Mon employeur peut-il voir mon historique internet ?

La réponse dépend de deux choses : à qui appartient l'appareil que vous avez en main, et à qui appartient le réseau auquel il est connecté. La navigation privée et la suppression de l'historique ne changent rien.

En bref : sur un appareil fourni par votre employeur, oui, partez du principe que votre employeur peut voir les sites que vous visitez, sur n'importe quel réseau et en navigation privée. Sur votre propre appareil connecté au Wi-Fi du travail, l'entreprise peut voir quels sites vous visitez, mais pas les pages. Sur votre propre appareil avec votre propre connexion, votre employeur ne peut pas voir votre navigation.

Ce que votre employeur peut voir dans chaque situation

Mon employeur peut-il voir mon historique sur un ordinateur ou un téléphone pro ?

Oui. Sur un appareil géré par l'entreprise, l'enregistrement ne se fait pas dans le navigateur, donc rien de ce que vous faites dans le navigateur ne l'efface.

Un ordinateur géré exécute en général un logiciel de sécurité qui fait remonter des informations à l'entreprise. Dans Microsoft Defender for Endpoint, la fonctionnalité de filtrage du contenu web sert à « suivre et réguler l'accès aux sites web », fonctionne sur les appareils gérés, « que les utilisateurs soient sur votre réseau ou absents », et fournit aux administrateurs des rapports qui listent les domaines consultés ou bloqués.

Les logiciels de surveillance dédiés vont plus loin. Une note de 2022 de la directrice juridique du National Labor Relations Board, l'agence fédérale américaine du droit du travail, décrivait des employeurs qui « surveillent les ordinateurs des salariés avec des enregistreurs de frappe et des logiciels qui prennent des captures d'écran, des photos par webcam ou des enregistrements audio tout au long de la journée ». La note a été annulée en février 2025, mais les outils qu'elle décrivait sont toujours vendus.

Les téléphones d'entreprise fonctionnent de la même façon. Sur un téléphone Android appartenant à l'entreprise, l'appli de gestion peut activer la journalisation réseau, qui enregistre chaque requête DNS et chaque tentative de connexion, avec l'appli qui l'a faite. Sur un iPhone appartenant à l'entreprise, Apple permet à l'organisation de faire passer le trafic web par son propre proxy, pour que les appareils soient filtrés « à la fois dans l'établissement scolaire et au domicile », et la page d'Apple sur les appareils supervisés indique qu'« un message peut s'afficher dans les réglages pour indiquer que votre organisation surveille votre trafic Internet ».

C'est pour cela que la réponse reste oui pour un appareil pro, à la maison comme hors du réseau de l'entreprise. La surveillance suit l'appareil.

Mon employeur peut-il voir ce que je consulte sur mon téléphone perso via le Wi-Fi du travail ?

En partie. Celui qui gère un réseau peut enregistrer à quels sites chaque appareil se connecte, à quelle heure et la quantité de données échangées. Avec le HTTPS, le réseau ne peut pas voir la page précise, vos recherches ni ce que vous tapez. Le pare-feu de l'entreprise sait que votre téléphone s'est connecté à un site d'offres d'emploi à 13 h 15. Il ne sait pas quelle annonce vous avez ouverte.

Il y a une exception. Beaucoup d'entreprises pratiquent l'inspection TLS : une passerelle de sécurité déchiffre le trafic HTTPS, le lit et le chiffre à nouveau. La documentation de Cloudflare sur sa propre passerelle décrit le procédé (en anglais) sans détour : elle va « déchiffrer tout le trafic envoyé en HTTPS, appliquer vos règles HTTP, puis chiffrer à nouveau la requête ». Cela ne fonctionne que sur les appareils où le certificat racine de l'entreprise est installé et approuvé. C'est le cas des appareils pro. Votre téléphone personnel ne l'a pas, sauf si vous avez installé un certificat ou un profil pour vous connecter au Wi-Fi du bureau. Dans ce cas, l'entreprise peut lire le contenu de votre navigation sur ce réseau. Si vous avez seulement tapé un mot de passe Wi-Fi, elle voit le nom des sites et rien de plus, comme n'importe quel propriétaire de Wi-Fi, ce que nous montrons dans ce que voit le propriétaire du Wi-Fi. Sur les données mobiles, elle ne voit rien du tout.

Mon employeur peut-il voir mon historique à la maison sur mon propre appareil ?

Non. Sur un ordinateur ou un téléphone personnel sans logiciel pro, connecté à votre box ou aux données mobiles, votre employeur n'a aucun moyen technique de voir les sites que vous visitez.

Trois choses vous font sortir de ce cas sûr :

• Les comptes professionnels. Tout ce que vous faites dans un compte pro est visible par l'entreprise, quel que soit l'appareil utilisé. Cela comprend la messagerie, les fichiers et le chat pro, comme nous l'expliquons dans can my boss read my Slack messages (en anglais).
• Un profil pro dans votre navigateur. Si vous vous connectez à Chrome avec un compte pro, ce profil de navigateur peut être géré. Google indique que si votre navigateur Chrome est géré, « votre administrateur peut configurer certaines fonctionnalités ou restreindre leur accès, installer des extensions, surveiller l'activité et gérer votre utilisation de Chrome ». Gardez votre navigation personnelle dans un profil personnel distinct.
• Le VPN de l'entreprise. Quand le VPN de l'entreprise est connecté, tout ou partie de votre trafic passe par le réseau de l'entreprise, où il est enregistré comme n'importe quel trafic du bureau. Déconnectez-le quand vous avez fini de travailler.

Que peut voir le MDM sur un téléphone personnel ?

Moins que ce que la plupart des gens craignent, si le téléphone a été inscrit comme Apple et Google le prévoient pour les appareils personnels.

iPhone et iPad. Apple publie un tableau de ce que permet chaque méthode d'inscription. Afficher l'historique de navigation dans Safari y figure comme non autorisé pour toutes les méthodes, y compris quand l'appareil appartient entièrement à l'entreprise. C'est aussi le cas de l'affichage des e-mails personnels, des messages et des journaux d'appels. Avec l'inscription d'utilisateurs, la méthode qu'Apple a conçue pour les appareils des salariés, l'entreprise ne peut pas non plus demander la liste de vos apps personnelles, configurer un VPN pour tout l'appareil ni effacer tout le téléphone.

Les types d'inscription plus poussés en permettent davantage. Si votre iPhone a été inscrit avec un profil d'appareil complet, l'entreprise peut demander la liste de toutes les apps installées et configurer un VPN pour l'appareil. La documentation d'Apple précise que lorsque le trafic passe par un VPN, l'activité réseau peut être surveillée et filtrée. L'entreprise ne peut toujours pas ouvrir l'historique de Safari, mais elle peut enregistrer le trafic qui passe par son tunnel.

Android. Un profil professionnel coupe le téléphone en deux. L'aide Android Enterprise de Google indique : « Les applications et les données associées à votre profil personnel ne sont pas visibles par votre organisation. » L'entreprise peut voir les applis du profil professionnel, le compte géré et l'activité réseau des applis pro, ainsi que des informations sur l'appareil comme le modèle, le numéro de série et le numéro de téléphone. Un VPN configuré dans le profil professionnel ne transporte pas le trafic de vos applis personnelles.

Pour tout ce qu'une entreprise peut voir ou non sur votre propre téléphone, des SMS aux photos, lisez can my employer see my personal phone (en anglais).

Les applis pro comme Okta, Outlook ou le Portail d'entreprise voient-elles ma navigation ?

Installer une appli pro sur votre propre téléphone ne donne pas votre historique de navigation à votre employeur. Ce que chaque appli transmet est documenté.

• Portail d'entreprise (Microsoft Intune). La page de Microsoft sur ce que votre organisation peut voir quand vous inscrivez un appareil range l'« historique des appels et de navigation » parmi les éléments que votre organisation ne peut jamais voir, avec les e-mails, les SMS, les contacts, les photos et les mots de passe. Elle peut voir le propriétaire de l'appareil, son nom, son modèle, son numéro de série et son système d'exploitation, et sur un appareil personnel les applis pro qu'elle gère et les quatre derniers chiffres de votre numéro de téléphone.
• Okta Verify. La liste d'Okta des données collectées par Okta Verify comprend le nom de l'appareil, le modèle, le fabricant, la plateforme, la version du système d'exploitation, un identifiant d'appli, l'e-mail avec lequel vous vous inscrivez et les journaux de l'appli. L'historique de navigation n'y figure pas. Okta gère vos connexions aux applis pro, et ce sont ces connexions qu'il voit.
• Outlook et Teams. Les liens que vous touchez dans les applis pro peuvent s'ouvrir dans un navigateur pro. Le guide de Microsoft sur la gestion d'Edge sur mobile indique que « lorsqu'Outlook et Microsoft Teams sont protégés par des stratégies de protection des applications, ces applications ouvrent des liens dans Microsoft Edge », où un compte pro et un compte personnel sont séparés et où l'entreprise fixe les règles côté pro. Considérez tout ce que vous ouvrez depuis une appli pro comme de la navigation pro. Pour vos recherches personnelles, ouvrez votre propre navigateur et tapez-les là.

L'exception est le téléphone entièrement géré appartenant à l'entreprise, décrit plus haut, où le trafic web peut passer par le filtre ou le VPN de l'entreprise.

Que signifie « votre organisation peut contrôler votre trafic réseau » ?

Android affiche un avis en bas des réglages rapides sur les téléphones surveillés, et sa formulation vous dit dans quelle situation vous êtes. Les textes ci-dessous viennent des chaînes système d'Android en français :

• « Cet appareil appartient à votre organisation, qui peut contrôler votre trafic réseau. » Un téléphone appartenant à l'entreprise et entièrement géré. Partez du principe que les règles d'un appareil pro s'appliquent partout.
• « Votre entreprise peut contrôler votre trafic réseau dans votre profil professionnel. » Un profil professionnel sur votre téléphone. Il couvre les applis pro, pas vos applis personnelles.
• « Il est possible que le réseau soit surveillé. » Une autorité de certification est installée sur l'appareil. L'explication d'Android dit : « Votre trafic sur le réseau sécurisé peut être contrôlé ou modifié. » Si vous n'en avez pas installé une volontairement, cherchez-la avec les étapes sur les certificats ci-dessous.

Sur iPhone, Apple indique qu'un appareil supervisé peut afficher un message dans les réglages pour signaler que votre organisation surveille votre trafic Internet et peut localiser votre appareil.

Comment vérifier si votre appareil est géré ou inspecté

1. iPhone ou iPad. Ouvrez Réglages. Un appareil supervisé affiche un message de supervision en haut de la page principale des Réglages. Allez ensuite dans Réglages > Général > VPN et gestion de l'appareil et touchez chaque profil pour voir ce qu'il contrôle, y compris les certificats et les réglages VPN. Les certificats que vous avez installés vous-même apparaissent dans Réglages > Général > Informations > Réglages des certificats.
2. Mac. Ouvrez le menu Apple > Réglages Système > Général > Gestion de l'appareil. Une liste vide signifie qu'aucun profil de configuration n'est installé.
3. Android. Faites glisser les réglages rapides vers le bas et lisez le pied de page à la recherche d'un des avis ci-dessus. Ouvrez ensuite Paramètres, allez dans la section des comptes et cherchez un onglet professionnel, qui signale l'existence d'un profil professionnel. Pour les certificats, ouvrez Paramètres > Sécurité et confidentialité > Autres paramètres de sécurité > Chiffrement et identifiants et regardez les identifiants de l'utilisateur ainsi que les identifiants de confiance installés par l'utilisateur. Les noms des menus varient selon les fabricants.
4. Windows. Ouvrez Paramètres > Comptes > Accès professionnel ou scolaire. Un compte pro connecté y apparaît.
5. Chrome. Ouvrez le menu Plus en haut à droite. Si vous voyez Géré par votre organisation tout en bas, le navigateur est géré. La page d'aide de Google mentionne aussi chrome://management, qui montre ce que l'administrateur a configuré. Dans Microsoft Edge, edge://policy affiche toutes les stratégies appliquées au navigateur.
6. N'importe quel navigateur, n'importe quel appareil. Ouvrez un site HTTPS connu, cliquez sur l'icône à côté de l'adresse et affichez le certificat. Regardez qui l'a émis. Une autorité de certification publique, c'est normal. Si l'émetteur porte le nom de votre entreprise ou d'un produit de sécurité, votre trafic HTTPS est déchiffré et inspecté sur cet appareil ou ce réseau.

Sur un appareil pro, tout cela est normal. C'est le matériel de l'entreprise et ces contrôles le protègent, donc n'essayez pas de les retirer ni de les contourner. Gardez plutôt votre navigation personnelle hors de l'appareil.

Mon employeur a-t-il le droit de surveiller ma navigation ?

Ceci est une information générale, pas un conseil juridique. Les détails dépendent du pays où vous travaillez.

États-Unis. Le droit fédéral américain est permissif. L'Electronic Communications Privacy Act interdit d'intercepter des communications, mais le 18 U.S.C. 2511(2)(d) le rend licite quand « l'une des parties à la communication a donné son consentement préalable », et la charte d'utilisation que vous avez acceptée à l'embauche est en général considérée comme ce consentement. La loi fédérale n'oblige pas l'employeur à vous informer de la surveillance. Quelques États américains le font :

• New York. La Civil Rights Law, section 52-c (en anglais) exige un avis écrit à l'embauche indiquant que le téléphone, les e-mails et « l'accès ou l'utilisation d'internet » peuvent être surveillés. Vous devez en accuser réception, et l'avis doit être affiché à un endroit visible par le personnel. Les amendes civiles vont jusqu'à 500 dollars pour une première infraction, 1 000 dollars pour une deuxième et 3 000 dollars pour chacune des suivantes.
• Connecticut. La section 31-48d des General Statutes exige un avis écrit préalable sur les types de surveillance électronique utilisés dans les locaux de l'employeur. Les amendes suivent les mêmes paliers de 500, 1 000 et 3 000 dollars.
• Delaware. Le titre 19, section 705, interdit la surveillance des e-mails et de l'usage d'internet, sauf si l'employeur donne un avis électronique chaque jour ou un avis unique dont le salarié accuse réception. L'amende civile est de 100 dollars par infraction.

Royaume-Uni. L'Information Commissioner's Office indique dans ses recommandations sur la surveillance des travailleurs (en anglais) que la loi sur la protection des données « ne vous empêche pas de surveiller les travailleurs », mais que les employeurs doivent informer les travailleurs de ce qui est collecté et pourquoi, et disposer d'une base légale. Il ajoute que les attentes des travailleurs en matière de vie privée « seront probablement nettement plus élevées à la maison que sur le lieu de travail ».

Union européenne et reste de l'Europe. Le RGPD applique les mêmes critères de transparence et de proportionnalité. Dans l'arrêt Bărbulescu c. Roumanie (2017), la Cour européenne des droits de l'homme a constaté une violation du droit au respect de la vie privée après le licenciement d'un salarié pour des messages surveillés, parce que les juridictions nationales n'avaient jamais vérifié s'il avait été prévenu à l'avance (fiche thématique de la CEDH).

Le point commun : surveiller les systèmes de l'entreprise est généralement permis, et ce que la loi ajoute surtout, c'est l'obligation de vous prévenir. La politique de surveillance de votre entreprise vaut donc la peine d'être lue.

Comment garder votre navigation personnelle à l'écart du travail

1. Utilisez votre propre appareil pour les affaires personnelles. Les recherches d'emploi, les questions de santé et la banque se font sur un téléphone ou un ordinateur que l'entreprise ne gère pas.
2. Utilisez votre propre connexion. Au bureau, les données mobiles gardent votre téléphone personnel totalement hors du réseau de l'entreprise.
3. Gardez vos comptes personnels hors de l'ordinateur pro. Ne vous y connectez pas à votre messagerie personnelle. Donnez aux recruteurs, aux médecins et aux banques une adresse personnelle, pas votre adresse pro. Secria Mail est conçu pour ce rôle : les e-mails sont stockés avec un chiffrement à accès zéro, les pixels de suivi sont supprimés automatiquement et les expéditeurs ne voient jamais votre adresse IP, et il existe une offre gratuite.
4. Choisissez l'inscription la plus légère proposée. Si le travail doit être sur votre téléphone, demandez un profil professionnel sur Android ou l'inscription d'utilisateurs sur iPhone, et lisez l'écran d'inscription avant d'accepter.

Garder votre vie personnelle pour vous

Ce que vous contrôlez, c'est votre propre téléphone, votre propre réseau et vos propres comptes. Quand votre téléphone ou votre ordinateur personnel doit utiliser un réseau géré par quelqu'un d'autre, comme le Wi-Fi invité du bureau, un hôtel ou les locaux d'un client, un VPN garde le nom des sites que vous visitez hors de portée de ce réseau. Secria VPN ne garde aucun journal d'activité et coûte $7.99 par mois seul, ou est inclus dans Pro.

FAQ

Mon employeur peut-il voir mon historique en navigation privée ? Sur un appareil ou un réseau pro, oui. La navigation privée empêche seulement le navigateur d'enregistrer l'historique sur l'appareil. La propre aide de Google sur la navigation privée indique que les organisations qui gèrent votre réseau, comme votre employeur, peuvent être en mesure d'observer votre activité en mode navigation privée. La liste complète est dans what incognito mode hides (en anglais).

Mon employeur peut-il voir mon historique si je le supprime ? Oui, s'il a été enregistré au départ. Supprimer l'historique efface la copie dans votre navigateur. Les journaux conservés par un logiciel de surveillance ou par le réseau de l'entreprise sont hors de portée de votre navigateur.

Mon employeur peut-il voir mon historique si j'utilise un VPN ? Sur un appareil pro, un VPN personnel ne cache rien au logiciel qui tourne sur l'appareil lui-même. Le VPN de l'entreprise fait l'inverse : il envoie votre trafic par le réseau de l'entreprise. Sur votre propre appareil, un VPN personnel cache bien le nom des sites à un réseau Wi-Fi que vous ne contrôlez pas.

Mon employeur peut-il voir les sites que je consulte quand je ne suis pas sur son réseau, en 4G par exemple ? Sur un ordinateur ou un téléphone pro, partez du principe que oui : le logiciel de surveillance suit l'appareil, à la maison et sur n'importe quel Wi-Fi. Sur un téléphone personnel sans gestion pro, avec la connexion de la maison ou les données mobiles, non. Avec un profil professionnel, seules les applis pro font remonter des informations à l'entreprise.

Un moteur de recherche privé comme DuckDuckGo cache-t-il mes recherches à mon employeur ? Non. Un moteur de recherche privé limite ce que garde l'entreprise du moteur de recherche. Il ne change pas ce qu'un appareil géré ou un réseau inspecté peut enregistrer.