Smartphone perso au travail (BYOD) : qui a le droit de quoi ? CEJMA
Votre smartphone contient vos photos, vos messages, votre position... et peut-être, demain, la messagerie de votre employeur. Qui décide de ce qui s'y passe ?
Petite vérification
Avant de commencer, vérifiez si vous savez encore réaliser ces 3 actions très simples, sur la séance précédente consacrée au QR code piégé :
- dans le dossier
~/tp-qrcode(à recréer avec l'étape 1 de la séance précédente s'il n'existe plus), lancerzbarimg -q --raw qr_2.pnget lire l'adresse affichée - donner le nom de domaine réel de
https://www.bistrot-du-port-menu.example/paiement?table=7 - expliquer pourquoi le préfixe
https://ne suffit pas à rendre un site fiable
📌 Réponse attendue
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à évaluer la sécurité d'un smartphone personnel, puis à déterminer ce qu'un employeur peut exiger, ou non, du salarié qui l'utilise pour travailler
Le cabinet comptable « Delmas », sa salariée Inès et leur téléphone sont fictifs, construits pour l'exercice. Aucune donnée réelle n'est demandée.
L'audit de l'étape 1 porte sur votre propre téléphone. Vous n'avez à communiquer son contenu à personne, ni à votre voisin(e), ni à l'enseignant : c'est justement ce que l'employeur ne peut pas exiger non plus. Si vous ne souhaitez pas le faire, passez directement à l'étape 2.
Le cabinet comptable « Delmas » compte une quinzaine de salariés. Pour gagner du temps, la direction propose à chacun de consulter la messagerie professionnelle depuis son smartphone personnel. Vous êtes chargé(e) de préparer cette ouverture.
Étape 1 — Auditer son propre téléphone
Avant de parler d'un téléphone d'entreprise, regardez le vôtre. Complétez cette grille pour vous seul(e) (réglages de sécurité de votre appareil) :
| Point à vérifier | Votre réponse |
|---|---|
| Type de verrouillage de l'écran (aucun, schéma, code à 4 chiffres, code à 6 chiffres ou plus, mot de passe, biométrie) | |
| Date de la dernière mise à jour de sécurité du système | |
| Nombre d'applications autorisées à utiliser votre position « en permanence » | |
| Sauvegarde automatique des données activée (oui / non) | |
| Fonction de localisation et d'effacement à distance de l'appareil activée (oui / non) |
- Combien de points de cette grille sont conformes aux recommandations ? Lesquels vous surprennent ?
- Pourquoi ces cinq réglages concernent-ils l'employeur dès qu'une messagerie professionnelle est installée ?
📌 Réponse attendue
Étape 2 — Évaluer le téléphone d'Inès
Inès, assistante comptable, se porte volontaire. Elle vous montre les réglages de son téléphone :
| Réglage | État sur le téléphone d'Inès |
|---|---|
| Verrouillage de l'écran | Schéma à 4 points, jamais changé |
| Dernière mise à jour de sécurité | Il y a plus de deux ans (modèle qui n'en reçoit plus) |
| Localisation | Autorisée « en permanence » pour 14 applications |
| Sauvegarde | Désactivée |
| Installation d'applications | Une application téléchargée hors de la boutique officielle |
- Quel risque présente chacun des cinq réglages pour les données du cabinet ?
- Ces risques concernent-ils seulement Inès ?
- Le cabinet peut-il laisser Inès consulter la messagerie professionnelle dans cet état ?
📌 Réponse attendue
Étape 3 — Ce que l'employeur peut exiger, et ce qu'il ne peut pas
La direction du cabinet vous a transmis une liste de demandes qu'elle envisage d'adresser aux salariés. Pour chacune, répondez : oui, l'employeur peut l'exiger, non, il ne peut pas, ou oui, mais à certaines conditions (à préciser).
| N° | Demande envisagée par le cabinet |
|---|---|
| 1 | « Pour accéder à la messagerie professionnelle depuis votre téléphone, vous devez activer un code de verrouillage d'au moins 6 chiffres. » |
| 2 | « Vous devez installer les mises à jour de sécurité du système, sans quoi l'accès à la messagerie professionnelle sera suspendu. » |
| 3 | « Nous installons sur votre téléphone une application qui crée un espace professionnel séparé, que nous pouvons effacer à distance en cas de perte. » |
| 4 | « Nous consulterons régulièrement vos photos et vos messages personnels pour vérifier que vous respectez la charte. » |
| 5 | « Nous suivrons la position de votre téléphone en permanence, y compris le week-end. » |
| 6 | « Vous devez utiliser votre téléphone et votre forfait personnels pour le travail, sans aucun remboursement. » |
| 7 | « En cas de perte ou de vol du téléphone, vous devez prévenir immédiatement le service informatique. » |
| 8 | « Vous devez répondre aux notifications professionnelles à toute heure, y compris la nuit. » |
📌 Réponse attendue
Étape 4 — Le téléphone est perdu
Un lundi matin, Inès vous prévient : elle a perdu son téléphone dans le train, le vendredi soir. La messagerie professionnelle était ouverte, avec des pièces jointes de clients (déclarations de revenus, relevés bancaires). Le téléphone n'avait pas de code de verrouillage.
- Cette perte est-elle une violation de données personnelles au sens du RGPD ?
- Quelles sont les 3 premières actions à mener, dans l'ordre ?
- Qui doit notifier la CNIL, et sous quel délai ?
📌 Réponse attendue
Étape 5 — Rédiger les règles du cabinet
Rédigez les 5 règles d'une courte « charte d'usage du téléphone personnel » pour le cabinet : 2 obligations du salarié, 2 engagements de l'employeur, et 1 limite que l'employeur s'interdit de franchir.
Restitution orale
Un étudiant (ou un binôme) vient présenter à la classe la grille « ce que l'employeur peut exiger / ne peut pas exiger » (étape 3) et les 5 règles rédigées pour le cabinet (étape 5).
- Durée : 5 minutes de présentation + 2 à 3 minutes de questions.
- Qui passe : un(e) étudiant(e) (ou un binôme) désigné(e) par l'enseignant.
- Support : le travail réalisé pendant le TP, aucune préparation supplémentaire n'est nécessaire.
- Ce qui est attendu :
- rappeler le contexte (l'ouverture de la messagerie du cabinet aux téléphones personnels) ;
- présenter la démarche suivie (audit, répartition des droits, règles proposées) ;
- répondre aux questions de la classe.
Cet exercice entraîne à l'oral technique court exigé par plusieurs épreuves du BTS (notamment E5 et E6) : clarté, structure, capacité à répondre à l'improviste.
📌 Une solution
Notions théoriques
Vous venez de partager un téléphone entre vie privée et sécurité d'une organisation. Voyons le cadre général : ce que recouvre le BYOD, qui est responsable de quoi, et ce que chacun peut exiger.
Qu'est-ce que le BYOD ?
Le BYOD (Bring Your Own Device, « apportez votre équipement personnel de communication », ou AVEC en français) désigne l'usage, pour le travail, d'un équipement personnel : smartphone, tablette, ordinateur portable. L'alternative est l'équipement fourni par l'organisation, parfois autorisé pour un usage privé (on parle alors de COPE).
| Pour l'organisation | Pour le salarié | |
|---|---|---|
| Avantages | Moins d'équipements à acheter | Un seul appareil, qu'il connaît bien |
| Risques | Appareil non maîtrisé, mal protégé ou perdu | Mélange de la vie privée et du travail, sollicitations hors horaires |
Le BYOD n'est pas obligatoire : l'employeur ne peut pas imposer à un salarié d'utiliser son équipement personnel. C'est une pratique qui repose sur l'accord du salarié, le plus souvent encadrée par une charte.
Qui est responsable de quoi ?
| Acteur | Responsabilité |
|---|---|
| L'employeur (responsable du traitement) | Garantir la sécurité des données personnelles qu'il traite (article 32 du RGPD), y compris lorsqu'elles transitent par un appareil personnel ; notifier une violation de données |
| Le salarié | Respecter les règles de sécurité, signaler sans délai la perte ou le vol, ne pas détourner les données de l'organisation |
Le fait que l'appareil appartienne au salarié ne dégage pas l'employeur de ses obligations : les données des clients restent les siennes, où qu'elles soient stockées.
Comme dans la séance sur les conséquences d'une fuite de données, une violation (ici, un téléphone perdu) doit être notifiée à la CNIL sous 72 heures si elle est susceptible d'engendrer un risque pour les personnes.
Ce que l'employeur peut exiger, et ce qu'il ne peut pas
| L'employeur peut | L'employeur ne peut pas |
|---|---|
| Conditionner l'accès aux données professionnelles à des mesures de sécurité (verrouillage, mises à jour) | Accéder au contenu personnel (photos, messages, applications privées) |
| Installer un outil qui sépare l'espace professionnel de l'espace personnel, si le salarié en est informé | Suivre en permanence la position du salarié, en dehors de son temps de travail |
| Effacer à distance les données professionnelles en cas de perte | Imposer l'usage de l'équipement personnel, ou refuser d'en rembourser les frais |
| Exiger le signalement immédiat d'une perte ou d'un vol | Exiger une disponibilité permanente (droit à la déconnexion) |
Deux principes soutiennent ce tableau :
- Le respect de la vie privée, même au temps et au lieu de travail : la Cour de cassation l'a affirmé dès 2001 (arrêt « Nikon »). Il s'oppose à ce que l'employeur consulte le contenu privé d'un salarié.
- La proportionnalité : toute mesure de contrôle doit être justifiée par un objectif légitime (ici, la sécurité des données) et limitée à ce qui est nécessaire, et le salarié doit en être informé.
Sur un équipement fourni par l'employeur, la jurisprudence présume professionnels les fichiers (sauf mention « personnel »). Sur un téléphone personnel, cette logique ne s'applique pas : le contenu est personnel par nature, et l'employeur n'a pas à y accéder.
Le droit à la déconnexion
Le droit à la déconnexion est le droit, pour le salarié, de ne pas être tenu de répondre aux sollicitations professionnelles (appels, courriels, messages) en dehors de son temps de travail. Les entreprises concernées doivent en négocier les modalités (article L2242-17 du code du travail). Une messagerie professionnelle installée sur un téléphone personnel rend ce sujet d'autant plus important : l'appareil est avec vous le soir et le week-end.
Des solutions techniques qui respectent la séparation
Le principe est de séparer techniquement l'espace professionnel de l'espace personnel, plutôt que de contrôler l'ensemble de l'appareil :
- Un espace (ou « conteneur ») professionnel : applications et données du travail isolées du reste du téléphone.
- Un accès conditionnel : la messagerie n'est accessible que si l'appareil respecte les règles (verrouillage, mises à jour).
- Un effacement sélectif : en cas de perte, seul l'espace professionnel est vidé.
- Un téléphone professionnel pour ceux qui ne souhaitent pas mêler les deux usages.
Ces règles sont, en pratique, écrites dans un document que le salarié signe ou auquel il adhère : la charte informatique, qui sera étudiée dans une séance ultérieure. Retenez dès maintenant que c'est à cet endroit que sont consignés les droits et les obligations de chacun.
Test de mémorisation/compréhension
Bonnes pratiques
- Verrouiller son téléphone par un code d'au moins 6 chiffres dès qu'une messagerie professionnelle y est installée.
- Installer les mises à jour de sécurité et ne plus utiliser un appareil qui n'en reçoit plus.
- Séparer le professionnel du personnel avec un espace dédié, plutôt que de tout mélanger.
- Signaler immédiatement une perte ou un vol : le délai de notification de 72 heures commence à courir pour l'employeur.
- Refuser tout accès au contenu personnel : l'employeur ne peut pas consulter vos photos ni vos messages privés.
- Faire valoir son droit à la déconnexion : le téléphone personnel ne doit pas rendre disponible en permanence.
- Utiliser un téléphone professionnel quand on ne souhaite pas mêler les deux usages.