RGPD et télécopie

Quatre repères pour un fax conforme

Le règlement raisonne en traitements et en niveaux de risque, jamais en technologies. Fax ou messagerie, les repères ci-dessous s'appliquent pareillement.

• Chaque télécopie est un traitement de données

  La « communication par transmission » figure en toutes lettres parmi les traitements visés à l'article 4, point 2. Expédier un devis nominatif, une fiche de paie ou une ordonnance par fax relève donc entièrement du règlement.

• Un fondement légal pour chaque envoi

  L'article 6 en énumère six : le consentement, l'exécution du contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public et l'intérêt légitime. L'employeur qui adresse une attestation à un organisme social s'appuie en général sur l'obligation légale.

• Aucune donnée superflue dans les pages

  Posé par l'article 5, paragraphe 1, point c, le principe de minimisation n'autorise à faire circuler que des données utiles et proportionnées à la finalité poursuivie. Avant de générer le PDF, allégez le document de tout ce dont le destinataire peut se passer.

• Un destinataire hors EEE déclenche le chapitre V

  Tout envoi vers un pays tiers relève du chapitre V, celui des transferts (articles 44 à 49). Côté Canada, la Commission européenne a estimé la protection suffisante pour les organisations soumises à PIPEDA, la loi fédérale canadienne (décision 2002/2/CE) ; pour les autres destinataires canadiens — certaines administrations provinciales, notamment —, contrôlez les garanties qui s'appliquent.

Erreur de destinataire : le protocole à dérouler

Une page nominative arrivée chez un tiers : c'est une violation de données telle que la définit l'article 4, point 12 — l'intention et la bonne foi n'y changent rien. Les réflexes ci-dessous se suivent dans l'ordre.

1. 1

   Limiter d'abord les dégâts

   Appelez le destinataire involontaire, exigez que les pages soient détruites et, si vous le pouvez, une confirmation par écrit. Ces gestes limitent le risque et nourriront votre dossier interne.

2. 2

   Documenter la violation dans le registre

   L'article 33, paragraphe 5, impose de consigner chaque violation : faits, effets subis, mesures correctrices. L'obligation vaut même si aucune notification n'est finalement due.

3. 3

   Alerter la CNIL sous 72 heures le cas échéant

   Sauf à estimer, au vu des faits, un risque nul ou improbable pour les personnes, la violation doit être portée à la connaissance de l'autorité de contrôle — la CNIL s'agissant de la France — sans retard injustifié et, autant que possible, dans les 72 heures suivant sa découverte (article 33, paragraphe 1). Au-delà, la notification devra justifier son retard.

4. 4

   Avertir les personnes concernées en cas de risque élevé

   Risque élevé — données médicales, coordonnées bancaires, éléments qui facilitent une usurpation d'identité : les personnes touchées sont averties sans traîner, dans un vocabulaire clair (article 34). Le sous-traitant, de son côté, n'écrit pas aux personnes : il alerte aussitôt le responsable du traitement (article 33, paragraphe 2).

Cinq mesures à installer dans votre structure

Un répertoire de numéros vérifiés

Listez, après contrôle et avec une date, vos correspondants habituels : caisses, laboratoires, greffes, assureurs. On numérote depuis cette liste, jamais de tête.

Deux paires d'yeux sur les envois sensibles

Dossier médical ou bancaire : faites relire le numéro et le contenu par un tiers avant le départ. Deux minutes de contrôle écartent la majorité des fautes.

Une page de garde type

Nom du destinataire, total de pages, vos coordonnées et l'instruction à suivre si le fax arrive entre de mauvaises mains : placée en tête d'envoi, elle dit aussitôt à qui s'adressent les feuilles et que faire en cas de méprise.

Des appareils de réception sous contrôle

Côté réception, installez la machine dans une pièce à accès restreint ou, sur les modèles qui l'offrent, faites passer les fax reçus par une mémoire gardée par code. Avant de restituer un matériel loué, effacez-en disque et mémoire.

La télécopie consignée au registre (article 30)

Si la télécopie irrigue vos flux courants, inscrivez-la au registre de l'article 30 : pour quelle finalité, quelles catégories de données et de destinataires, vers quels pays, pour combien de temps, avec quelles protections.

Questions et réponses

Des données médicales peuvent-elles partir par fax ?

Oui, aucun texte européen ne l'interdit. Ces informations figurent parmi les catégories spéciales de l'article 9 : leur traitement suppose l'une des exceptions ouvertes par ce même article — la prise en charge sanitaire, par exemple — et une prudence renforcée. En France s'ajoutent le secret médical et les règles propres aux professions de santé. Pour votre activité précise, interrogez votre DPO ou votre ordre professionnel.

Un contrat est-il nécessaire avec un service de fax ?

Dès qu'un prestataire manie des données personnelles pour votre compte, l'article 28 veut qu'un contrat encadre la mission : les instructions à suivre, la confidentialité, la sécurité, le sort réservé aux données une fois la prestation terminée. Pour un usage régulier de Faxeroo au nom d'une organisation, écrivez à contact@faxeroo.com afin d'examiner ce cadre.

Quelle durée de vie ont mes fichiers chez Faxeroo ?

Le PDF déposé ne sert qu'à l'émission, puis notre système l'efface sans intervention. Le paiement par carte, quand il existe, passe chez Stripe. Fixez une durée aux copies et accusés conservés de votre côté (article 5, paragraphe 1, point e) ; chez le destinataire, sa politique propre s'applique.

Les personnes mentionnées peuvent-elles agir ?

Oui : qu'il s'agisse d'accès, de rectification, d'effacement ou d'opposition, les droits des articles 15 à 22 se dirigent vers le responsable du traitement, c'est-à-dire l'organisme qui a pris la décision d'envoyer. La réponse doit partir sous un mois, délai prolongeable de deux mois si la demande est complexe ou volumineuse (article 12, paragraphe 3).