Créer une empreinte vocale nécessite le consentement exprès de la personne concernée

Depuis septembre 2018, PostFinance SA enregistre l'empreinte vocale des clients qui téléphonent afin de pouvoir les identifier lors d’appels ultérieurs. Les clients qui refuseraient le processus doivent eux-mêmes entreprendre les démarches pour l’empêcher. Ils peuvent à cette fin adresser une demande distincte au service à la clientèle ou modifier les paramètres par défaut sur le site Internet de PostFinance. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) a contacté PostFinance SA à ce sujet en mai 2019, après quoi plusieurs échanges de courrier et une séance ont eu lieu.

Consentement exprès requis
Faute d’accord, le PFPDT a ordonné le 16 mai 2025 que PostFinance SA obtienne le consentement exprès des personnes concernées pour des raisons liées à la protection des données. Il a également enjoint la banque d’effacer les empreintes vocales pour lesquelles aucun consentement n'a été donné. Le 18 juin 2025, PostFinance SA a interjeté recours contre cette décision auprès du Tribunal administratif fédéral (TAF). En mars 2026, la banque a informé le TAF qu'elle utilisait depuis la mi-février 2026 une nouvelle solution permettant d’obtenir le consentement explicite des clients pour la création de leur empreinte vocale.

Délai jusque mi-février 2027 pour le consentement rétroactif
Considérant que l’empreinte vocale relève de données personnelles particulièrement sensibles, le TAF retient que son traitement nécessite le consentement explicite de la personne concernée pour respecter le droit de la protection des données. Le seul fait de continuer à parler après avoir été informé que la conversation est enregistrée à des fins d’authentification par reconnaissance vocale ne vaut pas consentement explicite. Sans ce consentement, la création d'une empreinte vocale constitue une atteinte à la vie privée. Il n’existe aucun motif susceptible de justifier un tel procédé.

Eu égard au principe de proportionnalité, le TAF a accordé à PostFinance SA un délai jusqu’à la mi-février 2027 pour obtenir le consentement exprès des clients concernés pour les empreintes vocales déjà enregistrées. A défaut, les données devront être effacées. Le TAF n’avait pas à examiner si la nouvelle solution introduite par PostFinance SA dès la mi-février 2026 est conforme à la législation sur la protection des données. Il admet ainsi le recours partiellement.

Cet arrêt est susceptible de recours au Tribunal fédéral.