Le télétravail impose de nouvelles règles de protection des données
Le développement massif du télétravail depuis 2020 à profondément modifie la manière dont les organisations traitent les données personnelles. Les salariés accèdent désormais aux systèmes d’information depuis leur domicile, des espaces de coworking ou des lieux publics, ce qui multiplie les risques de fuite ou de compromission des données.
Le responsable de traitement reste pleinement responsable de la sécurité des données, même lorsque le traitement s’effectue en dehors des locaux de l’entreprise. L’article 32 du RGPD impose la mise en oeuvre de mesures techniques et organisationnelles appropriées, quel que soit le lieu de travail du salarié.
Les mesures techniques indispensables
Le chiffrement des postes de travail constitue la première ligne de défense. Chaque ordinateur portable utilisé en télétravail doit disposer d’un chiffrement intégral du disque dur (BitLocker sous Windows, FileVault sous macOS). En cas de vol ou de perte de l’équipement, les données restent inaccessibles.
L’accès au système d’information doit passer par un VPN (réseau privé virtuel) qui garantit la confidentialité des échanges. L’authentification multifacteur (MFA) renforce la sécurité en ajoutant une vérification supplémentaire au-delà du simple mot de passe.
La séparation des usages professionnels et personnels sur le même équipement reste un point critique. L’idéal est de fournir un équipement dédié au salarié. Si le salarié utilise son propre matériel (BYOD), une solution de conteneurisation permet d’isoler les données professionnelles.
Le cadre organisationnel à mettre en place
Une charte informatique spécifique au télétravail doit être rédigée et signée par chaque salarié concerne. Cette charte précise les règles d’utilisation des équipements, les interdictions (stockage sur clé USB non chiffrée, utilisation de wifi publics non sécurisés) et les obligations de signalement en cas d’incident.
La formation des teletravailleurs à la sécurité des données est essentielle. Ils doivent savoir reconnaître une tentative de phishing, verrouiller leur poste en cas d’absence, et adopter les bons réflexes pour protéger les documents papier éventuellement imprimés à domicile.
Le DPO doit intégrer le télétravail dans l’analyse d’impact (AIPD) lorsque des données sensibles sont traitées à distance. Il veille également à la mise à jour du registre des traitements pour refléter cette modalité de travail.
Les droits des salariés en télétravail
La surveillance des teletravailleurs est strictement encadrée. L’employeur ne peut pas installer de logiciels espions sur les postes de travail ni activer la webcam à l’insu du salarié. Tout dispositif de surveillance doit faire l’objet d’une information préalable et être proportionné à l’objectif poursuivi.
Le salarié conserve son droit à la déconnexion et à la vie privée, même lorsqu’il travaille depuis son domicile. L’employeur doit trouver le juste équilibre entre contrôle de l’activité et respect de la vie personnelle du collaborateur.
