Oui, la voix d’une personne est une donnée à caractère personnel, car la voix d’une personne peut permettre de l’identifier.

Le RGPD définit une donnée à caractère personnel comme une donnée pouvant permettre d’identifier une personne.

« données à caractère personnel : toute information se rapportant à une personne physique identifiée ou identifiable »

— RGPD, article 4-1, définitions

La voix étant spécifique à chaque personne, elle peut permettre d’identifier cette personne. Elle doit, par conséquent, être considérée comme une donnée personnelle.

Cete interprétation est partagée par l’autorité finlandaise de protection des données[1], qui la exprimée dans une[2] de ces décisions, en soutenant sa thèse avec la jurisprudence européenne :

« De même, le 11 mars 2009, le Tribunal de première instance des Communautés européennes a jugé dans l’affaire T-166/05 qu’une personne peut être identifiée sur la base de sa voix. La voix est donc considérée comme une donnée personnelle. L’entrée en vigueur et l’application du [RGPD] n’ont pas modifié la définition des données à caractère personnel de manière à exiger une appréciation différente du son enregistré sur une bande en tant que donnée à caractère personnel. »

— Autorité de contrôle finlandaise, 3592/152/2019, 21 novembre 2021, traduit

Cette interprétation est aussi partagée par la CNIL, l’autorité de contrôle française. La Commission a considéré la voix comme une donnée personnelle notamment lorsqu’elle a sanctionné :

  • le vendeur en ligne Spartoo, car les appels téléphoniques avec les clients étaient systématiquement enregistrés, ce que la CNIL a considéré comme une conversation excessive de données personnelles[3] ;
  • l’assureur AG2R La Mondiale, car les appels téléphoniques avec les prospects étaient enregistrés sans qu’ils en soient informés, ce que la CNIL a considéré comme un manquement à l’obligation d’information relative aux traitements à caractère personnel.

Notes et références

  1. Autorité finlandaise de protection des données : Tietosuojavaltuutetun toimisto.
  2. L’autorité finlandaise de protection des données a indiqué que la voix était une donnée à caractère personnel (source : autorité finlandaise de protection des données, 3592/152/2019, 21 novembre 2021). Voir « Une entreprise autorisée à communiquer la retranscription des appels enregistrés plutôt que le son original ».
  3. La CNIL a considéré la voix comme une donnée à caractère personnel dans sa décision contre la société Spartoo (source : CNIL, SAN-2020-003, 28 juillet 2020, Spartoo). Voir « SPARTOO sanctionné suite à une conservation trop importante de données personnelles, un manque d’informations et des faiblesses de sécurité ».

Sigles et acronymes

  • CNIL : Commission Nationale de l'Informatique et des Libertés
  • RGPD : Règlement Général sur la Protection des Données