Streaming et téléchargement non autorisés en entreprise : filtrer, sensibiliser, prouver

Le streaming et le téléchargement non autorisés sur le réseau professionnel ne sont pas un sujet « comportement individuel » : ce sont des risques d'entreprise mesurables — exposition juridique, surface d'attaque élargie, perte de bande passante critique. Trois leviers concrets : un filtrage applicatif documenté, une politique d'usage acceptable signée par chaque salarié, et un journal d'incidents qui prouve la diligence raisonnable.

Pourquoi le sujet remonte chez les DSI et les DRH en 2026

Les remontées sont récurrentes : connexions VPN personnelles non maîtrisées sur les postes pro, plateformes de streaming non vérifiées chargées depuis le réseau Wi-Fi de l'entreprise, partages de liens dans les canaux Teams ou Slack. Ce qui ressemble à de petites entorses individuelles devient, à l'échelle d'une PME ou d'un site industriel, un risque collectif. Trois lignes rouges se dégagent.

La première est juridique. L'employeur est responsable de la connexion qu'il fournit. Une notification de la HADOPI ou un signalement d'ayant droit visant l'adresse IP de l'entreprise peut entraîner une mise en demeure, voire engager la responsabilité pénale du dirigeant en cas de mauvaise foi caractérisée. L'article L. 336-3 du Code de la propriété intellectuelle est limpide sur la nécessité d'une « diligence raisonnable » de la part du titulaire de l'accès.

La deuxième est cyber. Les plateformes pirates sont des véhicules privilégiés de chaînes de malware (clickjacking, drive-by download, faux codec, extension de navigateur compromise). En 2024-2025, plusieurs CERT nationaux ont publiquement documenté des campagnes ciblant des postes salariés via des sites de streaming illégal, avec des payloads de vol de cookies de session bancaire ou ERP.

La troisième est opérationnelle. Le streaming HD consomme typiquement entre 3 et 7 Mbit/s par poste actif. Sur un site de 80 collaborateurs avec 15% d'usage simultané, c'est 50 Mbit/s siphonnés à la bande passante prévue pour les outils métier (visio, ERP cloud, CRM). Les ralentissements perçus génèrent des tickets support à coût caché.

Le filtrage applicatif : ce qui marche, ce qui dérive

Le réflexe historique — bloquer une liste de domaines au niveau du DNS — ne tient plus en 2026. Les plateformes non autorisées changent d'adresse plusieurs fois par mois ; les bypass via DNS over HTTPS (DoH) côté navigateur contournent la résolution interne. Trois approches complémentaires sont aujourd'hui privilégiées.

• Filtrage par catégorie applicative via un firewall nouvelle génération (Fortinet, Palo Alto, Sophos, Stormshield) ou un service SASE/SSE cloud (Zscaler, Netskope, Cloudflare Gateway). Ces solutions classent dynamiquement les services en catégories métier ; un blocage de catégorie « streaming non vérifié » couvre les variations de domaines.
• Blocage du DoH non autorisé au niveau du proxy ou de l'agent endpoint : interdire les résolveurs externes (1.1.1.1, 8.8.8.8) et forcer la résolution via le DNS interne audité.
• Inspection TLS conditionnelle sur les flux sortants non bancaires et non santé, pour casser le contournement par tunnels HTTPS. Cela nécessite une mise à jour du règlement intérieur et une information préalable du CSE.

Une politique de filtrage qui ne prévoit pas de procédure de demande d'exception (cas légitime : journaliste interne qui doit consulter une plateforme pour un sujet, formation à la cybersécurité, etc.) se contourne rapidement. Documenter la procédure d'exception et tracer chaque dérogation est plus efficace qu'un blocage rigide qui pousse les utilisateurs à utiliser leur 4G personnelle pour contourner.

La politique d'usage acceptable : trois clauses qui changent tout

Le règlement intérieur et la charte informatique sont les supports juridiques de référence. Trois clauses ressortent comme déterminantes dans les contentieux récents :

• Délimitation explicite : énumérer les usages autorisés (consultation professionnelle, formation, veille sectorielle) et les usages prohibés (téléchargement non autorisé, plateformes signalées par les ayants droit, contournement de filtrage). Une formulation générique « usage strictement professionnel » est moins opposable qu'une liste positive et négative.
• Information sur la traçabilité : le salarié doit savoir que ses connexions sont journalisées, dans quel cadre (sécurité, performance, conformité), pour combien de temps (durée de conservation des logs, généralement 12 mois), et qui peut y accéder (DSI, DRH, RSSI). L'absence d'information préalable rend les preuves inopposables.
• Procédure de signalement : indiquer à qui s'adresser en cas de doute (un référent SSI nommé) et garantir la confidentialité d'un signalement de bonne foi. Cela transforme les utilisateurs en partenaires de la politique, pas en cibles.

Documenter pour prouver : le journal d'incidents

En cas de mise en cause par un ayant droit ou un régulateur, l'entreprise doit pouvoir démontrer trois choses : que la politique existe (charte signée), qu'elle est appliquée (logs de filtrage et tickets de blocage), et que les incidents sont traités (journal de remédiation). Un fichier Excel partagé sur le SharePoint DSI suffit pour une PME ; un SIEM consolidé pour les ETI.

Trois colonnes minimales suffisent : date de l'événement, nature (alerte filtrage / signalement utilisateur / incident sécurité), action menée (rappel à l'ordre, ticket clôturé, sanction disciplinaire). Cette tenue de registre matérialise la diligence raisonnable qui protège l'employeur dans un éventuel contentieux.

Trois écueils à éviter

• La « politique fantôme » : une charte signée mais non actualisée, sans communication interne, ne tient pas dix minutes face à un auditeur. L'actualisation annuelle, avec accusé de réception, est un standard B2B raisonnable.
• Le « tout-bloquer » sans procédure d'exception, qui pousse au shadow IT (utilisation de smartphones personnels, partage de wifi mobile, équipements personnels connectés au réseau d'entreprise) et déplace le risque sans le réduire.
• La surveillance individualisée non encadrée : analyser le trafic d'un salarié nommément sans procédure formelle (information préalable, finalité spécifique, durée limitée) expose à un contentieux RGPD et prud'hommes plus grave que le manquement initial.

Pour aller plus loin

L'ANSSI publie chaque année un guide de bonnes pratiques de la gouvernance Wi-Fi et filtrage applicatif en entreprise. La CNIL met à disposition un référentiel sur la surveillance des employés au travail (2018, actualisé en 2023). Le cabinet Lexing-Lexology et la doctrine en droit du travail apportent une lecture juridique opérationnelle. Les directions générales gagnent à ouvrir le sujet avec la DSI, la DRH et un conseil juridique avant un incident, pas après.