Télétravail sur ordinateur personnel : la fuite de données est-elle vraiment couverte par vos assurances ?

Le télétravail en PME a souvent avancé plus vite que les contrats. Quand un salarié utilise son équipement privé, avec des accès distants et parfois du cloud personnel, une question devient brutale après un incident : votre assurance cyber ou votre RC couvrent-elles encore la fuite de données ?

Le vrai sujet n'est pas le télétravail, mais l'écart entre l'usage réel et le contrat

Sur le papier, beaucoup d'entreprises pensent être raisonnablement protégées. Elles ont une RC entreprise, parfois une RC professionnelle, quelquefois une garantie cyber ajoutée au programme d'assurance. Pourtant, dès qu'apparaît un usage de type BYOD - autrement dit l'emploi d'un ordinateur personnel pour traiter des données de l'entreprise -, les certitudes se fissurent.

Le point sensible n'est pas seulement l'appareil. C'est l'ensemble du contexte : authentification à distance, partage de fichiers, messagerie, stockage temporaire, antivirus, réseau Wi-Fi domestique, journalisation des accès. Un contrat peut couvrir un sinistre cyber, mais avec des conditions, des exclusions ou des définitions qui ne collent pas à vos pratiques. Et c'est souvent là que le dossier se complique.

Nous le voyons souvent en relisant des garanties de cyberattaque en PME : le problème n'est pas l'absence totale de couverture, mais une couverture partielle, fragmentée, parfois trompeuse par simple effet d'habitude.

RC exploitation, RC pro et cyber : elles ne répondent pas à la même question

La RC n'indemnise pas automatiquement une fuite de données

La responsabilité civile exploitation couvre en principe les dommages causés à des tiers dans le cadre courant de l'activité. La RC professionnelle, elle, vise davantage les conséquences d'une erreur, d'une négligence ou d'un manquement dans la prestation. Mais une fuite de données liée à un poste personnel compromis ne relève pas mécaniquement de l'une ou de l'autre.

Tout dépend de la rédaction du contrat, de la nature du préjudice invoqué et du fait générateur. Il peut s'agir d'une atteinte aux données, d'une indisponibilité de service, d'une compromission de messagerie ou d'une réclamation d'un client dont les informations ont circulé. Dans certains contrats, le risque numérique est expressément exclu de la RC générale pour être renvoyé vers une police cyber dédiée.

Autrement dit, penser que la RC entreprise en télétravail suffira relève souvent d'un réflexe ancien. Il n'est pas absurde, mais il devient fragile.

La garantie cyber, elle, doit être lue ligne par ligne

Une assurance cyber pour PME peut prendre en charge des frais de gestion de crise, d'expertise informatique, de notification, de restauration des données, voire certaines pertes d'exploitation ou mises en cause de tiers. C'est le bon véhicule contractuel, en principe. En principe seulement.

Il faut vérifier si le contrat couvre les terminaux non administrés par l'entreprise, les connexions hors site, les comptes cloud tiers ou encore les erreurs humaines commises depuis un équipement privé. Il faut aussi lire les obligations de prévention : MFA, sauvegardes, mises à jour, cloisonnement des accès. Une garantie cyber accès distant peut exister, mais être conditionnée à un niveau de sécurité que l'entreprise n'a jamais formalisé.

Sur ce terrain, notre travail de relecture croisée des garanties consiste précisément à rapprocher le contrat de l'usage réel, pas de l'organigramme idéal.

Quand un ordinateur personnel banal ouvre une zone grise très coûteuse

Le scénario est fréquent. Un collaborateur télécharge un document client sur son portable privé pour finir un dossier chez lui. Le fichier reste dans un dossier local, synchronisé par défaut avec une solution personnelle. Quelques jours plus tard, le compte est compromis ou l'appareil est volé. La question n'est plus théorique : qui paie les frais techniques, la gestion de crise, la défense et l'éventuelle réclamation du client ?

À ce stade, trois angles morts surgissent souvent.

• L'usage n'était pas formalisé : aucune charte BYOD, aucune règle sur le stockage local, aucune validation des postes personnels.
• Les garanties ont été souscrites pour une architecture plus simple : postes d'entreprise, réseau maîtrisé, accès centralisés.
• La preuve technique devient difficile : sans supervision minimale, il est plus compliqué d'établir l'origine, l'étendue et la chronologie du sinistre.

Ce n'est pas un détail administratif. Une police d'assurance réagit mieux quand le périmètre de risque est clair. Sinon, tout se discute - et, en matière de sinistre, ce verbe est rarement confortable.

Une PME de services l'a découvert après une messagerie compromise

Le premier signal n'était pas spectaculaire : des clients recevaient des demandes de changement d'IBAN au ton un peu étrange. En remontant le fil, l'entreprise a compris qu'un compte de messagerie avait été ouvert depuis l'ordinateur personnel d'une salariée, utilisé ponctuellement en télétravail sur une connexion domestique mal sécurisée.

Le contrat cyber existait bien. Mais la déclaration a immédiatement fait apparaître plusieurs questions : le poste privé entrait-il dans le périmètre assuré ? Les mesures minimales de sécurité exigées étaient-elles respectées ? La politique d'accès distant avait-elle été formalisée ? Nous avons déjà vu ce type d'écart lors d'analyses de risques menées dans le cadre de la protection globale de l'entreprise et des garanties de renouvellement de contrat.

Le plus frappant, au fond, n'était pas l'incident. C'était la simplicité avec laquelle une pratique tolérée était devenue un angle mort assurantiel. Une entreprise peut être prudente et néanmoins mal alignée.

Les vérifications à faire avant l'incident, pas après

Pour éviter qu'une fuite de données via un ordinateur personnel ne laisse votre PME seule au milieu du gué, il faut relire à la fois les contrats et les usages. Nous conseillons de vérifier au minimum les points suivants :

1. Définition des biens et systèmes couverts : les appareils personnels et les accès hors locaux sont-ils inclus, exclus ou soumis à déclaration ?
2. Exclusions cyber dans la RC : la responsabilité civile renvoie-t-elle explicitement le risque numérique vers une autre police ?
3. Prérequis de sécurité : MFA, EDR, sauvegardes, chiffrement, gestion des mots de passe, VPN.
4. Procédure interne BYOD : qui peut utiliser quoi, pour quels fichiers, avec quelles restrictions ?
5. Gestion du sinistre : qui alerter, dans quel ordre, avec quelles preuves à conserver ?

Sur les obligations liées aux données personnelles, la CNIL reste un repère utile. Pour la prévention technique, les recommandations de l'ANSSI sont précieuses, surtout sur l'authentification et l'hygiène numérique de base.

Et puis il y a une vérité un peu sèche : si votre entreprise autorise, même tacitement, des pratiques souples de télétravail, vos assurances doivent parler la même langue. Sinon, l'incident révèle moins une faille informatique qu'une faille de gouvernance.

Revoir maintenant vos garanties évite une discussion pénible plus tard

Le télétravail avec matériel personnel n'est pas, en soi, une faute de gestion. Dans beaucoup de PME, c'est un compromis pragmatique. Mais un compromis non encadré devient vite une zone grise entre RC, assurance cyber et procédures internes. Si vos usages ont évolué plus vite que vos contrats, il est temps de les réaligner. Nous pouvons vous aider à relire ce périmètre, à comparer les réponses du marché et à identifier les angles morts avant le sinistre. Pour ouvrir ce travail, vous pouvez passer par notre page Contact ou consulter nos autres articles d'analyse.