Conformité au RGPD pour les centres d'appels sortants : ce que vous devez savoir

Les appels sortants et le Règlement général sur la protection des données (RGPD) de l'UE (Règlement (UE) 2016/679, transposé au Royaume-Uni par le RGPD britannique) sont étroitement liés. Chaque appel passé implique la transmission de données personnelles : numéro de téléphone, nom, solde d'une dette, score d'un prospect ou message vocal enregistré. Ainsi, dès que vos agents contactent des prospects dans l'UE ou au Royaume-Uni, le RGPD s'applique à la quasi-totalité de vos activités, et les sanctions en cas de non-respect sont calculées en pourcentage du chiffre d'affaires mondial.

Ce guide détaille les aspects du RGPD les plus importants pour les équipes d'appels sortants : le choix d'une base légale, l'interaction avec les règles ePrivacy, la gestion des droits des personnes concernées, l'enregistrement légal des appels, la conservation des données, les transferts transfrontaliers et les contrats nécessaires avec vos fournisseurs. Il s'adresse aux entreprises d'externalisation de processus métier (BPO), aux services de recouvrement, aux revendeurs de télécommunications et aux centres de contact réglementés qui effectuent des appels sortants. marchés de l'UE et du Royaume-Uni.

Pourquoi le RGPD s'applique aux appels sortants

Le RGPD encadre le traitement des « données personnelles », c’est-à-dire toute information se rapportant à une personne physique vivante identifiée ou identifiable. Dans le cadre d’appels sortants, cela inclut le numéro de téléphone, le nom et l’adresse du contact, les informations relatives aux comptes ou aux dettes, le traitement des appels, les notes des agents et tout enregistrement de la conversation. Même une inscription sur la liste d’opposition au démarchage téléphonique constitue une donnée personnelle, car elle se rapporte à une personne identifiée.

Deux rôles sont importants. controller décide pourquoi et comment les données personnelles sont traitées — généralement l'entreprise dont les produits, les dettes ou les services sont concernés. processor L'opérateur agit conformément aux instructions documentées du responsable du traitement — par exemple, un fournisseur de technologies ou un partenaire d'appels externalisé. Si vous êtes un prestataire de services d'externalisation de processus métier (BPO) effectuant des appels pour le compte d'un client, vous êtes généralement responsable du traitement des données de ce client et du traitement des données de votre propre personnel. La définition précise de ces rôles détermine les responsabilités de chacun.

Choisir une base légale pour les appels sortants

Vous ne pouvez pas traiter de données personnelles sans base légale en vertu de Article 6En matière de prospection et de démarchage, deux éléments dominent les discussions : le consentement et l’intérêt légitime. Le recouvrement et les appels de service reposent quant à eux souvent sur un contrat ou une obligation légale.

Consentement

Le consentement au sens du RGPD doit être libre, spécifique, éclairé et univoque, et résulter d'une action positive claire. Les cases pré-cochées, le silence ou l'inaction ne sont pas valables. Vous devez être en mesure de prouver que le consentement a été donné, de conserver une trace de la manière et de la date de son obtention, et de faciliter autant le retrait du consentement que son obtention. Le consentement obtenu pour une finalité ne couvre pas automatiquement une autre finalité.

Intérêt légitime

L'intérêt légitime peut justifier certaines activités de prospection, comme la prospection interentreprises ou la prise de contact avec des clients existants au sujet de services connexes. Il requiert une analyse d'équilibre en trois étapes, dûment documentée : identifier l'intérêt légitime, démontrer que le traitement est nécessaire à sa réalisation et s'assurer qu'il ne porte pas atteinte aux droits et attentes de la personne concernée. Le considérant 47 du RGPD reconnaît expressément que le marketing direct peut constituer un intérêt légitime, sans pour autant supprimer le droit absolu de la personne concernée de s'y opposer.

Quel que soit le fondement que vous choisissiez, vous devez décider before Vous commencez à appeler, vous le documentez et vous le mentionnez dans votre politique de confidentialité. Vous ne pouvez pas changer de base de manière rétroactive pour corriger un manquement à la conformité.

La directive ePrivacy et les appels de prospection

Le RGPD ne constitue pas l'unique texte de loi en matière de marketing électronique. La directive ePrivacy (2002/58/CE, telle que modifiée), transposée en droit national dans les États membres et dans le règlement britannique PECR, établit des règles spécifiques concernant les appels de prospection non sollicités. Ces règles s'appliquent en complément du RGPD et, lorsqu'elles sont applicables, elles prévalent sur le canal de marketing lui-même.

Les conséquences pratiques varient selon les pays. Certains États membres gèrent des registres d'opposition au démarchage téléphonique qu'il est impératif de consulter ; d'autres exigent un consentement préalable pour les appels marketing directs aux consommateurs. Les règles relatives aux appels automatisés ou préenregistrés sont généralement plus strictes et requièrent souvent un consentement explicite, quelle que soit la juridiction. Du fait des différences de mise en œuvre au niveau national, une entreprise effectuant des appels sur plusieurs marchés de l'UE doit appliquer la règle la plus stricte applicable à chaque destination, et non une politique unique et uniforme. Le règlement européen sur la protection de la vie privée en ligne, actuellement en cours d'adoption, devrait harmoniser certains aspects de cette réglementation, mais en attendant son entrée en vigueur, c'est le droit national qui prévaut.

Droits des personnes concernées que vos systèmes doivent respecter

Le RGPD confère aux individus des droits exécutoires auxquels les processus et technologies de votre centre d'appels doivent pouvoir répondre, généralement dans un délai d'un mois suivant la demande. Les droits les plus pertinents pour les équipes d'appels sortants sont les suivants :

• Droit d’accès (Art. 15) : Toute personne peut demander quelles données vous détenez, y compris les relevés d'appels, les enregistrements et les notes, et en recevoir une copie.
• Droit à l’effacement (Art. 17) : Le « droit à l’oubli » permet aux individus de demander la suppression de leurs données lorsqu’il n’existe aucune raison légale impérieuse de les conserver.
• Droit d’opposition (Art. 21) : Pour le marketing direct, c'est absolute — Dès qu'une personne s'y oppose, vous devez cesser toute démarche marketing à son égard, sans aucun test d'équilibre.
• Droit à rectification (Art. 16) : Correction des données de contact ou de compte inexactes.
• Droit de restreindre le traitement (Art. 18) and portabilité des données (Art. 20) dans les circonstances pertinentes.

Concrètement, cela signifie qu'il vous faut localiser un seul contact parmi votre numéroteur, votre CRM, vos enregistrements et vos listes de prospects, et traiter sa demande rapidement. Des données dispersées, dupliquées entre les différents utilisateurs ou enfouies dans des enregistrements non indexés ralentissent le traitement des demandes de droits et augmentent le risque d'erreurs. Or, une suppression manquée ou un appel persistant après une objection constituent précisément le type de manquement sanctionné par les autorités de régulation.

Enregistrement des appels conformément au RGPD

Un enregistrement vocal constitue une donnée personnelle et peut contenir des données sensibles (par exemple, des informations de santé divulguées lors d'un appel de recouvrement ou d'une demande d'assurance). Un enregistrement licite doit reposer sur une base légale et faire preuve d'une transparence totale. Les principales exigences sont les suivantes :

• Avis: Informez votre interlocuteur que l'appel peut être enregistré et pourquoi, idéalement dès le début de l'appel.
• Limitation de l'objectif : N’enregistrez que pour les finalités indiquées (qualité, formation, résolution des litiges, obligations réglementaires) et ne réutilisez pas les enregistrements.
• Sécurité: Chiffrez les enregistrements au repos et en transit et limitez l'accès aux seules personnes qui en ont besoin.
• Rétention: Ne conservez les enregistrements que pendant la durée nécessaire à l'objectif déclaré, puis supprimez-les.

Certains secteurs et États membres imposent des règles supplémentaires ou contradictoires : certains régimes de services financiers rendent obligatoire l’enregistrement et la conservation des données pendant des périodes déterminées, tandis que certaines législations nationales limitent cet enregistrement. Il est essentiel de recenser les règles d’enregistrement par marché avant de les généraliser.

Conservation et minimisation des données

Le principe de limitation de la conservation des données du RGPD vous impose de ne conserver les données personnelles que pendant la durée nécessaire à leur finalité. Il n'existe pas de durée de conservation unique : celle-ci doit être justifiée en fonction du type de données et de leur finalité. Une pratique courante consiste à établir un calendrier de conservation écrit qui définit des périodes distinctes pour les données de prospects, les enregistrements d'appels, les conclusions et les enregistrements de consentement, avec suppression ou anonymisation automatique à l'issue de chaque période. Le principe de minimisation des données s'applique également : ne collectez et n'appelez que les champs strictement nécessaires.

Transferts de données transfrontaliers

Si des données personnelles quittent l'EEE ou le Royaume-Uni (y compris pour une équipe d'assistance, un serveur cloud ou un sous-traitant à l'étranger), vous devez disposer d'un mécanisme de transfert valide au titre du chapitre V. Concrètement, cela implique généralement des clauses contractuelles types (CCT ou l'accord de transfert de données à caractère personnel/avenant britannique), une décision d'adéquation concernant le pays de destination ou toute autre garantie reconnue, souvent appuyée par une analyse d'impact relative au transfert. Pour une opération sortante, les questions clés sont les suivantes : où est hébergé votre système d'appel, où sont stockés les enregistrements et qui administre la plateforme ? Conserver les données de l'UE/du Royaume-Uni dans la région simplifie considérablement ces procédures.

Accords de traitement des données et sous-traitants

L'article 28 exige un contrat écrit — un accord de traitement des données (DPA) — entre chaque responsable du traitement et sous-traitant. Le contrat de protection des données (CPD) doit préciser l’objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, ainsi que les instructions du responsable du traitement. Il doit également imposer au sous-traitant des obligations de confidentialité, de sécurité, d’assistance dans l’exercice des droits des personnes concernées, de notification des violations de données, d’effacement ou de restitution des données à la fin du contrat, et de droit d’audit.

Les processeurs ne peuvent s'engager que sub-processors Avec l'autorisation du responsable du traitement, les mêmes obligations doivent être répercutées contractuellement sur les sous-traitants. Pour un centre d'appels, les sous-traitants incluent généralement l'hébergement cloud, les opérateurs de téléphonie (désignés ici de manière générique) et les outils d'analyse. Il est important de tenir à jour la liste des sous-traitants et d'informer les responsables du traitement de tout changement. Lors de l'évaluation d'un fournisseur de numérotation automatique, demandez-lui d'emblée son accord de protection des données (DPA) et la liste de ses sous-traitants.

Comment DialerBee prend en charge les opérations conformes au RGPD

DialerBee est conçu comme une plateforme d'aide à la conformité, et non comme une garantie de conformité : votre organisation demeure le responsable du traitement des données et est responsable du fondement juridique, des notifications et de la configuration de l'outil. Dans ce cadre, DialerBee fournit contrôles de conformité qui permettent aux opérations de l'UE et du Royaume-Uni de fonctionner de manière sécurisée, notamment grâce à la gestion configurable du consentement et des listes de non-appel, la suppression des objections marketing et les politiques d'enregistrement des appels avec des paramètres de conservation que vous définissez pour chaque campagne.

Son architecture mutualisée garantit l'isolation des données de chaque client, un point crucial pour les entreprises d'externalisation de processus métier (BPO) et les revendeurs de télécommunications agissant comme sous-traitants pour plusieurs responsables du traitement. Elle simplifie également la localisation et le traitement des demandes d'accès d'un contact unique. Les journaux d'audit enregistrent les modifications de configuration et les accès à des fins de traçabilité. Opérations intra-régionales UE/Royaume-Uni contribue à réduire la complexité des transferts transfrontaliers. Grâce à son IA multilingue prenant en charge 9 langues, DialerBee permet aux équipes multinationales de présenter les notifications d'enregistrement et de consentement dans la langue de l'appelant. Un accord de traitement des données est disponible.et vous pouvez consulter notre politique de sécurité et de conformité sur le page de confianceDans certaines conditions pilotes, les équipes ont indiqué que la centralisation de la suppression et du suivi du consentement réduisait l'effort manuel nécessaire pour respecter les objections ; les résultats varient selon le déploiement et la configuration.

Foire aux questions

Les centres d'appels sortants ont-ils besoin d'un consentement pour chaque appel en vertu du RGPD ?

Pas toujours. Le consentement constitue une base légale, mais l'intérêt légitime peut justifier certaines activités de prospection, comme la prise de contact avec des clients B2B ou la communication avec des clients existants au sujet de services connexes, à condition de justifier une analyse d'équilibre. Toutefois, la réglementation nationale sur la protection des données personnelles peut exiger un consentement pour certains appels marketing, et les individus conservent toujours le droit absolu de s'opposer au démarchage téléphonique.

L'enregistrement des appels est-il légal au regard du RGPD ?

Oui, à condition de respecter les règles. L'enregistrement est légal lorsqu'il existe un fondement juridique valable, que l'appelant est informé de la possibilité d'un enregistrement et de ses raisons, que l'utilisation de l'enregistrement est limitée aux fins annoncées, que les enregistrements sont sécurisés par chiffrement et contrôle d'accès, et qu'ils sont supprimés à l'expiration du délai de conservation. Certains secteurs financiers et réglementés imposent l'enregistrement, tandis que d'autres juridictions le restreignent ; il convient donc de se renseigner auprès des autorités compétentes.

Combien de temps pouvons-nous conserver les enregistrements d'appels et les données des prospects ?

Les données sont conservées uniquement pendant la durée nécessaire à la finalité de leur collecte. Le RGPD ne fixe pas de durée de conservation minimale. Il est recommandé d'établir un calendrier de conservation écrit, avec des périodes distinctes pour les données de prospects, les enregistrements, les données de traitement et les enregistrements de consentement, ainsi qu'une suppression ou une anonymisation automatique à la fin de chaque période. Certaines activités réglementées imposent une durée de conservation minimale qui prévaut sur votre calendrier par défaut.

Qu'est-ce qu'un DPA et en avons-nous besoin avec notre fournisseur de numérotation automatique ?

Un accord de traitement des données (ATD) est le contrat prévu à l'article 28, obligatoire dès lors qu'un responsable du traitement fait appel à un sous-traitant. Il définit l'étendue du traitement et engage le sous-traitant à garantir la sécurité et la confidentialité des données, à faciliter l'exercice des droits, à notifier toute violation de données et à supprimer les données. Vous devez donc conclure un ATD avec tout fournisseur de numérotation automatique qui traite des données personnelles pour votre compte, et vous devez consulter la liste de ses sous-traitants.

Pouvons-nous contacter nos interlocuteurs européens si notre équipe ou nos serveurs sont situés hors de l'UE ?

C’est possible, mais tout transfert de données personnelles hors de l’EEE ou du Royaume-Uni nécessite un mécanisme valide, tel que les clauses contractuelles types, l’accord britannique sur la protection des données personnelles (IDTA) ou une décision d’adéquation, souvent accompagnée d’une analyse d’impact relative au transfert. Cela concerne vos serveurs, le stockage des enregistrements, votre personnel de support et vos sous-traitants. Le fait de conserver et d’administrer les données de l’UE et du Royaume-Uni dans la région simplifie considérablement cette procédure.

Un numéroteur automatique nous rend-il conformes au RGPD ?

Aucun outil ne peut, à lui seul, vous garantir la conformité. Vous demeurez le responsable du traitement des données, garant de votre conformité légale, de vos mentions légales relatives à la protection des données et de votre configuration. Un composeur automatique compatible avec la conformité, tel que DialerBee, offre des fonctionnalités de contrôle (gestion du consentement et des listes d'opposition, suppression des objections, paramètres d'enregistrement et de conservation, isolation des données des utilisateurs, journaux d'audit et un accord de protection des données disponible) qui facilitent une gestion sécurisée, mais la responsabilité incombe à votre organisation.

Cet article est fourni à titre informatif et ne constitue pas un avis juridique. L’interprétation du RGPD varie selon les États membres et évolue constamment ; veuillez consulter un conseiller ou un avocat spécialisé en protection des données.