Comment respecter le RGPD en télétravail ?

Le télétravail et le RGPD forment un couple qui demande de l'organisation : lorsque les salariés travaillent depuis chez eux, les données de l'entreprise circulent sur des réseaux domestiques, s'affichent sur des écrans visibles par l'entourage, s'impriment sur des imprimantes personnelles et transitent par des outils de visioconférence. L'employeur reste responsable de la sécurité de ces données, au titre de l'article 32, et doit en même temps respecter la vie privée de ses salariés, ce qui interdit une surveillance disproportionnée à domicile. La CNIL a publié des recommandations pour les employeurs et les salariés, qui constituent une bonne base.

Le télétravail au regard du RGPD : un même cadre, de nouveaux risques

Le télétravail ne crée pas de règles nouvelles : les principes et obligations du RGPD s'appliquent comme au bureau, et la sécurité des données reste une obligation de l'employeur. Ce qui change, ce sont les risques : perte ou vol d'un ordinateur portable, utilisation d'un poste partagé avec la famille, réseau Wi-Fi mal protégé, hameçonnage visant des salariés isolés, documents oubliés dans un train ou jetés avec les ordures ménagères. Le premier réflexe consiste à identifier, dans le registre des traitements, les données réellement accessibles à distance et à limiter cet accès au nécessaire.

Le matériel et les accès à distance

L'employeur doit fournir, autant que possible, le matériel nécessaire et en assurer la sécurité : ordinateur professionnel chiffré, mises à jour automatiques, antivirus, comptes sans droits d'administration pour l'utilisateur. L'accès aux ressources de l'entreprise passe par un réseau privé virtuel ou par des services en ligne protégés par une double authentification, que la CNIL considère désormais comme le niveau attendu pour les accès distants. Le recours à l'équipement personnel du salarié, parfois inévitable, doit être encadré par une charte : séparation des usages, système à jour, verrouillage, interdiction de stocker des données de l'entreprise en local. Le registre des traitements et la charte informatique doivent refléter ces choix, conformément à la logique de mise en conformité RGPD.

Les documents, les écrans et les conversations

La confidentialité en télétravail passe aussi par des gestes simples : verrouiller sa session dès que l'on quitte son poste, éviter de travailler sur des dossiers sensibles dans un lieu public, utiliser un filtre de confidentialité pour l'écran, s'isoler pour les appels qui évoquent des clients, des patients ou des salariés, et ne pas laisser un assistant vocal domestique à portée des conversations professionnelles. Les documents papier doivent être rangés, transportés dans une sacoche fermée et détruits avec un destructeur, ou rapportés au bureau, plutôt que jetés. Les outils de visioconférence doivent être choisis par l'entreprise, avec des réunions protégées par un code et un enregistrement réservé aux cas nécessaires, dont les participants sont informés.

Contrôler l'activité sans surveiller la vie privée

L'employeur peut contrôler l'activité de ses salariés en télétravail, mais selon les mêmes principes de proportionnalité qu'au bureau : la CNIL rappelle que la surveillance permanente est interdite, qu'il s'agisse d'une webcam allumée en continu, de captures d'écran régulières, d'enregistrement des frappes au clavier ou de partage permanent de l'écran. Des outils de suivi du temps de travail ou de points réguliers avec le manager sont des moyens proportionnés. Tout dispositif doit être porté préalablement à la connaissance des salariés et soumis au comité social et économique lorsqu'il existe. Un incident survenu en télétravail, comme le vol d'un ordinateur non chiffré ou un courriel envoyé à la mauvaise adresse, constitue une violation de données qui doit être signalée sans délai à l'entreprise pour être traitée dans les 72 heures si elle présente un risque. Les règles générales applicables aux salariés figurent dans le guide du RGPD en ressources humaines.