En 2026, la conformité RGPD n'est plus une option pour les professionnels de santé belges — c'est une obligation légale assortie de sanctions potentiellement lourdes. Et pourtant, la question du téléphone est souvent la grande oubliée des analyses de conformité. Cet article fait le point sur ce que le RGPD impose concrètement pour la gestion des appels téléphoniques dans un cabinet médical.

Pourquoi le téléphone est une donnée sensible

Quand un patient appelle votre cabinet pour prendre rendez-vous, il communique au minimum les informations suivantes : son nom et prénom, son numéro de téléphone, et — implicitement — le fait qu'il est patient de votre cabinet. Si la raison de la consultation est mentionnée (ce qui est fréquent), il s'agit alors de données de santé au sens de l'article 9 du RGPD, soumises à un régime de protection renforcé.

Ces données peuvent être traitées de plusieurs façons : retranscrites dans un agenda ou un logiciel médical, enregistrées si le système téléphonique procède à des enregistrements, transmises à un tiers (télésecrétariat) si vous sous-traitez la gestion des appels.

Les obligations concrètes du RGPD pour le téléphone médical

Le RGPD impose plusieurs obligations spécifiques pour le traitement de ces données. Premièrement, la minimisation des données : vous ne devez collecter que les informations strictement nécessaires à la prise de rendez-vous (nom, téléphone, motif de consultation si nécessaire). Les informations superflues ne doivent pas être demandées.

Deuxièmement, la limitation de conservation : les données collectées par téléphone (transcriptions, enregistrements) doivent être conservées le temps strictement nécessaire et supprimées ensuite. En pratique, cela signifie que les enregistrements d'appels ne doivent pas être conservés indéfiniment.

Troisièmement, la sécurité : les données doivent être protégées contre tout accès non autorisé. Si vous utilisez un télésecrétariat ou un système automatisé, vous devez vous assurer que le prestataire respecte les mêmes standards de sécurité.

Quatrièmement, si vous utilisez un prestataire tiers (télésecrétariat humain ou IA), vous devez signer avec lui un Accord de Traitement des Données (ATD/DPA) conforme à l'article 28 du RGPD.

EU AI Act : les nouvelles obligations depuis août 2026

Depuis le 2 août 2026, le règlement européen sur l'intelligence artificielle (EU AI Act) impose de nouvelles obligations pour les systèmes IA qui interagissent avec des personnes physiques par voie vocale. L'article 50 du règlement exige que tout système IA en interaction vocale se présente comme tel dès le début de l'interaction.

Concrètement, si votre cabinet utilise un assistant IA pour répondre aux appels, cet assistant doit systématiquement informer le patient qu'il parle à un système automatisé. Julie, l'assistante de Woovox, se conforme à cette obligation à chaque appel depuis son déploiement.

Comment Woovox garantit la conformité RGPD

Woovox a été conçu dès le départ avec la conformité RGPD comme priorité architecturale, pas comme une contrainte ajoutée après coup. Concrètement, cela se traduit par plusieurs garanties. Architecture zéro rétention audio : les fichiers audio de chaque appel sont traités en temps réel et supprimés immédiatement après traitement. Aucune conversation n'est jamais archivée sur les serveurs de Woovox.

Les transcriptions textuelles des appels sont conservées 30 jours maximum pour le contrôle qualité, puis automatiquement supprimées. La suppression immédiate est possible sur demande. L'infrastructure est hébergée en Allemagne (Frankfurt), dans l'Union européenne. Vos données ne quittent jamais le territoire de l'UE. Un Accord de Traitement des Données conforme à l'article 28 du RGPD est signé avec chaque organisation avant le démarrage du service.