BYOD : encadrer les appareils personnels en entreprise

Le BYOD (« bring your own device ») désigne l'usage d'appareils personnels, surtout des smartphones, pour travailler : lire ses e-mails, répondre sur Teams, ouvrir un document. Dans beaucoup de PME suisses, c'est déjà la réalité, souvent sans règle écrite.

Le BYOD n'est pas un problème en soi. Il le devient quand les données de l'entreprise se mélangent aux photos de vacances, sans moyen de les retirer au départ du collaborateur. Une politique simple et quelques réglages techniques suffisent à l'encadrer.

Que doit contenir une politique BYOD ?

Le Code des obligations prévoit en principe une indemnisation convenable lorsque le collaborateur fournit lui-même ses instruments de travail avec l'accord de l'employeur, sauf accord contraire. La politique est le bon endroit pour le régler, avec le reste.

• Les appareils admis : smartphones, tablettes, ordinateurs personnels ou non, versions minimales du système.
• Les usages autorisés : messagerie, Teams, documents, et ce qui reste réservé aux postes de l'entreprise.
• Les mesures exigées : code de verrouillage, mises à jour, double authentification.
• Ce que l'entreprise peut voir et faire sur l'appareil, et ce qu'elle ne fera pas.
• La procédure en cas de perte, de vol et de départ.
• La participation aux frais, le cas échéant.

Séparer les données sur un appareil personnel

Sur un appareil personnel, il n'est pas nécessaire de prendre le contrôle de tout le téléphone. Avec les stratégies de protection des applications d'Intune, l'entreprise ne gère que ses applications : Outlook, Teams, OneDrive, Word, Excel. Elle peut y imposer un code PIN, interdire le copier-coller vers une application privée ou l'enregistrement d'un fichier dans un stockage personnel.

Le reste de l'appareil (photos, messages, applications privées) reste hors de portée de l'entreprise.

MFA et accès conditionnel : fixer les conditions d'accès

La double authentification est le minimum pour tout accès depuis un appareil personnel. L'accès conditionnel, inclus dans Microsoft 365 Business Premium, permet ensuite de n'autoriser les données de l'entreprise que depuis les applications protégées, et de bloquer l'accès depuis une application de messagerie non gérée.

Exigez aussi une version récente du système : un téléphone qui ne reçoit plus de mises à jour ne devrait plus accéder aux données de l'entreprise. Les stratégies de protection des applications permettent de le vérifier à chaque ouverture, sans inscrire l'appareil dans Intune.

Effacement sélectif : que se passe-t-il au départ d'un collaborateur ?

En cas de perte, de vol ou de départ, l'effacement sélectif retire uniquement les données de l'entreprise des applications gérées. Les photos et les données privées ne sont pas touchées. C'est la différence essentielle avec un effacement complet, qui réinitialise tout l'appareil et n'a pas sa place sur un téléphone personnel.

Au départ, l'effacement sélectif s'ajoute au blocage du compte et à la révocation des sessions ouvertes, qui coupent l'accès même si l'appareil n'est pas rendu.

Respecter la vie privée du collaborateur

Le droit suisse limite ce que l'employeur peut traiter : selon l'article 328b du Code des obligations, il ne traite que les données qui portent sur l'aptitude du travailleur à remplir son emploi ou qui sont nécessaires à l'exécution du contrat, et la nLPD s'applique aussi. Avec la gestion des applications, l'entreprise ne voit ni l'historique de navigation, ni les photos, ni la localisation de l'appareil.

Écrivez-le noir sur blanc dans la politique BYOD : c'est souvent ce qui rassure le plus les équipes et facilite l'adhésion aux règles.