Un ordinateur professionnel resté ouvert sur la table du salon, pendant qu’un proche s’en sert pour consulter ses mails. C’est souvent ainsi que débute une violation de données déclarée à la CNIL par une PME. Pas une cyberattaque sophistiquée : un simple relâchement.
Le télétravail s’est durablement installé. En 2024, l’INSEE annonçait que le télétravail concernait plus d’un salarié du secteur privé sur cinq. Avec lui vient une réalité que beaucoup de dirigeants continuent de sous-estimer. Même si le télétravail apporte un certain confort pour les salariés, il ne garantit pas à l’employeur une sécurité optimale et une confidentialité absolue pour les données susceptibles d’être traitées en dehors du cadre habituel.
Cet article ne se contentera pas de rappeler qu’un VPN et un antivirus sont nécessaires. Vous le savez déjà. Le point aveugle, c’est tout ce qui se joue dans les gestes du quotidien à distance, là où les règles s’appliquent toujours, mais où plus personne ne veille à leur application.
Ce que les collaborateurs perdent souvent de vue, c’est que les mesures de sécurité, la charte informatique et l’ensemble des politiques internes s’appliquent au télétravail exactement comme dans les locaux de l’entreprise. Le lieu change, pas les règles. Encore faut-il que ces règles existent et soient opposables, ce que vérifie un diagnostic de conformité RGPD. L’article 32 du RGPD rappelle d’ailleurs les obligations du responsable de traitement en matière de sécurité des données, sans distinction de lieu.
Pourquoi le télétravail change la donne côté données ?
Le RGPD n’établit aucune distinction entre le bureau et le domicile. L’article 32 impose des mesures de sécurité adaptées au risque, indépendamment du lieu où le traitement s’effectue. Le risque, lui, évolue nettement dès que le salarié quitte l’infrastructure de l’entreprise.
2 facteurs expliquent cette exposition accrue.
- Le réseau, d’abord : une box domestique partagée avec le foyer, parfois un wifi public dans un espace de coworking, n’offre pas les garanties d’un réseau professionnel administré.
- L’humain, ensuite, et c’est le maillon décisif. À distance, la vigilance faiblit : on verrouille moins souvent sa session, un document sensible reste ouvert sur un coin de table. Les chiffres le confirment : en 2023, 43 % des entreprises ont signalé des incidents liés au télétravail, et la grande majorité des attaques réussies débutent par un simple e-mail piégé. La faille est rarement technique. Elle est comportementale.
Le socle des mesures fondamentales a déjà été traité par ailleurs. Pour les bases (connexions sécurisées, charte informatique, gestion des accès), notre article sur les droits et obligations du télétravail au regard du RGPD pose le cadre général. Restent les angles qu’il laisse de côté, et c’est souvent là que les PME trébuchent.
Les mesures qui font la différence
La liste habituelle est connue de tous : VPN, chiffrement, authentification à deux facteurs, mots de passe robustes. Nécessaire, mais insuffisant dans certains cas. Voici ce qui fait la différence lors d’un contrôle, et que les ressources génériques survolent.
La charte de télétravail à valeur contraignante. Rédiger une charte ne suffit pas. Encore faut-il qu’elle possède une portée juridique réelle, qu’elle soit annexée au règlement intérieur et opposable au salarié. Une charte publiée sur l’intranet mais jamais signée n’offre aucune protection le jour, par exemple, où un collaborateur exporte un fichier client sur sa clé USB personnelle.
Restreindre l’accès aux ressources en télétravail. Tout ce qui est accessible au bureau n’a pas à l’être depuis un domicile. La CNIL recommande de limiter les habilitations au strict nécessaire selon le profil et d’interdire le stockage de données de l’entreprise en local sur un appareil privé. Un collaborateur du service paie n’a aucune raison d’accéder aux dossiers commerciaux, et cette règle vaut d’autant plus à distance, où chaque accès ouvert devient un point d’exposition supplémentaire.
La sécurisation du poste hors du réseau de l’entreprise. Au bureau, le pare-feu, le filtrage et la supervision protègent le poste en permanence. À domicile, cette couche disparaît. Le poste dépend alors de sa propre configuration : chiffrement du disque, mises à jour appliquées, verrouillage automatique de session, antivirus actif. Un ordinateur correctement durci fonctionne aussi bien connecté au réseau de l’entreprise que sur une box domestique. Un poste mal configuré devient vulnérable dès qu’il en sort.
Sur le contrôle de l’activité des télétravailleurs, une mise au point s’impose, car de nombreux employeurs se méprennent. Le pouvoir de contrôle à distance demeure, comme sur site. Il n’est pas pour autant illimité. Dans ses questions-réponses sur le télétravail, la CNIL qualifie expressément d’excessifs les dispositifs tels que le partage d’écran permanent, les keyloggers ou l’obligation de cliquer à intervalles réguliers pour prouver sa présence. Elle déconseille également d’imposer l’activation de la caméra en réunion, l’image du domicile révélant des informations privées, parfois des tiers qui passent dans le champ. Un tel niveau de surveillance porte atteinte aux droits des salariés et expose l’employeur à une sanction. Les conseils de la CNIL pour mettre en place du télétravail précisent le socle attendu.
Les situations à risque que personne n’anticipe
Les manquements en télétravail ne viennent presque jamais d’une décision consciente. Ils naissent de situations banales, répétées chaque jour, que personne n’a pris le temps de cadrer. En voici cinq, tirées de ce que révèlent les audits.
Le poste partagé avec la famille. L’ordinateur professionnel utilisé le soir par un adolescent pour ses jeux, le conjoint qui emprunte la session ouverte pour imprimer un document. Chaque usage tiers expose les données de l’entreprise à une consultation non autorisée, voire à un logiciel malveillant installé à votre insu. La parade tient en une règle simple : un poste professionnel reste strictement professionnel, session verrouillée dès qu’on s’en éloigne.
Le wifi de l’espace de coworking ou du café. Un réseau public ouvert n’offre aucune garantie sur qui écoute le trafic. Se connecter au système de l’entreprise depuis un tel réseau sans tunnel chiffré revient à parler fort dans une salle d’attente. Le VPN n’est pas une option de confort ici, c’est la condition d’un accès distant acceptable.
L’impression de documents à domicile. Un contrat, une fiche de paie, une liste de clients sortie sur l’imprimante familiale, puis oubliée dans le bac ou jetée intacte à la corbeille. Le papier échappe à toute traçabilité et présente exactement les mêmes risques qu’un fichier. Limiter l’impression au strict nécessaire et imposer une destruction par broyeur ferme cette brèche.
Le départ d’un collaborateur en télétravail. Quand un salarié quitte l’entreprise à distance, la restitution du matériel et la révocation des accès se compliquent. Un compte resté actif, un ordinateur non rendu, des fichiers encore stockés en local : autant de portes ouvertes après le départ. Une procédure de sortie qui traite explicitement le cas du télétravailleur évite que des données ne partent avec lui, sujet que nous détaillons dans notre article sur l’archivage et la suppression des données d’un collaborateur qui part.
L’usage d’outils non validés par l’entreprise. Un service de transfert de fichiers trouvé en ligne pour envoyer une pièce trop lourde, une application de prise de notes installée pour aller plus vite, un convertisseur de PDF gratuit. Ces outils échappent à tout contrat de sous-traitance et hébergent souvent les données hors de l’Union européenne. Fournir des solutions professionnelles fluides reste le meilleur moyen de couper court à ces contournements.
Ces scénarios ont un point commun : aucun ne relève de la mauvaise intention. Tous se règlent par des consignes claires et des outils adaptés, pas par la méfiance envers les équipes.
Les outils tiers, ces sous-traitants qu’on oublie
Le télétravail multiplie les services externes : plateforme de visioconférence, cloud de partage de fichiers, VPN, messagerie sécurisée, solution de prise en main à distance. Chacun traite des données pour votre compte. Chacun est donc un sous-traitant au sens du RGPD.
Cette qualification a des conséquences concrètes. Tout prestataire dont l’outil manipule vos données doit être lié par un contrat conforme à l’article 28 du RGPD : obligations de sécurité, localisation des données, encadrement de la sous-traitance ultérieure, assistance en cas d’incident. Un point d’attention majeur en télétravail concerne l’hébergement, beaucoup d’outils grand public stockant les données hors de l’Union européenne, ce qui impose des garanties supplémentaires. Vérifier la localisation des serveurs avant d’adopter un outil vous évite de découvrir un transfert illicite le jour d’un contrôle.
Ce travail de vérification des prestataires dépasse le seul cadre du télétravail, mais les outils du travail à distance en constituent souvent le maillon le plus négligé. Nous détaillons la méthode dans notre analyse sur pourquoi auditer la conformité de vos sous-traitants.
Le facteur humain : votre première ligne de défense
Aucune mesure technique ne compense un collaborateur mal formé. Tous les audits le confirment.
La sensibilisation ne se limite pas à une réunion annuelle expédiée. Elle se joue dans les gestes quotidiens : reconnaître un courriel de phishing, verrouiller systématiquement sa session, signaler sans délai une clé USB perdue ou un message envoyé au mauvais destinataire. Chaque salarié en télétravail est un maillon de votre chaîne de sécurité, et une chaîne cède toujours à son maillon le plus faible.
Notre conviction, forgée au fil des missions : la conformité en télétravail tient autant à l’adhésion des équipes qu’aux outils. Un dispositif technique irréprochable mais contourné par des collaborateurs qui n’en saisissent pas l’intérêt ne protège rien. La sensibilisation des salariés au RGPD n’est pas une case à cocher, c’est le socle de tout le reste.
Points de vigilance
Les erreurs suivantes reviennent à presque chaque audit de PME. Aucune n’est théorique.
- Croire que le RGPD s’arrête à la porte du bureau. Les obligations applicables sur site valent intégralement à distance. La localisation ne modifie en rien la responsabilité du responsable de traitement.
- Se contenter d’une charte de télétravail sans valeur juridique. Un document ni annexé au règlement intérieur ni signé n’offre aucune protection. Il faut lui conférer une portée contraignante.
- Autoriser le BYOD sans encadrement. Laisser les collaborateurs employer leurs appareils personnels sans configuration imposée ni cloisonnement ouvre une brèche que l’entreprise ne maîtrise plus.
- Choisir un outil sans vérifier la localisation des serveurs. Un hébergement hors UE non encadré expose à un transfert illicite. La question se pose pour chaque solution de visio, de cloud ou de partage adoptée pour le travail à distance.
- Surveiller ses télétravailleurs de façon disproportionnée. Un contrôle excessif se retourne contre l’employeur. Le pouvoir de surveillance existe, mais reste borné par les droits des salariés.
Par où commencer ?
Sécuriser le télétravail d’une PME ne consiste ni à empiler des outils ni à rédiger une charte destinée à dormir dans un tiroir. La démarche articule 4 chantiers :
- cadrer les usages par une charte opposable,
- sécuriser techniquement les accès et le matériel,
- encadrer contractuellement les prestataires,
- former les équipes en continu.
Si votre organisation n’a jamais formalisé son dispositif de télétravail, un diagnostic de conformité RGPD identifie les failles et les hiérarchise selon le risque réel. Lorsque l’enjeu dépasse les compétences internes, notre accompagnement par un DPO externe construit un cadre solide et l’entretient dans la durée. Le télétravail ne va pas disparaître. Autant le sécuriser sérieusement, une fois pour toutes.
Questions fréquentes
Un ordinateur professionnel est volé au domicile d’un salarié. Que faire ?
Le vol ou la perte d’un appareil contenant des données personnelles constitue une violation de données au sens du RGPD, en particulier si ce dernier n’était pas chiffré. Si cette violation présente un risque pour les personnes concernées, elle doit être notifiée à la CNIL dans les 72 heures via la téléprocédure dédiée. Première réaction : révoquer immédiatement les accès du poste au système d’information, puis documenter l’incident dans le registre interne des violations. Un appareil dont le disque est chiffré et l’accès protégé par une authentification forte réduit fortement le risque. Ce chiffrement systématique des postes nomades n’est pas un confort, c’est votre meilleure assurance le jour d’un vol.
Un salarié peut-il refuser d’installer un outil de sécurité sur son appareil personnel ?
La situation illustre les limites du BYOD. L’employeur reste responsable de la sécurité des données, mais il ne peut pas imposer n’importe quelle contrainte sur un équipement privé sans considération pour la vie privée du salarié. La solution consiste à concilier les deux impératifs : cloisonnement par conteneurisation, accès aux données via un environnement virtuel isolé plutôt qu’une installation intrusive sur le poste personnel. Quand cet équilibre s’avère impossible, fournir un matériel professionnel dédié devient la seule réponse solide. Le BYOD non encadré n’est pas un arrangement pratique, c’est une zone de risque assumée.
Le télétravail doit-il figurer dans le registre des traitements ?
Le registre décrit les traitements, pas les lieux, donc le télétravail n’y constitue pas une entrée distincte. En revanche, il modifie souvent les mesures de sécurité déclarées pour des traitements existants : ouverture d’accès distants, recours à un VPN, adoption d’outils de visioconférence ou de partage. Ces changements doivent se refléter dans les fiches concernées, à la rubrique des mesures techniques et organisationnelles. Un registre qui décrit une organisation entièrement sur site alors que la moitié des équipes travaille à distance ne correspond plus à la réalité, et cet écart se voit immédiatement lors d’un contrôle.
Un salarié peut-il télétravailler depuis l’étranger ?
Rien ne l’interdit au regard du RGPD tant que le salarié se trouve dans l’Union européenne. Hors UE, la question se complique : l’accès aux données depuis un pays tiers peut être analysé comme un transfert, avec les garanties que cela suppose. S’ajoutent des considérations qui dépassent la protection des données, comme le droit du travail applicable ou la fiscalité. La pratique raisonnable consiste à encadrer explicitement cette possibilité dans la charte, en distinguant les séjours courts dans l’Union européenne des installations durables hors UE, qui appellent une analyse au cas par cas.
