Charte informatique et cybersécurité : mots de passe, BYOD, télétravail et incidents

Le 22 janvier 2026, la CNIL a infligé 5 millions d'euros à France Travail : des attaquants avaient obtenu la réinitialisation de mots de passe en se faisant passer pour des conseillers, sur des comptes protégés par un simple identifiant et un mot de passe. Deux semaines plus tôt, Free était sanctionné de 15 millions d'euros après une intrusion passée par son accès VPN. Dans les deux cas, c'est l'accès des utilisateurs qui a cédé. La charte informatique est le document qui transforme les consignes de sécurité en obligations exigibles des salariés : mots de passe, équipements personnels (BYOD), télétravail, hameçonnage, signalement des incidents. Voici ce qu'elle doit contenir, et ce qu'elle ne peut pas imposer.

Pourquoi la cybersécurité passe par la charte informatique

L'article 32 du RGPD oblige l'entreprise à mettre en œuvre des mesures techniques et organisationnelles adaptées au risque. Son paragraphe 4 ajoute une exigence souvent oubliée : toute personne qui agit sous l'autorité du responsable du traitement ne traite les données que sur son instruction. Une instruction qui doit pouvoir être prouvée passe, en pratique, par une règle écrite, connue et vérifiable. Pour les entités couvertes par la directive NIS 2, l'article 21 cite expressément, parmi les mesures minimales, les pratiques de base en matière de cyberhygiène, la formation, la sécurité des ressources humaines, le contrôle d'accès et, selon les besoins, l'authentification multifacteur.

Le pare-feu ne règle pas le salarié qui prête son mot de passe ou copie un fichier client sur sa clé personnelle. Pour que ce comportement puisse être sanctionné, la règle doit figurer dans un document opposable. C'est le rôle de la charte, dont la méthode d'adoption est détaillée dans notre guide pour rédiger une charte informatique opposable.

La Cour de cassation a validé ce mécanisme. Dans un arrêt du 21 décembre 2006 (Cass. soc., n° 05-41.165, inédit), un adjoint au directeur technique avait tenté de se connecter au poste du directeur en empruntant le mot de passe d'un collègue. La cour d'appel a retenu un comportement « contraire à l'obligation de respect de la charte informatique en vigueur dans l'entreprise », constitutif d'une faute grave. Le pourvoi a été rejeté.

La charte fixe l'obligation, l'annexe fixe les paramètres

Une charte qui écrit « 8 caractères, changement tous les mois » est périmée avant même son adoption. La bonne architecture place dans la charte les obligations du salarié (confidentialité des identifiants, respect des règles d'authentification, signalement) et renvoie les paramètres techniques à une annexe tenue par la DSI. La frontière n'est pas tranchée par un texte : plus l'annexe crée d'obligations nouvelles et sanctionnables, plus elle risque d'être qualifiée d'adjonction au règlement intérieur au sens de l'article L1321-5 du Code du travail, avec la procédure qui va avec.

Politique de mot de passe et authentification : ce que recommande la CNIL

La référence est la délibération n° 2022-100 du 21 juillet 2022, qui a remplacé la recommandation de 2017. Elle raisonne en entropie, c'est-à-dire en résistance à une attaque par force brute, et non en nombre de caractères imposé.

• Mot de passe seul : 80 bits d'entropie au minimum. La CNIL donne trois exemples équivalents : 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ; 14 caractères sans caractère spécial obligatoire ; une phrase de passe d'au moins 7 mots.
• Mot de passe avec restriction d'accès (blocage temporaire après plusieurs échecs, par exemple) : 50 bits, soit 8 caractères comportant 3 des 4 types de caractères.
• Renouvellement : la CNIL demande de ne plus imposer de changement périodique à l'ensemble des utilisateurs. Il reste nécessaire pour les comptes d'administration.

La même délibération demande une politique de mots de passe écrite par les responsables de la sécurité, validée par le responsable du traitement et revue régulièrement, par exemple chaque année. Les utilisateurs doivent être informés des règles qui les concernent et sensibilisés au comportement à adopter en cas de suspicion de compromission. La charte est l'outil naturel de cette information.

L'authentification multifacteur n'est plus une option

La CNIL a adopté le 20 mars 2025 une recommandation dédiée à l'authentification multifacteur (délibération n° 2025-019). Sa portée pratique se lit dans la sanction France Travail (SAN-2026-003) : l'absence de second facteur pour les comptes des conseillers Cap emploi avait été identifiée dans les analyses d'impact, la mise en place prévue pour 2023 avait été repoussée, et les données de plus de 36,8 millions de personnes ont été exposées. France Travail soutenait qu'un second facteur n'aurait rien changé face à une attaque par ingénierie sociale. La formation restreinte a écarté l'argument : ce facteur aurait rendu l'authentification des attaquants « extrêmement difficile ».

Ce que la charte peut exiger du salarié

Ne jamais communiquer ses identifiants, y compris au support informatique ou à un supérieur. Ne pas réutiliser le mot de passe professionnel sur un service personnel. Activer le second facteur quand il est déployé. Utiliser le gestionnaire de mots de passe fourni par l'entreprise, que la CNIL encourage. Signaler sans délai tout doute sur la compromission d'un compte. Chacune de ces règles est simple à vérifier et, écrite dans une charte opposable, sanctionnable.

BYOD : autoriser, encadrer ou interdire les équipements personnels

Le BYOD (« bring your own device ») désigne l'usage d'un ordinateur, d'une tablette ou d'un smartphone personnel pour accéder aux ressources de l'entreprise. Pour la CNIL, c'est d'abord un choix de l'employeur, qui peut l'autoriser sous conditions ou l'interdire. Ce choix ne le décharge de rien : il reste responsable de la sécurité des données de l'entreprise stockées sur des terminaux dont il n'a ni la maîtrise physique ni la maîtrise juridique.

Les conditions d'une politique BYOD qui tient

La fiche de la CNIL sur les bonnes pratiques du BYOD liste les mesures attendues : cloisonner la partie professionnelle de l'appareil dans une « bulle de sécurité », contrôler l'accès distant par une authentification robuste, chiffrer les flux, prévoir une procédure en cas de perte ou de panne, exiger le verrouillage de l'appareil et un antivirus à jour, subordonner l'usage à une autorisation préalable. Elle précise que les responsabilités et les précautions doivent figurer dans une charte « ayant valeur contraignante ».

Ce que l'employeur ne peut pas faire sur un appareil qui ne lui appartient pas

Trois limites reviennent dans les textes et la doctrine de la CNIL :

• L'employeur ne peut pas entraver l'usage privé de l'appareil, par exemple en interdisant la navigation ou le téléchargement d'applications. Une telle restriction ne serait ni justifiée par la tâche ni proportionnée, au sens de l'article L1121-1 du Code du travail.
• Il ne peut pas accéder aux éléments de la vie privée stockés dans l'espace personnel : photos, historique, agenda, contacts. Il doit en revanche pouvoir accéder au contenu professionnel.
• L'accord national interprofessionnel du 26 novembre 2020 sur le télétravail, étendu par arrêté du 2 avril 2021, le dit en une phrase : quand le salarié utilise un outil personnel, les restrictions fixées par l'employeur « ne concernent que leur usage à des fins professionnelles ».

La chambre sociale a illustré cette frontière le 25 septembre 2024 (Cass. soc., n° 23-13.992, publié). L'employeur avait examiné, hors la présence de la salariée, des clés USB personnelles non connectées à l'ordinateur professionnel. La Cour juge que cet accès constitue une atteinte à la vie privée. La preuve a pourtant été admise : l'employeur avait des raisons concrètes d'agir, un expert avait trié le contenu en présence d'un huissier de justice, et seules les données professionnelles avaient été produites, les fichiers personnels n'ayant pas été ouverts. La faute grave a été retenue pour la copie de fichiers de fabrication sur des clés destinées à quitter l'entreprise.

Point de vigilance. L'interdiction pure du BYOD est la position la plus simple à défendre, mais elle n'est crédible que si l'entreprise fournit l'équipement nécessaire et contrôle l'accès à ses services en ligne. Une charte qui interdit les appareils personnels alors que la messagerie s'ouvre depuis n'importe quel navigateur protège moins qu'une autorisation encadrée.

Cybersécurité en télétravail : poste, réseau et lieu de travail

Le télétravail se met en place par accord collectif ou, à défaut, par une charte élaborée par l'employeur après avis du CSE (article L1222-9 du Code du travail). Cette charte de télétravail traite d'organisation : conditions de passage, plages de contact, contrôle du temps de travail. Elle ne remplace pas le volet sécurité de la charte informatique.

L'article L1222-10 fait pourtant le lien. Il oblige l'employeur à informer le télétravailleur « de toute restriction à l'usage d'équipements ou outils informatiques ou de services de communication électronique et des sanctions en cas de non-respect ». Une restriction non annoncée, ou annoncée sans sanction, est difficile à faire respecter. L'ANI de 2020 recommande dans le même esprit un socle de consignes minimales communiqué à tous les salariés et une liste d'outils de travail collaboratif garantissant la confidentialité.

Le réseau : l'accès distant est la cible

La sanction de 15 millions d'euros prononcée contre Free le 8 janvier 2026 (SAN-2026-002, articles 32 et 34 du RGPD) part d'une connexion de l'attaquant au VPN de l'opérateur. La décision reproduit les recommandations de l'ANSSI sur le nomadisme : trois niveaux d'authentification à considérer (l'utilisateur sur son poste, le poste sur le système d'information, l'utilisateur sur le système d'information) et l'authentification du poste par un certificat machine. Elle cite aussi le guide de la CNIL de 2024, qui recommande l'authentification multifacteur lorsque la connexion est accessible depuis l'extérieur du réseau de l'organisme.

Les consignes que la charte doit rendre exigibles

1. Se connecter uniquement par le VPN ou les services fournis, jamais par un partage de fichiers personnel.
2. Proscrire les réseaux Wi-Fi publics non protégés, ou imposer le VPN sur ces réseaux.
3. Verrouiller la session dès que le poste est laissé sans surveillance, y compris à domicile.
4. Ne pas travailler sur des documents confidentiels dans un train ou un espace de coworking sans filtre de confidentialité.
5. Encadrer l'impression à domicile et la destruction des documents imprimés.
6. Interdire l'usage du poste professionnel par un membre de la famille.

Ces règles relèvent de la bonne pratique, pas d'un texte qui les impose une à une. Leur valeur juridique vient de leur inscription dans la charte et de l'information prévue par l'article L1222-10. La sécurité ne justifie pas pour autant une surveillance permanente du télétravailleur : la CNIL juge excessive la webcam allumée en continu et qualifie de particulièrement invasifs le partage d'écran permanent et les enregistreurs de frappe.

Messagerie et hameçonnage : les consignes exigibles

L'attaque contre France Travail illustre le scénario le plus courant : un appel au support, une demande de réinitialisation, puis un appel à l'utilisateur en se présentant comme le support. Aucune technique n'arrête seul ce type d'attaque. La formation restreinte a rappelé qu'il n'est pas possible de se prémunir contre toutes les attaques d'ingénierie sociale, mais que cela n'exonère pas l'entreprise de ses obligations de sécurité.

La charte doit donc contenir des consignes de comportement, précises et vérifiables :

• le support informatique ne demande jamais de mot de passe, et aucun salarié ne le communique, par téléphone ou par écrit ;
• toute demande de modification de coordonnées bancaires d'un fournisseur se vérifie par un contre-appel au numéro déjà connu, jamais à celui figurant dans le message ;
• un message suspect se signale par le bouton ou l'adresse prévus, sans être transféré à des collègues ;
• un clic sur un lien douteux se déclare immédiatement, même s'il semble n'avoir rien déclenché.

Les recherches menées pour cet article n'ont fait apparaître aucun arrêt de la chambre sociale statuant sur le licenciement d'un salarié victime d'un hameçonnage. La sanction d'une simple erreur de bonne foi reste incertaine et, surtout, contre-productive : un salarié qui craint d'être sanctionné ne signale pas. La règle utile sanctionne la dissimulation et le non-respect des procédures, pas le fait d'avoir été trompé.

Signaler un incident de sécurité : obligation et délai

L'article 33 du RGPD impose au responsable du traitement de notifier une violation de données à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf absence de risque pour les personnes. Au-delà de 72 heures, la notification doit être motivée. Toute violation doit en outre être documentée, même non notifiée. Le détail de ces obligations figure dans notre article sur les obligations des entreprises en cas de violation de données personnelles.

Pour une entité couverte par NIS 2, l'article 23 de la directive, une fois transposé, prévoit une alerte précoce sous 24 heures et une notification d'incident sous 72 heures après la prise de connaissance d'un incident important. Ces délais courent à partir du moment où l'entreprise sait, et l'entreprise ne sait que si quelqu'un remonte l'information.

La clause de signalement

Aucun texte n'impose directement au salarié de signaler un incident à son employeur. C'est la charte qui crée cette obligation. Une clause efficace désigne un point de contact unique joignable à toute heure, fixe un délai court (« sans délai, et au plus tard dans l'heure qui suit la découverte »), liste les événements à signaler (perte d'un appareil, clic sur un lien suspect, envoi d'un fichier au mauvais destinataire, comportement anormal du poste) et précise ce qu'il ne faut pas faire, comme éteindre la machine ou tenter de réparer seul.

Conseil d'avocat. Écrivez dans la charte que le signalement d'une erreur ne sera pas, en lui-même, reproché au salarié. Cette phrase coûte peu et raccourcit le délai de remontée, qui conditionne le respect des 72 heures. La dissimulation, elle, reste une faute. Pour engager des poursuites disciplinaires, l'employeur dispose de deux mois à compter du jour où il en a connaissance (article L1332-4 du Code du travail).

Départ, perte, vol : récupérer les équipements et effacer les données

Un ordinateur portable oublié dans un train est une violation potentielle de données si son disque n'est pas chiffré. La charte doit organiser trois situations.

Perte ou vol

Déclaration immédiate au point de contact, puis au commissariat si l'équipement est volé. Sur un appareil professionnel, l'entreprise peut verrouiller et effacer à distance. Sur un appareil personnel, la CNIL admet l'effacement à distance de la seule partie dédiée à l'accès aux ressources de l'entreprise. L'employeur ne peut pas s'arroger le droit d'effacer l'ensemble du terminal. La charte et l'outil de gestion des appareils mobiles doivent être paramétrés en conséquence.

Départ du salarié

Restitution du matériel à une date fixée, désactivation des comptes le jour du départ, retrait des accès aux applications en ligne, suppression des données professionnelles présentes sur les appareils personnels, avec une attestation du salarié. L'arrêt du 25 septembre 2024 rappelle le risque : la copie de nombreux fichiers de l'entreprise sur des supports personnels destinés à être emportés peut constituer une faute grave, mais l'employeur doit rester proportionné dans la manière dont il la prouve.

Scénario type

Un commercial d'une ESN de 60 salariés se fait voler son smartphone personnel, sur lequel il consulte sa messagerie professionnelle. Si la charte prévoit le cloisonnement, le signalement dans l'heure et l'effacement de la partie professionnelle, la DSI coupe l'accès, efface le conteneur et documente l'incident pour décider s'il doit être notifié. Sans charte, la DSI découvre le vol plusieurs jours plus tard, ne peut rien effacer sans l'accord du salarié, et le délai de 72 heures est consommé avant que quiconque ait évalué le risque.

Articuler la charte informatique avec la PSSI

La politique de sécurité des systèmes d'information (PSSI) et la charte n'ont ni le même objet ni les mêmes destinataires. La PSSI fixe les objectifs, l'organisation et les mesures de sécurité de l'entreprise ; elle engage la direction et les équipes techniques. La charte traduit les règles qui pèsent sur chaque utilisateur. Les procédures techniques, enfin, décrivent la mise en œuvre et évoluent au rythme de la DSI.

NIS 2 impose que les organes de direction approuvent les mesures de gestion des risques, en supervisent la mise en œuvre et puissent être tenus responsables de leur violation (article 20). Au 3 novembre 2026, aucune loi de transposition n'a été publiée au Journal officiel : le point sur le calendrier est dans notre article sur la transposition de NIS 2 en France. L'article 21 oblige aussi ces entités à traiter la sécurité de leur chaîne d'approvisionnement, ce qui se répercute sur leurs prestataires. La responsabilité personnelle des dirigeants est un risque qui se discute dès aujourd'hui, comme l'expose notre analyse de la responsabilité juridique des dirigeants face aux cyberattaques.

Pour la charte, la conséquence est pratique : chaque règle de la PSSI qui exige un comportement de l'utilisateur doit se retrouver dans la charte, sinon elle n'est pas opposable au salarié. Et lorsque la charte vaut adjonction au règlement intérieur, chacune de ses modifications suit la procédure de l'article L1321-4 : avis du CSE, communication à l'inspecteur du travail, entrée en vigueur un mois au moins après les formalités de publicité. Le règlement intérieur est obligatoire à partir de 50 salariés (article L1311-2) ; en dessous, l'article L1321-5 soumet « en toute hypothèse » aux mêmes règles les documents qui imposent des obligations générales et permanentes en matière de santé, de sécurité et de discipline.

Mettre votre charte au niveau de vos risques

Une charte informatique rédigée avant le télétravail généralisé et l'authentification multifacteur ne couvre ni les appareils personnels ni l'accès distant, qui sont aujourd'hui les premières portes d'entrée. Je relis la charte, la PSSI et les consignes existantes avec la DSI, j'identifie les règles qui ne sont pas opposables faute d'avoir été adoptées selon la bonne procédure, et je rédige le volet cybersécurité, BYOD et télétravail avec son calendrier d'adoption. Le cabinet intervient aussi sur l'ensemble des questions de droit de la cybersécurité, de la PSSI à la gestion de crise. Pour faire le point sur vos règles actuelles, échangeons sur la sécurité de vos postes et de vos accès distants.