Un centre d'appel qui enregistre 100 % de ses conversations, un service client qui garde ses fichiers audio « au cas où », un outil de téléphonie qui transcrit et note chaque appel : ces réglages par défaut sont exactement ce que la CNIL sanctionne. Dans le bilan de ses sanctions simplifiées publié le 8 octobre 2024, elle retient un manquement au principe de minimisation pour l'enregistrement systématique et en intégralité des échanges entre des téléconseillers et leurs prospects ou clients.
L'enregistrement téléphonique n'est pas interdit pour autant. Il est même obligatoire dans certains cas, notamment en banque, en finance et en assurance. Ce guide vous donne le cadre applicable, finalité par finalité :
- ce que le RGPD et la CNIL autorisent pour la preuve d'un contrat, la formation et l'évaluation des salariés ;
- les règles propres aux centres d'appel et aux secteurs régulés ;
- les durées de conservation, l'information des personnes et la sécurité à mettre en place.
En quoi l'enregistrement des conversations téléphoniques est-il concerné par le RGPD ?
Conversations téléphoniques et données personnelles
Une donnée personnelle est une information qui permet d'identifier une personne physique, directement (nom, prénom) ou indirectement (identifiant, numéro de téléphone, image ou voix).
Une conversation téléphonique enregistrée est donc une donnée personnelle : la voix caractérise un individu, et elle est le plus souvent rattachée à un numéro de téléphone, à un numéro client ou à un dossier.
Certains échanges révèlent en outre des données sensibles (santé, opinions, convictions) qui bénéficient d'une protection renforcée sous le RGPD.
Enregistrements et traitement de données personnelles
Enregistrer, conserver, écouter, transcrire ou analyser une conversation sont autant d'opérations sur une donnée personnelle : il y a traitement au sens de l'article 4 du RGPD, et le dispositif doit être inscrit à votre registre des traitements.
Cela vous impose de respecter les principes de l'article 5 du RGPD pour chaque personne enregistrée (clients, prospects, salariés, prestataires) : une finalité déterminée, une base légale, la minimisation des données, la transparence, des durées de conservation limitées et la sécurité des enregistrements.
Enregistrements téléphoniques : de quoi parle-t-on concrètement ?
La CNIL distingue deux grandes finalités, chacune avec ses propres règles : la preuve de la formation d'un contrat, et la formation ou l'évaluation des salariés. Un même dispositif peut poursuivre les deux, à condition de les séparer.
Enregistrements et preuve de formation du contrat
Dans sa fiche « L'enregistrement des conversations téléphoniques afin d'établir la preuve de la formation d'un contrat » (25 avril 2022), la CNIL admet cet usage sous réserve qu'il soit nécessaire : l'organisme doit démontrer qu'il ne dispose pas d'un autre moyen de prouver que le contrat a été conclu.
- Contrats écrits : l'enregistrement n'est pas nécessaire. En démarchage téléphonique, par exemple, le consommateur n'est engagé qu'après avoir signé l'offre sur un support durable (article L. 221-16 du code de la consommation).
- Contrats pouvant être conclus à l'oral : l'enregistrement est possible, mais ni permanent ni systématique. Seule la partie de la conversation qui porte sur la conclusion du contrat peut être enregistrée, par exemple par un déclenchement manuel du téléconseiller.
- Autre preuve disponible : si une confirmation écrite existe, l'enregistrement n'a plus lieu d'être conservé.
La base légale est alors l'exécution du contrat (article 6.1.b du RGPD). La CNIL précise que la personne doit être informée de la possibilité, lorsqu'elle existe, de conclure le contrat par un autre moyen (en agence, en ligne, par courrier).
Point de vigilance relevé par la CNIL : lorsque le client dicte ses données bancaires et que le conseiller les saisit dans une plateforme de paiement sécurisée, leur enregistrement n'est pas nécessaire. Prévoyez une coupure ou une suppression rapide de l'enregistrement à ce moment de l'appel.
Enregistrement sur le lieu de travail
Dans sa fiche « L'écoute et l'enregistrement des appels sur le lieu de travail », la CNIL admet l'écoute et l'enregistrement ponctuels pour former les salariés, les évaluer ou améliorer la qualité du service. Le cadre est strict :
- pas d'enregistrement permanent ou systématique, sauf texte légal (services d'urgence, ordres boursiers par exemple). Lutter contre les incivilités ne justifie pas d'enregistrer tous les appels : un déclenchement par le salarié en cas de problème est un moyen moins intrusif ;
- pas de couplage avec des captures d'écran du poste du salarié, jugé disproportionné ;
- des lignes non enregistrées, ou un moyen de couper l'enregistrement, pour les appels personnels et pour les représentants du personnel dans l'exercice de leur mandat ;
- une information et une consultation préalables du CSE sur tout moyen de contrôle de l'activité des salariés (article L. 2312-38 du code du travail), et une information individuelle des salariés (article L. 1222-4 du code du travail) ;
- l'association du DPO à la mise en place du dispositif, lorsqu'il en existe un.
La jurisprudence sociale ajoute que les salariés doivent savoir sur quelles périodes ils sont susceptibles d'être écoutés ou enregistrés.
Centre d'appel et service client : ce que la CNIL sanctionne
Le 8 octobre 2024, la CNIL a rendu compte de onze sanctions prononcées depuis juin 2024 en procédure simplifiée, pour un montant cumulé de 129 000 euros. Parmi les manquements retenus figure l'enregistrement systématique et en intégralité des conversations entre des téléconseillers et des prospects ou clients, contraire au principe de minimisation (article 5.1.c du RGPD).
La CNIL y rappelle deux règles que tout plateau téléphonique doit traduire dans ses paramétrages :
- l'amélioration des ventes et la formation des salariés ne justifient pas un enregistrement systématique et intégral, alors qu'un enregistrement ponctuel et aléatoire des appels peut être mis en place ;
- hors obligation légale, un enregistrement systématique n'est justifié que s'il est nécessaire et constitue la preuve d'un contrat, ou d'un acte d'exécution d'un contrat, conclu avec un consommateur.
Côté opérationnel, cela se traduit par trois réglages à vérifier avec votre éditeur de téléphonie : un taux d'échantillonnage plutôt qu'un enregistrement par défaut, un déclenchement manuel pour la preuve contractuelle, et une purge automatique alignée sur la durée de conservation de chaque finalité. Si vous faites appel à un prestataire de centre d'appel, ces règles figurent dans le contrat de sous-traitance (article 28 du RGPD).
Pour cartographier ces traitements et leurs sous-traitants sans y passer vos semaines, Leto automatise le registre et le suivi des prestataires : demandez une démo.
Transcription, scoring et analyse vocale : le point AI Act
Les outils de téléphonie proposent désormais la transcription automatique, le résumé d'appel, le scoring des conseillers ou l'analyse de sentiment. Chacune de ces fonctions est un traitement supplémentaire, qui doit avoir sa propre finalité et figurer au registre. Si l'outil évalue ou note les personnes de façon automatisée, notre guide sur le profilage et le RGPD détaille les règles applicables.
L'AI Act ajoute une ligne rouge : depuis le 2 février 2025, l'article 5.1.f du règlement (UE) 2024/1689 interdit l'utilisation de systèmes d'IA destinés à inférer les émotions d'une personne sur le lieu de travail, sauf raisons médicales ou de sécurité. Une analyse de la voix des téléconseillers pour en déduire leur stress ou leur humeur tombe dans cette interdiction. Appliquée aux seuls clients, elle n'est pas visée par cette interdiction, mais elle reste un traitement à justifier et à documenter, et l'article 50 de l'AI Act impose d'informer les personnes exposées à un système de reconnaissance des émotions.
Pour qualifier ces usages et vos obligations de déployeur, voir notre guide de conformité AI Act. Si votre éditeur de téléphonie active ces fonctions d'IA, c'est aussi un sous-traitant à évaluer : notre méthode d'audit IA des sous-traitants détaille les questions à lui poser. Un dispositif d'analyse systématique des appels mérite en outre une analyse d'impact (AIPD) au sens de l'article 35 du RGPD.
Banque, assurance, finance : quand la loi impose l'enregistrement
Dans certains secteurs, l'enregistrement n'est pas une option mais une obligation. La base légale devient alors l'obligation légale (article 6.1.c du RGPD), ce qui a une conséquence directe : le droit d'opposition de l'article 21 du RGPD ne s'applique pas, puisqu'il ne vise que les traitements fondés sur l'intérêt légitime ou sur une mission d'intérêt public.
- Services d'investissement : l'article 16, paragraphe 7, de la directive 2014/65/UE (MIF 2) impose d'enregistrer les conversations téléphoniques relatives à la réception, à la transmission et à l'exécution des ordres des clients, et à la négociation pour compte propre. Les clients doivent en être avertis au préalable. Les enregistrements sont conservés cinq ans, et jusqu'à sept ans à la demande de l'autorité compétente. En droit français, la CNIL cite l'article L. 533-10-5 du code monétaire et financier, qui impose aux prestataires de services d'investissement de conserver un enregistrement des transactions pour le contrôle de l'AMF.
- Démarchage téléphonique en assurance : l'article L. 112-2-2 du code des assurances, issu de la loi n° 2021-402 du 8 avril 2021, impose aux distributeurs d'assurances d'enregistrer et de conserver leurs communications téléphoniques de démarchage. Le décret n° 2022-34 du 17 janvier 2022 fixe la conservation à deux ans à compter de la signature du contrat, lorsqu'un contrat est conclu. Ces enregistrements permettent à l'ACPR et à la DGCCRF de contrôler le respect des règles de démarchage.
L'obligation légale fixe le périmètre, pas davantage : les appels qui n'entrent pas dans le champ du texte (appels internes, service après-vente sans lien avec un ordre ou un démarchage) restent soumis aux règles de droit commun ci-dessus. Pour le reste de vos traitements dans ce secteur, voir aussi notre guide RGPD et assurance.
L'enregistrement des conversations téléphoniques : les bonnes pratiques
Ces pratiques s'appliquent y compris lorsque l'enregistrement des conversations téléphoniques est exigé par la loi.
Information des personnes enregistrées
L'enregistrement obéit au principe de transparence (articles 12 à 14 du RGPD). Les personnes enregistrées, clients comme salariés, doivent être informées :
- de l'existence de l'enregistrement ;
- de l'identité du responsable de traitement ;
- de la finalité poursuivie (preuve d'un contrat, formation, obligation légale) ;
- de la base légale de l'enregistrement ;
- des destinataires ;
- de la durée de conservation ;
- de la possibilité de s'opposer à l'enregistrement, lorsque ce droit s'applique ;
- de leurs droits et de la possibilité d'adresser une réclamation à la CNIL.
La CNIL recommande une information en deux temps : une mention orale en début de conversation sur l'existence du dispositif, sa finalité et la possibilité de s'y opposer, puis un renvoi vers une information complète (page « mentions légales » du site, touche dédiée sur le serveur vocal). Le droit d'opposition doit pouvoir être exercé avant la fin de la conversation.
Limitation des enregistrements
Sauf obligation légale, vous ne pouvez pas enregistrer de façon permanente vos salariés ni les personnes qui appellent vos services. Définissez des règles à partir de vos besoins réels :
- si l'enregistrement sert à prouver la conclusion d'un contrat, seul ce passage est enregistré ;
- s'il sert à la formation des salariés, seuls certains appels sont enregistrés, de façon ponctuelle et sur une période définie.
Ces limites se paramètrent dans votre outil de téléphonie : demandez à votre fournisseur comment régler l'échantillonnage, le déclenchement manuel et la purge.
Conservation des enregistrements
La durée de conservation ne doit pas excéder ce qui est nécessaire à chaque finalité. Le référentiel de la CNIL sur les durées de conservation en gestion des ressources humaines, publié en avril 2026, reprend les repères suivants :
- Formation, évaluation, qualité de service : six mois maximum à compter de l'enregistrement. Les documents d'analyse (comptes rendus, grilles d'évaluation) peuvent être conservés un an maximum.
- Preuve de la formation d'un contrat : la durée de prescription applicable, soit cinq ans en droit commun à compter de la connaissance de l'existence du contrat (article 2224 du code civil), variable selon la nature du contrat.
- Obligations sectorielles : cinq ans, et jusqu'à sept ans sur demande de l'autorité, pour les services d'investissement (MIF 2) ; deux ans à compter de la signature pour le démarchage en assurance.
La CNIL recommande par ailleurs les enregistrements « tampon » : les appels sont écoutés dans les jours qui suivent, les documents d'analyse sont rédigés, puis les enregistrements sont supprimés à bref délai. Pour fixer vos autres durées, voir notre guide sur la durée de conservation des données.
Au-delà du délai fixé, une purge automatique doit être en place, et elle se vérifie : un enregistrement conservé hors délai est un manquement à l'article 5.1.e du RGPD.
Réponse aux droits des personnes
Chaque personne enregistrée peut exercer ses droits : droit d'accès, qui couvre l'enregistrement lui-même, droit de rectification, droit d'opposition, droit à l'effacement, droit à la limitation, droit à la portabilité et garanties face à une décision fondée exclusivement sur un traitement automatisé, y compris le profilage.
Certains droits connaissent des limites selon le contexte. Lorsque l'enregistrement est la seule preuve de la conclusion d'un contrat, l'entreprise peut refuser l'effacement si la conservation est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice (article 17.3.e du RGPD). Et lorsque l'enregistrement est imposé par la loi, le droit d'opposition ne s'applique pas.
Sécurité et habilitation
Les enregistrements doivent être protégés contre les accès non autorisés, les modifications et les fuites (article 32 du RGPD).
Au-delà des mesures techniques, la CNIL demande des habilitations limitées aux services concernés par la finalité, avec une traçabilité des accès : savoir qui écoute quel enregistrement, quand et pourquoi.
Elle alerte sur une situation fréquente : les mêmes enregistrements peuvent être consultés pour des finalités différentes. Le service chargé des litiges y accède pour vérifier la conclusion d'un contrat, le chargé de formation pour exploiter des appels dans le cadre de sa mission. Une séparation physique ou logique des bases est alors recommandée, d'autant que la durée de conservation varie selon la finalité.
Vos 5 priorités pour des enregistrements conformes au RGPD
Minimisez : sauf obligation légale, n'enregistrez pas l'ensemble des appels et limitez-vous à vos besoins réels et justifiés.
Informez : avant d'enregistrer, expliquez aux personnes à quoi servira l'enregistrement et indiquez-leur, lorsque ce droit s'applique, qu'elles peuvent s'y opposer.
Purgez : une durée de conservation par finalité, et une suppression automatique au-delà.
Veillez aux habilitations : limitez l'accès aux personnes qui en ont besoin et tracez les écoutes.
Facilitez l'exercice des droits : prévoyez une procédure claire pour répondre aux demandes d'accès aux enregistrements dans le délai d'un mois.
Pour documenter ces traitements au registre, suivre vos prestataires de téléphonie et répondre aux demandes de droits depuis un même outil, découvrez Leto en démo.
Questions fréquemment posées
Un employeur a-t-il le droit d'enregistrer les conversations téléphoniques de ses salariés ?
Oui, sous conditions. L'enregistrement doit être ponctuel et répondre à une finalité précise (formation, évaluation, qualité de service), sauf texte légal imposant un enregistrement permanent. Le CSE doit être informé et consulté avant la mise en place (article L. 2312-38 du code du travail), les salariés doivent être informés individuellement, et des lignes non enregistrées doivent être prévues pour les appels personnels. Un enregistrement à l'insu des salariés est illicite.
Comment informer les clients qu'un appel téléphonique est enregistré ?
La CNIL recommande une information en deux temps : une mention orale en début d'appel sur l'existence de l'enregistrement, sa finalité et la possibilité de s'y opposer, puis un renvoi vers une information complète (site internet, touche dédiée). La personne doit pouvoir exercer son droit d'opposition avant la fin de la conversation, lorsque ce droit s'applique.
Combien de temps peut-on conserver des enregistrements téléphoniques ?
Six mois maximum pour les enregistrements réalisés à des fins de formation, d'évaluation ou de qualité de service, et un an pour les documents d'analyse. Pour la preuve d'un contrat, la durée suit la prescription applicable, cinq ans en droit commun. Les textes sectoriels fixent leurs propres durées : cinq ans, et jusqu'à sept ans sur demande de l'autorité, pour les services d'investissement (MIF 2), deux ans à compter de la signature pour le démarchage téléphonique en assurance.
L'enregistrement téléphonique est-il obligatoire dans certains secteurs ?
Oui. Les prestataires de services d'investissement doivent enregistrer les conversations relatives aux ordres de leurs clients (article 16, paragraphe 7, de la directive MIF 2), et les distributeurs d'assurances doivent enregistrer leurs appels de démarchage (article L. 112-2-2 du code des assurances). La base légale est alors l'obligation légale, et le droit d'opposition ne s'applique pas. La finalité, la base légale et la durée de conservation doivent être documentées dans le registre des traitements.
Un centre d'appel peut-il enregistrer tous ses appels ?
Non, sauf obligation légale ou nécessité de prouver un contrat conclu avec un consommateur. Dans le bilan de ses sanctions simplifiées publié le 8 octobre 2024, la CNIL retient un manquement à la minimisation pour l'enregistrement systématique et en intégralité des conversations de téléconseillers : l'amélioration des ventes et la formation ne justifient qu'un enregistrement ponctuel et aléatoire.
Peut-on analyser les appels enregistrés avec l'IA ?
La transcription, le résumé ou le scoring des appels sont des traitements distincts, qui doivent avoir leur propre finalité, figurer au registre et, s'ils sont systématiques, faire l'objet d'une analyse d'impact. L'AI Act interdit en revanche, depuis le 2 février 2025, les systèmes d'IA qui infèrent les émotions des salariés sur le lieu de travail (article 5.1.f), ce qui exclut l'analyse de la voix des téléconseillers pour en déduire leur état émotionnel.
