Confidentialité dans le cloud : où sont stockés les enregistrements et les données de vos appels

Les données que laisse un appel (plus nombreuses que vous ne le pensez)

Quand vous pensez à un appel professionnel, vous imaginez sans doute seulement l'audio. En réalité, un appel qui passe par un standard téléphonique dans le cloud génère plusieurs couches d'informations :

• L'enregistrement : la voix du client et celle de votre agent, avec tout ce qui a été dit. Il peut contenir des noms, des numéros de pièce d'identité, des adresses ou, dans des secteurs comme la santé, des informations très sensibles.
• Le journal de l'appel (CDR) : qui a appelé, quel numéro, à quelle heure, combien de temps et quel agent a répondu. Même sans audio, il en dit long sur une personne.
• Les transcriptions et résumés : si vous utilisez des agents vocaux à intelligence artificielle ou de l'analyse de conversations, l'audio devient un texte facile à rechercher, copier et partager.
• Les données du client : la fiche dans votre CRM, les notes de l'agent, l'historique d'achats ou de paiements associé à chaque contact.

En Colombie, tout ce qui permet d'identifier une personne est une donnée personnelle, et la voix en fait partie. Ces couches relèvent donc du régime de protection des données.

Où elles sont stockées et pourquoi cela devrait vous importer

« C'est dans le cloud » n'est pas une réponse complète. Derrière, il y a des serveurs physiques dans un pays précis, administrés par des personnes précises. Voici les questions qui comptent vraiment :

• Pays de stockage : si les données sortent de Colombie, vous entrez dans le domaine du transfert ou de la transmission internationale, qui obéit à ses propres règles.
• Chiffrement en transit : l'appel et les fichiers doivent circuler de manière protégée entre le téléphone, le standard et le stockage, pour que personne ne les intercepte en chemin.
• Chiffrement au repos : les enregistrements stockés doivent être chiffrés, de sorte qu'une copie volée du disque soit inutilisable sans les clés.
• Sauvegardes : les sauvegardes sont elles aussi des données personnelles. Si vous supprimez un enregistrement du système principal mais qu'il survit pendant des années dans une sauvegarde, vous ne l'avez pas vraiment supprimé.
• Qui y a accès : votre équipe, le fournisseur, les sous-traitants du fournisseur. Chaque accès devrait être justifié et tracé.
• Durée de conservation : tout garder « au cas où » et pour toujours augmente le risque sans apporter de valeur.

Ce qu'exige la loi en Colombie

Le cadre principal est la Ley 1581 de 2012 (la loi colombienne de protection des données personnelles) et son décret d'application, le Decreto 1377 de 2013, aujourd'hui compilé dans le Decreto 1074 de 2015. En octobre 2026, la Ley 1581 reste en vigueur ; des propositions visant à la moderniser ont été déposées au Congrès, mais tant que leur examen n'est pas terminé, voici les règles applicables :

• Autorisation préalable et éclairée : vous avez besoin de l'accord de la personne concernée au plus tard au moment de la collecte, et vous devez pouvoir le prouver ensuite. Il peut être donné par écrit, oralement ou par un comportement sans équivoque, mais le silence ne vaut jamais acceptation.
• Information sur l'enregistrement et sa finalité : la personne doit savoir qu'elle est enregistrée et pourquoi : qualité, preuve d'une vente, exécution d'un contrat. Si vous voulez ensuite utiliser les enregistrements à une autre fin, comme entraîner un modèle d'IA, il vous faut une nouvelle autorisation.
• Données sensibles : les informations de santé sont sensibles. Leur traitement exige une autorisation explicite et vous devez indiquer que répondre sur ces données est facultatif.
• Droits des personnes concernées : vos clients peuvent accéder à leurs données, les mettre à jour, les rectifier et en demander la suppression, réclamer la preuve de l'autorisation et porter plainte auprès de la Superintendencia de Industria y Comercio (SIC). Les réclamations sont soumises à des délais de réponse fixés par la loi.
• Conservation limitée : les données ne sont conservées que pendant la durée raisonnable et nécessaire à la finalité, compte tenu des obligations légales, comptables ou contractuelles. Une fois la finalité atteinte, elles sont supprimées.
• Politique de traitement : vous devez disposer d'une politique de traitement des données rédigée en langage clair et mise à la disposition des personnes concernées.
• Données hors du pays : la loi interdit de transférer des données vers des pays n'offrant pas un niveau de protection adéquat, sauf exceptions (comme l'autorisation expresse de la personne concernée). Lorsque le fournisseur étranger traite seulement les données pour votre compte, en tant que sous-traitant, le Decreto 1377 permet de le faire au moyen d'un contrat de transmission qui fixe ses obligations de sécurité et de confidentialité.
• Registre national des bases de données (RNBD) : selon le Decreto 090 de 2018, doivent s'inscrire auprès de la SIC les sociétés et organismes à but non lucratif dont l'actif total dépasse 100 000 UVT, ainsi que les entités publiques. Si votre entreprise n'atteint pas ce seuil, elle doit tout de même respecter toutes les autres obligations.

La loi habilite aussi la SIC à infliger des sanctions, notamment des amendes allant jusqu'à 2 000 salaires minimums mensuels et la suspension d'activités. Et si vous appliquez de l'intelligence artificielle à vos appels, tenez compte de la Circular Externa 002 de 2024 de la SIC, qui demande d'évaluer les risques et, lorsque le risque est élevé, de réaliser une étude d'impact sur la vie privée.

Si vous opérez aussi en Équateur ou au Pérou

Les deux pays ont leurs propres règles : respecter la loi colombienne ne suffit donc pas.

• Équateur : la Ley Orgánica de Protección de Datos Personales a été publiée au Registro Oficial en mai 2021 et son régime de sanctions s'applique depuis mai 2023. Son règlement général a été adopté par le Decreto Ejecutivo 904 et publié en novembre 2023. Elle s'applique même aux entreprises étrangères qui traitent des données de personnes se trouvant en Équateur.
• Pérou : la Ley 29733 dispose d'un nouveau règlement, approuvé par le Decreto Supremo 016-2024-JUS, en vigueur depuis le 30 mars 2025. Parmi ses nouveautés figurent l'obligation de notifier les incidents de sécurité à l'autorité dans un délai maximal de 48 heures et celle de désigner un délégué à la protection des données personnelles dans certains cas, par exemple lorsque l'activité principale consiste à traiter de grands volumes de données ou des données sensibles.

Par exemple : une clinique qui enregistre ses appels

Imaginez une clinique à Medellín qui prend les rendez-vous par téléphone et enregistre tous les appels. Les patients y mentionnent des symptômes, des médicaments et des diagnostics : des données sensibles. Voici ce qu'elle devrait avoir en ordre :

1. Un message en début d'appel indiquant que l'appel est enregistré, dans quel but et où consulter la politique de données.
2. Une autorisation explicite pour traiter les données de santé, conservée de manière à pouvoir être prouvée.
3. Une règle de conservation claire : par exemple, garder les enregistrements de prise de rendez-vous uniquement le temps nécessaire pour traiter les réclamations, puis les supprimer, y compris des sauvegardes.
4. Un accès par rôle : la réceptionniste voit son agenda, le responsable qualité écoute des échantillons, et personne d'autre ne télécharge d'audios sans laisser de trace.
5. Un contrat avec son fournisseur de téléphonie cloud précisant dans quel pays se trouvent les serveurs, comment les fichiers sont chiffrés et ce qu'il advient des données à la fin de la relation.

Une société de recouvrement serait dans une situation similaire, avec une nuance supplémentaire : en plus de la protection des données, elle doit respecter les règles de contact avec les débiteurs de la Ley 2300 de 2023.

Les bonnes pratiques à appliquer dès maintenant

• Message au début de chaque appel : court, clair et mentionnant la finalité. Faites de même pour les appels sortants et ceux traités par des agents vocaux à IA.
• Politique de conservation par type d'appel : ventes, support et recouvrement n'ont pas besoin de la même durée. Définissez-en une pour chacun et automatisez la suppression.
• Accès par rôle et journal d'audit : chacun ne voit que ce dont il a besoin, et l'on garde une trace de qui a écouté ou téléchargé quoi.
• Chiffrement de bout en bout : en transit et au repos, y compris les sauvegardes et les exports.
• Contrats avec votre fournisseur : un contrat de transmission de données qui définit le pays de stockage, les mesures de sécurité, les sous-traitants et la restitution ou la suppression en fin de contrat.
• Référentiels de sécurité : la norme ISO/IEC 27001:2022 décrit comment mettre en place un système de management de la sécurité de l'information fondé sur les risques. Que votre fournisseur la connaisse ou soit certifié est un bon signe, même si cela ne remplace pas vos propres obligations.

Les questions à poser à votre fournisseur de téléphonie cloud

Avant de souscrire un PBX dans le cloud ou une plateforme de centre d'appels, demandez des réponses écrites à ces questions :

1. Dans quel pays et dans quel centre de données sont stockés les enregistrements, les journaux et les transcriptions ?
2. Sont-ils chiffrés en transit et au repos ? Qui gère les clés ?
3. Où se trouvent les sauvegardes et combien de temps sont-elles conservées ?
4. Puis-je configurer des durées de conservation et une suppression automatique ?
5. Quel personnel du fournisseur peut accéder à mes données, et ces accès sont-ils tracés ?
6. Faites-vous appel à des sous-traitants ou à des services d'IA tiers qui traitent mes audios ?
7. Signez-vous un contrat de transmission de données conforme à la loi colombienne ?
8. Comment suis-je prévenu en cas d'incident de sécurité ?
9. Que deviennent mes données si je résilie le service ?

Chez 19 80 TIC Cloud, nous pensons que ces questions devraient avoir des réponses claires dès le premier jour ; si vous souhaitez examiner votre cas, vous pouvez nous écrire.

Cet article est fourni à titre d'information générale et ne constitue pas un conseil juridique. Pour toute décision concrète, consultez un avocat spécialisé en protection des données.