Ce guide explique les principes, il ne remplace pas un avocat. Les règles exactes dépendent du pays où se trouvent l’entreprise et les personnes appelées ; vérifiez-les pour votre cas.

Qui est responsable des données

Dans un appel mené par un agent vocal, il y a deux rôles :

  • le responsable du traitement est l’entreprise qui décide pourquoi et comment les appels sont passés, par exemple la clinique ou le magasin (RGPD, art. 4 point 7) ;
  • le sous-traitant est la plateforme qui fait fonctionner l’agent au nom de l’entreprise (art. 4 point 8).

La relation entre eux est définie dans un contrat de sous-traitance, avec le contenu exigé par l’article 28 : l’objet et la durée, les types de données, les instructions, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’effacement à la fin et le droit de contrôle.

Les obligations d’information et le choix de la base légale restent à la charge du responsable du traitement. La plateforme l’aide, mais ne les reprend pas à son compte.

Base pour l’enregistrement

L’enregistrement d’un appel est un traitement de données et nécessite une base de l’article 6 paragraphe (1). En pratique, on utilise :

  • l’exécution d’un contrat (let. b), lorsque l’appel concerne une commande ou un service demandé par la personne ;
  • une obligation légale (lit. c), lorsqu’une loi impose la conservation des conversations ;
  • l’intérêt légitime (let. f), par exemple la preuve d’une confirmation, après une évaluation écrite montrant que les droits de la personne ne prévalent pas ;
  • le consentement (let. a), lorsqu’aucun autre fondement ne convient. Il doit pouvoir être retiré aussi facilement qu’il a été donné (art. 7 al. 3).

Certaines juridictions, y compris en dehors de l'Union européenne, exigent le consentement de tous les participants pour enregistrer une conversation, quelle que soit la base de protection des données. Si vous appelez dans plusieurs pays, vérifiez chaque pays.

L’annonce : quoi, quand, comment

L’article 13 exige que la personne soit informée au moment où les données sont collectées. Pour un appel, cela signifie avant que l’enregistrement commence, pas à la fin et pas dans un e-mail envoyé le lendemain.

Une annonce orale ne peut pas contenir toute la politique de confidentialité. On utilise une information par niveaux :

  • au début de l’appel : qui est le responsable du traitement, que l’appel est enregistré et dans quel but, où se trouvent les détails ;
  • dans la politique de confidentialité : la base, les destinataires, les transferts, la durée de conservation, les droits et le droit de déposer une plainte (art. 13 par. 1 et 2).

L’annonce doit être brève, claire et dans la langue de la conversation.

Dites qu’un agent IA parle

Le règlement (UE) 2024/1689 relatif à l’intelligence artificielle prévoit, à l’article 50 paragraphe 1, que les systèmes conçus pour interagir directement avec des humains doivent être conçus de manière que les personnes sachent qu’elles interagissent avec un système d’IA, sauf si cela est évident. Le calendrier d’application est fixé à l’article 113 ; vérifiez-le pour la date à laquelle vous lancez.

Même lorsque ce n’est pas obligatoire, dire dès le début qu’un assistant virtuel parle évite une impression de tromperie et des réclamations par la suite.

Les appels sortants et le droit d’opposition

Lorsque l’agent appelle pour du marketing direct, la personne peut s’y opposer à tout moment, et les données ne sont plus utilisées à cette fin (art. 21 alin. 2 et 3). Le droit doit être porté explicitement à la connaissance de la personne au plus tard lors du premier échange, séparément des autres informations (art. 21 alin. 4).

En outre, de nombreux pays ont leurs propres règles pour les appels commerciaux non sollicités, parfois avec un consentement préalable obligatoire. Pour un agent, cela signifie :

  • uniquement des listes de personnes pour lesquelles vous avez une base ;
  • une phrase dans le scénario qui accepte le refus sans insister ;
  • le retrait du numéro des campagnes suivantes après un refus.

Décisions automatisées

La personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques la concernant ou l’affectant de manière similaire de façon significative (art. 22). Un agent peut recueillir des informations pour un crédit, une police ou une embauche ; la décision est prise par un humain, et la personne peut en demander l’intervention.

Combien de temps vous conservez les enregistrements

Les données ne sont conservées que le temps nécessaire à la finalité (art. 5 al. 1 let. e). Fixez par écrit un délai pour chaque type de données : l’enregistrement audio, la transcription, le résumé, les champs extraits. Il n’est pas obligatoire qu’il soit le même ; une transcription peut être utile plus longtemps que le son.

La voix comme donnée biométrique

Un enregistrement vocal ne devient pas automatiquement une donnée biométrique. Il le devient lorsqu’il est traité techniquement pour identifier ou authentifier de manière unique une personne (art. 4 pt 14), auquel cas il relève du régime des catégories particulières (art. 9). Si vous utilisez la voix pour reconnaître l’appelant, traitez-la comme telle.

L’évaluation d’impact

L’article 35 exige une évaluation d’impact avant les traitements à risque élevé, en particulier l’évaluation systématique des personnes sur la base d’un traitement automatisé, le traitement à grande échelle de catégories particulières de données ou la surveillance systématique à grande échelle d’une zone accessible au public. Un agent pour une clinique ou pour des décisions financières est un candidat sérieux.

Transferts, sécurité, incidents

  • Transferts : si les fournisseurs de la plateforme sont en dehors de l’Espace économique européen, demandez le mécanisme de transfert, généralement les clauses contractuelles types de la Commission européenne (art. 46 al. 2 let. c).
  • Sécurité : mesures techniques et organisationnelles adaptées au risque (art. 32) : accès limité aux enregistrements, journaux, chiffrement en transit.
  • Incidents : le responsable notifie l’autorité de contrôle sans retard injustifié et, si possible, au plus tard dans les 72 heures après avoir eu connaissance de la violation, sauf si celle-ci ne présente pas de risque pour les personnes (art. 33).

Comment Kallina fonctionne

  • L’annonce téléphonique. À partir du 9 septembre 2026, pour les appels qui passent par le serveur téléphonique Kallina, l’annonce d’enregistrement est énoncée par le serveur, avant le début de l’enregistrement, et non à partir du texte de chaque agent. Ainsi, elle ne dépend pas de la personne qui a rédigé le scénario.
  • Preuve dans l’appel. Le serveur note à chaque appel que l’annonce a été énoncée et dans quelle langue.
  • Les rôles. Pour les appels de votre agent, vous êtes le responsable du traitement ; Kallina est la personne imputée, sur la base d’un accord de traitement.
  • Les fournisseurs. La liste de ceux qui traitent les données pour le service est publique, sur la page des sous-traitants.
  • Les demandes des personnes. L’export ou la suppression des données liées à un numéro de téléphone se font à votre demande, par l’intermédiaire de notre équipe.

Liste de vérification

  1. Vous avez déterminé qui est le responsable du traitement et vous avez signé l’accord de traitement.
  2. Vous disposez d’une base écrite pour chaque type d’appel.
  3. L’annonce est diffusée avant l’enregistrement, dans la langue de la conversation.
  4. La personne apprend qu’elle parle à un agent IA.
  5. La politique de confidentialité contient tout ce qu’exige l’article 13.
  6. Le scénario accepte le refus et l’opposition, et les numéros sont retirés des listes.
  7. Aucune décision produisant des effets juridiques n’est prise uniquement par l’agent.
  8. Il existe des durées de conservation par types de données.
  9. Avez-vous vérifié si vous avez besoin d’une évaluation d’impact.
  10. Vous savez où se trouvent les fournisseurs et selon quel mécanisme les données sont transférées.