{"id":1390,"date":"2026-07-31T14:56:23","date_gmt":"2026-07-31T12:56:23","guid":{"rendered":"https:\/\/nouvelhorizonconseil.com\/?p=1390"},"modified":"2026-08-12T14:35:55","modified_gmt":"2026-08-12T12:35:55","slug":"teletravail-et-protection-des-donnees-bonnes-pratiques-pme","status":"publish","type":"post","link":"https:\/\/nouvelhorizonconseil.com\/?p=1390","title":{"rendered":"T\u00e9l\u00e9travail et protection des donn\u00e9es : les bonnes pratiques pour les PME"},"content":{"rendered":"

\"DPOUn ordinateur professionnel rest\u00e9 ouvert sur la table du salon, pendant qu\u2019un proche s\u2019en sert pour consulter ses mails. C\u2019est souvent ainsi que d\u00e9bute une violation de donn\u00e9es d\u00e9clar\u00e9e \u00e0 la CNIL par une PME. Pas une cyberattaque sophistiqu\u00e9e : un simple rel\u00e2chement.<\/span><\/p>\r\n

Le t\u00e9l\u00e9travail s\u2019est durablement install\u00e9. En 2024, l\u2019<\/span>INSEE<\/span><\/a> annon\u00e7ait que le t\u00e9l\u00e9travail concernait plus d\u2019un salari\u00e9 du secteur priv\u00e9 sur cinq. Avec lui vient une r\u00e9alit\u00e9 que beaucoup de dirigeants continuent de sous-estimer. M\u00eame si le t\u00e9l\u00e9travail apporte un certain confort pour les salari\u00e9s, il ne garantit pas \u00e0 l\u2019employeur une s\u00e9curit\u00e9 optimale et une confidentialit\u00e9 absolue pour les donn\u00e9es susceptibles d\u2019\u00eatre trait\u00e9es en dehors du cadre habituel.<\/span><\/p>\r\n

Cet article ne se contentera pas de rappeler qu\u2019un VPN et un antivirus sont n\u00e9cessaires. Vous le savez d\u00e9j\u00e0. Le point aveugle, c\u2019est tout ce qui se joue dans les gestes du quotidien \u00e0 distance, l\u00e0 o\u00f9 les r\u00e8gles s\u2019appliquent toujours, mais o\u00f9 plus personne ne veille \u00e0 leur application.<\/span><\/p>\r\n

Ce que les collaborateurs perdent souvent de vue, c\u2019est que les mesures de s\u00e9curit\u00e9, la charte informatique et l\u2019ensemble des politiques internes s\u2019appliquent au t\u00e9l\u00e9travail exactement comme dans les locaux de l\u2019entreprise. Le lieu change, pas les r\u00e8gles. Encore faut-il que ces r\u00e8gles existent et soient opposables, ce que v\u00e9rifie un <\/span>diagnostic de conformit\u00e9 RGPD<\/span><\/a>. L\u2019article 32 du RGPD rappelle d\u2019ailleurs les obligations du responsable de traitement en mati\u00e8re de s\u00e9curit\u00e9 des donn\u00e9es, sans distinction de lieu.<\/span><\/p>\r\n

Pourquoi le t\u00e9l\u00e9travail change la donne c\u00f4t\u00e9 donn\u00e9es ?<\/b><\/h2>\r\n

Le RGPD n\u2019\u00e9tablit aucune distinction entre le bureau et le domicile. L\u2019article 32 impose des mesures de s\u00e9curit\u00e9 adapt\u00e9es au risque, ind\u00e9pendamment du lieu o\u00f9 le traitement s\u2019effectue. Le risque, lui, \u00e9volue nettement d\u00e8s que le salari\u00e9 quitte l\u2019infrastructure de l\u2019entreprise.<\/span><\/p>\r\n

2 facteurs expliquent cette exposition accrue.<\/span><\/p>\r\n

    \r\n\t
  1. Le r\u00e9seau, d\u2019abord : une box domestique partag\u00e9e avec le foyer, parfois un wifi public dans un espace de coworking, n\u2019offre pas les garanties d\u2019un r\u00e9seau professionnel administr\u00e9.<\/span><\/li>\r\n\t
  2. L\u2019humain, ensuite, et c\u2019est le maillon d\u00e9cisif. \u00c0 distance, la vigilance faiblit : on verrouille moins souvent sa session, un document sensible reste ouvert sur un coin de table. Les chiffres le confirment : en 2023, 43 % des entreprises ont signal\u00e9 des incidents li\u00e9s au t\u00e9l\u00e9travail, et la grande majorit\u00e9 des attaques r\u00e9ussies d\u00e9butent par un simple e-mail pi\u00e9g\u00e9. La faille est rarement technique. Elle est comportementale.<\/span><\/li>\r\n<\/ol>\r\n

    Le socle des mesures fondamentales a d\u00e9j\u00e0 \u00e9t\u00e9 trait\u00e9 par ailleurs. Pour les bases (connexions s\u00e9curis\u00e9es, charte informatique, gestion des acc\u00e8s), notre article sur les <\/span>droits et obligations du t\u00e9l\u00e9travail au regard du RGPD<\/span><\/a> pose le cadre g\u00e9n\u00e9ral. Restent les angles qu\u2019il laisse de c\u00f4t\u00e9, et c\u2019est souvent l\u00e0 que les PME tr\u00e9buchent.<\/span><\/p>\r\n

    Les mesures qui font la diff\u00e9rence<\/b><\/h2>\r\n

    La liste habituelle est connue de tous : VPN, chiffrement, authentification \u00e0 deux facteurs, mots de passe robustes. N\u00e9cessaire, mais insuffisant dans certains cas. Voici ce qui fait la diff\u00e9rence lors d\u2019un contr\u00f4le, et que les ressources g\u00e9n\u00e9riques survolent.<\/span><\/p>\r\n

    La charte de t\u00e9l\u00e9travail \u00e0 valeur contraignante. <\/b>R\u00e9diger une charte ne suffit pas. Encore faut-il qu\u2019elle poss\u00e8de une port\u00e9e juridique r\u00e9elle, qu\u2019elle soit annex\u00e9e au r\u00e8glement int\u00e9rieur et opposable au salari\u00e9. Une charte publi\u00e9e sur l\u2019intranet mais jamais sign\u00e9e n\u2019offre aucune protection le jour, par exemple, o\u00f9 un collaborateur exporte un fichier client sur sa cl\u00e9 USB personnelle.<\/span><\/p>\r\n

    Restreindre l\u2019acc\u00e8s aux ressources en t\u00e9l\u00e9travail. <\/b>Tout ce qui est accessible au bureau n\u2019a pas \u00e0 l\u2019\u00eatre depuis un domicile. La CNIL recommande de limiter les habilitations au strict n\u00e9cessaire selon le profil et d\u2019interdire le stockage de donn\u00e9es de l\u2019entreprise en local sur un appareil priv\u00e9. Un collaborateur du service paie n\u2019a aucune raison d\u2019acc\u00e9der aux dossiers commerciaux, et cette r\u00e8gle vaut d\u2019autant plus \u00e0 distance, o\u00f9 chaque acc\u00e8s ouvert devient un point d\u2019exposition suppl\u00e9mentaire.<\/span><\/p>\r\n

    La s\u00e9curisation du poste hors du r\u00e9seau de l\u2019entreprise. <\/b>Au bureau, le pare-feu, le filtrage et la supervision prot\u00e8gent le poste en permanence. \u00c0 domicile, cette couche dispara\u00eet. Le poste d\u00e9pend alors de sa propre configuration : chiffrement du disque, mises \u00e0 jour appliqu\u00e9es, verrouillage automatique de session, antivirus actif. Un ordinateur correctement durci fonctionne aussi bien connect\u00e9 au r\u00e9seau de l\u2019entreprise que sur une box domestique. Un poste mal configur\u00e9 devient vuln\u00e9rable d\u00e8s qu\u2019il en sort.<\/span><\/p>\r\n

    Sur le contr\u00f4le de l\u2019activit\u00e9 des t\u00e9l\u00e9travailleurs, une mise au point s\u2019impose, car de nombreux employeurs se m\u00e9prennent. Le pouvoir de contr\u00f4le \u00e0 distance demeure, comme sur site. Il n\u2019est pas pour autant illimit\u00e9. Dans ses <\/span>questions-r\u00e9ponses sur le t\u00e9l\u00e9travail<\/span><\/a>, la CNIL qualifie express\u00e9ment d\u2019excessifs les dispositifs tels que le partage d\u2019\u00e9cran permanent, les keyloggers ou l\u2019obligation de cliquer \u00e0 intervalles r\u00e9guliers pour prouver sa pr\u00e9sence. Elle d\u00e9conseille \u00e9galement d\u2019imposer l\u2019activation de la cam\u00e9ra en r\u00e9union, l\u2019image du domicile r\u00e9v\u00e9lant des informations priv\u00e9es, parfois des tiers qui passent dans le champ. Un tel niveau de surveillance porte atteinte aux droits des salari\u00e9s et expose l\u2019employeur \u00e0 une sanction. Les <\/span>conseils de la CNIL pour mettre en place du t\u00e9l\u00e9travail<\/span><\/a> pr\u00e9cisent le socle attendu.<\/span><\/p>\r\n

    Les situations \u00e0 risque que personne n\u2019anticipe<\/b><\/h2>\r\n

    Les manquements en t\u00e9l\u00e9travail ne viennent presque jamais d\u2019une d\u00e9cision consciente. Ils naissent de situations banales, r\u00e9p\u00e9t\u00e9es chaque jour, que personne n\u2019a pris le temps de cadrer. En voici cinq, tir\u00e9es de ce que r\u00e9v\u00e8lent les audits.<\/span><\/p>\r\n

    Le poste partag\u00e9 avec la famille. <\/b>L\u2019ordinateur professionnel utilis\u00e9 le soir par un adolescent pour ses jeux, le conjoint qui emprunte la session ouverte pour imprimer un document. Chaque usage tiers expose les donn\u00e9es de l\u2019entreprise \u00e0 une consultation non autoris\u00e9e, voire \u00e0 un logiciel malveillant install\u00e9 \u00e0 votre insu. La parade tient en une r\u00e8gle simple : un poste professionnel reste strictement professionnel, session verrouill\u00e9e d\u00e8s qu\u2019on s\u2019en \u00e9loigne.<\/span><\/p>\r\n

    Le wifi de l\u2019espace de coworking ou du caf\u00e9. <\/b>Un r\u00e9seau public ouvert n\u2019offre aucune garantie sur qui \u00e9coute le trafic. Se connecter au syst\u00e8me de l\u2019entreprise depuis un tel r\u00e9seau sans tunnel chiffr\u00e9 revient \u00e0 parler fort dans une salle d\u2019attente. Le VPN n\u2019est pas une option de confort ici, c\u2019est la condition d\u2019un acc\u00e8s distant acceptable.<\/span><\/p>\r\n

    L\u2019impression de documents \u00e0 domicile. <\/b>Un contrat, une fiche de paie, une liste de clients sortie sur l\u2019imprimante familiale, puis oubli\u00e9e dans le bac ou jet\u00e9e intacte \u00e0 la corbeille. Le papier \u00e9chappe \u00e0 toute tra\u00e7abilit\u00e9 et pr\u00e9sente exactement les m\u00eames risques qu\u2019un fichier. Limiter l\u2019impression au strict n\u00e9cessaire et imposer une destruction par broyeur ferme cette br\u00e8che.<\/span><\/p>\r\n

    Le d\u00e9part d\u2019un collaborateur en t\u00e9l\u00e9travail. <\/b>Quand un salari\u00e9 quitte l\u2019entreprise \u00e0 distance, la restitution du mat\u00e9riel et la r\u00e9vocation des acc\u00e8s se compliquent. Un compte rest\u00e9 actif, un ordinateur non rendu, des fichiers encore stock\u00e9s en local : autant de portes ouvertes apr\u00e8s le d\u00e9part. Une proc\u00e9dure de sortie qui traite explicitement le cas du t\u00e9l\u00e9travailleur \u00e9vite que des donn\u00e9es ne partent avec lui, sujet que nous d\u00e9taillons dans notre article sur <\/span>l\u2019archivage et la suppression des donn\u00e9es d\u2019un collaborateur qui part<\/span><\/a>.<\/span><\/p>\r\n

    L\u2019usage d\u2019outils non valid\u00e9s par l\u2019entreprise. <\/b>Un service de transfert de fichiers trouv\u00e9 en ligne pour envoyer une pi\u00e8ce trop lourde, une application de prise de notes install\u00e9e pour aller plus vite, un convertisseur de PDF gratuit. Ces outils \u00e9chappent \u00e0 tout contrat de sous-traitance et h\u00e9bergent souvent les donn\u00e9es hors de l\u2019Union europ\u00e9enne. Fournir des solutions professionnelles fluides reste le meilleur moyen de couper court \u00e0 ces contournements.<\/span><\/p>\r\n

    Ces sc\u00e9narios ont un point commun : aucun ne rel\u00e8ve de la mauvaise intention. Tous se r\u00e8glent par des consignes claires et des outils adapt\u00e9s, pas par la m\u00e9fiance envers les \u00e9quipes.<\/span><\/p>\r\n

    Les outils tiers, ces sous-traitants qu\u2019on oublie<\/b><\/h2>\r\n

    Le t\u00e9l\u00e9travail multiplie les services externes : plateforme de visioconf\u00e9rence, cloud de partage de fichiers, VPN, messagerie s\u00e9curis\u00e9e, solution de prise en main \u00e0 distance. Chacun traite des donn\u00e9es pour votre compte. Chacun est donc un sous-traitant au sens du RGPD.<\/span><\/p>\r\n

    Cette qualification a des cons\u00e9quences concr\u00e8tes. Tout prestataire dont l\u2019outil manipule vos donn\u00e9es doit \u00eatre li\u00e9 par un contrat conforme \u00e0 l\u2019article 28 du RGPD : obligations de s\u00e9curit\u00e9, localisation des donn\u00e9es, encadrement de la sous-traitance ult\u00e9rieure, assistance en cas d\u2019incident. Un point d\u2019attention majeur en t\u00e9l\u00e9travail concerne l\u2019h\u00e9bergement, beaucoup d\u2019outils grand public stockant les donn\u00e9es hors de l\u2019Union europ\u00e9enne, ce qui impose des garanties suppl\u00e9mentaires. V\u00e9rifier la localisation des serveurs avant d\u2019adopter un outil vous \u00e9vite de d\u00e9couvrir un transfert illicite le jour d\u2019un contr\u00f4le.<\/span><\/p>\r\n

    Ce travail de v\u00e9rification des prestataires d\u00e9passe le seul cadre du t\u00e9l\u00e9travail, mais les outils du travail \u00e0 distance en constituent souvent le maillon le plus n\u00e9glig\u00e9. Nous d\u00e9taillons la m\u00e9thode dans notre analyse sur <\/span>pourquoi auditer la conformit\u00e9 de vos sous-traitants<\/span><\/a>.<\/span><\/p>\r\n

    Le facteur humain : votre premi\u00e8re ligne de d\u00e9fense<\/b><\/h2>\r\n

    Aucune mesure technique ne compense un collaborateur mal form\u00e9. Tous les audits le confirment.<\/span><\/p>\r\n

    La sensibilisation ne se limite pas \u00e0 une r\u00e9union annuelle exp\u00e9di\u00e9e. Elle se joue dans les gestes quotidiens : reconna\u00eetre un courriel de phishing, verrouiller syst\u00e9matiquement sa session, signaler sans d\u00e9lai une cl\u00e9 USB perdue ou un message envoy\u00e9 au mauvais destinataire. Chaque salari\u00e9 en t\u00e9l\u00e9travail est un maillon de votre cha\u00eene de s\u00e9curit\u00e9, et une cha\u00eene c\u00e8de toujours \u00e0 son maillon le plus faible.<\/span><\/p>\r\n

    Notre conviction, forg\u00e9e au fil des missions : la conformit\u00e9 en t\u00e9l\u00e9travail tient autant \u00e0 l\u2019adh\u00e9sion des \u00e9quipes qu\u2019aux outils. Un dispositif technique irr\u00e9prochable mais contourn\u00e9 par des collaborateurs qui n\u2019en saisissent pas l\u2019int\u00e9r\u00eat ne prot\u00e8ge rien. La <\/span>sensibilisation des salari\u00e9s au RGPD<\/span><\/a> n\u2019est pas une case \u00e0 cocher, c\u2019est le socle de tout le reste.<\/span><\/p>\r\n

    Points de vigilance<\/b><\/h2>\r\n

    Les erreurs suivantes reviennent \u00e0 presque chaque audit de PME. Aucune n\u2019est th\u00e9orique.<\/span><\/p>\r\n