Oui, la voix d’une personne est une donnée à caractère personnel, car la voix d’une personne peut permettre de l’identifier.

Le RGPD[1] définit une donnée à caractère personnel comme une donnée pouvant permettre d’identifier une personne.

« données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable »

— RGPD, article 4-1, définitions

La voix étant spécifique à chaque personne, elle peut permettre d’identifier cette personne. Elle doit, par conséquence, être considérée comme une donnée personnelle.

Cete interprétation est partagée par l’autorité finlandaise de protection des données[2], qui la exprimée dans une[3] de ces décisions, en soutenant sa thèse avec la jurisprudence européenne :

« De même, le 11 mars 2009, le Tribunal de première instance des Communautés européennes a jugé dans l’affaire T-166/05 qu’une personne peut être identifiée sur la base de sa voix. La voix est donc considérée comme une donnée personnelle. L’entrée en vigueur et l’application du [RGPD] n’ont pas modifié la définition des données à caractère personnel de manière à exiger une appréciation différente du son enregistré sur une bande en tant que donnée à caractère personnel. »

— Autorité de contrôle finlandaise, 3592/152/2019, 21 novembre 2021, traduit

Cette interprétation est aussi partagée par la CNIL[4], l’autorité de contrôle française. La Commission a considéré la voix comme une donnée personnelle notamment lorsqu’elle a sanctionné :

  • le vendeur en ligne Spartoo, car les appels téléphoniques avec les clients étaient systématiquement enregistrés, ce que la CNIL a considéré comme une conversation excessive de données personnelles[5] ;
  • l’assureur AG2R La Mondiale, car les appels téléphoniques avec les prospects étaient enregistrés sans qu’ils en soient informés, ce que la CNIL a considéré comme un manquement à l’obligation d’information relative aux traitements à caractère personnel.

Notes et références

  1. RGPD : Règlement Général sur la Protection des Données (Règlement (UE) 2016/679).
  2. Autorité finlandaise de protection des données : Tietosuojavaltuutetun toimisto (tietosuoja.fi).
  3. L’autorité finlandaise de protection des données a indiqué que la voix était une donnée à caractère personnel (source : autorité finlandaise de protection des données, 3592/152/2019, 21 novembre 2021). Voir « Une entreprise autorisée à communiquer la retranscription des appels enregistrés plutôt que le son original ».
  4. CNIL : Commission Nationale de l’Informatique et des Libertés (cnil.fr).
  5. La CNIL a considéré la voix comme une donnée à caractère personnel dans sa décision contre la société Spartoo (source : CNIL, SAN-2020-003, 28 juillet 2020, Spartoo). Voir « SPARTOO.COM sanctionné suite à une conservation trop importante de données personnelles, un manque d’informations et des faiblesses de sécurité ».