Un télétravail sûr
pour une PME

Cela dépend de l'endroit où se trouvent les outils de votre équipe. Si le travail vit au bureau, sur un serveur, un NAS avec les dossiers partagés ou un logiciel de gestion installé sur un poste sur place, oui : la manière raisonnable d'y accéder depuis chez soi est un VPN qui impose une double authentification, sans exposer directement ce serveur ou le bureau à distance sur internet. Si tout ce que vous utilisez est déjà dans des services cloud, messagerie, documents et logiciel de gestion, le VPN n'est pas forcément nécessaire, car chaque service est déjà accessible de façon chiffrée ; ce qui devient alors critique, c'est l'identité : des comptes individuels, la double authentification obligatoire et la possibilité de retirer l'accès d'une personne en une minute. Ce qui n'a aucun sens, c'est ce que nous voyons souvent : un VPN mis en place pour accéder au bureau et, à côté, le bureau à distance ouvert sur internet parce que c'était plus pratique.

Non. En Espagne, la loi 10/2021 sur le travail à distance prévoit que l'entreprise doit fournir au salarié les moyens, équipements et outils nécessaires, et qu'elle ne peut exiger ni l'installation de programmes ou d'applications sur des appareils appartenant au salarié, ni l'utilisation de ces appareils pour travailler à distance. Cette loi s'applique au télétravail régulier, défini comme au moins trente pour cent du temps de travail sur une période de trois mois ; pour des situations ponctuelles, ou si le salarié préfère utiliser volontairement son propre matériel, on peut s'entendre, mais par écrit et avec des conditions. Du point de vue de la sécurité, le poste fourni par l'entreprise est presque toujours la meilleure option : il est à jour, chiffré et configuré par vous, et vous le récupérez quand la personne part. Les questions de droit du travail précises relèvent de votre conseiller ; nous, nous vous disons quelles conditions techniques chaque option doit remplir.

Les minimums que reprend la note de l'AEPD, l'autorité espagnole de protection des données, sur la mobilité et le télétravail : système d'exploitation et logiciels authentiques et à jour, et envisager que ces appareils n'accèdent qu'à une partie limitée du réseau, celle des ressources les moins critiques. Nous y ajoutons ce que la pratique enseigne : une session distincte sur l'ordinateur pour le travail, que l'AEPD elle-même recommande pour ne pas mélanger activité personnelle et professionnelle ; aucune donnée de l'entreprise enregistrée sur le disque local, mais sur le stockage partagé ou le cloud de l'entreprise ; aucun document transmis par messagerie personnelle, applications de chat ou cloud privé ; la double authentification sur tous les comptes professionnels, et l'ordinateur verrouillé par mot de passe quand personne ne l'utilise. Que ce soit écrit, que la personne le signe et qu'elle sache que cela protège aussi ses propres données. Si le poste traite des informations sensibles, la réponse honnête est qu'il lui faut un ordinateur de l'entreprise.

Il ne les allège pas et, en pratique, il ajoute du travail. L'entreprise reste responsable du traitement des données manipulées depuis le domicile exactement comme si elles l'étaient au bureau, et doit appliquer des mesures techniques et organisationnelles adaptées à ce nouveau contexte. La note de recommandations de l'AEPD pour la mobilité et le télétravail demande, entre autres, une politique écrite de télétravail, d'informer le personnel de ses obligations et des risques, de limiter les accès selon le poste et l'appareil, et de maintenir les équipements à jour et configurés. Si un ordinateur portable contenant des données clients est perdu dans un train ou qu'un ordinateur à la maison est infecté, la violation est celle de l'entreprise, avec l'obligation de la documenter dans tous les cas et de la notifier à l'AEPD sous 72 heures lorsqu'elle présente un risque pour les personnes. Télétravailler ne transfère pas cette responsabilité au salarié.

Moins qu'on ne le pense si le reste est bien fait, et plus qu'il ne devrait sinon. Avec un accès à l'entreprise chiffré, que ce soit par VPN ou par des services cloud qui le sont déjà, la personne qui partage le wifi de la maison ne lit pas ce qui y transite. Un minimum s'impose malgré tout : changer le mot de passe d'usine du routeur, utiliser le chiffrement le plus récent qu'il accepte, maintenir le routeur à jour et ne pas laisser sur le même réseau des appareils dont personne ne sait rien. Si le routeur de l'opérateur ne permet ni mise à jour ni configuration minimale, l'article sur le routeur de l'opérateur ou le sien explique quand il vaut la peine de le remplacer. Ce que l'AEPD déconseille expressément, c'est de se connecter au réseau de l'entreprise depuis des lieux publics et des réseaux wifi ouverts, comme celui d'un café ou d'un hôtel : dans ce cas, mieux vaut utiliser le partage de connexion du téléphone.

Le plus simple est qu'il n'y ait rien à sauvegarder sur l'ordinateur portable : que les documents de travail soient enregistrés directement sur le stockage de l'entreprise, qu'il s'agisse du serveur du bureau via l'accès à distance ou du cloud de l'entreprise, et que les sauvegardes s'y fassent comme d'habitude. C'est aussi ce que recommande l'AEPD, qui demande d'éviter de stocker localement les informations produites en mobilité, d'utiliser les ressources partagées fournies par l'organisation et de ne pas bloquer ni désactiver la politique de sauvegarde. Le problème survient quand chacun enregistre sur le bureau de son portable, car ces fichiers ne figurent dans aucune sauvegarde et disparaissent avec l'appareil. Vérifiez où chacun enregistre réellement, pas où il devrait le faire. Et rappelez-vous qu'avoir ses données dans un cloud n'est pas avoir une sauvegarde : une suppression ou un rançongiciel se synchronisent aussi bien qu'une modification légitime.

La même chose qu'avec quelqu'un du bureau, mais plus vite, car il n'y a pas à attendre qu'elle rende la clé pour qu'elle ne puisse plus entrer. Le jour même : désactiver son compte sur tous les services, révoquer son accès au VPN, fermer les sessions ouvertes et changer tout mot de passe partagé qu'elle connaissait. Si elle utilisait un ordinateur de l'entreprise, le récupérer ; si elle utilisait un ordinateur personnel avec une session de travail, supprimer cette session et les données de l'entreprise qui pourraient s'y trouver, idéalement en sa présence ou via une gestion à distance convenue à l'avance. D'où l'importance que chacun ait ses propres comptes et que quelqu'un tienne la liste des accès de chacun : sans cette liste, le départ dépend de la mémoire de quelqu'un. C'est l'un des points que nous passons en revue dans l'article sur la maintenance informatique et le RGPD.

Oui, et elle n'a pas besoin d'être longue. La note de l'AEPD sur le télétravail commence justement par là : définir une politique pour les situations de mobilité, informer le personnel et lui faire signer un accord qui reprend ses obligations. Dans une PME, cela peut tenir en deux pages : quel matériel est utilisé et dans quelles conditions, comment on accède à l'entreprise, où sont enregistrés les documents, quels canaux sont autorisés pour partager des informations et lesquels ne le sont pas, que faire en cas de perte d'un appareil ou de doute sur un e-mail, et qui prévenir. Si le télétravail est régulier, la loi espagnole 10/2021 exige en outre un accord individuel de travail à distance avec son propre contenu minimal, ce qui relève de votre conseiller en droit du travail. L'important est que ce que dit le papier corresponde à ce qui est configuré : une politique qui interdit d'enregistrer en local, avec des portables où tout le monde enregistre en local, ne protège rien.