Messagerie professionnelle et RGPD : les points à vérifier

Une messagerie professionnelle traite, par nature, des données personnelles : l'identité des utilisateurs, leurs échanges, parfois des informations sur des clients ou des patients. Avant de l'adopter, l'organisation — responsable de traitement pour l'usage qu'elle en fait — doit vérifier quelques points. Cet article n'est pas un avis juridique, mais une liste de contrôle pratique.

1. Qui fait quoi : responsable de traitement et sous-traitant

L'organisation qui déploie la messagerie pour ses membres décide de la finalité : elle est responsable de traitement. L'éditeur qui héberge le service agit en général comme sous-traitant et doit s'engager par un contrat conforme à l'article 28 du RGPD (sécurité, confidentialité, sous-traitants ultérieurs, sort des données en fin de contrat).

2. La minimisation : moins de données, moins de risques

Le RGPD impose de ne collecter que le nécessaire. Une messagerie qui exige un numéro de téléphone, synchronise le carnet d'adresses ou conserve l'historique des conversations sur ses serveurs collecte bien plus que nécessaire. Le chiffrement de bout en bout va dans le sens de la minimisation : le prestataire ne peut tout simplement pas accéder au contenu.

3. L'hébergement et les transferts

Vérifiez où sont hébergées les données, chez qui, et si des transferts hors de l'Union européenne ont lieu (hébergement, support, notifications). Un hébergement en France chez un prestataire européen limite fortement les transferts et les questions de droit étranger. Les notifications push passent souvent par les services d'Apple ou de Google : une messagerie respectueuse n'y envoie aucun contenu.

4. Les durées de conservation

Chaque donnée doit avoir une durée de conservation définie : messages en attente de livraison, pièces jointes, journaux techniques, comptes désactivés. Demandez le tableau des durées au prestataire, et vérifiez qu'une purge automatique existe. Côté usages, des messages éphémères imposés par l'organisation aident à ne pas tout garder indéfiniment.

5. Les données sensibles

Certaines organisations traitent des données dites sensibles (article 9 du RGPD) : opinions politiques, convictions religieuses ou philosophiques, appartenance syndicale, santé… Parfois, la simple liste des membres en révèle : c'est le cas d'un parti politique ou d'un syndicat. Ces données exigent des garanties renforcées et, souvent, une analyse d'impact (AIPD). Les données de santé hébergées pour le compte de tiers relèvent en outre, en France, d'exigences spécifiques (hébergement certifié HDS) : à vérifier avant tout usage médical.

6. La sécurité

L'article 32 du RGPD demande des mesures « appropriées » : chiffrement, contrôle des accès, capacité à révoquer un appareil, sauvegardes, journalisation des actions d'administration. Une connexion sans mot de passe (passkeys) et un chiffrement de bout en bout figurent parmi les mesures les plus efficaces.

7. Les droits des personnes

Accès, rectification, effacement : l'outil doit permettre de répondre aux demandes. Avec une messagerie chiffrée de bout en bout, le contenu n'existe en clair que sur les appareils des participants ; le prestataire peut en revanche supprimer un compte et ses données techniques, et le dire clairement dans sa politique de confidentialité.

La liste de contrôle

• Contrat de sous-traitance (article 28) et politique de confidentialité claire
• Chiffrement de bout en bout, pas de numéro de téléphone exigé
• Hébergement en France ou dans l'UE, transferts identifiés
• Tableau des durées de conservation et purge automatique
• AIPD si données sensibles ou à grande échelle
• Révocation des appareils, journal d'administration, sauvegardes chiffrées

Discus publie ses durées de conservation et son analyse d'impact sur demande. Découvrir notre approche ou demander l'ouverture.