Banque : le Tribunal administratif fédéral exige le consentement exprès pour les empreintes vocales de PostFinance
Le fait
Le 13 octobre 2026, le Tribunal administratif fédéral rend deux arrêts (A-4467/2025 et A-6813/2025) dans l'affaire de l'authentification par reconnaissance vocale de PostFinance. Le tribunal confirme que la création d'empreintes vocales, données personnelles particulièrement sensibles, requiert le consentement exprès des personnes concernées, que la poursuite de la conversation après l'information sur l'enregistrement ne vaut pas consentement exprès, et qu'aucun motif justificatif n'existe. PostFinance dispose jusqu'à mi-février 2027 pour obtenir le consentement des clients dont l'empreinte existe déjà, faute de quoi les données doivent être supprimées immédiatement.
Le Préposé fédéral peut publier sa décision du 16 mai 2025 dès que le second arrêt est entré en force. Les arrêts portent sur un traitement biométrique et non sur l'IA, et la grille de lecture s'applique à tout système qui crée un identifiant biométrique. Un choix de conception pris par défaut devient une obligation de remédiation datée.
Quels traitements biométriques ou à identifiant permanent tournent dans votre organisation sur la base d'un consentement présumé, et qui a validé ce choix de conception ?
Les sources
Préposé fédéral à la protection des données, communiqué du 21 octobre 2026