Secret professionnel : sécuriser le fax au cabinet

Réponse courte : dans un cabinet, une étude ou un service administratif, les fuites de documents transmis par fax ne viennent presque jamais d'une interception sur la ligne. Elles viennent du bac de réception posé dans un couloir de passage, du carnet de numéros jamais vérifié, de la page de garde qui affiche déjà le nom du patient ou du client, et de l'absence de règle sur qui relève la machine. Le secret professionnel — article 226-13 du Code pénal, article 4 du Règlement intérieur national de la profession d'avocat, article R. 4127-4 du Code de la santé publique pour les médecins — ne s'arrête pas au moment où le document sort de l'appareil. Sécuriser la télécopie, c'est donc d'abord un travail d'agencement et de procédure : déplacer la machine, restreindre l'accès, standardiser la page de garde, verrouiller le carnet d'adresses, puis seulement ensuite envisager le chiffrement et la réception dématérialisée.

Le risque réel n'est pas là où on le croit

Quand on parle de confidentialité du fax, l'objection arrive toujours sous la même forme : « de toute façon, ça passe en clair sur le réseau téléphonique ». C'est exact sur le principe, et c'est en pratique le risque le plus faible. Écouter une ligne commutée suppose un accès physique à la boucle locale ou une réquisition judiciaire. Ce n'est pas le scénario qui remplit les dossiers de la CNIL.

Les incidents réellement signalés ressemblent plutôt à ceci. Un compte rendu d'imagerie qui reste douze heures dans le bac d'une imprimante multifonction installée dans la salle d'attente d'un cabinet de groupe. Un jeu de conclusions adressé au greffe qui part sur l'ancien numéro d'un confrère parti à la retraite, numéro réattribué depuis à une entreprise de bâtiment. Une page de garde qui indique en gros caractères « Résultats sérologie — Mme Dupont » et qui reste visible sur le dessus de la pile pendant une demi-journée. Un stagiaire qui relève la machine « pour rendre service » et distribue les documents sur les bureaux.

Aucun de ces événements ne relève de la cybersécurité. Tous relèvent de l'organisation. Et tous constituent, au sens du RGPD, une violation de données à caractère personnel : une divulgation non autorisée de données, qui doit être consignée dans le registre des violations et, si le risque pour les personnes est élevé, notifiée à la CNIL sous 72 heures et communiquée aux intéressés. Quand il s'agit de données de santé, le seuil est vite atteint.

Cartographier la chaîne, du bac de sortie au tiroir

Avant de changer quoi que ce soit, il faut décrire ce qui se passe réellement. L'exercice prend une heure et se fait en marchant dans les locaux, pas en réunion.

Posez-vous les questions dans l'ordre du parcours d'un document entrant :

1. Où sonne la machine ? Dans une pièce fermée à clé, dans un secrétariat, dans un espace traversé par les patients ou les clients ?
2. Qui peut voir le bac ? Un document en attente est-il lisible depuis un fauteuil de salle d'attente, depuis le comptoir d'accueil, depuis le couloir ?
3. Qui relève, et à quelle fréquence ? Une personne nommément désignée, ou « celui qui passe » ?
4. Que devient le document une fois distribué ? Il est scanné puis détruit, il est agrafé au dossier papier, il traîne sur un bureau ?
5. Où finit le papier ? Corbeille ordinaire, bac de recyclage collectif, ou destruction sécurisée ?
6. Que garde la machine en mémoire ? Beaucoup de multifonctions conservent une image des derniers documents reçus et un journal détaillé, accessibles depuis l'écran ou depuis l'interface web de l'appareil, souvent protégée par un mot de passe d'usine jamais changé.

Cette dernière question surprend toujours. Un multifonction de bureau est un ordinateur avec un disque : lors du renouvellement du parc ou de la restitution d'un appareil en location, le disque part avec tout ce qu'il contient. La recommandation constante de la CNIL et de l'ANSSI est d'effacer ou de détruire les supports avant restitution.

Cinq mesures d'agencement qui règlent 80 % du problème

Déplacer la machine, pas les gens

La mesure la plus efficace est aussi la plus simple : la télécopie confidentielle ne doit jamais tomber dans un espace accessible au public. Une pièce fermée, un bureau de secrétariat avec porte, à défaut un meuble bas dédié dont l'ouverture est contrôlée. Quand la reconfiguration des locaux est impossible, un simple caisson à roulettes verrouillable placé sous l'appareil permet d'y basculer les documents dès leur sortie, et coûte moins cher qu'une demi-journée de conseil.

Séparer les flux confidentiels des flux banals

Deux numéros valent mieux qu'un. Un numéro « général » communiqué aux fournisseurs, aux syndics, aux services logistiques ; un numéro « confidentiel » réservé aux confrères, aux laboratoires, aux juridictions, communiqué au compte-gouttes et jamais imprimé sur les documents publics. Le premier peut sortir sur une machine d'accueil, le second doit tomber dans un espace protégé ou, mieux, dans une boîte mail nominative sécurisée.

Neutraliser la page de garde

La page de garde est le point aveugle. Elle est conçue pour être lue de loin, et c'est précisément le problème puisque c'est elle qui reste sur le dessus de la pile. Une page de garde correcte contient l'expéditeur, le destinataire par sa fonction ou ses initiales, le nombre de pages, et une mention de confidentialité. Elle ne contient ni le motif, ni le nom complet du patient, ni la nature de l'examen, ni le numéro de dossier lisible.

Formulation type, à coller une fois pour toutes dans le modèle :

Ce document est couvert par le secret professionnel. S'il ne vous est pas destiné, sa lecture, sa reproduction et sa diffusion sont interdites. Merci de détruire l'ensemble des pages et d'avertir immédiatement l'expéditeur au numéro figurant ci-dessus.

Verrouiller le carnet de numéros

L'erreur de numéro est la première cause d'incident, et nous lui avons consacré un article dédié : voir la marche à suivre en 72 heures. En prévention, trois règles suffisent : n'utiliser que des entrées enregistrées et vérifiées, interdire la saisie manuelle pour les envois sensibles, et purger le carnet une fois par an en confrontant chaque entrée à l'annuaire officiel de l'organisme concerné. Un cahier de contrôle relié, où l'on consigne date, destinataire et vérification, reste le format le plus fiable pour tracer cette purge — les carnets de suivi type registre A4 remplissent parfaitement cet office et se conservent des années.

Traiter le papier comme une donnée

Un document reçu et scanné n'a plus vocation à exister en papier. La destruction doit être immédiate et irréversible : un destructeur de documents à coupe croisée de niveau P-4 au minimum, placé à côté de la machine et non à l'autre bout du couloir, change radicalement les comportements. La corbeille de recyclage collective n'est pas une destruction.

Ce que le RGPD attend concrètement d'un cabinet

Le fax n'est pas interdit, contrairement à ce qu'on entend parfois. Il est un traitement comme un autre, soumis aux articles 5 et 32 du RGPD : intégrité, confidentialité, mesures techniques et organisationnelles appropriées au risque. « Appropriées » est le mot important : on n'attend pas d'un cabinet de deux personnes le dispositif d'un centre hospitalier, mais on attend qu'il ait réfléchi et écrit.

Ce que vous devez pouvoir montrer en cas de contrôle :

Pour les professionnels de santé, s'ajoute le cadre spécifique de l'hébergement des données de santé et des messageries sécurisées. La doctrine du numérique en santé promue par l'Agence du Numérique en Santé pousse depuis plusieurs années vers MSSanté pour les échanges entre professionnels : le fax y est toléré comme solution de repli, pas comme canal principal. Le sujet est développé dans notre article sur le fax médical et les données de santé.

Le cas particulier des locaux partagés et du télétravail

Deux configurations méritent une attention distincte.

Le cabinet de groupe ou l'espace mutualisé. Quand plusieurs praticiens ou plusieurs structures partagent un secrétariat et un appareil, le secret professionnel n'est pas mutualisé pour autant. Une secrétaire partagée doit être liée par une clause de confidentialité écrite, et l'organisation doit prévoir un tri à la source : chemises de couleur par praticien, bannettes nominatives fermées, ou à défaut enveloppes opaques. Des pochettes à rabat opaques par praticien coûtent quelques euros et évitent la lecture accidentelle par un confrère qui n'a pas à connaître le dossier.

Le travail à distance. Recevoir ses fax sur une adresse mail personnelle consultée depuis un ordinateur familial est une mauvaise idée que la période récente a banalisée. Si la réception dématérialisée est nécessaire — et elle l'est souvent — elle doit se faire sur un compte professionnel, avec authentification à deux facteurs, sur un poste dédié. Une clé de sécurité physique FIDO2 pour l'authentification à deux facteurs reste le moyen le plus robuste de protéger cette boîte, et un filtre de confidentialité pour écran empêche la lecture latérale dans un train ou un espace de coworking.

Ce que change la réception dématérialisée

Passer d'une machine papier à un service de fax en ligne déplace les risques plutôt qu'il ne les supprime, mais il les déplace dans le bon sens : on remplace un problème d'agencement, difficile à contrôler, par un problème de gestion de comptes, qui se pilote.

Les gains sont réels. Plus de document en attente dans un bac. Une traçabilité horodatée des envois et des réceptions. Des droits d'accès nominatifs et révocables. La possibilité d'archiver directement dans le dossier électronique sans étape de numérisation intermédiaire — sujet que nous traitons dans notre guide sur l'archivage des fax et leur valeur probante.

Les nouveaux points de vigilance, eux, sont classiques : où sont hébergées les données, sous quelle juridiction, pendant combien de temps le prestataire conserve-t-il les documents transmis, propose-t-il un contrat de sous-traitance conforme à l'article 28 du RGPD, et pour les données de santé dispose-t-il de la certification Hébergeur de Données de Santé ? Ces questions se posent avant la signature, pas après l'incident. Notre FAQ détaille les critères à vérifier chez un prestataire, et la page pays disponibles précise les destinations couvertes.

Questions fréquentes

Un fax reçu peut-il être laissé toute la nuit dans le bac ?

Non, si le document contient des données personnelles et que le local n'est pas fermé à clé. La règle pratique : soit la machine est dans une pièce verrouillée hors présence, soit elle est relevée avant la fermeture. Un appareil qui imprime la nuit dans un espace non sécurisé est un risque permanent.

Faut-il chiffrer les fax ?

La télécopie classique ne se chiffre pas de bout en bout. C'est un argument fort en faveur des solutions dématérialisées, où la transmission entre vous et le prestataire passe en TLS et où le stockage peut être chiffré. Pour les échanges entre professionnels de santé, une messagerie sécurisée reste préférable au fax dès qu'elle est disponible des deux côtés.

Que faire d'une pile d'anciens fax papier ?

Trois options : intégrer au dossier si le document a une valeur probante, numériser selon une procédure fiable puis détruire, ou détruire directement si la durée de conservation est écoulée. Le tri se fait dossier par dossier, jamais en vrac. Pour la numérisation, voir nos règles sur la copie fiable.

Une mention de confidentialité en bas de page protège-t-elle juridiquement ?

Elle n'empêche rien matériellement, mais elle a deux effets utiles : elle rend le tiers de mauvaise foi difficilement excusable, et elle démontre que vous avez pris une mesure organisationnelle, ce qui compte dans l'appréciation de votre diligence par la CNIL ou par un juge.

Le personnel doit-il être formé spécifiquement ?

Oui, et cela peut tenir en vingt minutes par an. Un rappel écrit d'une page, affiché près de l'appareil, vaut mieux qu'une formation annuelle oubliée le lendemain. Un guide pratique du RGPD à destination des TPE, laissé à disposition au secrétariat, aide à cadrer le discours sans jargon.

En résumé

• Les fuites par fax viennent de l'agencement et des habitudes, pas de la ligne téléphonique.
• Placez l'appareil dans un espace non accessible au public, ou basculez immédiatement les documents dans un meuble verrouillé.
• Séparez un numéro « général » d'un numéro « confidentiel » à diffusion restreinte.
• La page de garde ne doit jamais révéler le motif, l'examen ou le nom complet.
• N'envoyez qu'à partir d'entrées de carnet vérifiées, et purgez ce carnet une fois par an.
• Détruisez le papier sur place avec un destructeur à coupe croisée, jamais dans la corbeille de recyclage.
• Effacez le disque du multifonction avant toute restitution ou revente.
• Consignez chaque erreur de destinataire dans le registre des violations, même sans notification.
• En dématérialisé, vérifiez hébergement, contrat de sous-traitance article 28 et certification HDS pour la santé.