Un appel entrant n’est plus un simple échange oral. Dans une PME, un cabinet médical, un service client ou une étude juridique, il transporte désormais des données personnelles, parfois sensibles, presque toujours traçables. Résultat : le RGPD s’applique pleinement aux appels téléphoniques, qu’il s’agisse d’enregistrement, de routage, de standard, de transcription, de prospection ou d’assistance client. Beaucoup d’entreprises pensent encore qu’un message vocal d’information suffit. En réalité, la conformité légale repose sur une mécanique plus large : base légale, information claire, durée de conservation, sécurité, encadrement des sous-traitants et respect effectif des droits des personnes.
Le sujet est devenu stratégique en France. Pourquoi ? Parce que les outils de téléphonie ont évolué plus vite que les habitudes internes. Une entreprise peut aujourd’hui enregistrer, analyser, redistribuer et stocker des conversations en quelques clics, mais elle doit prouver pourquoi elle le fait, pendant combien de temps, avec quelles garanties et pour quel bénéfice réel. C’est là que les obligations entreprises prennent toute leur importance. Un dispositif performant qui ne respecte pas la protection des données expose à des risques juridiques, sociaux et commerciaux. À l’inverse, une gestion propre des flux téléphoniques renforce la confiance, protège la relation client et limite les sanctions RGPD.
- Le registre des traitements reste la pièce maîtresse de la conformité téléphonique.
- L’enregistrement des appels n’est pas libre : il suppose un objectif précis, une base légale adaptée et une information transparente.
- Le consentement n’est pas toujours la bonne base juridique, mais lorsqu’il est requis, il doit être prouvable et facilement retirable.
- La durée de conservation varie selon la finalité : qualité, formation, preuve contractuelle ou gestion de litige.
- Les salariés doivent aussi être informés si leurs appels professionnels sont écoutés ou enregistrés.
- Les sous-traitants téléphoniques doivent être encadrés par contrat, surtout si des données sortent de l’Union européenne.
- Les violations de données imposent une réaction rapide, parfois avec notification à la CNIL sous 72 heures.
RGPD et appels téléphoniques en France : ce que les entreprises doivent vraiment comprendre
Le point de départ est simple : dès qu’une organisation collecte, utilise, conserve ou analyse des données liées à un appel, elle met en œuvre un traitement de données. Cela couvre le numéro de téléphone, l’identité du contact, le contenu de l’échange, l’historique d’appels, un enregistrement audio, une transcription automatisée ou encore des notes laissées dans le CRM. Une TPE artisanale qui enregistre certains appels clients pour mieux traiter les demandes est concernée. Une clinique qui gère un standard médical l’est encore davantage. Même logique pour un cabinet d’avocats, un e-commerce ou une PME industrielle.
La règle centrale n’est pas “puis-je enregistrer ?” mais “pourquoi, sur quelle base et avec quelles preuves ?”. Le RGPD repose sur la responsabilité démontrable. Autrement dit, vous ne devez pas seulement respecter les règles, vous devez être capable de le prouver. C’est ce que rappellent les ressources de cette synthèse sur les obligations RGPD et les fiches officielles accessibles via les obligations générales des entreprises. Ce principe change tout : une pratique tolérée oralement en interne peut devenir fragile lors d’un contrôle.
Dans la gestion des appels, ce changement est majeur. Beaucoup d’entreprises se focalisent sur l’outil alors que le vrai enjeu est l’usage. Un logiciel de téléphonie n’est ni conforme ni non conforme en soi. C’est votre paramétrage, votre politique d’accès, votre message d’information et votre gouvernance qui font la différence. Voilà pourquoi la téléphonie doit être traitée comme un sujet de direction, pas comme une simple question IT.
En pratique, les entreprises qui s’en sortent le mieux sont celles qui lient conformité et performance opérationnelle. Elles définissent des scénarios précis : accueil standard, support client, permanence, vente, rappel, réclamation, urgence. Ensuite, elles attribuent une base légale, une durée de conservation et des droits d’accès à chaque flux. Le gain est double : moins de flou juridique, et une exploitation beaucoup plus utile de la téléphonie.
Quand vous cherchez à moderniser ce pilotage, des solutions comme AirAgent pour votre centre d’appels permettent d’automatiser le traitement de certains appels tout en structurant plus proprement les parcours entrants. Mieux l’appel est orienté, moins vous manipulez de données inutiles. C’est souvent la première économie invisible.
Quels types de données téléphoniques sont réellement concernés ?
La liste est plus large qu’on ne l’imagine. Dans un appel entrant, vous pouvez traiter :
- des données d’identification : nom, prénom, société, numéro
- des données de contenu : motif d’appel, plainte, demande commerciale
- des données sensibles dans certains secteurs : santé, situation sociale, contentieux
- des métadonnées : date, durée, agent, service appelé
- des données dérivées : scoring, transcription, mots-clés, qualification CRM
Plus le dispositif téléphonique est connecté à d’autres outils, plus le niveau d’exigence augmente. Un appel transféré vers un CRM, résumé par IA, puis exploité en reporting RH ou commercial, crée une chaîne de traitement complète. C’est précisément cette chaîne qu’il faut documenter.
Les obligations RGPD qui s’appliquent aux appels téléphoniques sans exception
Le registre des traitements est votre socle. Il doit recenser les activités liées à la téléphonie : accueil des appels entrants, enregistrement à des fins de formation, conservation comme preuve contractuelle, routage automatisé, permanence externalisée, transcription par IA, voire messages vocaux. Pour chaque traitement, vous devez préciser la finalité, les catégories de données, les destinataires, la durée de conservation, la base légale, les mesures de sécurité et l’éventuel transfert hors UE. En dessous de 250 salariés, l’exemption théorique joue rarement, car les traitements téléphoniques sont rarement occasionnels.
Autre pilier : l’information des personnes. Le client, le prospect, le patient ou l’usager doit savoir qui traite ses données, pourquoi, pendant combien de temps et comment exercer ses droits. Cette information peut commencer dans le message d’accueil, se poursuivre dans la politique de confidentialité et être complétée par des notices plus détaillées. Si vous cherchez à harmoniser ce point avec votre standard, relisez aussi les bonnes pratiques de message d’accueil téléphonique et d’accueil téléphonique d’entreprise.
La sécurité des données n’est pas négociable. Contrôle des accès, journalisation, sauvegardes, chiffrement, cloisonnement, suppression automatique et procédures en cas d’incident doivent être prévus. Les défauts de sécurité restent parmi les manquements les plus sanctionnés. Une entreprise qui laisse des enregistrements accessibles à trop de managers ou téléchargeables sans contrôle cumule les risques. Le sujet n’est pas seulement juridique : c’est aussi un risque réputationnel immédiat.
Si votre objectif est de réduire les manipulations manuelles et d’encadrer les appels dès leur arrivée, Comparez avec votre solution actuelle. Un parcours d’appel mieux structuré limite les accès superflus et simplifie ensuite la conformité documentaire.
À retenir : une entreprise conforme ne se contente pas d’annoncer qu’un appel “peut être enregistré”. Elle relie chaque usage téléphonique à une finalité documentée, une base légale, une durée de conservation et des droits d’accès précis.
DPO, AIPD, sous-traitants : trois points souvent négligés
Le DPO n’est pas obligatoire dans toutes les structures, mais il devient fortement recommandé dès que la téléphonie traite des volumes importants, des données sensibles ou des dispositifs de suivi réguliers. Un groupe de cabinets médicaux, une plateforme de rendez-vous ou un service client national ont tout intérêt à impliquer ce référent très tôt. Son rôle n’est pas théorique : il arbitre les risques, formalise les procédures et sert de point de contact avec la CNIL.
L’AIPD, ou analyse d’impact, est nécessaire quand le traitement présente un risque élevé pour les droits et libertés. Cela peut viser la surveillance systématique, la biométrie, certaines logiques de scoring, la géolocalisation ou des usages avancés d’IA sur la voix. Si votre solution téléphonique transcrit, analyse les émotions, priorise les appels ou produit des recommandations automatisées, l’évaluation préalable n’est plus un luxe. Elle devient un réflexe de gouvernance.
Enfin, la sous-traitance doit être bétonnée contractuellement. Hébergeur, éditeur de téléphonie cloud, société de permanence, intégrateur CTI, prestataire IA : tous doivent être encadrés par les clauses prévues à l’article 28 du RGPD. Si les données sont hébergées hors Union européenne, des garanties supplémentaires s’imposent. Les entreprises qui externalisent leur accueil ont donc intérêt à vérifier la chaîne complète, comme expliqué dans ce guide sur l’externalisation du standard téléphonique.
Enregistrement des appels téléphoniques : ce que la loi autorise, limite ou interdit
L’enregistrement n’est pas interdit par principe, mais il doit répondre à un objectif légitime et proportionné. Les finalités les plus fréquentes sont la formation des agents, l’amélioration de la qualité de service, la preuve en cas de litige ou la sécurisation d’une transaction. Ce cadre doit rester précis. Enregistrer tout, tout le temps, pour tout le monde, serait difficile à défendre. La logique RGPD impose de collecter le minimum nécessaire. C’est exactement ce qui distingue une pratique professionnelle d’une surveillance excessive.
Sur le terrain, la CNIL admet qu’un échantillonnage raisonné soit utilisé pour le pilotage qualité. Beaucoup d’entreprises travaillent ainsi sur 20 à 30 % des flux, ce qui permet d’améliorer les scripts et le coaching sans basculer dans l’écoute permanente. À l’inverse, une captation continue des échanges des salariés serait perçue comme une surveillance systématique. Le droit du travail rejoint ici la protection des données : ce qui est techniquement possible n’est pas forcément légalement soutenable.
Pour approfondir ce point, vous pouvez consulter ces bonnes pratiques sur l’enregistrement des appels ainsi que ce guide sur la conformité des enregistrements en 2026. Ces ressources convergent sur un point : l’enregistrement doit être ciblé, expliqué et maîtrisé.
Vous gérez un volume élevé d’appels entrants et vous voulez réduire les zones grises ? Voyez comment AirAgent gère ça. Un bon routage limite les enregistrements inutiles et aide à distinguer les appels d’accueil, d’assistance et de transaction.
Consentement, information et alternatives de parcours
Le consentement est un sujet sensible. Dans certains cas, il peut être la base légale retenue, à condition qu’il soit libre, spécifique, éclairé et univoque. Cela exclut les cases pré-cochées, les formules ambiguës et les situations où le refus empêcherait l’accès à un service sans justification. Surtout, il faut conserver la preuve du recueil et permettre un retrait simple. Dans d’autres cas, une autre base légale sera plus adaptée, comme l’exécution d’un contrat ou l’intérêt légitime, si celui-ci est correctement documenté.
Concrètement, l’entreprise doit annoncer l’existence de l’enregistrement au début de l’appel et proposer, lorsque cela a du sens, une alternative ou une information complémentaire. Exemple : “Cet appel peut être enregistré à des fins de formation et d’amélioration du service. Si vous souhaitez exercer vos droits, rendez-vous sur notre politique de confidentialité ou signalez-le à votre interlocuteur.” Ce message doit être relié à un document plus complet, par exemple votre politique de confidentialité et, selon l’activité, à des explications sur la notice d’information RGPD liée aux appels clients.
Une erreur fréquente consiste à penser qu’un simple bandeau vocal “couvre” toutes les situations. Ce n’est pas le cas. Si l’entreprise change de finalité, ajoute une transcription automatisée, transmet l’appel à un prestataire ou conserve plus longtemps les données, l’information doit évoluer. La transparence n’est pas un script figé. C’est un mécanisme vivant.
Attention : si un appel inclut des données bancaires, leur enregistrement crée un risque majeur. Le plus sûr reste de basculer vers un parcours de paiement dédié, séparé du flux audio agent.
Durée de conservation, accès internes et sécurité : les points où les entreprises se font piéger
La durée de conservation dépend toujours de la finalité. Pour des enregistrements liés à la formation ou au pilotage qualité, la pratique de référence reste une conservation limitée, souvent autour de six mois. Lorsqu’un enregistrement sert de preuve dans le cadre d’un litige ou d’un engagement contractuel, la conservation peut être plus longue, par exemple jusqu’à cinq ans selon le contexte juridique. Les documents d’analyse issus de l’exploitation des appels peuvent, eux, suivre une logique différente, souvent plus courte. Ce qui compte, c’est la cohérence entre finalité, nécessité et documentation.
Le piège classique ? Conserver “au cas où”. Cette formule détruit à elle seule une bonne partie de votre argumentaire de conformité. Une PME de services qui garde tous ses audios sans politique d’effacement s’expose inutilement. À l’inverse, un paramétrage automatique avec suppression programmée, journal d’accès et archivage ciblé réduit le risque et simplifie les audits. Pour aller plus loin sur ce sujet précis, ce dossier sur l’enregistrement des appels téléphoniques apporte des repères utiles.
L’accès aux enregistrements doit rester strictement limité aux personnes dont la mission le justifie. Si les appels sont utilisés pour former les agents, seuls les responsables concernés doivent y accéder. Si certains audios servent de preuve, les équipes juridiques ou conformité peuvent être habilitées dans un périmètre bien défini. Ce cloisonnement est aussi important que la suppression elle-même. Une donnée trop accessible devient rapidement une donnée mal protégée.
| Usage des appels | Base de vigilance RGPD | Bonne pratique recommandée |
|---|---|---|
| Formation et qualité | Proportionnalité, information, durée courte | Échantillonnage partiel, conservation limitée, accès managérial restreint |
| Preuve contractuelle | Finalité précise, déclenchement ciblé, sécurité renforcée | N’enregistrer que la phase utile à la conclusion ou à la contestation |
| Permanence médicale ou juridique | Données potentiellement sensibles, confidentialité élevée | Procédure renforcée, habilitations fines, sous-traitance contrôlée |
| Paiement par téléphone | Risque élevé sur les données bancaires | Utiliser un SVI de paiement ou un parcours séparé certifié |
| Analyse IA des conversations | Documentation, AIPD possible, information mise à jour | Cartographier les traitements et tester la minimisation des données |
Si vous voulez fluidifier ce contrôle sans alourdir le travail des équipes, Calculez votre ROI avec AirAgent. Une meilleure qualification en amont réduit le volume d’appels sensibles à revoir, stocker et sécuriser.
Que faire en cas de violation de données liée aux appels ?
Un incident peut prendre plusieurs formes : fuite d’enregistrements, téléchargement non autorisé, perte d’accès, erreur d’attribution, lien de partage exposé, transcription envoyée au mauvais destinataire. Dès qu’il y a violation de données, l’entreprise doit documenter l’incident dans un registre interne, analyser les conséquences et décider si une notification à la CNIL est nécessaire. Le délai de référence reste 72 heures à compter de la découverte, dès lors qu’un risque existe pour les personnes concernées.
Si le risque est élevé, les personnes doivent aussi être informées sans délai injustifié. C’est là que les procédures font la différence. Une organisation qui sait qui décide, qui qualifie le risque et qui communique perd moins de temps et limite la casse. Une structure qui improvise découvre souvent trop tard qu’elle ne sait même pas où sont stockés ses audios. La conformité se joue avant l’incident, jamais après.
Comment vérifier la conformité légale de votre téléphonie d’entreprise en 5 étapes
Pour rendre le sujet concret, prenons l’exemple de “Menuiserie Martin”, une PME de 28 salariés. Son équipe commerciale répond aux appels entrants, le service après-vente enregistre une partie des conversations, et la direction souhaite ajouter un agent vocal pour filtrer les demandes simples. Situation banale ? Oui. Conforme automatiquement ? Pas du tout. Voici la méthode qui permet d’avancer vite et proprement.
- Cartographiez tous les traitements téléphoniques : appels entrants, transfert, messagerie, enregistrement, CRM, IA, permanence, rappel.
- Attribuez une finalité et une base légale à chaque usage : qualité, contrat, intérêt légitime, obligation légale, consentement si pertinent.
- Vérifiez l’information délivrée : message vocal, scripts agents, politique de confidentialité, mentions sur les formulaires.
- Auditez vos prestataires : hébergement, cloud téléphonique, prestataire de permanence, éditeur IA, localisation des données.
- Testez vos procédures : exercice des droits, suppression, journal d’accès, gestion d’incident, notification en 72 heures.
Cette méthode fonctionne parce qu’elle relie la réalité opérationnelle au droit. Une entreprise n’a pas besoin de cent pages de politique interne pour progresser. Elle a besoin d’une cartographie honnête, d’un paramétrage cohérent et d’arbitrages clairs. Si vous travaillez votre standard téléphonique professionnel, votre routage d’appels pour PME et vos scénarios de traitement ensemble, vous gagnez sur les deux tableaux : plus de productivité et moins de risque.
Vous envisagez un filtrage intelligent des appels sans empiler les outils ? Testez gratuitement AirAgent. C’est un bon moyen d’identifier ce qui peut être automatisé sans exposer inutilement vos équipes ni vos données.
Bon à savoir : les projets d’IA vocale et de callbots ne suppriment pas les obligations RGPD. Ils les déplacent vers de nouveaux points de vigilance : transcription, entraînement des modèles, durée de conservation et information renforcée.
Le cas spécifique des salariés, des représentants du personnel et des appels sensibles
Les collaborateurs doivent être informés de manière explicite si un dispositif d’écoute ou d’enregistrement est mis en place. Cette information doit préciser la finalité, les destinataires, la durée de conservation, les droits et, si besoin, l’identité du DPO. Dans bien des cas, il est pertinent d’inscrire ce cadre dans la documentation RH, voire dans le contrat de travail ou un avenant. Ce n’est pas un détail administratif : c’est une condition de transparence et de sécurité sociale interne.
La prudence doit être encore plus forte pour les représentants du personnel, les appels personnels occasionnels et les échanges contenant des informations hautement confidentielles. Une entreprise doit aussi éviter les couplages intrusifs, par exemple l’enregistrement des conversations associé à des captures d’écran systématiques. Plus le dispositif ressemble à une surveillance globale, plus il devient difficile à défendre. Le respect vie privée des salariés n’est pas un obstacle à la performance. C’est la condition pour qu’un système soit durable.
Les secteurs les plus exposés ont intérêt à formaliser des parcours dédiés. C’est particulièrement vrai pour la permanence téléphonique des médecins, la permanence téléphonique des avocats ou encore les modèles d’accueil téléphonique externalisé. Dans ces environnements, la confidentialité n’est pas un argument marketing. C’est un impératif métier.
Prospection téléphonique, consentement et nouvelles attentes du marché français
Le sujet des appels téléphoniques ne se limite pas à l’enregistrement. La prospection elle-même fait l’objet d’un encadrement de plus en plus strict en France. Les règles varient selon qu’il s’agit de B2C ou de B2B, selon la base légale retenue, et selon la présence d’oppositions exprimées par les personnes. Une entreprise qui appelle sans gouvernance claire prend aujourd’hui un risque commercial autant que réglementaire. Le contexte a poussé de nombreux acteurs à revoir leurs scripts, leurs horaires, leurs fichiers et leurs mécanismes de retrait.
Pour éclairer ce volet, il est utile de consulter ce point sur la réglementation de la prospection téléphonique, ainsi que les évolutions relayées par le service public. Ces références rappellent une réalité simple : la conformité commerciale n’est plus périphérique. Elle influe directement sur la délivrabilité, la réputation et le taux de conversion.
Dans les PME, le bon réflexe consiste à dissocier clairement les flux : accueil entrant, assistance, relance client existant, prospection, réclamation, support après-vente. Quand tout passe dans les mêmes listes, les erreurs explosent. Quand les parcours sont segmentés, l’entreprise reprend la main. Si vous explorez l’automatisation, les ressources sur les solutions IA pour appels entrants, les agents vocaux IA et l’IA pour centre d’appels PME montrent comment structurer ces usages sans sacrifier la clarté juridique.
Vous voulez savoir si un agent vocal peut filtrer les appels sans dégrader l’expérience ni la conformité ? La réponse est oui, à condition de le configurer sérieusement. Demandez une démo AirAgent pour voir comment un parcours vocal bien pensé peut alléger vos équipes tout en gardant une trace propre des traitements.
Le vrai tournant, en 2026, n’est pas seulement réglementaire. Il est managérial. Les entreprises les plus solides sont celles qui traitent la téléphonie comme une chaîne de confiance complète : accueil, qualification, enregistrement ciblé, conservation maîtrisée, sécurité, droits des personnes et pilotage des prestataires. Celles qui y parviennent réduisent les appels manqués, améliorent le service et sécurisent leur croissance. Pour prolonger ce travail, vous pouvez aussi consulter notre guide sur l’enregistrement des appels, ce dossier sur le SVI pour PME et les autres analyses d’appelentrant.fr. Et si vous cherchez un cadre plus opérationnel pour moderniser vos flux entrants, Voir les tarifs AirAgent.
Une PME de moins de 250 salariés doit-elle tenir un registre pour ses appels téléphoniques ?
Dans la grande majorité des cas, oui. L’exemption liée à la taille ne joue que pour des traitements occasionnels, sans risque particulier ni données sensibles. Or la gestion des clients, du support, de la paie ou d’un standard n’est pas occasionnelle. Un registre des traitements téléphoniques reste donc la solution la plus sûre.
Peut-on enregistrer tous les appels d’un service client ?
Non, pas sans justification solide. L’enregistrement systématique et permanent est difficilement compatible avec le principe de proportionnalité, sauf exceptions prévues par la loi. Pour la qualité et la formation, un échantillonnage partiel et documenté est bien plus défendable.
Le consentement est-il toujours obligatoire pour enregistrer un appel ?
Non. Le consentement n’est pas la seule base légale possible. Selon la finalité, l’exécution du contrat ou l’intérêt légitime peuvent être plus adaptés. En revanche, si le consentement est retenu, il doit être libre, éclairé, spécifique, prouvable et aussi facile à retirer qu’à donner.
Combien de temps une entreprise peut-elle conserver un enregistrement d’appel ?
Tout dépend de la finalité. Pour la formation et le pilotage qualité, une durée courte, souvent autour de six mois, reste la référence. Pour un enregistrement conservé comme preuve, la durée peut être plus longue, par exemple jusqu’à cinq ans selon le contexte juridique. L’essentiel est de pouvoir justifier cette durée et d’automatiser l’effacement.
Que faire si des données bancaires sont communiquées pendant un appel ?
Il faut éviter d’enregistrer ces informations et privilégier un parcours de paiement dédié, comme un SVI sécurisé ou une solution certifiée PCI-DSS. Plus largement, l’entreprise doit empêcher que ce type de données sensibles soit capté, stocké ou accessible en clair dans ses outils téléphoniques.
