À l’heure où l’information circule librement, que peuvent faire, ou non, les collaborateurs et collaboratrices des données de leur entreprise ? C’est ce que nous avons demandé à Natacha Bialek Djeghdali, avocate au sein du cabinet implid. Elle revient pour nous sur les données qui méritent une protection particulière, les usages à éviter de la part des collaborateurs et collaboratrices, et sur les bonnes pratiques à adopter pour limiter les risques.

Quelles sont les grandes catégories de données, propriétés de l’entreprise, dont la consultation devrait être encadrée par des règles ?

On distingue principalement trois catégories de données qui nécessitent une sécurisation particulière :

1. Les données personnelles traitées par l’entreprise et encadrées par le RGPD. Elles concernent notamment les clients, les salariés ou les fournisseurs et incluent : 

• les données personnelles classiques : informations qui permettent d’identifier directement ou indirectement une personne (nom, adresse, numéro de téléphone, adresse IP, numéro de sécurité sociale…) ;
• les données personnelles sensibles (origines, données de santé, opinions politiques, convictions religieuses ou philosophiques, orientation sexuelle, appartenance syndicale…).

2. Les données protégées par des droits de propriété intellectuelle. Il peut s’agir d’un savoir-faire propre à une entreprise et qui présente une certaine originalité et antériorité, de données de recherches médicales, de codes source de logiciels… 
3. Les données stratégiques de l’entreprise. Là, on parle de données financières, de politiques tarifaires, de base clients, fournisseurs ou prospects. 

Toutes ces données doivent faire l’objet d’une protection rigoureuse et d’un accès strictement encadré.

À l’inverse, y a-t-il des données de l’entreprise que les collaborateurs ont le droit d’utiliser, pour un projet personnel ou pour communiquer sur leurs réseaux sociaux par exemple ?

Sans accord explicite de l’entreprise, les catégories de données que je viens d’évoquer ne peuvent pas être utilisées par les collaborateurs et les collaboratrices. Leur utilisation hors du cadre de l’entreprise pourrait constituer une violation du RGPD, un acte de contrefaçon, ou une violation des accords de confidentialité – y compris des accords contractuels avec des tiers – avec à la clé une perte de son avantage concurrentiel pour l’entreprise. 

En revanche, sur les réseaux sociaux les collaborateurs peuvent librement mentionner des données publiques et génériques de l’entreprise, déjà accessibles à tous. Par exemple, partager une actualité de l’entreprise publiée sur le site officiel de celle-ci, ou une interview du dirigeant dans la presse, ne pose pas de problème. 

Les collaborateurs et anciens collaborateurs peuvent également valoriser leurs références professionnelles, sur les réseaux sociaux, sous trois conditions : 

• que l’information partagée soit représentative de la vérité ; 
• que le profil soit à jour – un collaborateur ou une collaboratrice ne peut pas se présenter comme encore en poste une fois qu’il ou elle a quitté l’entreprise ; 
• que des noms et des logos de clients ne soient pas utilisés.  

Comment une entreprise peut-elle limiter les risques de mauvaise utilisation ou de fuite des données qui lui appartiennent et dont l’usage par les collaborateurs doit être encadré ?

La première étape, c’est un encadrement contractuel clair. Il est important d’intégrer des clauses de confidentialité dans les contrats de travail ou de prestation. Pour les projets sensibles spécifiques, des accords de non-divulgation (N.D.A.) peuvent être ajoutés. Ces dispositifs peuvent être assortis de pénalités contractuelles pour éviter un recours judiciaire, tout en renforçant leur effet dissuasif.

On peut également insérer des clauses de non-concurrence dans les contrats de travail pour éviter qu’un collaborateur utilise les données de l’entreprise pour développer sa propre activité par exemple. Et bien sûr, intégrer des clauses spécifiques sur le respect de la législation en matière de données personnelles (RGPD) est une bonne pratique.

Ensuite, l’entreprise peut mettre en place des chartes internes qui précisent les usages autorisés, les usages interdits, les précautions à prendre. On recommande généralement : 

• une charte sur les données personnelles qui rappelle les règles applicables et les interdictions en interne ;
• une charte informatique qui définit les bonnes pratiques en matière de cybersécurité ;
• une charte dédiée à l’intelligence artificielle, pour encadrer les usages de ces outils en entreprise.

La formation joue aussi un rôle essentiel. Elle permet aux collaborateurs de comprendre et d’être à jour sur les enjeux et les règles, tout en offrant à l’entreprise l’opportunité de démontrer qu’elle a rempli son obligation d’information en cas de litige.

Enfin, il est conseillé de mettre en place des process internes visant notamment à hiérarchiser et à restreindre les accès aux données sensibles en limitant leur consultation aux personnes qui en ont besoin. Et il est recommandé de sécuriser l’infrastructure informatique de l’entreprise : serveurs, terminaux professionnels, messageries….

Que peut faire une entreprise si un collaborateur divulgue ce type de données par erreur ou volontairement ? Et quels risques pour le collaborateur ?

En cas de divulgation, faute pour l’entreprise de pouvoir revenir en arrière, l’entreprise doit limiter les conséquences et prendre des mesures rapidement. Elle doit : 

• sécuriser son système informatique ; 
• isoler la fuite de données ;
• s’il s’agit d’une fuite de données personnelles, déclarer l’incident à la CNIL sous 72 heures et prévenir les personnes concernées lorsqu’il existe un risque élevé pour leurs droits et libertés. 

Le collaborateur fautif peut faire l’objet de sanctions disciplinaires pouvant aller jusqu’au licenciement pour faute grave. Il peut aussi faire l’objet de poursuites. Un vol de fichier (papier ou numérique), par exemple, est considéré comme un abus de confiance, passible de sanctions pénales – l’entreprise doit alors pouvoir prouver qu’elle avait mis en place les mesures de protection nécessaires.

Avec le télétravail et les outils numériques, quels sont aujourd’hui les principaux risques et flous juridiques sur l’usage des données par les collaborateurs ?

Le télétravail, désormais ancré dans nos pratiques professionnelles, accentue les risques de fuites de données. Avec lui, les entreprises s’exposent à : 

• des vols de matériel contenant des données de l’entreprise (ordinateurs, téléphones, tablettes) lors des trajets domicile travail. 
• une confusion entre usages professionnels et personnels : téléchargement de logiciels ou applications non sécurisés, stockage de données en dehors des espaces dédiés, recours à l’intelligence artificielle sans respecter la charte IA… 
• des connexions à distance sur des réseaux non sécurisés qui augmentent les risques et nécessitent une extrême sécurisation du matériel fourni.

En résumé, face à la complexité croissante des usages numériques, trois maîtres-mots doivent guider l’entreprise : encadrer, former et sécuriser. Ne pas s’emparer de ces sujets, c’est courir le risque de perdre le contrôle de ses données, et de mettre à risque sa compétitivité.