Faut-il une analyse d'impact pour l'accès distant ? Souvent non, parfois oui
Ou : l’analyse d’impact n’est pas un formulaire à remplir, c’est une liste de promesses qu’on vous reprochera de ne pas avoir tenues.
La réponse courte : aucun texte n’impose une analyse d’impact relative à la protection des données (AIPD) pour un VPN en tant que tel. L’obligation naît de ce que l’on fait des connexions. L’article 35 du RGPD l’exige quand un traitement est « susceptible d’engendrer un risque élevé », et les lignes directrices européennes donnent neuf critères, dont deux suffisent en principe. Les salariés comptent parmi les personnes vulnérables, ce qui fait déjà un critère ; une surveillance systématique de leur activité en ajoute un second. Un accès distant limité à la sécurité, avec des journaux de connexion conservés quelques mois, n’y entre pas en général. Un dispositif qui analyse le trafic des télétravailleurs, si. C’est une étape à trancher, et à documenter, pour la conformité des PME.
Les neuf critères viennent des lignes directrices WP248, adoptées en 2017 par le groupe des autorités européennes et reprises par le Comité européen de la protection des données. Parmi eux : la surveillance systématique, les données sensibles, le traitement à grande échelle, les personnes vulnérables et l’usage innovant d’une technologie. Leur propre tableau d’exemples classe la surveillance systématique, par une entreprise, des postes de travail et de l’activité Internet de ses employés parmi les cas où une AIPD est probablement requise.
AIPD et accès distant : quand l’analyse d’impact est obligatoire
| Dispositif | AIPD | Pourquoi |
|---|---|---|
| VPN avec journaux de connexion limités à la sécurité | En principe non, décision à documenter | Un seul critère évident, les salariés |
| Analyse des flux sortants pour détecter les fuites (DLP) | Oui en France | Liste de la CNIL, surveillance constante des employés |
| Suivi de l’activité des télétravailleurs | Oui | Surveillance systématique et personnes vulnérables |
| Accès distant à des dossiers de patients | Selon la taille | Un praticien seul n’est pas « à grande échelle » (considérant 91) ; un établissement de santé figure sur la liste de la CNIL |
| Données sensibles à grande échelle en Suisse | Oui | Loi fédérale sur la protection des données, article 22 |
La France et la Belgique ont chacune publié leur liste. Celle de la CNIL, adoptée en 2018, compte quatorze types de traitements, dont ceux qui ont pour finalité de « surveiller de manière constante l’activité des employés », avec pour exemple les outils qui analysent les courriels sortants pour détecter des fuites. La CNIL écrit aussi dans ses questions-réponses sur le télétravail que ces traitements doivent « obligatoirement » faire l’objet d’une AIPD. À l’inverse, sa liste d’exemptions de 2019 dispense les traitements de gestion du personnel des organismes de moins de 250 personnes, hors profilage. La liste belge, fixée par l’Autorité de protection des données en janvier 2019, compte huit catégories ; la surveillance des salariés n’y figure pas expressément, mais les catégories visant le traitement systématique de données de communication et l’observation systématique des comportements peuvent la couvrir. L’APD insiste sur un point : documenter la décision de ne pas faire d’AIPD.
Une AIPD ne vaut que si ses conclusions sont appliquées, et une sanction de 2026 l’a rappelé. En sanctionnant France Travail de 5 millions d’euros, la CNIL a relevé que les mesures de sécurité adéquates avaient été identifiées « dans les analyses d’impact, sans pour autant avoir été effectivement mises en œuvre ». En Belgique, l’hôpital sanctionné par l’APD en décembre 2024 s’était vu reprocher, entre autres, l’absence d’AIPD. L’analyse d’impact protège quand elle est suivie ; oubliée dans un tiroir, elle devient une pièce à charge.
Pour la conduire, la CNIL met à disposition le logiciel PIA, open source, téléchargeable librement et disponible en vingt langues, qui guide la description du traitement, l’évaluation des risques et le choix des mesures. Le Comité européen de la protection des données a mis en consultation jusqu’au 9 juin 2026 un modèle commun d’AIPD ; les analyses déjà faites restent valables. Si l’analyse conclut à un risque élevé que les mesures ne réduisent pas, l’article 36 impose de consulter l’autorité avant de commencer, qui dispose de huit semaines pour répondre.
En Suisse, la loi révisée pose la même logique : une analyse préalable si le traitement présente un risque élevé, notamment en cas de données sensibles à grande échelle, et la consultation du Préposé fédéral si le risque reste élevé.
Le RGPD en télétravail
L’AIPD s’appuie sur les mesures de sécurité attendues de tout employeur. Elles sont réunies dans le RGPD et le télétravail.
Les journaux, sans surveillance
La même journalisation peut rester une mesure de sécurité ou devenir une surveillance, selon ce qu’on en fait. Les règles sont détaillées dans la journalisation des accès.
Les dossiers des patients
Un cabinet médical qui ouvre son dossier patient à distance cumule données de santé et accès externe. Les exigences sont réunies dans le VPN pour cabinet médical.