Législation/technique - surveillance messagerie pro

[Voyageuse]

Bonjour,

J'ai une question inhabituelle, et surtout technique.
On a un débat houleux en ce moment au boulot sur la confidentialité ou non de la messagerie professionnelle.
Côté législatif, c'est assez clair : les textes de loi autorisent apparemment l'employeur à consulter nos mails pro (s'ils sont sur la messagerie pro alors ils sont liés au travail) sauf s'il est mentionné dans le sujet qu'ils sont privés ou confidentiels.
Certains de mes collègues m'affirment que de toute façon c'est impossible que le chef consulte nos mails puisqu'il n'a pas nos mots de passe. L'un d'eux aurait interrogé l'informaticien du lycée qui prétend lui aussi que c'est impossible.

Moi j'ai un très gros doute à ce sujet, et donc je pose la question aux quelques pros de l'informatique du forum : est-il possible techniquement à celui qui gère la messagerie pro d'avoir accès aux mails de tout le monde ? Ou plus ennuyeux encore : est-il possible de la configurer de façon à ce que le chef ait une copie de tous les mails échangés, par exemple ?
Je précise qu'on a deux mails pro concurrents : l'un a été créé par l'informaticien du lycée, il s'agit d'adresses mails avec l'adresse du lycée et on y accède en ligne par une page outlook sur un navigateur. Le second est sur l'ENT proposé par l'enseignement privé (accès sur navigateur là aussi, ou via appli).

Merci de me confirmer... ou de me rassurer, au choix !

[Guigui.]

Bonjour Voyageuse,

Je ne suis pas techniquement au point en informatique mais il me semble que oui, il est assez facile d'espionner la session de quelqu'un pour peu que la structure soit en active directory et que la personne ait les codes qui vont bien (des codes d'administrateur donc). Ceci dit, normalement, les logiciels actuels permettant de prendre le contrôle d'un poste à distance demandent l'autorisation de l'utilisateur du poste. Une telle prise de contrôle ne peut se faire sans l'accord de celui-ci.

Par contre, je suis à peu près certain que la messagerie professionnelle ne peut être légalement consultée par un tiers sans avoir des pouvoirs de police. C'est même puni par la loi. Je ne sais pas à quel texte tu fais référence mais pour moi, un collègue ou un chef de service qui ferait cela commettrait là une faute professionnelle lourde, et passible de sanctions.

EDIT : je dis des bêtises et je tombe des nues.
https://www.cnil.fr/fr/cnil-direct/question/messagerie-professionnelle-mon-employeur-peut-il-y-acceder

[Chalindra Pharn]

En cherchant sur le net, j'ai trouvé ceci qui semble assez sérieux.

Pour l'aspect technique, je ne saurais pas t'aider.

[Guigui.]

En revanche, il est illégal de surveiller la messagerie de ses subordonnés sans les en avoir dûment avertis auparavant :

https://www.marianne.net/societe/l-espi ... ar-la-cedh

Désolé pour le double post mais la balise lien foire un peu : tout le texte qui suit est en mode lien si on ne met pas au moins 1 caractère "non-lien" après.

EDIT : comment vous faites pour réduire le lien à un court texte comme Chalindra vient de le faire ? Je n'ai jamais réussi sur la Couronne.

[Voyageuse]

Ah oui, désolée de briser vos illusions... moi aussi j'ai longtemps cru que c'était interdit.

Pour la messagerie, j'avais deux sources : celle citée par Chal, et la CNIL citée dans le premier lien de Guigui
Mais ça ne m'aide guère sur l'aspect technique : j'ai juste besoin de convaincre mes collègues élus au CSE d'arrêter d'utiliser la messagerie pro pour des discussions confidentielles, et ils ne me croient pas sur la possibilité que le chef accède aux mails (et connaissant le chef, si c'est possible techniquement, alors il le fait!)

Edit pour Guigui : ça, c'est une astuce de RPiste du forum !!!
Non, plus sérieusement : il faut sélectionner le mot que tu veux transformer en lien et ensuite cliquer sur ajouter un lien (et parfois ça ne marche qu'en changeant une lettre en majuscule dans le lien, en tout cas pour les liens internes)

Et merci pour le lien : illégal si on n'en est pas averti ? Quand même j'aimerais être sûre...

[Guigui.]

Merci pour l'astuce Voya.

Attends, CSE, le S c'est pour Syndical ?

Si oui, c'est autre chose : là c'est clairement interdit. La messagerie syndicale ne peut être considérée comme de la messagerie professionnelle au sens où la CNIL l'entend, ça c'est garanti.

[Freddy_Gwendo]

Comme ceci :

En revanche, il est illégal de surveiller la messagerie de ses subordonnés sans les en avoir dûment avertis auparavant.


Désolé pour le double post mais la balise lien foire un peu : tout le texte qui suit est en mode lien si on ne met pas au moins 1 caractère "non-lien" après.

EDIT : comment vous faites pour réduire le lien à un court texte comme Chalindra vient de le faire ? Je n'ai jamais réussi sur la Couronne.

En clair :

Code : Tout sélectionner

En revanche, il est illégal de surveiller la messagerie de ses subordonnés [URL = https://www.marianne.net/societe/l-espionnage-des-emails-professionnels-encadre-par-la-cedh]sans les en avoir dûment avertis auparavant[/URL]. 

Et tu supprimes les espaces qui entourent "=" dans le début de la balise URL.


Edit : ninjaisé par Voya...

[Voyageuse]

Merci pour l'astuce Voya.

Attends, CSE, le S c'est pour Syndical ?

Si oui, c'est autre chose : là c'est clairement interdit. La messagerie syndicale ne peut être considérée comme de la messagerie professionnelle au sens où la CNIL l'entend, ça c'est garanti.

Non, S c'est social : "comité social et économique" (qui regroupe les attributions des CHSCT et Comité d'Entreprise qui existaient auparavant).
Syndical c'est plus compliqué : notre employeur nous interdit d'utiliser notre messagerie pro pour une communication syndicale... et a tenté de nous l'interdire pour les communication du CSE, ce qui est un délit d'entrave (oserais-je me permettre de dire que nos réunions sont une lutte permanente sur n'importe quel point qu'on aborde ?)

Bref, l'aspect législatif, je commence à connaître ; j'attends de voir si quelqu'un éclaire ma lanterne au niveau technique...

[Mornagest]

Attends, CSE, le S c'est pour Syndical ?

Si oui, c'est autre chose : là c'est clairement interdit. La messagerie syndicale ne peut être considérée comme de la messagerie professionnelle au sens où la CNIL l'entend, ça c'est garanti.

Comité Social et Économique, si je ne dis pas de bêtises.

edit : grillé. Par contre, ton chef n'a aucunement le droit de vous interdire de communiquer avec une adresse mail de syndicat, il est strictement hors-la-loi. Mais je crois que c'est habituel chez lui, comme je comprends l'affaire.

[Guigui.]

Merci à toi aussi Freddy

@Mornagest : c'est pas si simple. C'est subordonné à un accord d'entreprise. Si j'ai bien compris, Voya travaille dans une structure d'enseignement en partie privée.

[Voyageuse]

Tout à fait. Et le chef refuse catégoriquement (il refuse tout, par principe, il semble persuadé que toute demande est une lutte qu'on mène contre lui... ça m'épuise à un point, vous n'imaginez pas)

[Eleglin]

Le bon sens veut que l'on sépare le professionnel et le privé. Le jour où l'on représente une gêne pour le supérieur / patron, tout et n'importe quoi peut être un prétexte fondé ou perverti pour justifier un licenciement.

[Cendres]

J’ai trouvé ce lien au sujet des mails privés et syndicaux : https://www.arobase.org/entreprise/email-personnel.htm
Apparemment, l’employeur ne peut pas fouiner dans les mails sans avoir prévenu les employés.

[Voyageuse]

Ici, il ne s'agit pas de messages personnels ni même syndicaux. Il s'agit de savoir si je peux assurer la confidentialité lorsqu'un un salarié m'écrit par la boite pro pour dénoncer le harcèlement dont il est victime : si le harceleur a accès au mail, alors y'a un souci ! Il s'agit aussi de savoir si le chef a accès aux échanges houleux entre membres du CSE, échanges dont il saura se servir pour manipuler ensuite certaines personnes.
Bref, mon problème est avant tout technique : peut-il lire les mails échangés, techniquement parlant ? (il se moque totalement de savoir s'il a le droit, puisqu'on ne pourra jamais rien prouver)

[Anios]

Si je ne trompe pas, s'il a accès (ou demande l'accès) à la session admin de l'informaticien du parc, alors oui il a la possibilité -entre autre- de lire les mails de tout le parc informatique.

[Mornagest]

Techniquement, en effet, c'est assez simple avec un accès privilégié (root) sur le serveur qui gère les e-mails internes.

Est-ce que le plus simple, dans le cas qui t'occupe, Voya, ce ne serait pas de passer par des boîtes mails privées ?

[Voyageuse]

Tout à fait, mais je n'arrive pas à en convaincre tout le monde... J'ai créé une boite mail privée pour le cse, diffusé l'adresse à tout le monde, donc on assure une certaine confidentialité pour ceux qui pensent à nous écrire dessus... mais pour les débats entre nous, certains continuent à passer par la boite pro, et ils ne veulent pas entendre que ce n'est pas confidentiel.

@Anios : ce que tu décris, c'est possible dans notre cas tu penses ? Ce sont des adresses mails internes au lycée (se terminant par @lycée-saint****.eu) auxquelles on accède par une session d'outlook en ligne sur un navigateur internet; le carnet d'adresse est interne au lycée également Je ne connais rien au fonctionnement des mails d'entreprise...
L'informaticien a dit à l'un de mes collègues du CSE que ça n'était pas possible d'accéder à nos mails sans notre mot de passe, mais il est aussi possible qu'il n'ait pas le droit de divulguer l'information. Je deviens parano, sans doute, mais la situation s'y prête... Il y a au moins un mail "compromettant" qui a disparu des boites mails, par exemple.
Bref... Personne d'entre vous ne bosse dans le domaine et a déjà fait ce genre de chose ?

[Mornagest]

Comme je te disais dans mon message précédent, avec l'accès en root, on peut à peu près tout lire... sauf si vos boîtes sont chiffrées, auquel cas seul votre mot de passe permet d'afficher les e-mails en clair.

Le fait qu'un mail compromettant ait disparu peut signifier deux choses : soit c'est ton chef d'établissement qui a accès à la boîte (ou il a demandé à ce qu'un admin réseau y aille) pour le supprimer, soit c'est quelqu'un de ton syndicat qui l'a effacé.

Pour ma part, ce que je ferais si j'étais toi, c'est une copie de sécurité des mails qui arrivent sur cette boîte, mais sur ton disque dur PERSONNEL (et pas au boulot). Donc avec une copie stockée en local et pas en ligne, et inaccessible par quiconque sauf toi.

[vv221]

Bref... Personne d'entre vous ne bosse dans le domaine et a déjà fait ce genre de chose ?

Je suis hébergeur mail (pour une poignée de personnes, pas à grande échelle). Et je peux affirmer que je pourrais lire sans difficulté absolument tout ce qui passe par le serveur que j’ai en charge, sauf dans le cas de mails chiffrés (mais presque personne ne chiffre quoi que ce soit).

Dans votre cas, c’est possible que l’hébergeur soit Microsoft et pas l’informaticien du lycée. Auquel cas je ne sais pas comment ça se passe, n’ayant jamais bossé avec leur système. En particulier je ne sais pas s’ils permettent à l’administrateur du domaine d’accéder à toutes les boîtes mails. Mais ce qui est sûr c’est qu’ils ont la possibilité technique de proposer ce genre de service de flicage.

[Féérune]

Voya, il faudrait tout de même arriver à persuader tes collègues d'être prudents... Le maître mot étant, là, "on ne sait jamais".

Je me suis trouvée "en délicatesse" avec une de mes chefs il y a une dizaine d'années, mon premier mouvement a été de supprimer mes mails perso. Tendre le bâton pour me faire battre, non merci.

[Voyageuse]

Je suis hébergeur mail (pour une poignée de personnes, pas à grande échelle). Et je peux affirmer que je pourrais lire sans difficulté absolument tout ce qui passe par le serveur que j’ai en charge, sauf dans le cas de mails chiffrés (mais presque personne ne chiffre quoi que ce soit).

Dans votre cas, c’est possible que l’hébergeur soit Microsoft et pas l’informaticien du lycée. Auquel cas je ne sais pas comment ça se passe, n’ayant jamais bossé avec leur système. En particulier je ne sais pas s’ils permettent à l’administrateur du domaine d’accéder à toutes les boîtes mails. Mais ce qui est sûr c’est qu’ils ont la possibilité technique de proposer ce genre de service de flicage.

Merci, c'est ce que je voulais savoir, même si ça ne résout pas totalement mon interrogation (sachant qu'on est hébergés, à en juger par ce qui s'affiche quand je tape l'adresse IP, par PHPnet devenu Nuxit... ça ne m'aide guère)

@Fossy : c'était un message compromettant reçu par une collègue, elle l'a imprimé aussitôt et nous l'a montré (elle n'était pas censée être en copie de ce mail) et n'a pas pensé à garder l'impression...

@Féé : les messages privés ne sont pas interdits... avec modération

[Féérune]

Je sais, mais tes collègues n'ont pas l'air d'être si modérés que cela dans leurs propos, sinon tu ne t'inquièterais pas du fait qu'ils utilisent leur boîte pro.