Cette pratique de Postfinance était illégale
Postfinance ne peut pas établir d'empreintes vocales de ses clients sans que ces derniers y consentent explicitement, a tranché le Tribunal administratif fédéral dans un arrêt publié mercredi. Les données récoltées jusqu'à présent sans accord explicite devront être approuvées rétroactivement par les clients ou détruites.
Depuis septembre 2018, l'entité de la Poste active dans les services financiers enregistrait la voix de ses clients qui lui téléphonaient, afin de pouvoir les identifier lors de leurs prochains coups de fil. Lorsqu'ils appelaient Postfinance, les clients étaient informés par un message automatisé que leur voix sera enregistrée à des fins de «reconnaissance et de sécurité». Postfinance pouvait ainsi vérifier leur identité lors de futurs appels.
Les clients qui ne souhaitait pas un tel enregistrement pouvaient adresser une demande en ce sens au service client ou modifier les paramètres par défaut sur le site Internet de Postfinance. En résumé, c'était au client qu'incombaient les démarches pour que sa voix ne soit pas enregistrée.
Le Préposé fédéral à la protection des données et à la transparence avait estimé en mai 2025 que cette pratique de Postfinance violait la loi. Il fallait en effet un consentement explicite pour l'enregistrement de telles données. Les juges de St-Gall ont suivi cet avis.
Des données particulièrement sensibles
Le TAF a en effet estimé que la pratique de Postfinance n'était pas conforme à la protection des données. L'entreprise partait du principe qu'il y avait accord tacite dès que les clients ne réagissaient pas à la suite du message automatisé au début de l'appel téléphonique.
Les juges ont relevé en premier lieu que les empreintes vocales sont des données biométriques particulièrement sensibles. Selon la loi sur la protection des données, le traitement de telles données nécessite un «consentement explicite» de la personne concernée.
Le simple fait que le client continue de parler après le message automatisé ne constitue pas un tel consentement. Cette solution dite d'«opting-out» constitue une atteinte à la personnalité.
Selon le tribunal, il n'existe pas de motifs justificatifs pour créer de telles empreintes vocales. Les intérêts de sécurité, d'efficacité et même les économies, de l'ordre de 720 000 francs, avancés par Postfinance ne permettent pas de justifier l'atteinte à la personnalité.
Un délai jusqu'à mi-février 2027
Dès lors, les empreintes vocales devront être détruites. Pour des raisons de proportionnalité, le TAF a toutefois accédé à la demande de Postfinance de prolonger le délai pour la mise en conformité, admettant partiellement le recours.
Les juges ont ainsi accordé à l'entreprise un délai jusqu'à mi-février 2027 pour obtenir le consentement rétroactif de ses clients concernant les empreintes vocales déjà créées. Sans cet accord explicite de la part du client, les empreintes vocales déjà constituées devront être détruites.
Postfinance avait indiqué avoir introduit en février 2026 une nouvelle pratique permettant de recueillir des consentements explicites. Toutefois, les juges du TAF n'ont pas examiné cette nouvelle pratique, qui n'était pas l'objet de la décision du Préposé à la protection des données. (jzs/ats)