Réponse courte : aux yeux du RGPD, une télécopie est un traitement de données personnelles comme un autre. Le responsable de traitement cartographie ses flux — entrants comme sortants —, note pour chacun une finalité, une base légale et une durée, les inscrit au registre, encadre son service d'envoi en ligne par un contrat de sous-traitance et sait répondre à un droit d'accès ou d'effacement portant sur des fax archivés. Une demi-journée suffit pour une PME ; voici la méthode, avec une ligne de registre prête à recopier.
Cartographier les flux avant de remplir le registre
Le registre ne décrit pas « le fax » en général, mais des traitements réels, flux par flux. Commencez par un inventaire honnête :
- les flux sortants : devis signés, bons de commande, relances, courriers aux partenaires — partis du télécopieur du secrétariat ou d'un service d'envoi en ligne ;
- les flux entrants : contrats retournés, justificatifs, pièces reçues de confrères ou de fournisseurs — imprimés dans un bac accessible ou livrés en PDF dans une boîte partagée.
Pour chaque flux, notez ensuite les données réellement transportées : identité et coordonnées presque toujours ; salaire, santé ou données bancaires parfois. Chiffrez pour convaincre la direction : une PME qui échange 40 télécopies par mois en manipule 480 par an ; à cinq données personnelles par page, ce sont 2 400 données exposées annuellement, quelque part entre un bac papier et un dossier client. Cette carte des flux — qui envoie quoi, à qui, où atterrit le document, qui peut le relire — fixe le contenu du registre. Le cadre général est rappelé sur notre page RGPD appliqué à la télécopie ; la suite de cet article en est la déclinaison opérationnelle.
Base légale et finalité : une réponse par flux
Un flux, une finalité, une base légale — jamais de réponse unique pour tout l'équipement :
- exécution du contrat : devis, commandes, suivi de livraison entre vous et vos clients ;
- obligation légale : pièces comptables, éléments de paie — la durée découle alors de la règle applicable, pas de votre appréciation ;
- intérêt légitime : relances commerciales, gestion d'un litige, avec le test de mise en balance consigné ;
- consentement : presque jamais le bon fondement pour un flux professionnel, car la preuve du consentement est difficile à documenter fax après fax.
Les données de santé relèvent d'un régime renforcé : seuls les flux nécessaires à la prise en charge d'un patient la justifient. Le détail des précautions attendues figure sur la page santé et télécopies.
Minimiser ce que la télécopie transporte
La page de garde est la minimisation la plus rentable : elle porte le nom du destinataire, la référence du dossier — et rien d'autre. Un diagnostic, un solde bancaire ou un montant de devis n'ont rien à faire sur la première page, celle que tout le secrétariat voit passer. Notre générateur de bordereau se remplit en une minute et ne réclame aucune donnée superflue.
Deux réflexes complètent la page de garde :
- faxer les pages utiles, pas le dossier entier : trois pages ciblées exposent moins de données qu'un résumé de dix ;
- vérifier le numéro avant chaque envoi : une transmission vers le mauvais correspondant divulgue des données à un tiers inconnu ; la violation se documente, et la notification à l'autorité peut devoir partir sous 72 heures.
La ligne de registre, en pratique
Une ligne par flux, pas une ligne pour « le fax ». Exemple recopiable pour un flux sortant typique :
| Champ du registre | Exemple : « envoi des devis signés aux clients » |
|---|---|
| Finalité | gestion commerciale, suivi des commandes |
| Base légale | exécution du contrat (étape précontractuelle en amont) |
| Catégories de personnes | clients, prospects |
| Données traitées | identité, coordonnées, référence et montant du devis |
| Destinataires | le client ; le service d'envoi en ligne, comme sous-traitant |
| Durée de conservation | relation commerciale, puis prescription applicable |
| Mesures de sécurité | transmission chiffrée côté prestataire, accès restreint au commercial |
Même en dessous de 250 salariés, l'allègement de l'article 30 ne vise que les traitements occasionnels : des flux de télécopies hebdomadaires ne le sont pas, et le registre se tient. Pour remplir la colonne des mesures, la sécurité des télécopies décrit ce qu'un flux fax peut annoncer raisonnablement.
Sous-traitants : le service d'envoi en ligne au titre de l'article 28
Le télécopieur acheté appartient à vos murs : pas de tiers, pas de sous-traitant. Un service en ligne qui transmet vos documents pour votre compte en est un — il traite des données sur vos instructions, exactement comme votre hébergeur de messagerie.
Avant le premier envoi, exigez quatre certitudes :
- un contrat de sous-traitance aligné sur l'article 28 — une clause dédiée, pas trois lignes noyées dans des conditions générales ;
- la localisation des serveurs : un hébergement dans l'Union dispense des clauses contractuelles types qu'exigent les transferts hors UE ;
- la chaîne des sous-traitants ultérieurs, annoncés avec un droit de s'y opposer ;
- deux engagements opérationnels : notification rapide en cas de violation, et sort des données en fin de contrat.
Le nom du prestataire rejoint ensuite la colonne destinataires du registre. Notez qu'un service utilisable sans création de compte borne d'emblée les données confiées : pour transmettre un document, aucun prestataire n'a besoin de l'annuaire complet de vos clients.
Honorer les droits sur des télécopies archivées
Un droit d'accès tombe : il faut retrouver chaque fax concernant la personne, accusé de transmission compris. Impossible sans règles de classement — un dossier par tiers, un nommage uniforme, un archivage des fax documenté et des durées réellement tenues.
Un droit d'effacement suit une autre logique : on détruit les fax de la personne, sauf lorsqu'une obligation légale impose de conserver la pièce — une facture comptable ne s'efface pas avant l'échéance. Répondez en citant l'obligation, supprimez les copies de travail sans valeur probante et tracez la réponse. Dans tous les cas, le délai est d'un mois, prorogeable pour les demandes complexes : datez la réponse, classez-la, conservez-la.
Checklist du DPO de PME
- carte des flux fax entrants et sortants, revue à chaque changement d'équipement ;
- finalité et base légale notées pour chaque flux, test de mise en balance documenté le cas échéant ;
- une ligne de registre par flux, durée de conservation comprise ;
- page de garde neutre appliquée à tous les envois, sans données sensibles superflues ;
- contrat de sous-traitance signé avec le service d'envoi, localisation des données vérifiée ;
- procédure accès / effacement testée une fois par an sur des fax réels ;
- revue annuelle alignée sur la politique de conservation, destructions tracées.
Le fax réglé en une demi-journée, le reste du registre suit la même logique, flux après flux. Le formulaire d'envoi de Faxeroo fonctionne sans création de compte, et chaque transmission peut s'accompagner d'un accusé PDF horodaté.
Étiquettesfaxrgpdsecuritedocumentsorganisation
