RGPD
Le RGPD impose-t-il le chiffrement des e-mails ?
Le RGPD n’exige pas que chaque e-mail soit chiffré. Il impose des « mesures techniques et organisationnelles appropriées » pour protéger les données à caractère personnel et cite le chiffrement parmi ces mesures. Lorsque des e-mails contiennent des données à caractère personnel sensibles ou en grand volume, le chiffrement est généralement le moyen le plus clair de démontrer que la sécurité était appropriée, et des données chiffrées perdues ou interceptées peuvent ne pas devoir être signalées aux personnes concernées.
Cet article explique les dispositions pertinentes, la manière d’évaluer vos propres flux d’e-mails et les points sur lesquels TLS ne suffit pas. Il s’agit d’informations générales, et non d’un avis juridique.
Ce que dit réellement le RGPD
Le règlement général sur la protection des données ne mentionne jamais spécifiquement l’e-mail. Quatre dispositions déterminent la manière dont il s’applique à la messagerie :
- L’article 5, paragraphe 1, point f) exige que les données à caractère personnel soient traitées de façon à garantir une sécurité appropriée, y compris la protection contre le traitement non autorisé et contre la perte d’origine accidentelle.
- L’article 32 impose aux responsables du traitement et aux sous-traitants de mettre en œuvre des mesures adaptées au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement. Il cite comme exemple « la pseudonymisation et le chiffrement des données à caractère personnel ».
- L’article 33 impose de notifier une violation de données à caractère personnel à l’autorité de contrôle.
- L’article 34 impose d’informer les personnes concernées lorsqu’une violation est susceptible d’engendrer un risque élevé pour elles.
Le texte intégral est publié sur EUR-Lex, la base de données officielle du droit de l’Union européenne (lien externe).
Une obligation fondée sur le risque, et non une règle générale
L’article 32 demande ce qui est approprié au regard du risque, et ce risque varie fortement d’un e-mail à l’autre :
| Contenu du message | Risque type | Protection raisonnable |
|---|---|---|
| Organisation de réunions et correspondance professionnelle courante | Faible | TLS en transit |
| Coordonnées de clients, historique des commandes, correspondance RH courante | Moyen | TLS imposé, avec chiffrement pour les envois en volume ou le partage externe |
| Données de santé, financières, d’identité ou juridiques, et catégories particulières de données au sens de l’article 9 | Élevé | Chiffrement au niveau du message appliqué par la politique |
Faites défiler horizontalement pour voir l’ensemble du tableau.
Les catégories particulières de données à caractère personnel, comme les informations de santé, méritent une attention particulière, car leur divulgation peut gravement affecter les personnes concernées. Le volume compte aussi : un seul tableur de fiches clients envoyé à la mauvaise adresse peut exposer des milliers de personnes d’un coup.
Documentez l’évaluation. L’article 5, paragraphe 2, rend les responsables du traitement responsables de la démonstration de la conformité : pouvoir montrer pourquoi une mesure a été choisie compte donc autant que la mesure elle-même.
Comment le chiffrement modifie la notification des violations
Un e-mail contenant des données à caractère personnel qui parvient à la mauvaise personne constitue une violation de données à caractère personnel, tout comme une boîte aux lettres compromise. L’article 33 impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes. L’article 34 impose d’informer les personnes concernées lorsque le risque est élevé, mais l’article 34, paragraphe 3, point a), supprime cette obligation si les données ont été rendues incompréhensibles pour toute personne qui n’est pas autorisée à y avoir accès, au moyen de mesures « telles que le chiffrement ».
En pratique, un message chiffré avec PGP ou S/MIME qui est mal adressé ou exposé révèle un texte chiffré plutôt que des données à caractère personnel lisibles, à condition que les clés privées n’aient pas été compromises elles aussi. La violation doit tout de même être documentée en interne, comme l’exige l’article 33, paragraphe 5, avec le raisonnement qui sous-tend l’évaluation du risque.
TLS suffit-il ?
TLS constitue un socle raisonnable et, pour le courrier à faible risque, peut suffire. Ses limites comptent toutefois pour les données à risque plus élevé :
- Il protège chaque connexion, et non le message : le contenu est donc lisible sur chaque serveur et dans chaque boîte aux lettres qu’il atteint.
- Il est opportuniste s’il n’est pas imposé : le courrier peut donc se replier sur une remise non chiffrée.
- Il ne sert à rien pour un message envoyé à la mauvaise adresse.
Le chiffrement au niveau du message avec PGP ou S/MIME maintient le contenu protégé en transit et au repos, lisible uniquement par les détenteurs de clés prévus. Notre comparaison PGP ou S/MIME pour la messagerie d’entreprise explique en quoi les deux normes diffèrent.
Scénarios courants
Envoyer des fichiers de paie ou RH à un prestataire externe
Les salaires, coordonnées bancaires et données d’identité de nombreux salariés présentent un risque élevé en raison de leur volume et de leur contenu. Chiffrez ces transferts par la politique, et assurez-vous que le contrat du prestataire couvre la sécurité en sa qualité de sous-traitant.
Répondre à un client qui vous a envoyé ses propres données par e-mail
Un client qui choisit de vous envoyer ses informations par e-mail ne fixe pas pour autant le niveau de protection de votre réponse. Si la réponse contient des informations sensibles, comme des données de compte ou de santé, utilisez le chiffrement ou un portail sécurisé plutôt qu’une simple réponse.
Partager des dossiers avec des avocats, des auditeurs ou des assureurs
Les conseillers professionnels prennent souvent en charge PGP ou S/MIME. Lorsque ce n’est pas le cas, un portail sécurisé ou un document chiffré protège les fichiers sans leur demander d’installer quoi que ce soit.
Responsables du traitement, sous-traitants et fournisseurs de messagerie
L’article 32 s’applique aussi bien aux responsables du traitement qu’aux sous-traitants. Lorsqu’un fournisseur de messagerie ou de chiffrement traite des données à caractère personnel pour votre compte, l’article 28 exige un contrat qui l’engage à assurer une sécurité appropriée, et les transferts hors de l’Espace économique européen doivent respecter les conditions du chapitre V.
Demandez à chaque fournisseur où les messages sont traités et où les clés sont stockées. Notre page consacrée à la conformité de la messagerie et à la souveraineté des données traite du traitement régional et des réglementations auxquelles CloudPGP aide les organisations à répondre.
Liste de contrôle pratique : chiffrement des e-mails et RGPD
- Cartographiez les données à caractère personnel dans les e-mails. Identifiez quelles équipes envoient quelles catégories de données à caractère personnel, et à qui.
- Évaluez le risque de chaque flux. Classez chaque flux selon sa sensibilité, son volume et le type de destinataire.
- Définissez une politique. Imposez TLS comme socle et exigez un chiffrement au niveau du message pour les flux à risque élevé.
- Automatisez. Appliquez le chiffrement au moyen de règles, afin que la protection ne dépende pas du jugement de chacun.
- Prévoyez le cas des destinataires sans clés. Proposez un portail sécurisé ou un document chiffré plutôt qu’un e-mail non protégé.
- Conservez des traces. Conservez les journaux d’audit de l’activité de chiffrement pour démontrer le respect du principe de responsabilité.
Questions fréquentes
Envoyer des données personnelles par e-mail non chiffré est-il contraire au RGPD ?
Pas automatiquement. La question est de savoir si la sécurité était appropriée au regard du risque. Envoyer des informations à faible risque via TLS peut être approprié ; envoyer des dossiers médicaux ou financiers sans protection plus forte est beaucoup plus difficile à justifier.
Faut-il signaler une violation si l’e-mail était chiffré ?
Vous devez tout de même l’évaluer et la documenter. Si le contenu était chiffré et que la clé n’a pas été compromise, la violation peut ne pas être susceptible d’engendrer un risque, ce qui a une incidence sur l’obligation de la notifier à l’autorité de contrôle ; en outre, en vertu de l’article 34, paragraphe 3, point a), les personnes concernées n’ont généralement pas à en être informées.
Le RGPD s’applique-t-il aux organisations établies hors de l’UE ?
Souvent, oui. En vertu de l’article 3, paragraphe 2, il s’applique aux organisations qui proposent des biens ou des services à des personnes se trouvant dans l’UE ou qui y suivent leur comportement, quel que soit le lieu d’établissement de l’organisation.
Quelle norme de chiffrement le RGPD impose-t-il ?
Aucune. Le RGPD est neutre sur le plan technologique. PGP, S/MIME et d’autres méthodes actuelles et correctement mises en œuvre peuvent toutes être appropriées ; l’essentiel est que la mesure soit adaptée au risque et à l’état des connaissances.
Un e-mail chiffré reste-t-il une donnée à caractère personnel ?
Oui, pour quiconque peut le déchiffrer. Le chiffrement réduit le risque, mais il ne fait pas sortir les données du champ d’application du RGPD ; les organisations qui détiennent les clés doivent toujours les traiter de manière licite.
Faut-il aussi chiffrer les e-mails internes ?
Le courrier interne reste souvent sur une seule plateforme, où un TLS imposé et des contrôles d’accès peuvent être appropriés. Les dossiers RH, de santé ou disciplinaires sensibles peuvent néanmoins justifier un chiffrement, en particulier lorsque de nombreux administrateurs ou systèmes connectés peuvent accéder aux boîtes aux lettres.
