de passe pour l'accès au compte
Des finalités multiples mais encadrées
Zoom collecte ces données pour des finalités variées : fourniture du service de visioconférence, amélioration de l'expérience utilisateur, support technique, communications commerciales, concours, activités promotionnelles. Le RGPD exige qu'une collecte de données soit réduite au strict minimum pour un objectif précis. Cette surabondance de données peut inquiéter, même si Zoom s'engage désormais à ne pas vendre ces informations à des tiers ni à les utiliser pour de la publicité ciblée sans consentement.
Côté droits des personnes, la page RGPD de Zoom (mise à jour le 8 août 2024) indique que Zoom met à disposition de ses clients un outil en libre-service pour traiter les demandes d'accès, de rectification et d'effacement (DSAR). Avant de vous reposer dessus, vérifiez ce que couvre votre offre et documentez la procédure dans votre registre : c'est vous, responsable de traitement, qui répondez à la personne concernée dans le délai d'un mois de l'article 12.3 du RGPD.
Zoom et la sécurité en 2026 : des progrès considérables
Le principe de responsabilisation imposé par le RGPD oblige les entreprises à sécuriser proactivement les données personnelles en amont de tout traitement. Entre 2020 et 2026, Zoom a radicalement transformé son approche de la cybersécurité.
Chiffrement renforcé : du standard au post-quantique
En mai 2020, Zoom a implémenté le chiffrement AES-256 GCM comme nouvelle norme pour le contenu en temps réel, s'appliquant à toutes les données en transit (Zoom Meetings, Zoom Team Chat, Zoom Webinars, Zoom Rooms). Les communications sont établies via TLS 1.2+ (Transport Layer Security) et SRTP (Secure Real-time Transport Protocol).
Mais la véritable révolution est venue avec le déploiement du chiffrement de bout en bout (E2EE) optionnel. Avec l'E2EE activé, l'hôte génère des clés de chiffrement et les distribue aux participants via cryptographie à clé publique. Les serveurs Zoom font office de simples relais sans jamais accéder aux clés de déchiffrement. Aucun tiers, pas même Zoom, ne peut accéder au contenu des réunions.
Le 21 mai 2024, Zoom a annoncé la disponibilité mondiale d'un chiffrement de bout en bout post-quantique pour Zoom Meetings. Il repose sur Kyber 768, l'algorithme normalisé par le NIST sous le nom ML-KEM (FIPS 203), et vise les attaques dites « harvest now, decrypt later » : des flux captés aujourd'hui pour être déchiffrés plus tard, quand un ordinateur quantique le permettra. Comme l'E2EE standard, il ne s'applique qu'aux réunions pour lesquelles l'option est activée.
Fonctionnalités de sécurité granulaires
Zoom a considérablement enrichi ses fonctionnalités de protection :
Contrôles d'accès : codes d'accès obligatoires (robustesse paramétrable avec longueur minimum, mélange de caractères), salles d'attente avec admission sélective ou automatique par domaine, verrouillage des sessions pour empêcher de nouveaux participants en cours de réunion, authentification SAML ou OAuth pour les entreprises.
Gestion des participants : contrôle granulaire des permissions (micro, caméra, partage d'écran, chat), expulsion individuelle ou suspension des activités de tous les participants, restriction du partage d'écran à l'hôte uniquement.
Traçabilité et détection : filigranes visuels personnalisés (affichage de l'email du participant sur le contenu partagé), signatures audio intégrées pour identifier les enregistrements non autorisés, portail d'audit et journaux d'activité détaillés pour les administrateurs, détection automatique des comportements suspects.
Protection des enregistrements : enregistrements cloud chiffrés au repos, contrôle strict des accès et permissions, suppression automatique des fichiers de chat partagés après 31 jours, possibilité de désactiver complètement l'enregistrement au niveau organisationnel.
Certifications et audits indépendants
Zoom maintient désormais des certifications rigoureuses : SOC 2 Type II (contrôles de sécurité, disponibilité, intégrité), ISO 27001 (management de la sécurité de l'information), tests de pénétration réguliers par des experts indépendants, programme Bug Bounty encourageant la divulgation responsable des vulnérabilités, analyses d'impact RGPD (AIPD) réalisées en collaboration avec des institutions européennes comme SURF.
Conformité RGPD : où en est Zoom en 2026 ?
La question centrale pour toute entreprise européenne : Zoom respecte-t-il pleinement le RGPD et permet-il aux organisations utilisatrices de rester conformes ?
Data Privacy Framework et transferts hors UE
Le RGPD encadre strictement le transfert de données personnelles hors de l'Union Européenne. Les responsables de traitement et sous-traitants doivent assurer un niveau de protection suffisant et approprié.
Zoom, service américain, est concerné par cette problématique. Les conditions d'utilisation sont claires : "vos données personnelles peuvent être transférées ou stockées aux États-Unis ou dans tout autre pays du monde, qui peuvent posséder des règles de protection des données différentes".
Toutefois, depuis le 10 juillet 2023, une décision d'adéquation de la Commission européenne autorise les transferts vers les entreprises adhérentes au Data Privacy Framework (DPF) UE-États-Unis, successeur du Privacy Shield invalidé en 2020. Zoom Video Communications, Inc. est certifié sous ce cadre conformément à l'article 45 du RGPD, permettant les transferts de données vers les États-Unis avec un niveau de protection jugé adéquat par la Commission européenne.
En complément, Zoom a conclu des clauses contractuelles types (CCT) de l'UE avec ses clients, offrant des garanties contractuelles supplémentaires pour les transferts internationaux de données.
Serveurs européens dédiés et contrôle des données
Selon la même page RGPD de Zoom (mise à jour le 8 août 2024), les clients européens disposant d'un compte payant éligible peuvent choisir des centres de données situés dans l'Union européenne pour héberger le trafic en temps réel de leurs réunions et webinaires. Les enregistrements peuvent aussi être stockés localement, et les données de support peuvent être traitées exclusivement dans l'UE.
Ce choix de région ne règle pas tout. La même page prévoit qu'un client peut consentir, au cas par cas, à un transfert vers une assistance située hors de l'UE en dehors des heures ouvrées européennes. Le périmètre réel des transferts se lit donc dans le DPA de Zoom et dans sa liste de sous-traitants ultérieurs : c'est ce périmètre qu'il faut documenter, pas seulement l'option cochée dans la console.
Cloud Act : un risque résiduel pour les données sensibles
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act), loi américaine promulguée en 2018, autorise les autorités américaines à obtenir des données hébergées par des entreprises américaines, quelle que soit la localisation des serveurs. Finalité officielle : protection de la sécurité publique.
Même avec des serveurs européens et le Data Privacy Framework, le Cloud Act constitue un risque résiduel pour les données hautement sensibles (secret défense, données médicales ultra-confidentielles, propriété intellectuelle stratégique).
Côté État, la position est désormais explicite. Le 26 janvier 2026, David Amiel, ministre délégué chargé de la Fonction publique et de la Réforme de l'État, a annoncé la généralisation de « Visio », l'outil de visioconférence développé par la direction interministérielle du numérique (DINUM), à l'ensemble des services de l'État d'ici 2027, avec pour objectif de « mettre fin à l'utilisation de solutions extra-européennes » (communiqué de presse n° 295). Le même communiqué annonce que le CNRS remplace ses licences Zoom par Visio d'ici fin mars 2026, pour ses 34 000 agents et les 120 000 chercheurs associés à ses unités.
Pour les entreprises privées gérant des informations moins critiques, le niveau de protection actuel de Zoom (DPF, CCT, serveurs EU, chiffrement E2EE) est généralement considéré comme acceptable, mais chaque organisation doit évaluer son niveau de risque via une analyse d'impact (AIPD).
IA : ce que disent les conditions d'utilisation de Zoom
Les conditions d'utilisation de Zoom en vigueur depuis le 11 août 2023 (section 10.2) indiquent que Zoom n'utilise aucun contenu client de type communication (audio, vidéo, chat, partage d'écran, pièces jointes, résultats de sondages, tableau blanc, réactions) pour entraîner ses modèles d'intelligence artificielle ou ceux de tiers. Zoom avait annoncé cette clarification le 7 août 2023 sur son blog.
Deux nuances pour un DPO. D'abord, l'engagement porte sur l'entraînement des modèles, pas sur l'usage des fonctionnalités d'IA elles-mêmes : un assistant comme Zoom AI Companion traite des données de réunion pour produire ses résultats, et son activation se décide et se documente. Ensuite, c'est un engagement contractuel que Zoom peut faire évoluer : il se relit à chaque mise à jour des conditions. C'est exactement le point à tracer dans un audit IA des sous-traitants.
Configurer Zoom pour maximiser la conformité RGPD
Si vous décidez d'utiliser Zoom, une configuration minutieuse et l'adoption de bonnes pratiques sont essentielles pour limiter les risques et respecter vos obligations RGPD.
Configuration de sécurité recommandée
Avant la réunion :
Téléchargez Zoom exclusivement depuis le site officiel zoom.us (évitez les sources tierces qui pourraient distribuer des versions modifiées ou malveillantes). Maintenez systématiquement l'application à jour : les mises à jour corrigent les vulnérabilités découvertes. Vérifiez que votre antivirus et votre pare-feu sont également à jour.
Créez un compte professionnel dédié avec des informations limitées (utilisez un pseudonyme si possible, une adresse email professionnelle dédiée, un mot de passe robuste unique et différent de vos autres services). Activez impérativement l'authentification à deux facteurs (MFA) sur votre compte.
Paramètres de compte et de réunion :
Activez "Chiffrement de bout en bout" (E2EE) dans les paramètres de compte pour les réunions sensibles. Attention : certaines fonctionnalités (enregistrement cloud, transcription automatique, participation par téléphone) sont incompatibles avec l'E2EE et seront désactivées.
Configurez "Localisation des données" pour restreindre le traitement aux serveurs européens uniquement. Désactivez "Utiliser mon ID de réunion personnelle" : générez un nouvel ID unique pour chaque réunion. Désactivez "Intégration du mot de passe dans le lien" : le mot de passe doit être communiqué séparément du lien.
Activez systématiquement "Salle d'attente" pour contrôler manuellement l'admission des participants. Configurez "Partage d'écran" en mode "Hôte uniquement" pour éviter les partages indésirables. Désactivez "Transfert de fichiers" si vous n'en avez pas besoin : c'est un vecteur potentiel de malware.
Configurez "Enregistrement" : désactivez-le par défaut, ou limitez-le à l'hôte uniquement, et informez toujours les participants qu'un enregistrement est en cours (obligation légale). Désactivez "Attention Tracking" qui suit si les participants regardent ailleurs que l'écran Zoom (fonctionnalité intrusive incompatible avec la vie privée).
Pendant la réunion :
Utilisez un réseau WiFi sécurisé avec chiffrement WPA3 ou WPA2 au minimum. Évitez absolument les réseaux publics ouverts (cafés, gares, hôtels) pour les réunions professionnelles : utilisez plutôt votre connexion 4G/5G via partage de connexion.
Créez un code d'accès robuste (8+ caractères, mélange de majuscules, minuscules, chiffres, caractères spéciaux) et communiquez-le séparément du lien de réunion (email distinct, SMS, messagerie instantanée sécurisée). Partagez le lien de réunion avec parcimonie, uniquement aux participants légitimes.
Verrouillez la réunion dès que tous les participants attendus sont présents : aucun nouvel arrivant ne pourra rejoindre. Adaptez le contenu de vos échanges au niveau de sensibilité : évitez de partager des informations ultra-confidentielles (données de santé, secrets d'affaires critiques, données financières sensibles) même avec l'E2EE activé.
Alternatives à Zoom conformes au RGPD
Si les risques liés à Zoom vous semblent trop élevés pour votre activité, ou si votre analyse d'impact (AIPD) conclut à un risque résiduel inacceptable, des alternatives existent.
Jitsi Meet : solution open-source européenne
Jitsi Meet est une solution open-source gratuite permettant des visioconférences sans création de compte. Les serveurs peuvent être hébergés en Europe, voire auto-hébergés pour un contrôle total. Le chiffrement est activé par défaut.
Avantages : gratuit, open-source (auditabilité du code), pas de création de compte nécessaire, données hébergées en Europe ou auto-hébergement possible, respect total du RGPD.
Limites : performances instables avec plus de 10-15 participants simultanés, qualité audio/vidéo inférieure à Zoom sur les gros groupes, fonctionnalités avancées limitées (pas de salle d'attente sophistiquée, enregistrement basique).
Tixeo : solution française certifiée
Tixeo est un éditeur français de visioconférence sécurisée. Selon son site (consulté le 5 octobre 2026), sa technologie est certifiée CSPN (certification de sécurité de premier niveau) par l'ANSSI depuis 2017, et il propose une offre hébergée chez un hébergeur qualifié SecNumCloud ainsi qu'une version installée sur site. Le chiffrement de bout en bout couvre les flux audio, vidéo et données, quel que soit le nombre de participants.
Avantages : certification CSPN de l'ANSSI, hébergement qualifié SecNumCloud ou installation sur site, chiffrement de bout en bout, éditeur français.
Limites : aucun tarif public, la page des offres renvoie vers un conseiller commercial (consultée le 5 octobre 2026), donc un budget et un cycle d'achat à prévoir ; une prise en main à accompagner pour des utilisateurs habitués aux outils grand public.
Microsoft Teams : alternative américaine comparable
Microsoft Teams bénéficie également du Data Privacy Framework et propose des datacenters européens. L'intégration native avec l'écosystème Microsoft 365 est un atout pour les organisations déjà équipées.
Avantages : intégration Office 365, serveurs européens disponibles, certification EU-US DPF, fonctionnalités collaboratives étendues.
Limites : entreprise américaine soumise au Cloud Act (même problématique que Zoom), interface parfois complexe, coût lié aux licences Microsoft 365.
Autres outils avec réserves
Facetime, Messenger, Skype, WhatsApp, Google Meet, Slack : la plupart appartiennent à des entreprises américaines (Apple, Meta, Microsoft, Google) potentiellement concernées par le Cloud Act. Leur utilisation nécessite la même vigilance que Zoom concernant les transferts de données et la configuration de sécurité.
Comment Leto vous aide à gérer vos outils de visioconférence
L'utilisation d'outils comme Zoom soulève des questions de conformité RGPD qui doivent être documentées et évaluées. Leto vous accompagne dans cette démarche.
Gestion des sous-traitants : retrouvez Zoom et vos autres prestataires parmi plus de 6 000 sous-traitants pré-audités. Vérifiez leurs garanties de sécurité, leurs certifications et leurs transferts hors UE, gérez les DPA (Data Processing Agreements) et les clauses contractuelles types, et identifiez ceux qui intègrent de l'IA, comme Zoom avec AI Companion, grâce à l'audit IA des sous-traitants.
Registre des traitements : Documentez l'utilisation de Zoom comme traitement de données personnelles (finalité : réunions professionnelles, catégories de données : identité/coordonnées/données de réunion, base légale : exécution du contrat ou intérêt légitime, mesures de sécurité : chiffrement AES-256/E2EE/serveurs EU).
Analyses d'impact (AIPD) : Réalisez une AIPD structurée pour évaluer les risques liés à Zoom selon votre contexte d'utilisation (données traitées, nombre de personnes concernées, sensibilité des échanges). Documentez les mesures de sécurité mises en place et les risques résiduels acceptés.
Sensibilisation des équipes : Formez vos collaborateurs aux bonnes pratiques Zoom (configuration sécurisée, gestion des codes d'accès, verrouillage des réunions, vigilance sur le contenu partagé). Réduisez les incidents de sécurité liés à une mauvaise utilisation.
Demandez une démonstration pour voir comment Leto simplifie la gestion de vos outils et la documentation de votre conformité RGPD au quotidien.
Conclusion : Zoom en 2026, un outil transformé mais vigilance requise
Six ans après les scandales de 2020, Zoom a radicalement transformé son approche de la sécurité et de la conformité RGPD. Le déploiement du chiffrement AES-256 GCM, l'introduction du chiffrement de bout en bout post-quantique (mai 2024), la certification au Data Privacy Framework, les serveurs européens dédiés, et les multiples certifications (SOC 2, ISO 27001) témoignent d'investissements massifs et d'une prise de conscience réelle.
Pour une utilisation professionnelle courante impliquant des données peu sensibles, Zoom en 2026 offre désormais un niveau de sécurité et de conformité acceptable, à condition de configurer rigoureusement l'application et de suivre les bonnes pratiques recommandées. L'activation du chiffrement E2EE, le choix des serveurs européens, l'utilisation de codes d'accès robustes, et la vigilance sur le contenu partagé sont essentiels.
Toutefois, pour les organisations traitant des données hautement sensibles (secret défense, santé, propriété intellectuelle stratégique), le risque résiduel lié au Cloud Act et à l'hébergement par une entreprise américaine justifie de privilégier des alternatives européennes comme Jitsi Meet (gratuit mais limité en performances) ou Tixeo (payant, technologie certifiée CSPN par l'ANSSI). Pour les services de l'État, la question est tranchée : Visio, l'outil de la DINUM, doit remplacer les solutions extra-européennes d'ici 2027.
Chaque organisation doit évaluer son propre niveau de risque via une analyse d'impact (AIPD), documenter ses choix de configuration, former ses équipes aux bonnes pratiques, et maintenir une vigilance continue sur les évolutions de l'outil et de la réglementation. Zoom n'est ni totalement sûr ni totalement conforme par défaut : c'est votre configuration et votre usage qui déterminent le niveau de protection effectif.
La protection des données n'est jamais acquise définitivement. Elle nécessite une attention constante, des outils adaptés, et une culture de la sécurité partagée par tous les utilisateurs. Dans ce contexte, des solutions comme Leto deviennent indispensables pour maintenir la conformité sans y consacrer un temps démesuré.
Articles complémentaires
RGPD : définition, obligations et mise en conformité
Gestion des sous-traitants : guide complet
AIPD : définition et réalisation
