La confidentialité dès la conception

Peu de données collectées, une conservation courte et des repères clairs pour faxer des informations personnelles.

Mis à jour le :

Le RGPD (règlement (UE) 2016/679) ne mentionne pas le fax, mais il s'y applique : envoyer un document concernant une personne identifiable constitue un traitement de données personnelles. CaptainFax est exploité depuis la France, donc les règles européennes nous concernent. Nous ne conservons le document téléversé que jusqu'à l'envoi du fax, nous n'exigeons aucun compte, et les paiements par carte passent par Stripe. Si c'est vous qui faxez des données personnelles, vous êtes en général le responsable du traitement. Les sections suivantes détaillent ce que cela implique, notamment pour la sécurité et pour un fax parti chez la mauvaise personne.

Quatre idées pour commencer

Le RGPD raisonne en données et en risques, pas en technologies. Ces points valent pour un fax comme pour un courriel ou un courrier.

  • Transmettre, c'est traiter

    Selon l'article 4, paragraphe 2, une communication par transmission est une opération de traitement. Envoyer par fax une fiche de paie, un formulaire médical ou un dossier client entre donc dans le champ du règlement.

  • Une base légale est nécessaire

    L'article 6 en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêts légitimes. Laquelle convient dépend de la raison de l'envoi et du destinataire.

  • Le nécessaire, rien de plus

    Selon la minimisation des données (article 5, paragraphe 1, point c), les données doivent être adéquates, pertinentes et limitées à la finalité. Retirez pages et détails superflus avant de fabriquer le PDF.

  • Les transferts hors de l'UE ont des conditions

    Un fax envoyé dans un pays n'appartenant pas à l'Espace économique européen relève des transferts encadrés par le chapitre V (articles 44 à 49). Le Canada, l'une de nos destinations, fait l'objet d'une décision d'adéquation (2002/2/CE) de la Commission européenne, qui couvre les organismes commerciaux soumis à la loi PIPEDA. Si votre destinataire canadien n'entre pas dans ce champ, vérifiez quelle garantie s'applique.

Ce que l'article 32 implique pour un fax

D'après l'article 32, responsable du traitement et sous-traitant doivent mettre en place des mesures techniques et organisationnelles adaptées au niveau de risque, en prenant en compte l'état de l'art, le coût de mise en œuvre et la nature des données. Parmi les mesures possibles figurent le chiffrement, la pseudonymisation et des tests réguliers.

Pour un fax, le chiffrement ne couvre que le début du trajet. Chez CaptainFax, le téléversement se fait en HTTPS et le fichier est supprimé une fois le fax envoyé. Le tronçon téléphonique reste non chiffré, comme pour tout fax. Les mesures organisationnelles doivent donc faire le reste : numéros vérifiés, relecture par une seconde personne des fax sensibles, appel préalable au destinataire, pages anonymisées chaque fois que la finalité le permet.

Consignez vos choix par écrit. L'article 5, paragraphe 2, vous demande de pouvoir démontrer votre conformité, et une courte note expliquant pourquoi le fax sert pour un flux donné et quelles précautions l'accompagnent remplit ce rôle. Si votre analyse de risque conclut que le fax sans chiffrement de bout en bout est trop risqué pour certains contenus, passez par un autre canal.

Un fax est parti chez la mauvaise personne

Lorsqu'une page contenant des données personnelles atteint quelqu'un qui n'en était pas le destinataire, il s'agit d'une violation de données (article 4, point 12), même si personne ne l'a voulu. Suivez ces étapes dans l'ordre.

  1. Limiter les dégâts

    Contactez le destinataire non prévu, demandez-lui de détruire les pages et, si possible, de le confirmer par écrit. Gardez la trace de ces échanges.

  2. L'enregistrer en interne

    L'article 33, paragraphe 5, impose de documenter toute violation : les faits, ses effets et les mesures prises. Cela vaut même lorsqu'aucune notification n'est nécessaire.

  3. Notifier l'autorité sous 72 heures si nécessaire

    Sauf si elle n'est pas susceptible d'entraîner un risque pour les personnes, la violation doit être notifiée à l'autorité de contrôle nationale (article 33, paragraphe 1) dans les meilleurs délais et, si possible, dans un délai de 72 heures à compter de sa découverte. Au-delà, la notification doit indiquer les motifs du retard.

  4. Prévenir les personnes quand le risque est élevé

    Si le risque est élevé, notamment pour des données de santé, des données bancaires ou des informations facilitant l'usurpation d'identité, les personnes touchées doivent en être avisées sans tarder et dans un langage clair (article 34). Le sous-traitant, lui, avertit le responsable du traitement sans attendre (article 33, paragraphe 2).

Ce qu'il faut mettre en place dans votre organisation

Une liste de numéros vérifiés
Conservez vos destinataires habituels, comme un assureur, un laboratoire ou un greffe, dans une liste contrôlée et datée. On y prend le numéro, jamais de mémoire.
Un second regard sur les fax sensibles
S'il s'agit d'un dossier médical ou financier, une seconde personne contrôle le numéro et le contenu avant l'envoi. Ces deux minutes préviennent l'essentiel des erreurs.
Une page de garde type
Le nom du destinataire, le nombre de pages, les coordonnées de l'expéditeur et la marche à suivre si les pages sont arrivées au mauvais endroit. En tête de chaque envoi, elle dit à celui qui découvre les pages comment réagir.
La maîtrise de vos propres appareils
Pour les fax que vous recevez, placez l'appareil dans un local fermé à clé ou, si le modèle l'offre, utilisez la réception en mémoire verrouillée par code PIN. Effacez la mémoire ou le disque avant de rendre un appareil loué.
Une ligne dans votre registre des traitements
Quand le fax s'inscrit dans des échanges récurrents, consignez-le dans le registre prévu par l'article 30 : objectif, catégories de données et de destinataires, transferts, durées de conservation, mesures de sécurité.

Questions fréquentes

A-t-on le droit de faxer des données de santé ?
Le RGPD ne l'interdit pas. Mais les données de santé figurent parmi les catégories particulières visées à l'article 9 : il faut s'appuyer sur l'une des exceptions prévues, par exemple la prestation de soins, et redoubler de précaution. Les règles nationales, comme le secret médical, s'y ajoutent. Pour savoir ce qui s'applique à votre exercice, interrogez votre délégué à la protection des données (DPO) ou votre ordre professionnel.
Faut-il un contrat avec CaptainFax ?
Dès lors qu'un prestataire traite des données personnelles en votre nom, l'article 28 prévoit un contrat couvrant les instructions, la confidentialité, la sécurité, ainsi que la restitution ou la suppression des données à la fin de la prestation. Si votre organisation compte utiliser CaptainFax régulièrement pour des documents contenant des données personnelles, écrivez-nous depuis la page de contact afin d'étudier le sujet ensemble.
Pendant combien de temps mes documents restent-ils stockés ?
Chez CaptainFax, le fichier téléversé sert à envoyer le fax, puis il est supprimé automatiquement. Les paiements par carte sont traités par Stripe. Quant à vos propres copies et justificatifs, c'est à vous de fixer leur durée de garde (article 5, paragraphe 1, point e). Du côté du destinataire, la durée dépend de sa propre politique.
Quelqu'un dont le nom apparaît dans un fax peut-il faire valoir ses droits ?
Oui. Les droits d'accès, de rectification, d'effacement, d'opposition et les autres prévus aux articles 15 à 22 se font valoir auprès du responsable du traitement, soit l'organisation qui a décidé d'expédier le document. Elle a un mois pour répondre, porté à trois mois si les demandes sont complexes ou nombreuses (article 12, paragraphe 3).

Pour aller plus loin

Quelques pages qui complètent celle que vous venez de lire.

Questions liées