Réponse courte : en 2026, le fax n'est ni interdit par le RGPD, ni conforme par nature. Le règlement européen ne parle pas de télécopie — il parle de traitements de données personnelles et exige des « mesures techniques et organisationnelles appropriées » (article 32). Un fax devient un problème RGPD à trois endroits précis : au départ (un chiffre de trop dans le numéro et le document part chez un inconnu), pendant le transit (la voie analogique et une bonne partie des liaisons VoIP ne sont pas chiffrées), à l'arrivée (un bac de réception posé dans un couloir, c'est une divulgation à toute personne qui passe). Les trois se corrigent, et aucune ne nécessite d'abandonner le fax : un numéro de réception nominatif, une remise par e-mail vers une boîte contrôlée, une vérification systématique des numéros et un registre à jour suffisent à faire d'une télécopie un traitement défendable devant la CNIL.
Le sujet est devenu sensible parce que le fax survit précisément là où circulent les données les plus sensibles : cabinets médicaux, laboratoires, pharmacies, études notariales, assurances, services RH, administrations. Autrement dit, des « données de santé » et des « données particulières » au sens de l'article 9 du RGPD, celles dont la divulgation coûte le plus cher — en sanction comme en réputation. La CNIL a d'ailleurs publié plusieurs rappels sur les envois erronés de documents médicaux, et le fax y figure régulièrement aux côtés de l'e-mail mal adressé.
Ce que le RGPD exige réellement d'un envoi de fax
Aucun article du règlement ne mentionne la télécopie. Ce qui s'applique, ce sont les principes généraux, et trois d'entre eux mordent particulièrement sur le fax.
La minimisation (article 5.1.c). Vous ne devez transmettre que les données nécessaires à la finalité. Dans la pratique, cela signifie ne pas faxer un dossier complet quand une seule page suffit, et masquer ce qui ne concerne pas le destinataire. Un compte rendu adressé à un confrère n'a pas besoin de comporter le numéro de sécurité sociale complet si le nom et la date de naissance suffisent à l'identification.
La sécurité du traitement (article 32). Le texte demande des mesures « appropriées au risque », en citant explicitement le chiffrement et la pseudonymisation parmi les options, sans les rendre obligatoires. C'est là que se joue tout le débat : un fax analogique n'est pas chiffré, mais il est acheminé sur un circuit dédié difficile à intercepter sans accès physique à la ligne. Un fax transmis via un service en ligne sérieux transite en TLS jusqu'au prestataire, puis en T.38 sur un réseau opérateur. Ni l'un ni l'autre n'est du chiffrement de bout en bout — et c'est exactement pour cette raison que le canal de secours compte : sur des données ultra-sensibles, une messagerie sécurisée de santé reste préférable, comme nous l'expliquions dans notre comparatif fax ou messagerie sécurisée.
La notification des violations (articles 33 et 34). Un fax parti au mauvais numéro est une violation de données au sens du règlement dès lors qu'il contient des données personnelles. Le réflexe « on rappelle le destinataire et on n'en parle plus » est précisément ce que la CNIL sanctionne quand elle le découvre lors d'un contrôle.
Les cinq points de fuite d'un envoi de télécopie
1. Le numéro mal composé
C'est, de loin, la première cause d'incident. Un 3 à la place d'un 8, un indicatif international oublié, une fiche contact jamais mise à jour depuis que le cabinet a déménagé. Contrairement à l'e-mail, le fax ne rebondit pas : un numéro attribué à quelqu'un d'autre accepte l'appel, imprime le document, et vous recevez un accusé « transmission réussie » parfaitement rassurant.
Les parades tiennent en trois habitudes :
- Un carnet d'adresses centralisé plutôt que des post-it et des mémoires de télécopieur. Les numéros y sont validés une fois, par une personne identifiée, et corrigés pour tout le monde.
- La double saisie pour les destinataires occasionnels : on tape le numéro, on relit à voix haute chiffre par chiffre, on envoie.
- Un envoi test d'une page de garde vierge avant une transmission volumineuse vers un nouveau correspondant. Le rapport de transmission confirme l'identifiant du poste distant (le CSID), souvent le nom du cabinet ou de l'entreprise : une vérification gratuite qui évite l'essentiel des erreurs.
2. La page de garde trop bavarde
Une page de garde qui affiche en clair « Résultats analyse VIH — Mme Dupont, née le 14/03/1978 » divulgue la donnée sensible avant même que quiconque ait ouvert le dossier. Elle doit identifier l'expéditeur, le destinataire nommément, le nombre de pages et porter une mention de confidentialité — pas résumer le contenu. Nous avons détaillé les mentions utiles dans notre modèle de page de garde.
3. Le bac de réception en libre accès
Le point aveugle classique. L'entreprise chiffre ses sauvegardes, verrouille ses sessions… et laisse un télécopieur imprimer en continu dans un espace ouvert, parfois accessible aux visiteurs et aux prestataires de ménage. Sur du papier thermique, les documents s'accumulent pendant le week-end et personne ne sait combien de pages ont été prises.
Deux réponses existent. La première consiste à basculer en réception par e-mail : plus rien ne s'imprime, les documents arrivent dans une boîte nominative ou une boîte de service à accès tracé — c'est le principe du fax-to-email. La seconde, quand l'impression reste nécessaire, impose de déplacer l'appareil dans un local fermé et d'y ajouter un destructeur de documents à coupe croisée pour les pages erronées ou obsolètes, que personne ne doit jeter telles quelles dans la corbeille.
4. Le prestataire et son hébergement
Dès que vous passez par un service de fax en ligne, ce service devient sous-traitant au sens de l'article 28 du RGPD. Trois vérifications s'imposent avant de signer :
| Point à vérifier | Ce qu'il faut obtenir |
|---|---|
| Contrat de sous-traitance | Un article 28 écrit (DPA), listant finalités, durée et mesures de sécurité |
| Localisation des données | Hébergement UE, ou garanties appropriées documentées pour tout transfert hors UE |
| Durée de rétention | Combien de temps le PDF reste sur les serveurs, et comment le purger |
| Données de santé | Certification HDS (hébergeur de données de santé) si vous traitez des dossiers patients |
| Journalisation | Des logs d'envoi/réception exploitables en cas de contrôle ou de litige |
La certification HDS n'est pas un détail marketing : pour un cabinet médical, un laboratoire ou un service de soins, l'hébergement de données de santé par un tiers est encadré par le Code de la santé publique. Un prestataire qui ne sait pas répondre à la question mérite qu'on cherche ailleurs.
5. Le télécopieur en fin de vie
Les multifonctions professionnels embarquent un disque dur ou une mémoire flash qui conserve les images des documents envoyés et reçus, parfois plusieurs milliers de pages. Revendre ou jeter l'appareil sans effacement sécurisé, c'est exporter une base de données. Avant toute sortie de parc, il faut lancer la fonction d'effacement du constructeur (souvent appelée « data overwrite » ou « initialisation disque »), et pour les machines dont le disque est extractible, le retirer physiquement. Nous avions consacré un article entier à cette étape dans fin de vie du télécopieur.
Un fax parti au mauvais numéro : la procédure en 72 heures
Le compte à rebours de l'article 33 démarre au moment où vous prenez connaissance de la violation, pas au moment où elle s'est produite. Voici la marche à suivre, dans l'ordre.
Heure 0 — Qualifier. Notez le numéro composé, le numéro correct, l'horodatage du rapport de transmission, la nature des données (identité, coordonnées, santé, données bancaires) et le nombre de personnes concernées. Conservez le rapport : c'est votre pièce.
Heure 1 — Limiter. Appelez le numéro erroné en voix. Dans la majorité des cas, un interlocuteur répond ; demandez la destruction du document et notez le nom de la personne, la date et l'heure. Ce n'est pas une garantie juridique, mais c'est une mesure d'atténuation qui compte dans l'appréciation du risque.
Heure 2 — Consigner. Toute violation, même non notifiée, doit figurer au registre des violations exigé par l'article 33.5. Un simple tableau daté suffit, à condition d'y faire figurer les faits, les effets et les mesures prises.
Sous 72 heures — Notifier si nécessaire. Si la violation est susceptible d'engendrer un risque pour les droits et libertés des personnes, elle se notifie à la CNIL via le téléservice dédié. Avec des données de santé ou bancaires, la réponse est presque toujours oui. Si le risque est élevé, l'article 34 impose en plus d'informer les personnes concernées, individuellement et en termes clairs.
Ensuite — Corriger la cause. Une violation non suivie d'une mesure corrective est une circonstance aggravante. Corriger la fiche contact, activer la double saisie, former l'équipe : trois lignes dans le registre qui changent tout lors d'un contrôle.
Organiser la conformité sans alourdir le quotidien
Inscrire le fax au registre des traitements
Le registre de l'article 30 doit décrire les traitements, pas les outils — mais si la télécopie est votre canal principal pour transmettre des comptes rendus ou des dossiers, elle doit apparaître dans la rubrique « destinataires » et « mesures de sécurité » du traitement concerné. Une ligne : « transmission par télécopie via prestataire X, hébergement UE, conservation 30 jours ». C'est cette ligne qu'un contrôleur cherchera.
Écrire une procédure d'une page
La conformité RGPD d'un fax ne se joue pas dans un document de quarante pages mais dans un mémo affiché près du poste : qui est autorisé à envoyer, comment on vérifie un numéro, que met-on sur la page de garde, que fait-on d'une erreur, où sont archivés les rapports. Un classeur d'archivage à levier pour les rapports papier et un dossier daté sur le serveur pour les PDF font le reste. Les durées de conservation, elles, suivent la nature du document et non le canal — sujet que nous avons traité dans notre guide d'archivage.
Former, brièvement mais vraiment
Les incidents de fax ne viennent presque jamais d'une attaque : ils viennent d'un geste routinier fait trop vite. Vingt minutes de sensibilisation par an, avec deux ou trois cas concrets, réduisent les erreurs davantage que n'importe quel équipement. Pour les structures sans DPO, un guide pratique du RGPD pour TPE/PME en édition récente donne le cadre suffisant pour tenir un registre correct.
Protéger le poste de consultation
Si les fax arrivent désormais par e-mail, le risque se déplace vers l'écran. Dans un secrétariat médical ou un guichet ouvert au public, un filtre de confidentialité pour écran empêche la lecture latérale, et le verrouillage automatique de session à trois minutes fait le reste. Sur un poste nomade, une clé USB chiffrée matériellement évite qu'un dossier exporté pour une réunion ne finisse en clair dans une poche.
Questions fréquentes
Le fax est-il plus sûr que l'e-mail pour envoyer des données de santé ?
Ni plus ni moins, différemment. L'e-mail ordinaire traverse plusieurs serveurs et laisse des copies partout ; le fax suit un circuit plus direct mais n'est pas chiffré de bout en bout. Pour les données de santé entre professionnels, une messagerie sécurisée de santé reste la référence en France. Le fax garde son utilité face aux correspondants qui n'y sont pas raccordés — notamment à l'étranger.
Faut-il le consentement du patient pour envoyer son dossier par fax ?
Le consentement n'est qu'une base légale parmi six. Entre professionnels de santé participant à la prise en charge, la transmission repose généralement sur une autre base et sur le secret partagé. Ce qui reste obligatoire : informer la personne des destinataires de ses données, et ne transmettre que le nécessaire.
Un accusé de transmission prouve-t-il la bonne réception ?
Il prouve qu'un appareil distant a répondu et accepté les pages, avec un horodatage et souvent un identifiant CSID. Il ne prouve pas que le bon destinataire les a lues. C'est pour cette raison qu'il doit être archivé avec le document transmis, et non séparément.
Combien de temps un prestataire de fax en ligne conserve-t-il mes documents ?
Cela dépend du contrat, et c'est précisément une question à poser avant de souscrire. Une durée courte, paramétrable, avec suppression effective à l'expiration, est le bon signal. Exigez que ce point figure au DPA.
Un fax envoyé à l'étranger change-t-il quelque chose au RGPD ?
Le transfert de données hors Union européenne est encadré par le chapitre V du règlement. En pratique, l'envoi ponctuel vers un destinataire identifié dans un pays tiers peut relever d'une dérogation, mais un flux régulier demande un encadrement documenté. Vérifiez au passage la liste des destinations compatibles avant d'organiser un flux récurrent.
À retenir
- Le RGPD ne parle pas du fax : il parle de risque, de minimisation et de sécurité appropriée. Le fax reste utilisable, sous conditions.
- Les trois zones de fuite sont le numéro composé, le bac de réception et le prestataire. Aucune n'est technique au sens strict : elles se traitent par l'organisation.
- Un fax mal adressé est une violation de données : qualifier, limiter, consigner au registre, notifier à la CNIL sous 72 heures si le risque existe.
- Un service de fax en ligne doit fournir un DPA, un hébergement UE, une durée de rétention paramétrable — et une certification HDS dès qu'il s'agit de données de santé.
- Un télécopieur sorti du parc sans effacement mémoire emporte avec lui des mois de documents : l'effacement sécurisé fait partie de la procédure de mise au rebut.
- La réception par e-mail supprime le bac en libre accès, mais déplace le risque vers l'écran et la boîte partagée : accès nominatifs, verrouillage, filtre de confidentialité.
Pour les questions pratiques sur l'envoi et la réception, notre foire aux questions complète ce guide ; et si vous voulez simplement tester une transmission propre avant de refondre vos procédures, tout part de la page d'envoi.
Mots-clésfaxsecuritypaperless
