Est-il légal d’envoyer un email certifié sans chiffrement ? 

L’email certifié prouve qu’un message a été envoyé, reçu et n’a pas été altéré. Mais cela ne signifie pas que le contenu est protégé. 

Cette distinction, apparemment technique, a des conséquences juridiques et financières très réelles en vertu du Règlement Général sur la Protection des Données (RGPD).

Dans cet article, nous analysons en profondeur ce qui se passe lorsqu’un email certifié est envoyé sans chiffrement, dans quels cas cela est juridiquement défendable, dans quels cas cela représente un risque grave pour votre entreprise, et comment des plateformes comme Legalpin résolvent cette dualité avec des solutions qui combinent valeur probatoire et sécurité réelle.

---

Qu’est-ce qu’un email certifié et que garantit-il exactement ?

Avant d’aborder les risques, il est essentiel de comprendre ce que certifie un email certifié et, surtout, ce qu’il ne certifie pas.

Un email certifié est un service de livraison électronique qui génère des preuves vérifiables sur un message : qui l’a envoyé, à qui, quand, et que le contenu n’a pas été modifié pendant la transmission. 

Ces preuves ont une valeur probatoire légale et peuvent être présentées dans des procédures judiciaires ou administratives.

Le cadre juridique européen qui régit ces services est le Règlement eIDAS, qui définit la livraison électronique recommandée comme un service qui :

• Transmet des données par voie électronique avec preuve d’envoi et de réception.
• Protège les données transmises contre des risques tels que la perte, le vol ou l’altération non autorisée.
• Dans sa version qualifiée, apporte des présomptions renforcées d’intégrité, d’identification de l’expéditeur et du destinataire, ainsi que de date et heure certifiées.

Ce qu’eIDAS ne garantit pas automatiquement, c’est la confidentialité du contenu. La valeur probatoire et la sécurité du contenu sont deux dimensions distinctes, et les confondre est l’erreur la plus fréquente dans l’usage professionnel de l’email certifié.

---

Est-il légal d’envoyer un email certifié sans chiffrement ?

La réponse est nuancée : cela peut être juridiquement valide comme preuve, mais cela peut violer le GDPR si le contenu comprend des données personnelles et si des mesures de sécurité adéquates ne sont pas appliquées.

La perspective d’eIDAS : valeur probatoire

Du point de vue d’eIDAS, un email certifié peut avoir pleine valeur juridique même si le contenu n’est pas chiffré de bout en bout, à condition que le prestataire effectue correctement la certification. 

Le règlement ne nie pas l’effet juridique d’une communication du seul fait qu’elle est électronique, et dans sa version qualifiée, il établit des présomptions qui facilitent considérablement son usage comme preuve.

La perspective du RGPD : sécurité du traitement

Le RGPD, en revanche, opère sur un plan différent. 

Son article 32 oblige les responsables du traitement à mettre en œuvre des mesures techniques et organisationnelles appropriées au risque, en mentionnant expressément le chiffrement et la capacité à garantir la confidentialité et l’intégrité. 

Le Considérant 83 renforce cette exigence : il faut évaluer les risques et appliquer des mesures pour les atténuer, y compris le chiffrement, en tenant compte de l’état de l’art et de la nature des données traitées.

La conclusion est claire : eIDAS et RGPD ne se substituent pas, ils se complètent. Un système peut être conforme à eIDAS comme outil probatoire et néanmoins violer le RGPD s’il ne protège pas adéquatement les données personnelles contenues dans le message.

---

Les 6 principaux risques RGPD de l’email certifié sans chiffrement

1. Confondre certification et confidentialité

C’est le risque conceptuel de départ. La certification électronique se concentre sur les preuves : qui a envoyé, à qui, quand, et que le contenu est parvenu intact. 

Cela n’équivaut pas à ce que le contenu soit protégé contre les accès non autorisés pendant la transmission, dans les boîtes aux lettres, dans les sauvegardes ou dans les transferts ultérieurs.

Un email peut avoir une preuve juridique parfaite et être transmis sans protection réelle du contenu. Pour le RGPD, ce qui compte, c’est la deuxième dimension : la confidentialité des données personnelles incluses dans le message.

2. Vulnérabilités du chiffrement de transport (TLS opportuniste)

De nombreux emails circulent avec TLS en transit, mais dans le protocole SMTP, cela peut fonctionner comme du STARTTLS opportuniste : si le serveur de destination ne prend pas en charge TLS ou a une configuration faible, le message peut finir par voyager sans chiffrement ou avec une protection insuffisante.

Cela est particulièrement important lorsque l’email certifié s’appuie sur l’infrastructure de courrier traditionnel pour la livraison. 

Dans ce cas, il existe des sauts dans la chaîne de transport que l’expéditeur ne contrôle pas. 

Un message peut commencer son voyage avec TLS et se terminer en texte clair, sans que l’expéditeur le sache et sans que la certification de l’envoi le reflète.

3. Envoi au mauvais destinataire

L’un des incidents les plus fréquents dans les organisations est l’envoi accidentel au mauvais destinataire, en particulier dans les environnements avec saisie automatique des adresses. 

La CNIL française et l’AEPD espagnole ont identifié ce scénario comme l’un des risques réels les plus courants.

Si le contenu de l’email n’est pas protégé, une erreur d’adresse devient directement une violation de la confidentialité des données personnelles, avec l’obligation de notifier la violation à l’autorité de contrôle et, en fonction de la gravité, aux personnes concernées elles-mêmes.

4. Compromission des boîtes aux lettres et du stockage

Le transit de l’email n’est qu’une partie du problème. Les messages sont stockés en plusieurs points : boîtes de réception, copies locales, sauvegardes, outils de ticketing, archives historiques. 

Si l’un de ces points est compromis — par du phishing, du vol d’identifiants ou un accès abusif d’un administrateur — le contenu est exposé.

Le RGPD exige que les mesures de sécurité soient proportionnées au risque. Pour les communications contenant des données sensibles — documentation médicale, données financières, informations juridiques —, le niveau d’exigence est élevé. 

La compromission d’une boîte aux lettres peut équivaloir à une violation de données aux conséquences graves.

5. Les métadonnées sont aussi des données personnelles

Un aspect souvent ignoré : les métadonnées de l’email contiennent des données personnelles. 

Les adresses email, l’objet, la liste des destinataires, les en-têtes techniques ou les dates d’échange sont des données qui identifient des personnes et des situations.

Les autorités de protection des données ont sanctionné à plusieurs reprises l’envoi d’emails en masse où les destinataires pouvaient se voir mutuellement en raison de la non-utilisation de la copie cachée (Cci). 

Même sans pièces jointes sensibles, l’email peut révéler des informations personnelles significatives. Dans le contexte de l’email certifié, les preuves générées — qui sont elles-mêmes des données personnelles — doivent être minimisées et protégées de manière adéquate.

6. Sanctions réelles pour emails non sécurisés

Les sanctions pour envoi de données personnelles par email sans mesures adéquates sont réelles et documentées. 

Une pharmacie a été sanctionnée pour avoir envoyé des informations personnelles par email sans chiffrement. Une autre entreprise a été sanctionnée pour avoir envoyé des identifiants de connexion par email sans protection. 

Des organismes publics ont été sanctionnés pour avoir envoyé des rapports contenant des données sensibles à de mauvais destinataires, ce qui explique pourquoi de nombreuses organisations évaluent aujourd’hui les meilleurs logiciels de Email Certifié pour les gestionnaires d’immeubles.

Le schéma est cohérent : les autorités analysent le type de données, les mesures appliquées, les alternatives disponibles et si le risque était prévisible. 

Toutes les communications par email non chiffrées ne génèrent pas une amende, mais lorsque les données sont sensibles et qu’aucun contrôle adéquat n’a été mis en place, la responsabilité est claire.

---

Comment fonctionne réellement l’infrastructure du courrier électronique

Pour comprendre le risque technique, il faut comprendre que le courrier électronique a été conçu dans les années 70 sans tenir compte de la sécurité. Un message typique suit ce flux :

1. Client de l’expéditeur → 2. Serveur SMTP de l’expéditeur → 3. Serveurs de routage intermédiaires → 4. Serveur SMTP du destinataire → 5. Client du destinataire

À chacun de ces points, le message peut être traité, stocké temporairement et potentiellement lu. 

Un email peut traverser entre 2 et 6 serveurs différents avant d’arriver à destination, et à chacun d’eux, il peut exister une copie accessible aux administrateurs système ou aux attaquants disposant d’un accès.

TLS de transport vs. chiffrement réel du contenu

TLS protège le canal de transmission, pas le contenu. Le message est déchiffré à chaque serveur qui le traite. 

Lorsqu’on parle de véritable chiffrement du contenu, on parle de systèmes comme PGP ou S/MIME, où le message est chiffré avant de quitter le client avec la clé publique du destinataire. Aucun serveur intermédiaire ne peut lire le contenu.

Sans ce type de chiffrement du contenu, le courrier électronique est techniquement vulnérable en plusieurs points de son cycle de vie, que la certification de l’envoi existe ou non.

---

Quand est-ce défendable et quand est-ce un risque grave ?

Scénarios où cela peut être défendable

L’utilisation de l’email certifié sans chiffrement de bout en bout peut être raisonnablement défendable lorsque ces conditions sont réunies :

• Les données sont à faible risque : communications opérationnelles sans informations sensibles, avis qui ne révèlent pas de contenu personnel significatif.
• La minimisation est appliquée : objet neutre, contenu minimal, pièces jointes évitées ou anonymisées.
• Des mesures techniques supplémentaires existent : TLS forcé si la plateforme le permet, DMARC/SPF/DKIM, contrôle des transferts, authentification multifacteur sur les comptes.
• Des mesures organisationnelles sont en place : procédures de double vérification du destinataire, formation du personnel, registre des envois.

Même dans ces cas, il est conseillé de documenter une évaluation des risques alignée sur l’article 32 du RGPD pour pouvoir démontrer la responsabilité proactive de l’organisation.

Scénarios à haut risque RGPD

L’utilisation de l’email certifié sans chiffrement est clairement problématique lorsque le contenu comprend :

• Des catégories particulières de données : santé, biométriques, religion, orientation sexuelle, etc.
• De la documentation juridique sensible : plaintes, dossiers judiciaires, situations de vulnérabilité.
• Des identifiants ou informations permettant une fraude : mots de passe, données bancaires, documents d’identité.
• Des volumes importants ou des envois récurrents : la probabilité d’incident augmente avec la fréquence.

Dans ces scénarios, les autorités de protection des données poussent clairement vers le vrai chiffrement du contenu et vers l’adoption de canaux alternatifs plus sécurisés.

---

Le principe de protection des données dès la conception appliqué à l’email

L’un des principes fondamentaux du RGPD est la protection des données dès la conception et par défaut (privacy by design). 

Ce principe exige que la protection des données soit intégrée dès la phase de conception des processus et des systèmes, et non ajoutée après coup.

Dans le contexte du courrier électronique, ce principe soulève des questions que toute organisation devrait se poser :

• L’email est-il le canal approprié pour envoyer cette information ?
• A-t-on évalué une alternative plus sécurisée avant d’opter pour l’email ?
• Quels contrôles existent pour éviter les erreurs humaines ou les accès inappropriés ?

Lorsqu’une organisation continue d’utiliser l’email standard pour des communications sensibles sans évaluer les alternatives, on peut considérer qu’elle n’applique pas correctement le principe de protection des données dès la conception. 

Ce principe ne protège pas seulement les personnes dont les données sont traitées ; il protège aussi l’organisation elle-même en cas d’incident.

---

La responsabilité proactive : démontrer que vous avez géré le risque

Le RGPD n’exige pas seulement de se conformer ; il exige de pouvoir démontrer que l’on s’est conformé. 

Ce principe de responsabilité proactive (accountability) implique de documenter :

• L’évaluation des risques du canal de communication utilisé.
• Les politiques internes sur l’envoi de données personnelles par email.
• La formation du personnel dans la gestion sécurisée des données.
• Les mesures techniques mises en œuvre et leur justification.

Si un incident se produit et que l’organisation ne peut pas démontrer qu’elle a évalué le risque avant d’envoyer l’email, sa position juridique est nettement plus faible. 

La documentation du processus de décision est aussi importante que la décision elle-même.

---

Alternatives plus sécurisées qui maintiennent la valeur probatoire

Si vous devez combiner preuve légale de la communication et protection réelle du contenu, il existe des alternatives qui résolvent cette dualité :

1. Portail sécurisé avec notification par email

L’email ne notifie que l’existence d’une communication disponible. 

Le contenu est consulté sur un portail sécurisé avec authentification. Ce modèle élimine l’envoi direct de documents sensibles par email, tout en maintenant la traçabilité de l’accès et de la lecture.

2. Pièces jointes chiffrées avec mot de passe envoyé par un canal séparé

Les documents sont chiffrés avant l’envoi. Le destinataire reçoit le fichier chiffré par email et le mot de passe par un canal complètement différent (appel téléphonique, SMS certifiés pour les gestionnaires, gestionnaire de mots de passe).

Attention : envoyer le mot de passe dans un deuxième email à la même boîte aux lettres n’ajoute pas de protection réelle si cette boîte est compromise.

3. Livraison électronique recommandée qualifiée avec architecture sécurisée

Des plateformes comme Legalpin offrent une architecture qui ne dépend pas du courrier ouvert pour le contenu, tout en maintenant les preuves eIDAS. 

Cela signifie que vous pouvez avoir une valeur probatoire maximale sous la législation européenne et, en même temps, une confidentialité réelle du contenu grâce au chiffrement intégré.

---

Legalpin : où la valeur juridique et la sécurité réelle se rejoignent

Chez Legalpin, nous comprenons que l’email certifié ne peut pas être seulement un outil probatoire. 

Dans un environnement professionnel où le RGPD est exigible et les sanctions sont réelles, la sécurité du contenu est aussi importante que la preuve de l’envoi.

C’est pourquoi notre plateforme combine :

• Email certifié avec valeur probatoire équivalente au recommandé numérique, avec des preuves vérifiables d’envoi, de réception et de contenu.
• Chiffrement avancé qui protège le contenu pendant toute sa durée de vie : transmission, stockage et accès ultérieur.
• Conservation probatoire dans le cloud avec dossiers chiffrés et traçabilité complète, disponible pour les audits ou les procédures juridiques.
• Signature électronique avancée conforme à eIDAS, avec vérification d’identité numérique intégrée.
• Intégration simple via API publique ou directement depuis votre messagerie habituelle, sans logiciel supplémentaire.

Le résultat est un outil qui répond aux deux exigences du cadre réglementaire actuel : celle d’eIDAS (preuve légale de la communication) et celle du RGPD (protection réelle des données personnelles). 

Parce que l’email certifié sert à démontrer des faits — envoi, réception, intégrité —, mais le RGPD vous oblige à protéger les personnes. Avec Legalpin, vous pouvez faire les deux à la fois.

---

Conclusion : deux cadres légaux qui se complètent, ne se substituent pas

L’email certifié sans chiffrement peut être juridiquement valide d’un point de vue probatoire selon eIDAS. 

Mais son utilisation soulève des risques réels sous le RGPD lorsque le contenu comprend des données personnelles et que des mesures de sécurité adéquates ne sont pas appliquées.

La clé ne consiste pas à choisir entre valeur probatoire et sécurité du contenu. 

La clé consiste à exiger les deux simultanément, comme le permettent les solutions de livraison électronique recommandée qualifiée avec architecture de chiffrement intégré.

La tendance en matière de conformité réglementaire est claire : réduire l’utilisation du courrier électronique traditionnel pour transmettre des données sensibles et le remplacer par des systèmes de communication sécurisés avec authentification, chiffrement intégré et traçabilité complète, y compris des solutions comme les SMS certifiés pour gérer les impayés.

Non pas comme une limitation, mais comme la manière la plus intelligente d’opérer dans un environnement numérique où confiance, sécurité et valeur juridique sont indissociables.

---

Vous souhaitez savoir comment Legalpin peut vous aider à certifier vos communications professionnelles avec une sécurité juridique totale et une protection RGPD complète ? Contactez notre équipe de support technique et juridique disponible 24h/24 et 7j/7.