RGPD et enregistrements d'appels : ce que dit vraiment le droit

Brancher un agent vocal sur sa ligne revient presque toujours à enregistrer, transcrire et stocker des conversations. Le droit encadre chacune de ces opérations, et les règles ne sont pas les mêmes pour une agence web et pour un cabinet médical. Voici ce qui est permis, ce qui est obligatoire et ce qui ne se négocie pas.

Base légale : pourquoi vous enregistrez change tout

Le RGPD exige une justification pour chaque traitement. Pour la prise de rendez-vous elle-même, l'exécution du contrat ou de mesures précontractuelles suffit : sans traiter la demande, pas de service rendu. L'enregistrement audio, lui, repose le plus souvent sur l'intérêt légitime, typiquement l'amélioration du service ou la constitution d'une preuve en cas de litige. La CNIL a fixé le cadre de longue date pour les centres d'appels : pas d'enregistrement permanent et systématique sans nécessité démontrée, et une proportionnalité à documenter. Enregistrer une fraction des appels à des fins de contrôle qualité se défend ; tout conserver « au cas où » ne se défend pas.

Cas particulier des données de santé : un motif de consultation est une donnée sensible au sens de l'article 9. Son hébergement passe par un prestataire certifié HDS, et la minimisation devient la règle : l'agent ne collecte que ce que la prise de rendez-vous exige, rien de plus.

Information des appelants : le message d'entrée d'appel

Toute personne enregistrée doit le savoir avant que l'enregistrement ne démarre. Le message d'accueil annonce trois choses : l'existence de l'enregistrement, sa finalité, et le moyen de s'y opposer. S'y ajoute désormais l'obligation issue du règlement européen sur l'IA : signaler que l'interlocuteur est un système automatisé dès lors que le doute est possible. Quatre à cinq secondes de message bien rédigé couvrent l'ensemble.

Un appelant doit pouvoir refuser l'enregistrement sans perdre l'accès au service, par exemple en demandant à être rappelé par un humain.

L'opposition doit rester praticable en conditions réelles : une touche à presser, ou une demande orale que l'agent comprend et applique immédiatement, sans argumenter.

Conservation et sous-traitance : les chantiers concrets

La durée de conservation se fixe à l'avance et s'applique techniquement, pas seulement sur le papier. Ordre de grandeur admis : quelques mois pour les enregistrements audio à finalité de contrôle qualité, la CNIL ayant longtemps retenu six mois comme repère. Les transcriptions anonymisées peuvent vivre plus longtemps, à condition que l'anonymisation soit réelle et vérifiée. Côté organisation, quatre chantiers vous attendent :

• inscrire le traitement « accueil téléphonique automatisé » au registre des traitements ;
• signer un contrat de sous-traitance conforme à l'article 28 avec le prestataire vocal ;
• vérifier où les données sont hébergées, et sous quel droit ;
• prévoir la procédure de réponse à une demande d'accès ou d'effacement, avec un délai d'un mois.

Un dernier réflexe : demandez à votre prestataire sa propre documentation RGPD. Sa capacité à la produire sous 24 heures est un signal fiable de sérieux.