Protection des données et IA vocale: ce que dit vraiment la loi suisse

Un assistant téléphonique qui répond à votre place traite des données personnelles: un numéro, un nom, souvent un motif d'appel, parfois un rendez-vous médical. La question revient dans presque chaque discussion, et les réponses qu'on trouve en ligne sont rarement bonnes. Beaucoup sont recopiées du RGPD européen, qui ne fonctionne pas de la même manière. D'autres se résument à une ligne sur la page d'un fournisseur.

Cet article rassemble ce que la loi suisse exige réellement, avec le lien vers le texte à chaque fois. Ce n'est pas un avis juridique: pour une situation particulière, en particulier dans la santé, parlez à un juriste. Mais vous devriez pouvoir poser les bonnes questions à votre prestataire après l'avoir lu.

Ce que la nLPD demande, et ce qu'elle ne demande pas

La loi fédérale sur la protection des données (LPD, RS 235.1) est en vigueur dans sa version révisée depuis le 1er septembre 2023. Elle ne dit rien de l'intelligence artificielle, et c'est volontaire. Le Préposé fédéral l'a confirmé dans un communiqué de novembre 2023.

Autrement dit: il n'y a pas de régime spécial à attendre, et rien ne justifie de reporter le sujet. Les règles qui s'appliquent à votre fichier clients s'appliquent déjà à votre assistant vocal.

Les principes tiennent en peu de mots (art. 6 LPD): licéité, bonne foi, proportionnalité, et des finalités déterminées et reconnaissables pour la personne concernée. À quoi s'ajoute la sécurité (art. 8), c'est-à-dire des mesures techniques et organisationnelles proportionnées au risque. Une prise de rendez-vous chez un garagiste et une prise de rendez-vous chez un psychiatre n'exigent pas les mêmes précautions.

Faut-il le consentement de l'appelant ?

Non, dans la très grande majorité des cas.

C'est le point sur lequel le marché se trompe le plus souvent. Le RGPD exige une base légale pour chaque traitement, le consentement étant l'une d'elles. La LPD ne fonctionne pas ainsi. Une entreprise privée peut traiter des données personnelles sans base légale et sans consentement. Un motif justificatif au sens de l'art. 31 LPD ne devient nécessaire que si l'un de ces trois cas se présente (art. 30 LPD): vous violez les principes des art. 6 et 8, la personne s'est expressément opposée au traitement, ou vous communiquez des données sensibles à un tiers.

Ce que vous devez dire, et quand

L'obligation qui vous concerne vraiment est le devoir d'informer (art. 19 LPD). Lors de la collecte, vous devez communiquer de manière adéquate au minimum: votre identité et vos coordonnées, la finalité du traitement, et le cas échéant les destinataires ou catégories de destinataires. Si les données partent à l'étranger, il faut aussi indiquer le pays et la garantie sur laquelle vous vous appuyez (art. 19 al. 4).

L'art. 20 vous en dispense notamment lorsque la personne dispose déjà de ces informations. En pratique, pour un appel entrant, cela se règle en deux phrases dites par l'assistant au début de l'appel, et une page de confidentialité à jour.

Faut-il dire que c'est une IA ?

Le PFPDT le dit clairement dans sa page consacrée à l'IA: la transparence porte sur la finalité, le fonctionnement et les sources des données, et les personnes doivent pouvoir savoir si elles interagissent avec une machine, et si ce qu'elles disent sert à améliorer le modèle. Pour une décision individuelle automatisée s'ajoute le droit d'obtenir qu'une personne physique la réexamine (art. 21 al. 2 LPD). Et il reste toujours possible de s'opposer expressément au traitement (art. 30 al. 2, let. b).

Notre lecture, au-delà du texte: annoncer l'IA sert aussi vos intérêts commerciaux. Un appelant qui comprend au bout de trois phrases qu'on lui a laissé croire qu'il parlait à quelqu'un ne retient que cela de l'appel.

A-t-on le droit d'enregistrer un appel ?

Ici on quitte la LPD pour le code pénal, et c'est plus sévère que ce que beaucoup imaginent. L'art. 179ter CP punit le participant à une conversation non publique qui l'enregistre sans le consentement des autres participants. La peine va jusqu'à un an de privation de liberté ou une peine pécuniaire, et l'infraction se poursuit sur plainte.

Il existe une exception, l'art. 179quinquies CP, dans sa teneur en vigueur depuis le 1er juillet 2023. Elle rend l'enregistrement non punissable, et sans avertissement préalable, pour les conversations portant sur des commandes, mandats, réservations ou autres transactions commerciales de même nature dans le cadre de relations d'affaires. C'est cette exception que l'on voit citée un peu partout. Elle est beaucoup plus étroite qu'il n'y paraît, et le PFPDT détaille lui-même les trois restrictions.

La conséquence pour un assistant vocal est directe, et rarement écrite: un assistant qui prend des réservations peut se situer dans l'exception, mais le même assistant qui traite une réclamation n'y est plus, et un enregistrement réutilisé pour améliorer un modèle ou pour du contrôle qualité en sort également. La réponse simple et solide est donc d'annoncer l'enregistrement, ou de ne pas conserver l'audio.

Les données peuvent-elles quitter la Suisse ?

Oui, et c'est la deuxième idée fausse la plus répandue. La LPD n'impose pas d'héberger en Suisse. Elle impose de savoir où vont les données et sur quelle base (art. 16 et 17), et de le dire.

• Le transfert est licite vers un État offrant une protection adéquate. La liste est l'annexe 1 de l'ordonnance (OPDo), et elle est contraignante. Tous les États de l'UE et de l'EEE y figurent.
• À défaut, il faut des clauses contractuelles types approuvées, des règles d'entreprise contraignantes, ou l'une des exceptions de l'art. 17.
• Les États-Unis y ont été ajoutés avec effet au 15 septembre 2024, mais uniquement pour les entreprises certifiées sous le Swiss-U.S. Data Privacy Framework. Si votre fournisseur ne l'est pas, ou cesse de l'être, l'adéquation ne s'applique plus.

C'est la question la plus utile à poser à un prestataire, et elle n'est pas piégeuse: où est la base de données, où tourne le moteur vocal, quel opérateur téléphonique achemine l'appel, et sous quel régime chacun travaille. Un fournisseur qui répond « hébergé en Suisse » sans distinguer les trois ne vous a pas répondu. Les nôtres sont sur notre page confidentialité.

Faut-il tenir un registre des traitements ?

L'art. 12 LPD impose un registre des activités de traitement et délègue l'exception au Conseil fédéral. Celle-ci se trouve à l'art. 24 OPDo, et elle mérite d'être lue en entier plutôt que résumée en « moins de 250 employés, pas de registre ».

L'exemption est donc conditionnelle. Un cabinet de quatre personnes dont l'assistant traite des motifs de consultation à longueur de journée peut très bien traiter des données sensibles à grande échelle, et retomber dans l'obligation. Un garage de la même taille, beaucoup moins probablement. Le nombre d'employés ne suffit pas à trancher.

Que risque-t-on concrètement ?

Les chiffres circulent mal, alors reprenons-les.

• Le PFPDT n'inflige pas d'amende. Il ouvre des enquêtes et prend des mesures administratives: adapter, suspendre ou cesser un traitement, effacer des données (art. 49 à 51 LPD). Les amendes sont prononcées par les autorités pénales cantonales.
• Le maximum est de CHF 250 000, et il frappe la personne physique, pas l'entreprise. L'entreprise ne peut être condamnée à titre exceptionnel que si l'amende n'excède pas CHF 50 000 et que poursuivre une personne serait disproportionné (art. 64 al. 2 LPD).
• Seule l'infraction intentionnelle est punissable. La négligence ne l'est pas. Voir les dispositions pénales telles que le PFPDT les présente.

Cela ne rend pas le sujet anodin. Pour une PME, l'amende n'est pas le problème: c'est une décision du PFPDT qui vous oblige à cesser un traitement dont dépend votre accueil téléphonique, et le temps que coûte une enquête.

Cinq affirmations fausses qui circulent

Toutes celles-ci se lisent aujourd'hui sur des sites de prestataires actifs en Suisse.

Ce que cela donne en pratique

Ramené à ce qu'il faut faire avant de brancher un assistant sur votre ligne:

1. 1
   Dites qui vous êtes, et pourquoi

   Deux phrases au début de l'appel couvrent l'art. 19: le nom de l'entreprise, et ce que l'assistant fait de ce qu'on lui dit.

2. 2
   Annoncez que c'est une IA

   Le PFPDT le range dans la transparence. C'est aussi ce qui évite la mauvaise surprise dont l'appelant se souviendra.

3. 3
   N'enregistrez pas l'audio, ou annoncez-le

   Une transcription et un résumé suffisent à faire tourner un accueil téléphonique. Si vous conservez l'audio, l'art. 179ter s'applique et l'exception est étroite.

4. 4
   Écrivez où vont les données

   Base de données, moteur vocal, opérateur téléphonique. Trois lignes sur votre page de confidentialité, avec le pays et la garantie.

5. 5
   Signez un contrat de sous-traitance

   L'art. 9 LPD encadre le recours à un sous-traitant, et votre prestataire doit pouvoir vous en fournir un sans que vous ayez à le demander deux fois.

6. 6
   Fixez une durée de conservation

   La proportionnalité de l'art. 6 se traduit en un nombre de jours. Conserver indéfiniment un historique d'appels n'est jamais le choix par défaut correct.

Rien de tout cela n'est propre à l'intelligence artificielle. Ce sont les obligations qu'un secrétariat téléphonique externalisé porte déjà. Si vous n'êtes pas encore fixé sur ce qu'un assistant vocal fait réellement d'un appel, commencez par là. Viennent ensuite notre comparaison des deux modèles et, si vous cherchez d'abord les chiffres, notre article sur les prix.

Une dernière remarque, qui n'est pas juridique. Dans une interview au portail PME de la Confédération, Manuel Kugler, de l'Académie suisse des sciences techniques, met le doigt sur ce qui bloque réellement:

C'est vrai de la conformité aussi. La liste ci-dessus tient sur une page, et un prestataire sérieux en a déjà traité la plus grande part pour vous.