Antispam et RGPD : comment protéger les données de sa messagerie ?
Un antispam protège la messagerie en examinant ce qu’elle reçoit. Cette analyse peut porter sur des adresses, des objets de messages, des pièces jointes ou des informations confidentielles. La protection contre les menaces implique donc aussi de protéger les données confiées au filtre. Pour concilier antispam et RGPD, il faut comprendre quelles informations sont analysées, qui peut y accéder et combien de temps elles restent conservées.
Antispam et RGPD : comprendre les données traitées
Un filtre peut examiner plusieurs éléments : l’adresse de l’expéditeur, l’adresse IP du serveur d’origine, les liens, le texte ou les fichiers attachés. Ces éléments peuvent contenir des données personnelles, y compris lorsque le message est classé comme indésirable.
Une analyse automatique constitue un traitement de données personnelles dès lors qu’elle porte sur de telles données. L’absence de lecture humaine ne suffit donc pas à écarter le RGPD.
L’organisme qui déploie le filtrage doit préciser son objectif et déterminer une base légale adaptée. Pour un organisme privé, l’intérêt légitime à assurer la sécurité de ses systèmes peut être pertinent, sous réserve d’évaluer la nécessité du dispositif et ses conséquences sur les droits des personnes. Le consentement n’est pas une exigence systématique pour chaque analyse.
Les utilisateurs doivent également recevoir une information compréhensible sur le fonctionnement du filtrage, les destinataires des données, leur conservation et les modalités d’exercice de leurs droits.
Limiter l’analyse à ce qui sert la protection
Identifier le parcours des messages
Demandez au fournisseur de décrire le trajet d’un courriel, depuis sa réception jusqu’à sa livraison, sa suppression ou sa mise en quarantaine.
Certaines vérifications reposent sur les caractéristiques du serveur expéditeur. D’autres nécessitent d’examiner le contenu ou d’exécuter une pièce jointe dans un environnement isolé. Selon l’architecture, ces opérations peuvent faire intervenir plusieurs prestataires.
Les questions utiles sont concrètes :
- Le contenu complet quitte-t-il l’infrastructure de messagerie ?
- Les fichiers suspects sont-ils transmis à un service d’analyse externe ?
- Un signalement manuel envoie-t-il tout le message ou seulement certains éléments ?
- Des copies restent-elles disponibles après l’analyse ?
Cette cartographie révèle parfois des traitements absents de la présentation commerciale.
Encadrer les usages supplémentaires
L’analyse nécessaire pour détecter une menace et la réutilisation des messages pour améliorer un produit sont des opérations distinctes à examiner.
Vérifiez notamment si les contenus, extraits ou pièces jointes alimentent des bases partagées ou servent à entraîner des modèles. Une mention générale d’« amélioration du service » mérite des précisions sur les données concernées et les conditions de leur utilisation.
Le chiffrement des échanges reste essentiel, mais il faut aussi savoir où les messages sont déchiffrés pour être analysés et quelles personnes peuvent alors y accéder.
Journaux techniques : garder des traces sans recopier les échanges
Les journaux permettent de comprendre pourquoi un message a été bloqué, de rechercher un incident et de retracer une intervention. Ils peuvent toutefois révéler les correspondants d’une personne ou des informations présentes dans l’objet d’un courriel.
Pour le suivi courant, privilégiez un identifiant de message, un horodatage, la règle déclenchée et la décision du filtre. Évaluez la nécessité d’enregistrer chaque information supplémentaire. Les mots de passe et les jetons d’authentification ne doivent pas apparaître dans les journaux.
La conservation des traces et celle des messages doivent être définies séparément. Le besoin de comprendre un incident peut justifier de conserver un événement technique après la suppression du courriel, sans conserver son contenu.
Prévoyez des accès limités, une protection contre l’altération et une purge automatique. Encadrez également les exports utilisés par l’assistance : un fichier de diagnostic téléchargé sur un poste devient une copie supplémentaire à gérer.
Quarantaine : prévoir la récupération et la suppression
Une quarantaine contient parfois des messages parfaitement légitimes : candidature, facture, échange médical ou document contractuel. Leur blocage ne réduit pas leur sensibilité.
Fixer une durée justifiée
Le RGPD ne prévoit pas une durée universelle applicable à toutes les quarantaines antispam. Choisissez un délai permettant de récupérer les messages bloqués à tort, en tenant compte des usages et des risques.
Documentez ensuite :
- le point de départ du délai ;
- la suppression automatique à son échéance ;
- les éventuelles copies conservées pour l’analyse ;
- le traitement des sauvegardes et leur calendrier d’expiration.
La durée appliquée par défaut par l’éditeur mérite donc d’être vérifiée avant le déploiement.
Organiser les accès et la libération
Chaque utilisateur devrait disposer d’une vue limitée aux messages qui le concernent. Les accès administratifs au contenu doivent répondre à un besoin identifié et être tracés.
Adaptez aussi les possibilités de récupération au risque : un message publicitaire bloqué à tort et une pièce jointe détectée comme malveillante ne nécessitent pas le même circuit de validation.
Enfin, limitez les détails présents dans les notifications de quarantaine. Un récapitulatif peut lui-même divulguer des informations si son destinataire est mal configuré.
Hébergement et sous-traitance : demander des preuves
L’organisme qui détermine les objectifs et les moyens essentiels du filtrage est généralement responsable du traitement. Un prestataire qui analyse les messages pour son compte agit habituellement comme sous-traitant pour cette prestation ; les rôles doivent être examinés selon les opérations réellement effectuées.
Les bonnes pratiques de la CNIL sur les relations entre responsables de traitement et sous-traitants rappellent notamment l’importance de clarifier ces rôles et de conclure un contrat adapté aux traitements confiés.
La localisation du serveur principal ne suffit pas à décrire l’hébergement. Examinez aussi les sauvegardes, les services d’analyse et les accès de l’assistance. Un accès depuis un pays extérieur à l’Espace économique européen peut soulever une question de transfert, même si les données restent hébergées en Europe.
Une grille pour évaluer la solution
| Point à vérifier | Question à poser | Élément à obtenir |
|---|---|---|
| Accès au contenu | Qui peut lire un message ou une pièce jointe ? | Liste des rôles et procédure d’habilitation |
| Administration | Comment les comptes privilégiés sont-ils protégés ? | Authentification multifacteur et traçabilité |
| Hébergement | Où se trouvent analyse, quarantaine et sauvegardes ? | Cartographie des lieux et des flux |
| Assistance | Depuis quels pays les équipes interviennent-elles ? | Conditions d’accès à distance |
| Sous-traitants | Quels autres prestataires reçoivent des données ? | Liste actualisée et procédure de changement |
| Transferts | Quel encadrement couvre les transferts éventuels ? | Mécanisme applicable et garanties associées |
| Conservation | Quelles durées s’appliquent à chaque catégorie ? | Tableau des durées et paramètres de purge |
| Réutilisation | Les messages servent-ils à d’autres usages ? | Description précise et conditions applicables |
| Incidents et sortie | Comment sont gérés une violation ou un départ ? | Procédures d’alerte, de restitution et d’effacement |
Vérifier les réglages avant la mise en service
La protection des données des e-mails dépend aussi de la configuration réellement déployée.
Avec des messages fictifs sans données réelles, vérifiez les droits d’accès, les notifications de quarantaine et le contenu des journaux. Contrôlez qu’un utilisateur ne voit que ses propres messages et que les interventions administratives apparaissent dans les traces.
Consignez les réglages retenus, le responsable de leur suivi et les modalités de vérification des suppressions. Prévoyez une nouvelle revue lors d’un changement d’hébergeur, de prestataire d’analyse ou de fonction susceptible de modifier le parcours des messages.