Teletravail et RGPD : comment securiser les donnees quand vos salaries travaillent a distance
Publie le 18/10/2026 · Temps de lecture : 10 min
Le teletravail s'est installe durablement dans les TPE et PME francaises, qu'il s'agisse d'un jour fixe par semaine ou d'une organisation totalement a distance. Ce changement de lieu de travail ne change rien aux obligations de l'entreprise en matiere de protection des donnees : les fichiers clients, les dossiers RH ou les donnees de paiement consultes depuis un domicile restent soumis exactement aux memes regles que s'ils etaient consultes depuis le bureau. L'article 32 du RGPD impose au responsable de traitement de mettre en oeuvre des mesures techniques et organisationnelles « propres a garantir un niveau de securite adapte au risque », sans faire d'exception pour le lieu depuis lequel les donnees sont traitees.
Or le domicile d'un salarie presente des risques specifiques qui n'existent pas, ou moins, au bureau : reseau Wi-Fi personnel mal securise, ordinateur familial partage, documents papier laisses en evidence, ecran visible par d'autres membres du foyer. Voici les mesures concretes a mettre en place pour que le teletravail ne devienne pas le point faible de votre conformite RGPD.
Sommaire
- 1. Le RGPD s'applique partout, y compris au domicile du salarie
- 2. Materiel professionnel ou personnel : le risque du BYOD
- 3. Securiser la connexion : VPN, Wi-Fi et acces a distance
- 4. Donnees stockees localement : chiffrement et sauvegardes
- 5. La charte de teletravail : ce qu'elle doit prevoir
- 6. Documents papier et ecrans partages en famille
- 7. Que faire en cas d'incident depuis le domicile d'un salarie
- Questions frequentes
1. Le RGPD s'applique partout, y compris au domicile du salarie
Une erreur frequente consiste a considerer que les mesures de securite informatique s'arretent aux murs du bureau. Ce n'est pas le cas : le RGPD raisonne en termes de traitement de donnees et de responsable de traitement, pas en termes de lieu physique. Que le salarie ouvre le fichier clients depuis son poste au bureau ou depuis son salon, c'est l'entreprise qui reste responsable, au sens de l'article 24 du RGPD, de la securite de ce traitement.
Concretement, cela signifie que l'employeur ne peut pas se contenter de dire « c'est au salarie de faire attention » : il doit definir, documenter et controler les mesures de securite applicables au teletravail, de la meme maniere qu'il le fait pour les postes du bureau. En cas de controle de la CNIL ou de violation de donnees, c'est cette documentation qui permet de demontrer le respect du principe de « responsabilite » (accountability) pose par l'article 5.2 du RGPD.
2. Materiel professionnel ou personnel : le risque du BYOD
Le BYOD (« Bring Your Own Device », l'utilisation d'equipements personnels pour un usage professionnel) est la principale source de risque en teletravail pour une petite structure qui n'a pas toujours les moyens d'equiper chaque salarie d'un ordinateur portable dedie. Un ordinateur familial, partage avec un conjoint ou des enfants, echappe generalement a toute politique de mise a jour, d'antivirus ou de gestion des droits d'acces decidee par l'entreprise.
Les points a verifier avant d'autoriser un acces professionnel depuis un equipement personnel :
- un compte utilisateur distinct de celui utilise par le reste du foyer, avec son propre mot de passe ;
- un antivirus actif et a jour, ainsi que les mises a jour de securite du systeme d'exploitation installees ;
- l'interdiction d'enregistrer des fichiers professionnels directement sur le disque de la machine personnelle, hors des outils autorises (messagerie professionnelle, espace de stockage de l'entreprise) ;
- la suppression des acces et des donnees locales des que le besoin professionnel cesse (fin de mission, depart du salarie).
La solution la plus simple reste, chaque fois que c'est possible pour le budget de la structure, de fournir un ordinateur portable professionnel dedie au teletravail, configure et verrouille par l'entreprise avant sa remise au salarie.
3. Securiser la connexion : VPN, Wi-Fi et acces a distance
Un reseau Wi-Fi domestique mal configure (mot de passe par defaut, chiffrement obsolete) ou un reseau Wi-Fi public (cafe, gare, espace de coworking) expose la connexion du salarie a une interception plus facile que sur le reseau filtre et surveille de l'entreprise. Deux mesures reduisent significativement ce risque.
La premiere est l'usage systematique d'un VPN professionnel pour toute connexion aux outils et donnees de l'entreprise : il chiffre le trafic entre le poste du salarie et le reseau de l'entreprise, ce qui rend son interception beaucoup plus difficile, meme sur un reseau Wi-Fi peu sur. La seconde est l'authentification a plusieurs facteurs (un mot de passe, complete par un code recu sur le telephone ou genere par une application) pour tous les acces sensibles : messagerie professionnelle, logiciel de gestion clients, espace de stockage partage. Cette double verification limite fortement les consequences d'un mot de passe vole ou devine.
4. Donnees stockees localement : chiffrement et sauvegardes
Meme avec un acces a distance securise, un salarie en teletravail telecharge souvent des fichiers sur son poste pour travailler hors connexion : extraits du fichier clients, bulletins de paie, devis. Si l'ordinateur est vole ou perdu, ces fichiers deviennent lisibles par quiconque y accede, sauf si le disque est chiffre.
Le chiffrement integral du disque (BitLocker sous Windows, FileVault sous macOS, tous deux integres gratuitement au systeme d'exploitation) doit etre active sur tout equipement professionnel utilise en teletravail. Il faut y ajouter un verrouillage automatique de session apres quelques minutes d'inactivite, pour qu'un ecran laisse ouvert sans surveillance ne reste pas une porte d'entree vers les donnees. Enfin, les sauvegardes professionnelles ne doivent jamais reposer sur un service de stockage personnel grand public (compte cloud personnel, cle USB personnelle) : elles doivent passer par l'outil de sauvegarde ou l'espace partage choisi par l'entreprise, pour rester sous son controle.
5. La charte de teletravail : ce qu'elle doit prevoir
Les articles L1222-9 a L1222-11 du Code du travail encadrent le recours au teletravail par un accord collectif ou, en son absence, par une charte elaboree par l'employeur apres avis du comite social et economique lorsqu'il existe. Pour une TPE sans representation du personnel, la charte unilaterale est suffisante. Au-dela des obligations sociales (conditions de passage au teletravail, plages horaires, prise en charge des couts lies au materiel), c'est l'endroit naturel ou formaliser les regles de securite informatique applicables a distance : usage obligatoire du VPN, interdiction du materiel personnel non autorise, consignes de verrouillage de session, procedure a suivre en cas de perte ou de vol d'un equipement.
Formaliser ces regles par ecrit n'est pas une simple formalite : c'est la preuve, en cas de controle ou d'incident, que l'entreprise a bien defini et communique les mesures de securite attendues, conformement au principe de responsabilite de l'article 5.2 du RGPD. Pour une vue d'ensemble des mesures techniques exigees par l'article 32 au-dela du seul teletravail, voir notre article sur les mesures de securite RGPD a mettre en place en TPE/PME.
6. Documents papier et ecrans partages en famille
Le risque ne se limite pas au numerique. Un salarie en teletravail peut imprimer un contrat, un devis ou une fiche de paie pour la relire, puis la laisser sur un coin de table accessible a d'autres membres du foyer ou a des visiteurs. De meme, un ecran visible depuis une fenetre ou une piece de passage expose des informations confidentielles a la vue de tiers sans qu'aucune faille informatique ne soit en cause.
Les bonnes pratiques simples a rappeler dans la charte de teletravail : limiter au strict necessaire les impressions de documents contenant des donnees personnelles, les detruire au broyeur plutot que de les jeter a la poubelle, positionner l'ecran de travail de maniere a ne pas etre visible depuis une fenetre ou un espace de passage, et verrouiller systematiquement sa session en quittant le poste, meme pour quelques minutes.
7. Que faire en cas d'incident depuis le domicile d'un salarie
Un ordinateur professionnel vole dans une voiture, un telephone perdu dans les transports, un email professionnel envoye par erreur depuis une adresse personnelle mal configuree : ces incidents, plus frequents en teletravail qu'au bureau, restent des violations de donnees au sens de l'article 4.12 du RGPD des lors qu'ils touchent des donnees personnelles. Le salarie doit savoir qu'il doit remonter l'incident immediatement, sans attendre d'etre de retour au bureau : le delai de notification a la CNIL, lorsque la violation presente un risque pour les personnes concernees, est de 72 heures a compter de la decouverte de l'incident (article 33 du RGPD).
C'est pourquoi la charte de teletravail doit indiquer clairement a qui et comment signaler un incident (perte, vol, erreur d'envoi, suspicion de piratage), meme en dehors des horaires habituels de bureau. Une entreprise qui ne decouvre un incident que plusieurs semaines apres, parce que personne ne savait vers qui se tourner un soir ou un week-end, prend un retard difficile a rattraper sur ce delai legal de 72 heures.
Documentez vos mesures de securite en quelques minutes
ConformiteFacile vous aide a formaliser votre registre des traitements et vos mesures de securite, teletravail compris, pour etre pret en cas de controle.
Decouvrir nos formulesQuestions frequentes
Le RGPD impose-t-il vraiment des regles specifiques au teletravail ?
Le RGPD ne consacre pas d'article dedie au teletravail, mais son article 32 impose a tout responsable de traitement de mettre en oeuvre des mesures techniques et organisationnelles adaptees au risque, quel que soit le lieu ou les donnees sont traitees. Un salarie qui se connecte depuis son domicile reste soumis exactement aux memes exigences de securite qu'au bureau : c'est a l'employeur de s'assurer que ces exigences restent respectees a distance.
Un salarie peut-il utiliser son ordinateur personnel pour travailler ?
Ce n'est pas interdit en soi, mais c'est fortement deconseille et cela deplace le risque sur l'entreprise. Un ordinateur personnel echappe generalement aux mises a jour, a l'antivirus et au chiffrement geres par l'entreprise. Si le salarie doit malgre tout utiliser son materiel personnel, l'employeur doit a minima exiger un compte utilisateur dedie, un antivirus a jour et l'absence de stockage local des fichiers professionnels hors des outils autorises par l'entreprise.
Faut-il imposer un VPN a tous les salaries en teletravail ?
Ce n'est pas une obligation legale au sens strict, mais c'est la mesure la plus efficace et la plus repandue pour proteger une connexion a distance a un reseau Wi-Fi domestique ou public. Sans VPN, le trafic entre l'ordinateur du salarie et les serveurs de l'entreprise peut etre plus facilement intercepte, notamment sur un reseau Wi-Fi partage ou mal securise.
Une charte de teletravail est-elle obligatoire pour une TPE ?
Les articles L1222-9 a L1222-11 du Code du travail prevoient que le teletravail soit encadre par un accord collectif ou, a defaut, par une charte elaboree par l'employeur. Pour une TPE qui n'a pas de representation syndicale, la charte unilaterale suffit. Elle doit preciser notamment les conditions de passage au teletravail, les plages horaires de disponibilite et les modalites de controle du temps de travail, ce qui, en pratique, est aussi l'occasion d'y inscrire les regles de securite informatique.
Que faire si un salarie perd son ordinateur professionnel en deplacement ?
Si l'appareil contenait des donnees personnelles non chiffrees, cela peut constituer une violation de donnees au sens de l'article 4.12 du RGPD, a documenter et, selon le risque pour les personnes concernees, a notifier a la CNIL dans un delai de 72 heures (article 33). C'est precisement pour eviter cette situation que le chiffrement du disque et le verrouillage automatique de l'ecran sont des mesures de base a imposer avant tout deplacement avec un equipement professionnel.
A lire aussi
Cession du fichier clients : ce que le RGPD impose en cas de vente ou de cessation d'activite
Lire
Enregistrement des appels telephoniques : ce que le RGPD impose a une TPE ou une PME
Lire