Enregistrement des appels téléphoniques : obligations RGPD

Enregistrer les appels d’une entreprise reste légal, à condition de ne jamais le faire en continu. La CNIL impose un enregistrement par échantillonnage, une base légale documentée, une information préalable des salariés comme des clients, et une conservation limitée à six mois pour les usages de formation et de qualité.

L’enregistrement permanent est hors la loi, et la CNIL le sanctionne

Le point de départ tient dans une phrase de la CNIL : un employeur ne peut pas déployer un dispositif d’écoute ou d’enregistrement permanent ou systématique, sauf disposition légale spéciale, comme pour les services d’urgence. Tout le raisonnement juridique découle de cette ligne.

Deux articles du Code du travail verrouillent le terrain. L’article L1121-1 n’admet de restriction aux libertés individuelles que si elle est justifiée par la nature de la tâche et proportionnée au but recherché. L’article L1222-4 interdit de collecter la moindre information sur un salarié par un dispositif qui ne lui a pas été signalé au préalable. Un enregistrement continu échoue au premier test. Un enregistrement discret échoue au second.

La sanction de référence date de 2020. Dans sa délibération SAN-2020-003 du 28 juillet 2020, la CNIL a condamné la société Spartoo à 250 000 euros, en jugeant excessif l’enregistrement intégral et permanent des appels reçus par les salariés du service client. L’argument qui a emporté la décision mérite d’être retenu : la personne chargée de la formation n’écoutait qu’un seul enregistrement par semaine et par salarié. Conserver tout le reste ne servait aucune finalité déclarée.

Le contrôle s’est ensuite étendu aux petites structures. Le 8 octobre 2024, la CNIL a rendu publiques onze sanctions prononcées par procédure simplifiée, pour 129 000 euros cumulés et un plafond de 20 000 euros par décision. Figuraient parmi les manquements l’enregistrement systématique et complet des conversations entre téléconseillers et prospects, aux côtés de la vidéosurveillance permanente des postes de travail. Les grands groupes ne sont plus les seules cibles.

Reste la modalité conforme : l’échantillon. Quelques appels par salarié et par période, sélectionnés pour un objectif précis de formation ou d’évaluation, écoutés puis effacés. C’est le seul régime que l’autorité valide sans réserve pour le pilotage de la qualité de service.

Automatiser les appels ne supprime pas le traitement, il le déplace

Serveur vocal interactif, transcription automatique, agent conversationnel, analyse de la voix : la couche logicielle posée sur la téléphonie d’entreprise a changé d’échelle en trois ans. Le réflexe consiste à croire que la machine, parce qu’aucune oreille humaine ne se pose sur l’appel, sort du champ du règlement. C’est l’inverse. Une voix identifiante demeure une donnée personnelle, et une transcription stockée constitue un traitement à part entière, avec sa finalité, sa base légale et sa durée.

L’architecture retenue décide du périmètre à déclarer. Un automate qui se contente d’aiguiller l’appel vers le bon service ne conserve presque rien. Un agent qui transcrit, interprète puis archive chaque échange crée un traitement complet, généralement adossé à des sous-traitants tiers. Les deux familles d’outils portent des noms voisins et des empreintes de données très éloignées : ce comparatif détaille ce qui sépare un callbot d’un voicebot, du canal emprunté jusqu’au sort réservé à la voix, et sa lecture se place avant l’écriture de la ligne correspondante dans votre registre, pas après.

Trois questions se posent à chaque prestataire, avant signature.

• Où sont hébergés les fichiers audio, les transcriptions et les sauvegardes associées ?
• Le contrat de sous-traitance prévu à l’article 28 du RGPD existe-t-il, et liste-t-il nommément les sous-traitants ultérieurs ?
• Vos enregistrements alimentent-ils l’entraînement des modèles de l’éditeur, et l’exclusion est-elle inscrite au contrat ?

Un fournisseur qui esquive la troisième question vous a déjà répondu.

Une échéance s’ajoute au calendrier réglementaire. L’article 50 du règlement européen sur l’intelligence artificielle s’applique au 2 août 2026 : toute personne qui interagit avec un système d’IA doit en être informée dès le début de l’échange, sauf si le contexte rend la chose évidente. Un agent vocal qui laisse croire à un conseiller humain sort du cadre, indépendamment du RGPD.

Choisir la base légale : ce qui tient et ce qui s’effondre en contrôle

L’article 6 du RGPD impose de rattacher chaque traitement à une base légale unique, choisie avant la mise en service et inscrite au registre. Pour l’enregistrement des appels, quatre pistes se présentent, et toutes ne résistent pas à un contrôle sérieux.

L’intérêt légitime porte la majorité des dispositifs de formation et de qualité de service. Il suppose une mise en balance écrite, tenant en trois blocs.

• La finalité poursuivie, formulée en termes opérationnels plutôt qu’en slogan qualité.
• Les mesures qui limitent l’atteinte à la vie privée : échantillonnage, information préalable, durée courte, accès restreint aux fichiers.
• La conclusion motivée que l’intérêt de l’entreprise ne prime pas abusivement sur les droits des personnes concernées.

Sans ce document, la base légale se réduit à une case cochée dans un tableur.

Le consentement du salarié, une fausse sécurité

Faire signer une clause de consentement à un collaborateur rassure la direction et ne protège personne. Le lien de subordination vicie la liberté du choix : un salarié qui refuse craint une conséquence sur son évaluation, sa prime ou son planning. Les autorités européennes considèrent depuis longtemps ce consentement comme rarement valable en contexte d’emploi.

L’entreprise se retrouve alors sans base légale utilisable, puisqu’elle a écarté l’intérêt légitime au profit d’un consentement inopérant. Le réflexe correct : bâtir le dispositif sur l’intérêt légitime, documenter la mise en balance, et réserver le consentement aux cas où le salarié dispose d’une vraie alternative sans coût pour lui.

L’obligation légale, réservée à des secteurs précis

Certaines activités renversent la logique : l’enregistrement y devient obligatoire. Les prestataires de services d’investissement enregistrent et conservent cinq ans les conversations liées à la réception, la transmission et l’exécution d’ordres, en application de la directive MiFID II applicable depuis 2018. Les services d’urgence relèvent d’un régime comparable.

Hors de ces périmètres définis par un texte, invoquer l’obligation légale ne fonctionne pas. Un plateau commercial généraliste, un cabinet de conseil ou un service après-vente d’e-commerce restent sur le terrain de l’intérêt légitime, avec les contraintes qui l’accompagnent.

La quatrième piste ferme la liste : l’exécution du contrat. La CNIL admet l’enregistrement destiné à prouver la formation d’un contrat conclu par téléphone, à condition de ne conserver que les échanges aboutissant effectivement à un engagement. Enregistrer l’intégralité d’un plateau pour sécuriser une minorité d’appels conclus ne franchit pas ce filtre de proportionnalité.

Informer, consulter, documenter : ce qui précède le premier enregistrement

Le dispositif technique arrive en dernier. Avant lui viennent des obligations procédurales dont l’absence suffit à faire tomber l’ensemble, même si l’enregistrement lui-même est proportionné.

• Information individuelle de chaque salarié : finalité, modalités, périodes durant lesquelles une écoute est possible, destinataires, durée de conservation, droits d’accès et d’opposition.
• Lignes non enregistrées accessibles pour les communications personnelles, exigence explicitement rappelée par la CNIL.
• Consultation du CSE préalable à la mise en place de tout moyen de contrôle de l’activité des salariés, au titre du Code du travail.
• Inscription au registre des traitements prévu à l’article 30 du RGPD, avec la base légale, les durées et les destinataires.
• Analyse d’impact quand l’enregistrement se combine à une surveillance systématique ou à un traitement à grande échelle.

Un dernier interdit passe souvent inaperçu : la CNIL juge disproportionné le couplage de l’enregistrement audio avec la capture d’écran du poste. Chaque brique de surveillance s’apprécie séparément, puis dans son cumul. Ces exigences prolongent les obligations RGPD des entreprises applicables à tout traitement de données personnelles, et l’automatisation de la conformité RGPD rend le suivi tenable dès que le nombre de lignes augmente.

Ce que l’interlocuteur doit entendre en début d’appel

Côté client ou prospect, la CNIL demande une information en deux temps. Une mention orale ouvre l’appel et signale que la conversation est susceptible d’être enregistrée, avec la finalité poursuivie. Un renvoi vers des mentions détaillées, sur le site ou dans les conditions générales, complète le dispositif avec la durée de conservation, les destinataires et les modalités d’exercice des droits.

Le message doit rester compréhensible. Une formule expédiée en trois secondes, noyée dans une bande-annonce commerciale, ne remplit pas l’obligation d’information transparente posée par l’article 12 du RGPD. Quand le traitement repose sur l’intérêt légitime, l’interlocuteur doit également pouvoir s’opposer et poursuivre l’échange sans enregistrement.

Durées de conservation : ce que fixe le référentiel CNIL d’avril 2026

Le 2 avril 2026, la CNIL a publié un référentiel des durées de conservation consacré à la gestion des ressources humaines. Le document tranche des questions restées longtemps floues.

• Enregistrements réalisés à des fins de formation, d’évaluation ou de qualité de service : six mois maximum en base active, à compter de l’enregistrement.
• Documents d’analyse produits à partir de ces écoutes (grilles d’évaluation, synthèses qualité) : jusqu’à un an.
• Enregistrements dotés d’une valeur probante : cinq ans, durée alignée sur les obligations sectorielles de type MiFID II.

La bonne pratique va plus loin que le plafond : supprimer dès l’analyse terminée. Un enregistrement écouté en semaine 2 n’a aucune raison de vivre jusqu’au sixième mois. Une purge automatique programmée dans l’outil vaut mieux qu’une procédure manuelle que personne ne déclenche.

La conservation crée par ailleurs un actif à protéger. Une base d’enregistrements concentre des données clients, des identités, parfois des coordonnées bancaires prononcées à voix haute. Chiffrement au repos, restriction des accès aux seules personnes habilitées et journalisation des consultations relèvent de l’article 32 du RGPD, au même titre que le reste de votre sécurité des données en entreprise. Un audit de cybersécurité révèle vite l’écart entre les droits théoriques et les accès réellement ouverts sur ces fichiers audio.

Ce que coûte l’improvisation

Le risque financier se lit à trois niveaux. L’article 83 du RGPD plafonne les amendes à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, le montant le plus élevé étant retenu. La CNIL a prononcé 83 sanctions en 2025 pour un cumul de 486,8 millions d’euros, avec une majorité de décisions rendues par procédure simplifiée visant des TPE, des PME et des professions libérales.

Le pénal ajoute une couche que beaucoup de directions ignorent. L’article 226-1 du Code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende l’enregistrement de paroles prononcées à titre privé sans le consentement de leur auteur. Un dispositif installé sans information préalable bascule dans ce champ, avec une responsabilité qui vise des personnes physiques et non la seule entreprise.

Le troisième niveau se joue devant le conseil de prud’hommes. Depuis les arrêts d’assemblée plénière de la Cour de cassation du 22 décembre 2023, une preuve obtenue de façon déloyale peut être déclarée recevable en matière civile, à condition d’être indispensable à l’exercice du droit à la preuve et strictement proportionnée. Cette ouverture ne légalise rien : elle laisse au juge un pouvoir d’appréciation, et un employeur qui produit un enregistrement clandestin s’expose toujours à la sanction administrative et pénale correspondante.

Un dernier verrou concerne l’analyse automatisée. Le règlement européen sur l’intelligence artificielle interdit depuis le 2 février 2025 les systèmes d’inférence des émotions sur le lieu de travail, hors usages médicaux ou de sécurité. Les modules de scoring émotionnel vendus aux centres de contact entrent directement dans cette interdiction, dont les manquements exposent à des amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial. Ce cadre se superpose aux principes historiques de la loi informatique et libertés, qui encadre le traitement des données personnelles en France depuis 1978.

Prochaine étape : ouvrez votre registre et vérifiez trois lignes pour le traitement d’enregistrement des appels, la base légale écrite, la durée réellement appliquée dans l’outil, la date de consultation du CSE. Si l’une des trois manque, coupez l’enregistrement continu avant de rédiger quoi que ce soit. Un dispositif à l’arrêt ne produit pas de manquement.