Vous cherchez un exemple de charte informatique à adapter à votre PME : cette page donne la trame complète, section par section, avec des clauses rédigées et commentées. Mais un modèle ne suffit pas. Une charte diffusée par e-mail ou glissée dans un livret d’accueil n’a aucune force disciplinaire : pour être opposable, elle doit être annexée au règlement intérieur et suivre la procédure de l’article L. 1321-4 du Code du travail — consultation du CSE, inspection du travail, dépôt au greffe du conseil de prud’hommes, affichage. C’est la formalité que la plupart des PME oublient, et celle qui fait tomber les sanctions devant le juge. La charte s’articule aussi avec vos obligations RGPD, décrites dans notre guide de conformité RGPD pour les PME.
⏱ L’essentiel en 30 secondes
- La charte n’est obligatoire nulle part en tant que telle, mais elle matérialise deux obligations qui existent : le règlement intérieur (dès 50 salariés) et la sécurité des traitements (article 32 du RGPD).
- Elle n’est opposable — donc utilisable pour sanctionner — que si elle est annexée au règlement intérieur et adoptée selon la procédure de l’article L. 1321-4 du Code du travail.
- Comptez un mois minimum entre les formalités de dépôt et de publicité et l’entrée en vigueur.
- Une trame utilisable tient en 11 sections : objet, matériel et comptes, usage personnel, mots de passe, messagerie, Internet, télétravail et BYOD, RGPD, administration et journalisation, contrôles, sanctions.
- Les fichiers du salarié sont présumés professionnels — sauf ceux explicitement identifiés comme « personnel », qui ne s’ouvrent qu’en sa présence ou lui dûment appelé.
Charte informatique : à quoi elle sert vraiment
Une charte informatique définit les règles d’utilisation du système d’information : postes, comptes, messagerie, Internet, stockage cloud, équipements personnels. Elle sert trois objectifs, et c’est le troisième qui pose problème.
Sécuriser : l’article 32 du RGPD impose des mesures techniques et organisationnelles. La charte est la brique organisationnelle — ce que les outils ne peuvent pas imposer seuls (ne pas partager un mot de passe, signaler un incident). Informer : l’article L. 1222-4 du Code du travail interdit de collecter des informations sur un salarié à son insu ; si vous journalisez les connexions ou filtrez le web, vous devez le dire.
Sanctionner : là, tout se joue sur la forme. Sans texte opposable, un usage abusif d’Internet, un partage de compte ou une exfiltration volontaire deviennent très difficiles à sanctionner. Le conseil de prud’hommes vous demandera sur quelle règle écrite vous vous appuyez — et si le salarié en avait connaissance.
Cas NIS2 : si vous entrez dans le champ de la directive, la politique de sécurité du SI devient une obligation réglementaire et la charte en est le volet « utilisateurs ». Vérifiez votre situation avec le test des seuils et secteurs concernés par NIS2.
Exemple de charte informatique : la trame en 11 sections
Voici la structure d’une charte exploitable en PME : pour chaque section, ce qu’elle doit contenir, une clause à reprendre et le piège à éviter. Les clauses sont volontairement courtes — une charte de 40 pages n’est jamais lue, donc jamais respectée.
1. Objet, champ d’application et définitions
Cette section détermine à qui la charte s’applique. Premier point de faiblesse en PME : un texte rédigé pour « les salariés » ne couvre ni le stagiaire, ni l’intérimaire, ni le prestataire qui dispose d’un compte sur votre serveur.
Le piège : oublier la mention « annexe au règlement intérieur ». Elle n’est pas décorative : c’est elle qui rattache la charte au régime juridique qui la rend opposable.
2. Matériel, comptes et ressources mis à disposition
Posez le principe : matériel et comptes sont fournis pour un usage professionnel et restent la propriété de l’entreprise. C’est cette phrase qui fonde votre droit de contrôle et la présomption de caractère professionnel des données.
Le piège : interdire le « shadow IT » sans fournir d’alternative. Si vos équipes passent par un WeTransfer personnel, c’est que l’outil manque. Une règle jamais respectée finit par affaiblir toute la charte.
3. Usage personnel toléré : la clause à ne surtout pas oublier
Interdire tout usage personnel est juridiquement fragile : la jurisprudence reconnaît un droit au respect de la vie privée sur le lieu et pendant le temps de travail. Tolérez un usage raisonnable et fixez-en les limites : vous obtenez ainsi un critère objectif pour caractériser l’abus.
Pourquoi cette clause vous protège : en disant comment marquer un contenu privé, vous fixez la frontière. Ce qui n’est pas marqué est présumé professionnel, donc consultable. Sans elle, chaque contrôle tourne à la discussion.
4. Mots de passe et authentification
Reprenez les recommandations de l’ANSSI et de la CNIL plutôt que d’inventer votre politique : la longueur et l’unicité priment désormais sur la complexité et le renouvellement forcé, qui pousse aux variantes prévisibles.
Le piège : écrire une règle que votre système ne sait pas appliquer. Imposer l’authentification multifacteur sans l’activer sur votre annuaire revient à documenter votre propre défaillance.
5. Messagerie professionnelle
Trois sujets : l’usage, la sécurité, et le sort de la boîte en cas d’absence ou de départ — c’est ce dernier point qui pose le plus de problèmes concrets.
Cette clause de vérification par un second canal est votre meilleure défense contre la fraude au faux fournisseur et l’usurpation de dirigeant : les scénarios sont détaillés dans notre guide du phishing et de l’hameçonnage.
6. Internet, réseaux sociaux et intelligence artificielle
Raisonnez en catégories d’usage plutôt qu’en listes de sites, qui vieillissent en quelques mois. Et ajoutez un paragraphe sur les IA génératives : cette voie de fuite involontaire est absente de presque toutes les chartes rédigées avant 2023.
Liberté d’expression : interdire toute critique de l’entreprise sur les réseaux sociaux serait excessif et pourrait être écarté. Visez le répréhensible — dénigrement, divulgation, injures — pas l’opinion.
7. Télétravail, mobilité et équipements personnels (BYOD)
Le télétravail a fait sortir vos données du bureau. Deux questions à trancher explicitement : autorisez-vous l’équipement personnel, et à quelles conditions ?
Le piège : croire que le BYOD autorise à contrôler le téléphone personnel du salarié. Il ne le permet pas : prévoyez un cloisonnement (conteneur professionnel) et un effacement à distance limité à la partie professionnelle.
8. Données personnelles et RGPD
Deux volets qu’on confond souvent : les données que le salarié manipule (clients, prospects, patients) et celles qui le concernent lui et que vos outils produisent.
Le délai de 72 heures suppose que l’incident remonte vite : cette clause n’a de valeur que si les équipes savent l’appliquer, d’où l’intérêt d’une sensibilisation régulière à la cybersécurité.
9. Administration, journalisation et maintenance
Vos administrateurs, internes ou prestataires, ont des pouvoirs étendus. Les encadrer protège autant l’entreprise qu’eux-mêmes.
Durée de conservation : la CNIL estime qu’une conservation de l’ordre de six mois n’est pas excessive pour les journaux de connexion, et recommande six mois à un an pour les traces de sécurité. Au-delà, il faut un motif documenté.
10. Contrôles de l’employeur et leurs limites
La section la plus délicate. Un contrôle n’est opposable que s’il a été annoncé : l’article L. 1222-4 interdit de collecter des informations à l’insu du salarié, et l’article L. 1121-1 impose que toute restriction soit justifiée et proportionnée.
Le piège : la clause qui s’autorise « tout contrôle à tout moment » — disproportionnée, donc inopposable, et fragilisant tout le texte.
11. Signalement des incidents et sanctions
Terminez par ce qui donne sa force au document : le rappel du statut d’annexe et le renvoi à l’échelle de sanctions du règlement intérieur.
La clause de non-sanction du signalement de bonne foi est celle qui a le plus d’effet concret : un salarié qui a cliqué sur un lien piégé et qui craint la sanction se taira. Vous perdrez les heures qui comptent le plus.
Votre charte tiendrait-elle devant un juge ?
30 minutes pour faire le point sur vos accès, vos journaux et vos règles écrites. Offert, sans engagement.
Les 11 sections en un tableau
| Section | Ce qu’elle verrouille | L’erreur fréquente en PME |
|---|---|---|
| 1. Objet et champ | Qui est concerné, mention « annexe au règlement intérieur » | Oublier stagiaires, intérimaires et prestataires |
| 2. Matériel et comptes | Propriété de l’entreprise, comptes nominatifs | Interdire le shadow IT sans fournir d’alternative |
| 3. Usage personnel | Tolérance encadrée, marquage « PERSONNEL » | Tout interdire : clause fragile |
| 4. Mots de passe | Longueur, unicité, gestionnaire, MFA | Écrire une règle que le SI n’applique pas |
| 5. Messagerie | Phishing, vérification des virements, absences | Rien de prévu pour la boîte d’un partant |
| 6. Internet et IA | Catégories d’usage, réseaux sociaux, IA générative | Texte antérieur à l’IA, jamais mis à jour |
| 7. Télétravail et BYOD | VPN, verrouillage, conditions du BYOD | Croire pouvoir contrôler le téléphone perso |
| 8. RGPD | Usage des données clients, signalement des violations | Ne pas relier la clause au délai de 72 h |
| 9. Administration, logs | Nature des journaux, durée, confidentialité | Journaliser sans le dire |
| 10. Contrôles | Progressivité, proportionnalité, information | « Tout contrôle à tout moment » : disproportionné |
| 11. Sanctions | Renvoi à l’échelle du règlement intérieur | Créer une échelle de sanctions propre à la charte |
Valeur juridique : pourquoi votre charte n’est probablement pas opposable
Une charte n’a de valeur disciplinaire que si elle emprunte le régime du règlement intérieur. Le Code du travail assimile à ses clauses les notes de service et documents portant des prescriptions générales et permanentes en matière de discipline (article L. 1321-5) : une charte informatique entre exactement dans cette définition.
L’article L. 1321-4 impose quatre étapes — avis du CSE, transmission à l’inspecteur du travail accompagnée de cet avis, dépôt au greffe du conseil de prud’hommes, affichage — et un délai : l’entrée en vigueur doit être postérieure d’au moins un mois aux formalités de dépôt et de publicité.
La conséquence est très concrète : une charte envoyée par e-mail, publiée sur l’intranet ou signée à l’embauche sans avoir été annexée ni déposée ne fonde aucune sanction. Faute de preuve que le salarié en a eu connaissance, les journaux de connexion produits pour justifier un licenciement peuvent même être écartés des débats.
Autre écueil : le règlement intérieur n’est obligatoire qu’à partir de 50 salariés, au terme d’un délai de douze mois après le franchissement du seuil (article L. 1311-2, seuil relevé de 20 à 50 par la loi PACTE du 22 mai 2019). En dessous, vous pouvez en adopter un volontairement — c’est même la seule façon de rendre votre charte opposable — mais le formalisme s’applique alors intégralement.
| Mode de diffusion | Valeur d’information | Valeur disciplinaire | Utilisable comme preuve d’information CNIL |
|---|---|---|---|
| Charte envoyée par e-mail, sans autre formalité | Oui | Non | Partiellement, si la remise est tracée |
| Charte signée à l’embauche, non annexée au RI | Oui | Non | Oui |
| Clause du contrat de travail renvoyant à la charte | Oui | Fragile : pas opposable comme règle disciplinaire générale | Oui |
| Charte annexée au RI, procédure L. 1321-4 complète | Oui | Oui | Oui |
La procédure d’adoption, étape par étape
Comptez deux à trois mois entre la rédaction et l’entrée en vigueur : le calendrier est contraint par la consultation du CSE et par le délai d’un mois.
- Rédiger et faire relireRédigez les 11 sections, puis faites relire par votre DPO ou un conseil en droit social. Chaque interdiction doit avoir une justification.
- Annexer formellement au règlement intérieurLa charte doit être désignée comme annexe du règlement intérieur, pas comme un document autonome. Si vous n’avez pas de règlement intérieur, il faut en adopter un.
- Consulter le CSE et conserver l’avisL’avis du comité social et économique est consultatif, mais la consultation est obligatoire : archivez le procès-verbal.
- Transmettre à l’inspection du travailAdressez le texte et l’avis du CSE à l’inspecteur, qui peut exiger le retrait des clauses illicites.
- Déposer au greffe du conseil de prud’hommesDépôt au greffe du conseil de prud’hommes du ressort de l’entreprise. C’est la formalité la plus souvent oubliée en PME.
- Afficher et remettre contre récépisséAffichage à une place convenable dans les lieux de travail et d’embauche, plus remise individuelle contre récépissé signé.
- Attendre le délai d’un moisL’entrée en vigueur doit être postérieure d’au moins un mois aux formalités. Datez-la explicitement dans le texte.
Toute modification refait le circuit. Ajouter une clause sur l’IA générative ou changer la durée de conservation des journaux impose de reprendre la procédure complète. Anticipez-le : mieux vaut une charte un peu large dès le départ qu’une révision tous les six mois.
Fichiers « personnels », messagerie, connexions : ce que dit la jurisprudence
La charte fixe vos règles ; la jurisprudence fixe leurs limites. Trois principes se sont stabilisés depuis vingt ans.
Le secret des correspondances survit au contrat de travail. L’arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942) a posé que le salarié a droit au respect de sa vie privée au travail, y compris dans ses messages personnels, même si l’employeur a interdit tout usage non professionnel.
Mais tout est présumé professionnel par défaut. Les fichiers créés sur l’ordinateur mis à disposition sont présumés professionnels et peuvent être ouverts hors la présence du salarié, sauf s’ils sont identifiés comme personnels (Cass. soc., 17 mai 2005, n° 03-40.017, dit Cathnet-Science). Dans ce cas, l’ouverture suppose la présence du salarié ou sa convocation — sauf risque ou événement particulier.
Le marquage doit être explicite et étroit. Les juges refusent les marquages trop larges : un dossier « Mes documents », le prénom du salarié ou un disque entier baptisé « données personnelles » ne suffisent pas. Une clé USB connectée au poste professionnel est, elle aussi, présumée d’usage professionnel.
Enfin, les connexions Internet établies pendant le temps de travail sont présumées professionnelles : un usage personnel manifestement abusif peut justifier un licenciement (Cass. soc., 9 juillet 2008, n° 06-45.800) — à condition que la charte annonçant la journalisation soit opposable.
Charte et RGPD : les quatre points que la CNIL vérifie
La CNIL recommande de longue date une charte d’usage des outils informatiques, articulée avec le RGPD et non substituée à lui. Quatre exigences reviennent.
1. Information préalable
Les salariés sont informés avant la mise en œuvre des dispositifs de contrôle : journalisation, filtrage web, vidéosurveillance, géolocalisation. Le CSE est consulté sur ces moyens.
2. Registre des traitements
Journaux de connexion, annuaire, outils de sécurité sont des traitements de données personnelles : ils s’inscrivent au registre avec finalité, base légale et durée.
3. Proportionnalité
Article L. 1121-1 : aucune restriction qui ne soit justifiée par la nature de la tâche et proportionnée au but. Un contrôle permanent et individualisé de tous est disproportionné.
4. Base légale et droits
Ces traitements reposent le plus souvent sur l’intérêt légitime de l’employeur — l’une des six bases de l’article 6 du RGPD — ce qui suppose une mise en balance documentée avec les droits des salariés.
Une charte mal calibrée cumule donc deux risques : inutile en droit du travail si elle n’est pas opposable, exposante en droit des données si elle décrit des contrôles disproportionnés — voyez l’échelle des sanctions CNIL applicables aux PME.
Votre charte est-elle opposable ? Le test en 8 points
Charte, journaux, accès : le point en 30 minutes
Un spécialiste passe en revue vos comptes, votre authentification, vos sauvegardes et vos règles écrites, puis vous remet les priorités par ordre d’urgence.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Charte informatique
Une charte informatique est-elle obligatoire ?
Comment rendre une charte informatique opposable aux salariés ?
Quelle est la différence entre une charte informatique et le règlement intérieur ?
L’employeur peut-il lire les mails d’un salarié ?
Peut-on licencier un salarié pour non-respect de la charte informatique ?
Faut-il faire signer la charte informatique aux salariés ?
La charte n’est qu’un livrable parmi d’autres : registre des traitements à jour, mentions d’information et réponses aux demandes des personnes, comme nos modèles de courriers RGPD. Pour savoir par où commencer, notre page sur l’audit RGPD détaille le déroulé et les livrables — ou passez par votre diagnostic cybersécurité offert.
Laisser un commentaire