L’enregistrement d’une conversation professionnelle en France repose sur un empilement de textes dont la portée varie selon le contexte : Code pénal (article 226-1), Code civil (article 9), RGPD et, depuis peu, des dispositions sectorielles comme la loi n° 2025-594 sur le démarchage téléphonique en immobilier. Le point commun reste l’interdiction de principe : enregistrer sans information préalable ni base légale expose à des sanctions pénales et administratives.
Registre de traitements CNIL 2026 et enregistrements audio : ce qui change concrètement
Le modèle de registre RGPD publié par la CNIL en 2026 intègre désormais un champ dédié à l’existence ou l’absence d’enregistrement des conversations téléphoniques. Ce n’est pas un détail cosmétique. Documenter ce traitement dans le registre oblige à formaliser chaque paramètre : finalité, durée de conservation, base légale retenue, sous-traitants impliqués (hébergeur cloud, outil de transcription).
Lire également : Licenciement : principales fautes à éviter en milieu professionnel
Nous observons que beaucoup d’organisations enregistrent déjà leurs appels ou réunions sans ligne dédiée dans leur registre. La mise à jour 2026 du modèle CNIL rend cette lacune visible lors d’un contrôle. L’absence de mention dans le registre vaut présomption de non-conformité sur l’ensemble de la chaîne de traitement.
Pour chaque flux d’enregistrement (appels entrants service client, réunions internes, visioconférences commerciales), le registre doit préciser :
A lire aussi : Charge d'une SARL : comment anticiper vos appels de cotisations en 2026 ?
- La base légale applicable : intérêt légitime pour la formation qualité, obligation légale pour les secteurs régulés (MiFID II, par exemple), ou consentement explicite dans les autres cas
- La durée de conservation, qui doit rester proportionnée à la finalité (quelques mois pour du contrôle qualité, davantage si obligation réglementaire sectorielle)
- L’identité de chaque sous-traitant accédant aux fichiers audio ou aux transcriptions, y compris les outils d’intelligence artificielle utilisés pour la transcription automatique
Double traçabilité imposée par la loi n° 2025-594 sur le démarchage immobilier
La loi n° 2025-594, applicable à compter du 11 août 2026, impose un régime d’opt-in pour certains appels commerciaux dans le secteur immobilier. Les entreprises qui enregistrent ces conversations font face à une contrainte inédite : elles doivent prouver deux consentements distincts.
Le premier porte sur l’acceptation d’être démarché. Le second concerne l’information sur l’enregistrement de la conversation. Ces deux preuves doivent être traçables indépendamment l’une de l’autre. Un simple bandeau vocal en début d’appel ne couvre pas l’opt-in marketing préalable.
Ce mécanisme de double traçabilité préfigure ce que d’autres secteurs pourraient adopter. Les équipes conformité qui traitent des volumes d’appels sortants ont intérêt à dissocier dès maintenant les workflows de recueil et d’archivage pour chaque type de consentement.
Transcription automatique et qualification RGPD du traitement
Convertir un enregistrement audio en texte crée un nouveau traitement de données personnelles au sens du RGPD. La voix, lorsqu’elle est traitée à des fins d’identification, relève de la catégorie des données biométriques. Même en dehors de l’identification biométrique, un fichier audio contenant un nom ou un numéro de client reste une donnée personnelle classique.
La transcription amplifie le risque. Un document texte est indexable, copiable, diffusable à grande échelle. Nous recommandons de traiter la transcription comme un traitement autonome dans le registre, distinct de l’enregistrement lui-même, avec sa propre analyse d’impact si les volumes ou la sensibilité des données le justifient.
Sous-traitance et transferts hors UE
La majorité des outils de transcription automatique s’appuient sur des modèles hébergés hors Union européenne. Chaque transfert de données audio vers un serveur situé hors UE doit être encadré par des clauses contractuelles types ou un mécanisme équivalent reconnu par la Commission européenne.
Le choix d’un prestataire de transcription n’est pas un achat anodin. Il faut vérifier la localisation effective du traitement (pas seulement le siège social du fournisseur), l’existence d’un DPA (Data Processing Agreement) conforme à l’article 28 du RGPD, et la politique de rétention des données audio après transcription.
Droit d’accès du salarié aux enregistrements professionnels
Un point souvent sous-estimé : le RGPD impose à l’employeur de communiquer au salarié les données personnelles contenues dans ses échanges professionnels. Ce principe, confirmé en 2026 par l’analyse de Dairia Avocats à propos des e-mails professionnels, s’applique par analogie directe à tout support de données, y compris les enregistrements audio et leurs transcriptions.
En pratique, un salarié peut demander l’accès à l’enregistrement d’une réunion à laquelle il a participé, ou à la transcription d’un appel qu’il a passé. L’employeur dispose d’un mois pour répondre à cette demande, conformément à l’article 12 du RGPD. Ne pas avoir prévu de procédure de restitution expose à une plainte auprès de la CNIL.
Articulation avec le droit du travail
L’enregistrement systématique des conversations de salariés à des fins de surveillance disproportionnée reste illicite, même avec information préalable. La base légale « intérêt légitime » ne dispense pas du test de proportionnalité. Un enregistrement permanent de tous les appels d’un salarié sans finalité précise (formation, qualité, obligation sectorielle) ne passe pas ce test.
Sanctions RGPD et pénales : deux régimes qui se cumulent
L’article 226-1 du Code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende la captation de paroles prononcées à titre privé ou confidentiel sans consentement. Ce texte s’applique y compris dans un cadre professionnel dès lors que la conversation n’est pas publique.
Côté RGPD, les amendes administratives peuvent atteindre un plafond bien supérieur. Les deux régimes de sanctions se cumulent : une même situation peut donner lieu à des poursuites pénales et à une procédure devant la CNIL. La veille sanctions 2026 montre que les plaintes liées aux traitements de données professionnelles continuent d’augmenter.
Mettre en conformité un dispositif d’enregistrement professionnel ne se limite pas à afficher un message d’information en début d’appel. Le registre de traitements 2026, la double traçabilité pour les secteurs concernés par la loi n° 2025-594, le cadrage RGPD de la transcription automatique et la gestion du droit d’accès des salariés forment un ensemble de contraintes techniques et juridiques qu’il faut traiter comme un projet à part entière, pas comme une case à cocher.
