Vous appelez votre banque, votre assureur ou votre opérateur. Une voix polie vous répond, parfois avec l’accent d’un plateau situé à Casablanca, Rabat ou Marrakech, et vous apprenez au détour de la conversation que l’échange est enregistré. Ou bien c’est l’inverse : vous dirigez une petite entreprise et vous venez de confier votre relation client à un prestataire offshore pour réduire vos coûts, sans mesurer ce que ce transfert de vos fichiers clients implique. Dans les deux cas, la même matière s’applique : la protection des données personnelles, l’encadrement des enregistrements téléphoniques et les règles des transferts de données hors de l’Union européenne.
Le Maroc ne figure pas sur la liste officielle des pays reconnus par la Commission européenne comme assurant un niveau de protection adéquat. Chaque appel enregistré sur un plateau offshore combine donc deux difficultés : un dispositif de surveillance des conversations, soumis à information préalable et à des durées de conservation limitées, et un transfert de données vers un pays tiers, qui exige des garanties appropriées. La première partie de cet article expose les droits et les recours des personnes enregistrées et démarchées. La seconde s’adresse aux dirigeants : comment encadrer le prestataire par le contrat, et comment réagir proprement quand la relation dérape, sans transformer une résiliation précipitée en condamnation.
I. Vos appels traités depuis un centre au Maroc : informations dues, limites et recours
A. Un enregistrement ne peut pas rester invisible : information préalable, base légale et durées limitées
Lorsque vos données sont collectées directement auprès de vous, au cours d’un appel, le responsable du traitement doit vous informer au moment même où les données sont obtenues. L’article 13 du règlement (UE) 2016/679 impose une information complète, fournie au moment même où les données sont obtenues auprès de la personne, dans les conditions que détaillent les modalités pratiques rappelées par la CNIL pour l’enregistrement des appels. Suivent l’identité du responsable, les finalités poursuivies, les destinataires, la durée de conservation et les droits dont vous disposez. Un message d’accueil qui annonce l’enregistrement, sa finalité et vos droits n’est donc pas une politesse : c’est l’exécution d’une obligation. Quand le centre enrichit votre fiche avec des données qu’il n’a pas recueillies auprès de vous, c’est l’article 14 du même règlement qui impose une information équivalente.
Cette information n’a de sens que si le traitement repose sur une base légale. L’article 6 du règlement rappelle que le traitement n’est licite que si au moins l’une des conditions qu’il énumère est remplie : consentement, nécessité contractuelle, obligation légale, sauvegarde d’intérêts vitaux, mission d’intérêt public ou intérêt légitime poursuivi par le responsable, à condition de ne pas écraser vos droits. Pour un enregistrement à visée de formation ou de preuve, les entreprises invoquent le plus souvent l’intérêt légitime ou l’exécution du contrat ; encore faut-il que cet intérêt soit réel, documenté, et mis en balance avec votre vie privée. L’article 5 du règlement fixe le cadre : les données doivent être « licéité, loyauté, transparence » et sans traitement ultérieur incompatible avec ces « finalités déterminées, explicites et légitimes ». Un enregistrement annoncé pour la formation des téléconseillers ne peut pas servir ensuite à alimenter un scoring commercial sans nouvelle base ni nouvelle information.
La Commission nationale de l’informatique et des libertés précise les modalités pratiques de l’écoute et de l’enregistrement des appels sur le lieu de travail : les interlocuteurs doivent être informés avant l’enregistrement, le dispositif doit être proportionné à la finalité annoncée, et les personnes concernées disposent d’un droit d’opposition. Surtout, les durées sont bornées : six mois au maximum pour les enregistrements et un an pour les documents d’analyse, selon la doctrine de la CNIL sur l’enregistrement des appels. Passé ce délai, conserver votre voix, vos réclamations et vos coordonnées exigerait une justification particulière ou un texte qui l’impose. Si vous découvrez que des enregistrements vieux de deux ans circulent encore, ou que l’analyse de vos appels a nourri un fichier conservé sans limite, vous tenez un grief précis, chiffré en mois, à faire valoir. Les salariés français dont l’activité est contrôlée par de tels dispositifs bénéficient d’une protection parallèle : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », et « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Le comité social et économique, quand il existe, doit être « informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». La Cour de cassation l’a rappelé le 10 novembre 2021 : les salariés doivent être informés avant la mise en œuvre d’un traitement, le comité doit être consulté avant tout contrôle de leur activité, et une preuve recueillie en violation de ces exigences expose celui qui l’invoque à son rejet, sauf mise en balance avec le droit à la preuve (Cass. soc., 10 nov. 2021, n° 20-12.263).
Reste le socle civil et pénal. Le code civil ouvre que « Chacun a droit au respect de sa vie privée », avec des mesures pour faire cesser l’atteinte, y compris en référé en cas d’urgence. Le code pénal punit d’un an d’emprisonnement et de 45 000 euros d’amende le fait de porter volontairement atteinte à l’intimité de la vie privée d’autrui « En captant, enregistrant ou transmettant, sans le consentement de leur auteur, des paroles prononcées à titre privé ou confidentiel ». Un appel avec un service commercial n’est pas nécessairement une parole privée ou confidentielle au sens de ce texte, de sorte que son application à un enregistrement professionnel resterait à démontrer au cas par cas ; il constitue néanmoins un garde-fou sérieux contre les captations véritablement clandestines. Si votre situation concerne un enregistrement réalisé par votre propre employeur sur votre poste, les règles de l’information préalable et de la preuve prud’homale développées dans notre analyse des enregistrements d’appels de salariés et de clients réalisés sans prévenir complètent utilement ce qui suit.
B. Vos données franchissent la Méditerranée : transferts hors Union européenne, clauses types et actions concrètes
Dès que votre nom, votre numéro, votre voix ou le contenu de votre réclamation sont traités sur un plateau situé au Maroc, il y a transfert vers un pays tiers. L’article 44 du règlement pose le verrou : aucun transfert vers un pays tiers ne peut avoir lieu sans respecter les conditions fixées par le chapitre du règlement consacré aux transferts, comme l’explique la CNIL dans son guide des transferts hors Union européenne. Le Maroc ne bénéficiant d’aucune décision d’adéquation de la Commission européenne, le transfert ne peut reposer sur l’article 45 ; il doit s’appuyer sur des garanties appropriées. L’article 46 dispose que, faute de décision d’adéquation, le transfert exige des « garanties appropriées » et que les personnes concernées disposent de droits opposables et de voies de droit effectives. En pratique, ces garanties sont le plus souvent les clauses contractuelles types adoptées par la Commission. La CNIL rappelle que les modèles de clauses contractuelles ont été mis à jour par la Commission européenne le 4 juin 2021 et que, depuis le 27 décembre 2022, les anciennes clauses ne peuvent plus être utilisées. Un contrat d’externalisation signé avant 2021 et jamais mis à jour serait donc présumé fragile : vérifiez la date de vos clauses. Depuis l’arrêt Schrems II de la Cour de justice, dont la CNIL tient compte dans sa doctrine des transferts, ces clauses ne suffisent plus à elles seules quand le droit du pays destinataire permet un accès disproportionné des autorités ; une analyse du risque pays et des mesures complémentaires, techniques et organisationnelles, sont attendues. Notre dossier consacré aux transferts de données hors Union européenne, clauses types et analyse d’impact détaille cette mécanique, transposable aux plateaux situés au Maghreb.
Concrètement, que pouvez-vous faire si vous êtes la personne enregistrée ? D’abord écrire au responsable du traitement, c’est-à-dire à l’entreprise française qui vous a démarché ou avec laquelle vous êtes en relation, pas au plateau offshore : demandez la copie de vos données, la finalité exacte de l’enregistrement, sa base légale, les destinataires, le pays de traitement, les garanties du transfert et la durée de conservation. Exercez ensuite vos droits : accès, rectification, effacement, limitation et opposition. En cas de réponse incomplète ou d’absence de réponse dans un délai d’un mois, l’article 77 du règlement ouvre à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment celle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation alléguée. La plainte devant la CNIL se dépose en ligne, pièces jointes à l’appui : capture du message d’accueil ou preuve de son absence, facture détaillée, copie de vos courriers et des réponses reçues. Enfin, le préjudice s’indemnise : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut en obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant. Démarchage répété malgré votre opposition, enregistrement conservé au-delà de six mois, transfert vers un pays tiers sans garantie ni information : chacun de ces manquements, s’il est établi, peut fonder une demande de dommages et intérêts devant le juge judiciaire, en plus de la plainte devant la CNIL. Conservez tout, datez tout, et ne laissez pas passer les délais : précisez dans chaque courrier la date de l’appel litigieux, le numéro appelant affiché et la réponse exacte qui vous a été faite sur l’enregistrement et le transfert. Une réclamation précise, documentée mois par mois, obtient davantage qu’une plainte générale.
II. Dirigeant : externaliser votre relation client sans vous exposer, réagir sans vous tromper
A. Le contrat avant le plateau : rôles, garanties écrites et clauses qui protègent vraiment
Externaliser ne transfère jamais la responsabilité : l’entreprise française qui décide du pourquoi et du comment reste responsable du traitement, tandis que le centre d’appels offshore est son sous-traitant. L’article 28 du règlement l’exige : le responsable ne fait appel qu’à des sous-traitants présentant des « garanties suffisantes » dans la mise en œuvre de mesures techniques et organisationnelles appropriées, de façon à protéger les droits des personnes concernées. Choisir un prestataire sur le seul critère du prix, sans audit préalable de sa sécurité, de ses habilitations et de ses durées de conservation, serait donc l’inverse de ce que le texte attend. Le contrat de sous-traitance doit être écrit et détailler l’objet, la durée, la nature et les finalités du traitement, les types de données et les catégories de personnes concernées, ainsi que vos instructions documentées. Il doit prévoir que le sous-traitant ne recrute pas lui-même un autre sous-traitant sans votre autorisation écrite préalable, spécifique ou générale : si votre plateau marocain sous-traite à son tour le routage des appels ou l’hébergement des enregistrements, vous devez l’avoir autorisé et en être informé, faute de quoi la chaîne de garanties se rompt à votre insu.
Au-delà du contrat, trois chantiers conditionnent votre sécurité. Le premier est l’information des personnes : vos mentions, vos messages d’accueil téléphonique et vos politiques de confidentialité doivent indiquer l’existence du plateau, le pays de traitement, les garanties du transfert et les droits des appelants, faute de quoi chaque appel reçu fragilise votre position. Le deuxième est le registre des activités de traitement et, lorsque le traitement est susceptible d’engendrer un risque élevé, l’analyse d’impact : l’article 35 impose, avant le traitement, une analyse d’impact dès qu’un type de traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques Des milliers d’appels enregistrés chaque mois, transférés hors Union européenne, avec des données de localisation, de paiement ou de santé selon votre secteur : cette configuration appellerait une analyse sérieuse avant l’ouverture du plateau, pas après le premier incident. Le troisième chantier est technique : chiffrement, cloisonnement des accès, traçabilité des écoutes, durées de conservation paramétrées à six mois pour les enregistrements et un an pour les analyses, comme la doctrine de la CNIL l’attend, et procédure de suppression effective en fin de contrat, avec restitution de vos fichiers et attestation d’effacement. Un prestataire qui refuserait de s’engager par écrit sur ces points ne présenterait pas les garanties suffisantes exigées par l’article 28, et le choisir en connaissance de cause engagerait votre responsabilité autant que la sienne.
B. Quand la relation dérape : mise en demeure, suspension, résiliation — et le prix de la précipitation
Tout commence par la preuve du manquement, pas par la colère. Journalisez les incidents : appels non annoncés comme enregistrés, durées de conservation dépassées, transferts vers un sous-traitant inconnu, refus de communiquer les clauses types, faille de sécurité, extraction de votre base clients. Adressez ensuite une mise en demeure précise, qui vise les clauses du contrat et les articles applicables, impartit un délai raisonnable de remédiation et annonce les mesures envisagées : suspension des flux, pénalités et résiliation. Cette discipline n’est pas formelle : un arrêt récent montre ce que coûte de s’en affranchir. Le 11 juin 2026, la cour d’appel d’Aix-en-Provence a jugé un litige où un client avait prononcé la résiliation anticipée et immédiate de l’ensemble de ses contrats informatiques au motif que son prestataire aurait modifié des codes d’accès et exercé une rétention abusive des mots de passe (CA Aix-en-Provence, 11 juin 2026, RG n° 25/12413). La cour a considéré que le fait de ne pas communiquer immédiatement l’intégralité des codes administrateurs, et de subordonner cette communication à une décharge de responsabilité destinée à protéger les données, ne constituait pas un manquement contractuel, puis elle a confirmé le jugement du tribunal de commerce de Nice et condamné le client à 1 500 euros de frais irrépétibles outre les dépens. La leçon vaudrait pour un plateau offshore : résilier à effet immédiat sans manquement établi, ou pour un grief qui relèverait en réalité de la protection de vos propres données, exposerait à voir la résiliation jugée abusive et à payer, plutôt qu’à être indemnisé.
Si le manquement est avéré, graduez : suspension des nouveaux transferts, exigence d’un plan de remédiation avec calendrier, audit sur place ou à distance prévu au contrat, puis résiliation pour inexécution en visant précisément les clauses violées. En parallèle, gérez le volet données : en cas de violation, l’article 33 impose au responsable de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf absence de risque pour les droits et libertés, et l’article 34 ajoute que, lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable la lui communique dans les meilleurs délais. Une base clients copiée par un téléconseiller, des enregistrements exfiltrés, un accès administrateur partagé sans traçabilité : chacun de ces scénarios devrait déclencher votre cellule de crise, pas un simple échange de courriels. Documentez aussi la fin du contrat : restitution complète de vos fichiers dans un format exploitable, effacement attesté côté prestataire, révocation des accès, sort des sauvegardes.
Reste la question des preuves si le litige parvient devant le juge, notamment prud’homal quand un salarié conteste un licenciement fondé sur des enregistrements. L’Assemblée plénière de la Cour de cassation a posé le 22 décembre 2023 que « dans un procès civil, l’illicéité ou la déloyauté dans l’obtention ou la production d’un moyen de preuve ne conduit pas nécessairement à l’écarter des débats », chargeant le juge de vérifier, lorsque cela lui est demandé, si la preuve porte atteinte au caractère équitable de la procédure, en mettant en balance le droit à la preuve et les droits concurrents. Les cours d’appel appliquent ce test au cas par cas, avec des issues opposées qui interdisent tout pari. La cour d’appel de Besançon a admis, le 9 septembre 2025, le procès-verbal de retranscription par commissaire de justice d’un enregistrement clandestin d’entretien préalable, en ces termes : « Dit n’y avoir lieu d’écarter des débats le procès-verbal de la retranscription effectuée le 12 mars 2024 par un commissaire de justice de l’enregistrement clandestin de l’entretien préalable », tout en confirmant un licenciement pour faute grave. À l’inverse, la cour d’appel de Versailles a, le 31 janvier 2024, « ECARTE des débats la pièce n°217 », retranscription par huissier d’un enregistrement réalisé à l’insu de l’employeur. Et la cour d’appel de Paris, le 3 juillet 2025, a « Déclare recevables l’enregistrement sonore et sa transcription » au motif que la production était indispensable au droit à la preuve et l’atteinte limitée, la conversation ne concernant que les relations de travail, avant de débouter néanmoins le salarié de ses demandes. Moralité pour le dirigeant comme pour le salarié : un enregistrement, même déclaré recevable, ne fait pas gagner le procès à lui seul, et un dispositif irrégulier peut être écarté. Mieux vaudrait constituer un dossier propre, horodaté et contradictoire, que de miser sur une captation clandestine. Pour un litige parisien ou francilien, la plainte CNIL se dépose en ligne auprès de l’autorité dont le siège est à Paris, tandis que la contestation d’un licenciement relèverait du conseil de prud’hommes compétent et l’action en réparation du tribunal judiciaire, avec les mêmes exigences de preuve et de délais.
Conclusion
Un appel décroché depuis un centre au Maroc concentre trois exigences : informer avant d’enregistrer, limiter la conservation à six mois pour les enregistrements et un an pour les analyses, et encadrer le transfert hors Union européenne par des garanties appropriées, à jour depuis les clauses types du 4 juin 2021. Si vous êtes la personne enregistrée, exigez par écrit l’information complète, puis l’accès, l’effacement et la cessation du démarchage ; à défaut de réponse satisfaisante dans le mois, saisissez la CNIL avec un dossier daté, et faites évaluer votre préjudice sur le fondement de l’article 82 du règlement. Si vous dirigez l’entreprise donneuse d’ordre, auditez votre prestataire avant de signer, imposez un contrat de sous-traitance écrit conforme à l’article 28, documentez l’analyse du transfert et préparez la réversibilité ; en cas d’incident, notifiez dans les délais, graduez la réponse et ne résiliez à effet immédiat que sur un manquement établi, au risque de subir le sort du client condamné à Aix-en-Provence. Vérifiez enfin que votre contrat prévoit le sort des enregistrements en fin de relation, avec un délai de restitution et une attestation d’effacement, car les données qui restent chez un ancien prestataire sont celles qui fuient le plus souvent. Dans les deux rôles, la règle d’or reste la même : écrire, dater, conserver, et ne jamais confier à un enregistrement clandestin ou à une résiliation impulsive ce qu’un dossier propre et un contrat précis obtiendraient plus sûrement.