Empreinte vocale chez PostFinance : continuer à parler n'est pas un consentement exprès

Source : cet article repose sur la communication du Préposé fédéral à la protection des données et à la transparence (PFPDT) du 21 octobre 2026, « Authentification par reconnaissance vocale : Le Tribunal administratif fédéral confirme la position du PFPDT concernant l’obtention d’un consentement exprès », sur le communiqué de presse du Tribunal administratif fédéral du même jour et sur l'arrêt A-4467/2025 du 13 octobre 2026 (PDF, en allemand). Les citations de l'arrêt, rédigé en allemand, sont des traductions libres ; « consid. » renvoie aux considérants de l'arrêt. L'analyse est la nôtre et ne remplace pas un conseil juridique. Toutes les sources figurent à la fin de l'article.

Depuis septembre 2018, PostFinance SA créait une empreinte vocale des clientes et clients qui l'appelaient, afin de les reconnaître à leur voix lors d'appels ultérieurs. Lors du premier appel, ils entendaient cette annonce :

« Cette conversation est enregistrée à des fins de sécurité et de reconnaissance. À partir de l'enregistrement, PostFinance crée une empreinte vocale afin de vérifier votre identité à l'aide de votre voix lors de chaque appel. Si vous ne souhaitez pas d'empreinte vocale, nous vous prions de le faire savoir au conseiller clientèle. »

Pour qui ne disait rien et continuait simplement à parler, une empreinte vocale était créée. Le Tribunal administratif fédéral vient de décider que cela ne constitue pas un consentement exprès. La motivation va bien au-delà du centre d'appels d'une banque, car elle fixe ce que signifie « exprès » dans la loi fédérale sur la protection des données (LPD).

Qu'a décidé le Tribunal administratif fédéral ?

Point	Contenu
Tribunal	Tribunal administratif fédéral, Cour I
Arrêt	A-4467/2025 du 13 octobre 2026
Parties	PostFinance SA contre le PFPDT
Acte attaqué	Décision du PFPDT du 16 mai 2025
Résultat	Recours partiellement admis, et ce uniquement en ce qui concerne le délai
Délai	Consentement exprès après coup jusqu'au 15 février 2027, à défaut effacement
Voie de recours	Recours possible devant le Tribunal fédéral

Sur le fond, le Tribunal a confirmé la position du PFPDT :

• Les empreintes vocales sont des données personnelles sensibles. Il s'agit de données biométriques qui permettent une identification ou une authentification univoque (article 5, lettre c, chiffre 4, LPD ; consid. 8.2).
• Leur traitement exige un consentement exprès au sens de l'article 6, alinéa 7, lettre a, LPD (consid. 8.6).
• Continuer à parler ne suffit pas. La solution d'opt-out appliquée jusqu'ici constitue une atteinte à la personnalité (consid. 8.9).
• Il n'existe aucun motif justificatif. Ni la sécurité ni l'efficacité ne l'emportent sur l'intérêt des personnes concernées (consid. 9.8).
• Ce qui reste sans consentement est effacé. Pour des raisons de proportionnalité, PostFinance dispose d'un délai jusqu'au 15 février 2027 pour obtenir après coup le consentement relatif aux empreintes vocales existantes (consid. 10.3.4).

Dans un second arrêt (A-6813/2025), le Tribunal a confirmé que le PFPDT est autorisé à publier sa décision. Selon le PFPDT, cela se fera dès que cet arrêt sera entré en force.

Par souci d'exhaustivité : sur un point, PostFinance a obtenu gain de cause. Dans sa décision, le PFPDT n'avait pas suffisamment motivé pourquoi l'effacement serait proportionné ni s'il avait examiné des alternatives. Le Tribunal y voit une violation de l'obligation de motiver, mais l'a réparée dans la procédure de recours (consid. 3.3 et 3.4).

Que signifie « exprès » selon l'arrêt ?

C'est le cœur de l'arrêt, et le Tribunal le formule clairement :

« Il découle de ce qui précède que tant la lettre et les travaux préparatoires que le but de la disposition conduisent à conclure que le ‹ caractère exprès › du consentement ne peut être admis qu'en présence d'un acte positif de la personne concernée et de son accord sans équivoque à un traitement de données déterminé et décrit de manière suffisamment claire. Un accord donné seulement par actes concluants, voire tacitement, ne suffit en tout cas pas dans ce contexte. » (consid. 8.6.6)

Il en découle trois caractéristiques qui doivent être réunies :

1. Un acte positif. La personne fait quelque chose. Ne rien faire, se taire ou continuer ne suffit pas.
2. Un accord sans équivoque. L'acte n'a pas d'autre sens que « Oui, d'accord ».
3. Un traitement déterminé et clairement décrit. La personne sait à quoi elle dit oui.

S'y ajoutent les conditions applicables à tout consentement (article 6, alinéa 6, LPD) : il doit être donné après une information adéquate sur l'objet, le but, l'étendue et les risques, et il doit être libre. Selon l'arrêt, libre signifie que la personne dispose d'une alternative raisonnable et ne subit pas d'inconvénients disproportionnés en cas de refus (consid. 8.3).

Ce que cela signifie en pratique ressort de la comparaison suivante. La colonne de gauche reprend les exemples que l'arrêt tire de la doctrine (consid. 8.6.5) ainsi que la définition du Message relatif à la LPD, selon laquelle un consentement peut être donné par des mots écrits ou prononcés ou par un signe (consid. 8.6.3) :

Exprès	Pas exprès
Cliquer sur un bouton placé à côté du texte d'information	Continuer à parler après une annonce
Cocher une case	Se taire ou ne pas s'opposer
Sélectionner activement certains paramètres	Un comportement concluant (actes concluants)
Un « oui » oral ou écrit en réponse à une question claire	Un réglage par défaut qu'il faut désactiver soi-même

Une partie de la doctrine soutenait que « exprès » se rapporte uniquement à l'objet du consentement, et non à la manière dont il est exprimé. Le Tribunal ne suit pas cette opinion (consid. 8.6.5 et 8.6.6). Il renvoie en outre au règlement général européen sur la protection des données (RGPD), qui exige lui aussi un consentement explicite pour les données biométriques et ne tient pas un comportement concluant pour suffisant (consid. 8.6.4).

Une remarque de l'arrêt mérite une attention particulière. Le Tribunal rapporte une opinion de la doctrine selon laquelle, d'après des études, le « destinataire moyen » se comporte de manière passive face aux consentements. Si quatre personnes sur cinq se comportaient effectivement de manière passive, une solution d'opt-out produirait nettement plus de « consentements » qu'une solution d'opt-in (consid. 8.3). C'est précisément cette différence que fait l'acte positif exigé par la loi pour les données délicates.

Pourquoi la sécurité et l'efficacité ne suffisaient-elles pas comme justification ?

PostFinance avait fait valoir que la reconnaissance vocale était sûre et appréciée, qu'elle faisait gagner un temps considérable à toutes les parties et permettait ainsi, selon ses propres indications, d'économiser 720 000 francs (consid. 5.2). Le Tribunal a procédé à une pesée des intérêts :

• Sécurité : poids moyen. L'intérêt à protéger les comptes contre la fraude pèse en principe lourd. PostFinance n'a toutefois produit aucune preuve que l'empreinte vocale soit plus sûre que des alternatives comme une authentification à deux facteurs ou multifacteur (consid. 9.6.1).
• Efficacité : poids moyen. Le Tribunal a jugé plausible que l'empreinte vocale soit plus rapide et plus économique que les questions de sécurité (consid. 9.6.2).
• Protection des personnes concernées : poids très important. Il s'agit de données particulièrement sensibles, d'une atteinte grave et d'un « identifiant permanent » qui peut être utilisé à l'avenir sans la participation des personnes concernées (consid. 9.6.3).

S'y ajoute un détail des antécédents : en 2018, PostFinance avait déjà utilisé pendant environ deux mois une solution d'opt-in, puis était revenue à l'opt-out pour les clientes et clients en Suisse, bien qu'elle fût consciente du niveau de protection plus élevé (consid. 9.7). La clientèle domiciliée à l'étranger, en revanche, était interrogée activement.

Important pour tous ceux qui utilisent des procédés biométriques : sur un point, le Tribunal contredit le PFPDT. On ne peut pas exiger un renoncement complet aux données biométriques en invoquant l'existence de moyens moins incisifs comme les questions de sécurité. Si les principes de traitement sont respectés et qu'un consentement exprès valable a été donné, la reconnaissance vocale est admissible (consid. 9.6.2). L'arrêt n'interdit donc pas la technique. Il exige que les personnes concernées disent oui au préalable.

Les anciens consentements restent-ils valables ?

Non, du moins pas dans cette configuration. PostFinance faisait valoir que les consentements recueillis sous l'ancienne LPD restaient valables, parce que le traitement n'avait jamais changé depuis 2018. Le Tribunal voit les choses autrement : les empreintes vocales continuent d'être conservées et utilisées ; il s'agit d'un état de fait durable, auquel le nouveau droit est applicable (consid. 10.2.2).

« Dans ce contexte, compte tenu notamment des exigences accrues du droit révisé quant à l'existence d'un consentement juridiquement valable ainsi que de la poursuite du traitement des données, les accords recueillis sous le régime de l'ancienne LPD ne sont plus valables. Au contraire, la poursuite du traitement de ces données requiert un consentement exprès au regard du droit aujourd'hui en vigueur. » (consid. 10.2.2)

Notre analyse : quiconque s'appuie, pour des données personnelles sensibles, sur un consentement recueilli avant le 1er septembre 2023 et continue de traiter ces données devrait vérifier si ce consentement satisfait aux exigences actuelles. S'il n'y satisfait pas, il peut, selon l'arrêt, être recueilli après coup ; dans le cas d'espèce, le Tribunal a jugé qu'un consentement exprès obtenu ultérieurement était propre à rétablir une situation conforme au droit (consid. 10.3.3).

Qu'est-ce que cela signifie pour les hotlines et les assistants vocaux ?

Deux choses doivent être distinguées :

L'enregistrement de la conversation. En droit pénal, un accord par actes concluants suffit ici : qui sait que la conversation est enregistrée et continue malgré tout de parler y consent au sens de l'article 179ter du Code pénal, pour autant qu'il ne soit pas contraint de s'exprimer (consid. 7.8). Le Tribunal souligne toutefois que tout ce qui est permis en droit pénal ne suffit pas forcément au regard du droit de la protection des données (consid. 8.8).

L'empreinte vocale. Dès que la voix sert à constituer une caractéristique biométrique qui identifie une personne de manière univoque, un consentement exprès est nécessaire. Qu'un assistant téléphonique ou vocal le fasse dépend de la technique. Une reconnaissance de la parole, qui transforme ce qui est dit en texte, est autre chose qu'une reconnaissance du locuteur, qui détermine qui parle. Les entreprises devraient se renseigner auprès de leur fournisseur plutôt que de le supposer.

Pour les entreprises qui utilisent ou veulent introduire une reconnaissance vocale, cela signifie concrètement :

1. Demander avant l'empreinte vocale, et non après. Une question claire, à laquelle on répond par oui ou par non.
2. Informer concrètement : ce qui est saisi, dans quel but, pour combien de temps et avec quels risques.
3. Proposer une alternative qui ne soit pas déraisonnable, par exemple des questions de sécurité ou une autre méthode d'authentification.
4. Consigner la réponse de manière vérifiable. Qui invoque un consentement doit pouvoir le prouver.
5. Vérifier les empreintes existantes : là où il n'existe pas de consentement exprès, le recueillir après coup ou effacer.

Selon ses propres indications, PostFinance utilise depuis le 16 février 2026 un robot vocal qui demande, avant la conversation, si la cliente consent à l'empreinte vocale. Le Tribunal a expressément renoncé à examiner si cette solution est conforme à la protection des données (consid. 8.9).

Qu'est-ce que l'arrêt signifie pour les sites web et les bannières de cookies ?

L'arrêt ne concerne pas un site web. L'interprétation du terme « exprès » porte toutefois sur l'article 6, alinéa 7, LPD, et cette disposition s'applique partout où un consentement exprès est exigé : pour les données personnelles sensibles (lettre a) et pour un profilage à risque élevé effectué par des personnes privées (lettre b).

Pour les cookies ordinaires, la LPD n'exige en principe pas de consentement. Le PFPDT retient toutefois dans son guide sur les cookies et le tracking en ligne que, pour les traitements à forte intensité d'atteinte, un consentement exprès doit être recueilli au préalable. Nous expliquons quand c'est le cas dans l'article consacré au radar des risques du PFPDT. Les offres de santé en sont un exemple évident, comme le montre notre mesure sur les sites web d'hôpitaux.

Là où un consentement exprès est nécessaire, la transposition s'impose. Notre analyse :

• « En poursuivant votre navigation sur ce site, vous acceptez » revient structurellement au même que continuer à parler après une annonce : une information, plus le fait de continuer. Après cet arrêt, cela ne devrait pas suffire.
• Une bannière qui disparaît au défilement ou dont la croix de fermeture vaut acceptation ne fournit pas d'accord sans équivoque à un traitement déterminé.
• Les cases précochées ne sont pas un acte positif de la personne. Pour les visiteurs de l'UE, la Cour de justice de l'Union européenne (CJUE) l'a déjà jugé en 2019 (arrêt Planet49, C-673/17).
• Un clic sur « Accepter » à côté d'une information compréhensible, avec une possibilité équivalente de refuser, correspond en revanche à l'exemple que l'arrêt cite lui-même.

Et comme chez PostFinance : le consentement n'est utile que s'il peut être prouvé. Aiara enregistre chaque choix effectué dans la bannière au moment de la décision, avec l'horodatage, l'action et les catégories choisies, et met chaque mois les entrées à disposition sous forme d'archive des consentements. Ce qui doit figurer dans le registre et combien de temps il faut le conserver est expliqué dans l'article sur le registre des consentements.

Ce que les entreprises devraient vérifier maintenant

1. Où traitons-nous des données personnelles sensibles ? Selon l'article 5, lettre c, LPD, en font notamment partie les données sur la santé, les données génétiques, les données biométriques identifiant une personne de manière univoque, les opinions religieuses ou politiques, les poursuites administratives et pénales ainsi que les mesures d'aide sociale.
2. Sur quoi nous fondons-nous ? Lorsque c'est le consentement, il doit être exprès : acte positif, sans équivoque, pour un traitement déterminé.
3. Existe-t-il des solutions d'opt-out ? Réglages par défaut, « qui ne s'oppose pas consent », mentions sans choix : les remplacer par une véritable question.
4. Des consentements datent-ils d'avant septembre 2023 ? Vérifier s'ils satisfont aux exigences actuelles et, le cas échéant, les recueillir à nouveau.
5. Pouvons-nous prouver chaque consentement ? Avec l'horodatage, le contenu et la réponse, consignés au moment de la décision.
6. Reste-t-il une alternative raisonnable ? Qui dit non ne doit pas subir d'inconvénients disproportionnés.

---

Aiara est un fournisseur suisse de bannières de cookies, de preuves de consentement et de textes juridiques. Cet article reproduit et analyse la communication du PFPDT, le communiqué de presse du Tribunal administratif fédéral et l'arrêt. Il ne remplace pas un conseil juridique dans un cas particulier. État : 28 octobre 2026 ; l'arrêt peut encore être attaqué devant le Tribunal fédéral.

Sources

• PFPDT, communication du 21 octobre 2026 : « Authentification par reconnaissance vocale : Le Tribunal administratif fédéral confirme la position du PFPDT concernant l’obtention d’un consentement exprès », consultée le 28 octobre 2026
• Tribunal administratif fédéral, communiqué de presse du 21 octobre 2026 : « Créer une empreinte vocale nécessite le consentement exprès de la personne concernée »
• Tribunal administratif fédéral, arrêt A-4467/2025 du 13 octobre 2026 (PDF, en allemand)
• Tribunal administratif fédéral, arrêt A-6813/2025 concernant la publication de la décision (en allemand)
• PFPDT, communication du 7 août 2025 : « Le PFPDT clôt son enquête relative à la reconnaissance vocale utilisée par PostFinance »
• Loi fédérale sur la protection des données (LPD), RS 235.1