RGPD et télétravail : les mesures techniques qu'il faudra pouvoir prouver
Ou : le règlement ne dit pas quoi installer, il demande de pouvoir expliquer ce qu’on a installé.
La réponse courte : le RGPD ne cite aucun outil. Son article 32 exige des mesures « adaptées au risque », parmi lesquelles le chiffrement, et son article 5 oblige l’employeur à « être en mesure de démontrer » qu’il respecte ses principes. Pour le télétravail, les autorités ont traduit cette exigence en mesures concrètes. La CNIL recommande depuis mars 2025 l’authentification multifacteur pour « la connexion au système d’information de l’employeur établie depuis l’extérieur du réseau de l’organisme », et son guide de sécurité de 2024 demande d’« imposer un VPN pour l’accès à distance ». Ce ne sont que des recommandations, mais elles servent de grille de lecture quand une violation de données survient. C’est le socle commun de NIS2 et RGPD pour une PME.
La CNIL sanctionne déjà sur ce terrain. En janvier 2026, Free Mobile et Free ont reçu 27 et 15 millions d’euros d’amende après une attaque qui avait touché 24 millions de contrats : selon l’autorité, la procédure d’authentification pour se connecter au VPN des deux sociétés, utilisée en particulier pour le travail à distance des employés, n’était pas suffisamment robuste, et la détection des comportements anormaux était inefficace. Le même mois, France Travail a été sanctionnée de 5 millions d’euros, notamment pour l’authentification trop faible des conseillers d’un organisme partenaire, Cap Emploi, qui accédaient à son système, et pour une journalisation insuffisante.
RGPD et télétravail : les mesures techniques attendues, et d’où elles viennent
| Mesure | Source | Portée |
|---|---|---|
| VPN pour l’accès à distance, avec authentification robuste | CNIL, guide de sécurité 2024, fiche 8 | Recommandation |
| Double facteur sur toute connexion depuis l’extérieur | CNIL, délibération 2025-019 | Recommandation |
| Chiffrement des postes nomades | CNIL, fiche 7 ; RGPD, articles 32 et 34 | Recommandation, avec un effet juridique en cas de vol |
| Consultation régulière des journaux d’accès | CNIL, conseils aux employeurs (2020) | Recommandation |
| Mesures, notamment logicielles, de protection des données du télétravailleur | CCT n° 85, article 14 (Belgique) | Obligation de l’employeur |
| Information préalable sur tout contrôle des connexions | CCT n° 81 (Belgique) ; CNIL | Obligation |
| Sécurité adéquate au regard du risque | Loi fédérale sur la protection des données, article 8 (Suisse) | Obligation |
Le chiffrement a un intérêt juridique direct. En cas de vol d’un ordinateur, l’article 33 impose de notifier l’autorité dans les 72 heures si la violation présente un risque, mais l’article 34 dispense d’avertir chaque personne concernée si les données étaient rendues incompréhensibles, par exemple par chiffrement. Une proposition européenne de simplification porterait le délai de notification à 96 heures ; elle est encore en discussion au Parlement, et les 72 heures restent la règle.
En Belgique, l’Autorité de protection des données n’a pas publié de recommandations propres au télétravail. Le droit du travail comble le vide : la convention collective n° 85 impose à l’employeur de protéger les données utilisées par le télétravailleur, et rend applicable la convention n° 81 sur le contrôle des communications électroniques. Celle-ci n’admet un contrôle que pour quatre finalités, dont la sécurité des systèmes en réseau, exige qu’il soit proportionné et impose d’informer les travailleurs à l’avance, collectivement et individuellement, y compris sur la durée de conservation des données. L’APD a par ailleurs renoncé à considérer le consentement du travailleur comme une base légale valable pour cette surveillance.
En Suisse, la loi révisée, en vigueur depuis le 1er septembre 2023, demande une sécurité « adéquate » au regard du risque, et prévoit une amende pouvant atteindre 250 000 francs, sur plainte, pour qui ne respecte pas intentionnellement les exigences minimales du Conseil fédéral. Le Préposé fédéral rappelle aussi que les journaux d’applications et de sites web d’un salarié en télétravail peuvent enfreindre l’interdiction de surveiller le comportement au travail.
La frontière est la même dans les trois pays : le VPN sécurise la connexion, il ne doit pas devenir un outil de surveillance. La CNIL juge disproportionnés les enregistreurs de frappe, la visioconférence permanente ou le partage d’écran continu, et rappelle que l’employeur doit pouvoir justifier que chaque dispositif est « strictement proportionné à l’objectif poursuivi ».
Ce que les journaux doivent contenir
Les journaux du VPN sont à la fois une mesure de sécurité et une preuve, à condition de ne pas les garder trop longtemps ni les détourner. Les règles sont détaillées dans la journalisation des accès comme preuve.
Quand l’analyse d’impact devient obligatoire
Un dispositif qui surveille l’activité des salariés en télétravail impose une analyse d’impact. La frontière est tracée dans l’AIPD de l’accès distant.
Les données de santé
Un cabinet médical traite des données dont la protection est renforcée, et la CNIL a déjà sanctionné l’absence de VPN dans un hôpital. Les exigences propres au secteur sont réunies dans le VPN du cabinet médical.