Qu'est-ce que le RGPD ?

Ce que cela couvre

Le règlement général sur la protection des données s’applique au traitement de données personnelles. L’article 4, point 1, définit les données personnelles comme toute information se rapportant à une personne physique identifiée ou identifiable, ce qui comprend un nom, un numéro d’identification, des données de localisation ou un identifiant en ligne. Un enregistrement vocal lié à un numéro de téléphone ou à un compte, et une transcription qui mentionne un nom, entrent tous deux dans cette définition.

L’article 3 fixe le champ d’application. Il s’applique au traitement effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant dans l’UE, que le traitement ait lieu ou non dans l’UE. Il s’applique aussi à un responsable ou à un sous-traitant hors de l’UE lorsque le traitement est lié à l’offre de biens ou de services à des personnes dans l’UE, ou au suivi de leur comportement. Une entreprise hors d’Europe qui prend des appels de clients européens peut donc être concernée.

Deux rôles comptent. Le responsable du traitement détermine les finalités et les moyens du traitement. Le sous-traitant traite des données personnelles pour le compte du responsable (article 4, points 7 et 8). Une entreprise qui déploie un agent vocal est généralement le responsable, et la plateforme et les fournisseurs vocaux qu’elle utilise sont souvent des sous-traitants.

Ce qui est exigé

• L’article 5 énonce les principes, notamment que les données ne sont pas conservées sous forme identifiable plus longtemps que nécessaire au regard de leurs finalités (article 5, paragraphe 1, point e).
• L’article 6, paragraphe 1, énumère six bases légales du traitement : le consentement, le contrat, l’obligation légale, les intérêts vitaux, la mission d’intérêt public et les intérêts légitimes. Le responsable en a besoin d’au moins une pour chaque finalité.
• L’article 9 interdit le traitement des données biométriques destinées à identifier une personne de manière unique, et des données concernant la santé, sauf exception, comme le consentement explicite.
• L’article 13 impose au responsable d’indiquer aux personnes qui il est et pourquoi il traite leurs données au moment de la collecte.
• L’article 22 donne aux personnes le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou les affectant de manière significative de façon similaire.
• L’article 28 impose un contrat entre le responsable et le sous-traitant qui, entre autres clauses, prévoit que le sous-traitant n’agit que sur instruction documentée.
• Les articles 44 à 49 n’autorisent les transferts de données personnelles hors de l’UE que si les conditions de ce chapitre sont remplies.
• L’article 83, paragraphe 5, permet des amendes allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les violations des principes de base, des droits des personnes et des règles de transfert.

Le règlement ne crée pas de statut général « certifié RGPD ». L’article 42 permet des mécanismes de certification approuvés, et l’article 42, paragraphe 4, précise qu’une certification ne diminue pas la responsabilité du responsable ou du sous-traitant.

Ce que cela implique pour un agent vocal

Choisissez une base légale pour chaque chose qu’un appel produit, et informez tôt les appelants. C’est une raison de plus pour laquelle un bref avis oral au début de l’appel est courant. Fixez la durée de vie des enregistrements et des transcriptions (conservation des données) et déterminez si le prestataire ne garde absolument rien (conservation zéro des données).

Vérifiez où va l’audio. Un fournisseur vocal, un fournisseur de LLM et un opérateur télécom peuvent chacun traiter l’appel dans des pays différents, et chacun est un sous-traitant avec lequel il faut un contrat. Si l’agent identifie les appelants par leur voix, il s’agit d’un traitement biométrique, qui soulève la question de l’article 9. Le rapport SOC 2 d’un prestataire renseigne sur ses contrôles de sécurité mais ne remplace pas le contrat de l’article 28. Les règles d’enregistrement des appels propres à chaque pays forment une couche distincte ; voir le consentement à l’enregistrement des appels. Pour la vue infrastructure, lisez le guide sur l’IA vocale sur site.

Questions à poser à un juriste

1. Quelle base légale convient à l’enregistrement et à la transcription des appels dans notre cas d’usage ?
2. Sommes-nous responsable du traitement, sous-traitant ou les deux, et qui sont nos sous-traitants et sous-traitants ultérieurs ?
3. Certaines étapes déplacent-elles de l’audio ou des transcriptions hors de l’UE, et quel mécanisme de transfert les couvre ?
4. L’identification du locuteur ou la vérification vocale constitue-t-elle pour nous un traitement biométrique ?
5. Certaines décisions de notre agent ont-elles des effets juridiques ou significatifs similaires qui déclenchent l’article 22 ?

Termes liés

• Conservation des données
• Conservation zéro des données
• HIPAA
• SOC 2

Guides

• IA vocale sur site : définition et fonctionnement

Sources

• Regulation (EU) 2016/679 (General Data Protection Regulation), EUR-Lex