Enregistrement des appels téléphoniques : règles RGPD

En décembre 2024, la CNIL a sanctionné une entreprise du secteur immobilier de 40 000 € pour avoir filmé en continu, image et son, les salariés présents dans ses locaux, et installé sur les ordinateurs de ses télétravailleurs un logiciel mesurant leurs périodes d’« inactivité » et capturant régulièrement leurs écrans (délibération SAN-2024-021 du 19 décembre 2024). Le raisonnement de la formation restreinte vaut mot pour mot pour l’enregistrement téléphonique : ce n’est pas l’outil qui pose problème, c’est son caractère permanent et systématique. Or, dans mon expérience de conseil, c’est exactement la configuration par défaut de la quasi-totalité des solutions de téléphonie d’entreprise déployées en France.

Ce que la CNIL autorise réellement

La doctrine de la CNIL sur l’écoute et l’enregistrement des appels au travail tient en une phrase : le dispositif doit répondre à une nécessité reconnue et être proportionné à l’objectif poursuivi. Quatre finalités sont admises :

• former les équipes (réutiliser des enregistrements comme support pédagogique) ;
• évaluer les personnes employées ;
• améliorer la qualité du service (analyser le type de réponse apportée au client) ;
• constituer une preuve de la formation d’un contrat ou de l’accomplissement d’une transaction, dans les cas limités prévus par un texte.

À l’inverse, la CNIL est explicite sur ce qui est interdit. Un dispositif d’écoute ou d’enregistrement permanent ou systématique n’est pas admis, sauf texte légal spécifique — le cas typique étant les services d’urgence. Enregistrer 100 % des appels « pour lutter contre les incivilités » ne passe pas non plus : l’employeur doit retenir le moyen le moins intrusif, par exemple un système permettant à la personne employée de déclencher elle-même l’enregistrement lorsqu’un appel dérape.

Deuxième limite, souvent ignorée : l’enregistrement des appels ne peut en principe pas être couplé à un système de captures d’écran du poste de travail. Une capture est une image figée d’une action isolée, que la CNIL juge ni pertinente ni proportionnée pour apprécier le travail réellement fourni — et qui expose l’employeur à visualiser des informations qu’il n’a pas à connaître : courriels personnels, conversations de messagerie instantanée, mots de passe. Il existe une exception étroite : l’enregistrement vidéo de l’écran couplé à l’appel est admis pour la seule finalité de formation, sous garanties strictes (déclenchement au décroché et arrêt au raccroché, cadrage limité à la fenêtre de l’application métier, public de débutants, volumétrie proportionnée). Pour toute autre finalité — évaluation, lutte contre la fraude interne — le couplage reste disproportionné.

Enfin, l’employeur doit mettre à disposition des lignes non reliées au système d’enregistrement, ou un dispositif technique permettant de couper l’enregistrement, pour les appels personnels et pour les appels passés par les représentants du personnel dans le cadre de leurs mandats. C’est un point de conformité vérifiable en trente secondes lors d’un contrôle, et c’est presque toujours celui qui manque.

Les trois conditions cumulatives à remplir

La CNIL a actualisé en juillet 2026 sa doctrine générale sur le contrôle de l’activité des personnes employées. Elle y rappelle que tout dispositif de contrôle — l’enregistrement téléphonique en fait partie — doit cumulativement satisfaire trois conditions. Aucune n’est facultative.

1. Justification et proportionnalité

L’article L. 1121-1 du code du travail interdit les restrictions aux libertés qui ne seraient « ni justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Depuis 2001, la Cour de cassation en tire que le salarié a droit, même au temps et au lieu de travail, au respect de l’intimité de sa vie privée.

Concrètement, avant de déployer, il faut documenter trois choses : l’objectif précis du contrôle et son périmètre, les risques d’atteinte aux droits des personnes, et surtout l’absence de moyen moins intrusif. Ce dernier point est le talon d’Achille de la plupart des dossiers que j’audite. « On enregistre tout parce que c’est plus simple » n’est pas une analyse de proportionnalité.

2. Consultation des instances représentatives du personnel

Dans les entreprises de 50 salariés et plus, le CSE doit être consulté avant la mise en œuvre, en application des articles L. 2312-38 et L. 2312-8, II, 4° du code du travail. Dans le secteur public, ce sont le comité social d’administration, territorial ou d’établissement. Installer le dispositif puis informer le CSE ensuite ne régularise rien : le défaut de consultation prive la mesure de régularité au regard du code du travail, et pèse dans l’appréciation de proportionnalité que la CNIL conduit au titre de l’article 6 du RGPD. C’est précisément la grille suivie dans SAN-2024-021, où la formation restreinte a examiné l’article 6 « à la lumière de l’article L. 1121-1 du code du travail ».

3. Information préalable des personnes

Le dispositif doit être porté à la connaissance des personnes concernées avant sa mise en place. Deux publics, deux régimes — j’y reviens plus bas.

Un point qui mérite d’être souligné : la CNIL insiste sur le fait que l’employeur doit pouvoir prouver le respect de ces trois conditions. Il ne suffit pas d’y avoir pensé, il faut avoir écrit l’analyse de nécessité, le cycle de vie des données et les mesures prises. C’est l’accountability de l’article 5(2) du RGPD appliquée à la surveillance.

Quelle base légale retenir ?

C’est la question qui revient systématiquement, et la réponse dépend de la finalité — pas de l’entreprise.

L’obligation légale (Art. 6(1)©) s’applique lorsqu’un texte impose l’enregistrement. Le cas le plus fréquent en France concerne les prestataires de services d’investissement : l’article 16(7) de la directive MiFID II (2014/65/UE), précisé par l’article 76 du règlement délégué (UE) 2017/565, impose d’enregistrer les conversations téléphoniques et communications électroniques liées à la réception, la transmission et l’exécution d’ordres — qu’elles aboutissent ou non à une transaction. La conservation est alors de cinq ans, portée à sept ans sur demande de l’autorité compétente. Ce régime déroge à la durée de droit commun, mais uniquement pour les appels effectivement couverts par l’obligation : les appels du service RH de la même banque n’en relèvent pas.

L’intérêt légitime (Art. 6(1)(f)) est la base réaliste pour la formation, l’évaluation et le pilotage de la qualité. Elle suppose de conduire et de documenter le test en trois temps : intérêt légitime réel, nécessité du traitement pour l’atteindre, et mise en balance avec les droits des personnes. Notre guide sur l’intérêt légitime au sens du RGPD détaille la méthode. Dans le contexte de l’enregistrement, la mise en balance penche presque toujours vers un enregistrement par échantillonnage — quelques appels par personne et par mois — plutôt qu’exhaustif.

Le consentement n’est pas une option pour les salariés. Le lien de subordination prive le consentement de son caractère libre : c’est la position constante du CEPD, rappelée dans ses lignes directrices 05/2020 sur le consentement. Un salarié qui « accepte » d’être enregistré pour conserver son poste ne consent pas au sens de l’article 4(11). Pour l’interlocuteur externe, le consentement est théoriquement possible, mais il crée une usine à gaz opérationnelle : il faut pouvoir prouver le recueil, le retirer aussi facilement, et gérer l’appel des personnes qui refusent. L’intérêt légitime assorti d’un droit d’opposition effectif est plus solide.

L’information : deux publics, deux niveaux

Les personnes employées

Elles doivent être informées préalablement, et — c’est une exigence issue de la jurisprudence sociale — des périodes pendant lesquelles elles sont susceptibles d’être écoutées ou enregistrées. Un dispositif dont personne ne sait quand il tourne équivaut à une surveillance permanente perçue, avec les mêmes effets sur la charge mentale. En pratique, cette information se loge dans la note de service, la charte informatique et la notice RGPD remise au personnel.

Les interlocuteurs

L’information se fait en deux temps, selon la CNIL :

1. une mention orale en début de conversation portant sur l’existence du dispositif, la finalité poursuivie et la possibilité de s’y opposer ;
2. un renvoi vers une information exhaustive au sens de l’article 13 du RGPD : site web, onglet « mentions légales », ou touche dédiée sur le serveur vocal.

Le point critique : l’interlocuteur doit être informé de son droit d’opposition avant la fin de la conversation, afin d’être matériellement en mesure de l’exercer. Un message diffusé après le décroché mais sans possibilité concrète de refuser ne remplit pas la condition. Cela suppose que le dispositif permette réellement de poursuivre l’appel sans enregistrement — ce que beaucoup de configurations ne prévoient pas.

Durées de conservation : le tableau à retenir

Sauf texte imposant une durée spécifique ou justification particulière documentée :

Élément	Durée maximale	Base
Enregistrements sonores	6 mois	Doctrine CNIL, écoute et enregistrement au travail
Documents d’analyse (comptes rendus, grilles d’évaluation)	1 an	Doctrine CNIL
Enregistrements MiFID II (ordres, transactions)	5 ans, 7 ans sur demande de l’autorité	Art. 16(7) directive 2014/65/UE

La CNIL recommande par ailleurs une bonne pratique que je conseille systématiquement, celle des enregistrements « tampon » : la personne habilitée écoute les enregistrements dans les jours qui suivent, rédige la grille d’analyse, puis les enregistrements sont supprimés à bref délai. Seuls les documents d’analyse subsistent. Ce schéma réduit drastiquement la surface de risque — un enregistrement audio contient bien plus de données qu’une grille d’évaluation, y compris des données sensibles au sens de l’article 9 que personne n’a demandées. Pour cadrer l’ensemble de vos durées, voir notre tableau des durées de conservation par secteur.

Les cinq erreurs les plus fréquentes

1. L’enregistrement à 100 % activé par défaut. C’est la configuration native de la plupart des solutions de téléphonie cloud — voir notre analyse du paramétrage d’Aircall au regard du RGPD pour un exemple concret. Elle est contraire à la doctrine CNIL dès lors qu’aucun texte ne l’impose. Correction : passer en échantillonnage, ou en déclenchement manuel.

2. Aucune ligne exempte, aucune touche de coupure. Sans possibilité de passer un appel personnel non enregistré, le dispositif est disproportionné. Correction : une ligne dédiée, ou un code de désactivation documenté.

3. Les données de paiement dans la bande son. Lorsque le client dicte son numéro de carte, il finit dans un fichier audio rarement chiffré et souvent accessible à un large périmètre. Correction : couper l’enregistrement pendant la séquence de paiement (pause and resume), ou basculer sur un serveur vocal de saisie. C’est une exigence de minimisation, et accessoirement une exigence PCI DSS.

4. Des habilitations trop larges et aucune journalisation. La CNIL exige que l’accès soit limité aux seuls services concernés par la finalité — si l’enregistrement sert à la formation, seuls les formateurs y accèdent. Et l’accès doit être tracé : qui se connecte à quoi, quand, pourquoi. Notre guide sur la gestion des habilitations donne la méthode de revue.

5. L’absence d’inscription au registre. Le dispositif doit figurer au registre des activités de traitement de l’article 30 du RGPD, avec sa finalité propre, sa base légale et sa durée. Et si un DPO a été désigné, il doit être associé à la mise en œuvre — pas informé après coup.

Faut-il réaliser une AIPD ?

Il n’existe pas d’obligation automatique, mais l’analyse penche souvent vers l’affirmative. L’article 35(1) du RGPD impose une analyse d’impact lorsque le traitement est susceptible d’engendrer un risque élevé. Les critères des lignes directrices WP248 rév.01, reprises par le CEPD, servent de grille : dès que deux critères sont réunis, l’AIPD est en principe requise.

Un dispositif d’enregistrement en centre de contacts en coche fréquemment trois : évaluation ou notation des personnes (les grilles d’analyse servent à évaluer la performance), surveillance systématique, et traitement de données concernant des personnes vulnérables — les salariés sont expressément cités comme telles en raison du déséquilibre avec l’employeur. À l’inverse, un enregistrement ponctuel, déclenché manuellement, limité à quelques appels par mois et supprimé sous quinze jours, peut légitimement s’en dispenser — à condition de tracer ce raisonnement.

Enregistrement et preuve : ce qu’a changé la Cour de cassation

Un point de vigilance, parce qu’il alimente beaucoup de confusion depuis deux ans.

Par deux arrêts d’assemblée plénière du 22 décembre 2023 (n° 20-20.648 et n° 21-11.330), la Cour de cassation a opéré un revirement : une preuve obtenue de manière déloyale — typiquement l’enregistrement clandestin d’un entretien — n’est plus automatiquement écartée du procès civil. Le juge doit désormais mettre en balance le droit à la preuve et les droits en présence, en vérifiant que la production est indispensable à l’exercice du droit à la preuve et que l’atteinte reste proportionnée au but poursuivi.

Deux précisions s’imposent. D’abord, la recevabilité reste étroitement encadrée : les juridictions vérifient concrètement l’absence d’autre moyen de preuve disponible. Ensuite, et c’est l’essentiel du point de vue conformité, recevabilité procédurale et licéité RGPD sont deux logiques distinctes. Qu’un enregistrement clandestin soit admis devant le conseil de prud’hommes n’empêche nullement la CNIL de sanctionner le traitement sous-jacent, ni le juge pénal de retenir l’atteinte à l’intimité de la vie privée de l’article 226-1 du code pénal (un an d’emprisonnement et 45 000 € d’amende), voire le traitement illicite de l’article 226-16 (cinq ans et 300 000 €). Ces questions se recoupent d’ailleurs largement avec le régime général exposé dans notre guide données personnelles et droit du travail.

Autrement dit : ne construisez jamais une politique d’enregistrement sur la jurisprudence de 2023. Elle règle un problème de procédure, pas un problème de conformité.

Ce qu’il faut retenir

• L’enregistrement systématique et permanent est interdit sauf texte légal spécifique. La configuration « tout enregistrer par défaut » des solutions de téléphonie n’est pas conforme en France.
• Trois conditions cumulatives : proportionnalité documentée, consultation préalable du CSE à partir de 50 salariés, information préalable des personnes.
• Base légale : obligation légale pour les activités réglementées (MiFID II), intérêt légitime pour la formation et la qualité. Le consentement du salarié n’est pas valable.
• Durées : 6 mois pour les enregistrements, 1 an pour les documents d’analyse, 5 à 7 ans dans le champ MiFID II. La pratique des enregistrements « tampon » reste la plus sûre.
• Prévoyez une ligne ou une touche permettant de ne pas enregistrer les appels personnels et ceux des représentants du personnel : c’est le manquement le plus facilement constaté.

Vous suivez la doctrine CNIL et les décisions de sanction dans votre pratique quotidienne ? Recevez nos analyses de conformité chaque semaine — décryptages de délibérations, méthodes applicables, sans jargon inutile.

FAQ

Peut-on enregistrer tous les appels d’un centre de contacts ?

Non, sauf si un texte l’impose (activités d’investissement soumises à MiFID II, services d’urgence). La CNIL considère l’enregistrement permanent ou systématique comme disproportionné. Pour de la formation ou du pilotage qualité, l’échantillonnage ou le déclenchement manuel sont les seules approches défendables.

Faut-il le consentement du salarié pour enregistrer ses appels ?

Non, et le rechercher serait même une erreur : le lien de subordination prive ce consentement de son caractère libre. La base légale pertinente est l’obligation légale lorsqu’un texte l’impose, l’intérêt légitime de l’employeur dans les autres cas — assorti d’une information préalable et d’un droit d’opposition effectif.

Combien de temps peut-on conserver un enregistrement téléphonique ?

Six mois au maximum, sauf texte imposant une durée spécifique ou justification particulière documentée. Les documents d’analyse rédigés à partir des enregistrements peuvent être conservés jusqu’à un an. Dans le champ de MiFID II, la durée est de cinq ans, portée à sept ans sur demande de l’autorité compétente.

Un client peut-il refuser d’être enregistré ?

Oui. L’interlocuteur doit être informé de l’existence du dispositif, de sa finalité et de sa possibilité de s’y opposer dès le début de l’appel, et il doit pouvoir exercer ce droit avant la fin de la conversation. Le dispositif doit donc techniquement permettre de poursuivre l’échange sans enregistrement.

Le CSE doit-il être consulté avant l’installation ?

Oui, dans les entreprises de 50 salariés et plus, en application des articles L. 2312-38 et L. 2312-8, II, 4° du code du travail. Cette consultation doit être préalable à la mise en œuvre : une consultation organisée après le déploiement ne régularise pas la situation, et son absence fragilise l’analyse de proportionnalité sur laquelle repose la licéité du traitement.