Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia - 236

D

O

C

T

R

I

N

E

chevaux de Troie,  etc.).  » Mais le
RSSI de l'entreprise ne peut en
aucun cas déployer des verrous
entravant l'utilisation privée d'un
smartphone personnel, au motif
que cet équipement est également
utilisé pour accéder aux ressources
de l'entreprise. On ne peut pas
imposer sur un outil privé les
mêmes précautions que sur un outil
professionnel (ex  : interdiction de
participer à des forums publics, listes
noires de sites interdits ou blocage
du téléchargement d'applications
mobiles). Si la fonction du salarié
est critique au point d'envisager de
telles interdictions, le BYOD est tout
simplement contre-indiqué.
De même, le pouvoir de contrôle
de l'employeur ne peut porter
sur les données privées (sites
consultés, emails, photos, agenda,
annuaire). La Cnil rappelle que si
l'employeur doit pouvoir accéder
au contenu professionnel stocké
dans le terminal privé, voire
procéder à l'effacement à distance
des données de l'entreprise, il ne
peut en revanche en aucun cas
effacer à distance l'ensemble des
données présentes sur le terminal
privé de l'employé. La Cnil invite
donc les employeurs qui autorisent
le BYOD à se référer au « guide du
nomadisme numérique » proposé
par l'Anssi2 .
Une jurisprudence a posé qu'une
clé USB personnelle, connectée au
SI de l'entreprise pour y charger
des données professionnelles,
était alors également présumée
professionnelle (Cass. Ch. Soc.
12.02.2013 (11-28649) et permettait
les investigations de l'employeur
sur les fichiers non expressément
notés «  personnels  », ce qui est
inique puisque par défaut l'outil
personnel contient des fichiers
personnels.
Pour tous les employeurs pris au
dépourvu par le confinement, qui
ont prié leurs personnels de recourir
à leurs équipements personnels
depuis leur domicile... la faculté
de contrôle est donc largement
annihilée. La Cnil a rappelé

236

un certain nombre de recommandations de base, à l'intention des
salariés eux-mêmes (sécuriser
sa propre connexion, créer des
comptes spécifiques sur les
webmails et applications utilisées
pour travailler, sécuriser son propre
PC contre les risques d'intrusion,
chiffrer son accès internet avec
des clés renforcées de type WPA2
ou WPA3, supprimer les accès wifi
invités, s'assurer de la présence
d'un pare-feu et d'un antivirus sur
les outils personnels, renforcer ses
mots de passe, etc.). Les employeurs
doivent répercuter ces instructions
à leurs personnels confinés, mais
ce ne sont toutefois que des pis-aller. En parallèle, les services sécurité
des entreprises ont tenté de réduire
les risques, mais ils ne peuvent pas
assurer la sécurité d'un SI devenu
soudainement
hétéroclite
du
fait du recours aux équipements
personnels. Cette «  externalisation forcée  » a considérablement
multiplié les risques, notamment de
violations de données personnelles.
La Cnil a donc invité les employeurs
à des précautions telles que (i)
cloisonner les parties de l'outil
personnel qui sont utilisées dans
le cadre professionnel («  bulle de
sécurité  »), ou (ii) contrôler l'accès
distant par un dispositif d'authentification forte du salarié (certificat
électronique, carte à puce, etc.).
Or, ces mesures sont déjà rares en
temps normal ; c'est peu dire qu'elles
n'ont pu être mises en place en
catastrophe avant le confinement,
et qu'il est en pratique impossible
de les mettre en œuvre par des
personnels du service informatique
eux-mêmes cloîtrés chez eux...
De plus, l'employeur doit absolument clarifier ses facultés de
contrôle pour qu'elles soient
valables, et indiquer dans une
charte du BYOD quels sont
les appareils éligibles, quelles
sont les conditions d'utilisation, quelles applications, quels
logiciels peuvent être utilisés et
quels documents peuvent être
consultés via l'outil personnel, et
surtout quelles sont les modalités
EXPERTISES Juin 2020

de contrôle de l'employeur sur
les fichiers professionnels qui y
seraient stockés.

Les mesures
techniques et
organisationnelles
restent necessaires
Le télétravail renforce l'acuité des
préconisations qui accompagnent
l'utilisation de solutions cloud dans
le travail. S'il est difficile d'envisager en urgence l'implémentation
de toutes les mesures de sécurité
appropriées (sauvegardes automatisées et redondance, gestion des
identifiants, traçabilité des actions,
pare-feu, anti-virus, solutions
UTM, cryptographie, taux de
disponibilité, RTO/RPO, réversibilité, etc.), le service juridique peut
contrôler, à distance, la nature
et la portée des engagements
des « cloud providers » dans leurs
contrats.

Le respect du RGPD par les
outils professionnels de
télétravail
En effet, le prestataire qui fournit
un SaaS doit garantir qu'il présente
l'ensemble
des
engagements
prévus à l'article 28 du RGPD, et
l'entreprise doit vérifier dans le
contrat que :
■	 les données ne seront utilisées
par ce prestataire à aucune autre
fin que celle liée à la destination
de l'outil (travail collaboratif,
stockage distant, visioconférence, etc.) ;
■	 les données demeurent confidentielles en dépit des transferts,
le service présente les mesures
techniques et organisationnelles
appropriées et a été conçu de
manière à protéger structurellement les données («  privacy by
design ») ;
■	 les données ne peuvent en aucun
cas être transmises vers des tiers
ou réutilisées à d'autres fins par
le prestataire ;
■	 l'outil présente bien les mentions
d'information - mais c'est à l'entreprise, en tant que responsable
de traitement, qui doit s'assurer
Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juin 2020 - N°458 - Le mensuel du droit de l'informatique et du multimédia
