Télétravail des collaborateurs : sécuriser l'accès aux dossiers clients

La CNIL publie des recommandations pour un télétravail sécurisé, et elles tiennent en quelques points concrets : mettre en place un VPN, dès que cela est possible, pour éviter d'exposer directement vos services internes sur Internet, activer son authentification à deux facteurs, équiper les postes d'un pare-feu et d'un antivirus, ne pas utiliser un profil administrateur pour télétravailler mais un profil dédié sans droit d'administration, et fournir aux collaborateurs une liste d'outils validés destinés à préserver la confidentialité des échanges. La CNIL recommande aussi de privilégier, quand c'est possible, des équipements fournis et maîtrisés par le cabinet. Ce ne sont pas des principes abstraits : ce sont des réglages, et ils décrivent précisément le terrain d'un prestataire informatique.

Pour un cabinet d'expertise comptable, ces recommandations rencontrent une obligation qui, elle, ne dépend pas de la mode du télétravail. L'article 21 de l'ordonnance du 19 septembre 1945 tient l'expert-comptable au secret professionnel, dans les conditions et sous les peines de l'article 226-13 du code pénal. Ce secret ne s'arrête pas à la porte du bureau : il vous suit dès qu'un collaborateur ouvre un dossier client depuis chez lui.

Ce que cela veut dire dans le quotidien du cabinet

En pratique, dans un cabinet, le télétravail n'est pas un événement, c'est une habitude installée. Un collaborateur saisit des écritures depuis son domicile, un alternant avance sur un dossier le mercredi, un chef de mission consulte un bilan en déplacement chez un client. Chacun a besoin d'accéder à la production comptable, qu'elle tourne sous Cegid Loop, MyUnisoft, Pennylane, Sage ou ACD, et souvent d'aller chercher une pièce déposée sur le portail.

La question n'est pas de savoir s'il faut travailler à distance, mais comment. Deux réflexes coexistent souvent dans le même cabinet. Le premier consiste à accéder au système du cabinet à distance, sans rien emporter : le dossier reste là où il est protégé. Le second, plus discret et plus répandu qu'on ne le croit, consiste à copier pour dépanner : une pièce enregistrée sur une clé USB pour finir le soir, un dossier déposé sur un espace de stockage personnel gratuit, un fichier ouvert sur l'ordinateur familial partagé. Chaque copie qui sort du cabinet devient une donnée que vous ne maîtrisez plus.

C'est là que les recommandations de la CNIL prennent tout leur sens. Un accès distant bien conçu, avec un VPN et une authentification à plusieurs facteurs, rend la voie officielle plus simple que le contournement. Et quand la bonne pratique est aussi la plus commode, il y a beaucoup moins de raisons de la contourner.

Ce que la copie disperse hors du cabinet

Trois risques reviennent quand les accès distants d'un cabinet ne sont encadrés par personne.

• La dispersion de copies hors du cabinet : une pièce ou un dossier client posé sur une clé USB, un stockage personnel ou un poste familial échappe à toute maîtrise, et vous ne savez plus où vit la donnée.
• La divulgation par un canal non maîtrisé : un ordinateur partagé à la maison, un réseau Wi-Fi ouvert, un stockage personnel dont vous ne connaissez ni l'hébergeur ni les conditions, autant de chemins par lesquels une information couverte par le secret peut fuir.
• L'accès qui reste ouvert : le compte d'un collaborateur parti, un accès distant accordé pour un remplacement et jamais révoqué, un poste personnel qui garde des identifiants enregistrés.

Ces risques ne relèvent pas de la fatalité. En pratique, ils viennent souvent d'un chemin d'accès officiel absent ou trop compliqué, qui pousse chacun à improviser le sien.

Une grille pour vérifier vos accès distants

Ces questions n'exigent aucune compétence technique. Leurs réponses disent où vous en êtes, sans qu'il soit besoin d'attendre un incident pour le découvrir.

• Vos collaborateurs accèdent-ils au système du cabinet à distance, plutôt que de copier des dossiers sur leur poste personnel ?
• L'accès distant passe-t-il par un VPN, avec une authentification à plusieurs facteurs ?
• Les postes utilisés pour le télétravail sont-ils maîtrisés : mises à jour, pare-feu, antivirus, chiffrement du disque, profil sans droit d'administration et séparation des usages professionnels et personnels ?
• Des dossiers clients sont-ils, aujourd'hui, présents sur une clé USB, un stockage personnel ou un ordinateur familial ?
• Qui peut révoquer immédiatement un accès distant, et en combien de temps, quand un collaborateur part ou perd son poste ?
• Les collaborateurs disposent-ils d'une liste d'outils validés pour échanger et travailler, ou improvisent-ils avec ce qu'ils trouvent ?
• Le portail par lequel les pièces arrivent est-il le même en télétravail qu'au bureau, ou chacun a-t-il son arrangement ?

D'expérience, je recommande de traiter ces questions à froid, une par une, plutôt que de découvrir un jour qu'un dossier sensible dormait sur un espace personnel. La plupart trouvent une réponse simple une fois qu'on s'y attelle sans urgence.

Où s'arrête mon rôle, où commence le vôtre

C'est une limite que je tiens à poser clairement, parce qu'elle vous protège. Je mets en place et j'exploite les moyens techniques : le chemin d'accès distant, le VPN, l'authentification à plusieurs facteurs, la configuration des postes de télétravail, la révocation rapide des accès. Je fais en sorte que la voie sûre soit aussi la plus simple, pour qu'elle soit celle qu'on emprunte.

Ce que je ne fais pas, et ne dois pas faire : décider qui, parmi vos collaborateurs, doit accéder à quels dossiers, ni apprécier ce que le secret professionnel couvre dans une situation donnée. Répartir les habilitations selon les missions, juger de la sensibilité d'un dossier, encadrer un stagiaire : cela relève de votre responsabilité, avec votre délégué à la protection des données le cas échéant. Mon travail est de rendre techniquement possible et sûr ce que vous décidez, pas de décider à votre place.

Ce qu'un télétravail bien réglé vous fait gagner

Recadré sans jargon, un accès distant maîtrisé se traduit en trois termes que vous connaissez.

Du temps, d'abord : un collaborateur qui accède au même environnement depuis chez lui ou au bureau ne perd pas d'heures à jongler avec des copies, des versions et des envois. Il ouvre le dossier, il travaille, il referme.

De la responsabilité, ensuite : quand rien ne sort du cabinet, vous savez où vivent les données de vos clients, et vous pouvez le démontrer. Le secret professionnel se tient plus facilement quand il n'y a pas de copies éparpillées à retrouver.

De l'argent, enfin, indirectement : un accès révoqué en quelques minutes au départ d'un collaborateur, c'est une porte qui se referme avant qu'elle ne pose problème, et pas un risque qu'on traîne.

Par où commencer

Commencez par demander une revue de vos accès distants : je regarde comment vos collaborateurs travaillent à distance aujourd'hui, je repère les copies qui sortent, les postes personnels non maîtrisés et les accès jamais refermés, et vous recevez un état écrit assorti d'un chemin unique et simple à mettre en place. Vous en tirez une décision concrète, pas une inquiétude.