Vol d’ordinateur en entreprise : risques données et sécurité informatique PME

Questions fréquentes — Vol d’ordinateur en entreprise

Que faire immédiatement après le vol d’un ordinateur en entreprise ?

Dans la première heure, exécutez la séquence suivante : changer les mots de passe des comptes utilisés sur le poste, désactiver les sessions actives sur tous les services cloud (« Sign out everywhere » sur Microsoft 365), couper l’accès VPN du compte concerné, et déclencher l’effacement à distance via le MDM si vous en avez un (Intune, Jamf). Dans les 24 heures, déposez plainte auprès de la police ou de la gendarmerie pour obtenir un numéro de PV — il sera indispensable pour l’assurance et pour la notification CNIL. Au-delà, évaluez précisément quelles données personnelles étaient présentes sur le poste pour décider d’une notification à la CNIL sous 72 heures.

Doit-on obligatoirement déclarer le vol d’un ordinateur à la CNIL ?

Oui, dès que le laptop contenait des données personnelles au sens du RGPD : noms, e-mails, données clients, fichiers RH, exports comptables. L’Article 33 du RGPD impose la notification à la CNIL sous 72 heures à compter de la prise de connaissance du vol, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes concernées. En cas de doute, mieux vaut notifier : la CNIL sanctionne plus sévèrement l’absence de déclaration que la déclaration tardive ou prudente. La notification se fait via un téléservice dédié sur cnil.fr et ne déclenche pas automatiquement de sanction — elle vous protège.

Le chiffrement du disque dur suffit-il à protéger les données d’un laptop volé ?

Le chiffrement (BitLocker sur Windows, FileVault sur Mac) est la protection la plus efficace contre l’accès aux données stockées localement. Un disque chiffré extrait physiquement reste illisible sans la clé de déchiffrement, même branché sur une autre machine. Toutefois, le chiffrement seul ne protège pas contre l’accès aux comptes cloud si le navigateur avait des sessions ouvertes ou des mots de passe enregistrés. C’est pourquoi il doit toujours être combiné avec le MFA sur tous les services et un MDM qui permet le wipe à distance. La CNIL considère d’ailleurs que le chiffrement intégral d’un poste réduit fortement le risque RGPD — au point que certaines violations chiffrées ne nécessitent pas notification individuelle aux personnes concernées (Article 34 §3).

Qu’est-ce qu’un MDM et pourquoi est-ce essentiel pour une PME ?

Un MDM (Mobile Device Management) comme Microsoft Intune ou Jamf Pro est une console centralisée qui permet de gérer à distance tous les postes et terminaux mobiles de l’entreprise. Concrètement, il permet d’imposer le chiffrement disque, le MFA, la complexité des mots de passe, la mise à jour automatique des OS et des applications, et surtout — en cas de vol — d’effacer ou verrouiller le poste à distance dès qu’il se reconnecte à internet. Pour une PME de 10 à 100 postes, c’est l’unique moyen pratique d’être conforme aux exigences RGPD de sécurité des traitements (Article 32). Il existe des offres MDM accessibles dès 5 à 10 €/poste/mois, à condition de planifier le déploiement avant l’incident.

Comment éviter que les identifiants enregistrés dans le navigateur ne soient compromis ?

Trois mesures à appliquer ensemble. Premièrement, activer le MFA sur tous les services critiques (messagerie, ERP, outils cloud, banque, etc.) — même si un identifiant fuit, le second facteur bloque l’accès. Deuxièmement, interdire par stratégie GPO ou Intune l’enregistrement des mots de passe dans le navigateur, et imposer l’usage d’un gestionnaire de mots de passe d’entreprise (Keeper, 1Password, Bitwarden) qui chiffre les identifiants et requiert lui-même un déverrouillage. Troisièmement, configurer la déconnexion automatique des sessions cloud après inactivité (par exemple 8 heures), afin qu’un poste laissé ouvert ne reste pas authentifié indéfiniment.

L’assurance professionnelle couvre-t-elle le vol de données suite au vol d’un ordinateur ?

Les assurances multirisques professionnelles couvrent le matériel volé (souvent en valeur d’usage, parfois à neuf), mais pas les conséquences liées aux données : perte d’exploitation, amendes RGPD, coût de notification des personnes concernées, perte de données non sauvegardées. Certaines polices d’assurance cyber couvrent partiellement ces risques (frais d’expertise forensique, accompagnement juridique RGPD, réputation) mais elles ne remplacent jamais les mesures préventives. La meilleure protection — et celle que les assureurs valorisent désormais dans leurs questionnaires — reste le triptyque chiffrement + MDM + MFA. L’assurance est un filet de sécurité, pas une stratégie de sécurité.

Quel est le risque RGPD précis pour un laptop non chiffré qui se fait voler ?

L’Article 32 du RGPD impose au responsable du traitement de mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque. La CNIL considère le chiffrement comme une mesure « appropriée » dès qu’il existe un risque de perte ou vol de support. Un laptop non chiffré qui se fait voler constitue donc, en soi, un manquement à l’Article 32, indépendamment du contenu — et expose à la sanction administrative prévue à l’Article 83 §4 (jusqu’à 10 M€ ou 2 % du CA mondial). Si en plus la notification 72h n’est pas réalisée, le manquement à l’Article 33 ajoute le plafond Article 83 §5 (jusqu’à 20 M€ ou 4 % du CA mondial). La CNIL a déjà sanctionné des PME pour absence de chiffrement sur des postes contenant des données RH.

Combien coûte la mise en place complète d’une protection contre le vol de poste pour une PME ?

Pour une PME de 20 collaborateurs, l’investissement initial typique est de 3 000 à 6 000 € (audit, déploiement Intune ou Jamf, configuration des stratégies, formation), suivi d’un coût récurrent de 15 à 30 € par poste et par mois pour les licences MDM, MFA et le pack sécurité géré (antivirus EDR, gestionnaire de mots de passe, supervision). Soit 4 000 à 8 000 €/an de coûts récurrents pour 20 postes. À comparer avec une seule notification CNIL post-incident qui mobilise typiquement 2 à 5 jours/homme d’expertise juridique et technique (entre 4 000 et 15 000 €), sans compter l’amende potentielle et le préjudice commercial. L’arbitrage est rarement difficile.