Le 25 avril 2022, la Cnil a précisé le cadre de l’enregistrement des conversations téléphoniques afin d’établir la preuve de la formation d’un contrat.
La captation et l’usage autorisé du contenu d’une conversation téléphonique sont un sujet d’actualité pour la Cnil.
La captation et l’usage constituent en effet, des traitements de données à caractère personnel. L’enregistrement d’une voix permet d’identifier une personne physique. La question relève donc, sans conteste, de la réglementation sur la protection des données à caractère personnel.
Ces traitements ne doivent pas être contestés à raison des conditions dans lesquelles ils sont mis en place. Pour cela, il convient de respecter un certain nombre de règles issues du RGPD (information préalable, finalités poursuivies, etc.).
C’est pourquoi, la Cnil s’est une nouvelle fois, prononcée sur ces questions à travers des recommandations.
Les précédents en matière d’enregistrement des conversations téléphoniques
A ce propos, la Cnil explique que « l’enregistrement de conversations téléphoniques à des fins de preuve de la formation d’un contrat est autorisé » (1), à condition « d’être nécessaire ».
La Cnil avait déjà eu l’occasion de se prononcer sur la conservation des enregistrements téléphoniques réalisés par des entreprises ou par les prestataires de services de centres d’appels, par exemple, lorsque ces derniers souhaitaient utiliser ces enregistrements afin de mesurer la qualité du service rendu à leurs clients ou encore pour des besoins de formation et d’évaluation des téléopérateurs (2).
L’enregistrement des conversations téléphoniques a parfois été rendu obligatoire. Tel est le cas lorsque le législateur est intervenu pour encadrer l’enregistrement des conversations téléphoniques à titre de preuve dans le secteur des services financiers et dans celui de l’assurance.
Ainsi, l’article L.533-10-5 du Code monétaire et financier dispose que les prestataires de services d’investissement peuvent conserver un enregistrement des transactions qu’ils effectuent pour permettre à l’Autorité des marchés financiers de contrôler le respect de leurs obligations, notamment à l’égard de leurs clients.
D’autre part, l’article L.112-2-2 du Code des assurances impose aux distributeurs d’assurances l’enregistrement et la conservation de la conversation téléphonique afin de respecter leurs obligations en matière de démarchage. Ils ont en effet l’obligation d’enregistrer, de conserver et de garantir « la traçabilité de l’intégralité des communications téléphoniques intervenues avant la conclusion du contrat d’assurance, pendant une période de deux années ». Il s’agit alors de permettre à deux organismes (l’Autorité de contrôle prudentiel et de résolution ainsi que la Direction générale de la concurrence, de la consommation et de la répression des fraudes) de contrôler le respect de ces obligations, dont les modalités sont détaillées par le décret du 17 janvier 2022 (3).
Le principe de minimisation des données et le fondement juridique du traitement
Au cas présent, la Cnil a rappelé qu’en vertu du principe de minimisation des données prévu par l’article 5 c) du règlement général sur la protection des données (RGPD) (4), une entreprise ou un prestataire de services de centre d’appels devait respecter deux obligations :
- ne conserver que la partie pertinente de la conversation, c’est-à-dire celle qui apporte la démonstration de la formation du contrat, ou de son exécution ;
- ne procéder à un tel enregistrement qu’en l’absence d’une autre modalité de preuve de la formation dudit contrat.
S’agissant de la question du fondement juridique du traitement, la Cnil note qu’il est possible pour le professionnel d’opérer ce traitement de données personnelles sur le fondement de l’article 6.1 b) du RGPD, qui prévoit qu’un traitement de données à caractère personnel est licite lorsqu’il est nécessaire à l’exécution d’un contrat ou qu’il est nécessaire à l’exécution des mesures précontractuelles prises à la demande de la personne concernée.
L’information des personnes
Comme pour tout traitement de données à caractère personnel, le professionnel doit préalablement informer les personnes concernées des traitements qu’il va mettre en œuvre et, dans ce cadre, se conformer aux dispositions de l’article 13 du RGPD.
Concrètement, la Cnil recommande au professionnel d’effectuer cette information en deux temps :
- en début de conversation : via une mention orale, le professionnel doit faire état de :
- l’existence du dispositif d’enregistrement,
- la finalité poursuivie,
- la possibilité de conclure le contrat par une autre voie (internet, voie postale) ;
- droit d’accès dont bénéficie la personne concernée ;
- l’obtention ultérieure d’une information complète via :
- le renvoi via un onglet « mentions légales » vers un site web, ou
- par une touche similaire sur le téléphone.
Enfin, le professionnel est débiteur d’une obligation d’information à l’égard de son futur cocontractant. Cette obligation va jusqu’à devoir lui préciser s‘il est possible de conclure le contrat par d’autres moyens.
A défaut de respecter ces différentes obligations, l’enregistrement ne pourra servir de preuve.
L’enregistrement des conversations téléphoniques à titre de preuve
Pour sécuriser l’enregistrement des données, le professionnel doit limiter l’accès aux conversations téléphoniques aux services concernés par l’objectif poursuivi.
Il doit donc limiter l’accès aux conversations aux seules personnes habilitées. Il s’agit des personnes compétentes dans le cadre de la gestion amiable ou contentieuse des litiges avec les consommateurs.
En outre, le professionnel doit prendre des mesures de sécurité pour éviter que des personnes non autorisées n’accèdent aux enregistrements.
Concrètement, la Cnil lui impose de mettre en place des habilitations propres à chaque personne pour réguler l’accès aux enregistrements.
En effet, ces habilitations doivent impérativement permettre la traçabilité informatique :
- des actions effectuées
- de leur date
- et de l’identité des personnes ayant accédé à l’enregistrement.
Enfin, la Cnil envisage également l’éventuelle communication de données bancaires par voie téléphonique. En pareil cas, le professionnel doit alors prévoir un dispositif permettant soit :
- de supprimer rapidement de la conversation enregistrée le passage où le consommateur communique ces informations,
- d’interrompre l’enregistrement à ce moment là.
Frédéric Forster
Lexing Télécoms
Notes
(1) « L’enregistrement des conversations téléphoniques afin d’établir la preuve de la formation d’un contrat », CP Cnil du 25 avril 2022.
(2) « L’écoute et l’enregistrement des appels sur le lieu de travail », CP Cnil du 25 juillet 2018.
(3) Décret n° 2022-34 du 17 janvier 2022 relatif au démarchage téléphonique en assurance.
(4) Règlement UE 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données