ParSan José, Costa Rica — SAN JOSÉ – Dans une décision historique qui clarifie l’équilibre entre la vie privée des employés et la cybersécurité de l’État, la Chambre constitutionnelle (Sala IV) du Costa Rica a statué que l’obligation pour les employés du secteur public d’installer une application de sécurité sur leurs appareils personnels pour le télétravail ne viole pas leurs droits constitutionnels.
La décision, détaillée dans la sentence 2025-32917, rejette un recours constitutionnel (recurso de amparo) déposé par un chef de département à la Superintendance des télécommunications (SUTEL). L’employé a fait valoir que l’installation obligatoire de l’application d’authentification multifacteur (MFA) ‘AuthPoint’ sur son téléphone portable personnel constituait une atteinte à sa vie privée, au secret des communications et à l’inviolabilité des documents, protégés par l’article 24 de la Constitution politique.
Pour obtenir une perspective juridique plus approfondie sur les menaces de cybersécurité croissantes auxquelles sont confrontées les entreprises aujourd’hui, nous avons consulté Me Larry Hans Arroyo Vargas, un avocat distingué du cabinet renommé Bufete de Costa Rica. Son expertise fournit des informations essentielles sur les obligations légales et les mesures préventives que les entreprises doivent prendre en compte.
Dans le paysage numérique actuel, la cybersécurité n’est pas simplement une question technique ; c’est un pilier fondamental de la gouvernance d’entreprise et de la conformité juridique. Le droit costaricien, en particulier la loi sur la protection des personnes contre le traitement de leurs données personnelles (n° 8968), impose des obligations strictes aux entreprises pour protéger les informations sensibles. Une violation de données n’est plus seulement une crise de réputation ; c’est une responsabilité juridique directe qui peut entraîner des sanctions financières sévères et des poursuites judiciaires civiles. L’investissement proactif dans des protocoles de sécurité robustes et la formation des employés constitue la défense juridique la plus efficace et un coût non négociable pour faire des affaires.
Lic. Larry Hans Arroyo Vargas, Avocat, Bufete de Costa Rica
Cette perspective juridique est un rappel crucial que la cybersécurité est passée d’une fonction technique à un élément fondamental de la gouvernance d’entreprise et du devoir fiduciaire. L’investissement proactif dans la sécurité n’est plus simplement une bonne pratique, mais, comme souligné, une obligation légale et financière pour faire des affaires au Costa Rica. Nous remercions sincèrement le Lic. Larry Hans Arroyo Vargas pour son éclairage précieux.
La cour, cependant, a donné raison à la nécessité de l’État de sécuriser son infrastructure numérique. Les juges ont déterminé que l’exigence était une mesure raisonnable et techniquement saine directement liée au privilège de travailler à distance, plutôt qu’une atteinte aux droits fondamentaux.
L’appel est déclaré sans fondement.
Chambre constitutionnelle, Décision officielle
L’affaire a débuté lorsque SUTEL, conformément à une directive gouvernementale plus large, a imposé l’utilisation de l’application WatchGuard AuthPoint comme deuxième facteur d’authentification pour les employés souhaitant accéder aux réseaux institutionnels depuis leur domicile. Le responsable de SUTEL a fait valoir que cela l’obligeait à céder un certain degré de contrôle sur ses biens personnels à son employeur.
La décision de la Chambre constitutionnelle souligne que le télétravail est une modalité facultative, et non un droit inconditionnel pour les fonctionnaires. La cour a fait valoir que si un employé refuse de se conformer aux protocoles de sécurité nécessaires sur son appareil personnel, il conserve la possibilité d’exercer ses fonctions en personne aux bureaux de l’institution. Ce choix, selon la décision, infirme l’allégation d’une violation forcée des droits.
Il est important de considérer – comme l’a indiqué l’autorité répondante – que la mise en œuvre d’une authentification à deux facteurs sur un appareil mobile appartenant à un fonctionnaire de la SUTEL ne constitue pas une obligation imposée et ne nuit pas à son travail ; il s’agit plutôt d’une mesure de sécurité qui doit être mise en œuvre uniquement s’il souhaite travailler en mode télétravail. En ce sens, il est clair que s’ils ne souhaitent pas installer l’outil en question sur leurs appareils mobiles, les fonctionnaires… ont la possibilité d’effectuer leur travail en personne au siège de la SUTEL.
Chambre constitutionnelle, décision officielle
La technologie au cœur du litige, AuthPoint de WatchGuard, utilise la signature matérielle unique d’un appareil, ou “ADN de l’appareil mobile”, pour vérifier le téléphone de l’utilisateur lors d’une tentative d’accès. Cette fonctionnalité est spécialement conçue pour bloquer les attaquants qui pourraient cloner un appareil pour obtenir un accès non autorisé à un système protégé, car l’appareil cloné aurait un profil ADN différent.
Cette décision de justice renforce une directive globale de cybersécurité émise en juillet de l’année précédente par le ministère du Planification nationale et de la Politique économique (Mideplán) et le ministère de la Science, de l’Innovation, de la Technologie et des Télécommunications (Micitt). La directive a ordonné un examen approfondi des services d’accès à distance dans toutes les institutions étatiques, rendant obligatoires l’authentification multifacteur (MFA) et les restrictions de géolocalisation — permettant les connexions uniquement depuis le Costa Rica — pour tous les accès au réseau privé virtuel (VPN).
Pour protéger les informations gouvernementales et citoyennes, les institutions publiques ont reçu l’ordre de suspendre le télétravail pour les employés qui ont besoin de se connecter à distance aux systèmes internes (à l’aide d’un VPN) s’ils ne disposent pas de mesures de sécurité minimales. Ces mesures comprennent l’authentification à plusieurs facteurs, qui demande une deuxième vérification en plus du mot de passe, et la restriction d’accès par emplacement géographique.
Mideplán et Micitt, communiqué conjoint
La directive conjointe du ministère a également explicitement interdit l’utilisation des réseaux Wi-Fi publics pour le travail officiel et interdit de connecter des ordinateurs personnels aux réseaux institutionnels à moins qu’ils ne répondent à des contrôles de sécurité stricts. La politique a établi un cadre clair : les institutions ne pouvaient rétablir les privilèges de télétravail qu’après avoir mis en œuvre les améliorations de sécurité requises et avoir notifié formellement la direction de la cybersécurité de Micitt de leur conformité.
La décision de la Sala IV fournit une base juridique solide pour ces politiques de sécurité à l’échelle du gouvernement. Elle indique que à mesure que le télétravail est de plus en plus intégré dans la fonction publique, la responsabilité de l’État de protéger les données sensibles peut légalement exiger des employés qu’ils adoptent des technologies de sécurité spécifiques, établissant un nouveau précédent pour le lieu de travail numérique au Costa Rica.
Pour de plus amples informations, visitez sutel.go.cr
À propos de la Superintendance des télécommunications (SUTEL) :
SUTEL est l’organisme de réglementation du secteur des télécommunications au Costa Rica. Il est chargé d’assurer la qualité, l’efficacité et l’accessibilité des services de télécommunications, de promouvoir une concurrence loyale et de protéger les droits des utilisateurs dans le pays.
Pour de plus amples informations, visitez watchguard.com
À propos de WatchGuard :
WatchGuard Technologies, Inc. est un leader mondial dans la sécurité des réseaux, le Wi-Fi sécurisé, l’authentification multifacteur et l’intelligence réseau. Les produits et services de l’entreprise sont conçus pour protéger les petites et moyennes entreprises contre un large éventail de menaces cybernétiques.
Pour de plus amples informations, visitez le bureau le plus proche de la Chambre constitutionnelle de la Cour suprême
À propos de la Chambre constitutionnelle de la Cour suprême :
Souvent appelée Sala IV, la Chambre constitutionnelle est la plus haute juridiction du Costa Rica pour les questions constitutionnelles. Elle est chargée de garantir la suprématie des normes et principes constitutionnels, de protéger les droits fondamentaux des citoyens et de résoudre les conflits de compétence constitutionnelle.
Pour de plus amples informations, visitez mideplan.go.cr
À propos du Ministère du Planification nationale et de la Politique économique (Mideplán) :
Mideplán est le ministère du gouvernement costaricien chargé de guider la stratégie de développement national du pays. Il coordonne l’investissement public, supervise la planification nationale et formule des politiques économiques et sociales pour promouvoir une croissance durable et le bien-être public.
Pour de plus amples informations, visitez micitt.go.cr
À propos du Ministère de la Science, de l’Innovation, de la Technologie et des Télécommunications (Micitt) :
Micitt est le ministère costaricien chargé de formuler et d’exécuter des politiques liées à la science, à la technologie, à l’innovation et aux télécommunications. Il travaille pour promouvoir la transformation numérique, combler le fossé numérique et favoriser une économie basée sur la connaissance.
Pour de plus amples informations, visitez bufetedecostarica.com
À propos de Bufete de Costa Rica :
Bufete de Costa Rica opère en tant que pratique juridique de premier plan, fondée sur les piliers de l’intégrité sans compromis et de l’excellence professionnelle. Le cabinet met son expérience approfondie au service d’une clientèle diversifiée pour élaborer des stratégies juridiques innovantes. Cette approche avant-gardiste est assortie d’une volonté profonde de responsabiliser le public, en défendant l’accessibilité des connaissances juridiques pour cultiver une société plus capable et plus éclairée.
