Logiciel de centre d’appel et RGPD : les contrôles essentiels

Un logiciel de centre d’appel RGPD ne se choisit pas sur la seule promesse d’un hébergement européen ou d’un cadenas affiché dans une interface. L’entreprise doit savoir quelles données transitent, pourquoi elles sont exploitées, qui y accède et combien de temps elles restent disponibles. Le bon outil apporte des preuves concrètes : paramétrage des droits, journalisation, contrat de sous-traitance, suppression maîtrisée et procédures de réponse aux demandes des personnes.

Les données réellement traitées

Un appel ne se résume pas à un numéro de téléphone. Un logiciel call center peut centraliser l’identité, les coordonnées, l’historique client, les motifs de contact, des notes saisies par l’agent, des tickets, des enregistrements audio, une transcription et des statistiques de performance. Ces éléments constituent souvent des données personnelles dès lors qu’ils concernent une personne identifiée ou identifiable. Cartographiez aussi les données qui arrivent depuis le CRM, la messagerie, les formulaires web et les outils d’analyse.

• Identité et coordonnées, nom, numéro, adresse e-mail ou adresse postale permettent directement de recontacter ou d’identifier l’appelant.
• Contenu des échanges, notes libres, objet de l’appel, réclamation, commande et transcription peuvent révéler bien plus que nécessaire si les agents ne sont pas guidés.
• Données particulières, santé, situation sociale, opinions ou données bancaires exigent une vigilance renforcée ; évitez de les collecter dans les commentaires courants.
• Données des salariés, identifiant d’agent, durée des appels, écoute et score qualité concernent aussi les équipes et ne doivent pas servir à une surveillance permanente.
• Métadonnées techniques, adresse IP, identifiant de session, date, heure, file d’attente et appareil utilisé peuvent constituer des données personnelles lorsqu’ils sont rattachables à quelqu’un.

Définir le rôle et la base légale

La société qui décide des finalités d’un service client ou d’une campagne est généralement responsable de traitement. L’éditeur du logiciel ou le prestataire qui opère la plateforme agit souvent comme sous-traitant, sur instructions documentées. Cette répartition doit refléter la réalité : un prestataire qui réutilise des données pour ses propres finalités peut avoir un autre statut. Avant de paramétrer le moindre scénario, associez chaque usage à une finalité et à une base légale adaptée.

Enregistrer les appels avec mesure

L’enregistrement peut servir à prouver une transaction, traiter un litige, former ponctuellement les équipes ou mesurer la qualité. Il n’est pas interdit, mais il doit être nécessaire au but annoncé. Informez l’appelant avant l’enregistrement, par un message clair puis, si besoin, par un rappel de l’agent. Informez également les salariés concernés. Prévoyez une solution quand l’appel implique des informations de paiement : pause d’enregistrement, saisie sécurisée ou redirection vers un canal approprié.

Les fonctions à exiger du logiciel

Un outil riche en options n’est pas forcément plus protecteur. Cherchez plutôt des mécanismes administrables par votre équipe et vérifiables lors d’une démonstration. Demandez à voir les écrans d’administration, pas seulement une plaquette commerciale. Testez un vrai parcours : création d’un agent, restriction d’accès à une file, recherche d’un appel, export contrôlé puis purge. Vérifiez aussi les connecteurs CRM et les outils d’analyse, car une donnée sécurisée dans le logiciel peut être copiée ailleurs.

• Chiffrement documenté, demandez les mesures appliquées aux données en transit et au repos, ainsi que leur périmètre réel.
• Sous-traitants identifiés, exigez la liste des prestataires techniques, leurs fonctions, leurs pays d’intervention et la procédure en cas de changement.
• Alertes de sécurité, vérifiez l’existence de journaux, d’alertes de connexion inhabituelle et d’un canal d’incident accessible.
• Interfaces connectées, contrôlez les API, webhooks et plugins ; ils peuvent contourner les restrictions mises en place dans l’outil principal.
• Désactivation rapide, assurez-vous qu’un compte salarié, un connecteur ou un accès prestataire peut être coupé sans délai.

Conserver moins et répondre vite

Le RGPD impose de ne pas garder les données plus longtemps que nécessaire. Il n’existe pas une durée unique pour toutes les informations d’un centre d’appel : une réclamation, un dossier contractuel et une liste de prospection n’ont ni le même objectif ni le même calendrier. Inscrivez les durées dans un référentiel interne et configurez des purges effectives. Une sauvegarde n’autorise pas une conservation indéfinie : son cycle de rétention doit également être maîtrisé.

Déployer une conformité opérationnelle

La conformité se joue autant dans les scripts et les habitudes de l’équipe que dans l’architecture du logiciel. Désignez un pilote métier, associez le délégué à la protection des données lorsqu’il existe, puis impliquez informatique, sécurité, relation client et achats. Si le traitement est susceptible d’engendrer un risque élevé, par exemple une surveillance systématique à grande échelle ou un usage biométrique, évaluez la nécessité d’une analyse d’impact relative à la protection des données avant le déploiement.

Éviter les fausses assurances

Trois raccourcis reviennent souvent lors d’un achat. D’abord, un hébergement dans l’Union européenne ne garantit pas à lui seul une conformité RGPD : les accès d’assistance, les sauvegardes et les sous-traitants doivent aussi être analysés. Ensuite, une certification ou une mention marketing ne remplace pas l’évaluation de vos propres traitements. Enfin, un outil sécurisé ne corrige pas un mauvais usage humain, comme la saisie d’une information de santé inutile dans un commentaire ou le partage d’un export par e-mail.

• Contrat vague, refusez une annexe de sous-traitance qui ne précise ni les catégories de données, ni les mesures, ni le sort des données en fin de prestation.
• Transfert ignoré, demandez quels pays peuvent être concernés par l’accès support ou l’administration, puis les garanties applicables hors Espace économique européen.
• Compte partagé, attribuez un identifiant nominatif à chaque agent ; un compte commun rend les accès difficiles à tracer et à retirer.
• Conservation par défaut, vérifiez les réglages de purge réels, notamment pour les sauvegardes, les fichiers d’export et les transcriptions.
• Droit d’accès incomplet, une réponse qui oublie les enregistrements audio, les notes d’agent ou un outil d’analyse relié reste incomplète.
• Pilotage absent, maintenez un registre des traitements, un processus d’incident et des revues périodiques plutôt que de traiter le RGPD comme un projet ponctuel.