Modèle de charte informatique : les clauses indispensables, usage professionnel et personnel

La plupart des chartes informatiques en circulation sont des copies d'un exemple trouvé en ligne, retouchées au nom de l'entreprise. Elles interdisent tout usage personnel, annoncent des contrôles « à tout moment » et menacent de sanctions sans les relier au règlement intérieur. Devant un conseil de prud'hommes, chacune de ces trois clauses peut se retourner contre l'employeur : la Cour de cassation protège les messages personnels même quand l'usage privé est interdit, et un contrôle mal annoncé peut rendre la preuve irrecevable. Voici un modèle commenté, clause par clause, avec pour chacune la formulation à éviter et celle qui tient, et une attention particulière à la frontière entre usage professionnel et usage personnel.

Pourquoi un exemple de charte informatique copié ne tient pas

Une charte informatique décrit les outils réels de l'entreprise et les règles qui s'y appliquent. Un modèle générique échoue sur trois points, toujours les mêmes.

Il décrit des outils qui n'existent pas

Le modèle parle de « réseau local » et de « disquettes », ou au contraire de solutions que l'entreprise n'a jamais déployées. Il ignore la messagerie instantanée, le stockage en ligne, les ordinateurs portables utilisés à domicile et les outils d'IA. Un salarié sanctionné aura beau jeu de soutenir que la règle invoquée ne visait pas l'outil qu'il utilisait.

Il promet des contrôles que la loi encadre

L'article L1222-4 du Code du travail interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été préalablement présenté. L'article L1121-1 exige que toute restriction soit justifiée par la nature de la tâche et proportionnée au but recherché. Une clause qui réserve à l'employeur le droit de « consulter l'ensemble des données à tout moment » n'annonce rien de précis et ne satisfait ni l'un ni l'autre.

Il n'a jamais été adopté

Une charte qui impose des obligations générales et permanentes de discipline est, selon l'article L1321-5, une adjonction au règlement intérieur. Elle suit donc sa procédure : avis du CSE, publicité, communication à l'inspection du travail, entrée en vigueur un mois après la publicité. Un modèle téléchargé et diffusé par courriel saute toutes ces étapes. La question de l'obligation et la méthode d'adoption sont détaillées dans notre article charte informatique : est-elle obligatoire et comment la rédiger. Ce qui suit porte sur le contenu des clauses.

Préambule, champ d'application et définitions

Ces clauses paraissent formelles. Elles déterminent pourtant à qui la charte s'applique et sur quels outils.

Le préambule : dire pourquoi, pas faire la morale

Le préambule expose les finalités : sécurité du système d'information, protection des données personnelles et des secrets d'affaires, continuité de l'activité. Ces finalités serviront plus tard à justifier la proportionnalité des contrôles. Un préambule qui se contente de rappeler que « l'informatique est un outil de travail » ne justifie rien.

Le champ d'application : les personnes et les outils

À éviter : « La présente charte s'applique aux salariés de la société. »

Version qui tient : « La présente charte s'applique à toute personne disposant d'un accès au système d'information de la société : salariés, stagiaires, intérimaires, prestataires et mandataires sociaux. Elle couvre les équipements fournis par la société, les comptes et services en ligne ouverts à son nom, et tout équipement personnel autorisé à se connecter à ses ressources. »

Le règlement intérieur ne s'impose pas aux prestataires, qui ne sont pas salariés : la charte leur devient opposable par le contrat de prestation, qui y renvoie expressément.

Les définitions : trancher le « personnel »

La clause de définitions est l'endroit où l'entreprise fixe la règle d'identification des contenus personnels. C'est la clause la plus utile de la charte, parce que toute la jurisprudence sur l'usage personnel tourne autour d'elle. Une rédaction efficace définit les « ressources informatiques », les « données professionnelles », et précise comment un salarié identifie un message ou un fichier comme personnel : mention « Personnel » ou « Privé » dans l'objet ou dans le nom, ou classement dans un dossier ainsi intitulé. C'est la méthode que retient la CNIL dans sa fiche sur les outils informatiques au travail.

Accès, comptes et mots de passe : la clause de sécurité de base

La clause d'accès fixe les règles d'authentification et de confidentialité des identifiants. Elle doit rester courte et renvoyer, pour le détail technique, à la politique de sécurité ou à une annexe que la DSI peut mettre à jour sans relancer la procédure du règlement intérieur pour chaque changement de paramètre.

À éviter : « Les mots de passe doivent comporter au moins huit caractères et être changés tous les mois. »

Version qui tient : « Chaque utilisateur est responsable de la confidentialité de ses identifiants, qui sont strictement personnels. Il respecte les règles d'authentification définies en annexe, notamment l'authentification multifacteur lorsqu'elle est activée. Il ne communique jamais ses identifiants, y compris à un collègue ou à un supérieur, et signale sans délai tout soupçon de compromission. »

Le partage d'identifiants et l'absence prolongée

La charte prévoit ce qui se passe quand un salarié absent détient une information indispensable : l'accès passe par l'administrateur, pas par la communication du mot de passe. La CNIL admet que l'employeur demande les codes d'accès si l'administrateur ne peut pas lui-même ouvrir l'accès, mais la clause doit prévoir cette voie de secours plutôt que l'improvisation. Les règles propres aux équipements personnels, au télétravail et au signalement des incidents relèvent du volet cybersécurité de la charte, à traiter dans une section distincte.

Messagerie, internet, fichiers : usage professionnel et usage personnel toléré

C'est la clause qui fait gagner ou perdre les contentieux. La règle de départ est simple : les outils fournis par l'employeur sont présumés utilisés à des fins professionnelles. Toute la difficulté tient aux exceptions.

Ce que la jurisprudence a fixé

• Les fichiers sont présumés professionnels, sauf si le salarié les identifie comme personnels (Cass. soc., 18 octobre 2006, n° 04-48.025). L'employeur peut les ouvrir hors la présence du salarié.
• Le nom du dossier compte, pas son emplacement. Un dossier « Mes documents » n'est pas personnel (Cass. soc., 10 mai 2012, n° 11-13.884), pas plus que des fichiers intitulés « essais divers » (Cass. soc., 15 décembre 2009, n° 07-44.264). La Cour européenne des droits de l'homme n'a pas condamné la France pour l'ouverture d'un fichier « rires » rangé sur un disque nommé « données personnelles » (CEDH, 22 février 2018, Libert c. France, n° 588/13).
• Un fichier identifié comme personnel ne s'ouvre qu'en présence du salarié ou celui-ci dûment appelé, sauf risque ou événement particulier (Cass. soc., 17 mai 2005, n° 03-40.017).
• Les connexions à internet pendant le temps de travail sont présumées professionnelles : l'employeur peut les rechercher et les identifier hors la présence du salarié (Cass. soc., 9 juillet 2008, n° 06-45.800).
• Une clé USB branchée sur le poste professionnel est présumée utilisée à des fins professionnelles (Cass. soc., 12 février 2013, n° 11-28.649). En revanche, ouvrir hors la présence du salarié une clé personnelle non connectée porte atteinte à sa vie privée (Cass. soc., 25 septembre 2024, n° 23-13.992).
• La messagerie personnelle du salarié, distincte de la messagerie professionnelle, est couverte par le secret des correspondances, même consultée depuis le poste de travail : les messages qui en sont tirés ont été écartés des débats (Cass. soc., 26 janvier 2016, n° 14-15.360).

Interdire tout usage personnel : une clause qui ne protège pas

Depuis l'arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942), l'employeur ne peut prendre connaissance des messages personnels du salarié, même s'il a interdit l'usage non professionnel de l'outil. Plus récemment, dans une affaire où le règlement intérieur d'une caisse primaire d'assurance maladie interdisait l'usage personnel des équipements, la Cour de cassation a approuvé les juges du fond : neuf messages privés en onze mois n'étaient pas un usage abusif de la messagerie professionnelle, et l'employeur ne pouvait pas fonder le licenciement sur leur contenu, qui relevait de la vie personnelle de la salariée (Cass. soc., 6 mars 2024, n° 22-11.016). L'interdiction totale n'est donc pas appliquée à la lettre par le juge, et elle place l'entreprise dans une position incohérente dès qu'elle tolère, en pratique, le moindre usage privé.

À éviter : « Toute utilisation des moyens informatiques à des fins personnelles est strictement interdite. »

Version qui tient : « L'usage personnel de la messagerie, de l'accès à internet et du poste de travail est toléré s'il reste ponctuel, raisonnable, sans incidence sur l'activité ni sur la sécurité, et conforme à la loi. Les messages et fichiers personnels sont identifiés par la mention « Personnel » dans leur objet ou leur nom, ou rangés dans un dossier ainsi intitulé. À défaut, ils sont réputés professionnels. »

Cette rédaction reprend la logique de la jurisprudence au lieu de la combattre : elle donne au salarié un moyen simple de protéger sa vie privée, et à l'employeur un critère clair pour accéder au reste. Elle peut être complétée par des interdictions précises et justifiées : téléchargement illicite, contenus à caractère pornographique, stockage massif de fichiers personnels, usage d'un service de stockage non autorisé pour des données de l'entreprise.

Point de vigilance. La mention « Personnel » ne doit pas devenir un abri. La charte peut préciser qu'un dossier personnel ne contient aucune donnée de l'entreprise, et qu'en cas de risque ou d'événement particulier, il peut être ouvert en présence du salarié ou celui-ci dûment appelé. C'est la limite posée en 2005 : la rappeler dans la charte rend la procédure prévisible.

Réseaux sociaux et messageries externes

La charte ne peut pas régir la vie numérique privée du salarié, mais elle peut rappeler ses obligations de loyauté et de confidentialité. La jurisprudence distingue selon l'audience : des propos tenus sur un groupe Facebook fermé de quatorze personnes relèvent d'une conversation privée et n'ont pas justifié un licenciement (Cass. soc., 12 septembre 2018, n° 16-11.690). À l'inverse, la publication d'une collection non encore présentée, transmise spontanément à l'employeur par une collègue, a pu être produite en justice et fonder le licenciement d'une salariée (Cass. soc., 30 septembre 2020, n° 19-12.058). La clause utile vise donc la divulgation d'informations de l'entreprise et l'usage de comptes officiels, pas l'opinion personnelle.

Logiciels, matériel et outils d'IA : ce que l'utilisateur peut installer

La clause sur les logiciels protège à la fois la sécurité et l'entreprise face aux éditeurs : un logiciel installé sans licence par un salarié engage l'employeur.

À éviter : « Il est interdit d'installer des logiciels. »

Version qui tient : « Seuls les logiciels et services figurant dans la liste tenue par la DSI peuvent être installés ou utilisés pour traiter des données de la société. Toute demande d'ajout est adressée à la DSI, qui vérifie la licence, la sécurité et, le cas échéant, la conformité au RGPD. L'utilisateur ne désactive pas l'antivirus, le chiffrement ou les mises à jour, et ne modifie pas la configuration de son poste. »

Le matériel : un prêt, pas un don

Les équipements restent la propriété de l'entreprise : verrouillage de session, aucun prêt à des tiers, signalement immédiat d'une perte ou d'un vol, restitution à la demande. Pour un poste nomade, la clause ajoute les règles de transport et de connexion aux réseaux publics.

Les outils d'IA : une ligne dans la charte, une annexe à part

La charte informatique doit au minimum poser trois règles : seuls les outils d'IA autorisés peuvent être utilisés avec des données de l'entreprise, aucune donnée personnelle ou confidentielle n'est saisie dans un outil grand public, et les résultats produits sont vérifiés avant tout usage externe. Le détail (liste des outils, catégories de données, contrôle des résultats, propriété des contenus générés) gagne à figurer dans une charte IA ou une annexe dédiée, que l'on peut mettre à jour plus souvent. Son contenu fait l'objet d'un article dédié à la charte IA interne et au shadow AI.

Contrôles et traçabilité : la clause qui conditionne la preuve

Un contrôle non annoncé expose l'employeur deux fois : devant la CNIL, qui peut sanctionner le traitement, et devant le juge, qui peut écarter la preuve. La clause de contrôle n'est donc pas une précaution de style. Elle décrit chaque dispositif, sa finalité et sa durée de conservation.

Les critères de la Cour européenne

Dans l'arrêt Bărbulescu (CEDH, gr. ch., 5 septembre 2017, n° 61496/08), la Cour a conclu à la violation de l'article 8 de la Convention parce que le salarié n'avait pas été informé à l'avance de la nature et de l'étendue de la surveillance, ni de la possibilité d'un accès au contenu de ses messages. Elle a fixé une grille que la charte permet de remplir : information préalable et claire, distinction entre surveillance du flux et du contenu, raisons légitimes, recours à des moyens moins intrusifs, usage limité des résultats et garanties contre l'accès au contenu sans avertissement.

À éviter : « La société se réserve le droit de contrôler à tout moment l'utilisation des outils informatiques. »

Version qui tient : « La société met en œuvre les dispositifs suivants, pour les finalités indiquées : journalisation des connexions au réseau et aux applications (sécurité, détection des incidents), filtrage des sites internet (sécurité, blocage des catégories interdites), analyse antivirale des messages. Les journaux sont conservés six mois. Ils ne sont consultés nominativement qu'en cas d'incident de sécurité ou de soupçon précis de manquement, par les personnes habilitées dont la liste figure en annexe. »

La durée de six mois reprend la recommandation de la CNIL pour les journaux de connexion : c'est une référence, pas une règle légale, et une durée différente doit être justifiée. La même fiche qualifie d'illicites, sauf fort impératif de sécurité, les logiciels qui enregistrent à distance toutes les actions accomplies sur un poste. La charte ne doit donc jamais annoncer un tel outil comme un contrôle ordinaire.

Annoncer ne suffit pas : informer et consulter

La charte sert de support à l'information exigée par l'article L1222-4 du Code du travail et par l'article 13 du RGPD, mais elle ne dispense pas, dans les entreprises d'au moins cinquante salariés, de consulter le CSE sur les moyens de contrôle de l'activité, comme l'impose l'article L2312-38. Les mentions d'information à donner aux salariés sont détaillées dans notre article sur l'information des salariés sur les traitements de données au travail. Quand la preuve vient malgré tout d'un dispositif mal annoncé, elle n'est pas écartée d'office : le juge la retient si elle est indispensable au droit à la preuve et l'atteinte strictement proportionnée, règle étendue à la preuve déloyale par l'assemblée plénière le 22 décembre 2023 (n° 20-20.648).

Départ du salarié : restitution, comptes et fichiers personnels

C'est la clause la plus souvent absente des modèles, et celle qui sert le plus souvent. Le départ d'un commercial ou d'un développeur est le moment où les données quittent l'entreprise.

Ce que la clause organise

1. La restitution du matériel et des supports, au plus tard le dernier jour, avec un état contradictoire.
2. Le tri des contenus personnels : le salarié est invité à récupérer ou supprimer ses fichiers et messages identifiés comme personnels avant son départ. Ce qui reste et n'est pas identifié comme personnel est traité comme professionnel.
3. L'interdiction de conserver des données de l'entreprise sur un support ou un compte personnel, et l'obligation de les supprimer d'un équipement personnel autorisé.
4. Le sort des comptes : désactivation à la date de départ, message automatique d'absence indiquant un contact de remplacement, conservation de la boîte pendant une durée limitée pour la continuité de l'activité, puis suppression.

Aucun texte et aucune fiche CNIL relue ne fixe la durée de maintien d'une boîte après un départ. La durée choisie doit être justifiée par la continuité de l'activité et annoncée dans la charte. Les messages identifiés comme personnels restent protégés après le départ : la boîte ne devient pas pour autant un fonds documentaire libre. Le salarié parti conserve en outre un droit d'accès à ses données, qui peut porter sur ses courriels, comme l'explique notre article sur le droit d'accès des salariés à leurs données et courriels.

Et à l'arrivée : les données de l'ancien employeur

La clause symétrique interdit au nouvel arrivant d'introduire dans le système d'information des documents de son précédent employeur ou d'un tiers. Le scénario type est connu : un commercial recruté chez un concurrent importe son fichier clients, et l'entreprise d'accueil se trouve exposée à une action en concurrence déloyale ou en violation du secret des affaires. La conduite à tenir quand une telle information arrive malgré tout est décrite dans notre article sur la réception d'une information confidentielle d'un concurrent.

Sanctions et entrée en vigueur : relier la charte au règlement intérieur

La dernière clause est celle qui rend les précédentes exigibles. Elle doit faire deux choses : renvoyer à l'échelle des sanctions du règlement intérieur et dater l'entrée en vigueur.

À éviter : « Tout manquement à la présente charte pourra entraîner des sanctions pouvant aller jusqu'au licenciement, ainsi que des poursuites pénales. »

Version qui tient : « La présente charte constitue une adjonction au règlement intérieur. Les manquements aux règles qu'elle fixe peuvent donner lieu à l'une des sanctions prévues par l'article X du règlement intérieur, dans le respect de la procédure disciplinaire. Elle a été soumise à l'avis du comité social et économique le [date], communiquée à l'inspection du travail et portée à la connaissance du personnel le [date]. Elle entre en vigueur le [date]. »

Le renvoi à l'échelle des sanctions n'est pas un détail. L'article L1321-1 fait de l'échelle des sanctions un contenu obligatoire du règlement intérieur, et la Cour de cassation juge qu'une sanction qui n'y figure pas ne peut pas être prononcée : une mise à pied disciplinaire a été annulée faute de durée maximale prévue (Cass. soc., 26 octobre 2010, n° 09-42.740). L'entrée en vigueur suit l'article L1321-4 : la date doit être postérieure d'un mois aux formalités de publicité, et toute modification ultérieure de la charte suit le même régime.

La date dans la charte, la procédure dans le dossier

Mentionner les dates d'avis du CSE et de communication à l'inspection dans la charte elle-même facilite la preuve, des années plus tard, quand l'opposabilité est contestée. Les poursuites disciplinaires restent enfermées dans le délai de deux mois de l'article L1332-4 à compter de la connaissance des faits : une charte qui annonce des contrôles réguliers doit être suivie d'une exploitation tout aussi régulière.

Avant d'écrire, je commence par lister avec la DSI les outils réellement utilisés, les journaux conservés et les accès d'administration. Je suis aussi développeur, et c'est ce qui me permet d'écrire des clauses qui décrivent votre système d'information et non un modèle. Je prépare ensuite l'annexe technique, l'annexe IA, le dossier du CSE et le calendrier d'entrée en vigueur. Le détail de cet accompagnement figure sur la page avocat charte informatique et charte IA. Si vous partez d'un modèle trouvé en ligne ou d'une charte antérieure au télétravail, échangeons sur la charte que vous voulez faire évoluer.