Un employeur peut-il effacer à distance un appareil BYOD personnel ?

Vous ne devez effacer que le conteneur professionnel, pas tout l’appareil. Un effacement complet d’un téléphone personnel est disproportionné et problématique pour la vie privée. Utilisez une solution MDM/MAM réalisant un effacement sélectif des données de l’entreprise, et précisez-le clairement dans la politique.

L’enrôlement MDM est-il vraiment nécessaire pour le BYOD ?

En pratique oui. Sans enrôlement dans une solution MDM/MAM, presque toutes les autres règles — chiffrement, verrouillage d’écran, effacement sélectif — deviennent inapplicables. Exigez l’enrôlement avant tout accès aux données de l’entreprise et vérifiez à ce moment les exigences minimales (OS supporté, chiffrement, correctifs).

Comment une politique BYOD doit-elle traiter la vie privée ?

Précisez explicitement ce que l’employeur peut ou ne peut pas voir sur un appareil personnel. La transparence est essentielle au regard du RGPD et bâtit la confiance qui fait fonctionner le BYOD. Limitez la visibilité au conteneur professionnel géré et documentez clairement toute surveillance.

Comment créer une politique BYOD

Pourquoi une politique BYOD

Si vos collaborateurs lisent leurs e-mails professionnels ou ouvrent des documents sur des téléphones et ordinateurs personnels, vous faites déjà du BYOD — que vous ayez une politique ou non. Une politique BYOD (Bring Your Own Device) fixe les conditions de sécurité sous lesquelles un appareil personnel peut accéder aux données de l'entreprise : vous gagnez en productivité sans subir un risque incontrôlé.

Quoi inclure

Périmètre et éligibilité — quels rôles et types d'appareils sont autorisés, et à quelles données.
Exigences minimales — versions d'OS supportées, chiffrement du disque, verrouillage d'écran, correctifs à jour.
Enrôlement — inscription dans une solution MDM/MAM avant tout accès.
Cloisonnement des données — conserver les données de l'entreprise dans un conteneur géré, séparé des données personnelles.
Authentification — MFA pour les applications professionnelles ; pas d'accès partagé aux systèmes sensibles.
Appareils perdus ou volés — obligation de signalement et effacement à distance sélectif des données de l'entreprise.
Vie privée — préciser explicitement ce que l'employeur peut ou ne peut pas voir sur un appareil personnel. Essentiel au regard du RGPD, et facteur de confiance.
Départ — suppression des données et accès de l'entreprise au départ d'un collaborateur.

Erreurs fréquentes

Prétendre effacer entièrement un appareil personnel — disproportionné et problématique pour la vie privée ; n'effacez que le conteneur professionnel.
Aucun enrôlement MDM, rendant toutes les autres règles inapplicables.
Le silence sur la vie privée des employés, qui érode la confiance et peut enfreindre le RGPD.

Alignement référentiels

Soutient l'Annexe A 6.7 (télétravail) et 8.1 (terminaux utilisateurs) d'ISO 27001:2022, ainsi que la fonction Protéger du NIST CSF.

Sources de référence

NIST SP 800-124 Rev. 2 — sécurité des appareils mobiles en entreprise (csrc.nist.gov/pubs/sp/800/124/r2/final).
ISO/IEC 27001:2022 — contrôle 8.1 de l'Annexe A, terminaux des utilisateurs (iso.org/standard/27001).
ANSSI — recommandations sur la sécurité des équipements mobiles et le nomadisme (ssi.gouv.fr).

Générez-la en quelques minutes

Voir un exemple de politique BYOD ou générez la vôtre gratuitement.