Les entreprises doivent désormais envoyer les e-mails de facturation aux consommateurs non seulement avec un chiffrement de transport, mais aussi via un chiffrement de bout en bout. En effet, le simple chiffrement de transport ne satisfait pas aux exigences de sécurité énoncées par le RGPD (Règlement général sur la protection des données) selon l’arrêt du Tribunal supérieur du Schleswig (OLG Schleswig) du 18 décembre 2024, n° 12 U 9/24.
Chiffrement dans l’envoi de factures par e-mail
L’affaire a débuté lorsqu’une entreprise a envoyé une facture par e-mail en n’utilisant qu’un chiffrement de transport. Des tiers non identifiés ont réussi à manipuler l’e-mail, modifiant les détails bancaires ainsi que la mise en page et les couleurs. En conséquence, le client n’a pas transféré le montant de la facture à l’entreprise, mais plutôt sur le compte des escrocs.
Suite à cela, l’entreprise a poursuivi le client, mais la Cour a rejeté l’action en justice. Bien que le paiement effectué par le client aux escrocs n’ait pas eu d’effet libératoire, le client dispose d’un droit à indemnisation selon l’article 82 du RGPD, étant donné que l’envoi de la facture par e-mail via un simple chiffrement de transport ne respectait pas les obligations de protection des données personnelles selon l’article 32 du RGPD.
« Selon l’avis du Sénat, un simple chiffrement de transport pour l’envoi d’e-mails d’affaires contenant des données personnelles entre l’entrepreneur et le client n’est pas suffisant, notamment face au risque financier élevé présenté par la falsification de la facture jointe, ce qui ne peut représenter une protection ‘adéquate’ au sens du RGPD. En revanche, le chiffrement de bout en bout est actuellement le moyen privilégié. »
Chiffrement de transport contre chiffrement de bout en bout : Le chiffrement de transport, par exemple via TLS, sécurise l’e-mail pendant son transit entre les serveurs de messagerie, mais reste accessible en clair sur les serveurs et appareils des utilisateurs. À l’inverse, le chiffrement de bout en bout garantit que seul l’expéditeur et le destinataire prévu ont accès au contenu lisible d’un message. Même les serveurs de messagerie impliqués ne peuvent pas en visualiser le contenu. Pour plus d’informations techniques, vous pouvez consulter le site du BSI.
Critiques du jugement de l’OLG Schleswig
Nous considérons que la décision de l’OLG Schleswig est un sujet à débat.
Le chiffrement de bout en bout dans les e-mails B2C n’est pas un standard
Actuellement, il est erroné de dire que le chiffrement de bout en bout est standard dans le secteur B2C. Ce type de chiffrement nécessite des moyens techniques appropriés pour être ouvert, tels qu’OpenPGP (Pretty Good Privacy), S/MIME (Secure/Multipurpose Internet Mail Extensions) ou l’utilisation de portails de courrier électronique cryptés comme ProtonMail ou Tutanota. La plupart des consommateurs ne possèdent pas de tels outils ni l’expérience nécessaire pour les utiliser, rendant une obligation de chiffrement de bout en bout dans la communication par e-mail entre le client et le fournisseur complexe, voire impossible.
Chiffrement de transport éventuellement complété par une signature numérique appropriée
Le chiffrement de transport, couplé à d’autres mesures de sécurité telles que la signature numérique, peut offrir un niveau de protection adéquat. La signature numérique garantit l’authenticité et l’intégrité du message, pouvant ainsi prévenir des manipulations comme celle survenue dans le cas présent. De plus, cette approche est plus facile à mettre en œuvre pour les entreprises et les consommateurs, rendant la communication plus simple.
Le RGPD n’impose pas de méthodes de chiffrement spécifiques
Il est aussi important de noter que le RGPD n’impose aucune méthode de chiffrement spécifique, mais adopte une approche fondée sur le risque. Les entreprises sont encouragées à mettre en place des mesures de sécurité adaptées en fonction d’une analyse des risques. Une obligation généralisée d’appliquer un chiffrement de bout en bout dans les e-mails de facturation pourrait contrevenir à cette flexibilité et restreindre la liberté des entreprises à choisir les mesures de sécurité adéquates.
Les consommateurs doivent également faire preuve de discernement
Ce qui est particulièrement étonnant, c’est que la Cour n’a pas reconnu de part de responsabilité du client.
« Contrairement à ce qu’affirme le tribunal de première instance, la défenderesse, ainsi que le témoin A, dont la négligence pourrait lui être attribuée, n’étaient pas tenus de vérifier minutieusement la facture éventuellement falsifiée, étant donnée la modification de la connexion bancaire. Les différences évoquées dans les factures précédentes, telles que la couleur, les mentions concernant le directeur ou l’absence du code QR, ne constituaient pas des anomalies suffisamment significatives pour que la défenderesse ou le témoin A se doutent de quoi que ce soit lors d’une inspection superficielle. »
Points à retenir
- Le chiffrement de bout en bout est préconisé pour une meilleure sécurité des e-mails contenant des données personnelles.
- Les méthodes de chiffrement actuelles peuvent représenter des défis pour les consommateurs n’ayant pas les outils adéquats.
- La combinaison de chiffrement de transport et de signatures numériques pourrait suffire à garantir un niveau de protection approprié.
- Le RGPD prône une approche basée sur le risque plutôt qu’une méthodologie rigide.
- Les consommateurs doivent aussi être vigilants et vérifier l’authenticité des informations reçues.
En conclusion, l’évolution de la législation sur la sécurité des données soulève de nombreuses questions sur la responsabilité partagée entre entreprises et consommateurs. Le dialogue autour de ces enjeux doit se poursuivre pour trouver des solutions pragmatiques et efficaces qui protègent les données tout en restant accessibles.
Laisser un commentaire