Charte informatique : est-elle obligatoire et comment la rédiger ?

La charte informatique est le document qu'on ressort le jour où un salarié a copié le fichier clients sur une clé personnelle, installé un logiciel non autorisé ou collé un contrat dans un outil d'IA grand public. C'est souvent ce jour-là qu'on découvre qu'elle n'a jamais été soumise au CSE, qu'elle n'annonce aucun contrôle et qu'elle ne permet de sanctionner personne. Aucun texte n'impose une charte informatique sous ce nom, mais le Code du travail et le RGPD imposent presque tout ce qu'elle contient. Ce qui suit répond à la question de l'obligation, puis donne une méthode de rédaction et d'adoption qui tient devant un conseil de prud'hommes et devant la CNIL.

Ce qu'est une charte informatique, et ce qu'elle n'est pas

Une charte informatique est le document par lequel l'employeur fixe les règles d'utilisation des ressources informatiques de l'entreprise : postes de travail, comptes et mots de passe, messagerie, accès à internet, stockage, logiciels, équipements mobiles, et désormais outils d'intelligence artificielle. Elle décrit aussi les contrôles que l'employeur met en place et les conséquences d'un manquement.

Un document, trois fonctions juridiques

La charte remplit trois rôles distincts, et c'est leur confusion qui produit la plupart des chartes inutilisables.

• Une instruction de sécurité. L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, et son paragraphe 4 exige que les personnes agissant sous l'autorité du responsable ne traitent les données que sur instruction. La charte est la forme écrite de ces instructions.
• Une information des salariés. L'article L1222-4 du Code du travail interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été préalablement présenté. La charte est l'endroit naturel où annoncer les journaux, le filtrage et les contrôles.
• Une règle disciplinaire. Dès qu'elle interdit des comportements et prévoit des sanctions, elle relève du règlement intérieur, qui fixe selon l'article L1321-1 « les règles générales et permanentes relatives à la discipline ».

Ce que la charte n'est pas

Elle n'est pas une politique de sécurité des systèmes d'information. La PSSI s'adresse aux équipes techniques et décrit l'architecture, les sauvegardes, la gestion des droits ; la charte s'adresse à tous les utilisateurs et dit ce que chacun doit faire. La rédaction de la PSSI et son articulation avec la charte sont détaillées dans notre article sur la PSSI, politique de sécurité des systèmes d'information. Elle n'est pas non plus un contrat que chaque salarié signe : une signature individuelle prouve la remise du document, pas sa validité disciplinaire. Enfin, elle n'est pas un catalogue d'interdictions : une règle qu'on ne peut pas faire respecter affaiblit toutes les autres. La CNIL recommande d'ailleurs, dans son guide de la sécurité des données, une charte spécifique pour les administrateurs, dont les droits étendus justifient des règles propres.

La charte informatique est-elle obligatoire ? Ce que disent le Code du travail et le RGPD

La réponse franche est non : aucun article de loi n'oblige une entreprise à adopter un document intitulé « charte informatique ». La CNIL la range parmi ses recommandations de sécurité et indique que l'information des salariés « peut se faire au moyen d'une charte, annexée ou non au règlement intérieur ». Mais l'absence d'obligation formelle ne vaut pas absence d'obligations. Le document répond à quatre exigences qui, elles, sont obligatoires.

Informer avant de contrôler

L'article L1222-4 du Code du travail interdit toute collecte d'information sur un salarié par un dispositif non porté préalablement à sa connaissance. Les articles 13 du RGPD et L1121-1 du Code du travail ajoutent l'obligation d'indiquer les finalités, la base légale, les destinataires, la durée de conservation et les droits, et l'exigence de restrictions proportionnées au but recherché. L'employeur qui conserve des journaux de connexion, filtre les sites ou inspecte les boîtes de messagerie doit pouvoir prouver qu'il l'a annoncé. Les règles de cette information sont détaillées dans notre article sur l'information des salariés sur les traitements de données au travail.

Consulter le CSE sur les moyens de contrôle

L'article L2312-38 impose d'informer et de consulter le comité social et économique avant la décision de mettre en œuvre des moyens ou techniques permettant un contrôle de l'activité des salariés, et de l'informer avant l'introduction de traitements automatisés de gestion du personnel. Un outil de journalisation, un proxy filtrant ou un logiciel de prévention des fuites de données entrent dans cette catégorie.

Sécuriser les données traitées par les salariés

L'article 32 du RGPD range l'encadrement des utilisateurs parmi les mesures organisationnelles de sécurité. En cas de violation de données, l'entreprise doit pouvoir montrer ce qu'elle avait prescrit à ses équipes. Sans écrit, la réponse est difficile à produire.

Pouvoir sanctionner

Le règlement intérieur est obligatoire dans les entreprises d'au moins 50 salariés, au terme d'un délai de douze mois après le franchissement du seuil (article L1311-2). Une règle de discipline informatique qui ne figure ni dans le règlement ni dans une adjonction régulièrement adoptée est fragile devant le juge. En dessous de 50 salariés, l'article L1321-5 soumet « en toute hypothèse » les documents portant des obligations générales et permanentes de discipline aux règles du règlement intérieur : la prudence commande de suivre la même procédure dès qu'un CSE existe.

Charte, règlement intérieur, note de service : quelle valeur juridique ?

La valeur d'une charte informatique dépend moins de son contenu que de la manière dont elle a été adoptée. Trois situations se rencontrent en pratique.

La charte adjointe au règlement intérieur

L'article L1321-5 du Code du travail considère les notes de service et « tout autre document » comportant des obligations générales et permanentes de discipline comme des adjonctions au règlement intérieur. Une charte qui interdit et sanctionne en fait partie, à condition de suivre la procédure de l'article L1321-4 : avis du CSE, communication à l'inspection du travail, publicité. Elle a alors la valeur du règlement intérieur, s'impose à tous les salariés et fonde une sanction disciplinaire.

La charte simplement diffusée

Une charte envoyée par courriel ou publiée sur l'intranet sans consultation ni communication à l'inspection informe les salariés. Elle peut prouver qu'un dispositif de contrôle a été annoncé, au sens de l'article L1222-4. Mais comme règle disciplinaire, elle s'expose à être écartée : la Cour de cassation juge, depuis un arrêt du 26 octobre 2010 (n° 09-42.740), que lorsque le règlement intérieur fixe l'échelle des sanctions, une sanction qui n'y figure pas ne peut être prononcée. Une mise à pied de cinq jours a été annulée parce que le règlement n'en fixait pas la durée maximale.

La charte annexée au contrat de travail

Intégrer la charte au contrat de chaque salarié paraît sûr. C'est un piège : une clause contractuelle se modifie en principe avec l'accord du salarié, et la charte devra évoluer à chaque nouvel outil. Mieux vaut faire signer un accusé de réception d'une charte adoptée selon la procédure du règlement intérieur.

Une limite commune : la vie personnelle du salarié

Quelle que soit sa forme, la charte ne peut apporter aux libertés des salariés des restrictions qui ne seraient pas justifiées par la tâche ni proportionnées au but (articles L1121-1 et L1321-3). Dans l'arrêt Nikon du 2 octobre 2001 (n° 99-42.942), la chambre sociale a jugé que l'employeur ne peut prendre connaissance des messages personnels du salarié reçus sur l'outil professionnel, « même au cas où l'employeur aurait interdit une utilisation non professionnelle de l'ordinateur ». Le 6 mars 2024 (n° 22-11.016), elle a approuvé une cour d'appel qui avait admis l'usage de la messagerie professionnelle pour des messages privés en dépit d'un règlement intérieur qui interdisait l'usage personnel des équipements : neuf messages en onze mois n'avaient rien d'excessif.

Point de vigilance. Une interdiction totale de l'usage personnel des outils ne protège pas l'employeur : le juge admet malgré elle un usage personnel raisonnable, et elle décrédibilise le reste de la charte. La CNIL admet un usage personnel raisonnable. Une charte efficace fixe la tolérance (volume, horaires, dossier ou libellé « personnel ») et la sanction de l'abus, pas l'interdiction de principe.

Les risques d'une entreprise sans charte informatique opposable

Le coût de l'absence de charte ne se voit qu'au moment du litige. Il se répartit sur quatre terrains.

La preuve devant le conseil de prud'hommes

Les fichiers créés avec l'outil professionnel sont présumés professionnels, sauf si le salarié les identifie comme personnels, et l'employeur peut les ouvrir hors de sa présence (Cass. soc., 18 octobre 2006, n° 04-48.025). Dans cette affaire, la faute grave d'un salarié qui avait crypté son poste sans autorisation a été retenue, notamment parce qu'il avait déjà reçu une mise en garde. Les journaux de connexion sont plus délicats : le 25 novembre 2020 (n° 17-19.523), la Cour de cassation a jugé que les adresses IP qu'ils contiennent sont des données personnelles, et que leur exploitation sans déclaration préalable à la CNIL, sous le régime alors applicable, rendait la preuve illicite, sans l'écarter d'office. Depuis l'arrêt d'assemblée plénière du 22 décembre 2023 (n° 20-20.648), une preuve illicite ou déloyale peut être admise si elle est indispensable et si l'atteinte est strictement proportionnée. Une charte qui annonce les journaux, leur finalité et leur durée évite d'avoir à plaider cette mise en balance.

Le licenciement jugé injustifié

Le 29 mai 2024 (n° 22-19.832), la chambre sociale a maintenu l'absence de cause réelle et sérieuse d'un licenciement prononcé alors qu'une charte existait et que le règlement intérieur y renvoyait : les pièces produites ne permettaient d'établir ni la date ni la fréquence des consultations reprochées, et la sanction a été jugée disproportionnée. Une charte ne dispense pas de prouver le manquement ; elle doit prévoir les traces qui permettront de le faire.

Le contrôle de la CNIL

Le risque inverse est de surveiller sans cadre. Le 19 décembre 2024, la CNIL a prononcé 40 000 euros d'amende contre une société qui mesurait les temps d'inactivité de ses télétravailleurs au clavier et à la souris et capturait régulièrement leurs écrans (délibération SAN-2024-021). Le 27 décembre 2023, elle avait infligé 32 millions d'euros à Amazon France Logistique pour les indicateurs d'activité tirés des scanners de ses préparateurs (SAN-2023-021) ; le Conseil d'État a ramené l'amende à 15 millions d'euros le 23 décembre 2025 (n° 492830), après avoir jugé que le traitement de trois des indicateurs en cause ne méconnaissait pas l'article 6 du RGPD. Les manquements aux articles 5, 6 et 13 du RGPD exposent jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

La fuite de données et l'incident de sécurité

Mot de passe partagé, poste non verrouillé, transfert de fichiers vers une messagerie personnelle : la plupart des violations de données commencent par un usage que personne n'avait interdit par écrit. Scénario type : un commercial démissionnaire exporte la base clients vers son compte personnel la semaine de son départ. Sans charte qui qualifie ce transfert de manquement et sans journal annoncé qui le date, l'entreprise peine à agir vite. Les liens entre protection des données et sécurité sont présentés dans notre article RGPD et cybersécurité ; quand l'incident a déjà eu lieu, l'intervention d'un avocat en cybersécurité se joue en heures.

Rédiger une charte informatique en six étapes

Une charte se rédige à partir des outils réels de l'entreprise, pas à partir d'un modèle. La CNIL range parmi les erreurs à éviter le fait de « ne pas tenir compte des pratiques réelles des usagers ». Un modèle commenté reste utile comme liste de contrôle : les clauses indispensables sont passées en revue dans notre modèle de charte informatique commenté. Six étapes, dans cet ordre.

1. Inventorier les outils

Annuaire et comptes, messagerie, stockage en ligne, applications métier, logiciels en abonnement, téléphones et ordinateurs portables, accès à distance, équipements personnels admis, outils d'IA utilisés. L'inventaire révèle presque toujours des outils adoptés par les équipes sans validation : c'est le premier sujet de la charte.

2. Décrire les usages autorisés

Pour chaque outil, ce qui est professionnel, ce qui est toléré à titre personnel et dans quelles limites : un dossier ou un libellé « personnel », un usage d'internet raisonnable, aucun stockage de données de l'entreprise sur un compte personnel. C'est la frontière que le juge examinera.

3. Fixer les règles de sécurité

Mots de passe confidentiels et non partagés, authentification à plusieurs facteurs, verrouillage du poste, interdiction d'installer un logiciel sans validation, signalement immédiat d'un incident, règles des équipements nomades. Ces règles, équipements personnels et télétravail compris, sont développées dans charte informatique et cybersécurité : mots de passe, BYOD et télétravail. Pour les outils d'IA, la charte pose le principe (outils autorisés, données interdites) et renvoie à une annexe dédiée, dont le contenu est détaillé dans notre article sur la charte IA interne face au shadow AI.

4. Annoncer les contrôles

Quels journaux sont conservés, pour quelle finalité, combien de temps, qui peut y accéder et dans quelles circonstances un contrôle individuel est déclenché. La CNIL recommande de ne pas conserver les journaux de connexion plus de six mois et juge les enregistreurs de frappe illicites sauf impératif de sécurité exceptionnel. Chaque dispositif doit aussi figurer au registre des traitements. Ce que l'employeur peut contrôler, et ce qui bascule dans la surveillance illicite, est détaillé dans charte informatique et RGPD : contrôler les outils sans surveiller les salariés.

5. Relier les manquements aux sanctions

La charte ne crée pas sa propre échelle : elle renvoie à celle du règlement intérieur. Il faut donc vérifier que cette échelle existe, qu'elle couvre les manquements visés et qu'elle fixe la durée maximale de la mise à pied. Les faits fautifs se prescrivent par deux mois à compter de leur connaissance par l'employeur (article L1332-4) : la charte doit prévoir qui est alerté et comment. La procédure d'adoption, la preuve de l'opposabilité et la sanction elle-même sont détaillées dans charte informatique et sanctions disciplinaires.

6. Organiser la mise à jour

Une version datée, une revue annuelle et une révision à chaque nouvel outil structurant. Chaque modification suit la procédure d'adoption : l'article L1321-4 l'applique « en cas de modification ou de retrait des clauses ».

Adopter la charte informatique pour qu'elle soit opposable

La procédure est celle du règlement intérieur, et c'est elle qui donne sa force à la charte. L'article L1321-4 a été modifié par la loi n° 2026-403 du 26 mai 2026 : il faut lire sa version en vigueur depuis le 28 mai 2026.

1. Consulter le CSE. La charte ne peut être introduite qu'après l'avis du comité. Quand elle annonce des moyens de contrôle de l'activité, l'information et la consultation de l'article L2312-38 portent aussi sur ces dispositifs, avant leur mise en œuvre. Les deux se traitent dans la même réunion, avec un dossier qui décrit précisément les outils.
2. Communiquer à l'inspection du travail. Le texte, accompagné de l'avis du CSE, est communiqué à l'inspecteur du travail en même temps que les mesures de publicité, en deux exemplaires selon l'article R1321-4.
3. Assurer la publicité. Le règlement intérieur est porté par tout moyen à la connaissance des personnes ayant accès aux lieux de travail (article R1321-1) : affichage, intranet, remise individuelle contre accusé de réception.
4. Dater l'entrée en vigueur. La date doit être postérieure d'au moins un mois à l'accomplissement des formalités de publicité.

Le dépôt au greffe du conseil de prud'hommes mérite une précision. La loi du 26 mai 2026 a retiré le mot « dépôt » de l'article L1321-4, mais l'article R1321-2, qui organise ce dépôt en renvoyant à la loi, n'a pas été modifié au 3 novembre 2026. Tant que la partie réglementaire n'est pas alignée, le dépôt reste une précaution peu coûteuse.

Conseil d'avocat. Conservez un dossier de preuve de l'adoption : convocation et procès-verbal du CSE, courrier à l'inspection du travail, capture de l'intranet datée, accusés de réception. Le jour d'un contentieux, c'est ce dossier, et non le texte de la charte, qui est discuté en premier.

Les erreurs fréquentes dans une charte informatique

• Copier un modèle. Une charte qui mentionne un intranet que l'entreprise n'a pas et ignore l'outil de messagerie instantanée que tout le monde utilise ne convainc aucun juge.
• Ne jamais la mettre à jour. Une charte de 2015 ne parle ni de télétravail, ni d'authentification à plusieurs facteurs, ni d'IA générative. Les manquements les plus probables ne sont pas couverts. La mise à jour pour les outils d'IA est détaillée dans charte informatique et IA : interdire ou encadrer ChatGPT.
• Contrôler sans l'avoir annoncé. Un outil de surveillance déployé avant l'information des salariés et la consultation du CSE expose à la contestation de la preuve et à la CNIL.
• Interdire tout usage personnel. La règle est inapplicable : le juge admet malgré elle un usage personnel raisonnable (arrêts Nikon de 2001 et CPAM de 2024).
• Oublier l'échelle des sanctions. Une charte qui menace de « sanctions disciplinaires » sans règlement intérieur qui les détaille ne permet pas de prononcer une mise à pied.
• Remplacer la procédure par une signature. L'accusé de réception individuel est utile, il ne dispense pas de l'avis du CSE.
• Ne pas l'appliquer. La CNIL le relève : une charte tolérée en pratique perd sa crédibilité, et l'employeur qui sanctionne un manquement après en avoir toléré cent autres prête le flanc à l'accusation de sanction disproportionnée ou discriminatoire.

Par où commencer : diagnostiquer sa charte informatique

Cinq questions suffisent à situer une entreprise. Existe-t-il une charte, et a-t-elle été soumise au CSE et communiquée à l'inspection du travail ? Date-t-elle de moins de deux ans ? Traite-t-elle des outils d'IA ? Annonce-t-elle les journaux et leur durée de conservation ? Le règlement intérieur contient-il l'échelle des sanctions avec la durée maximale de la mise à pied ? Le simulateur de cette page reprend ces critères.

Quand je rédige une charte, je commence par les outils, pas par le texte. Je suis aussi développeur : je lis l'annuaire, les droits d'accès, les journaux réellement conservés et la liste des outils d'IA utilisés, puis j'écris des règles qui décrivent ce qui existe. Je prépare ensuite le dossier du CSE, le courrier à l'inspection, la note d'information des salariés et le calendrier d'entrée en vigueur, pour que la charte soit opposable dès son premier jour. Le détail de cette offre figure sur la page avocat charte informatique et charte IA.

Si votre charte date d'avant le télétravail et l'IA générative, ou si vous préparez une sanction sur son fondement, échangeons sur votre situation avant d'engager la procédure.