Votre fax est tombé chez un tiers
Que faire dans l’heure, comment qualifier la fuite de données, et comment ne plus y revenir.
Télécopie égarée : appelez d’abord le numéro touché, demandez la destruction des pages, et confirmez cette demande par écrit. Des données personnelles se trouvaient dans le document ? Évaluez alors le risque : en Belgique, toute violation susceptible de nuire à des personnes se déclare à l’Autorité de protection des données sous 72 heures.
Quatre points à retenir
Le temps travaille contre vous : chaque heure laisse la page sous d’autres yeux.
Des données personnelles chez un mauvais destinataire : violation de données au sens du RGPD, même si personne n’en prend connaissance.
Toute violation rejoint le registre interne, notifiée ou non.
La prévention demande peu : numéro contrôlé, saisi deux fois, relu tant que l’annulation reste possible.
Première heure : contenir la fuite
Commencez par identifier le numéro réellement appelé. Chez Faxeroo, il s’affiche sur la page de suivi et, avec l’option, sur l’accusé de transmission PDF. Sur une machine, le rapport d’émission ou le journal interne des appels dit la même chose.
Composez-le ensuite. Nombre de lignes fax appartiennent à une société ou à un cabinet joignable au téléphone, coordonnées visibles dans l’annuaire professionnel. Signalez l’arrivée par erreur d’un document confidentiel — sans en révéler le contenu — et demandez destruction sans copie ni transfert.
Confirmez par écrit — courriel ou lettre — en sollicitant un retour attestant la destruction. Cette réponse, même sommaire, prouvera le risque réduit. Sans réponse au téléphone, consignez chaque tentative, date et heure.
Avertissez enfin votre référent protection des données — DPO ou personne désignée : l’évaluation sera son affaire.
Qualifier : violation de données ou non ?
Violation de données à caractère personnel, au sens du RGPD : le règlement y range toute divulgation non autorisée de données (article 4, point 12). Un fax livrant le nom d’un client, un dossier de personnel ou un compte rendu médical chez un tiers y répond. Une facture entre sociétés, sans personne identifiable, n’y répond pas.
Selon l’article 33, la déclaration à l’autorité de contrôle doit partir au plus tard 72 heures après la découverte — sauf risque manifestement nul pour les personnes. L’appréciation tient à la nature des informations (santé, argent, pièces d’identité), au nombre de personnes touchées, à l’identité du récepteur involontaire et à ce que celui-ci a fait des pages.
En Belgique, l’autorité de contrôle s’appelle Autorité de protection des données ; son site héberge le formulaire de notification. Risque élevé — un diagnostic tombé chez un inconnu muet, par exemple — : l’article 34 ajoute l’information des personnes concernées, en mots simples, sur ce qui s’est produit et sur les gestes à faire.
Ces obligations pèsent sur l’organisation qui a lancé l’envoi. Faxeroo transmet vers le numéro saisi : rien ne lui indique la sensibilité du contenu, et nul ne peut reprendre un fax remis.
Le registre interne, rubrique par rubrique
Le paragraphe 5 de l’article 33 du RGPD impose de documenter toute violation, même non notifiée. Une fiche sommaire suffit, pourvu qu’elle couvre ces rubriques.
| Rubrique | Illustration sur un fax égaré | À quoi elle sert |
|---|---|---|
| Faits | Compte rendu d’hôpital de trois pages, parti un mardi matin vers un numéro aux deux chiffres intervertis | Refaire l’incident sans compter sur les souvenirs |
| Données et personnes visées | Une patiente : nom, date de naissance, diagnostic | Cerner la gravité |
| Moment de la découverte | Appel, une heure après, du vrai destinataire : rien reçu | Marquer le point de départ des 72 heures |
| Réaction et mesures | Appel du destinataire fortuit, destruction confirmée par courriel | Prouver le risque contenu |
| Décision et raison | Déclaration à l’APD ou non, raison à l’appui | Défendre le choix en cas de contrôle |
| Correctifs | Numéro abrégé corrigé, double saisie adoptée | Barrer la route à la répétition |
Verrouiller la récidive
L’erreur-type tient en trois causes : un chiffre inversé, un numéro copié d’une source périmée, une touche abrégée jamais revue. Les parades coûtent peu.
Contrôlez le format en amont. Le vérificateur de numéro Faxeroo détecte l’indicatif doublé, la longueur anormale, un numéro de GSM, hors de portée de tout fax. Rien ne lui dit à qui la ligne appartient : seule une source sûre répond.
Les numéros délicats se saisissent deux fois, ou se font relire. Pour vos correspondants habituels, gardez une liste datée de numéros vérifiés, revue à échéance fixe.
Utilisez les délais laissés. Chez Faxeroo, rien ne part sans le clic dans l’e-mail de confirmation, puis sans un compte à rebours d’environ 55 secondes, annulable. Relire le numéro alors prend quelques secondes ; réparer ensuite coûte infiniment plus.
Vos questions
- Le récepteur fortuit doit-il détruire le document ?
- Rien ne l’y oblige, en règle générale : aucun lien contractuel ne vous unit. Mais la plupart des professionnels y consentent volontiers. Demande courtoise confirmée par écrit, réponse attestant la destruction : voilà de quoi limiter le risque et l’attester.
- L’APD doit-elle toujours être prévenue ?
- Non : la déclaration ne s’impose que si la violation risque de nuire aux personnes. Le registre interne, lui, s’écrit dans tous les cas, motif de la décision compris.
- Un fax déjà remis : annulation possible ?
- Non. Pages remises au télécopieur : aucun prestataire ne les reprend. L’annulation n’existe que pendant le décompte d’environ 55 secondes avant le départ.
Données et sécurité
Ce dossier
- Un fax, de l’écran au papier : la sécurité
- Complétez quelques champs, téléchargez le PDF, et mettez-le en première page de l'envoi.
- Transmettre un fax contenant des données personnelles sans enfreindre le règlement européen.
- Belgique : les points à contrôler avant d'expédier un document médical, et les situations qui appellent un canal sécurisé.
Pour prolonger la lecture
Des pages choisies pour préparer votre envoi, le suivre ou en garder la preuve.