MondialFax

Fax et RGPD

Ce que le règlement impose, et ce qu'il ne dit nulle part.

Le RGPD n'interdit pas le fax et ne l'autorise pas non plus : il ne parle pas de canaux, il parle de risques. Envoyer un document contenant des données personnelles est un traitement, quel que soit le moyen, et les obligations qui s'y attachent sont les mêmes que pour un e-mail — minimiser ce qui est transmis, sécuriser la transmission de façon proportionnée au risque, et savoir réagir quand quelque chose part au mauvais endroit. La particularité du fax est simplement que le chiffrement n'est pas disponible, ce qui déplace l'effort vers les mesures d'organisation.

Quatre points qui règlent l'essentiel

Aucun d'eux n'est spécifique au fax, et c'est justement ce qu'il faut comprendre en premier.

  • Envoyer un fax est un traitement

    La transmission de données personnelles est une opération de traitement au sens du règlement, au même titre que la collecte ou la conservation. Le choix du canal ne fait pas sortir l'opération du champ d'application : il change seulement les mesures qui la rendent acceptable.

  • Le règlement ne classe pas les canaux

    Vous ne trouverez nulle part une liste de moyens autorisés ou interdits. Le texte demande des mesures « appropriées au risque », ce qui veut dire que l'appréciation dépend de la sensibilité des données, du volume et des conséquences d'une divulgation — pas d'une étiquette apposée sur la technologie.

  • La minimisation s'applique à la page elle-même

    Le principe de minimisation porte sur les données transmises, pas seulement sur celles que vous conservez. Une page qui contient un numéro de sécurité sociale complet là où l'initiale et le dossier suffisaient est un excès, même si la transmission se passe parfaitement.

  • Un destinataire hors de l'Espace économique européen est un transfert

    Envoyer un fax vers un pays tiers relève des règles sur les transferts internationaux, exactement comme un envoi électronique. Le fait que la donnée voyage sur une ligne téléphonique n'y change rien.

L'absence de chiffrement, et ce qu'elle implique

Le règlement demande des mesures techniques et organisationnelles appropriées, et il cite le chiffrement parmi les exemples — comme un exemple, pas comme une obligation générale. Sur un fax, la question est tranchée d'avance : le protocole n'en prévoit pas, et le dernier segment jusqu'au télécopieur passe en clair sur le réseau téléphonique. Aucun prestataire ne peut y remédier.

Cela ne rend pas le fax non conforme ; cela déplace l'effort. Ce qui reste disponible, ce sont les mesures d'organisation : vérifier le numéro selon une procédure écrite plutôt que de mémoire, prévenir le destinataire pour que la page ne stationne pas sur un appareil accessible, réduire ce qui figure sur la page, et conserver l'accusé de transmission comme preuve de ce qui est parti et où. Ce sont ces mesures-là qui documentent votre appréciation du risque.

Le raisonnement inverse est tout aussi valable : si les données sont sensibles au point que seul un canal chiffré et authentifié conviendrait, et que le destinataire en accepte un, alors le fax n'est pas le bon choix — même si personne ne vous l'interdit.

Le fax parti au mauvais numéro

C'est le scénario RGPD le plus courant du fax, et celui où les réflexes comptent. Une divulgation à un tiers non autorisé est une violation de données à caractère personnel, même sans intention et même si le destinataire est de bonne foi.

  1. Documenter, dans tous les cas

    Le règlement impose de consigner toute violation en interne — les faits, les effets et les mesures prises — indépendamment de la question de savoir si elle doit être notifiée. C'est ce registre que l'autorité de contrôle demande en premier.

  2. Évaluer le risque pour les personnes

    Le critère n'est pas la gravité de l'erreur mais le risque pour les personnes concernées : quelles données, combien de personnes, quelles conséquences possibles, et qui a effectivement reçu la page.

  3. Notifier l'autorité sous 72 heures s'il y a un risque

    La notification à l'autorité de contrôle intervient sans délai injustifié et, si possible, dans les 72 heures après en avoir pris connaissance — sauf si la violation est peu susceptible d'engendrer un risque pour les droits et libertés des personnes.

  4. Informer les personnes si le risque est élevé

    Lorsque la violation est susceptible d'engendrer un risque élevé, les personnes concernées doivent en être informées elles aussi, en des termes clairs et avec les mesures qu'elles peuvent prendre.

Ce qu'une organisation peut mettre en place

Une procédure de vérification du numéro
Écrite, et appliquée par une autre personne que celle qui compose quand l'envoi est sensible. C'est la mesure qui traite la cause la plus fréquente des violations liées au fax.
Une page de garde standard
Avec le destinataire nommé et une mention indiquant la conduite à tenir en cas de réception par erreur. Elle ne contraint personne, mais elle est lue et elle limite la lecture accidentelle de la suite.
Un point de réception surveillé
Un télécopieur placé dans un espace à accès restreint plutôt que dans un couloir. Côté réception, c'est la mesure qui change le plus les choses.
Une purge des appareils
Les multifonctions conservent les pages en mémoire et impriment un journal. Prévoir l'effacement avant toute revente, réparation ou mise au rebut.
Le traitement inscrit au registre
Si l'envoi de fax fait partie de vos processus courants, il figure dans le registre des activités de traitement au même titre que les autres flux, avec sa finalité, ses destinataires et sa durée de conservation.

Questions fréquentes

Le RGPD interdit-il d'envoyer des données de santé par fax ?
Non, aucune disposition ne l'interdit. Les données de santé relèvent en revanche des catégories particulières, dont le traitement obéit à des conditions plus strictes et dont la divulgation présente un risque plus élevé : l'exigence sur les mesures d'accompagnement monte d'un cran, et le destinataire est souvent l'établissement qui impose lui-même ce canal. La question de savoir ce que votre structure a le droit de faire se tranche avec votre délégué à la protection des données.
Un fax envoyé au mauvais numéro est-il une violation de données ?
Oui, dès lors qu'il contient des données personnelles : c'est une divulgation non autorisée. Elle doit être consignée en interne dans tous les cas, notifiée à l'autorité de contrôle s'il existe un risque pour les personnes, et communiquée aux personnes concernées si ce risque est élevé.
Faut-il un contrat avec le service de fax en ligne utilisé ?
Si un prestataire traite des données personnelles pour votre compte, la relation relève des règles applicables aux sous-traitants et suppose un encadrement contractuel. C'est un point à vérifier avec le service que vous utilisez avant d'en faire un outil professionnel régulier, quel qu'il soit.
Que conserve MondialFax de mes envois ?
Le document est supprimé de nos serveurs une fois la transmission terminée : il n'est ni archivé, ni indexé, ni analysé. Le service ne demande aucune inscription, donc il n'existe pas d'espace personnel regroupant vos envois passés. Ce qui subsiste après l'envoi se trouve chez le destinataire, hors de notre portée.

Pour aller plus loin

Les pages les plus utiles pour poursuivre votre envoi de fax.