Fax médical et données de santé : ce que dit la loi

Réponse courte : transmettre des données de santé par fax n'est pas interdit en France, mais ce n'est pas non plus un blanc-seing. Le RGPD classe ces informations parmi les données sensibles, le Code de la santé publique impose le secret professionnel, et la CNIL attend du responsable de traitement qu'il puisse justifier de mesures « appropriées ». Concrètement : un fax médical reste licite s'il est numéroté correctement, envoyé vers un poste identifié, dépourvu de diagnostic en page de garde, et conservé selon une durée définie. La messagerie sécurisée de santé reste le canal de référence dès qu'elle est disponible chez le destinataire.

Pourquoi le fax n'a pas quitté les cabinets médicaux

Il y a une contradiction apparente. D'un côté, la France a construit depuis 2015 tout un écosystème de messagerie sécurisée — l'espace MSSanté, opéré par l'Agence du numérique en santé (ANS) — destiné précisément à remplacer les échanges non chiffrés entre professionnels. De l'autre, les laboratoires d'analyses, les services d'imagerie, les EHPAD, les pharmacies d'officine et une partie des cabinets libéraux continuent d'émettre et de recevoir des télécopies tous les jours.

La raison tient en trois points, et aucun n'est irrationnel.

Le premier est l'asymétrie d'équipement. Une messagerie sécurisée ne fonctionne que si les deux extrémités y sont raccordées et savent s'en servir. Un fax fonctionne dès lors que le destinataire dispose d'un numéro. Un médecin remplaçant, une infirmière libérale en tournée, un établissement en zone rurale : la couverture n'est pas homogène, et le canal le plus lent est celui qui dicte le rythme.

Le deuxième est la traçabilité de la remise. Le rapport de transmission d'un fax atteste qu'un appareil identifié a décroché, accepté le document et confirmé sa réception page par page. Un courriel, même chiffré, prouve qu'un message a quitté un serveur ; il ne prouve pas qu'un humain l'a ouvert. Dans un service hospitalier où une prescription doit être remise avant une heure donnée, cette nuance pèse.

Le troisième est organisationnel. Un télécopieur ne dépend d'aucun identifiant nominatif. Dans un poste de soins où l'équipe change trois fois par jour, un document qui arrive sur un plateau physique reste visible ; un document déposé dans la boîte d'un praticien absent trois jours ne l'est pas.

Ce que le droit dit exactement

Les données de santé sont des données « sensibles »

L'article 9 du RGPD interdit par principe le traitement des données concernant la santé, puis rouvre la porte par une liste d'exceptions. Celle qui s'applique aux soignants est le paragraphe 2.h : le traitement est licite lorsqu'il est nécessaire aux fins de la médecine préventive, du diagnostic médical, de la prise en charge sanitaire ou de la gestion des systèmes de santé, et qu'il est effectué par un professionnel soumis au secret.

Autrement dit : un médecin qui faxe un compte rendu à un confrère pour la continuité des soins agit dans le cadre prévu par le texte. Il n'a pas besoin d'un consentement écrit spécifique pour cet échange, mais il reste tenu, au titre de l'article 32 du RGPD, de mettre en œuvre des « mesures techniques et organisationnelles appropriées » au regard du risque.

Le secret professionnel, en droit français

L'article L. 1110-4 du Code de la santé publique pose le principe du droit de toute personne prise en charge au respect de sa vie privée et du secret des informations la concernant. La violation du secret professionnel est par ailleurs sanctionnée par l'article 226-13 du Code pénal : un an d'emprisonnement et 15 000 euros d'amende.

Le partage entre professionnels est encadré : il doit être strictement nécessaire à la coordination ou à la continuité des soins, et le patient doit être informé de son droit d'opposition. Envoyer un dossier complet quand une page suffisait n'est pas une maladresse administrative, c'est un partage excessif.

Ce que la CNIL a réellement dit sur le fax

La CNIL n'a jamais publié d'interdiction générale du fax en santé. En revanche, elle a sanctionné et mis en demeure des organismes pour des transmissions de données médicales mal maîtrisées, et son référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des cabinets médicaux et paramédicaux insiste sur deux points constants :

• la minimisation : ne transmettre que les données nécessaires à la finalité poursuivie ;
• la confidentialité en réception : l'équipement receveur doit se trouver dans un local dont l'accès est contrôlé.

Le second point est celui qui pose problème dans la vraie vie. Un télécopieur posé dans un couloir d'accueil, ou dans une salle où passent des livreurs et des visiteurs, transforme chaque page reçue en affichage public. Ce n'est pas la technologie qui est en cause : c'est l'emplacement du bac de sortie.

Et l'hébergement des données ?

Dès qu'un prestataire conserve pour le compte d'un professionnel de santé des données personnelles de santé recueillies à l'occasion d'activités de prévention, de diagnostic ou de soins, il entre dans le champ de la certification HDS (hébergeur de données de santé), prévue à l'article L. 1111-8 du Code de la santé publique et pilotée par l'ANS.

La nuance est importante pour les services de fax en ligne. Un service qui transmet un document puis le supprime dans un délai court n'a pas la même position juridique qu'un service qui archive durablement les documents envoyés. Dès qu'il y a conservation pour le compte du soignant, la question HDS se pose. C'est la première question à poser à un prestataire, avant même le tarif.

Les six erreurs qui reviennent le plus souvent

La dernière ligne mérite un développement. Un fax médical envoyé au mauvais numéro constitue une violation de données à caractère personnel au sens de l'article 4.12 du RGPD. Si elle est susceptible d'engendrer un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les 72 heures via le téléservice dédié, et, en cas de risque élevé, la personne concernée doit être informée. Les données de santé étant sensibles par nature, le seuil de risque élevé est atteint très vite.

Fax, messagerie sécurisée, courrier : comment choisir

Il n'existe pas de canal universellement supérieur. Il existe des situations.

Utilisez la messagerie sécurisée de santé (MSSanté) quand le destinataire y est raccordé et que l'échange est de professionnel à professionnel. C'est le canal recommandé par l'ANS : identification forte des correspondants via l'annuaire santé, chiffrement du transport, intégration croissante aux logiciels métier. Pour un compte rendu d'hospitalisation vers un médecin traitant, c'est le choix par défaut.

Utilisez le fax quand le destinataire n'a pas de messagerie sécurisée exploitable, quand la remise doit être attestée dans l'heure, ou quand le destinataire est un service — accueil d'un plateau technique, standard d'un laboratoire — plutôt qu'une personne nommée. Le fax reste aussi le format attendu par certains formulaires administratifs et certaines caisses.

Utilisez le courrier recommandé quand la valeur probatoire de la date de dépôt prime sur la vitesse : opposition, réclamation, transmission de dossier à une commission.

N'utilisez jamais le courriel ordinaire pour un contenu médical nominatif. Un e-mail non chiffré traverse des serveurs intermédiaires qui ne sont ni identifiés ni sous contrat. C'est le seul cas où la réponse est franchement non.

Le cas des services de fax en ligne

Un fax en ligne n'est pas moins sûr par nature qu'un télécopieur de bureau — il déplace simplement le risque. La partie « ligne téléphonique » du trajet est identique. La différence se joue en amont : votre document transite par une passerelle.

Les questions à poser au prestataire, dans l'ordre :

1. Le document est-il chiffré en transit (HTTPS/TLS) entre votre navigateur et la passerelle ?
2. Combien de temps le fichier est-il conservé après l'envoi ? Est-ce documenté ?
3. Où se situent les serveurs ? Un hébergement dans l'Union européenne évite les questions de transferts hors UE.
4. Le prestataire est-il certifié HDS, ou s'engage-t-il à ne pas conserver les documents ?
5. Un contrat de sous-traitance au sens de l'article 28 du RGPD est-il proposé pour un usage professionnel ?

Pour un usage ponctuel et non professionnel — un patient qui transmet lui-même une feuille de soins ou un justificatif à sa caisse — ces exigences s'allègent : la personne dispose de ses propres données et choisit librement son canal. La règle du bon sens demeure : préférer un service qui annonce une suppression rapide des fichiers, et vérifier la liste des destinations prises en charge sur la page pays disponibles avant de composer un numéro international.

Une procédure d'envoi en sept gestes

Ce protocole tient sur une fiche A5 à afficher près du poste. Il n'a rien de théorique : la majorité des incidents documentés viennent de l'omission d'un de ces gestes.

1. Vérifier la nécessité. La donnée transmise est-elle strictement utile au destinataire ? Sinon, retirer les pages superflues.
2. Anonymiser ce qui peut l'être. Un numéro de dossier interne suffit parfois là où on écrivait un nom complet et une date de naissance.
3. Composer une page de garde neutre. Expéditeur, destinataire nommé, nombre de pages, mention de confidentialité. Aucun élément clinique.
4. Relire le numéro deux fois, à voix haute si possible, en vérifiant l'indicatif.
5. Prévenir le destinataire par téléphone quand le document est sensible ou urgent, afin qu'il soit présent à la réception.
6. Conserver l'accusé de transmission dans le dossier ou dans un registre daté, avec une durée de conservation définie à l'avance.
7. En cas d'erreur, appeler immédiatement le récepteur, demander la destruction, consigner l'incident et déclencher l'analyse de notification.

La mention de confidentialité en page de garde n'a aucune force contraignante en elle-même, mais elle a une valeur pratique : elle indique à un tiers qui découvrirait la page qu'il doit s'arrêter, et elle documente votre diligence en cas de contrôle.

Combien de temps conserve-t-on un accusé de transmission ?

Il n'existe pas de durée légale unique pour les rapports de fax. Le raisonnement se fait par finalité :

• Preuve d'un acte de soin ou d'une transmission au dossier : la durée s'aligne sur celle du dossier médical. Pour les établissements de santé, l'article R. 1112-7 du Code de la santé publique fixe la conservation à 20 ans à compter du dernier séjour, avec des règles particulières pour les mineurs et les personnes décédées.
• Preuve d'un envoi administratif (caisse, mutuelle, employeur) : la durée du délai de recours applicable, généralement deux ans, suffit.
• Journal technique d'un service en ligne : quelques mois au maximum, et seulement des métadonnées — jamais le contenu.

Écrire cette politique quelque part est plus important que le chiffre retenu. Un contrôle CNIL commence rarement par « combien de temps » ; il commence par « où est-ce écrit ».

Questions fréquentes

Le fax est-il interdit pour les données de santé en France ?

Non. Aucun texte n'interdit le fax en santé. Le RGPD et le Code de la santé publique imposent des mesures appropriées et le respect du secret, pas un canal particulier. La messagerie sécurisée de santé est recommandée, le fax reste licite lorsqu'il est utilisé avec les précautions décrites plus haut.

Un fax est-il chiffré ?

Non, pas au sens informatique. Une transmission Groupe 3 circule en clair sur le réseau téléphonique. Sa sécurité repose sur le caractère point à point de la liaison et sur la difficulté pratique d'interception, non sur un chiffrement. C'est pour cette raison que la protection du lieu de réception compte autant que celle du contenu.

Que faire si j'ai envoyé un fax médical au mauvais numéro ?

Trois actions dans l'heure : appeler le numéro composé pour demander la destruction du document, consigner l'incident dans un registre des violations, puis évaluer le risque pour la personne concernée. S'il est réel, notifier la CNIL sous 72 heures et informer le patient si le risque est élevé.

Un patient peut-il faxer lui-même ses documents à sa caisse ?

Oui. Une personne qui transmet ses propres données de santé n'est pas soumise aux obligations d'un professionnel. Il reste prudent de vérifier le numéro auprès de l'organisme et de conserver l'accusé de transmission. Les modalités d'envoi de pièces justificatives sont précisées par chaque caisse, notamment sur Ameli pour l'Assurance Maladie.

Un service de fax en ligne doit-il être certifié HDS ?

Uniquement s'il conserve des données de santé pour le compte d'un professionnel ou d'un établissement. Un service qui se contente de transmettre et supprime le fichier après l'envoi n'exerce pas une activité d'hébergement au sens de l'article L. 1111-8. La réponse dépend donc de la politique de conservation, qui doit être écrite noir sur blanc.

Le rapport de transmission a-t-il une valeur juridique ?

Il constitue un commencement de preuve apprécié par le juge, pas une preuve irréfragable. Sa force vient du faisceau : rapport horodaté, journal du télécopieur, cohérence avec le dossier et, idéalement, confirmation du destinataire. D'autres questions de ce type sont traitées dans la FAQ du site.

En résumé

• Les données de santé sont des données sensibles au sens de l'article 9 du RGPD : la licéité de l'échange entre soignants repose sur la continuité des soins, pas sur un consentement écrit spécifique.
• Le fax n'est pas interdit en santé ; il est encadré. La messagerie sécurisée MSSanté reste le canal de référence quand le destinataire y est raccordé.
• Un fax n'est pas chiffré : la sécurité se joue à la réception, dans un local à accès contrôlé.
• Minimiser les pages, neutraliser la page de garde, relire le numéro deux fois et prévenir le destinataire évitent la quasi-totalité des incidents.
• Une erreur de numéro est une violation de données : registre, évaluation du risque, notification CNIL sous 72 heures si nécessaire.
• Avant de choisir un service de fax en ligne pour un usage professionnel, exiger une réponse écrite sur la durée de conservation, la localisation des serveurs et le contrat de sous-traitance.