BYOD (Bring Your Own Device)

Utiliser son propre smartphone aussi pour les e-mails professionnels est pratique pour de nombreux collaborateurs. Pour les entreprises, cela soulève des questions : à qui appartiennent les données, qui peut les effacer et que se passe-t-il lors d’un départ ? Cette entrée explique le BYOD, le distingue d’autres modèles d’appareils et montre les conséquences pour la protection des données et l’offboarding.

BYOD et autres modèles d’appareils

Modèle	Propriété de l’appareil	Usage privé
BYOD – Bring Your Own Device	Les collaborateurs	Oui, l’appareil est privé
CYOD – Choose Your Own Device	L’entreprise ; choix dans une liste d’appareils	Selon la réglementation
COPE – Corporate Owned, Personally Enabled	Entreprise	Autorisé, dans un espace séparé
COBO – Corporate Owned, Business Only	Entreprise	Non

Plus l’appareil appartient à l’entreprise, plus il est facile de le gérer, de le récupérer et de l’effacer de façon vérifiable.

Protection des données avec le BYOD

Lorsque des e-mails, contacts ou documents professionnels se trouvent sur un appareil privé, l’entreprise reste le responsable du traitement au sens du RGPD. Elle doit protéger les données par des mesures appropriées sans porter une atteinte disproportionnée à la vie privée. Ont fait leurs preuves :

• Séparation des données : Les applications et données professionnelles s’exécutent dans un espace séparé, par exemple dans le profil professionnel Android ou via l’inscription utilisateur chez Apple.
• Gestion des appareils avec mesure : Un gestion des appareils mobiles (MDM) ou une gestion des applications, par exemple avec Microsoft Intune, ne gère que l’espace professionnel.
• Accord clair : Une charte d’utilisation règle les obligations, les droits de contrôle et la marche à suivre en cas de perte et de départ. S’il existe un comité d’entreprise, il doit en général être associé.

Si un appareil privé contenant des données d’entreprise est perdu, il peut s’agir d’une Violation de données devant être notifiée.

Le BYOD lors de l’offboarding

Lorsqu’une collaboratrice quitte l’entreprise, elle conserve son appareil. L’entreprise peut supprimer l’espace professionnel par un Effacement à distance mais ne peut pas effacer l’ensemble de l’appareil. Il n’existe pas de certificat par support de données, comme c’est l’usage pour les appareils appartenant à l’entreprise. On ne sait pas non plus si des données professionnelles se sont retrouvées dans des sauvegardes privées ou des comptes cloud. L’accord d’utilisation devrait donc prévoir que les collaborateurs confirment la suppression. Vous trouverez une liste complète des étapes à suivre lors d’un départ dans notre checklist de départ.

BYOD et Second IT

Viele Unternehmen setzen wegen dieser Nachweislücke auf firmeneigene Geräte. Für sie bietet Second IT eine nachweisbare Ausmusterung: Abholung mit eigener Sicherheitslogistik, Löschung von Smartphones, Tablets und Notebooks mit Blancco und ein digital signiertes Löschzertifikat je Gerät. Mehr zur suppression des données certifiée.

Questions fréquentes sur le BYOD

Le BYOD est-il autorisé par le RGPD ?

Oui, le RGPD n’interdit pas le BYOD. L’entreprise doit toutefois protéger les données professionnelles et respecter la vie privée des collaborateurs. En pratique, cela fonctionne avec des espaces séparés, une gestion des appareils ou des applications et un accord écrit.

L’employeur peut-il effacer à distance un appareil privé ?

L’effacement complet d’un appareil privé est délicat, car des données privées sont alors perdues aussi. Il est d’usage de n’effacer que l’espace professionnel de manière sélective. Ce qui est autorisé devrait être indiqué au préalable dans l’accord d’utilisation.

Quelle est la différence entre BYOD et COPE ?

Avec le BYOD, l’appareil appartient aux collaborateurs. Avec le COPE, il appartient à l’entreprise, mais l’usage privé est autorisé. Les appareils COPE peuvent en fin de compte être entièrement récupérés et effacés avec certification.

Que deviennent les données de l’entreprise avec le BYOD lorsque les collaborateurs partent ?

L’appareil reste chez les collaborateurs. L’entreprise peut supprimer l’espace professionnel par un remote wipe sélectif, mais ne peut pas effacer l’ensemble de l’appareil. On ne sait pas si des données se sont retrouvées dans des sauvegardes privées ou des comptes cloud. L’accord d’utilisation devrait régler la confirmation de la suppression.

Comment séparer données privées et professionnelles avec le BYOD ?

Les applications et données professionnelles s’exécutent dans un espace séparé, par exemple dans le profil professionnel Android ou via l’inscription utilisateur chez Apple. Une gestion des appareils mobiles (MDM) ou une gestion des applications comme Microsoft Intune ne gère alors que la partie professionnelle de l’appareil.