Télétravail et conformité : RGPD et Loi 25

Le télétravail déplace la conformité jusque dans le salon de vos salariés. Deux textes structurent l’exercice : le RGPD en Europe, la Loi 25 au Québec. Et l’outil d’accès à distance, choisi pour dépanner, devient un rouage de la conformité.

Ce que le RGPD impose

Sous le RGPD, l’employeur est responsable du traitement des données que ses outils manipulent, y compris quand le salarié travaille depuis chez lui. L’éditeur de l’outil d’accès à distance agit comme sous-traitant : un contrat de sous-traitance s’impose, avec des engagements précis sur les mesures de sécurité.

Concrètement, l’employeur doit pouvoir démontrer qu’il protège les données, limiter leur exposition au nécessaire et notifier les violations sous 72 heures. Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. La charge de la preuve repose sur l’employeur.

Ce que la Loi 25 impose au Québec

La Loi 25 modernise la protection des renseignements personnels dans le secteur privé québécois. Depuis septembre 2022, les organisations doivent notifier les incidents de confidentialité à la Commission d’accès à l’information et tenir un registre. Depuis septembre 2023 s’ajoutent les évaluations de facteurs relatifs à la vie privée, des règles de consentement renforcées et le droit à la portabilité.

Les sanctions administratives peuvent atteindre 25 millions de dollars canadiens ou 4 % du chiffre d’affaires mondial. Et la loi s’applique aux organisations qui détiennent des renseignements de résidents québécois, où qu’elles soient établies.

Ce que change l’outil d’accès à distance

Une session de prise en main expose des écrans, des fichiers et parfois des données clients, depuis des machines personnelles, sur des réseaux domestiques. L’outil devient un point de contrôle de la conformité, pour peu qu’on l’ait choisi pour ça. Choisir l’outil devient donc un acte de conformité, pas seulement un achat technique.

La checklist de conformité

• Résidence des données : Ubidesk laisse le choix entre Union européenne, Canada et États-Unis.
• Chiffrement de bout en bout : TLS 1.3, AES-256-GCM et ECDH, avec des clés propres à chaque session.
• Authentification multifacteur obligatoire : TOTP, passkeys ou FIDO2.
• Confirmation explicite de l’utilisateur avant tout transfert de fichier, sans exception.
• Détection des comportements suspects : alertes sur la banque en ligne et les cartes cadeaux, signalement en un clic via la Trust Layer.
• Certifications : ISO 27001, SOC 2 et HIPAA sont en cours d’obtention chez Ubidesk. Vérifiez le statut réel plutôt que le logo.

Le cas des indépendants et des PME

Les obligations ne dépendent pas de la taille : un indépendant qui prend la main sur la machine d’un client manipule des données, donc des responsabilités. Un outil conforme couvre une partie de la démonstration, à condition de conserver les preuves : contrat de sous-traitance, résidence des données, journal des sessions.

Télétravail : les règles qui protègent tout le monde

Côté salarié, le support à distance d’Ubidesk garde la session visible : code à 6 chiffres saisi par l’utilisateur, client temporaire sans installation ni droits administrateur, floutage automatique des sites bancaires et des champs de mot de passe. Le salarié voit ce que le technicien fait, et rien ne se transfère sans son accord.

Côté employeur, la conformité passe par une politique claire : qui peut ouvrir une session, sur quelles machines, avec quelle traçabilité. Ajoutez une formation courte des équipes, et le télétravail cesse d’être une zone grise.

Notre page sur les solutions de télétravail détaille la mise en œuvre, de la résidence des données aux règles de session. Et si un doute subsiste sur un texte, un juriste tranche : les outils, eux, documentent.