VPN d’entreprise : votre employeur voit-il ce que vous faites ?

Mis à jour le 12 octobre 2026 · Rédigé et vérifié par l'équipe KinouDépanne

C’est l’une des questions les plus tapées par les télétravailleurs français, et elle est rarement traitée honnêtement : soit on rassure à tort, soit on alimente l’inquiétude. Nous allons répondre en séparant nettement deux plans — ce qui est techniquement possible, et ce qui est légalement permis. Ce ne sont pas les mêmes, et c’est précisément ce qui compte.

Précisons d’emblée notre position : nous sommes un prestataire d’assistance informatique, pas un cabinet d’avocats. Nous expliquons les mécanismes et renvoyons aux sources officielles. Pour une situation personnelle, les représentants du personnel, l’inspection du travail et la CNIL sont les bons interlocuteurs.

1. Ce que le VPN voit techniquement

Quand le tunnel est actif, tout ou partie de votre trafic réseau passe par l’infrastructure de votre entreprise. Celle-ci peut donc journaliser :

Les destinations. Les noms de domaine que vous demandez et les services que vous contactez, avec l’heure et la durée. Même sur un site chiffré, le nom du site reste visible.

Les volumes et les horaires. Quand vous êtes connecté, combien de données ont circulé, depuis quelle adresse.

Le contenu, dans un cas précis. Si votre employeur a installé sur le poste un certificat lui permettant d’inspecter le trafic chiffré — pratique répandue dans les grandes organisations —, alors le contenu des pages et des échanges peut être analysé. C’est généralement fait de façon automatisée, pour détecter des fuites de données ou des logiciels malveillants, et non lu par un humain.

En revanche, le VPN ne voit rien de ce qui ne passe pas par lui : votre téléphone personnel sur sa propre connexion mobile, ou, si votre entreprise utilise un tunnel partiel, votre navigation personnelle qui sort directement par votre box. Attention toutefois : sur un poste fourni par l’employeur, d’autres outils que le VPN peuvent être installés, et c’est le poste lui-même, plus que le tunnel, qui détermine ce qui est observable.

2. Ce que la loi française autorise

Un employeur a le droit de contrôler l’activité de ses salariés, y compris en télétravail, qui n’est qu’une modalité d’organisation du travail. Mais ce droit est encadré, et l’encadrement est substantiel.

L’information préalable est obligatoire. L’article L. 1222-4 du Code du travail interdit d’utiliser contre un salarié des informations collectées par un dispositif qui ne lui a pas été porté à connaissance au préalable. L’information passe par une charte informatique, le règlement intérieur, une note de service ou un avenant, et doit indiquer la finalité, les destinataires, la durée de conservation et vos droits.

Les représentants du personnel doivent être consultés. L’article L. 2312-38 prévoit que le comité social et économique est informé et consulté avant la mise en œuvre de moyens ou techniques permettant un contrôle de l’activité des salariés.

Le dispositif doit être proportionné. La CNIL rappelle qu’un employeur peut contrôler l’activité mais ne peut pas placer ses salariés sous surveillance permanente, sauf cas exceptionnel dûment justifié. Elle cite comme excessifs la webcam ou le micro en continu, le partage d’écran permanent, les enregistreurs de frappe, et l’obligation de cliquer ou de se photographier à intervalles réguliers pour prouver sa présence. En décembre 2024, elle a sanctionné une entreprise de 40 000 euros pour un logiciel qui comptait les périodes d’« inactivité » et prenait des captures d’écran régulières des postes de ses télétravailleurs.

Appliqué au VPN, le principe est le même : journaliser les connexions pour sécuriser le réseau est légitime ; surveiller en continu la navigation individuelle de chaque salarié ne l’est pas.

3. Vos droits, concrètement

• Vous pouvez demander la charte informatique de votre entreprise, et y lire ce qui est journalisé et pendant combien de temps.
  
• Vous pouvez exercer un droit d’accès aux données personnelles vous concernant, y compris les journaux de connexion.
  
• Vous pouvez saisir vos représentants du personnel, qui ont dû être consultés et peuvent demander des comptes.
  
• Vous pouvez signaler ou porter plainte auprès de la CNIL si vous estimez le dispositif disproportionné ou non déclaré.
  
• Vos échanges identifiés comme personnels conservent une protection : un employeur ne peut pas ouvrir librement un message clairement marqué comme privé.

Les pages de référence sont celles de la CNIL sur le contrôle de l’activité des personnes employées et ses questions-réponses sur le télétravail.

4. La règle pratique qui évite tous les problèmes

Au-delà du droit, il y a une hygiène simple, et elle vous protège autant qu’elle protège votre employeur : séparez les usages.

Gardez vos courses, vos rendez-vous médicaux, vos recherches personnelles et vos messages privés sur votre téléphone et votre connexion. Ne connectez pas vos comptes personnels sur le navigateur du poste professionnel. Et inversement, ne stockez pas de fichiers professionnels sensibles sur votre matériel personnel — c’est le même principe, dans l’autre sens.

Cette séparation n’est pas une marque de défiance : elle évite les malentendus, protège votre vie privée sans conflit, et vous met à l’abri le jour où un incident de sécurité déclenche une analyse des journaux. C’est aussi, très concrètement, la raison pour laquelle nous conseillons un second appareil, même modeste, aux personnes qui télétravaillent beaucoup.

• Utiliser le navigateur du poste professionnel pour ses comptes personnels, « c’est plus pratique ».
  
• Installer un VPN grand public sur le poste de l’entreprise pour « se cacher » : cela dégrade la sécurité du poste et peut constituer un manquement.
  
• Supposer qu’un tunnel partiel protège votre navigation personnelle : seul le service informatique sait ce qui est routé.
  
• Croire qu’un dispositif non annoncé est sans conséquence : il est irrégulier, mais mieux vaut le signaler que l’ignorer.
  
• Stocker des fichiers professionnels sensibles sur un ordinateur familial partagé.