Un centre d’appels qui enregistre chaque conversation pour former ses équipes, un service commercial dont les appels servent à évaluer les salariés, une société d’assurance qui conserve les échanges pour prouver les contrats conclus au téléphone : l’enregistrement des appels est devenu un outil ordinaire de gestion. Il reste un traitement de données personnelles à part entière, et l’un des plus sensibles, puisqu’il capte la voix et les propos de deux catégories de personnes à la fois, les salariés et les interlocuteurs extérieurs.
Trois risques se cumulent quand le dispositif est mal calibré. Le premier est administratif : la personne enregistrée à son insu ou conservée trop longtemps peut saisir la CNIL, dont les contrôles débouchent sur des mises en demeure puis des sanctions pécuniaires. Le deuxième est prud’homal : un licenciement ou une sanction fondé sur des écoutes irrégulières peut être annulé, et la preuve écartée des débats. Le troisième est pénal : capter des paroles prononcées à titre privé ou confidentiel sans le consentement de leur auteur expose à un an d’emprisonnement et à 45 000 euros d’amende.
Ce guide décrit, dans l’ordre où l’entreprise doit les traiter, la mise en conformité du dispositif puis le sort de l’enregistrement quand il devient une preuve ou un grief. La première partie expose les règles à respecter avant d’appuyer sur le bouton d’enregistrement : finalité, base légale, information des salariés et des appelants, consultation des représentants du personnel, durées de conservation et contrat avec le prestataire. La seconde partie examine ce qui se passe devant le juge et devant la CNIL : valeur probante des enregistrements de l’employeur et de ceux du salarié, sanctions encourues et conduite à tenir en cas de plainte ou de contrôle.
I. Mettre en place un enregistrement des appels qui respecte le RGPD et le code du travail
Avant toute considération tactique sur la preuve, l’entreprise doit répondre à une question simple : à quelles conditions a-t-elle le droit d’écouter et d’enregistrer ? La réponse combine le règlement général sur la protection des données, la loi Informatique et Libertés, le code du travail et les lignes directrices de la CNIL consacrées à l’écoute et à l’enregistrement des appels sur le lieu de travail, publiées par la CNIL. Cette page, datée de 2009, est signalée par la CNIL elle-même comme obsolète et en cours de mise à jour : elle reste la référence opérationnelle la plus détaillée, mais chaque point doit être relu à la lumière du RGPD, entré en application le 25 mai 2018.
A. Choisir une finalité précise et une base légale qui tiennent l’examen de la CNIL
Tout traitement de données personnelles doit satisfaire aux principes de l’article 5 du RGPD, qui impose notamment la « licéité, loyauté, transparence » des traitements et des données collectées pour des « finalités déterminées, explicites et légitimes ». Pour un système d’écoute et d’enregistrement, la CNIL admet l’installation en cas de nécessité reconnue, à condition que le dispositif soit proportionné aux objectifs poursuivis. Les finalités reconnues sont la formation des salariés, par exemple en réutilisant des enregistrements comme support pédagogique, leur évaluation, l’amélioration de la qualité du service, par exemple en étudiant le type de réponse apportée au client, et, dans certains cas limités prévus par un texte légal, la constitution d’une preuve de la formation d’un contrat ou de l’accomplissement d’une transaction.
Le même règlement subordonne la licéité du traitement à l’existence d’au moins une base légale. En pratique, l’entreprise retient le plus souvent l’intérêt légitime pour la formation, l’évaluation et la qualité de service, ou l’exécution du contrat lorsque l’enregistrement sert à prouver un contrat conclu par téléphone. Sur ce second fondement, la CNIL précise que l’enregistrement peut être fondé sur « l’exécution du contrat » lorsque les personnes acceptent de conclure par téléphone, tout en exigeant une information sur les autres moyens de conclure, en agence, en ligne ou par courrier, indispensable pour établir que l’enregistrement est nécessaire au contrat. Un secteur fait l’objet d’un régime légal spécifique : l’article L. 112-2-2 du code des assurances, issu de la lutte contre le démarchage abusif, impose aux distributeurs d’assurances des obligations d’enregistrement, de conservation et de traçabilité de leurs communications téléphoniques, dont les modalités sont fixées par le décret n° 2022-34 du 17 janvier 2022, afin de permettre à l’Autorité de contrôle prudentiel et de résolution et à la direction générale de la concurrence, de la consommation et de la répression des fraudes de contrôler le respect des obligations des démarcheurs.
Les limites sont aussi importantes que les autorisations. L’employeur ne peut pas mettre en place une écoute ou un enregistrement permanent ou systématique, sauf texte légal le prévoyant, comme pour les services d’urgence. Il ne peut pas enregistrer l’intégralité des appels pour lutter contre les incivilités des appelants : il doit choisir un moyen moins intrusif, par exemple un système permettant au salarié de déclencher lui-même l’enregistrement en cas de difficulté. L’enregistrement ne peut pas davantage être couplé à des captures d’écran du poste informatique des salariés, un couplage que la CNIL juge disproportionné parce qu’il exposerait des courriels personnels ou liés à l’activité syndicale des représentants du personnel. Enfin, seules les données nécessaires au but poursuivi peuvent être collectées : données d’identification du salarié et de l’évaluateur, informations techniques relatives à l’appel et évaluation professionnelle. Le code du travail verrouille cette exigence de proportionnalité : l’article L. 1121-1 dispose : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Une entreprise qui enregistre tous les appels de tous les salariés à des fins vagues de « qualité » s’expose donc à voir son dispositif jugé disproportionné, avec toutes les conséquences qui suivent devant la CNIL et devant les prud’hommes.
B. Informer, consulter, écrire et purger : les quatre gestes qui sécurisent le dispositif
Un dispositif régulier sur le papier devient irrégulier en pratique dès qu’une information ou une consultation manque. Quatre chantiers doivent être menés avant la mise en service, puis tenus dans la durée.
Le premier chantier est l’information des salariés. L’article L. 1222-4 du code du travail est sans ambiguïté : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». Chaque salarié concerné doit donc recevoir une information individuelle précisant les modalités du contrôle, l’objectif poursuivi et les garanties mises en place pour la protection de ses données. Au regard de la jurisprudence sociale, les salariés doivent également être informés des périodes pendant lesquelles ils sont susceptibles d’être écoutés ou enregistrés. L’employeur doit en outre mettre à leur disposition des lignes non reliées au système d’enregistrement, ou un dispositif permettant de couper l’enregistrement, pour les appels personnels comme pour ceux passés par les représentants du personnel dans l’exercice de leurs mandats. Le défaut d’information individuelle a un effet direct sur le procès : comme l’a jugé la cour d’appel d’Orléans le 16 septembre 2025 dans une affaire de « client mystère » opposant un conducteur à la société Keolis Métropole, un dispositif de contrôle dissimulé, visant à surprendre le salarié, à le piéger voire à provoquer sa faute, est illicite, et la sanction disciplinaire qui en découle a été annulée.
Le deuxième chantier est la consultation des représentants du personnel. La CNIL l’exige : informer et consulter les instances représentatives du personnel avant toute décision d’installer un tel dispositif. Le code du travail le confirme à deux niveaux. L’article L. 2312-38 prévoit : « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés », et l’article L. 2312-37 range au premier rang des thèmes de consultation la « Mise en œuvre des moyens de contrôle de l’activité des salariés ». L’information et la consultation doivent intervenir avant la décision de mise en œuvre, pas après l’installation : un avis recueilli a posteriori ne régularise pas la période antérieure, et les enregistrements réalisés avant l’accomplissement de ces formalités restent fragiles.
Le troisième chantier est l’information des interlocuteurs extérieurs. Le RGPD impose au responsable du traitement de fournir à la personne concernée, au moment où les données sont obtenues, son identité, les finalités, la base légale, les durées de conservation et les droits dont elle dispose, en vertu de l’article 13 du RGPD. La CNIL recommande une information en deux temps : une mention orale en début de conversation portant sur l’existence du dispositif, la finalité poursuivie et la possibilité de s’y opposer, puis un renvoi vers un site web ou une touche « mentions légales » du téléphone pour l’information exhaustive. Elle ajoute que les interlocuteurs doivent pouvoir s’opposer « avant la fin de la conversation téléphonique ». Concrètement, le message d’accueil téléphonique et la politique de confidentialité du site doivent être rédigés ensemble : le premier ne suffit pas sans le second, et le second reste lettre morte s’il n’est pas annoncé.
Le quatrième chantier est documentaire et technique : registre, contrat de sous-traitance, durées et sécurité. L’article 30 du RGPD impose à chaque responsable du traitement de tenir un registre des activités de traitement, qui mentionne notamment les finalités. Lorsque les appels sont gérés par un centre d’appels externe, un hébergeur d’enregistrements ou un éditeur de solution de téléphonie, ces prestataires sont des sous-traitants au sens du RGPD, et l’article 28 du RGPD exige du responsable qu’il ne recoure qu’à des sous-traitants offrant des « garanties suffisantes » sur le plan technique et organisationnel. Le contrat de sous-traitance doit donc encadrer l’objet, la durée, la nature et les finalités du traitement, les consignes documentées, la confidentialité, l’assistance et la destruction ou restitution des données en fin de contrat. Côté durées, la doctrine de la CNIL est chiffrée : « six mois au maximum » pour les enregistrements, sauf texte imposant une durée spécifique ou justification particulière, et « conservés jusqu’à un an » pour les documents d’analyse. La CNIL recommande la pratique dite des enregistrements « tampon », qui consiste à écouter les enregistrements dans les jours qui suivent, à rédiger les documents d’analyse nécessaires, puis à supprimer les enregistrements à bref délai. Lorsque l’enregistrement prouve un contrat, la conservation suit en revanche les durées de prescription de l’action en contestation du contrat, le délai de droit commun étant de cinq ans. Enfin, l’accès aux enregistrements doit être limité aux services concernés, avec des habilitations et une traçabilité des accès permettant de savoir qui accède à quoi, quand et pourquoi.
II. Quand l’enregistrement devient une preuve ou un grief : prud’hommes, pénal et CNIL
Un dispositif conforme sert l’entreprise ; un dispositif approximatif se retourne contre elle. Cette seconde partie examine les trois scènes où l’enregistrement est mis à l’épreuve : le procès prud’homal, le procès pénal et la procédure devant la CNIL.
A. Quelle valeur probante pour les enregistrements devant les prud’hommes et au pénal ?
Il faut distinguer deux situations inverses : l’employeur qui produit l’enregistrement d’un salarié, et le salarié qui produit l’enregistrement de son employeur ou d’un collègue. Le point de départ est le même : l’article 9 du code de procédure civile dispose : « Il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention ». Longtemps, la Cour de cassation a jugé irrecevable en matière civile toute preuve recueillie à l’insu de la personne ou obtenue par manœuvre ou stratagème, au nom du principe de loyauté de la preuve. L’assemblée plénière a opéré un revirement le 22 décembre 2023, dans un arrêt rendu sur le pourvoi n° 20-20.648, publié au Bulletin. La Cour y énonce désormais que « dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats », et que « le droit à la preuve pouvant justifier la production d’éléments portant atteinte à d’autres droits à condition que cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi ». Le juge doit donc, lorsque cela lui est demandé, mettre en balance le droit à la preuve et les droits antinomiques, notamment le droit au respect de la vie privée, et vérifier que la production était indispensable et l’atteinte strictement proportionnée.
Pour l’employeur, ce revirement n’est pas un blanc-seing. D’abord, un enregistrement issu d’un dispositif de contrôle clandestin reste illicite au regard du droit du travail : la cour d’appel d’Orléans, le 16 septembre 2025, a annulé la sanction disciplinaire d’un salarié évalué par un « client mystère » dont il ignorait l’existence, en retenant que le contrôle s’était effectué de manière dissimulée et que le salarié n’avait pas été préalablement informé des modalités, de l’objectif et des garanties du dispositif. Ensuite, même recevable, l’enregistrement doit passer le test de proportionnalité : utilité pour établir le manquement reproché, absence de moyen moins intrusif, périmètre limité aux faits en cause. Un enregistrement permanent et systématique, ou couplé à des captures d’écran, franchit difficilement ce test. En pratique, l’employeur qui veut licencier sur la foi d’appels enregistrés doit donc vérifier trois points avant de notifier : le dispositif a-t-il été porté à la connaissance du salarié et soumis aux représentants du personnel avant les faits, l’extrait produit est-il nécessaire à la preuve du grief, et la transcription est-elle versée aux débats pour permettre la contradiction. Faire établir la transcription par un commissaire de justice reste la pratique recommandée par les praticiens pour dater et figer le contenu, même si aucun texte ne l’impose à peine d’irrecevabilité.
Pour le salarié, le revirement de 2023 a ouvert une porte étroite mais réelle. La deuxième chambre civile l’a confirmé le 6 juin 2024, dans un arrêt rendu sur le pourvoi n° 22-11.736, publié au Bulletin : statuant en matière d’accident du travail, elle a rejeté le pourvoi de l’employeur et admis l’enregistrement réalisé par le salarié à l’insu de son interlocuteur, dès lors que sa production était indispensable à l’exercice du droit à la preuve et l’atteinte proportionnée au but poursuivi. Le salarié qui enregistre clandestinement son manager pour établir des heures supplémentaires impayées, un harcèlement ou les circonstances d’un accident peut donc voir sa preuve admise, mais uniquement s’il démontre qu’il ne disposait d’aucun autre moyen de preuve et que l’atteinte à la vie privée de l’interlocuteur reste mesurée. Celui qui enregistre par principe, alors que des bulletins de paie, des relevés d’heures, des attestations de collègues ou des écrits suffiraient, s’expose au rejet.
Reste le volet pénal, qui concerne les deux camps. L’article 226-1 du code pénal punit « d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui : 1° En captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel ». Le texte vise les paroles privées ou confidentielles : une conversation strictement professionnelle, tenue sur le temps et le lieu de travail dans le cadre des fonctions, relève plus difficilement de cette qualification, mais la frontière est factuelle et le doute profite rarement à celui qui enregistre. Le même article prévoit toutefois : « Lorsque les actes mentionnés aux 1° et 2° du présent article ont été accomplis au vu et au su des intéressés sans qu’ils s’y soient opposés, alors qu’ils étaient en mesure de le faire, le consentement de ceux-ci est présumé ». L’information préalable des salariés et le message d’accueil annonçant l’enregistrement jouent donc un double rôle : ils sécurisent le terrain du droit du travail et celui du droit pénal. À l’inverse, l’enregistrement à l’insu d’autrui de propos tenus hors du cadre professionnel, par exemple lors d’un entretien d’embauche détourné ou d’une conversation privée captée au bureau, cumule le risque pénal et le risque d’écartement de la preuve.
B. Plainte, contrôle et sanction CNIL : comment réagir et contester utilement ?
La CNIL peut être saisie par toute personne qui estime que ses appels sont enregistrés ou conservés en violation du RGPD : salarié, client, prospect. La plainte en ligne déclenche une instruction, qui peut conduire à un contrôle sur place ou sur pièces, puis à une mise en demeure de se mettre en conformité dans un délai déterminé, et enfin à une sanction de la formation restreinte. Les manquements relevés en matière d’enregistrements téléphoniques sont typiquement la collecte sans information, l’absence de base légale identifiable, la conservation au-delà de six mois sans justification, l’accès ouvert à des personnes non habilitées et l’absence de registre ou de contrat de sous-traitance. Chacun de ces points renvoie aux obligations décrites dans la première partie : l’entreprise qui a documenté ses finalités, ses durées et ses habilitations aborde le contrôle dans une position incomparablement meilleure que celle qui découvre ses obligations le jour de la visite.
Les sanctions sont prononcées en application de l’article 83 du RGPD, qui exige des amendes « effectives, proportionnées et dissuasives » et énumère les critères d’appréciation : nature, gravité et durée de la violation, caractère intentionnel ou négligent, mesures prises pour atténuer le dommage, degré de coopération avec l’autorité et catégories de données concernées. Le contentieux des sanctions prononcées contre des sociétés de démarchage téléphonique illustre l’échelle des montants et l’office du juge. Le Conseil d’État, le 1er mars 2021, dans sa décision n° 437808 rendue sur le recours de la société Futura Internationale contre la délibération n° SAN-2019-010 du 21 novembre 2019, consultable sur Légifrance, a examiné une sanction pécuniaire de 500 000 euros assortie d’une publication pendant deux ans. Plus anciennement, le 6 juin 2018, dans sa décision n° 412589 rendue sur le recours de la société Éditions Croque Futur contre la délibération n° SAN-2017-007 du 18 mai 2017, consultable sur Légifrance, il avait déjà précisé son contrôle sur la régularité de la procédure et la proportionnalité de la sanction. L’entreprise sanctionnée dispose d’un recours devant le Conseil d’État : les moyens utiles portent sur la régularité de la procédure, la matérialité des manquements, la qualification au regard des textes visés et la proportionnalité du montant. Le moyen de la régularisation spontanée, purge des enregistrements, mise à jour du registre, signature des avenants de sous-traitance, refonte des mentions d’information, pèse sur l’appréciation mais n’efface pas les manquements constatés pendant la période contrôlée.
Parallèlement à la voie administrative, toute personne qui subit un dommage matériel ou moral du fait d’une violation du RGPD peut agir en réparation devant le juge judiciaire. L’article 82 du RGPD ouvre à « toute personne » ayant subi un dommage du fait d’une violation le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant. Le salarié enregistré à son insu, évalué sur la foi d’écoutes irrégulières puis sanctionné, peut ainsi cumuler la contestation de la sanction devant les prud’hommes et une demande indemnitaire fondée sur l’atteinte à ses droits. Pour l’entreprise, la parade consiste à traiter la réclamation dès sa réception : accuser réception, vérifier les durées et les habilitations, purger ce qui doit l’être, documenter les corrections et répondre dans le délai d’un mois prévu pour les demandes d’exercice de droits. Pour la personne enregistrée, la marche à suivre est symétrique : demander l’accès à ses enregistrements et leur effacement, saisir la CNIL en joignant les preuves de la demande restée sans réponse, puis saisir le juge, prud’homal pour la sanction et judiciaire pour la réparation. Sur ces questions qui mêlent conformité, preuve et contentieux, l’analyse des dispositifs de contrôle au travail et de leur contestation développée dans notre étude sur la cybersurveillance excessive des salariés par l’employeur fournit un prolongement utile, notamment sur l’articulation entre l’irrégularité du dispositif et le sort de la preuve.
Conclusion
L’enregistrement des appels téléphoniques en entreprise n’est ni interdit ni libre : c’est un traitement encadré, dont la régularité se joue avant le premier enregistrement et se vérifie à chaque étape. L’entreprise qui veut dormir tranquille retient l’essentiel en huit points : définir par écrit une finalité précise et la base légale correspondante, proscrire l’enregistrement permanent et systématique hors texte spécial, informer individuellement chaque salarié des modalités, des objectifs et des périodes d’écoute, informer et consulter le comité social et économique avant la mise en œuvre, annoncer le dispositif aux interlocuteurs dès le début de l’appel avec un renvoi vers une information complète et un droit d’opposition effectif, limiter la conservation à six mois pour les enregistrements et à un an pour les analyses sauf prescription applicable, restreindre les accès aux seules personnes habilitées avec traçabilité, et encadrer chaque prestataire de téléphonie ou de centre d’appels par un contrat de sous-traitance conforme à l’article 28 du RGPD. À défaut, la sanction disciplinaire fondée sur des écoutes irrégulières peut être annulée, la preuve écartée, la plainte CNIL transformée en mise en demeure puis en sanction pécuniaire, et la violation en action indemnitaire. À l’inverse, un dispositif documenté, proportionné et purgé régulièrement constitue à la fois un outil de formation et de qualité opposable et, le cas échéant, une preuve recevable. Devant les prud’hommes comme devant la CNIL, la question posée est toujours la même : l’enregistrement était-il nécessaire, les personnes étaient-elles informées, et la conservation est-elle restée mesurée. Les entreprises dont la réponse hésite sur l’un de ces points ont intérêt à faire auditer leur dispositif avant qu’un salarié, un client ou un contrôle ne pose la question à leur place.
Besoin d’un avis rapide sur votre dossier
Vous souhaitez un avis sur votre dossier en numérique et données personnelles, après l’enregistrement de vos appels ou un litige sur vos données. Maître Reda KOHEN, avocat au Barreau de Paris, vous reçoit en consultation téléphonique. Téléphone : 06 46 60 58 22. Page contact : formulaire de contact du cabinet.