BYOD : Diane Mullenex, "l’approche en silo des entreprises a été reprise par les fabricants"

Pour une entreprise, déployer une solution de gestion des terminaux personnels peut être un moyen d'anticiper certains risques de sécurité. Mais cette politique doit s'accompagner d'une discipline de la part des utilisateurs mais aussi des développeurs, constate Diane Mullenex, avocat au cabinet Pinsent Masons et experte dans le cadre du salon dédié à la mobilité Roomn.

Quels sont les principaux écueils juridiques auxquels s'expose une entreprise lorsqu'elle décide de prendre en compte les terminaux de ses collaborateurs ?

Diane Mullenex : Les salariés mais aussi les dirigeants apprécient de venir au travail avec leurs propres terminaux. Ces derniers sont alors branchés sur le réseau de l'entreprise. Cela entraîne des risques pour la sécurité car la menace d'intrusion par des malwares existe. Mais la problématique la plus importante à regarder est celle de la confusion des données entre celles qui appartiennent à l'entreprise et les autres, personnelles.

Nous élaborons des chartes depuis 4 années déjà afin que les professionnels comprennent bien cette double problématique. Il s'agit en définitive de repenser l'architecture des informations et d'expliquer à qui je donne accès à certaines données.

Samsung (Knox 2.0) ou encore BlackBerry (Balance) proposent de distinguer ces deux types d'informations en containers distincts. Cette approche est-elle crédible ?

D.M : L'approche en silos développée par les fabricants est en fait le miroir de ce que faisaient déjà certaines entreprises. Mais le problème n'est pas tant dans la distinction des informations mais dans la discipline que doivent adopter les utilisateurs. Il est courant qu'un collaborateur utilise sa messagerie professionnelle à des fins personnelles ou utilise des moyens de communication qui n'appartiennent pas à sa société.

C'est pourtant à lui seul de faire le tri entre ce qui doit être du ressort d'un domaine en particulier. D'autant que la multiplication des données peut entraîner une confusion dans l'utilisation des données.

Quels conseils pouvez-vous donner à un professionnel souhaitant intégrer des terminaux mobiles à sa société ?

D.M : L'idée est de faire preuve de pragmatisme. Il y a quelques années, les directions des systèmes informatiques dans les entreprises se sont rendu compte que les divisions marketing disposaient de budgets IT. Elles étaient de plus décisionnaires dans l'achat de nouveau matériel. Désormais, l'idée est de mettre sur pied un système d'information permettant non seulement de protéger les données personnelles. Mais encore faut-il que celui-ci soit compatible avec les attentes de chacun.

Face à des applications toujours plus en demandes de données, comment les sociétés peuvent encadrer l'utilisation de certains outils comme la géolocalisation par exemple ?

D.M : Nous tentons de favoriser l'approche dite du « Privacy By Design ». Le principe est d'assister un développeur dès la conception de son projet afin qu'il comprenne comment fonctionnent les règles de conservation et de gestion des données personnelles. Certains secteurs comme la grande distribution ont étudié la question mais nous nous intéressons également aux start-up.

Justement, dans quelle mesure intervenez-vous auprès des start-up ?

D.M : Nous interrogeons la personne qui apporte son projet sur la destination des données qu'elle compte utiliser. Par exemple, si elle désire créer un boitier qui recueille un certain type d'information, nous allons rédiger des schémas pour expliquer par où transitent ces informations, par quels serveurs, dans quels pays...

En fonction de ce « chemin », les règles juridiques seront différentes. Elles le seront également selon la nature des informations. Si ces dernières sont biométriques, les conditions seront très strictes en Europe, par exemple.

Les objets connectés ou même les voitures connectées transportant des données tendent à se développer. Ce mouvement risque-t-il de complexifier davantage le rôle des directions informatiques ?

D.M : Actuellement, la complexité vient du fait que de plus en plus d'intervenants sont intéressés pour partager les données. Si un employeur décide de proposer à certaines de ses équipes des voitures qui les géolocalisent, des questions se posent quant à l'utilisation de cette fonction. Ce sont donc de nouvelles problématiques qui émergent.