Télécopie et RGPD

Faxer des données personnelles en restant dans les clous.

Aucun article du RGPD (règlement UE 2016/679) ne vise le fax. Le texte s'applique aux traitements, et transmettre un document qui mentionne une personne identifiable en est un (article 4, point 2). Il vous faut donc une base légale (article 6), un contenu limité au nécessaire (article 5), des mesures de sécurité adaptées au risque (article 32) et une procédure prête en cas d'envoi au mauvais destinataire (articles 33 et 34). Comme le dernier segment d'un fax ne peut pas être chiffré, l'essentiel de la protection repose sur l'organisation : vérification, préparation, discrétion.

Le cadre en quatre principes

Le RGPD raisonne par traitement et par risque, jamais par technologie. Ces quatre repères valent pour le fax comme pour n'importe quel autre envoi.

  • Une transmission est un traitement

    L'article 4, point 2, cite expressément la « communication par transmission » parmi les opérations de traitement. Faxer une fiche client, un bulletin de salaire ou une ordonnance entre donc pleinement dans le champ du règlement.

  • Chaque envoi repose sur une base légale

    L'article 6 en prévoit six : consentement, exécution d'un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public, intérêt légitime. Un employeur qui transmet une attestation à un organisme social répond le plus souvent à une obligation légale.

  • Seul le nécessaire voyage

    Le principe de minimisation (article 5, paragraphe 1, point c) impose de ne transmettre que des données adéquates, pertinentes et limitées à la finalité. Avant de générer le PDF, supprimez les pages et les mentions dont le destinataire n'a pas l'usage.

  • Hors de l'Espace économique européen, d'autres règles s'ajoutent

    Faxer vers un pays tiers constitue un transfert soumis au chapitre V (articles 44 à 49). Pour le Canada, la Commission européenne a reconnu un niveau de protection adéquat aux organisations relevant de la loi fédérale PIPEDA (décision 2002/2/CE) ; pour d'autres destinataires canadiens, comme certaines administrations provinciales, vérifiez les garanties applicables.

Sécurité : ce que l'article 32 demande à un fax

L'article 32 oblige le responsable du traitement et le sous-traitant à mettre en œuvre des mesures techniques et organisationnelles garantissant un niveau de sécurité adapté au risque, en tenant compte de l'état des connaissances, des coûts et de la nature des données. Le chiffrement y figure comme une mesure possible, aux côtés de la pseudonymisation et des procédures de test régulières, à mobiliser selon les besoins.

Pour un fax, le chiffrement ne couvre qu'une partie du trajet. Avec FaxTelecom, le dépôt du PDF passe en HTTPS et le fichier est supprimé après l'envoi ; la ligne téléphonique jusqu'au télécopieur reste en clair, comme pour tout service de télécopie. Les mesures organisationnelles prennent donc le relais : liste de numéros validés, double contrôle pour les envois sensibles, appel préalable au destinataire, pages anonymisées quand c'est possible.

Consignez ces choix. L'article 5, paragraphe 2, pose le principe de responsabilité : vous devez pouvoir démontrer votre conformité. Une note expliquant pourquoi le fax est retenu pour tel flux, et quelles précautions l'accompagnent, constitue précisément cette démonstration. Si l'analyse conclut que le risque reste trop élevé sans chiffrement de bout en bout, choisissez un autre canal.

Fax envoyé au mauvais destinataire : la marche à suivre

Une page contenant des données personnelles qui arrive chez un tiers constitue une violation de données au sens de l'article 4, point 12, même si l'erreur est involontaire et que le tiers est de bonne foi. Voici les réflexes à adopter, dans l'ordre.

  1. Contenir l'incident

    Contactez le destinataire involontaire, demandez la destruction des pages et, si possible, une confirmation écrite. Ces démarches réduisent le risque et seront à mentionner dans votre documentation.

  2. Inscrire la violation au registre interne

    L'article 33, paragraphe 5, exige de documenter chaque violation : faits, conséquences, mesures correctrices. Cette obligation s'applique même lorsqu'aucune notification n'est due.

  3. Notifier l'autorité dans les 72 heures si nécessaire

    Sauf si elle ne présente vraisemblablement aucun risque pour les personnes concernées, la violation est notifiée à l'autorité de contrôle (la CNIL en France) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33, paragraphe 1). Passé ce délai, la notification doit expliquer le retard.

  4. Prévenir les personnes en cas de risque élevé

    Si le risque est élevé (données de santé, coordonnées bancaires, éléments permettant une usurpation d'identité), les personnes concernées sont informées dans les meilleurs délais, en termes clairs (article 34). Un sous-traitant doit pour sa part alerter le responsable du traitement dans les meilleurs délais (article 33, paragraphe 2).

Mesures à mettre en place dans votre structure

Un annuaire de numéros validés
Les correspondants réguliers (caisse, laboratoire, greffe, assureur) figurent dans une liste vérifiée et datée. On compose depuis cette liste, jamais de mémoire.
Le double contrôle pour les envois sensibles
Pour un dossier médical ou financier, un collègue relit le numéro et le contenu avant l'envoi. Deux minutes qui évitent la majorité des erreurs.
Un modèle de page de garde
Destinataire nommé, nombre de pages, coordonnées de l'expéditeur et consigne en cas de réception par erreur. Placé en tête de chaque transmission, il oriente immédiatement la personne qui découvre le fax.
Des télécopieurs maîtrisés
En réception, installez l'appareil dans un local fermé ou activez la réception en mémoire protégée par code quand le modèle le permet. Effacez le disque ou la mémoire avant toute restitution d'un matériel loué.
Une fiche au registre des traitements
Si le fax fait partie de vos flux habituels, décrivez-le dans le registre prévu à l'article 30 : finalité, catégories de données et de destinataires, transferts éventuels, durées de conservation, mesures de sécurité.

Vos questions

Puis-je faxer des données de santé ?
Oui, le RGPD ne l'interdit pas. Ces données font partie des catégories particulières de l'article 9 : leur traitement exige l'une des exceptions prévues par ce même article, par exemple la prise en charge sanitaire, et un niveau de précaution renforcé. En France, le secret médical et les règles des professions de santé s'y ajoutent. Votre DPO ou votre ordre professionnel peut préciser ce qui s'applique à votre activité.
Faut-il signer un contrat avec un prestataire de télécopie ?
Quand un prestataire agit pour votre compte sur des données personnelles, l'article 28 impose un contrat qui fixe ses obligations : instructions, confidentialité, sécurité, sort des données en fin de prestation. Si vous envisagez d'utiliser FaxTelecom de façon régulière pour une organisation, écrivez à contact@faxtelecom.com pour examiner ce cadre.
Combien de temps mes documents sont-ils conservés ?
Chez FaxTelecom, le PDF déposé ne sert qu'à l'envoi et il est supprimé automatiquement ensuite ; le paiement par carte, lorsqu'il y en a un, est traité par Stripe. De votre côté, fixez une durée de conservation pour les copies et accusés que vous gardez (article 5, paragraphe 1, point e). Chez le destinataire, la conservation relève de sa propre politique.
Une personne citée dans un fax peut-elle exercer ses droits ?
Oui. Accès, rectification, effacement, opposition : les droits prévus aux articles 15 à 22 s'exercent auprès du responsable du traitement, c'est-à-dire l'organisation qui a décidé d'envoyer le document. La réponse doit intervenir dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes ou nombreuses (article 12, paragraphe 3).

Sécurité et données

Dans ce dossier

À consulter ensuite

Une sélection de pages pour préparer, envoyer ou justifier votre télécopie.

Sur le même sujet