BYOD et RGPD : encadrer les appareils personnels

Autoriser l’accès au logiciel professionnel depuis un téléphone personnel oblige à prévoir ce qui arrivera en cas de perte, de panne ou de départ. L’employeur doit protéger les données utilisées pour le travail tout en respectant les contenus privés du salarié. Une signature au bas d’une charte ne résout pas un paramétrage trop intrusif.

Décider des usages autorisés avant de connecter l’appareil

Le BYOD désigne l’utilisation d’un équipement personnel pour le travail. La CNIL rappelle que le salarié peut refuser et que l’employeur doit lui fournir un outil professionnel avant de proposer l’usage de son matériel. L’autorisation peut être limitée à certains équipements et applications ; elle n’a pas à couvrir tout le système d’information.

Établissez une décision par usage : consulter un agenda, télécharger un dossier RH et administrer un serveur n’exposent pas aux mêmes conséquences. L’Art. 32(1) et (2) du RGPD exige une sécurité adaptée aux risques, quel que soit le propriétaire du matériel.

Exemple hypothétique : une PME autorise la consultation de la messagerie depuis une application professionnelle administrée, mais refuse l’export des dossiers clients dans la mémoire personnelle du téléphone. Elle fournit un équipement professionnel pour les tâches nécessitant ces fichiers hors connexion. Cette décision doit être vérifiée dans les réglages, pas seulement décrite dans un document.

Contrôler ce que l’administrateur peut réellement faire

Un outil de gestion du terminal ou des applications n’est pas conforme par son seul nom. Comparez les permissions effectivement accordées selon le système, le mode d’inscription et la configuration choisie.

La fiche CNIL sur l’informatique mobile envisage notamment la gestion des appareils mobiles, y compris en BYOD autorisé, mais exclut les restrictions injustifiées à l’usage privé et l’accès aux éléments privés. Elle alerte aussi sur les sauvegardes cloud activées par défaut. Il n’existe donc pas de règle générale selon laquelle une famille d’outils serait toujours interdite et une autre toujours suffisante.

Demandez une démonstration sur un appareil de test contenant des données fictives. Vérifiez également les exports, caches et pièces jointes : un espace professionnel bien isolé perd son intérêt si ses fichiers sont copiés automatiquement dans un espace familial.

Préparer un espace professionnel et un accès limité

La configuration retenue devrait permettre de séparer les usages, limiter les copies locales, protéger les échanges et retirer les accès. Définissez les conditions d’acceptation du terminal : système maintenu, mises à jour, verrouillage, authentification de l’utilisateur et protections du stockage pertinentes.

La CNIL recommande des mesures de chiffrement, un verrouillage des smartphones et une limitation des données accessibles selon leur criticité. Les modalités dépendent du risque : évitez une liste de produits obligatoires qui masquerait l’absence de contrôle sur le résultat.

Préparez aussi les situations ordinaires : changement de téléphone, restauration d’une sauvegarde, réparation chez un tiers, prêt à un proche. L’équipe informatique doit pouvoir suspendre l’accès professionnel lorsque les conditions de sécurité ne sont plus réunies, sans prendre le contrôle de l’ensemble des usages privés.

Informer le salarié et respecter les formalités adaptées

L’Art. L. 1121-1 du Code du travail impose des restrictions justifiées et proportionnées. L’Art. L. 1222-4 interdit la collecte d’informations personnelles par un dispositif non préalablement porté à la connaissance du salarié.

Expliquez donc avant l’inscription de l’appareil ce qui sera visible, collecté, conservé et éventuellement effacé, avec les destinataires et les droits. Ne demandez pas une autorisation générale de consulter le téléphone. L’accord pour utiliser son matériel ne vaut pas consentement à toute surveillance.

Les formalités de la charte dépendent de son contenu. Les prescriptions générales et permanentes relevant de la discipline, de la santé ou de la sécurité suivent le régime applicable au règlement intérieur ; un simple guide technique n’a pas automatiquement cette portée. La fiche Service Public sur le règlement intérieur précise les formalités, y compris pour les notes concernées dans les petites entreprises. Notre modèle de charte informatique permet de préparer cette distinction.

Si le dispositif contrôle l’activité, examinez l’information-consultation prévue à l’Art. L. 2312-38, dans le régime des entreprises d’au moins cinquante salariés. La CNIL rappelle les conditions du contrôle de l’activité : proportionnalité, formalités auprès des représentants selon le régime applicable et information individuelle. Aucun de ces éléments ne remplace les autres.

Perte ou départ : retirer le travail sans effacer la vie privée

La fiche CNIL consacrée au BYOD admet de prévoir un effacement à distance de la partie professionnelle ; elle exclut que l’employeur s’attribue le droit d’effacer tout le terminal personnel. Formalisez les circonstances, l’autorisation interne de l’opération et les preuves de son exécution.

En cas de perte, prévenez immédiatement le contact prévu, révoquez les sessions et examinez les données accessibles. L’effacement à distance peut échouer sur un appareil hors connexion : il ne faut pas le traiter comme une garantie de disparition. Évaluez l’incident et les obligations des Art. 33 et 34 selon le risque ; le registre des violations conserve l’analyse et les mesures prises.

Au départ, transférez les documents professionnels nécessaires, retirez les comptes et supprimez les copies relevant du périmètre professionnel. Ne demandez pas une exploration générale des fichiers privés. Notre guide de la preuve d’exécution de l’effacement aide à définir une vérification ciblée.

Une fiche d’autorisation pour rendre les décisions vérifiables

La fiche peut réunir : usage autorisé, applications, catégories de données accessibles, copies permises, mesures exigées, visibilité de l’administrateur, procédure d’incident, modalités de retrait et personne responsable. Ajoutez la date de vérification des réglages et les changements imposant une nouvelle revue.

Le BYOD est un moyen technique, pas nécessairement un traitement autonome : la CNIL le précise dans sa fiche dédiée. Mettez à jour les traitements métiers concernés ; décrivez aussi les opérations de gestion et de sécurité du parc lorsqu’elles constituent des traitements distincts. La revue des changements du registre permet de ne pas oublier les nouveaux destinataires ou copies. Une AIPD doit être réalisée avant un traitement susceptible de présenter un risque élevé, selon l’Art. 35(1) ; l’étiquette BYOD ne décide pas à elle seule de son caractère obligatoire.

Ce qu’il faut retenir

• Le salarié peut refuser l’usage de son équipement personnel.
• Examinez les permissions réelles des outils et les copies hors de l’espace professionnel.
• Informez précisément le salarié et appliquez les formalités correspondant au contenu du dispositif.
• Préparez l’incident et le départ, avec un effacement limité au périmètre professionnel.

FAQ

Le matériel personnel réduit-il les obligations de sécurité de l’employeur ?

Non. Les données professionnelles restent soumises aux obligations applicables aux traitements concernés, y compris la sécurité adaptée au risque.

Un MDM est-il toujours interdit sur un téléphone personnel ?

Non. Il faut examiner les fonctions activées, leur nécessité et leur effet sur la vie privée. Un nom de produit ou une catégorie technique ne garantit pas une configuration proportionnée.

Peut-on effacer tout le téléphone après le départ du salarié ?

L’employeur ne peut pas s’attribuer ce droit dans sa politique BYOD. Il doit préparer un retrait ciblé des accès et des données professionnels.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.