Modèle de traitement de données RGPDUtilisation d'équipements personnels pour le travail (BYOD)

Par: bc4946f8-1de1-4b70-bb67-62a0ce536160

Organisme : PrivéOrganisme : PublicFonction : Systèmes d'information

Ce modèle de traitement est relatif à l'autorisation et à l'encadrement de l'usage d'équipements personnels (téléphone, ordinateur, tablette) pour accéder aux ressources professionnelles : enrôlement, séparation des usages professionnel et privé, gestion à distance de l'espace professionnel et effacement de ce seul espace.

Finalités (3)

La finalité d'un traitement est l'objectif principal de l'utilisation des données personnelles. Ces données doivent être collectées pour un but bien déterminé et légitime et ne doivent pas être traitées ultérieurement de façon incompatible avec cet objectif initial

Autorisation et enrôlement des équipements personnels

Instruire la demande de l'agent, évaluer les risques et enregistrer l'équipement autorisé. La CNIL recommande de n'autoriser le BYOD qu'après évaluation des risques et sur autorisation préalable. Base retenue : intérêt légitime de l'organisme à sécuriser ses données ; l'usage reste un choix de l'employeur, que l'agent est libre d'accepter.

Intérêts légitimes du responsable du traitement ou d'un tiers

Sécurisation de l'espace professionnel de l'équipement

Cloisonner l'espace professionnel, chiffrer les flux et le stockage, exiger un verrouillage et vérifier la conformité de l'équipement, au besoin avec une solution de gestion de flotte (MDM) limitée à l'espace professionnel. Choix du responsable de traitement, fondé sur son intérêt légitime et sur l'article 32 du RGPD.

Intérêts légitimes du responsable du traitement ou d'un tiers

Gestion des incidents, perte et effacement de l'espace professionnel

Traiter la perte, le vol ou le départ de l'agent et effacer à distance la seule partie professionnelle de l'équipement, selon les modalités prévues par la charte informatique (recommandation CNIL).

Intérêts légitimes du responsable du traitement ou d'un tiers

Données (3)

L’article 30 du RGPD exige l’inscription des catégories de données traitées. Il s’agit ici de définir les catégories de données traitées. Celles-ci peuvent être dites courantes ou sensibles.

Enrôlement et autorisation de l'équipement

Détails des données

Nom, prénom et fonction de l'agentoptionel

Type, modèle et système d'exploitation de l'équipementoptionel

Identifiant de l'équipement et date d'enrôlementoptionel

Acceptation de la charte informatiqueoptionel

Règles de conservation

Base active:

Durée de l'autorisation d'usage de l'équipement

Aucune durée fixée par un texte pour le BYOD.

Sort final

État de conformité et gestion à distance de l'espace professionnel

Détails des données

Statut de chiffrement, de verrouillage et de mise à jouroptionel

Liste des applications professionnelles installéesoptionel

Journaux de connexion aux ressources professionnellesoptionel

Règles de conservation

Base active:

De 6 mois à 1 an glissants pour les journaux (recommandation CNIL)

Sort final

Incidents et effacement à distance

Détails des données

Déclaration de perte ou de vol et dateoptionel

Commande d'effacement de l'espace professionnel et résultatoptionel

Règles de conservation

Sort final

Personnes concernées (3)

Une personne concernée est toute personne dont les données sont collectées, retenues ou traitées par le traitement de données en question. Ex : Dans le cadre d'un traitement de gestion du recrutement, n'importe quel candidat pour le poste concerné constitue une personne concernée

Employés
Agents administratifs
Utilisateurs des SI

Auteur:

bc4946f8-1de1-4b70-bb67-62a0ce536160

Créé le:03/10/2026

Mis à jour le:03/10/2026

Nombre d'utilisations:0