RGPD et callbot : enregistrement, consentement, hébergement

Corrigé le 22/10/2026 : la première version de cet article (23/09/2026) contenait des erreurs. Changements de sens : le consentement explicite n'est plus présenté comme requis dans un seul cas (la CNIL le cite aussi pour les données sensibles et la décision entièrement automatisée), et le consentement préalable au démarchage téléphonique de consommateurs, exigé depuis le 11 août 2026 (article L223-1 du code de la consommation), est indiqué ; le sens de l'appel (entrant ou sortant) n'est plus dit sans effet ; l'information de l'appelant sur l'IA relève de l'article 50 du règlement (UE) 2024/1689, applicable depuis le 2 août 2026, et non d'une analogie ; l'information sur l'enregistrement est décrite en deux temps, comme la CNIL le recommande ; les durées de conservation ne sont plus attribuées aux « centres d'appels » mais aux enregistrements d'un employeur (page de 2009 signalée obsolète, reprise dans un référentiel de 2026) et à la preuve d'un contrat, dont la durée dépend de la nature du contrat ; le pourvoi sur le Data Privacy Framework est formé et pendant, et non « accepté » ; les fournisseurs de reconnaissance vocale, de modèle de langage et de synthèse vocale ne sont plus tenus pour sous-traitants « dans la quasi-totalité des cas » (la qualification dépend du rôle réel de chacun) ; le module des clauses contractuelles types dépend de l'exportateur (module 2 ou 3) ; l'article 22 du RGPD est présenté avec ses exceptions ; la mise en garde de la CNIL sur l'accès par des autorités étrangères est précisée (protection renforcée pour les données les plus sensibles) ; l'autorisation donnée à des banques en 2017 est replacée dans le régime antérieur au RGPD. Les affirmations de marché ou de fréquence sans source ont été retirées, ainsi qu'une phrase laissant croire que notre méthodologie teste les produits (aucun test pratique de produit de tiers n'a été mené) et la mention d'un audit sur devis. Le texte a aussi été ramené à la formulation des sources sur quatre points : la recommandation de la CNIL sur les données sensibles non anticipées est reprise telle qu'elle est formulée (« un système de purge, immédiat ou au moins régulier », et non « une purge rapide »), la FAQ ne présente plus les clauses contractuelles types comme obligatoires à défaut de décision d'adéquation, l'information de l'appelant ne mentionne plus la possibilité de parler à un humain, et l'absence de texte fixant une durée propre aux callbots est présentée comme un constat de la rédaction et non comme un fait établi. Notre politique de corrections.

Ce qui constitue une donnée personnelle dans un appel avec un callbot

Le RGPD (règlement (UE) 2016/679, applicable depuis le 25 mai 2018) définit une donnée personnelle comme toute information se rapportant à une personne physique identifiée ou identifiable (article 4 du RGPD). La voix entre directement dans ce périmètre : dès 1982, la justice française la qualifiait d'« attribut de la personnalité, une sorte d'image sonore », avec une protection proche du droit à l'image — un rappel que fait le laboratoire d'innovation de la CNIL dans ses travaux sur la voix comme donnée. Concrètement, tout ce qui transite dans un appel avec un callbot relève du RGPD dès la première seconde : l'audio, sa transcription, les métadonnées (numéro, horodatage, durée), et le contenu de ce que dit l'appelant — y compris, potentiellement, des informations sensibles données spontanément.

Une distinction change ensuite le régime applicable : un enregistrement vocal brut n'est pas automatiquement une « donnée biométrique » au sens du RGPD. L'article 4 réserve cette qualification aux données résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques ou comportementales d'une personne, qui permettent ou confirment son identification unique. L'article 9, qui classe la biométrie parmi les catégories particulières de données — au même titre que la santé —, vise spécifiquement les données biométriques traitées aux fins d'identifier une personne physique de manière unique.

Deux situations doivent donc être distinguées. Un callbot qui transcrit ce que dit l'appelant pour comprendre sa demande et y répondre traite une donnée personnelle ordinaire : la voix sert de vecteur au contenu, pas d'identifiant. À l'inverse, un système qui extrait de la voix une empreinte vocale pour reconnaître qui appelle bascule dans le régime de l'article 9, nettement plus contraignant. La CNIL a par exemple autorisé en 2017, à titre expérimental et au titre du régime d'autorisation préalable de la loi du 6 janvier 1978, antérieur à l'application du RGPD, plusieurs banques à tester une authentification vocale biométrique, fondée sur le consentement spécifique, libre et éclairé de la personne concernée, en précisant que les conditions de l'expérimentation ne présageaient nullement de celles qui seraient établies en cas de pérennisation (délibération du 27 avril 2017, Banque Rhône-Alpes). Un callbot qui n'utilise pas la biométrie vocale n'a pas à s'imposer ce régime renforcé ; le vérifier avec chaque fournisseur, plutôt que le présumer, reste nécessaire.

Enregistrer un appel : les conditions posées par la CNIL

Deux finalités différentes peuvent se cacher derrière la même case cochée « enregistrer les appels ». La première est l'amélioration du service et le contrôle qualité. La seconde est la preuve : conserver la trace d'un appel pour établir, en cas de litige, qu'un contrat a bien été conclu. La CNIL indique que, dans ce second cas, l'enregistrement peut être traité sur le fondement de l'exécution du contrat (article 6, paragraphe 1, point b) — mais seulement si l'organisme démontre qu'il ne dispose pas d'un autre moyen de preuve, l'enregistrement systématique n'étant pas justifié par principe. Pour un usage de qualité, à défaut d'obligation légale spécifique, c'est l'intérêt légitime (article 6, paragraphe 1, point f) qui peut servir de fondement, à condition de démontrer que cet intérêt ne prime pas sur les droits de l'appelant et de lui offrir un moyen réel de s'y opposer (article 21).

La CNIL insiste sur deux principes valables quelle que soit la finalité. La nécessité d'abord : « sauf dispositions légales le permettant, les enregistrements ne peuvent être ni permanents ni systématiques ». La minimisation ensuite : pour les données sensibles que l'appelant communique sans que le responsable de traitement l'ait anticipé, la CNIL recommande, dans sa doctrine sur les chatbots transposable à la voix, une mise en garde invitant à ne pas les communiquer, et un système de purge, immédiat ou au moins régulier. Lorsque la collecte de ces données est prévisible, elle demande de rattacher le traitement à l'une des exceptions de l'article 9, paragraphe 2 (le consentement explicite de l'utilisateur, par exemple), et rappelle que le traitement de données sensibles est l'un des neuf critères pouvant conduire à une analyse d'impact relative à la protection des données (AIPD), qu'un autre critère, comme la collecte à large échelle, peut rendre obligatoire.

Le traitement RGPD ne commence pas à l'archivage, mais dès que la voix est captée et transmise au moteur de reconnaissance vocale, même sans conservation ultérieure (la collecte et l'enregistrement sont des traitements au sens de l'article 4, point 2). Cela vaut pour un appel entrant ou sortant, mais le sens de l'appel change d'autres règles : depuis le 11 août 2026, démarcher un consommateur par téléphone suppose son consentement préalable (article L223-1 du code de la consommation ; voir la loi sur le démarchage téléphonique), et la CNIL estime que l'enregistrement à des fins de preuve de la formation d'un contrat n'apparaît pas nécessaire dans le cadre du démarchage téléphonique.

Information et consentement : ce qui est réellement exigé

Parce que l'appelant fournit ses données directement en parlant au système, c'est l'article 13 du RGPD qui s'applique — la collecte directe — et non l'article 14, réservé aux données obtenues indirectement (par exemple l'identité et le numéro d'une personne que le callbot appelle à partir d'un fichier). Il impose de porter à la connaissance de la personne, notamment : identité du responsable de traitement, finalités et base légale, destinataires, existence éventuelle d'un transfert hors UE, durée de conservation, et ses droits — accès, rectification, opposition, réclamation à la CNIL. Pour un appel téléphonique enregistré, la CNIL recommande une information en deux temps : une mention orale en début de conversation, assez claire pour que l'appelant comprenne qu'il est enregistré, avec un moyen concret de s'y opposer ou de poursuivre sans enregistrement lorsque c'est possible, puis un renvoi vers un site web ou une touche « mentions légales » du téléphone pour l'information complète — une position exprimée dans ses pages sur l'enregistrement à des fins de preuve et sur l'écoute et l'enregistrement des appels au travail (cette dernière signalée obsolète). S'y ajoute une obligation propre à l'IA : l'article 50, paragraphes 1 et 5, du règlement (UE) 2024/1689 (AI Act), applicable depuis le 2 août 2026, impose aux fournisseurs de concevoir les systèmes d'IA destinés à interagir directement avec des personnes de manière que celles-ci soient informées qu'elles interagissent avec une IA, de façon claire et au plus tard lors de la première interaction, sauf si cela ressort clairement des circonstances (voir AI Act : calendrier et obligations). Un appelant qui parle à un callbot doit donc pouvoir le comprendre dès le début de la conversation, pas seulement le découvrir au fil de l'échange ou une fois l'appel terminé.

Un malentendu mérite d'être corrigé : le consentement n'est pas la condition par défaut d'un projet de callbot. La CNIL le rappelle à propos du consentement : il n'est que l'une des six bases légales du RGPD, et un responsable de traitement peut s'appuyer sur l'exécution d'un contrat ou son intérêt légitime plutôt que sur un consentement. Ce qui s'impose en principe, c'est l'information (articles 13 et 14) — pas le recueil d'un « oui » actif, sauf si un texte spécifique l'exige : la CNIL cite la prospection commerciale par courriel, et le démarchage téléphonique de consommateurs l'exige depuis le 11 août 2026. Le consentement explicite peut lui aussi être exigé : la CNIL indique qu'il l'est par exemple pour le traitement de données sensibles ou pour permettre une prise de décision entièrement automatisée. Pour la biométrie vocale, il est quasiment incontournable, les autres exceptions de l'article 9 (obligations de l'employeur, intérêt public, recherche...) ne correspondant pas à une relation commerciale ordinaire. Quand il est la base retenue, il doit remplir les conditions de l'article 7 : demande présentée de façon distincte, et retrait « aussi simple » que le don initial — une contrainte non triviale sur un canal vocal, où dire « oui » en début d'appel est simple, mais organiser un retrait tout aussi simple en cours d'appel l'est beaucoup moins.

Dernier point : pour les callbots qui n'informent pas seulement mais agissent — annuler une commande, refuser un remboursement —, l'article 22 du RGPD donne le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant significativement la personne, sauf si la décision est nécessaire à la conclusion ou à l'exécution d'un contrat, autorisée par le droit de l'Union ou d'un État membre, ou fondée sur le consentement explicite de la personne (paragraphe 2) ; dans les cas du contrat et du consentement, le responsable de traitement garantit au minimum un droit d'obtenir une intervention humaine, d'exprimer son point de vue et de contester la décision (paragraphe 3). La CNIL le formule explicitement pour les agents conversationnels : une conversation automatisée, sans intervention humaine, ne peut à elle seule aboutir à des décisions importantes — un sujet qui gagne en importance à mesure que les agents IA gagnent en autonomie d'action.

Durée de conservation : les repères publiés par la CNIL

Le RGPD pose un principe plutôt qu'un chiffre : les données ne doivent pas être conservées sous une forme identifiante au-delà de ce qui est nécessaire aux finalités poursuivies (article 5, paragraphe 1, point e). La CNIL a toutefois publié des repères concrets pour l'enregistrement des appels téléphoniques, d'une part sur le lieu de travail (page de 2009 que la CNIL signale comme obsolète et en cours de mise à jour, dont les durées figurent aussi dans son référentiel de durées de conservation en gestion des ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026), d'autre part pour la preuve de la formation d'un contrat (2022, également citée dans ce référentiel). Ils ne visent pas les callbots : la rédaction les transpose, à condition de ne pas les traiter comme un chiffre unique valable pour tout, la durée dépendant directement de la finalité.

Finalité de la conservation	Repère CNIL	Ce qu'il faut retenir
Formation, évaluation des salariés, qualité du service (enregistrements d'un employeur)	Jusqu'à 6 mois au maximum, sauf texte imposant une durée spécifique ou justification particulière	Logique de l'« enregistrement tampon » : écouter, analyser, supprimer rapidement ; cette page de la CNIL ne prévoit pas de repère propre à l'amélioration d'un callbot
Documents d'analyse issus d'un enregistrement	Jusqu'à 1 an	Distinct de l'enregistrement source lui-même
Preuve de la formation d'un contrat	Selon la nature du contrat ; le délai de prescription de droit commun est de 5 ans	Politique de purge alignée sur les durées de prescription de l'action en contestation du contrat ; enregistrement qui n'apparaît pas nécessaire pour le démarchage téléphonique, selon la CNIL

Nous n'avons pas trouvé de texte fixant une durée spécifique aux callbots : ces repères ne s'y appliquent que par transposition, selon la même logique de proportionnalité. En pratique, le principe de minimisation (article 5, paragraphe 1, point c) invite à se demander si l'audio brut doit encore être conservé une fois transcrit ; la conformité fait par ailleurs partie des coûts d'un callbot que les grilles tarifaires ne montrent pas. Si le dispositif sert aussi à évaluer des salariés, le code du travail (article L2312-38) ajoute, dans les entreprises d'au moins cinquante salariés, une obligation distincte d'information et de consultation du comité social et économique, à ne pas confondre avec l'information due à l'appelant externe.

Sous-traitants et hébergement

Un callbot peut reposer sur plusieurs fournisseurs : reconnaissance vocale, modèle de langage, synthèse vocale et orchestration peuvent provenir d'éditeurs distincts, chacun recevant alors à un moment la voix ou le texte de l'appelant. Au sens du RGPD, un fournisseur qui traite ces données pour le compte du responsable de traitement — l'entreprise qui déploie le callbot — est un sous-traitant, la CNIL demandant d'apprécier la qualification de chaque acteur au cas par cas. L'article 28 impose un contrat (ou un autre acte juridique) sous forme écrite, y compris électronique, prévoyant notamment que le sous-traitant agit uniquement sur instruction documentée, garantit la confidentialité de son personnel, applique des mesures de sécurité adaptées, encadre le recours à d'éventuels sous-traitants ultérieurs, assiste le responsable pour les demandes de droits des personnes, et supprime ou restitue les données en fin de contrat. La CNIL le formule sans détour : ne pas engager la prestation sans ce contrat signé.

Un point que la CNIL reconnaît elle-même non tranché mécaniquement : la qualification juridique exacte d'un fournisseur d'IA n'est pas toujours évidente. Un prestataire qui exécute une tâche précise sur instruction est clairement sous-traitant ; un fournisseur de modèle qui réutiliserait les échanges pour améliorer son propre système peut au contraire basculer, selon l'analyse de la CNIL sur le développement des systèmes d'IA, vers une qualification de responsable d'un traitement distinct pour cette réutilisation — la CNIL réserve la qualification de responsable conjoint aux cas où plusieurs parties déterminent ensemble les finalités et les moyens du traitement, ce qui n'est pas le cas d'un fournisseur qui décide seul de la manière dont il réutilise les données pour son propre modèle, signe que la réponse dépend du rôle réellement joué par chaque acteur, pas d'une règle uniforme pour tous les modèles du marché.

L'hébergement pose un piège : la localisation physique des serveurs en Europe ne suffit pas à elle seule à écarter un risque d'accès par une autorité étrangère. Si le fournisseur reste soumis au droit d'un pays tiers à portée extraterritoriale — le Cloud Act américain en est un exemple —, cette loi peut s'appliquer indépendamment de l'endroit où tourne le serveur : une disposition du code des États-Unis (18 U.S.C. § 2713, ajoutée en mars 2018) vise les données en la possession, la garde ou le contrôle du fournisseur, qu'elles soient situées aux États-Unis ou à l'étranger. La CNIL a mis en garde sur ce point pour les traitements de données les plus sensibles (grandes bases de santé, données d'infractions ou de mineurs, par exemple), pour lesquels elle recommande un prestataire exclusivement soumis au droit européen, ce que comprend la certification SecNumCloud de l'ANSSI. Elle précise que ce risque est le plus souvent considéré comme limité pour des données non sensibles confiées à des prestataires de « pays adéquats », dont les États-Unis depuis la décision de la Commission du 10 juillet 2023 (dans les conditions précisées par le Data Privacy Framework). La question à poser n'est donc pas seulement où sont hébergées les données, mais à la loi de quel pays le fournisseur est soumis.

Transferts hors UE : ce qu'il faut vérifier avant de signer

Lorsque l'un des fournisseurs d'un callbot (reconnaissance vocale, modèle de langage, synthèse vocale) est établi hors de l'Union, notamment aux États-Unis, cela ne rend pas un projet non conforme par principe, mais déclenche les règles du chapitre V du RGPD dès qu'une donnée lui est envoyée — l'article 44 pose que toutes les dispositions de ce chapitre sont appliquées de manière à ce que le niveau de protection garanti par le règlement ne soit pas compromis.

Trois niveaux d'outils permettent de l'encadrer, selon la CNIL : la décision d'adéquation, à défaut les garanties appropriées, enfin les dérogations pour des situations particulières. D'abord la décision d'adéquation (article 45) : la Commission reconnaît qu'un pays, ou un mécanisme de certification pour certaines de ses sociétés, offre une protection suffisante — c'est le cas du cadre UE-États-Unis (Data Privacy Framework, décision du 10 juillet 2023), dont peuvent se prévaloir les entreprises américaines qui y participent. Il reste en vigueur au 21/10/2026 : le Tribunal de l'UE a rejeté le 3 septembre 2025 un recours en annulation (affaire T-553/23), mais cet arrêt fait l'objet d'un pourvoi formé le 31 octobre 2025 (affaire C-703/25 P), toujours pendant devant la Cour de justice, à l'issue inconnue — un rappel que le mécanisme précédent, le Privacy Shield, avait lui aussi été invalidé après coup, en 2020. À défaut d'adéquation, les clauses contractuelles types de la Commission (article 46) sont l'un des outils possibles, utilisables uniquement dans leur version du 4 juin 2021 depuis le 27 décembre 2022, structurées en quatre modules selon la relation entre parties — le module 2 (de responsable de traitement à sous-traitant) quand c'est l'entreprise qui déploie le callbot qui transfère les données à un fournisseur d'IA, le module 3 (de sous-traitant à sous-traitant) quand c'est l'éditeur du callbot, lui-même sous-traitant, qui les transfère. Depuis l'arrêt Schrems II, les signer ne suffit plus : il faut aussi évaluer si le droit du pays destinataire permet réellement de les respecter, et ajouter des mesures supplémentaires (chiffrement, restriction d'accès) sinon. Les règles internes d'entreprise (article 47) concernent surtout les grands groupes transférant entre filiales ; les dérogations de l'article 49 existent aussi, mais restent, par construction, pensées pour des situations ponctuelles plutôt que pour un flux permanent comme celui d'un callbot en production.

Avant de signer, la vérification consiste à identifier chaque société qui traite la voix ou le texte de l'appelant, son pays d'établissement, le droit dont elle dépend, et le mécanisme du chapitre V qui couvre ce transfert — clause par clause dans le contrat, pas affirmé sur une plaquette commerciale. La conformité réglementaire (hébergement des données, gestion du consentement vocal) figure parmi les critères de notre méthodologie, qui repose sur la documentation publique des éditeurs : à ce jour, nous n'avons mené aucun test pratique de produits de tiers. La vérification des fournisseurs se fait normalement avant la signature, pas après une réclamation.

Questions fréquentes

Un callbot doit-il obligatoirement demander le consentement de l'appelant avant de commencer l'appel ?

Non, pas systématiquement : le consentement n'est que l'une des six bases légales prévues par le RGPD, et un responsable de traitement peut s'appuyer sur l'exécution du contrat ou sur son intérêt légitime. Ce qui s'impose en principe, quelle que soit la base légale retenue, c'est d'informer clairement l'appelant dès le début de l'échange sur l'objectif poursuivi, l'éventuel enregistrement et son droit de s'y opposer. Le consentement explicite peut en revanche être exigé, par exemple pour traiter des données sensibles (la voix qui sert à identifier ou authentifier la personne en est un cas) ou pour permettre une décision entièrement automatisée, et un appel sortant de démarchage commercial vers un consommateur suppose son consentement préalable depuis le 11 août 2026 (voir la loi sur le démarchage téléphonique).

La voix enregistrée par un callbot est-elle une donnée biométrique ?

Pas automatiquement. Un enregistrement vocal brut, utilisé pour transcrire ce que dit l'appelant et générer une réponse, reste une donnée personnelle ordinaire. Il ne devient une donnée biométrique au sens de l'article 4, point 14, du RGPD — et ne relève du régime renforcé de l'article 9 — que si un traitement technique spécifique en extrait une empreinte vocale utilisée pour identifier ou authentifier la personne de façon unique, comme dans un dispositif de reconnaissance du locuteur.

Combien de temps peut-on conserver l'enregistrement d'un appel avec un callbot ?

Il n'existe pas de durée unique fixée par la loi : le principe du RGPD est de ne pas conserver au-delà de ce qui est nécessaire à la finalité poursuivie. Pour des enregistrements utilisés à des fins de formation, d'évaluation ou de qualité, la CNIL indique, dans sa page sur l'écoute et l'enregistrement des appels au travail (qu'elle signale comme obsolète et en cours de mise à jour), une conservation de six mois au maximum, sauf texte imposant une durée spécifique ou justification particulière (repère repris dans son référentiel de durées de conservation publié le 2 avril 2026) ; pour un enregistrement conservé comme preuve de la formation d'un contrat, elle renvoie aux délais de prescription de l'action en contestation du contrat, qui dépendent de sa nature (le délai de droit commun est de cinq ans). Ces deux finalités doivent être distinguées et ne pas être mélangées dans une même politique de conservation.

Les fournisseurs de reconnaissance vocale ou de modèle de langage utilisés par un callbot sont-ils forcément hors du champ du RGPD s'ils sont américains ?

Non : le RGPD s'applique au traitement effectué dans le cadre des activités d'un établissement du responsable de traitement dans l'Union, que le traitement ait lieu ou non dans l'Union (article 3, paragraphe 1), et recourir à un fournisseur américain déclenche en plus des obligations spécifiques du chapitre V sur les transferts hors UE, à vérifier au cas par cas plutôt qu'à présumer réglées. Pour un fournisseur américain qui y participe, le cadre d'adéquation UE-États-Unis est un mécanisme possible, en vigueur mais actuellement contesté devant la justice européenne ; à défaut, les clauses contractuelles types de la Commission européenne peuvent être annexées au contrat. Le seul hébergement physique des serveurs en Europe ne suffit pas à écarter ce sujet si le fournisseur reste soumis à une loi étrangère à portée extraterritoriale, la CNIL réservant la protection renforcée aux traitements les plus sensibles.

En résumé

• La voix est une donnée personnelle dès le premier mot ; elle ne devient une donnée biométrique (article 4, point 14, traitée sous le régime de l'article 9) que si elle sert à identifier ou authentifier la personne, pas pour simplement comprendre ce qu'elle dit.
• Enregistrer un appel exige une base légale précise (par exemple l'exécution du contrat ou l'intérêt légitime), un caractère non systématique, et une information donnée dès le début de l'échange.
• Le consentement explicite peut être exigé dans certains cas, notamment pour les données sensibles comme la biométrie vocale ou pour une décision entièrement automatisée ; ailleurs, ce qui s'impose en principe est l'information, pas le recueil d'un « oui » actif, sauf texte spécifique (démarchage téléphonique de consommateurs, depuis le 11 août 2026).
• La CNIL a publié des repères de conservation pour l'enregistrement des appels — jusqu'à six mois au maximum pour la formation, l'évaluation ou la qualité, une durée liée aux délais de prescription pour la preuve d'un contrat — que la rédaction transpose à un callbot.
• Les fournisseurs de reconnaissance vocale, de modèle de langage et de synthèse vocale qui traitent les données pour le compte de l'entreprise sont des sous-traitants au sens de l'article 28, sous réserve d'une qualification au cas par cas : le contrat doit être signé avant le lancement, pas régularisé après coup.
• Le lieu d'hébergement des serveurs ne suffit pas : la loi dont dépend le fournisseur compte au moins autant, face à une législation étrangère à portée extraterritoriale ; la CNIL réserve toutefois la protection renforcée aux traitements les plus sensibles.

Le RGPD ne rend pas un projet de callbot impossible ; il impose de documenter ces choix — base légale, durée de conservation, chaîne de sous-traitants, mécanisme de transfert — avant la mise en production, pas après une réclamation. Cet article présente les textes et les positions publiées à la date du 21/10/2026 ; il ne constitue pas un avis juridique.

Sources

• Règlement (UE) 2016/679 (RGPD), texte (EUR-Lex) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 4 : définitions (EUR-Lex) — consulté le 22/10/2026
• Les droits de la voix (1/2) : quelle écoute pour nos systèmes ? (LINC, CNIL) — consulté le 22/10/2026
• Délibération 2017-134 du 27 avril 2017 (CNIL, Légifrance) — consulté le 22/10/2026
• L'enregistrement des conversations téléphoniques afin d'établir la preuve de la formation d'un contrat (CNIL) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 21 : droit d'opposition (EUR-Lex) — consulté le 22/10/2026
• Chatbots : les conseils de la CNIL pour respecter les droits des personnes — consulté le 22/10/2026
• Article L223-1 du code de la consommation (Légifrance) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 13 : informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée (EUR-Lex) — consulté le 22/10/2026
• L'écoute et l'enregistrement des appels sur le lieu de travail (CNIL) — consulté le 22/10/2026
• Règlement (UE) 2024/1689, texte consolidé au 27/07/2026 (EUR-Lex) — consulté le 22/10/2026
• Conformité RGPD : comment recueillir le consentement des personnes ? (CNIL) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 7 : conditions applicables au consentement (EUR-Lex) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 22 : décision individuelle automatisée, y compris le profilage (EUR-Lex) — consulté le 22/10/2026
• Référentiel relatif aux durées de conservation en gestion des ressources humaines (CNIL, avril 2026) — consulté le 22/10/2026
• Article L2312-38 du code du travail (Légifrance) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 28 : sous-traitant (EUR-Lex) — consulté le 22/10/2026
• Sécurité : gérer la sous-traitance (CNIL) — consulté le 22/10/2026
• Déterminer la qualification juridique des acteurs (CNIL) — consulté le 22/10/2026
• 18 U.S.C. § 2713 (Cornell Law School) — consulté le 22/10/2026
• Cloud : les risques d'une certification européenne permettant l'accès des autorités étrangères aux données sensibles (CNIL) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 44 : principe général applicable aux transferts (EUR-Lex) — consulté le 22/10/2026
• Transferts de données hors UE : le cadre général prévu par le RGPD (CNIL) — consulté le 22/10/2026
• Décision d'exécution (UE) 2023/1795 du 10 juillet 2023 (EUR-Lex) — consulté le 22/10/2026
• Affaire T-553/23 (EUR-Lex) — consulté le 22/10/2026
• Affaire C-703/25 P (EUR-Lex) — consulté le 22/10/2026
• Transfert de données : les clauses contractuelles types (CCT) de la Commission européenne (CNIL) — consulté le 22/10/2026
• Règlement (UE) 2016/679 (RGPD), article 49 : dérogations pour des situations particulières (EUR-Lex) — consulté le 22/10/2026

Le site de la CNIL étant en maintenance le 22/10/2026, ses pages ont été relues sur des copies archivées.

Pour aller plus loin

• Callbot pour cabinet médical : prise de rendez-vous, données de santé et limites