L'employeur doit assurer la sécurité et préserver la confidentialité des données personnelles qu'il traite (ex. : données personnelles des clients, des salariés en présentiel ou en télétravail) (règlt UE 2016/679 du 27 avril 2016, art. 5 ; loi 78-17 du 6 janvier 1978, art. 4, JO du 7). À ce titre, il doit empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés y aient accès notamment au moment de leur collecte, durant leur transmission et leur conservation (référentiel gestion du personnel, § 10).

La CNIL conseille les employeurs pour les aider à respecter leurs obligations à l'égard des données personnelles (voir § 9-11), en particulier en cas de télétravail.

Elle leur recommande notamment d'élaborer une charte de sécurité dédiée au télétravail (« Les conseils de la CNIL pour mettre en place du télétravail », www.cnil.fr). À notre sens, l'employeur peut élaborer cette charte en la distinguant de sa charte informatique ou choisir de l'incorporer à sa charte informatique. Pour rappel, l'adoption d'une charte informatique relève des mesures de sécurité des données personnelles que la CNIL invite à mettre en place (CNIL, référentiel gestion du personnel, § 10).

De son côté, l'ANI télétravail du 26 novembre 2020 rappelle la responsabilité de l'employeur en matière de sécurité des données personnelles (voir § 9-10 et le texte de l'ANI en annexe) (ANI du 26 novembre 2020, § 3.1.4). Comme la CNIL, il invite les employeurs à établir un socle de consignes minimales à respecter en télétravail, s’agissant de l’usage des outils numériques et de la protection des données, et à communiquer ce document à l’ensemble des salariés.

En résumé, les employeurs sont invités à adopter une charte informatique dédiée aux télétravailleurs, ou à compléter leur charte informatique générale sur ce point, pour :

Si l'employeur veut donner une portée contraignante à sa charte, et pouvoir sanctionner le salarié qui ne la respecterait pas, il l'adopte en suivant les règles applicables au règlement intérieur (CNIL, référentiel gestion du personnel, § 10).

L'accord collectif relatif au télétravail, la charte télétravail ou encore, l'employeur et le salarié en cas de télétravail de gré à gré, peuvent prévoir que le télétravailleur utilise son équipement personnel (ex. : téléphone portable, ordinateur, tablette), mais cela ne doit pas être une obligation selon le ministère du Travail (Document questions/réponses, « Télétravail en période de covid-19 », www.travail-emploi.gouv.fr).

La CNIL rappelle que la réglementation en matière de protection des données personnelles impose que le niveau de sécurité et de confidentialité des données personnelles traitées soit le même, quel que soit l’équipement utilisé. L’employeur reste en effet responsable de la sécurité des données personnelles de son entreprise, y compris lorsqu’elles sont stockées sur des terminaux dont il n’a pas la maîtrise physique ou juridique, mais dont il a autorisé l’utilisation pour accéder aux ressources informatiques de l’entreprise (« Les questions-réponses de la CNIL sur le télétravail », www.cnil.fr).

Par ailleurs, la CNIL souligne que si l’employeur est en principe libre d’accéder aux données présentes sur l’équipement professionnel confié au salarié, qui sont présumées avoir un caractère professionnel, ce n’est pas le cas pour les données figurant sur l’équipement personnel de ses salariés. En effet, les dossiers et fichiers présents sur l’ordinateur professionnel des salariés ont nécessairement un caractère professionnel quand ils ne les ont pas identifiés comme personnels. Il en résulte que l’employeur a légitimement accès à ces fichiers, sans qu’il soit nécessaire que le salarié concerné soit présent (cass. soc. 18 octobre 2006, nos 04-47400 et 04-48025, BC V n° 308 ; cass. soc. 21 octobre 2009, n° 07-43877, BC V n° 226 ; cass. soc. 15 décembre 2009, n° 07-44264, BC V n° 284).

Selon la CNIL, le recours au BYOD est une « décision qui doit être prise après avoir mis en balance les intérêts et les inconvénients présentés par cet usage qui brouille la frontière entre vie personnelle et vie professionnelle » (« Les questions-réponses de la CNIL sur le télétravail », www.cnil.fr).

De manière générale, la CNIL recommande aux employeurs de ne pas imposer l’activation de leur caméra aux salariés en télétravail qui participent à des visioconférences. Cette recommandation découle du principe de minimisation des données, inscrit dans le RGPD (règlt UE 2016/679 du 27 avril 2016, art. 5.1 c, JOUE 4 mai). Selon ce principe, les données traitées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Or, selon la CNIL, dans la plupart des cas, une participation via le micro est suffisante (« Les questions-réponses de la CNIL sur le télétravail », www.cnil.fr).

Bien que la diffusion de l’image puisse participer à la convivialité dans une période d’éloignement de ses collègues, il peut y avoir une atteinte au droit au respect de la vie privée, tout particulièrement, en cas de télétravail à domicile, aux autres personnes présentes au domicile. Dès lors, un salarié doit pouvoir en principe refuser la diffusion de son image lors d’une visioconférence en mettant en avant les raisons tenant à sa situation particulière. Seules des circonstances très particulières, dont il appartiendrait à l’employeur de justifier, pourraient selon la CNIL rendre nécessaire la tenue de la visioconférence à visage découvert.