Charte informatique : la rédiger et la rendre opposable

Une charte informatique fixe les règles d’usage des outils numériques de l’entreprise. Sa portée dépend d’un seul choix : annexée au règlement intérieur et déposée selon la procédure de l’article L1321-4 du Code du travail, elle fonde une sanction ; simplement diffusée par courriel, elle informe sans rien pouvoir sanctionner.

Ce que le document couvre, et ce qu’il laisse dehors

Le nom prête à confusion. Une charte informatique ne décrit pas l’architecture technique du système d’information, ne remplace ni la politique de sécurité ni le registre des traitements. Elle traite d’un seul sujet : ce que les salariés ont le droit de faire avec le matériel, les comptes et les données que l’employeur met à leur disposition.

Le périmètre s’est élargi bien au-delà du poste fixe. Téléphone professionnel, messagerie, espaces de stockage en ligne, accès distant depuis le domicile, clés USB, imprimante réseau, comptes ouverts sur des plateformes métier, assistants conversationnels activés en quelques clics : chaque nouvel usage soulève une question que la charte tranche ou laisse en suspens.

Trois documents cohabitent dans la plupart des entreprises, et les mélanger crée des angles morts.

• La charte s’adresse aux utilisateurs et décrit des comportements attendus.
• La politique de sécurité s’adresse aux administrateurs et décrit des mesures techniques.
• Le registre des traitements, prévu par l’article 30 du règlement général sur la protection des données, recense les traitements de données personnelles et leurs finalités.

Une charte qui déborde sur les deux autres devient illisible. Une charte trop vague ne sert à rien le jour où un litige survient. Le format qui fonctionne tient entre six et dix pages, écrites dans la langue de ceux qui vont les lire, sans jargon d’architecte réseau.

Annexe au règlement intérieur ou simple note : le choix qui décide de tout

Voilà le point que la plupart des employeurs manquent. Un texte diffusé par courriel, affiché sur l’intranet ou glissé dans le livret d’accueil garde une valeur d’information. Il ne fonde aucune sanction. Pour qu’un manquement soit reprochable sur le terrain disciplinaire, la charte doit suivre le régime du règlement intérieur et lui être annexée.

La procédure qui rend le texte opposable

L’article L1321-4 du Code du travail impose un enchaînement précis, et chaque étape omise fragilise l’ensemble.

1. Soumettre le projet à l’avis du CSE, préalablement à toute introduction dans l’entreprise.
2. Communiquer le texte, accompagné de cet avis, à l’inspecteur du travail.
3. Déposer le document au greffe du conseil de prud’hommes du ressort de l’entreprise.
4. Assurer la publicité interne, par affichage sur les lieux de travail et d’embauche.
5. Fixer une date d’entrée en vigueur postérieure d’au moins un mois à l’accomplissement de ces formalités.

Un second texte se superpose dès que la charte décrit des dispositifs de contrôle. L’article L2312-38 du Code du travail, issu de l’ordonnance n° 2017-1386 du 22 septembre 2017 et entré en vigueur le 1er janvier 2018, prévoit que le comité social et économique est informé et consulté préalablement à la décision de mettre en œuvre dans l’entreprise des moyens ou des techniques permettant un contrôle de l’activité des salariés. Filtrage des sites, analyse des journaux de connexion, outil de gestion de flotte mobile : ces trois exemples relèvent tous de cette consultation.

Les structures sans règlement intérieur

L’établissement d’un règlement intérieur devient obligatoire à partir de cinquante salariés, seuil relevé de vingt à cinquante par la loi n° 2019-486 du 22 mai 2019 relative à la croissance et la transformation des entreprises, applicable depuis le 1er janvier 2020. L’obligation joue au terme d’un délai de douze mois à compter de la date à laquelle ce seuil a été atteint.

En dessous, rien n’interdit d’établir volontairement un règlement intérieur pour y annexer la charte. Une voie alternative existe : intégrer les règles d’usage au contrat de travail, ou les faire signer comme avenant. Le résultat devient contractuel plutôt que disciplinaire, ce qui change la mécanique de la sanction sans priver le texte de force juridique. Le régime du règlement intérieur s’étend aussi à toute note de service portant prescription générale et permanente, détail que beaucoup d’employeurs découvrent trop tard.

Trois décisions qui cadrent la rédaction

La jurisprudence française et européenne a déjà tranché les questions les plus sensibles. Rédiger sans en tenir compte revient à produire des clauses inapplicables le jour où elles servent.

L’arrêt Nikon, rendu par la chambre sociale de la Cour de cassation le 2 octobre 2001 sous le pourvoi n° 99-42.942, pose le principe fondateur. Le salarié a droit au respect de l’intimité de sa vie privée, y compris au temps et au lieu de travail, et l’employeur ne peut prendre connaissance des messages personnels émis et reçus grâce à un outil mis à disposition pour le travail, même lorsqu’un usage non professionnel avait été prohibé.

La même chambre a précisé la portée de ce principe le 17 mai 2005, pourvoi n° 03-40.017. L’employeur ne peut ouvrir les fichiers personnels identifiés comme tels sur le disque dur de l’ordinateur mis à disposition qu’en présence du salarié, ou celui-ci dûment appelé, sauf risque ou événement particulier. La conséquence pratique se lit à l’envers : tout ce qui n’est pas identifié comme personnel est présumé professionnel, donc consultable.

Au niveau européen, la Grande Chambre de la Cour européenne des droits de l’homme a statué le 5 septembre 2017 dans l’affaire Bărbulescu contre Roumanie, requête n° 61496/08. Un salarié licencié après la surveillance de sa messagerie instantanée, mise en place sans information préalable suffisante sur son étendue, a obtenu la reconnaissance d’une violation de l’article 8 de la Convention. Le message adressé aux employeurs tient en un mot : transparence sur la nature, l’étendue et le degré d’intrusion du contrôle, avant sa mise en œuvre.

Ces trois décisions dictent une règle de rédaction très concrète. Nommez le dossier ou le préfixe qui vaut marquage personnel, dites qui accède à quoi, et dans quelles circonstances un accès exceptionnel devient possible. Une charte qui reste silencieuse sur ce marquage laisse chaque salarié inventer sa propre convention, et rend toute vérification contestable.

Les rubriques qui font une charte utile

Un plan trop court laisse des zones grises, un plan trop long décourage la lecture. Les rubriques ci-dessous couvrent les litiges réellement observés dans les petites structures.

Chaque ligne mérite une réponse écrite, pas un renvoi. Un texte qui déclare agir « conformément aux procédures en vigueur » sans nommer ces procédures produit exactement l’ambiguïté qu’il prétend lever. Ce travail de cadrage prolonge celui décrit dans nos fondamentaux de cybersécurité en entreprise, dont la charte constitue le volet écrit et opposable.

L’usage personnel, le point qui fâche

Interdire tout usage privé produit deux effets : un texte que personne n’applique, et un employeur démuni le jour où l’abus devient manifeste. La position de la CNIL est nette. Un usage personnel des équipements professionnels reste toléré tant qu’il demeure raisonnable et n’affecte ni la sécurité des réseaux ni la productivité, et il revient à l’employeur d’en fixer les contours puis d’en informer ses salariés.

Traduire ce principe en clauses lisibles demande de la précision. Quelques formulations qui tiennent à l’usage :

• le caractère ponctuel de l’usage personnel, sans mobilisation d’espace de stockage significatif
• le regroupement des messages et fichiers privés dans un dossier explicitement nommé par la charte
• l’exclusion du téléchargement de contenus protégés, de l’hébergement de fichiers volumineux et de toute activité commerciale privée
• l’interdiction d’utiliser la messagerie professionnelle comme adresse de contact pour des services personnels

Le sujet des identifiants mérite son propre paragraphe. Un compte nominatif engage son titulaire, ce qui suppose qu’aucun mot de passe ne circule entre collègues, y compris par bienveillance pendant les congés. Le déploiement d’un gestionnaire de mots de passe d’équipe rend cette clause applicable, en organisant le partage contrôlé de ce qui doit vraiment l’être.

Surveillance et journaux : ce que vous pouvez écrire

Toute mesure de contrôle se heurte à une règle antérieure. L’article L1222-4 du Code du travail énonce qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. La recevabilité de la preuve dépend donc de cette information préalable, autant que la légitimité du dispositif lui-même.

La charte est le véhicule naturel de cette information. Décrivez, dispositif par dispositif : ce qui est enregistré, la finalité poursuivie, la durée de conservation, les personnes habilitées à consulter, et les modalités par lesquelles un salarié exerce ses droits.

Sur les durées, la CNIL a fixé un repère dans sa délibération n° 2021-122 du 14 octobre 2021 portant recommandation relative aux mesures de journalisation. Elle préconise une conservation des données de journalisation comprise entre six mois et un an, en soulignant que ces journaux ne doivent pas servir à une surveillance individualisée des salariés au-delà de la finalité de sécurité. Inscrire cette durée noir sur blanc, plutôt que la laisser à la discrétion de l’administrateur du moment, protège autant l’entreprise que ses équipes.

Deux pièges reviennent souvent. Le premier consiste à décrire un dispositif que la technique ne met pas réellement en œuvre, ce qui décrédibilise le texte entier au premier contrôle sérieux. Le second consiste à installer un outil de supervision plus intrusif que ce que la charte annonce : l’écart entre le document affiché et le dispositif réel a coûté cher à plus d’un employeur devant les juges.

Télétravail, matériel personnel et outils installés hors circuit

Le travail à distance a déplacé les frontières que la charte doit redessiner. Le poste quitte le bureau, se connecte au réseau domestique, croise les appareils de la famille, et revient parfois plusieurs mois plus tard. Précisez qui a le droit d’utiliser la machine, si une session séparée est exigée pour les usages familiaux, et quelles connexions restent proscrites.

Une position tranchée s’impose sur le matériel personnel. Autoriser un ordinateur privé à accéder aux ressources de l’entreprise suppose des contreparties écrites : chiffrement du disque, verrouillage automatique de session, sauvegarde, mise à jour du système, et un droit d’effacement à distance strictement limité aux données professionnelles. Interdire s’écrit plus vite, se tient plus difficilement. Choisissez en connaissance de cause, puis alignez l’inventaire décrit dans notre méthode de gestion du parc informatique sur cette décision.

Reste la question des services souscrits en dehors de tout circuit d’achat. Un abonnement en ligne activé avec une carte bancaire personnelle, un espace de partage ouvert pour dépanner un client, un assistant conversationnel alimenté avec des documents internes : ces initiatives naissent d’une bonne intention et créent des flux de données que personne ne cartographie. La charte doit nommer l’autorité qui valide une nouvelle application et rappeler la règle applicable aux informations confidentielles saisies dans un service tiers. La question se pose avec la même acuité sur les outils collaboratifs déjà déployés, dont les intégrations externes s’activent souvent d’un simple clic.

Faire signer, faire vivre, faire évoluer

Un texte déposé au greffe puis jamais relu redevient inopérant en trois ans. La procédure d’annexion assure l’opposabilité, la signature du salarié apporte la preuve de la remise, et une trace datée dans le dossier individuel referme le sujet en cas de litige. À l’embauche, cette remise s’intègre naturellement au parcours d’arrivée, aux côtés du matériel et de l’ouverture des accès.

La diffusion seule ne crée aucun réflexe. Une session de trente minutes à l’arrivée, un rappel court une fois par an et deux ou trois exemples tirés de la vie réelle de l’entreprise valent mieux qu’un document de dix pages signé sans lecture. Les règles de stockage en font partie : les bonnes pratiques de sauvegarde n’entrent dans les habitudes que si la charte dit clairement où les fichiers de travail doivent résider.

Prévoyez enfin une révision annuelle. Chaque modification substantielle rouvre la procédure de l’article L1321-4 : nouvel avis du comité social et économique, nouvelle communication à l’inspection du travail, nouveau dépôt au greffe, nouveau délai d’un mois avant application. Regrouper les évolutions en une seule mise à jour annuelle évite de rejouer cette séquence quatre fois par an, et donne au texte un rythme que les équipes finissent par anticiper.

Le premier jet, en une après-midi

Bloquez une après-midi et listez les dix situations réellement rencontrées ces trois dernières années : le départ avec des fichiers, le compte partagé pendant un congé, l’abonnement souscrit sans validation, le poste prêté à un proche un soir de vacances. Écrivez une réponse par situation, dans un langage compréhensible par tous. Vous tenez la matière brute de votre charte. Enchaînez ensuite sur la procédure : consultation du comité social et économique, communication à l’inspection du travail, dépôt au greffe, affichage, puis entrée en vigueur un mois plus tard. Comptez six à huit semaines entre le premier jet et le jour où le texte devient réellement opposable.