LGPD dans l'accueil par téléphone et WhatsApp : guide pratique pour les petites entreprises

Tout accueil traite des données personnelles : le nom de la personne qui a appelé, le téléphone, l'adresse de livraison, parfois un CPF. La Lei Geral de Proteção de Dados (loi n° 13.709/2018, la LGPD) s'applique aux entreprises de toutes tailles, y compris la petite entreprise qui accueille via le WhatsApp du portable.

Ce guide présente les points pratiques de la LGPD pour l'accueil par téléphone, WhatsApp et agents avec IA. Il ne remplace pas l'avis d'un avocat, mais aide à organiser l'essentiel, là où la plupart des petites entreprises ont encore des lacunes.

Les principes les plus importants dans l'accueil

La LGPD comporte plusieurs principes. Dans le quotidien de l'accueil, quatre d'entre eux font la plus grande différence :

• Finalité : vous collectez une donnée pour un motif précis, et vous l'utilisez pour ce motif. Le téléphone demandé pour rappeler le devis ne devient pas une liste de publicité sans autre raison.
• Nécessité : ne collectez que ce qui est nécessaire. Pour programmer une révision de voiture, le CPF n'est pas nécessaire.
• Transparence : la personne doit savoir ce que vous faites avec ses données.
• Sécurité : protégez les données contre l'accès indu, la fuite et la perte.

Base légale : pourquoi vous pouvez utiliser la donnée

Toute collecte nécessite une base légale. Dans l'accueil, les plus courantes sont :

• Exécution d'un contrat ou procédures préliminaires : la personne demande un devis, un rendez-vous, une livraison. Vous avez besoin du nom, du téléphone et de l'adresse pour répondre à sa demande.
• Intérêt légitime : dans certains cas, comme l'envoi d'un rappel pour un service souscrit, en respectant les attentes du client.
• Consentement : pour des usages qui vont au-delà de la demande, comme l'envoi de promotions. Le consentement doit être libre, éclairé et facile à retirer.

En cas de doute sur la base à utiliser dans chaque situation, consultez un professionnel. L'important est de ne pas collecter des données "pour faire bien".

Données sensibles : prudence redoublée

La LGPD accorde une protection spéciale aux données sensibles, comme celles relatives à la santé, à l'origine raciale ou ethnique, à la religion, aux opinions politiques, à la vie sexuelle, aux données génétiques et biométriques. Dans le service client, cela apparaît principalement dans :

• Cliniques et cabinets médicaux : symptômes, diagnostics, examens.
• Cabinets d'avocats : détails d'affaires pouvant impliquer la santé ou d'autres données sensibles.

Règle pratique : lors du tri (que ce soit avec une personne ou une IA), demandez le minimum. "Quelle spécialité ?" plutôt que "décrivez vos symptômes". Les détails restent au professionnel, sur le canal approprié. Voyez comment appliquer cela dans accueil téléphonique pour cabinet d'avocats.

Transparence en pratique

Quelques moyens simples d'informer le client :

• Politique de confidentialité sur le site, en langage clair : quelles données sont collectées, dans quel but, avec qui elles sont partagées, combien de temps elles sont conservées et comment le titulaire exerce ses droits.
• Avis au début du service automatisé, court. Par exemple : "Ce service est assuré par un assistant virtuel. Vos données sont utilisées pour répondre à votre demande."
• Lien vers la politique dans le profil WhatsApp et dans les messages automatiques, lorsque cela a du sens.

Si l'appel est enregistré ou transcrit, informez-le également. La transparence génère la confiance et évite les surprises.

Agents avec IA : ce qui change

Lorsque c'est une IA qui répond (au téléphone ou sur WhatsApp), les précautions sont les mêmes, avec quelques points supplémentaires :

• Configurez l'IA pour qu'elle ne demande pas de données inutiles. Le script doit lister exactement ce qu'il faut collecter.
• Restreignez les actions sensibles. Un exemple concret : dans le Téléphone avec IA de Combot intégré au SGP, la 2e copie de la facture est envoyée uniquement au WhatsApp du numéro qui appelle, et non à n'importe quel numéro que la personne indiquerait. Cela évite que quelqu'un demande la facture d'une autre personne.
• Confirmez avant d'agir. Les actions ayant un effet (comme une libération de connexion) doivent demander une confirmation explicite.
• Sachez où se trouvent les enregistrements. Les résumés et historiques de conversation sont aussi des données personnelles. Contrôlez qui y a accès dans le panneau.

Combien de temps conserver

La LGPD ne définit pas de délai unique. Conservez aussi longtemps que nécessaire pour la finalité et pour respecter les obligations légales (fiscales, par exemple). En pratique :

• Définissez un délai pour les conversations de personnes qui ne sont pas devenues clients.
• Supprimez ou anonymisez ce qui n'a plus de raison d'exister.
• Documentez ces règles, même de manière simple.

Droits du titulaire

La personne peut demander à savoir quelles données vous détenez sur elle, les corriger, demander la suppression des données traitées sur la base du consentement, entre autres droits. Prévoyez un canal pour cela (un e-mail ou le WhatsApp lui-même) et une personne responsable d'y répondre.

À propos du délégué à la protection des données : l'ANPD (Autorité nationale de protection des données) a publié des règles spécifiques pour les agents de petite taille, qui assouplissent certaines obligations, comme la désignation formelle du délégué, mais exigent un canal de communication avec le titulaire. Vérifiez dans la réglementation de l'ANPD si votre entreprise est concernée.

Sécurité au quotidien

Une bonne partie des problèmes de données dans le service client est simple à éviter :

• WhatsApp de l'entreprise sur le téléphone de l'entreprise, avec verrouillage d'écran.
• Mots de passe forts et individuels dans le panneau de service ; pas de mot de passe partagé par tous.
• Retirez les accès de ceux qui ont quitté l'entreprise le jour même.
• N'envoyez pas de données par des canaux aléatoires, comme des groupes personnels.
• Attention aux captures d'écran de conversation qui circulent dans l'équipe.

Checklist rapide

1. Listez quelles données chaque canal collecte (téléphone, WhatsApp, site).
2. Pour chacune, notez la finalité et la base légale.
3. Supprimez ce qui n'est pas nécessaire.
4. Publiez ou mettez à jour la politique de confidentialité.
5. Incluez un avis court dans le service automatisé.
6. Revoyez qui a accès aux enregistrements.
7. Définissez combien de temps conserver.
8. Créez un canal pour les demandes des titulaires.

Résumé

La LGPD dans le service client, c'est avant tout du bon sens organisé : demander seulement le nécessaire, expliquer à quoi cela sert, protéger et supprimer quand ce n'est plus nécessaire. Les outils d'automatisation aident lorsqu'ils sont configurés avec ces limites dès le départ. Si vous utilisez ou comptez utiliser l'IA sur WhatsApp, il vaut la peine de lire bot avec IA x bot de menu.