RGPD et enregistrement des appels : règles, conservation et liste de contrôle DSAR

Par l’équipe IdentityCall AI | Conformité | 7 min de lecture

Selon le RGPD, un enregistrement d’appel qui contient des données personnelles est une donnée personnelle, ce qui signifie qu’il relève des règles du règlement en matière de base légale, de transparence, de conservation et de droits individuels. Voici un aperçu pratique de ce que cela implique pour les opérations d’appels. Il s’agit d’informations générales, pas d’un avis juridique ; confirmez vos obligations auprès d’un conseil qualifié.

Les enregistrements sont des données personnelles

Si un enregistrement peut être rattaché à une personne identifiable, et la plupart le peuvent, il constitue une donnée personnelle au sens du RGPD. Cela entraîne un ensemble d’obligations qu’un état d’esprit du type « on ne fait qu’enregistrer les appels » a tendance à négliger.

Disposez d’une base légale

Vous avez besoin d’une base légale pour enregistrer et traiter l’appel. Les bases courantes incluent le consentement et l’intérêt légitime, mais laquelle s’applique dépend de votre finalité et de votre contexte, et chacune s’accompagne de conditions. S’appuyer sur la mauvaise base est une erreur fréquente.

Soyez transparent

Les personnes doivent savoir que leur appel est enregistré et pourquoi. En pratique, cela suppose un avis obligatoire clair au début de l’appel et la capacité de démontrer qu’il a été donné. Détecter l’avis obligatoire sur chaque appel, plutôt que par échantillonnage, transforme la transparence d’une politique en preuve.

Minimisez et conservez de façon appropriée

Deux principes s’appliquent ici :

Minimisation des données. Ne conservez que ce dont vous avez besoin. Le masquage des données de détails sensibles comme les numéros de carte réduit l’exposition.
Limitation de la conservation. Ne conservez les enregistrements que le temps nécessaire. Une conservation automatisée qui purge les enregistrements selon un calendrier est bien plus sûre que de compter sur quelqu’un pour s’en souvenir.

Soyez prêt pour les demandes des personnes concernées

Les individus peuvent présenter une demande d’accès de la personne concernée portant sur les données personnelles que vous détenez à leur sujet et, dans certains cas, en demander la suppression. Pour répondre dans le délai imparti, vous devez retrouver rapidement chaque appel associé à une personne. Cela dépend d’une bonne recherche, d’une indexation tenant compte du locuteur et d’une piste d’audit claire.

Une liste de contrôle RGPD pratique pour l’enregistrement des appels

Identifiez votre base légale pour l’enregistrement et le traitement.
Signalez l’enregistrement au début de chaque appel, et détectez que l’avis obligatoire a été donné.
Masquez les données sensibles lorsque c’est possible.
Définissez des règles de conservation qui purgent automatiquement les enregistrements à leur expiration.
Restreignez l’accès et journalisez les actions sensibles dans une piste d’audit.
Soyez en mesure de rechercher et de récupérer tous les appels d’une personne pour traiter les DSAR.
Documentez vos décisions afin de pouvoir démontrer la conformité.

Comment les outils aident

La conformité relève en fin de compte de votre responsabilité, mais les outils réduisent la charge manuelle. IdentityCall prend en charge la détection des avis obligatoires, une conservation configurable, des contrôles d’accès, une piste d’audit et une recherche qui rend les DSAR gérables. Consultez la page conformité.

À retenir

Les enregistrements d’appels contenant des données personnelles relèvent du RGPD.
Vous avez besoin d’une base légale, de transparence, de minimisation et de limites de conservation.
Détecter les avis obligatoires et automatiser la conservation transforment la politique en preuve.
La recherche et une piste d’audit rendent les DSAR gérables.
Ceci constitue des informations générales, pas un avis juridique.