Modèle de politique d'enregistrement des appels pour les PME
Modèle de politique d'enregistrement des appels pour les PME

Modèle de politique d'enregistrement des appels pour les PME

par PBX.lu Éditorial du 2 juillet 2026
Ce modèle constitue un point de départ et ne saurait tenir lieu de conseil juridique. Adaptez-le en fonction de la finalité de votre traitement, de votre secteur d'activité et des exigences luxembourgeoises applicables en matière d'emploi et de protection des données.
Toute entreprise qui enregistre des appels doit disposer d’une politique écrite avant de procéder au premier enregistrement. Sans cela, vous vous exposez à des mesures coercitives de la part de votre autorité nationale de protection des données, à des litiges avec vos salariés et à des enregistrements qui ne pourront pas être utilisés comme preuves, car personne ne pourra démontrer qu’ils ont été réalisés en toute légalité. Au Luxembourg, la CNPD (Commission nationale pour la protection des données) attend des organisations qu’elles documentent non seulement ce qu’elles enregistrent, mais aussi pourquoi, pendant combien de temps et qui peut accéder à ces enregistrements. Ce modèle vous offre un point de départ, clause par clause, que vous pouvez adapter à votre situation.
Ce modèle couvre la Grande Région : le Luxembourg, la Belgique, la France et l'Allemagne. Lorsque les réglementations nationales s'écartent du modèle de référence, des notes signalent ces différences. La base juridique que vous choisissez détermine toutes les autres clauses ; c'est donc par là que commence le modèle.

Avant de rédiger : choisissez votre fondement juridique

Deux motifs prévus à l'article 6 du RGPD s'appliquent à la plupart des cas de figure d'enregistrement des appels dans les PME. Le motif que vous choisissez détermine la manière dont vous rédigez la clause d'information et le document de consentement.
La « base juridique » est le terme utilisé dans le RGPD pour désigner le motif légal qui vous autorise à traiter des données à caractère personnel, en l'occurrence un enregistrement vocal. Le choix d'une base juridique inappropriée, ou l'absence de base juridique, rend l'enregistrement illégal, quelles que soient les autres précautions que vous puissiez prendre.
L'intérêt légitime (article 6, paragraphe 1, point f)) signifie que votre organisation a une raison commerciale valable de procéder à cet enregistrement, qui est proportionnée aux droits à la vie privée de la personne appelée. Une évaluation de l'intérêt légitime (LIA) est un bref document écrit dans lequel vous mettez en balance votre objectif commercial et l'impact sur la personne appelée, et concluez que votre intérêt prévaut. La CNPD s'attend à ce qu'une LIA dûment remplie lui soit fournie si vous invoquez ce fondement.
🟢 Le fondement juridique de l’« intérêt légitime » s’applique lorsque l’enregistrement poursuit un objectif commercial clair et prévisible (contrôle qualité, preuve en cas de litige, audit de conformité) ; que vous avez rempli et daté une évaluation de l’intérêt légitime ; que le résultat ne surprendrait pas un appelant raisonnable ; et que les appels ne portent pas systématiquement sur des données relevant de catégories particulières, telles que des informations relatives à la santé ou des conseils juridiques.
🟡 Vous devez obtenir un consentement explicite lorsque le service porte sur des sujets sensibles (questions de santé, conseil en matière d'endettement, litiges liés aux ressources humaines) ; lorsque vous ne pouvez pas démontrer l'existence d'un intérêt commercial prépondérant par rapport au droit à la vie privée de l'appelant ; lorsque les enregistrements seront utilisés au-delà de l'appel initial (par exemple, à des fins d'analyse marketing ou d'entraînement d'IA) ; ou lorsque vous exercez vos activités en France, où les recommandations de la CNIL fixent des critères plus stricts en matière d'intérêt légitime dans le cadre des enregistrements B2C.
Le CNPD ne prescrit pas de fondement juridique unique pour l'enregistrement des appels, mais ses lignes directrices publiées sur la surveillance des salariés et son modèle de registre des activités de traitement prévu à l'article 30 exigent tous deux que le fondement retenu soit consigné par écrit avant le début du traitement. Une politique qui reste dans un tiroir, sans avoir été signée, n'est pas suffisante. Cette politique doit être communiquée aux salariés avant qu'ils ne traitent des appels enregistrés, ainsi qu'aux appelants avant le début de l'enregistrement.

La police : 8 clauses

Chaque clause suit la même structure : une explication en langage clair de son objet, suivie d’un projet de clause prêt à être copié, présenté dans un encadré gris. Remplacez tous les éléments entre crochets par vos propres informations.

Article 1 : Objet et champ d'application

Il est plus facile de justifier auprès d’une autorité de régulation un objectif précis et restreint qu’une formulation générale et fourre-tout. Si vous enregistrez dans le but d’assurer la qualité de la formation, précisez-le. Si vous enregistrez également dans le but de résoudre des litiges, mentionnez explicitement ces deux objectifs. La clause précise également quelles lignes sont concernées, afin que les agents travaillant sur des lignes non enregistrées ne soient pas tenus d’appliquer les procédures d’enregistrement.
📄 Projet de clause : Objet et champ d'application
« [Nom de l'organisation] enregistre les appels téléphoniques reçus et passés sur les lignes suivantes : [liste des lignes, postes ou services]. Les enregistrements sont effectués uniquement aux fins suivantes : [contrôle de la qualité et formation des agents / preuves en cas de litiges contractuels / conformité réglementaire : biffer la mention inutile]. Les appels passés sur des lignes ne figurant pas dans la liste ci-dessus ne sont pas enregistrés. La présente politique s'applique à l'ensemble des salariés, prestataires et agents tiers qui traitent les appels sur ces lignes. »

Article 2 : Base juridique

Cette clause précise le fondement juridique prévu à l'article 6 du RGPD que vous avez choisi et, le cas échéant, celui prévu à l'article 9 en cas de traitement de données relevant de catégories particulières. Si vous vous fondez sur l'intérêt légitime, faites référence à l'évaluation de l'intérêt légitime que vous avez réalisée. Si vous vous fondez sur le consentement, faites référence au mécanisme de consentement. Ne laissez jamais cette clause vide ou formulée de manière générique.
📄 Projet de clause : Base juridique
« Les enregistrements d’appels constituent des données à caractère personnel au sens du règlement (UE) 2016/679 relatif à la protection des données (RGPD) et, le cas échéant, de la loi luxembourgeoise du 1er août 2018 relative à la protection des données. [Nom de l’organisation] traite ces données sur la base d’un intérêt légitime (article 6, paragraphe 1, point f)), comme indiqué dans l’évaluation de l’intérêt légitime datée du [date], référence [LIA-001]. / [Nom de l’organisation] traite ces données sur la base du consentement explicite de l’appelant (article 6, paragraphe 1, point a)), obtenu par le biais de l’annonce décrite à la clause 3. [Supprimer la base juridique qui ne s’applique pas.] »

Article 3 : Annonce de l'appelant

L'annonce doit être diffusée avant le début de toute conversation de fond. Si un appelant s'oppose à l'enregistrement, l'agent doit soit le transférer vers une ligne non enregistrée, soit mettre fin à l'appel. Les trois scripts ci-dessous sont des exemples d'une seule ligne : adaptez leur longueur à votre système IVR ou au script d'accueil de vos agents. Les trois langues sont fournies car de nombreuses entreprises de la Grande Région reçoivent des appels dans plusieurs langues.
📄 Projet de clause : Annonce à l'appelant
« Les appelants sont informés de l'enregistrement avant que l'appel ne soit transféré à un agent, par le biais d'un message automatisé sur les lignes suivantes : [liste des lignes]. Le message est diffusé au moment de l'entrée dans la file d'attente / de la prise d'appel [biffer la mention inutile]. Si un appelant s'oppose à l'enregistrement, l'agent [proposera de le transférer vers une ligne non enregistrée / mettra fin à l'appel : préciser]. Le libellé du message est revu chaque année et mis à jour chaque fois que l'objectif de l'enregistrement ou la base juridique change. »
Scripts d'annonce, un par langue :
« Cet appel peut être enregistré à des fins de contrôle qualité et de formation. »
« Cet appel peut être enregistré à des fins de contrôle qualité et de formation. »
« Cet entretien peut être enregistré à des fins d'assurance qualité et de formation. »
🌐 Les appelants doivent-ils accepter explicitement, ou suffit-il simplement de leur annoncer la chose ?
Si votre base juridique est l’intérêt légitime, il suffit généralement d’annoncer l’enregistrement avant le début de l’appel : l’appelant peut alors mettre fin à l’appel s’il s’y oppose. Si votre base juridique est le consentement, vous devez obtenir une action positive de la part de l’appelant, par exemple en appuyant sur une touche pour accepter, avant que l’enregistrement ne commence. La France exige un mécanisme de consentement plus explicite dans les scénarios B2C, même lorsque l’intérêt légitime pourrait s’appliquer dans d’autres circonstances. Consultez un conseiller juridique local si vous servez un nombre important de consommateurs français.

Article 4 : Conservation

Le principe général de minimisation des données (article 5, paragraphe 1, point e), du RGPD) exige que vous ne conserviez pas les enregistrements plus longtemps que nécessaire. Selon la finalité, les durées de conservation peuvent varier. Configurez votre plateforme Cloud PBX pour qu’elle supprime automatiquement les enregistrements à la fin de chaque période, plutôt que de compter sur une suppression manuelle. Reportez-vous à la section ci-dessous consacrée aux recommandations en matière de conservation pour connaître les durées types en fonction de la finalité.
📄 Projet de clause : Conservation
« Les enregistrements sont conservés pendant les durées maximales suivantes, en fonction de leur finalité : [Contrôle qualité et formation : 30 jours / Résolution des litiges : 12 mois à compter de la date de la transaction concernée / Obligation de conformité réglementaire : [X] ans, conformément à [nom de la réglementation] : à compléter selon le cas]. Les enregistrements sont supprimés automatiquement à l’issue de la période de conservation applicable via [décrivez le paramétrage de votre plateforme Cloud PBX]. Les enregistrements requis à titre de preuve dans le cadre d’un litige en cours peuvent être conservés au-delà de la période standard jusqu’à ce que le litige soit résolu, sous la référence [numéro de dossier ou de ticket].»

Article 5 : Accès et sécurité

L'accès doit être limité en fonction des rôles : toutes les personnes chargées de traiter les appels ne doivent pas nécessairement pouvoir écouter l'intégralité des enregistrements. Le niveau de sécurité doit être adapté au caractère sensible du contenu. Si vos enregistrements sont stockés par un fournisseur de PBX dans le cloud, vérifiez que son accord de traitement des données garantit un stockage au sein de l'EEE et qu'il dispose d'une certification de sécurité appropriée, telle que la norme ISO 27001.
📄 Projet de clause : Accès et sécurité
« L'accès aux enregistrements d'appels est limité aux personnes suivantes : [liste des rôles, par exemple : chefs d'équipe pour le contrôle qualité / RH à des fins disciplinaires / conseillers juridiques pour les preuves en cas de litige / administrateurs informatiques pour la maintenance du système]. L'accès est authentifié via [décrire : accès basé sur les rôles dans la plateforme Cloud PBX / identifiants distincts / journal d'audit]. Tous les accès sont consignés. Les enregistrements sont stockés [dans le stockage chiffré du fournisseur Cloud PBX / sur site à [emplacement] avec chiffrement au repos]. [Nom de l'organisation] a examiné le contrat de traitement des données du fournisseur Cloud PBX et a confirmé que les enregistrements sont stockés au sein de l'EEE. »
🔐 Éléments à vérifier dans le contrat de traitement des données de votre fournisseur de PBX dans le cloud
L'accord sur le traitement des données (DPA) est le contrat qui vous lie (le responsable du traitement) à votre fournisseur de PBX cloud (le sous-traitant). En ce qui concerne les enregistrements d'appels, cet accord doit préciser : le lieu de stockage et le fait qu'il se trouve au sein de l'EEE ; la liste des sous-traitants du fournisseur ; le délai de suppression des données par le fournisseur une fois que vous mettez fin au service ; et les certifications de sécurité du fournisseur. Si votre fournisseur n'est pas en mesure de vous fournir un DPA signé sur demande, cela constitue un risque important en matière de conformité. Le Plateforme Voxbi Cloud PBX conserve les enregistrements au sein de l'EEE et fournit une déclaration de protection des données à ses clients sur simple demande.

Article 6 : Information des salariés

L'enregistrement des salariés à leur insu est illégal dans les quatre pays de la Grande Région. Cette clause précise comment et quand les salariés sont informés, ainsi que l'endroit où ils peuvent consulter cette politique. Les nouveaux salariés doivent être informés avant de prendre en charge une ligne enregistrée, et non à la fin de leur semaine d'intégration.
📄 Projet de clause : Information des salariés
« Tous les salariés, prestataires et mandataires qui interviennent sur des lignes enregistrées sont informés de la présente politique avant de commencer à traiter des appels sur ces lignes. Cette information leur est communiquée par le biais d’une [confirmation écrite dans le contrat de travail / les documents d’intégration / un accusé de réception signé de la politique : préciser]. La présente politique est accessible à l’ensemble du personnel à l’adresse suivante : [emplacement sur l’intranet / chemin d’accès au disque partagé / référence dans le registre des politiques]. Toute modification apportée à cette politique est communiquée par écrit avec un préavis d’au moins [14 / 30] jours avant son entrée en vigueur. »

Article 7 : Demandes des personnes concernées

Les appelants dont la voix est enregistrée sont des personnes concernées bénéficiant des droits prévus par le RGPD : droit d'accès, de suppression, de rectification et d'opposition. Cette clause définit la manière dont votre organisation traite ces demandes et dans quels délais. Le délai de réponse standard prévu par le RGPD est d'un mois civil à compter de la réception de la demande.
📄 Projet de clause : Demandes des personnes concernées
« Toute personne dont la voix a été enregistrée peut adresser une demande en tant que personne concernée à [nom ou fonction du responsable de la protection des données] à l'adresse [adresse e-mail], en précisant la date et l'heure approximatives de l'appel ainsi que le numéro appelé. [Nom de l'organisation] répondra dans un délai d'un mois civil à compter de la réception de la demande. Les demandes d'effacement seront satisfaites, sauf si l'enregistrement doit être conservé en vertu d'une obligation légale ou à titre de preuve dans le cadre d'un litige en cours, auquel cas le demandeur sera informé du motif de cette conservation. Toutes les demandes sont consignées dans le registre des demandes des personnes concernées. »

Article 8 : Exclusions

Certains types d'appels ne doivent en aucun cas être enregistrés. Les appels relatifs aux cartes de paiement sont soumis aux règles PCI DSS, qui interdisent le stockage des données sensibles liées aux cartes. L'enregistrement des appels portant sur des sujets relevant de catégories particulières est disproportionné au regard de l'article 9 du RGPD, sauf si un fondement spécifique prévu à l'article 9, paragraphe 2, existe et est documenté. Énumérez explicitement les exclusions afin que les agents sachent quand interrompre ou éviter l'enregistrement.
📄 Projet de clause : Exclusions
« Les types d’appels suivants sont exclus de l’enregistrement : (a) les appels au cours desquels l’appelant communique l’intégralité des informations relatives à sa carte de paiement (numéro de carte, code CVV, date d’expiration), conformément à l’exigence 3.2 de la norme PCI DSS ; les agents traitant ces appels doivent suspendre l’enregistrement avant que l’appelant ne lise les informations de sa carte à voix haute, en utilisant [décrire le mécanisme de suspension dans votre plateforme Cloud PBX] ; (b) les appels traités par [service juridique / RH / médecine du travail : préciser] qui impliquent systématiquement des données de catégorie particulière au sens de l’article 9 du RGPD ; (c) les appels vers ou depuis [énumérer les lignes spécifiques exclues pour des raisons opérationnelles]. Lorsqu’un agent a un doute quant à savoir si un appel relève d’une exclusion, la règle par défaut est de ne pas l’enregistrer. »
⏸ Comment fonctionne concrètement la mise en pause de l'enregistrement des appels?
La plupart des plateformes de PBX dans le cloud permettent aux agents de mettre en pause et de reprendre l'enregistrement en cours d'appel via un bouton du softphone ou un raccourci clavier. La mise en pause crée une interruption dans le fichier d'enregistrement : cette interruption n'est pas enregistrée. Certaines plateformes prennent également en charge des déclencheurs de pause automatiques basés sur les tonalités DTMF, ce qui permet de mettre l'enregistrement en pause dès que le serveur vocal interactif (SVI) bascule vers un clavier de saisie de carte bancaire. Si votre plateforme ne prend pas en charge la mise en pause et la reprise, l’approche la plus sûre consiste à transférer les appels liés à un paiement par carte vers un parcours IVR non enregistré avant que les données de la carte ne soient prononcées. Vérifiez les capacités de votre plateforme auprès de votre fournisseur de PBX cloud avant de rédiger cette clause.

Recommandations en matière de durée de conservation par type d'utilisation

Les délais de conservation dépendent de la raison pour laquelle vous avez réalisé l'enregistrement. Il n'y a pas de durée unique à respecter : le délai approprié est le plus court qui permette tout de même d'atteindre l'objectif visé par l'enregistrement.
🟦 Contrôle de la qualité et formation des agents
Durée habituelle : 30 à 90 jours. La plupart des entreprises estiment que les enregistrements datant de plus de 90 jours n’ont plus aucune valeur pédagogique. La suppression automatique au bout de 30 jours est courante sur les plateformes de PBX dans le cloud. Plus cette durée est courte, plus il est facile de se justifier auprès d’une autorité de régulation.
🟦 Règlement des litiges et preuves contractuelles
Durée habituelle : 12 mois à compter de la date de la transaction, conformément aux délais de prescription standard applicables aux litiges contractuels opérationnels. Ne conserver les enregistrements au-delà de 12 mois que si une procédure judiciaire a été engagée et que l’enregistrement est cité comme élément de preuve.
🟦 Conformité dans les secteurs réglementés : services financiers et assurance
La directive MiFID II impose aux entreprises d'investissement de conserver les enregistrements téléphoniques pendant au moins 5 ans (7 ans sur demande de la CSSF au Luxembourg). Vérifiez les recommandations actuelles de l'autorité de régulation de votre secteur avant de fixer cette durée, car celles-ci prévalent sur le principe général de minimisation des données prévu par le RGPD pour les enregistrements réglementés.
🟦 Santé et services sociaux
Évitez d'enregistrer les appels portant systématiquement sur le diagnostic, le traitement ou les détails du plan de soins, sauf si vous disposez d'une base juridique documentée au titre de l'article 9, paragraphe 2, du RGPD et d'une durée de conservation spécifique fixée par l'autorité de régulation de votre secteur. En cas de doute, excluez complètement cette ligne du champ d'application de l'enregistrement. Consultez la page « Cloud PBX pour le secteur de la santé et le secteur médical » pour plus d'informations.
🚫 Erreurs courantes
Fixer une durée de conservation forfaitaire (par exemple, « 5 ans pour tous les enregistrements ») sans justifier par écrit la durée choisie.
Diffuser le message d'accueil une fois que l'appel est transféré à un conseiller, et non avant, ce qui signifie que l'enregistrement a déjà commencé.
Accorder à tous les membres de l'équipe l'accès à l'ensemble des enregistrements, plutôt que de limiter cet accès en fonction de leur rôle.
Le fait d'oublier de mettre l'enregistrement en pause lors de l'encaissement d'un paiement par carte expose l'organisation à un risque de non-conformité à la norme PCI DSS.
✅ Bonnes pratiques
Effectuez une évaluation de l'intérêt légitime avant la mise en service, consignez-la par écrit, datez-la et conservez-la avec la présente politique.
Configurez votre plateforme Cloud PBX pour qu’elle supprime automatiquement les enregistrements à la fin de la période de conservation, plutôt que de recourir à une suppression manuelle.
Veillez à inclure une déclaration de prise de connaissance de la politique d'enregistrement dans votre dossier standard d'intégration des nouveaux employés.
Revoyez cette politique chaque année, ou chaque fois que vous ajoutez une nouvelle ligne enregistrée ou que vous changez de fournisseur de PBX dans le cloud.
Avant d'adopter ce modèle, faites-le examiner par un conseiller juridique spécialisé dans le droit de la protection des données dans le pays où vous exercez vos activités.
📚 Découvrez des ressources connexes sur pbx.lu
Découvrez comment les plateformes de PBX dans le cloud gèrent techniquement l'enregistrement des appels, ou consultez les termes clés du RGPD, notamment le « consentement à l'enregistrement des appels », dans le glossaire consacré à la réglementation et à la conformité. Si votre projet implique également de définir des exigences de service, le modèle de cahier des charges pour système téléphonique vous sera d'une grande utilité. Vous trouverez les réponses aux questions courantes concernant les obligations d'enregistrement dans la FAQ.

En bref : Modèle de politique d'enregistrement des appels professionnels pour les PME

  • Les PME qui enregistrent les appels doivent disposer d'une politique écrite précisant la base juridique, le message d'accueil, les durées de conservation et les contrôles d'accès.
  • En vertu du RGPD, il est nécessaire de choisir entre l’intérêt légitime et le consentement explicite, et d’en consigner la décision avant le début de l’enregistrement.
  • Les durées de conservation varient en fonction de la finalité : de 30 à 90 jours pour la formation, 12 mois pour les litiges, plus de 5 ans pour les secteurs réglementés.
Mis à jour le 12 août 2026