Votre callbot enregistre des milliers d'appels par jour. Avez-vous évalué si ces enregistrements déclenchent l'article 9 du RGPD ?

La question semble technique. Elle est stratégique. La voix est une donnée personnelle à part entière - mais elle devient une donnée biométrique, soumise au régime le plus strict du RGPD, dès lors qu'elle est traitée pour identifier ou authentifier une personne de manière unique. Cette distinction change radicalement vos obligations légales, vos exigences de consentement et vos risques de sanction.

En 2026, les déploiements d'agents vocaux IA se multiplient. La tentation d'ajouter des fonctionnalités d'identification vocale, de vérification du locuteur ou d'analyse de l'empreinte vocale à des fins de personnalisation est réelle. Chacune de ces fonctionnalités peut, sans que vous en ayez pleinement conscience, faire basculer votre traitement dans la catégorie des données sensibles de l'article 9.

Ce guide s'adresse aux CTOs, DSIs, DPOs et responsables conformité tech qui déploient des solutions d'agent vocal IA et doivent en maîtriser les obligations RGPD liées à la voix.

La voix comme donnée biométrique : quand l'article 9 s'applique-t-il ?

Un enregistrement audio brut n'est pas une donnée biométrique. Une empreinte vocale extraite de cet enregistrement l'est. C'est le traitement - pas la captation - qui déclenche l'article 9 du RGPD.

La définition précise de l'article 4(14) du RGPD

Le RGPD définit les données biométriques à l'article 4(14) comme "les données à caractère personnel résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques." La voix relève de cette définition dès lors qu'elle est traitée pour identifier ou authentifier de manière unique la personne.

Le traitement qui fait basculer la qualification

La ligne de partage est claire : un enregistrement audio brut d'une conversation constitue une donnée personnelle ordinaire (la voix est identifiable, elle permet d'associer la personne à un appel). Ce traitement relève des articles 6 et 13 du RGPD. En revanche, dès que vous extrayez un voiceprint - une représentation numérique de l'empreinte vocale de la personne, utilisée pour l'identifier ou la vérifier - vous traitez une donnée biométrique au sens de l'article 4(14), et l'article 9 s'applique immédiatement.

Les cas concrets qui déclenchent l'article 9 dans un contexte callbot :

  • Speaker verification : le système compare la voix de l'appelant à un modèle de référence pour confirmer son identité avant de lui donner accès à son compte
  • Speaker identification : le système détermine qui parle parmi un ensemble de locuteurs connus, sans que la personne ait indiqué son identité
  • Empreinte vocale à des fins de personnalisation : stocker un modèle vocal de la personne pour personnaliser les interactions futures ou détecter ses émotions de manière unique
  • Voix comme facteur d'authentification forte : utiliser la voix comme second facteur dans un processus d'authentification multi-facteurs

Ce qui ne relève pas de l'article 9

L'enregistrement audio conservé pour des finalités de qualité, de preuve contractuelle ou de formation des agents humains - sans extraction d'empreinte vocale - ne constitue pas un traitement de données biométriques. Il reste une donnée personnelle ordinaire, soumise aux articles 6, 13 et 17 du RGPD, mais sans le niveau d'exigence spécifique à l'article 9.

Les obligations spécifiques applicables aux données biométriques vocales

Une base légale très limitée : le consentement explicite comme seule option pratique

L'article 9(2) du RGPD liste les bases légales permettant de traiter des données biométriques. Dans un contexte commercial, la quasi-totalité de ces exceptions est inapplicable ou inadaptée. La sécurité nationale, la médecine du travail, l'intérêt public essentiel - autant de bases qui ne couvrent pas un callbot de service client ou de vente.

En pratique, le consentement explicite de l'article 9(2)(a) est la seule base légale utilisable pour identifier ou authentifier vocalement un client dans une relation commerciale. Ce consentement doit être :

  • Libre : ne pas conditionner l'accès au service au consentement biométrique
  • Spécifique : formulé pour la finalité précise (ex : "identification vocale pour sécuriser l'accès à votre compte"), pas pour un ensemble flou d'usages futurs
  • Éclairé : la personne doit comprendre ce qu'est une empreinte vocale, comment elle est stockée et combien de temps
  • Univoque et actif : le silence ou la continuation de l'appel ne vaut pas consentement - une action positive est requise (touche DTMF, mot de confirmation)

L'intérêt légitime, base fréquemment utilisée pour les traitements de données ordinaires, est explicitement exclu pour les données biométriques par l'article 9.

L'AIPD obligatoire

Une Analyse d'Impact relative à la Protection des Données (AIPD, ou DPIA en anglais) est obligatoire pour tout traitement de données biométriques. C'est l'une des catégories explicitement listées dans les lignes directrices du G29 (WP248) comme nécessitant systématiquement une AIPD. Cette analyse doit documenter les risques pour les droits et libertés des personnes, les mesures prises pour les réduire, et la proportionnalité du traitement par rapport à la finalité.

Le registre de traitement et le DPO

Le traitement de données biométriques doit figurer au registre des activités de traitement de votre organisation (article 30 RGPD) avec une documentation détaillée : description précise du traitement, bases légales, catégories de données, durées de conservation, mesures de sécurité, et éventuels transferts hors UE. Si votre organisation traite des données biométriques à grande échelle - ce qui est le cas d'un callbot traitant des milliers d'appels - la désignation d'un Délégué à la Protection des Données (DPO) est obligatoire en vertu de l'article 37(1)(c).

Enregistrement d'appels vs identification vocale : deux régimes distincts

Caractéristique Enregistrement audio brut Empreinte vocale (voiceprint)
Qualification RGPD Donnée personnelle ordinaire Donnée biométrique - donnée sensible
Article applicable Art. 6 (base légale), art. 13 (information) Art. 9 + art. 6 + art. 13
Base légale possible Intérêt légitime, contrat, consentement Consentement explicite uniquement (en contexte commercial)
AIPD Recommandée (volume élevé) Obligatoire
DPO Selon volume et activité principale Obligatoire si traitement à grande échelle
Conservation maximale Proportionnée à la finalité (6 mois à 1 an en général) Durée strictement limitée à la finalité d'identification
Niveau de sécurité requis Standard (chiffrement, contrôle d'accès) Renforcé (chiffrement fort, isolation, suppression garantie)
Risque de sanction CNIL Modéré (jusqu'à 10 M€ / 2 % CA) Élevé (jusqu'à 20 M€ / 4 % CA)

Comment recueillir un consentement valide pour les enregistrements et l'identification vocale

Pour l'enregistrement audio brut

La mention d'information doit être délivrée avant le début de l'enregistrement. Dans un callbot, cela signifie avant le premier échange vocal capturé. Le message doit indiquer : la finalité de l'enregistrement (qualité, formation, preuve), l'identité du responsable de traitement, la durée de conservation, et les droits de la personne (accès, effacement, opposition).

Un exemple de message conforme : "Cet appel peut être enregistré à des fins de contrôle qualité et de formation de nos équipes. Les enregistrements sont conservés 6 mois. Pour exercer vos droits, rendez-vous sur notre site. Si vous ne souhaitez pas être enregistré, merci de le signaler maintenant."

Pour l'identification ou la vérification vocale

Le niveau d'exigence est nettement supérieur. La personne doit consentir explicitement, de manière distincte, spécifiquement pour l'identification biométrique. Il ne suffit pas d'intégrer une clause dans des CGU ou de faire référence à la politique de confidentialité générale. Un acte positif distinct est requis - par exemple, une confirmation vocale ou DTMF après une explication spécifique sur la nature biométrique du traitement.

La preuve du consentement doit être conservée : log horodaté avec l'identifiant de la session d'appel, la réponse de la personne, et la version exacte du message de consentement diffusé. Ce log doit être accessible en cas de contrôle CNIL ou de litige.

Droit de retrait et mécanisme d'opposition

Le retrait du consentement doit être aussi simple que son octroi. Pour un callbot, cela implique de proposer un mécanisme accessible par téléphone (une commande vocale ou DTMF permettant de supprimer son empreinte vocale) et en ligne (espace client ou formulaire dédié). Dès que le consentement est retiré, les données biométriques associées doivent être supprimées sans délai injustifié.

Sécurisation et durée de conservation des données vocales

Durées de conservation recommandées par finalité

Le principe de limitation de conservation (article 5(1)(e) du RGPD) impose que les données ne soient conservées que le temps nécessaire à la finalité pour laquelle elles ont été collectées. Pour les données vocales, les durées suivantes constituent un cadre de référence :

  • Contrôle qualité et formation : 6 mois maximum (sauf nécessité documentée)
  • Preuve contractuelle : durée du contrat + délai de prescription applicable (en général 2 à 5 ans selon la nature du contrat)
  • Résolution d'un litige : jusqu'à clôture définitive de la procédure
  • Empreinte vocale d'identification : durée strictement limitée à la durée d'utilisation active du service, avec suppression automatique à la résiliation

Mesures de sécurité techniques obligatoires

L'article 32 du RGPD exige des mesures de sécurité adaptées au risque. Pour les données biométriques vocales, le niveau de sécurité requis est renforcé par rapport aux données personnelles ordinaires :

  • Chiffrement fort : les empreintes vocales doivent être chiffrées au repos (AES-256 minimum) et en transit (TLS 1.3)
  • Cloisonnement : les données biométriques doivent être isolées des autres données personnelles, dans un stockage dédié avec contrôle d'accès strict
  • Journalisation des accès : tout accès aux données biométriques doit être tracé (qui, quand, pourquoi) pour permettre l'audit
  • Suppression garantie : les procédures de suppression doivent être testées et vérifiées - une suppression logique (marquage) ne suffit pas pour des données biométriques
  • Clause contractuelle fournisseurs : tout sous-traitant accédant aux données biométriques doit avoir signé un accord de traitement des données conforme à l'article 28 RGPD

Sanctions CNIL et jurisprudence récente sur la biométrie vocale

Le traitement illicite de données biométriques est l'une des infractions les plus lourdement sanctionnées par le RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel.

Les autorités de protection des données européennes ont durci leur position sur la biométrie depuis 2023. Plusieurs décisions de référence illustrent les risques :

  • Clearview AI (2022-2023) : condamnations multiples (France, Italie, Grèce, Royaume-Uni) pour constitution d'une base de données biométriques sans consentement - amendes cumulées de plusieurs dizaines de millions d'euros, avec injonction de suppression des données.
  • Amazon Alexa (2023) : amende de 25 millions de dollars aux États-Unis pour conservation d'enregistrements d'enfants au-delà du nécessaire. Signal fort sur la durée de conservation, même hors RGPD.
  • Reconnaissances vocales bancaires (2024-2025) : plusieurs mises en demeure de la CNIL concernant des banques françaises ayant déployé des systèmes de vérification vocale sans AIPD formalisée ni consentement explicite documenté.

La CNIL a rappelé dans ses recommandations 2025 que le déploiement d'un système de biométrie vocale sans AIPD préalable constitue en lui-même une violation de l'article 35 du RGPD, indépendamment des autres manquements éventuels.

Ce que TALKR garantit contractuellement sur le traitement des données vocales

TALKR a conçu son infrastructure d'agent vocal IA en appliquant le principe de Privacy by Design dès l'architecture. Les garanties contractuelles intégrées dans chaque déploiement TALKR comprennent :

  • Aucune extraction d'empreinte vocale par défaut : les enregistrements audio bruts sont stockés séparément de tout modèle d'identification vocale. L'identification biométrique est une fonctionnalité optionnelle, activable uniquement avec consentement explicite documenté.
  • Durées de conservation configurables et auditables : chaque client définit ses durées de conservation dans la console TALKR ; la suppression automatique est garantie contractuellement à l'échéance.
  • DPA (Data Processing Agreement) conforme article 28 : signé systématiquement, documentant les rôles responsable de traitement / sous-traitant, les sous-traitants ultérieurs, et les garanties de sécurité.
  • Hébergement UE / souverain : aucun transfert de données vocales hors UE sans accord explicite et garanties appropriées (clauses contractuelles types ou décision d'adéquation).
  • Support AIPD : TALKR met à disposition un template d'AIPD pré-rempli pour les déploiements standards, réduisant le travail de conformité des équipes DPO.

Votre traitement des données vocales est-il conforme au RGPD ?

Nos experts conformité peuvent auditer votre déploiement actuel et identifier les risques liés au traitement biométrique avant un contrôle CNIL.

Demander un audit conformité RGPD

Questions fréquentes - Données biométriques vocales et RGPD

Un enregistrement d'appel téléphonique est-il une donnée biométrique au sens du RGPD ?

Pas automatiquement. Un enregistrement audio brut est une donnée personnelle ordinaire (la voix est identifiable), mais pas une donnée biométrique au sens strict. Il le devient dès qu'un traitement technique en extrait une empreinte vocale (voiceprint) aux fins d'identifier ou d'authentifier de manière unique la personne. C'est le traitement - pas la captation - qui déclenche l'article 9 et le régime des données sensibles.

Quelle base légale pour enregistrer des appels avec un callbot ?

Pour l'enregistrement audio brut, l'intérêt légitime, l'exécution du contrat ou le consentement sont utilisables selon le contexte. Pour l'extraction d'empreinte vocale (données biométriques), seul le consentement explicite est praticable dans un contexte commercial - les autres exceptions de l'article 9(2) sont très restrictives et inapplicables à la relation client.

Faut-il réaliser une AIPD pour un callbot qui enregistre les appels ?

Une AIPD est obligatoire pour tout traitement de données biométriques (empreinte vocale, identification vocale). Pour un enregistrement audio brut à grande échelle, elle est fortement recommandée et souvent obligatoire selon le volume et la nature des personnes concernées. La CNIL considère que l'absence d'AIPD pour un traitement biométrique constitue en elle-même une violation du RGPD.

Comment recueillir un consentement valide pour l'enregistrement vocal dans un callbot ?

Annoncer clairement l'enregistrement avant tout début de capture, mentionner la finalité précise et la durée de conservation, recueillir une action positive de la personne (touche DTMF ou confirmation vocale), conserver une preuve horodatée du consentement avec le message exact diffusé, et offrir un mécanisme de retrait accessible. Le silence ou la continuation de l'appel ne constitue pas un consentement valide.

Combien de temps peut-on conserver des enregistrements d'appels ?

La durée doit être proportionnée à la finalité : 6 mois pour la qualité/formation, 1 à 5 ans pour la preuve contractuelle selon le délai de prescription applicable, durée légale en cas de litige. Les empreintes vocales biométriques doivent être supprimées dès que la finalité d'identification est atteinte. Une politique de suppression automatique à l'échéance est obligatoire.

Quelles sanctions la CNIL peut-elle prononcer pour non-conformité dans le traitement de données vocales ?

Pour les infractions graves (traitement illicite de données biométriques sans consentement) : jusqu'à 20 millions d'euros ou 4 % du CA mondial. Pour des manquements moins graves (absence de mention d'information, durée de conservation excessive) : de 50 000 à 1 million d'euros. La CNIL a prononcé plusieurs mises en demeure en 2024-2025 concernant des traitements de reconnaissance vocale non conformes.

Un système de vérification vocale est-il soumis à l'article 9 du RGPD ?

Oui. Un système de speaker verification extrait une empreinte vocale numérique pour comparer à un modèle de référence - c'est un traitement biométrique aux fins d'identification unique, qui déclenche l'article 9 quelle que soit la technologie. Le consentement explicite est requis, une AIPD doit être réalisée, et les empreintes doivent être chiffrées et isolées des autres données.

Pour aller plus loin