24 septembre 2026

Enregistrement des appels et RGPD : que dire et quand

Découvrez quoi préciser avant d’enregistrer, quelle base juridique choisir et comment fixer la durée de conservation pour éviter les erreurs de conformité.

Enregistrer des appels peut vous aider à évaluer les ventes, à traiter les réclamations ou à améliorer la qualité du service. Mais l’appel devient un traitement de données personnelles dès lors que l’enregistrement permet d’identifier la personne qui parle — ce qui est généralement le cas lors d’un appel professionnel : la voix, le nom, le numéro appelant ou la référence de commande peuvent suffire. Le problème survient lorsque l’entreprise active l’enregistrement et s’en remet à un message vocal générique pour tout couvrir.

L’enregistrement des appels et le RGPD exigent davantage : informer la personne avant de commencer l’enregistrement, préciser qui traite les données et dans quel but, choisir une base juridique appropriée et respecter les droits de la personne. Le consentement à l’enregistrement des appels n’est pas toujours la seule option et ne convient pas à toutes les finalités.

L’entreprise doit également décider combien de temps conserver les enregistrements, limiter les personnes autorisées à les écouter et protéger les fichiers contre les accès non autorisés. Enregistrer, transcrire ou analyser un appel avec l’IA peut entraîner d’autres traitements et des obligations supplémentaires.

La technologie facilite la configuration, mais elle ne détermine ni si le message d’information est suffisant ni combien de temps les enregistrements doivent être conservés. Cette responsabilité reste celle de l’entreprise.

Peut-on enregistrer les appels commerciaux et ceux du service client ?

Oui, une entreprise peut enregistrer des appels commerciaux et des appels du service client. Mais activer cette fonction dans le cloud PBX ne suffit pas.

L’enregistrement contient la voix et le contenu d’une conversation. Si ces données permettent d’identifier une personne, l’entreprise effectue un traitement de données à caractère personnel conformément au Règlement général sur la protection des données. Elle doit définir pourquoi elle enregistre, combien de temps elle conserve les données, qui peut y accéder et à quel moment elle les supprime. Cette décision lui confère la qualité de responsable du traitement au sens du Règlement.

La finalité détermine l’analyse à mener. Enregistrer un appel pour prouver la conclusion d’un contrat n’est pas la même chose que l’enregistrer pour contrôler la qualité du service client, former une équipe ou traiter une réclamation. Chaque finalité nécessite une base juridique appropriée et doit respecter les principes de finalité, de minimisation et de limitation de la conservation prévus par le RGPD. La Loi organique 3/2018 complète ce cadre en Espagne.

Il convient donc de distinguer deux questions :

Le cloud PBX peut-il le faire ? De nombreuses plateformes permettent d’activer l’enregistrement, de limiter les autorisations et de stocker les fichiers.
L’entreprise peut-elle le faire dans ce cas précis ? Elle doit justifier la finalité, choisir la base juridique applicable, informer la personne concernée et mettre en place des contrôles sur les enregistrements.

Un message générique comme « cet appel peut être enregistré » n’indique pas, à lui seul, qui traite les données, pour quelles raisons elles sont utilisées ni comment la personne concernée peut exercer ses droits. L’entreprise doit préparer ce traitement avant d’activer l’enregistrement et documenter ses décisions.

La technologie facilite l’enregistrement. La responsabilité reste celle de l’entreprise.

Ce que doit contenir l’information avant de commencer l’enregistrement

L’information sur l’enregistrement des appels doit permettre à la personne de comprendre ce qui arrivera à sa conversation. Il ne suffit pas de dire « cet appel peut être enregistré ». Les informations doivent être fournies au moment de la collecte des données, de manière claire, concise et accessible, conformément à l’article 13 du RGPD.

Au minimum, le message vocal ou le message initial doit indiquer :

Qui traite les données. Identifiez l’entreprise responsable de l’enregistrement. Indiquez sa dénomination et un moyen de la contacter.
Pourquoi l’appel est enregistré. Précisez la finalité : par exemple, gérer une réclamation, prouver la conclusion d’un contrat ou contrôler la qualité du service client. Ne regroupez pas plusieurs finalités différentes derrière une formule vague comme « améliorer le service ».
Quelle est la base juridique. Expliquez si le traitement repose sur le consentement, l’exécution d’un contrat, une obligation légale ou un intérêt légitime. La base juridique doit correspondre à la finalité communiquée, conformément à l’article 6 du RGPD.
Quels droits la personne peut exercer. Informez-la de ses droits d’accès, de rectification, d’effacement, d’opposition et de limitation du traitement, ainsi que des autres droits prévus par le RGPD.
Où consulter l’information complète. Indiquez une adresse web, une adresse e-mail ou une référence claire à la politique de confidentialité. Le message vocal peut résumer l’information ; la politique doit la détailler.

Un avis pratique pourrait être : « [Nom de l’entreprise] enregistrera cet appel pour [finalité]. La base juridique est [base applicable]. Consultez vos droits et l’information complète sur [canal de confidentialité]. » L’entreprise doit ensuite appliquer ce qu’elle a communiqué et ne pas réutiliser l’enregistrement pour une finalité incompatible, conformément au principe de limitation des finalités du RGPD.

Quand faut-il informer : avant l’enregistrement, pas après

La personne concernée doit recevoir l’information au moment où ses données sont collectées. L’article 13 situe ce moment au moment de la collecte. Lors d’un appel, des données sont traitées dès que quelqu’un décroche, et l’enregistrement constitue un traitement supplémentaire : l’information à ce sujet doit donc être donnée avant de l’activer. Un e-mail envoyé ultérieurement peut compléter l’information — c’est même un bon moyen de fournir un deuxième niveau de détail — mais il ne remplace pas l’information donnée au début, puisque les données ont déjà été collectées. C’est ce qu’exige l’obligation d’information prévue à l’article 13 du Règlement général sur la protection des données.

La méthode la plus pratique consiste généralement à diffuser un message automatique au début de l’appel :

« Nous vous informons que cet appel sera enregistré par [nom de l’entreprise] pour [finalité]. Vous pouvez consulter les informations complètes sur le traitement de vos données et vos droits à l’adresse suivante : [canal ou adresse]. Si vous poursuivez l’appel, celui-ci sera enregistré. »

La formulation doit correspondre au traitement réellement effectué. Il vaut mieux éviter d’annoncer « pour des raisons de qualité » si l’entreprise utilise ensuite l’enregistrement pour former son équipe, répondre à une réclamation ou analyser les conversations. Chaque finalité doit être justifiée et documentée, avec une information cohérente avec l’utilisation ultérieure, conformément aux principes de limitation des finalités et de transparence du RGPD.

Nous ajoutons un élément que la réglementation n’impose pas avec ce niveau de détail : indiquer ce que peut faire la personne qui ne souhaite pas poursuivre dans ces conditions. Lorsque raccrocher est la seule option, l’appel se transforme rapidement en réclamation. Par exemple :

proposer un canal alternatif non enregistré ;
transférer l’appel à un agent qui pourra gérer cette demande ;
permettre à la personne de mettre fin à l’appel sans la pénaliser parce qu’elle n’accepte pas l’enregistrement, lorsque celui-ci n’est pas nécessaire à la fourniture du service.

Ne présentez pas le silence comme un consentement. Poursuivre l’appel après l’information peut permettre de gérer l’appel, mais ce comportement ne constitue pas automatiquement un consentement valable. La base juridique dépend de la finalité concrète, et l’article 5, paragraphe 2, du RGPD impose de pouvoir démontrer la conformité : il ne suffit pas de l’avoir correctement choisie, il faut pouvoir le prouver. Le registre des activités de traitement prévu à l’article 30 est l’endroit naturel pour le consigner — toutes les entreprises ne sont pas tenues d’en tenir un, mais c’est là que l’on cherchera ces informations si quelqu’un les demande.

Faut-il demander le consentement pour enregistrer un appel ?

Pas toujours. Le consentement pour enregistrer des appels constitue une base juridique possible, mais ce n’est pas la seule. L’entreprise doit la choisir en fonction de la finalité précise de l’enregistrement et pouvoir justifier ce choix conformément au RGPD.

Consentement. Cette base peut être appropriée lorsque la personne accepte clairement que la conversation soit enregistrée pour une finalité déterminée. Elle doit recevoir suffisamment d’informations avant de décider et pouvoir retirer son consentement par la suite. L’entreprise ne doit pas présenter le consentement comme obligatoire si elle a besoin de l’enregistrement pour une autre finalité pouvant reposer sur une base juridique différente.

Exécution d’un contrat. Si l’enregistrement est nécessaire pour gérer un contrat ou prouver une opération demandée par le client, l’entreprise peut envisager cette base juridique. « Utile » ne signifie pas « nécessaire » : conserver tous les appels commerciaux par commodité ne suffit pas à démontrer que l’enregistrement est indispensable à la fourniture du service. La base juridique doit avoir un lien direct avec la finalité indiquée dans l’information fournie.

Obligation légale. Lorsqu’une règle impose de conserver ou d’enregistrer une communication, cette obligation peut justifier le traitement. L’entreprise doit identifier la règle applicable et limiter l’enregistrement à ce qu’elle exige. Il ne suffit pas d’affirmer que « le RGPD impose l’enregistrement » : le RGPD définit les bases juridiques, mais n’impose pas de manière générale d’enregistrer les appels.

Intérêt légitime. L’entreprise peut envisager cette base pour des finalités telles que la prévention de la fraude, la gestion des réclamations ou le contrôle de la qualité. Elle doit d’abord identifier un intérêt réel, vérifier que l’enregistrement est nécessaire et mettre en balance cet intérêt avec les droits de la personne. Elle doit également informer la personne de cette base et lui permettre d’exercer son droit d’opposition lorsque cela s’applique, conformément au RGPD.

La bonne décision n’est pas de « toujours demander l’autorisation ». Il faut documenter la finalité, la nécessité et la base juridique avant d’activer l’enregistrement.

Conservation, accès et sécurité des enregistrements

Il n’existe pas de durée unique pour tous les enregistrements. L’entreprise doit définir la durée de conservation en fonction de la finalité communiquée et supprimer les fichiers lorsqu’ils ne sont plus nécessaires à cette fin. C’est l’application du principe de limitation de la durée de conservation prévu à l’article 5.1.e du RGPD.

Définissez la durée avant d’activer l’enregistrement. Par exemple :

Si l’enregistrement sert à contrôler la qualité, fixez une durée courte et vérifiez régulièrement s’il est toujours nécessaire de le conserver.
S’il documente la conclusion d’un contrat ou une réclamation, conservez le fichier tant que cette finalité peut être remplie et qu’il existe un besoin justifié de l’utiliser.
Si un appel n’a plus de valeur opérationnelle, supprimez-le. Ne le conservez pas « au cas où ».

Documentez ce critère. La réglementation fixe le principe — ne pas conserver les données plus longtemps que nécessaire — mais elle ne définit pas le format de cette documentation. En pratique, un document solide précise la finalité, la durée prévue, la personne qui l’a approuvée et ce qui se passe à son échéance. Si des copies existent dans des systèmes de sauvegarde, indiquez également leur cycle de suppression.

L’accès doit suivre la même logique. Un agent peut avoir besoin d’écouter un appel pour résoudre un incident. Il n’a pas besoin d’accéder à tous les enregistrements de l’entreprise. Séparez les autorisations par fonction, limitez les téléchargements et retirez les accès lorsqu’une personne change de poste ou quitte l’entreprise.

Protégez les fichiers au moyen de mesures techniques et organisationnelles adaptées au risque, comme l’exige l’article 32 du RGPD. En pratique, cela implique de contrôler les identités, de protéger les communications et le stockage, d’enregistrer les accès et de vérifier ces journaux. Il est également recommandé de séparer les enregistrements des outils à usage général.

Si un standard téléphonique ou un fournisseur stocke, transcrit ou analyse les appels, documentez les données traitées, la finalité du traitement et les autorisations dont il dispose. Le RGPD encadre cette relation et les instructions données au sous-traitant dans son article 28. La configuration technique aide, mais elle ne remplace pas cette documentation.

Les cas qui changent l’analyse : salariés, ventes et contrôle qualité

La finalité change les règles pratiques. On n’analyse pas de la même manière un appel avec un client et une conversation interne entre salariés.

Service client. L’enregistrement peut servir à gérer une réclamation ou à documenter ce qui s’est passé. L’entreprise doit expliquer cette finalité, limiter l’accès aux personnes qui en ont besoin et conserver le fichier uniquement pendant la durée justifiée par cette finalité. Ces principes figurent aux articles 5 et 6 du Règlement général sur la protection des données.
Ventes. Enregistrer un appel commercial n’autorise pas à le réutiliser pour n’importe quel objectif. L’entreprise doit distinguer la preuve d’une souscription, la révision d’une offre et l’analyse des performances de l’équipe. Chaque utilisation nécessite une finalité définie et une base juridique cohérente. Si l’appel est également transcrit ou analysé avec de l’intelligence artificielle, il est recommandé de documenter ce traitement supplémentaire et de vérifier quelles données sont nécessaires.
Formation et contrôle qualité. Écouter des appels pour corriger un script ou former de nouveaux agents exige de limiter les personnes qui y ont accès. Examiner une conversation précise n’est pas la même chose qu’analyser systématiquement le comportement des clients et des salariés. Dans ce dernier cas, l’entreprise doit évaluer les risques, la proportionnalité et les garanties applicables au regard des principes de minimisation, de limitation de la finalité et de sécurité du RGPD.
Appels des salariés. Le fait que l’entreprise soit l’employeur ne rend pas toutes les conversations accessibles à des fins de contrôle. Elle doit informer du traitement, le justifier et éviter toute surveillance plus large que nécessaire. La Loi organique 3/2018 précise le cadre espagnol en matière de protection des données et de droits numériques.

Avant d’activer l’enregistrement, documentez la finalité précise. Si vous souhaitez mesurer les motifs, la classification ou la qualité, séparez cette utilisation du fichier original et vérifiez les autorisations d’accès. L’analyse des appels par IA ne remplace pas cette analyse juridique. Elle la rend encore plus nécessaire.

Checklist pour configurer l’enregistrement des appels sans improviser

Avant d’activer l’enregistrement, complétez cette liste :

Définissez la finalité. Indiquez pourquoi vous enregistrez : prouver la conclusion d’un contrat, traiter une réclamation, contrôler la qualité du service ou former l’équipe. Ne réutilisez pas le fichier pour une autre finalité incompatible avec celle annoncée. L’article 5 du RGPD impose de limiter la finalité et de ne recueillir que les données nécessaires.
Choisissez et documentez la base juridique. Reliez la finalité au consentement, au contrat, à une obligation légale ou à l’intérêt légitime. Si vous retenez l’intérêt légitime, documentez la mise en balance entre l’intérêt de l’entreprise et les droits de la personne. L’article 6 du RGPD encadre ces bases juridiques.
Rédigez le message d’information. Indiquez qui enregistre, dans quel but, quelle base juridique s’applique et où consulter la politique de confidentialité. L’article 13 du RGPD précise les informations à fournir lors de la collecte des données.
Préparez une alternative. Si la personne ne souhaite pas poursuivre l’appel enregistré, prévoyez un autre canal ou traitez l’appel sans l’enregistrer lorsque cela est possible. Ne transformez pas le message d’information en acceptation ambiguë.
Configurez les habilitations. Déterminez quels profils peuvent écouter, télécharger ou supprimer les fichiers. Enregistrez les accès et vérifiez que chaque habilitation correspond à une fonction précise. Appliquez des mesures de sécurité appropriées conformément à l’article 32 du RGPD.
Fixez la durée de conservation. Attribuez une durée à chaque finalité et programmez la suppression. L’article 5 du RGPD impose de ne pas conserver les données plus longtemps que nécessaire.
Vérifiez le fournisseur. Vérifiez s’il stocke, transcrit ou analyse les appels pour le compte de votre entreprise. Si c’est le cas, formalisez les obligations applicables au sous-traitant conformément à l’article 28 du RGPD.
Documentez l’exercice des droits. Définissez qui traite les demandes d’accès, d’effacement, d’opposition ou de limitation, et comment cette personne localise l’enregistrement concerné.

Revoyez cette configuration lorsque la finalité, le fournisseur, le message d’information ou le processus de prise en charge change. La LOPDGDD complète le cadre applicable en Espagne.

Questions fréquentes

Puis-je utiliser un enregistrement à une fin différente de celle que j’ai indiquée ?

Pas automatiquement. L’entreprise doit vérifier si ce nouvel usage est compatible avec la finalité initiale et s’il repose toujours sur une base juridique valable. Si elle souhaite analyser l’appel pour un autre objectif, elle doit également revoir les informations fournies, les accès et la durée de conservation, conformément aux principes de limitation des finalités et de la conservation prévus par le RGPD (article 5).

La transcription d’un appel impose-t-elle de vérifier la conformité ?

Oui. Transcrire un appel implique également de traiter des données à caractère personnel. L’entreprise doit inclure cette opération dans la finalité communiquée, contrôler les personnes qui peuvent accéder à la transcription et appliquer une durée de conservation justifiée.

Quels droits une personne peut-elle exercer sur un enregistrement ?

Selon le cas, elle peut demander l’accès à ses données, leur effacement ou la limitation du traitement, ou s’y opposer. L’entreprise doit identifier l’enregistrement, vérifier la demande et y répondre conformément aux règles du RGPD relatives aux droits de la personne concernée (articles 12 à 23).

Que doit exiger l’entreprise de son fournisseur de standard téléphonique ?

Elle doit formaliser la relation lorsque le fournisseur stocke ou gère les enregistrements pour le compte de l’entreprise. Le contrat doit définir les instructions, la confidentialité, les mesures de sécurité, le contrôle des accès ainsi que les conditions de suppression ou de restitution des données, comme le prévoit le RGPD pour les sous-traitants (article 28).

Configurez l’enregistrement des appels dans votre standard téléphonique virtuel avec des autorisations, des horaires et une gestion centralisée.