Conformité RGPD pour les centres d'appels sortants

Les appels sortants et le Règlement général sur la protection des données de l'UE (règlement (UE) 2016/679, repris au Royaume-Uni par le UK RGPD) sont étroitement imbriqués. Chaque appel que vous passez implique des données personnelles : un numéro de téléphone, un nom, un solde de créance, un score de lead ou une voix enregistrée. Dès que vos agents commencent à appeler des contacts dans l'UE ou au Royaume-Uni, le RGPD s'applique donc à presque tout ce que fait votre activité, et les sanctions en cas de manquement se calculent en pourcentage du chiffre d'affaires mondial.

Ce guide passe en revue les volets du RGPD les plus importants pour les équipes d'appels sortants : le choix d'une base légale, l'articulation avec les règles ePrivacy, la gestion des droits des personnes concernées, l'enregistrement licite des appels, la conservation, les transferts internationaux et les contrats à conclure avec vos fournisseurs. Il s'adresse aux BPO, aux équipes de recouvrement, aux revendeurs télécoms et aux centres de contact réglementés qui appellent les marchés de l'UE et du Royaume-Uni.

Pourquoi le RGPD s'applique aux appels sortants

Le RGPD encadre le traitement des « données à caractère personnel », c'est-à-dire toute information se rapportant à une personne physique vivante identifiée ou identifiable. Dans un contexte d'appels sortants, cela comprend le numéro de téléphone lui-même, le nom et l'adresse du contact, les informations de compte ou de créance, les qualifications d'appel, les notes des agents et tout enregistrement de la conversation. Même un indicateur « ne pas appeler » est une donnée personnelle, car il se rapporte à une personne identifiée.

Deux rôles comptent. Le responsable du traitement détermine pourquoi et comment les données personnelles sont traitées : en général, l'entreprise dont les produits, les créances ou les services font l'objet de l'appel. Le sous-traitant agit selon les instructions documentées du responsable du traitement, par exemple un fournisseur de technologie ou un partenaire d'appels externalisé. Si vous êtes un BPO qui appelle pour le compte d'un client, vous êtes généralement sous-traitant pour les données de ce client et responsable du traitement pour les données de votre propre personnel. Bien définir ces rôles détermine qui répond de quoi.

Choisir une base légale pour les appels sortants

Vous ne pouvez pas traiter de données personnelles sans base légale au sens de l' article 6. Pour la prospection et les campagnes sortantes, deux bases dominent le débat : le consentement et l'intérêt légitime. Les appels de recouvrement et de service reposent souvent plutôt sur le contrat ou l'obligation légale.

Consentement

Au sens du RGPD, le consentement doit être libre, spécifique, éclairé et univoque, et donné par un acte positif clair. Les cases précochées, le silence ou l'inaction ne comptent pas. Vous devez pouvoir démontrer que le consentement a été donné, conserver la trace de la manière et du moment où il l'a été, et rendre son retrait aussi simple que son octroi. Un consentement obtenu pour une finalité n'en couvre pas automatiquement une autre.

Intérêt légitime

L'intérêt légitime peut fonder certaines activités sortantes, par exemple la prospection B2B ou le contact de clients existants au sujet de services étroitement liés. Il exige un test de mise en balance en trois étapes, documenté : identifier l'intérêt légitime, montrer que le traitement est nécessaire pour l'atteindre, et vérifier que les droits et attentes de la personne ne prévalent pas. Le considérant 47 du RGPD reconnaît expressément que la prospection peut constituer un intérêt légitime, mais cela ne supprime jamais le droit absolu de la personne de s'y opposer.

Quelle que soit la base choisie, vous devez la déterminer avant de commencer à appeler, la documenter et l'indiquer dans votre politique de confidentialité. Vous ne pouvez pas changer de base a posteriori pour combler une lacune de conformité.

La directive ePrivacy et les appels de prospection

Le RGPD ne dit pas tout du marketing électronique. La directive ePrivacy (2002/58/CE, telle que modifiée), transposée dans le droit national des États membres et, au Royaume-Uni, dans le PECR, fixe des règles spécifiques pour les appels de prospection non sollicités. Ces règles s'appliquent en parallèle du RGPD et, lorsqu'elles s'appliquent, elles priment pour le canal de prospection lui-même.

Les conséquences pratiques varient selon les pays. Certains États membres gèrent des listes d'opposition que vous devez consulter ; d'autres exigent un consentement préalable pour les appels de prospection en direct vers les particuliers. Les règles applicables aux appels automatisés ou préenregistrés sont généralement plus strictes et exigent souvent un consentement explicite, quelle que soit la juridiction. Les transpositions nationales différant, une activité qui appelle plusieurs marchés de l'UE doit appliquer la règle la plus stricte applicable à chaque destination, et non une politique uniforme. Un futur règlement ePrivacy de l'UE devrait harmoniser une partie de ces règles, mais tant qu'il ne s'applique pas, c'est le droit national qui prévaut.

Les droits des personnes que vos systèmes doivent pouvoir satisfaire

Le RGPD confère aux personnes des droits opposables auxquels les processus et les outils de votre centre d'appels doivent pouvoir répondre, généralement dans un délai d'un mois à compter de la demande. Les droits les plus pertinents pour les équipes sortantes sont :

• Droit d'accès (art. 15) : Une personne peut demander quelles données vous détenez à son sujet, y compris les historiques d'appels, les enregistrements et les notes, et en obtenir une copie.
• Droit à l'effacement (art. 17) : Le « droit à l'oubli » permet de demander la suppression de ses données lorsqu'aucun motif légitime impérieux ne justifie leur conservation.
• Droit d'opposition (art. 21) : En matière de prospection, il est absolu : dès qu'une personne s'y oppose, vous devez cesser toute prospection à son égard, sans mise en balance.
• Droit de rectification (art. 16) : Corriger les coordonnées ou données de compte inexactes.
• Droit à la limitation du traitement (art. 18) et portabilité des données (art. 20) dans les cas prévus.

En pratique, vous devez pouvoir retrouver un même contact dans votre dialer, votre CRM, vos enregistrements et vos listes de leads, et traiter sa demande rapidement. Des données éparpillées, dupliquées entre tenants ou enfouies dans des enregistrements non indexés rendent les demandes lentes et sujettes aux erreurs ; or un effacement oublié ou un appel qui continue après une opposition est exactement le type de manquement que les régulateurs sanctionnent.

Enregistrement des appels et RGPD

Un enregistrement vocal est une donnée personnelle, et il peut contenir des catégories particulières de données (par exemple des informations de santé révélées lors d'un appel de recouvrement ou d'assurance). Enregistrer de manière licite exige une base légale propre et une transparence claire. Les principales attentes sont :

• Information : Informez l'interlocuteur que l'appel peut être enregistré et pourquoi, idéalement dès le début de l'appel.
• Limitation des finalités : N'enregistrez que pour les finalités annoncées (qualité, formation, règlement des litiges, obligations réglementaires) et ne réutilisez pas les enregistrements à d'autres fins.
• Sécurité : Chiffrez les enregistrements au repos et en transit, et limitez l'accès aux seules personnes qui en ont besoin.
• Conservation : Ne conservez les enregistrements que le temps requis par la finalité annoncée, puis supprimez-les.

Certains secteurs et États membres imposent des règles supplémentaires ou contradictoires : certains régimes des services financiers imposent l'enregistrement et sa conservation pendant des durées fixes, tandis que certaines lois nationales limitent l'enregistrement. Cartographiez les règles d'enregistrement par marché avant de les déployer à grande échelle.

Conservation et minimisation des données

Le principe de limitation de la conservation du RGPD vous impose de ne pas conserver les données personnelles plus longtemps que nécessaire à la finalité. Il n'existe pas de « durée RGPD » unique : la conservation doit être justifiée par type de données et par finalité. Une approche courante consiste à établir un calendrier de conservation écrit qui fixe des durées distinctes pour les données de leads, les enregistrements d'appels, les qualifications et les preuves de consentement, avec suppression ou anonymisation automatique à l'échéance. La minimisation s'applique aussi : ne collectez et ne composez que les champs dont vous avez réellement besoin.

Transferts internationaux de données

Si des données personnelles quittent l'EEE ou le Royaume-Uni, y compris vers une équipe support, une région cloud ou un sous-traitant ultérieur à l'étranger, il vous faut un mécanisme de transfert valable au titre du chapitre V. En pratique, il s'agit généralement de clauses contractuelles types (CCT, ou l'IDTA/Addendum britannique), d'une décision d'adéquation couvrant le pays de destination ou d'une autre garantie reconnue, souvent étayée par une analyse d'impact des transferts. Pour une activité sortante, les questions clés sont : où votre dialer est-il hébergé, où les enregistrements sont-ils stockés, et qui administre la plateforme ? Garder les données UE/Royaume-Uni dans la région simplifie considérablement les choses.

Accords de traitement des données et sous-traitants ultérieurs

L'article 28 exige un contrat écrit — un accord de traitement des données (DPA) , entre chaque responsable du traitement et chaque sous-traitant. Le DPA doit préciser l'objet, la durée, la nature et la finalité du traitement, les types de données et les catégories de personnes concernées, ainsi que les instructions du responsable du traitement. Il doit aussi engager le sous-traitant sur la confidentialité, les mesures de sécurité, l'assistance pour les droits des personnes, la notification des violations, la suppression ou la restitution des données en fin de contrat et les droits d'audit.

Les sous-traitants ne peuvent recourir à des sous-traitants ultérieurs qu'avec l'autorisation du responsable du traitement, et doivent leur répercuter contractuellement les mêmes obligations. Pour un centre d'appels, les sous-traitants ultérieurs comprennent généralement l'hébergement cloud, les opérateurs téléphoniques (évoqués ici de façon générique) et les outils d'analyse. Tenez à jour la liste des sous-traitants ultérieurs et informez les responsables du traitement de tout changement. Lorsque vous évaluez un fournisseur de dialer, demandez d'emblée son DPA et sa liste de sous-traitants ultérieurs.

Comment DialerBee accompagne des opérations respectueuses du RGPD

DialerBee est conçu comme une plateforme qui contribue à la conformité, et non comme une garantie de conformité : votre organisation reste responsable du traitement et répond de la base légale, des informations fournies et de la configuration de l'outil. Dans ce cadre, DialerBee fournit des contrôles qui contribuent à la conformité qui aident les activités dans l'UE et au Royaume-Uni à fonctionner de manière défendable, notamment une gestion configurable du consentement et des numéros à ne pas appeler, l'exclusion des personnes qui s'opposent à la prospection, et des politiques d'enregistrement avec des durées de conservation que vous définissez par campagne.

Son architecture multi-tenant isole les données de chaque client, ce qui compte pour les BPO et les revendeurs télécoms qui agissent comme sous-traitants pour plusieurs responsables du traitement, et rend plus gérable la recherche et le traitement de la demande d'un contact donné. Les journaux d'audit consignent les modifications de configuration et les accès à des fins de responsabilité, et l'exploitation dans la région UE/Royaume-Uni aide à réduire la complexité des transferts internationaux. Comme l'IA de DialerBee maîtrise 11 langues, les équipes multinationales peuvent présenter les annonces d'enregistrement et de consentement dans la langue de l'interlocuteur. Un accord de traitement des données est disponible, et vous pouvez consulter notre posture de sécurité et de conformité sur la page Trust. Dans certaines conditions de pilote, des équipes ont indiqué que la centralisation de l'exclusion et du suivi du consentement réduisait l'effort manuel nécessaire pour respecter les oppositions ; les résultats varient selon le déploiement et la configuration.

Questions fréquentes

Le RGPD impose-t-il un consentement pour chaque appel sortant ?

Pas toujours. Le consentement est une base légale parmi d'autres : l'intérêt légitime peut fonder certaines activités sortantes, comme la prospection B2B ou le contact de clients existants au sujet de services liés, à condition de documenter un test de mise en balance. Toutefois, les règles ePrivacy nationales peuvent tout de même exiger un consentement pour certains appels de prospection, et les personnes conservent toujours un droit absolu de s'opposer à la prospection.

L'enregistrement des appels est-il légal au regard du RGPD ?

Oui, s'il est fait correctement. L'enregistrement est licite lorsque vous disposez d'une base légale valable, que vous informez l'interlocuteur que l'appel peut être enregistré et pourquoi, que vous limitez l'usage aux finalités annoncées, que vous sécurisez les enregistrements par chiffrement et contrôle d'accès, et que vous les supprimez à l'expiration de la durée de conservation. Certains secteurs financiers et réglementés imposent en plus l'enregistrement, tandis que certaines juridictions le restreignent : vérifiez marché par marché.

Combien de temps peut-on conserver les enregistrements d'appels et les données de leads ?

Uniquement le temps nécessaire à la finalité pour laquelle vous les avez collectés. Le RGPD ne fixe aucun nombre de jours. La bonne pratique est un calendrier de conservation écrit avec des durées distinctes pour les données de leads, les enregistrements, les qualifications et les preuves de consentement, ainsi qu'une suppression ou une anonymisation automatique à chaque échéance. Certaines activités réglementées imposent une durée de conservation minimale fixe qui prime sur votre calendrier par défaut.

Qu'est-ce qu'un DPA et en faut-il un avec notre fournisseur de dialer ?

L'accord de traitement des données (DPA) est le contrat de l'article 28 exigé dès qu'un responsable du traitement fait appel à un sous-traitant. Il définit le périmètre du traitement et engage le sous-traitant sur la sécurité, la confidentialité, l'assistance pour les demandes d'exercice des droits, la notification des violations et la suppression des données. Oui : il vous faut un DPA avec tout fournisseur de dialer qui traite des données personnelles pour votre compte, et vous devez examiner sa liste de sous-traitants ultérieurs.

Peut-on appeler des contacts dans l'UE si notre équipe ou nos serveurs sont hors de l'UE ?

Oui, mais tout transfert de données personnelles hors de l'EEE ou du Royaume-Uni exige un mécanisme valable, comme les clauses contractuelles types, l'IDTA britannique ou une décision d'adéquation, souvent accompagné d'une analyse d'impact des transferts. Cela concerne vos serveurs, le stockage des enregistrements, votre personnel support et vos sous-traitants ultérieurs. Héberger et administrer les données UE et Royaume-Uni dans la région réduit fortement cette complexité.

Un dialer suffit-il à nous rendre conformes au RGPD ?

Aucun outil ne peut à lui seul vous rendre conforme. Vous restez le responsable du traitement, qui répond de votre base légale, de vos mentions d'information et de votre configuration. Un dialer qui contribue à la conformité comme DialerBee fournit des contrôles (gestion du consentement et des numéros à ne pas appeler, exclusion des oppositions, paramètres d'enregistrement et de conservation, isolation des données entre tenants, journaux d'audit et DPA disponible) qui facilitent un fonctionnement défendable, mais la responsabilité reste celle de votre organisation.

Cet article est fourni à titre d'information générale et ne constitue pas un avis juridique. L'interprétation du RGPD varie selon les États membres et évolue : consultez un conseiller qualifié en protection des données ou un avocat.