RGPD et transcription des appels : les règles à respecter.
Transcrire un appel, c’est traiter des données personnelles : l’entreprise choisit une base légale, informe l’appelant, limite ce qu’elle garde et encadre son prestataire. Voici chaque règle, l’article du RGPD qui la fonde, et un modèle de message à adapter.
- Information de l’appelant (article 13)
- Contrat de sous-traitance (article 28)
- Analyse d’impact quand le risque est élevé (article 35)
Une transcription d’appel est une donnée personnelle.
Une transcription d’appel est la conversion en texte de ce que disent l’appelant et le collaborateur. Elle contient des noms, des coordonnées, parfois un numéro de contrat ou une information de santé : ce sont des données personnelles au sens de l’article 4 du RGPD. La transcrire, la conserver, la consulter ou la résumer sont autant d’opérations de traitement.
La CNIL a inscrit à son programme 2026 des travaux pour clarifier les conditions de mise en œuvre des outils de transcription et d’analyse automatique, notamment dans les centres d’appels. En attendant, les principes du RGPD et ses recommandations sur l’enregistrement des appels servent de repère. Information générale, pas un conseil juridique.
Quelle base légale pour transcrire un appel ?
Tout traitement repose sur l’une des six bases légales de l’article 6. Pour la transcription d’appels, trois reviennent le plus souvent :
- L’intérêt légitime : suivre les demandes, améliorer la qualité des réponses. Il suppose de vérifier que cet intérêt ne l’emporte pas sur les droits des personnes, et ouvre à l’appelant un droit d’opposition (article 21).
- L’obligation légale, quand un texte impose l’enregistrement, comme l’article L112-2-2 du Code des assurances pour le démarchage téléphonique.
- Le consentement, possible mais exigeant : libre, éclairé, retirable à tout moment.
Les données de santé sont des données sensibles, dont le traitement est interdit sauf exceptions (article 9). Un cabinet médical qui transcrit ses appels d’accueil doit examiner ce point avec soin. Le choix de la base légale vous revient, avec votre DPO, et se documente au registre (article 30).
Informer l’appelant : un message court, une notice complète.
L’article 13 impose d’informer la personne au moment de la collecte. La CNIL recommande, pour les appels, une information en deux niveaux : une mention orale en début d’appel sur l’existence du dispositif, sa finalité et la possibilité de s’y opposer, puis une information complète accessible ailleurs. L’appelant doit connaître son droit d’opposition avant la fin de l’appel.
La notice complète précise : l’identité du responsable et le contact du DPO, les finalités et la base légale, les destinataires, les éventuels transferts hors de l’Union européenne, la durée de conservation, les droits et la possibilité de saisir la CNIL.
Modèle de message d’information, à adapter avec votre conseil.
Modèle à adapter avec votre conseil juridique. Il ne remplace pas une analyse de votre situation. Il est rempli ici pour un cabinet fictif : remplacez chaque élément par vos propres informations.
Message en début d’appel
« Bonjour, cabinet Durand. Pour le suivi de votre demande, cet appel peut être transcrit par un outil d’assistance. Vous pouvez vous y opposer en le disant simplement à votre interlocuteur. Pour en savoir plus : rubrique Données personnelles de notre site. »
Notice complète, sur votre site
- Responsable du traitement : Cabinet Durand, 12 rue des Lilas, 69003 Lyon ; DPO : joignable à la même adresse ou par le formulaire de contact du site.
- Finalités : suivi des demandes et qualité des réponses ; base légale : intérêt légitime (le choix de la vôtre se fait avec votre DPO).
- Destinataires : service gestion et service client ; prestataire de transcription agissant pour notre compte.
- Transferts hors Union européenne : indiquez s’il y en a et les garanties prévues, d’après le DPA de votre prestataire.
- Durée de conservation : transcriptions, 6 mois ; résumés validés, conservés dans le dossier client pendant la durée de la relation.
- Vos droits : accès, rectification, effacement, limitation, opposition, à exercer au 12 rue des Lilas, 69003 Lyon, ou par le formulaire de contact du site ; réclamation possible auprès de la CNIL.
Si l’appelant s’oppose
Le collaborateur en prend acte, arrête la transcription pour cet appel et poursuit l’échange. Prévoyez cette procédure avant la mise en service : sa mise en place dans NormDesk se règle avec nous lors du déploiement.
Durée de conservation : audio, transcription, résumé.
Les données ne se gardent que le temps nécessaire à la finalité (article 5). Le RGPD ne fixe pas de durée chiffrée : c’est à vous de la définir et de la justifier.
| Donnée | Repère | Source |
|---|---|---|
| Enregistrement audio (formation, qualité) | 6 mois au maximum | Recommandation CNIL |
| Documents d’analyse | 1 an au maximum | Recommandation CNIL |
| Preuve d’un contrat conclu oralement | Délai de prescription applicable (5 ans en droit commun) | CNIL, Code civil art. 2224 |
| Démarchage téléphonique en assurance | 2 ans | Code des assurances, art. L112-2-2 |
| Transcription et résumé dans le dossier client | À fixer selon la finalité, à valider avec votre DPO | RGPD, art. 5 |
Dans NormDesk, la durée de conservation se règle selon vos finalités ; sur l’offre Sur mesure, vous choisissez aussi la zone de stockage. Le traitement de l’audio et le réglage des durées se voient en démo, et les mesures de sécurité associées sont détaillées dans l’accord de traitement des données (DPA) remis avant la signature.
Sous-traitance : le contrat de l’article 28.
Le prestataire qui transcrit pour votre compte est en principe votre sous-traitant. L’article 28 impose un contrat qui prévoit notamment que le sous-traitant :
- ne traite les données que sur vos instructions documentées ;
- impose la confidentialité aux personnes autorisées ;
- met en œuvre les mesures de sécurité de l’article 32 ;
- ne recrute un autre sous-traitant qu’avec votre autorisation écrite ;
- vous aide à répondre aux demandes de droits et à mener une AIPD ;
- supprime ou restitue les données en fin de contrat ;
- vous donne les informations nécessaires et permet des audits.
Tout transfert hors de l’Union européenne doit être encadré (chapitre V du RGPD). Chez NormDesk, ce contrat prend la forme d’un accord de traitement des données (DPA), remis avant la signature : il précise le lieu d’hébergement, les sous-traitants ultérieurs, les mesures de sécurité et la localisation des données. Comme le prévoient nos conditions générales de vente, NORMDESK agit en sous-traitant au sens de l’article 28, s’engage à ne pas utiliser vos données pour entraîner des modèles sans votre accord écrit, et vous permet de les exporter pendant 30 jours après la fin de l’abonnement, avant leur suppression.
Analyse d’impact : quand elle est obligatoire.
L’article 35 impose une analyse d’impact relative à la protection des données (AIPD) quand un traitement est susceptible d’engendrer un risque élevé. La CNIL la considère requise dans deux cas : le traitement figure sur sa liste, qui inclut les traitements visant à surveiller de manière constante l’activité des employés, ou il remplit au moins deux des neuf critères du CEPD.
Une transcription par IA coche souvent « usage innovant », et peut cocher « surveillance systématique », « données sensibles » (santé), « personnes vulnérables » (patients) ou « grande échelle ». Si vous concluez qu’une AIPD n’est pas nécessaire, écrivez pourquoi.
Ne garder que l’utile, répondre aux demandes.
Le principe de minimisation (article 5) veut que l’on ne traite que les données nécessaires, au bon moment. La CNIL l’a rappelé dans sa délibération SAN-2025-011 du 27 novembre 2025 à propos d’appels enregistrés avant la mise en relation et pendant les temps d’attente. En pratique :
- transcrire la conversation avec le collaborateur, pas l’attente ;
- garder le résumé validé plutôt que tout le verbatim quand il suffit ;
- ne pas réutiliser les transcriptions pour évaluer individuellement les salariés sans finalité définie et sans information.
Les personnes peuvent demander l’accès à leur transcription, sa rectification si elle est erronée, son effacement, la limitation du traitement ou s’y opposer (articles 15 à 18 et 21). Vous répondez en principe sous un mois. Et NormDesk ne prend aucune décision automatisée : un collaborateur valide toujours.
Un courtier en crédit prépare sa mise en conformité.
Karim est responsable conformité chez un courtier en crédit. Avant d’activer la transcription, il inscrit le traitement au registre, choisit l’intérêt légitime et documente la mise en balance, mène une AIPD, publie la notice et fait lire le message d’accueil par son avocat. Il fixe une durée courte pour le verbatim et garde le résumé validé dans le dossier du client.
Pendant l’appel, le conseiller voit la pièce manquante et la procédure. Il décide seul de ce qu’il dit ; le journal trace chaque suggestion et chaque validation.
« Le registre, l’AIPD et la notice étaient prêts avant le premier appel transcrit. »
RGPD et transcription : vos questions.
Faut-il le consentement de l’appelant pour transcrire un appel ?
Pas nécessairement. Beaucoup d’entreprises s’appuient sur l’intérêt légitime, qui impose d’informer l’appelant et de respecter son droit d’opposition. Le consentement reste une option, mais il doit être libre et retirable. Le choix se fait avec votre DPO.
Une transcription sans audio est-elle hors du RGPD ?
Non. Le texte d’une conversation qui permet d’identifier une personne est une donnée personnelle. Supprimer l’audio réduit les données conservées, mais les règles d’information, de durée et de sécurité s’appliquent au texte.
Faut-il une AIPD pour un outil de transcription ?
Souvent, oui. L’AIPD est requise si le traitement figure sur la liste de la CNIL ou réunit au moins deux des neuf critères du CEPD, ce qui arrive fréquemment avec une transcription par IA.
Continuer votre lecture.
Gouvernance, journal d’audit, sources validées et droits d’accès.
Voir la page Enregistrer un appel téléphonique : la loiCode pénal, CNIL, Code du travail et sanctions, résumés dans un tableau.
Voir la page Hébergement des données et journalCe qui est tracé, la rétention réglable et les zones de données.
Voir la pageMontrez NormDesk à votre DPO.
En 20 minutes : le message d’information, le réglage de la durée de conservation et le journal horodaté, sur un appel transcrit en direct.