Fax envoyé au mauvais numéro : que faire en 72 heures

Réponse courte : un fax parti chez le mauvais destinataire n'est pas une maladresse, c'est juridiquement une violation de données à caractère personnel au sens de l'article 4.12 du RGPD dès lors que le document contient des informations identifiantes. La marche à suivre tient en cinq gestes : figer les preuves (rapport de transmission, numéro composé, horodatage) avant qu'elles ne disparaissent, contacter le destinataire involontaire pour obtenir la destruction du document, inscrire l'incident au registre des violations — obligatoire même quand rien n'est notifié —, évaluer le risque pour les personnes concernées, et notifier la CNIL dans les 72 heures si ce risque n'est pas écarté. Le compte à rebours démarre au moment où vous avez pris connaissance de l'erreur, pas au moment de l'envoi. Et la note de service « faites attention aux numéros » ne constitue pas une mesure corrective.

Pourquoi le fax reste la première cause d'erreur de destinataire

Le courriel a des garde-fous : un carnet d'adresses, une autocomplétion, un accusé de non-remise quand l'adresse n'existe pas, parfois un délai d'annulation de quelques secondes. Le fax n'a rien de tout cela. On compose dix chiffres à la main, souvent depuis une note manuscrite ou un tampon à moitié effacé, et la machine ne pose aucune question. Si le numéro existe, elle transmet. S'il n'existe pas, elle réessaie plusieurs fois puis abandonne — mais si un chiffre erroné correspond à un autre télécopieur en service, les pages sortent chez un inconnu sans qu'aucun signal ne revienne vers vous.

Les autorités de protection des données européennes documentent ce scénario depuis des années. L'ICO britannique, dans ses bilans d'incidents, classait régulièrement le « fax envoyé au mauvais numéro » parmi les violations les plus fréquentes du secteur de la santé, aux côtés des courriers postaux mal insérés dans les enveloppes. La CNIL, dans ses publications sur les violations de données notifiées, range ces cas dans la catégorie « envoi de données au mauvais destinataire », qui reste l'une des causes majoritaires de notifications — devant, en volume, beaucoup d'attaques informatiques sophistiquées.

Trois facteurs aggravent le risque côté télécopie :

• Les numéros voisins. Dans un même établissement, le fax du secrétariat et celui du service comptable diffèrent souvent d'un seul chiffre. Une inversion de deux chiffres reste plausible et donc transmise.
• Les numéros recyclés. Un cabinet ferme, son numéro retourne dans le pot commun de l'opérateur et se retrouve attribué à une entreprise sans rapport, parfois à une ligne vocale qui bascule sur un fax logiciel.
• La mémoire des machines. Les touches de composition rapide programmées il y a dix ans par une personne partie depuis longtemps sont rarement auditées.

Les trente premières minutes : figer les preuves

La première réaction est presque toujours la mauvaise : on relance immédiatement l'envoi vers le bon numéro, on efface le journal pour « repartir propre », et on passe à autre chose. Or les éléments qui vont servir à qualifier l'incident, à le documenter et à vous protéger sont précisément ceux que la machine s'apprête à écraser.

Récupérez, dans l'ordre :

1. Le rapport de transmission de l'envoi fautif. Il contient le numéro effectivement composé, la date, l'heure, le nombre de pages et le statut. C'est la pièce centrale du dossier.
2. Le journal des communications du télécopieur ou du service en ligne, sur une plage large — il montre le contexte, notamment si l'erreur s'est répétée.
3. Une copie du document transmis, avec la mention exacte des rubriques qu'il contenait : nom, date de naissance, numéro de sécurité sociale, diagnostic, coordonnées bancaires, etc.
4. L'identité de l'auteur de l'envoi et l'heure à laquelle l'erreur a été découverte. Cette seconde date fait courir le délai de 72 heures.

Sur un appareil physique, le journal se purge automatiquement au bout d'un nombre limité de lignes : imprimez-le tout de suite, ou exportez-le. Beaucoup de services conservent un historique en ligne plus long, mais ne comptez pas dessus sans l'avoir vérifié. Dans les cabinets qui traitent des dossiers sensibles, garder un petit scanner de documents portable à côté du poste permet de numériser le rapport papier immédiatement et de le déposer dans le dossier d'incident, plutôt que de le laisser traîner dans une bannette où il finira au recyclage.

Ne modifiez rien, ne réimprimez pas le document par-dessus, n'annotez pas le rapport original. Si un contentieux naît plus tard, la cohérence des horodatages sera examinée — nous l'avons détaillé dans notre analyse de la valeur de preuve du fax devant un juge.

Qualifier : est-ce vraiment une violation de données ?

Toutes les erreurs de numéro ne déclenchent pas la même obligation. Le raisonnement se fait en trois temps.

Le document contient-il des données à caractère personnel ? Un bon de commande de fournitures de bureau sans nom de personne physique n'en contient pas. Un arrêt de travail, un compte rendu d'examen, un relevé d'identité bancaire, une convocation nominative, un contrat de travail : oui, sans discussion.

Y a-t-il eu perte de confidentialité ? Dès que les pages sont sorties chez un tiers non autorisé, la réponse est oui, même si ce tiers est de bonne foi et affirme avoir tout détruit. Une violation consommée ne se « défait » pas rétroactivement ; en revanche, la destruction rapide et attestée réduit le risque, ce qui influe sur la suite.

Quel est le risque pour les personnes concernées ? C'est le critère qui décide de la notification. La CNIL et les lignes directrices du Comité européen de la protection des données (CEPD) sur la notification des violations invitent à évaluer la nature des données, leur volume, la facilité d'identification des personnes, la gravité des conséquences possibles et le caractère spécial des données.

Le point à retenir : l'inscription au registre interne des violations est obligatoire dans tous les cas, y compris lorsque vous concluez à l'absence de risque. Article 33.5 du RGPD. C'est ce registre que la CNIL demande en premier lors d'un contrôle, et une entreprise dont le registre est vide alors que ses salariés faxent quotidiennement paraît rarement crédible.

Reprendre contact avec le destinataire involontaire

Appeler le numéro composé par erreur est souvent possible : beaucoup de lignes fax sont adossées à un standard vocal, ou le numéro apparaît dans un annuaire professionnel. L'objectif n'est pas de s'excuser, c'est d'obtenir trois choses : la confirmation de réception, la destruction du document et, si possible, une attestation écrite de cette destruction, même sous forme d'un courriel de deux lignes.

Formulez la demande simplement, sans détailler le contenu du document — inutile d'attirer l'attention sur ce que la personne n'a peut-être pas lu :

Bonjour, un document nous a échappé vers votre numéro de télécopie le [date] à [heure]. Il ne vous était pas destiné et contient des informations confidentielles. Pourriez-vous le détruire et nous le confirmer par écrit ? Nous vous en remercions.

Conservez cet échange dans le dossier d'incident. Un destinataire identifié, professionnel, soumis lui-même au secret professionnel et ayant attesté la destruction, c'est un facteur d'atténuation du risque que vous pourrez exposer à la CNIL. À l'inverse, un numéro qui ne répond pas et n'est rattaché à aucune entité connue signifie que le document est dans la nature : le risque doit être évalué à la hausse.

La notification à la CNIL : délai, contenu, notification partielle

Le délai de 72 heures court à compter du moment où le responsable de traitement a connaissance de la violation. Une découverte le vendredi à 16 h implique une notification au plus tard le lundi à 16 h : les week-ends comptent.

La notification s'effectue en ligne, via le téléservice de notification de violations de la CNIL. Elle doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les coordonnées du délégué à la protection des données ou d'un point de contact, les conséquences probables et les mesures prises ou envisagées.

Deux réflexes utiles :

• La notification peut être faite de façon échelonnée. Si l'enquête interne n'est pas terminée, notifiez avec les éléments disponibles et complétez ensuite. Mieux vaut une notification incomplète dans le délai qu'une notification parfaite hors délai.
• Au-delà de 72 heures, notifiez quand même, en motivant le retard. L'article 33.1 le prévoit expressément.

Quant à l'information des personnes concernées (article 34), elle s'impose lorsque le risque est élevé : données de santé, données bancaires, informations susceptibles d'exposer à une discrimination, à une usurpation d'identité ou à un préjudice de réputation. Elle doit être rédigée en termes clairs et simples, indiquer la nature de la violation, ses conséquences probables et les mesures prises. Pour les professionnels de santé, les obligations se cumulent avec le cadre spécifique de l'hébergement et du traitement des données de santé, que nous avons développé dans notre article sur le fax médical et la loi.

Empêcher la récidive : ce qui marche vraiment

La CNIL ne sanctionne pas l'erreur humaine isolée ; elle sanctionne l'absence de mesures raisonnables. Après un incident, l'organisme attend des mesures structurelles, pas une note de service. Voici celles qui tiennent la route.

Le carnet de destinataires validé. Interdire la composition manuelle pour les correspondants récurrents et n'autoriser que des entrées vérifiées, révisées une fois par an. Une erreur de frappe devient impossible sur 90 % des envois.

La double vérification pour les documents sensibles. Deux paires d'yeux sur le numéro avant tout envoi contenant des données de santé ou bancaires, avec une trace de la validation. Un simple tampon encreur de contrôle apposé sur la page de garde et paraphé suffit à matérialiser le geste, à condition qu'il soit réellement fait.

La page de garde avec clause de confidentialité. Elle n'empêche rien techniquement, mais elle informe le destinataire fortuit de ses obligations et facilite la demande de destruction. Elle ne doit jamais contenir d'information sensible : ni diagnostic, ni motif détaillé, ni numéro de dossier trop parlant.

Le passage au fax en ligne. Un service dématérialisé apporte trois choses qu'un appareil de bureau ne peut pas offrir : l'historique horodaté complet, la confirmation de remise consultable des mois plus tard, et surtout la disparition du document imprimé qui attend dans un bac. Nous détaillons le déroulé complet dans notre plan de migration en six étapes ; la page /faq répond aux questions pratiques sur les envois et les accusés.

Le traitement du papier résiduel. Tant qu'un appareil physique subsiste, les brouillons, doubles et rapports doivent finir dans un destructeur de documents à coupe croisée, pas dans une corbeille. Et pour les dossiers en transit entre bureaux, des pochettes à documents opaques évitent la lecture accidentelle dans les couloirs. Ce sont des détails, mais la plupart des violations documentées tiennent précisément à des détails.

La formation courte et répétée. Quinze minutes deux fois par an valent mieux qu'une journée tous les cinq ans. Les organismes qui distribuent à leurs équipes un guide pratique du RGPD en version papier, posé près du poste, constatent que les questions arrivent avant l'incident plutôt qu'après.

Ce qu'il ne faut surtout pas faire

• Attendre d'être sûr. Le délai de 72 heures ne se suspend pas pendant l'enquête interne.
• Effacer le journal du télécopieur pour « faire propre ». C'est une destruction de preuve, et elle sera interprétée comme telle.
• Rappeler le destinataire pour le menacer de poursuites s'il a lu le document. Vous n'avez aucun fondement, et vous compromettez la coopération.
• Négliger la sous-traitance. Si l'envoi passait par un prestataire, l'article 33.2 lui impose de vous alerter sans délai — vérifiez que le contrat le prévoit.
• Considérer que l'absence de plainte règle l'affaire. Le registre reste exigible, et une personne concernée peut saisir la CNIL des mois plus tard.

Questions fréquentes

Le délai de 72 heures démarre-t-il à l'envoi ou à la découverte ?

À la découverte. Le RGPD parle de « après en avoir pris connaissance ». Si un fax parti le 3 est signalé le 17, le compte à rebours démarre le 17 — mais vous devrez expliquer pourquoi quatorze jours se sont écoulés sans détection, ce qui pointera vers un défaut de contrôle.

Faut-il notifier si le destinataire a détruit le document ?

Pas automatiquement. La destruction rapide, attestée, par un destinataire identifié et soumis au secret professionnel, réduit fortement le risque. Si les données ne sont ni sensibles ni bancaires, l'inscription au registre peut suffire. Documentez précisément le raisonnement : c'est lui qui vous protégera.

Un fax reçu par erreur : ai-je des obligations ?

Oui, morales et pratiques. Ne diffusez pas le document, ne le conservez pas, détruisez-le et signalez l'erreur à l'expéditeur si son identité figure sur la page de garde. Si le document contient des données de santé et que vous êtes vous-même professionnel, le secret s'impose de fait.

Le fax en ligne supprime-t-il le risque d'erreur de numéro ?

Non, il le réduit. On peut toujours saisir un mauvais numéro. Mais l'historique complet permet une détection immédiate, la trace est conservée, et le document n'existe plus sous forme papier chez vous. Le risque résiduel se traite par le carnet de destinataires et la double validation.

Qui doit notifier : le cabinet ou le prestataire de fax ?

Le responsable de traitement, c'est-à-dire vous. Le prestataire, sous-traitant, doit vous informer sans délai afin que vous puissiez notifier. Vérifiez que votre contrat contient cette clause et un délai chiffré.

En résumé

• Un fax au mauvais numéro contenant des données personnelles est une violation de données au sens du RGPD, quelle que soit la bonne foi du destinataire.
• Figez les preuves d'abord : rapport de transmission, journal, copie du document, heure de découverte. Ne purgez rien.
• Le registre des violations est obligatoire dans tous les cas, la notification à la CNIL seulement en cas de risque non écarté, dans les 72 heures suivant la prise de connaissance.
• Informez les personnes concernées quand le risque est élevé : santé, données bancaires, usurpation d'identité.
• Obtenez une attestation écrite de destruction du destinataire involontaire : c'est le meilleur facteur d'atténuation.
• Les mesures correctives qui convainquent sont structurelles : carnet validé, double vérification, page de garde neutre, passage au fax en ligne, destruction sécurisée du papier.