Enregistrement des appels en entreprise au Maroc : loi 09-08, CNDP et mise en place

La réponse courte : au Maroc, enregistrer les appels de son entreprise est possible, mais c’est un traitement de données personnelles au sens de la loi 09-08, puisque la voix d’une personne identifiable est une donnée personnelle. Avant d’activer l’enregistrement, il faut définir à quoi il sert, notifier le traitement à la CNDP, informer appelants et salariés dès le début de l’appel, fixer une durée de conservation justifiée et limiter l’accès aux fichiers. Les standards 3CX, Yeastar et Grandstream savent faire la partie technique ; le cadre, lui, est de votre responsabilité.

Ce guide résume les textes publiés et la façon de les traduire dans un standard téléphonique. Ce n’est pas un avis juridique : pour un cas particulier, rapprochez-vous de la CNDP ou d’un conseil juridique.

Ce que dit la loi 09-08

La loi 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel définit la donnée personnelle comme toute information concernant une personne identifiable, quel que soit son support, y compris le son et l’image. Un enregistrement d’appel entre donc dans son champ, pour l’appelant comme pour le salarié qui répond. Nous détaillons l’ensemble de la loi dans loi 09-08 et CNDP : les obligations des entreprises.

Appliqués à l’enregistrement, ses principes donnent ceci :

Principe de la loi 09-08	Traduction pour l’enregistrement des appels
Finalité déterminée, explicite et légitime (article 3)	Écrire pourquoi vous enregistrez : formation, contrôle qualité, preuve d’une commande ou d’un engagement
Données adéquates et non excessives (article 3)	N’enregistrer que les appels utiles à cette finalité, pas tout par défaut
Conservation limitée à la durée nécessaire (article 3)	Fixer une durée et supprimer automatiquement au-delà
Consentement ou cas prévus par la loi (article 4)	Identifier la base du traitement, et permettre à l’appelant de s’y opposer quand c’est possible
Information préalable (article 5)	Annoncer l’enregistrement en début d’appel et donner accès à l’information complète
Notification à la CNDP (article 12)	Déclarer le traitement, ou demander une autorisation lorsqu’elle est requise
Sécurité et confidentialité	Accès limités, journalisation, sauvegarde protégée, sous-traitants encadrés

Déclaration ou autorisation auprès de la CNDP

La CNDP publie sur son site une procédure de notification des traitements, mise à jour en 2025. Elle distingue les traitements soumis à déclaration préalable (formulaire de déclaration normale) et ceux soumis à autorisation préalable, selon l’article 12 de la loi. Elle rattache aussi certains traitements à des délibérations sectorielles. Nous n’y avons pas trouvé de délibération propre à l’enregistrement des appels en général ; en revanche, les traitements effectués par les employeurs du secteur de la relation client dans le cadre du télétravail relèvent d’une délibération spécifique (D-107-EUS-2020) et d’une demande d’autorisation préalable.

Deux situations demandent une attention particulière :

• Les données sensibles, dont les données de santé : leur traitement est soumis à autorisation. Une clinique qui enregistrerait des échanges sur l’état de santé des patients entre dans ce cas ; voir le standard téléphonique d’une clinique.
• Le stockage hors du Maroc : enregistrements hébergés dans un cloud étranger ou standard hébergé à l’étranger. C’est un transfert de données, encadré par la loi et soumis aux formalités de la CNDP.

Le formulaire adapté à votre cas se vérifie sur le site de la CNDP, ou directement auprès d’elle.

Informer les appelants et les salariés

L’annonce en début d’appel

L’information doit intervenir avant l’enregistrement. En pratique, un court message dans l’accueil ou la file d’attente suffit à l’annoncer, par exemple : « Pour la qualité de notre service et la formation de nos équipes, cet appel peut être enregistré. Pour en savoir plus sur vos droits, consultez notre site ou demandez-le à votre conseiller. » L’information complète (identité de l’entreprise, finalité, destinataires, droits d’accès, de rectification et d’opposition, référence du récépissé de la CNDP) figure sur votre site ou est remise sur demande.

Pensez aussi aux appels sortants : un commercial qui appelle un prospect doit l’informer au début de la conversation, puisqu’aucun message d’accueil ne le fait à sa place.

Les salariés

Les collaborateurs enregistrés doivent savoir quels appels le sont, pourquoi, qui écoute et combien de temps les fichiers sont gardés. Une note interne ou une clause du règlement intérieur, remise à chaque nouvel arrivant, est le minimum. Évitez d’utiliser des enregistrements pour un autre usage que celui annoncé : un enregistrement déclaré pour la formation ne devient pas un outil de surveillance individuelle.

Combien de temps conserver les enregistrements ?

La loi 09-08 ne fixe pas de durée chiffrée pour les enregistrements téléphoniques. Elle impose une conservation qui n’excède pas la durée nécessaire à la finalité. Concrètement :

• Formation et contrôle qualité : la durée nécessaire pour écouter, évaluer et former, puis suppression.
• Preuve d’un engagement (commande, souscription) : une durée liée à la période pendant laquelle cette preuve peut être utile, à justifier.
• Dans tous les cas : la durée est indiquée dans la notification à la CNDP, appliquée automatiquement par le standard, et vérifiée avec la CNDP en cas de doute.

Nous ne donnons volontairement pas de durée type : en l’absence de texte, elle se fixe au cas par cas avec la CNDP. Rappelez-vous que la durée s’applique aussi aux copies : archives sur un serveur distant, sauvegardes et fichiers téléchargés sur un poste doivent être supprimés en même temps que l’original, sinon la règle n’est respectée que sur le papier.

La mise en place sur 3CX, Yeastar et Grandstream

Les trois standards que nous déployons couvrent les besoins techniques. Leurs documentations décrivent les fonctions suivantes.

Fonction	3CX	Yeastar P-Series	Grandstream UCM
Ce qui peut être enregistré	Appels des utilisateurs et des files, selon la configuration et l’édition	Postes, lignes, files, conférences, menus vocaux, interphonie	Postes, files, lignes, salles de réunion (« Auto Record »)
Message d’annonce	Message dans l’accueil ou la file	Annonce personnalisable avant l’enregistrement, distincte pour appels internes, entrants et sortants	Annonce d’enregistrement et indicateur dans l’application Wave
Pause pendant une donnée sensible	À valider selon la version	Pause et reprise depuis les postes et Linkus	À valider selon la version
Stockage	Local, puis archivage FTP, SFTP, SMB, Google Cloud, Amazon S3 ou SharePoint	Stockage rattaché au standard	Local, USB, NAS ou stockage cloud GDMS, avec ordre de priorité
Suppression automatique	Quota et suppression des fichiers temporaires au-delà d’un délai	Durée de conservation en jours, seuil de stockage	Bascule de stockage et alertes de capacité
Contrôle d’accès	Droits d’administration et pages d’enregistrements	Droits de gestion attribués par l’administrateur ; chaque utilisateur voit ses propres enregistrements	Droits d’administration

Quelques points méritent d’être soulignés. Yeastar signe numériquement chaque enregistrement à la fin de l’appel, ce qui permet de vérifier qu’il n’a pas été modifié : utile quand l’enregistrement sert de preuve. 3CX recommande de ne pas placer les enregistrements dans les dossiers d’installation du logiciel, supprimés lors d’une désinstallation. Chez 3CX, l’enregistrement dépend aussi de l’édition de licence, voir quelle licence 3CX choisir.

En tant que partenaire 3CX au Maroc et partenaire certifié Yeastar, nous paramétrons ces fonctions en fonction de la finalité que vous avez définie, et non l’inverse.

Les droits des personnes enregistrées

La loi 09-08 donne aux personnes concernées un droit d’accès, de rectification et d’opposition. Pour l’enregistrement des appels, cela se traduit très concrètement : un client peut demander à savoir si ses appels ont été enregistrés, à en obtenir l’écoute ou une copie, ou s’opposer, pour des motifs légitimes, à ce que ses conversations le soient.

Préparez la réponse avant la première demande :

• Un point de contact indiqué dans l’information donnée aux appelants, adresse e-mail ou service dédié.
• Une recherche facile : retrouver les enregistrements d’un numéro sur une période donnée, depuis la page des enregistrements du standard.
• Une vérification d’identité avant toute communication d’un enregistrement.
• Une option sans enregistrement pour les appelants qui s’y opposent, lorsque la finalité le permet : choix dans le menu vocal, ou consigne donnée aux agents.

Transcription et analyse automatique

Les standards récents proposent la transcription des appels et des résumés générés par l’intelligence artificielle ; 3CX, par exemple, en fait un argument de ses dernières versions. Une transcription est une nouvelle donnée personnelle, souvent plus facile à rechercher et à copier qu’un fichier audio. Elle relève du même cadre : finalité, information, durée de conservation, accès limités. Si le traitement est confié à un service externe, vérifiez où les données sont traitées et sous quel contrat.

Protéger les enregistrements

Un dossier d’enregistrements contient des voix, des noms, parfois des numéros de commande ou des informations personnelles. Il mérite la même protection qu’un fichier clients :

• Accès nominatifs et limités aux personnes qui en ont besoin, avec l’authentification à plusieurs facteurs sur l’administration du standard lorsqu’il la propose.
• Pas de téléchargement en masse vers des postes de travail ou des boîtes e-mail.
• Sauvegarde chiffrée, elle aussi soumise à la durée de conservation.
• Contrat avec le prestataire et l’hébergeur, précisant accès, confidentialité et lieu de stockage.
• Choix du lieu d’hébergement anticipé si le standard est dans le cloud, voir standard téléphonique cloud ou sur site.

Les erreurs que nous corrigeons

1. Enregistrement de tous les appels activé par défaut, sans finalité définie.
2. Aucun message d’annonce, ou un message placé après la mise en relation.
3. Appels sortants enregistrés sans information du correspondant.
4. Aucune durée de conservation : des années d’enregistrements sur le standard.
5. Stockage plein, qui arrête l’enregistrement sans que personne ne le remarque.
6. Accès partagé à l’interface d’administration pour écouter les appels.
7. Traitement jamais notifié à la CNDP.

Checklist avant d’activer l’enregistrement

• Finalité écrite et appels concernés définis.
• Notification à la CNDP faite (déclaration ou autorisation selon le cas).
• Message d’annonce en place pour les appels entrants ; consigne pour les appels sortants.
• Salariés informés par écrit.
• Durée de conservation fixée et suppression automatique paramétrée.
• Accès limités, nominatifs et protégés.
• Lieu de stockage et sauvegarde validés.
• Procédure pour répondre à une demande d’accès d’un appelant.

Pour un service client ou un centre d’appels, l’enregistrement s’inscrit dans un ensemble plus large décrit dans files d’attente, SVI et statistiques et centre d’appels 3CX au Maroc.

Comment nous procédons

Nous commençons par un audit de votre téléphonie offert : appels concernés, finalité, standard en place, stockage et accès. Nous paramétrons ensuite l’enregistrement, les messages d’annonce, la durée de conservation et les droits, et nous vous remettons la description technique utile à votre dossier CNDP. Les démarches auprès de la CNDP restent les vôtres, ou celles de votre conseil. Après la mise en service, le standard est supervisé 24/7, y compris l’espace de stockage des enregistrements.

Découvrez notre offre de téléphonie IP au Maroc, puis demandez l’audit de votre téléphonie offert : nous vous répondons sous 24 h ouvrées.