Télétravail et RGPD : sécurité des données et contrôle

Le travail à domicile déplace les données de l'entreprise hors de ses murs et pose une question délicate : jusqu'où contrôler un salarié qu'on ne voit plus ? Le sujet télétravail RGPD a donc deux faces : la sécurité des données traitées à distance, puis les limites de la surveillance des télétravailleurs.

Quelles règles s'appliquent au télétravail ?

Le télétravail relève à la fois du Code du travail et du RGPD. L'entreprise reste responsable de traitement des données traitées au domicile du salarié, et doit garantir le même niveau de protection qu'au bureau.

L'article L. 1222-9 du Code du travail prévoit que le télétravail est mis en place par accord collectif ou, à défaut, par une charte élaborée par l'employeur après avis du CSE s'il existe. Ce texte doit notamment préciser les modalités de contrôle du temps de travail ou de régulation de la charge de travail. L'article L. 1222-10 ajoute que l'employeur informe le salarié de toute restriction à l'usage des équipements, outils informatiques et services de communication électronique, ainsi que des sanctions en cas de non-respect.

Sécuriser les données traitées à domicile

Dans ses conseils pour mettre en place le télétravail, la CNIL invite les employeurs à formaliser une charte de sécurité ou, a minima, des règles de base communiquées aux salariés. Les mesures techniques qu'elle recommande forment un socle que toute politique télétravail RGPD devrait reprendre :

• Un VPN pour éviter d'exposer directement les services de l'entreprise sur Internet, avec une authentification forte lorsque c'est possible.
• Un pare-feu, un antivirus et un outil de blocage des sites malveillants sur chaque poste.
• Des mises à jour rapides des VPN, bureaux à distance, messageries et logiciels de visioconférence.
• Des outils collaboratifs qui garantissent la confidentialité des échanges et que l'entreprise maîtrise.
• Une revue régulière des journaux d'accès aux services distants pour repérer les connexions suspectes.

Aucun texte ne fixe de règle propre à l'impression à domicile, mais l'article 32 du RGPD exige des mesures adaptées au risque : limiter l'impression de documents contenant des données personnelles, prévoir leur destruction et protéger l'écran des regards des autres occupants.

Le salarié peut-il travailler sur son ordinateur personnel ?

Oui, mais le niveau de sécurité exigé reste le même. Selon les questions-réponses de la CNIL sur le télétravail, l'employeur demeure responsable des données même lorsqu'elles transitent par un équipement qu'il ne maîtrise pas, et il ne peut pas accéder librement au contenu d'un appareil personnel comme il le ferait d'un poste professionnel. Un poste fourni par l'entreprise reste plus simple à sécuriser, et une politique télétravail RGPD devrait l'indiquer clairement.

Que faire en cas de violation de données en télétravail ?

Une violation de données survenue au domicile (ordinateur volé, envoi au mauvais destinataire, piratage du réseau) se traite comme au bureau. L'article 33 du RGPD impose de la notifier à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si elle n'engendre pas de risque pour les personnes. Toute violation doit en outre être documentée en interne. Les télétravailleurs, souvent les premiers à constater l'incident, doivent connaître la procédure de remontée.

Ce que l'employeur peut contrôler à distance

L'employeur peut contrôler l'activité d'un télétravailleur, mais pas le surveiller en permanence. Le dispositif doit être justifié, proportionné et annoncé à l'avance.

Dans sa page sur le contrôle de l'activité des personnes employées publiée le 9 juillet 2026, la CNIL retient trois conditions cumulatives : un objectif justifié et proportionné, la consultation préalable des représentants du personnel, et l'information préalable des personnes. L'article L. 2312-38 du Code du travail prévoit que le CSE est informé et consulté, avant la décision de mise en œuvre, sur les moyens ou techniques permettant un contrôle de l'activité ; la CNIL précise que cette consultation s'impose dans les entreprises d'au moins 50 salariés. L'article L. 1222-4 interdit quant à lui toute collecte par un dispositif non porté préalablement à la connaissance du salarié. Le principe de minimisation impose de ne collecter que ce qui sert l'objectif annoncé.

Lorsqu'un dispositif permet une surveillance systématique, la CNIL rappelle qu'il doit figurer au registre et faire l'objet d'une AIPD. Tout projet de contrôle en matière de télétravail RGPD se prépare donc avec le DPO avant d'être présenté au CSE.

L'employeur peut-il imposer la caméra en visioconférence ?

Pas de manière systématique. Selon la CNIL, qui encourage le floutage de l'arrière-plan, l'employeur ne peut pas en principe imposer la caméra. Un entretien avec les ressources humaines, par exemple, peut justifier de la demander.

Ce que disent les sanctions récentes

Deux décisions éclairent concrètement le volet surveillance du télétravail RGPD. Par une délibération du 19 décembre 2024, rendue publique le 4 février 2025, la CNIL a sanctionné de 40 000 euros une entreprise du secteur immobilier. Un logiciel installé sur les postes de télétravailleurs décomptait des périodes d'« inactivité » sans frappe ni mouvement de souris et réalisait des captures d'écran régulières. La CNIL a retenu notamment un défaut de base légale, une information insuffisante et l'absence d'analyse d'impact.

Cette décision du Conseil d'État ne porte pas sur le télétravail, mais elle confirme qu'une collecte excessive et une information lacunaire restent sanctionnables. Voir aussi notre article sur les sanctions RGPD et le guide sur la charte RGPD interne.

À retenir

• L'entreprise reste responsable des données traitées au domicile du salarié, y compris sur un appareil personnel.
• VPN, authentification forte, mises à jour et outils maîtrisés forment le socle recommandé par la CNIL.
• Une violation constatée à distance se notifie à la CNIL dans les 72 heures si elle présente un risque.
• Tout contrôle doit être justifié, proportionné, soumis au CSE quand il existe et annoncé avant sa mise en place.
• Keylogger, partage d'écran permanent et webcam en continu sont jugés disproportionnés ou excessifs par la CNIL.