RGPD et télécopie

Transmettre un fax comportant des informations personnelles sans enfreindre le règlement européen.

Le règlement (UE) 2016/679 ne fait pas expressément mention de la télécopie : il s'applique aux opérations de traitement des données, et l'envoi d'un document permettant d'identifier une personne entre dans cette catégorie (article 4, deuxième alinéa). En pratique, il faut ériger : une assise légale (article 6), un contenu strictement proportionné (article 5), une sécurité adaptée au risque (article 32) et, si le fax est envoyé à la mauvaise adresse, une procédure de prise de note (articles 33 et 34). La dernière étape du parcours d'un fax traverse le plus souvent sans filtrage : la conformité dépend donc essentiellement de votre organisation — vérification des numéros, préparation rigoureuse des pages, discrétion du destinataire.

Quatre repères pour un fax conforme

Le règlement raisonne en traitements et en niveaux de risque, jamais en technologies. Fax ou messagerie, les repères ci-dessous s'appliquent pareillement.

  • Chaque télécopie est un traitement de données

    La « communication par transmission » figure en toutes lettres parmi les traitements visés à l'article 4, point 2. Expédier un devis nominatif, une fiche de paie ou une ordonnance par fax relève donc entièrement du règlement.

  • Un fondement légal pour chaque envoi

    L'article 6 en énumère six : le consentement, l'exécution du contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public et l'intérêt légitime. L'employeur qui adresse une attestation à un organisme social s'appuie en général sur l'obligation légale.

  • Aucune donnée superflue dans les pages

    Posé par l'article 5, paragraphe 1, point c, le principe de minimisation n'autorise à faire circuler que des données utiles et proportionnées à la finalité poursuivie. Avant de générer le PDF, allégez le document de tout ce dont le destinataire peut se passer.

  • Un destinataire hors EEE déclenche le chapitre V

    Tout envoi vers un pays tiers relève du chapitre V, celui des transferts (articles 44 à 49). La Commission européenne a jugé adéquate la protection offerte aux organisations canadiennes régies par PIPEDA, la loi fédérale du pays (décision 2002/2/CE). Les autres destinataires canadiens — par exemple certaines administrations provinciales — supposent que vous contrôliez les garanties applicables.

Article 32 : la sécurité attendue d'un envoi par fax

En vertu de l'article 32, le responsable du traitement comme le sous-traitant sont tenus d'adopter des dispositifs adaptés, d'ordre technique ou organisationnel, garantissant une sécurité proportionnée aux risques. Pour juger du niveau attendu, il retient l'état des connaissances, la nature des données en jeu et le coût des mesures. Il cite spécialement le recours au chiffrement, à la pseudonymisation, ainsi que des mécanismes évalués régulièrement, à moduler selon chaque contexte.

Sur une télécopie, le chiffrement ne protège qu'une portion du trajet. Chez Faxeroo, le dépôt du PDF s'effectue en HTTPS et le fichier disparaît automatiquement après l'émission ; le segment téléphonique qui conduit jusqu'à la machine du destinataire, lui, circule en clair, comme sur n'importe quelle télécopie. La protection passe alors par l'organisation : répertoire de numéros vérifiés, seconde relecture pour les envois délicats, appel préalable au correspondant, pages anonymisées quand c'est possible.

Tracez ces décisions par écrit. Selon le principe de responsabilité (article 5, paragraphe 2), vous devez démontrer votre mise en conformité : un document expliquant pourquoi la télécopie se justifie pour ce flux et détaillant les mesures adoptées représente un élément de preuve robuste. Si votre analyse conclut qu'une protection totale des communications s'avère incontournable, privilégiez un autre canal d'envoi.

Erreur de destinataire : le protocole à dérouler

Une page nominative arrivée chez un tiers : c'est une violation de données telle que la définit l'article 4, point 12 — l'intention et la bonne foi n'y changent rien. Les réflexes ci-dessous se suivent dans l'ordre.

  1. Limiter d'abord les dégâts

    Appelez le destinataire involontaire, exigez que les pages soient détruites et, si vous le pouvez, une confirmation par écrit. Ces gestes limitent le risque et nourriront votre dossier interne.

  2. Documenter la violation dans le registre

    Toute violation doit être inscrite dans un registre interne (article 33, paragraphe 5), y compris celles qui, au final, n'appellent aucune notification : on y note ce qui s'est passé, ses conséquences et les mesures prises pour y remédier.

  3. En cas de problème, notifier la CNIL sous un délai de 72 heures.

    Sauf si l'on considère, au vu des éléments, qu'aucun risque ni risque probable n'est prévisible pour les personnes concernées, vous devez informer l'instance de contrôle compétente — la CNIL pour la France — sans délai excessif, et, idéalement, dans les 72 heures suivant votre prise de connaissance (article 33, alinéa 1). Au-delà de ce délai, votre notification devra expliquer pourquoi vous l'avez dépassé.

  4. Avertir les personnes concernées en cas de risque élevé

    Risque élevé — données médicales, coordonnées bancaires, éléments pouvant aider à usurper une identité : les personnes intéressées doivent être informées en toute urgence et de manière claire (article 34). Par ailleurs, le prestataire ne s'adresse pas directement à ces derniers ; il alerte sans délai le responsable du traitement (article 33, alinéa 2).

Cinq mesures à installer dans votre structure

Un répertoire de numéros vérifiés
Listez, après contrôle et avec une date, vos correspondants habituels : caisses, laboratoires, greffes, assureurs. Le numéro se recopie de cette fiche, pas de souvenir.
Deux paires d'yeux sur les envois sensibles
Dossier médical ou bancaire : faites relire le numéro et le contenu par un tiers avant le départ. Deux minutes de contrôle écartent la majorité des fautes.
Une page de garde type
Nom du destinataire, nombre total de pages, vos coordonnées et la conduite à tenir si le fax est intercepté : placée en début d'envoi, elle indique immédiatement à qui s'adressent les feuilles et quelles sont les démarches à suivre en cas de méprise.
Des appareils de réception sous contrôle
Côté réception, installez la machine dans une pièce à accès restreint ou, sur les modèles qui l'offrent, faites passer les fax reçus par une mémoire gardée par code. Avant de restituer un matériel loué, effacez-en disque et mémoire.
La télécopie consignée au registre (article 30)
Si la télécopie irrigue vos flux courants, inscrivez-la au registre de l'article 30 : finalité poursuivie, nature des informations traitées, destinataires concernés, pays de destination, durée de conservation, mesures de protection.

Questions et réponses

Des données médicales peuvent-elles partir par fax ?
Oui, rien dans la réglementation européenne ne l'interdit. Ces informations appartiennent aux catégories particulières définies par l'article 9 : il convient par conséquent de se fonder sur l'une des dérogations que ce texte liste — les soins de santé, par exemple — tout en redoublant de prudence. Le droit français vient y ajouter le secret médical ainsi que la déontologie propre aux professions de santé. Pour votre situation concrète, adressez-vous au DPO de votre organisme ou à l'ordre professionnel dont vous relevez.
Un contrat est-il nécessaire avec un service de fax ?
Dès qu'une entreprise confie à un prestataire la manipulation de données personnelles, l'article 28 exige un accord précis : mesures obligatoires, respect de la confidentialité, protections de sécurité, gestion des fichiers une fois la prestation terminée. Pour un recours régulier à Faxeroo au nom d'un groupe, adressez-nous contact@faxeroo.com pour valider ce cadre.
Quelle durée de vie ont mes fichiers chez Faxeroo ?
Votre PDF ne sert qu'à l'expédition, puis notre programme l'efface automatiquement. S'il y a un paiement par carte, celui-ci passe par Stripe. De son côté, le destinataire applique ses propres règles ; pour les copies et les reçus que vous conservez, déterminez une durée (article 5, paragraphe 1, point e).
Les personnes mentionnées peuvent-elles agir ?
Oui. La personne s'adresse à l'organisme qui a décidé de l'envoi, puisque c'est lui qui répond du traitement, et peut invoquer chacun des droits que lui ouvrent les articles 15 à 22 : accès, rectification, effacement, opposition. Il dispose d'un mois pour répondre, et de deux mois supplémentaires en cas de demande complexe ou volumineuse (article 12, paragraphe 3).

Données et sécurité

Ce dossier

Pour prolonger la lecture

Des pages choisies pour préparer votre envoi, le suivre ou en garder la preuve.

Voir aussi