Votre fax est tombé chez un tiers
Que faire dans l’heure, comment qualifier la fuite de données, et comment ne plus y revenir.
Votre fax est parti chez le mauvais destinataire ? Contactez-le sans attendre pour qu'il détruise les pages reçues, puis confirmez cette demande par écrit. Des données personnelles figuraient dans l'envoi ? Mesurez alors le risque : en Belgique, un incident susceptible de nuire aux personnes se notifie dans les 72 heures auprès de l'APD, l'Autorité de protection des données.
Quatre points à retenir
Le temps travaille contre vous : chaque heure laisse la page sous d’autres yeux.
Des données personnelles parvenues chez un mauvais destinataire constituent une violation du RGPD, même si personne ne s'en aperçoit.
Toute violation rejoint le registre interne, notifiée ou non.
Prévenir n'exige pas grand-chose : vérifiez le numéro avant envoi, saisissez-le une seconde fois, puis relisez l'ensemble tant que vous pouvez encore annuler.
Première heure : contenir la fuite
Première étape : retrouver le numéro qui a vraiment été composé. Sur Faxeroo, la page de suivi l'indique, tout comme l'accusé de transmission PDF si vous l'avez acheté. Un télécopieur classique le conserve dans son journal d'appels ou sur son rapport d'émission.
Composez-le ensuite. Nombre de lignes fax appartiennent à une société ou à un cabinet joignable au téléphone, coordonnées visibles dans l’annuaire professionnel. Signalez l’arrivée par erreur d’un document confidentiel — sans en révéler le contenu — et demandez destruction sans copie ni transfert.
Confirmez par écrit — courriel ou lettre — en sollicitant un retour attestant la destruction. Cette réponse, même sommaire, prouvera le risque réduit. Sans réponse au téléphone, consignez chaque tentative, date et heure.
Avertissez enfin votre référent protection des données — DPO ou personne désignée : l’évaluation sera son affaire.
Qualifier : violation de données ou non ?
Le RGPD assimile à une violation tout accès non autorisé à des données à caractère personnel (article 4, alinéa 12). Un fax qui transmet à un tiers un fichier du personnel, le nom d'un client ou un compte-rendu médical entre dans cette catégorie. Une facture inter-entreprises, sans destinataire identifiable, échappe à cette définition.
L'article 33 laisse 72 heures, à compter de la découverte, pour prévenir l'autorité de contrôle, à moins que l'incident ne présente manifestement aucun risque pour les personnes. Pour en juger, on regarde combien de personnes sont touchées, de quelles données il s'agit (santé, coordonnées bancaires, pièces d'identité), qui les a reçues par erreur et ce qu'il en a fait.
Côté belge, la notification passe par un formulaire en ligne que l’APD (Autorité de protection des données) propose sur son site. Quand le risque est élevé — imaginons un diagnostic reçu par un tiers injoignable —, l’article 34 oblige en outre à informer les personnes concernées, dans un langage simple : nature de l’incident, précautions à prendre de leur côté.
Ces obligations pèsent sur l’organisation qui a lancé l’envoi. Faxeroo transmet vers le numéro saisi : rien ne lui indique la sensibilité du contenu, et nul ne peut reprendre un fax remis.
Le registre interne, rubrique par rubrique
Le paragraphe 5 de l'article 33 du RGPD impose de documenter tout incident de données, y compris lorsque aucun signalement n'a été adressé à l'autorité. Un bref résumé est suffisant, du moment qu'il reprend les éléments essentiels.
| Rubrique | Illustration sur un fax égaré | À quoi elle sert |
|---|---|---|
| Faits | Compte rendu d’hôpital de trois pages, parti un mardi matin vers un numéro aux deux chiffres intervertis | Refaire l’incident sans compter sur les souvenirs |
| Données et personnes visées | Une patiente : nom, date de naissance, diagnostic | Cerner la gravité |
| Moment de la découverte | Appel, une heure après, du vrai destinataire : rien reçu | Marquer le point de départ des 72 heures |
| Réaction et mesures | Appel du destinataire fortuit, destruction confirmée par courriel | Prouver le risque contenu |
| Décision et raison | Déclaration à l’APD ou non, raison à l’appui | Défendre le choix en cas de contrôle |
| Correctifs | Numéro abrégé corrigé, double saisie adoptée | Barrer la route à la répétition |
Verrouiller la récidive
L’erreur-type tient en trois causes : un chiffre inversé, un numéro copié d’une source périmée, une touche abrégée jamais revue. Les parades coûtent peu.
Contrôlez le format en amont. Le vérificateur de numéro Faxeroo détecte l’indicatif doublé, la longueur anormale, un numéro de GSM, hors de portée de tout fax. Rien ne lui dit à qui la ligne appartient : seule une source sûre répond.
Les numéros sensibles doivent être revalidés en double, ou lus à nouveau par un tiers. Pour vos contacts réguliers, consignez une liste datée des numéros vérifiés et actualisez-la à intervalle régulier.
Des délais vous sont accordés pour conserver le contrôle. Sur Faxeroo, aucun envoi n'est lancé avant la validation de l'e-mail de confirmation ; un décompte d'environ 55 secondes s'ensuit, pendant lequel l'annulation demeure possible. Vérifier le numéro prend quelques secondes, tandis qu'une rectification après coup revient nettement plus chère.
Vos questions
- Le récepteur fortuit doit-il détruire le document ?
- Rien ne l’y oblige, en règle générale : aucun lien contractuel ne vous unit. Mais la plupart des professionnels y consentent volontiers. Formulez votre demande poliment, doublez-la d’un écrit et sollicitez une confirmation que les pages ont été détruites : vous réduisez le risque et en gardez la trace.
- L’APD doit-elle toujours être prévenue ?
- Non : la déclaration ne s’impose que si la violation risque de nuire aux personnes. Le registre interne, lui, s’écrit dans tous les cas, motif de la décision compris.
- Un fax déjà remis : annulation possible ?
- Non. Pages remises au télécopieur : aucun prestataire ne les reprend. L’annulation n’existe que pendant le décompte d’environ 55 secondes avant le départ.
Données et sécurité
Ce dossier
- Un fax, de l’écran au papier : la sécurité
- Complétez quelques champs, téléchargez le PDF, et mettez-le en première page de l'envoi.
- Transmettre un fax comportant des informations personnelles sans enfreindre le règlement européen.
- Belgique : les points à contrôler avant d'expédier un document médical, et les situations qui appellent un canal sécurisé.
Pour prolonger la lecture
Des pages choisies pour préparer votre envoi, le suivre ou en garder la preuve.