Charte informatique : modèle 2026 et mise en place

Une charte informatique explique aux utilisateurs ce qu’ils peuvent faire avec les outils professionnels, comment les protéger et dans quelles conditions leur usage peut être contrôlé. Pour être utile, elle doit correspondre aux équipements, aux pratiques et aux responsabilités de l’organisation. Une signature ne rend pas licite une surveillance excessive.

Le modèle ci-dessous est une trame à copier et à compléter. Il distingue les règles d’usage, la protection des données et la procédure d’adoption. Vérification juridique : 26 septembre 2026.

Ce qu’il faut retenir

• Le contenu de la charte détermine son régime : les obligations générales et permanentes relevant de la discipline ou de la santé et de la sécurité suivent les règles du Code du travail.
• Les contrôles doivent être justifiés, proportionnés et portés à la connaissance des personnes ; les consultations applicables restent nécessaires.
• Les courriels privés restent protégés, même sur un équipement professionnel. Le marquage dans l’objet ou un classement approprié peut les identifier.
• Les règles sur les mots de passe, l’IA et le matériel personnel doivent être précises et réellement applicables.

Faut-il annexer la charte au règlement intérieur ?

Une notice expliquant le fonctionnement d’un logiciel n’a pas nécessairement la même portée qu’une charte imposant des interdictions et des sanctions. Selon l’Art. L1321-5 du Code du travail, les documents comportant certaines obligations générales et permanentes sont des adjonctions au règlement intérieur lorsqu’il existe ; ils sont en toute hypothèse soumis aux dispositions du titre concerné. Le nom « charte » ou « note » ne permet pas de contourner ce régime.

Le seuil de cinquante salariés prévu pour l’obligation d’établir un règlement intérieur ne dispense donc pas automatiquement une petite entreprise des formalités applicables à une charte disciplinaire. Le guide du règlement intérieur en PME détaille cette distinction.

Pour les clauses concernées, préparez l’avis du CSE lorsqu’il existe, les formalités de publicité, la communication à l’inspection du travail et une date d’entrée en vigueur respectant le délai légal. Depuis le 28 mai 2026, l’Art. L1321-4 ne prévoit plus le dépôt au greffe : Service Public Entreprendre confirme sa suppression. La fiche du ministère du Travail signale que les dispositions réglementaires sur le dépôt attendent encore leur coordination. Leur ancien affichage ne doit donc pas être repris comme si la réforme législative n’avait pas eu lieu. Pour une adoption ou un litige antérieurs, examinez la version alors applicable.

La remise individuelle et son accusé de réception servent à prouver l’information. Ils ne remplacent ni les formalités sociales ni l’examen de proportionnalité. Les modalités d’un dispositif de contrôle doivent être analysées séparément, notamment au regard de L1222-4 et, dans son champ d’application, L2312-38. La CNIL rappelle ces conditions dans sa fiche de juillet 2026.

Modèle de charte informatique à adapter

Mode d’emploi. Remplacez chaque champ entre crochets, supprimez les options inutiles et faites valider les clauses de contrôle et de discipline avant diffusion. Ce modèle ne décrit pas un système déjà audité. Il doit être complété par les annexes techniques et l’information RGPD de votre organisation.

1. Objet, utilisateurs et ressources

La présente charte fixe les règles d’utilisation des ressources numériques de [organisation]. Elle concerne [salariés, stagiaires, autres utilisateurs à préciser] dans le cadre de leurs accès autorisés.

Elle couvre [postes, téléphones, applications, messagerie, stockage, accès distants et autres ressources]. Les intervenants extérieurs reçoivent les consignes correspondant à leurs accès ; les conséquences contractuelles d’un manquement relèvent de leur contrat et de leur statut. La procédure disciplinaire applicable aux salariés de [organisation] ne leur est pas automatiquement transposée.

Le responsable de la charte est [fonction et contact]. L’assistance informatique est joignable par [canal]. Les droits propres aux représentants du personnel et les dispositions collectives applicables sont respectés.

2. Usage professionnel et usage personnel

Les ressources servent d’abord aux missions professionnelles. Un usage personnel raisonnable est toléré dans les limites suivantes : [modalités adaptées à l’activité, aux ressources et aux risques]. Il ne doit pas compromettre la sécurité, gêner le travail ou servir à une activité illicite.

Les courriels personnels sont identifiés clairement, par exemple par la mention « Personnel » ou « Privé » dans l’objet ou par leur classement dans un dossier ainsi nommé. Cette règle ne donne pas à l’organisation un droit général d’ouvrir les correspondances privées. Les restrictions d’usage et les éventuelles investigations restent soumises aux garanties légales.

3. Comptes et authentification

Chaque utilisateur emploie les accès qui lui ont été attribués et ne prête pas son compte. Les délégations nécessaires passent par la procédure [référence], afin de conserver des droits adaptés et une traçabilité individuelle.

La politique d’authentification [annexe] précise les exigences applicables à chaque service, le gestionnaire de mots de passe autorisé, les méthodes multifacteurs et la récupération d’accès. L’utilisateur protège ses secrets, refuse toute demande de validation qu’il n’a pas initiée et signale immédiatement une compromission suspectée. Il verrouille sa session lorsqu’il s’éloigne de son poste.

4. Logiciels, stockage et échanges

L’utilisateur travaille dans les applications et espaces autorisés [liste ou catalogue]. L’installation d’un nouveau logiciel, l’ajout d’une extension, la création d’un compte professionnel auprès d’un nouveau fournisseur ou le partage externe d’un dossier suit la procédure [référence].

Les données professionnelles ne sont pas transférées vers une messagerie ou un espace personnel pour contourner une restriction. Avant un envoi, l’utilisateur contrôle les destinataires, les pièces jointes et les droits du lien de partage. Les documents confidentiels sont transmis par [canal sécurisé adapté]. Les copies locales et supports amovibles suivent les règles de chiffrement, de sauvegarde et de suppression de [annexe].

5. Données personnelles et confidentialité

Les consignes doivent aussi couvrir les documents sur papier et les appareils partagés. Le guide imprimantes partagées et données personnelles aide à préciser le retrait des impressions, les accès et la fin de vie du matériel.

L’utilisateur accède uniquement aux informations nécessaires à ses missions. Il respecte les finalités autorisées, les habilitations, la confidentialité et les règles de conservation. Une demande de droit d’accès, de rectification, d’opposition ou d’effacement est transmise sans délai à [contact], sans suppression improvisée des preuves ou des pièces à conserver.

Le contact pour la protection des données est [fonction et coordonnées ; DPO si désigné]. Les informations relatives aux traitements concernant les utilisateurs sont fournies dans [notice accessible]. La charte ne transfère pas aux salariés les obligations propres du responsable de traitement.

6. Outils d’intelligence artificielle

Seuls les outils et usages approuvés dans [catalogue] sont autorisés. L’utilisateur ne saisit pas de secret d’authentification, de document confidentiel ou de données personnelles dans un service non validé pour cette catégorie d’information.

Avant un usage nouveau, [responsable] vérifie notamment le fournisseur, les rôles RGPD, le contrat applicable, la réutilisation éventuelle des entrées, la conservation, les accès et les transferts. L’utilisateur contrôle la pertinence et l’exactitude des productions avant leur utilisation. Il respecte les consignes particulières relatives aux décisions concernant des personnes, aux contenus diffusés et à l’information des interlocuteurs.

La validation d’un fournisseur ne vaut pas autorisation de tous ses usages. Le guide de l’IA en entreprise et du RGPD aide à instruire cette analyse.

7. Télétravail, mobilité et matériel personnel

Les accès à distance utilisent [solution et procédure approuvées]. Les équipements sont maintenus à jour et configurés selon [politique de sécurité]. L’utilisateur protège son écran, ses conversations et ses documents de l’accès des tiers.

Le matériel personnel est [interdit pour les usages professionnels concernés / autorisé sous les conditions de l’annexe BYOD]. Lorsqu’il est autorisé, l’annexe précise le cloisonnement, l’assistance, les données techniques accessibles à l’organisation et les mesures en cas de perte. L’organisation n’accède pas librement à l’espace privé et ne prévoit pas d’effacement général de l’appareil personnel.

Ces règles s’articulent avec les dispositions de télétravail et de protection des données applicables à l’organisation.

8. Contrôles et journalisation

Les contrôles effectivement déployés figurent dans l’annexe [référence]. Pour chacun, elle indique : objectif, données collectées, personnes habilitées, durée, base légale, modalités d’accès et contact pour exercer les droits.

Les outils de sécurité ne sont pas utilisés pour une surveillance cachée de la productivité. Toute nouvelle utilisation est examinée avant sa mise en œuvre. Les accès exceptionnels à un dossier ou à une messagerie sont motivés, limités au besoin et tracés suivant [procédure], dans le respect de la correspondance privée et des autres garanties applicables.

9. Incident ou erreur

L’utilisateur signale rapidement une perte, un vol, un envoi au mauvais destinataire, un accès suspect ou une sollicitation frauduleuse à [contact principal et secours]. Il décrit les faits connus, l’heure et les ressources concernées sans diffuser inutilement les données exposées.

Il suit les consignes de l’équipe chargée de l’incident et préserve les éléments utiles. L’organisation qualifie ensuite l’événement et apprécie les obligations de notification. Le signalement interne n’est pas subordonné à la certitude d’une violation du RGPD.

10. Conservation et départ

Les documents sont classés dans les dossiers de référence selon [politique de conservation]. L’utilisateur ne conserve pas indéfiniment les messages et exports dans ses espaces individuels.

Avant un départ, [responsable] organise la reprise des dossiers utiles, la restitution des équipements, la révocation des accès et la fermeture de la messagerie. Le salarié est informé de la date de fermeture pour pouvoir trier ses messages privés. Les échanges professionnels encore nécessaires sont conservés avec les accès et durées adaptés. La procédure de conservation des emails professionnels précise ces étapes.

11. Manquements

Un manquement peut donner lieu à une mesure proportionnée à sa nature et aux circonstances, dans le respect du droit applicable, du règlement intérieur lorsqu’il existe et des garanties de procédure. Aucune sanction automatique ni retenue financière forfaitaire n’est prévue par la présente charte.

Une mesure technique de protection urgente et une sanction disciplinaire répondent à des finalités distinctes ; leur qualification ne dépend pas seulement du nom donné à la mesure.

12. Information, entrée en vigueur et révision

La présente version [numéro] entre en vigueur le [date fixée après les formalités applicables]. Elle est accessible à [emplacement] et remise aux utilisateurs concernés. Les annexes sont [liste et versions].

Le responsable réexamine les règles lorsqu’un outil, un risque, un usage ou une obligation évolue. Une revue périodique est organisée selon [calendrier choisi]. Les modifications suivent leur procédure d’adoption et sont portées à la connaissance des personnes concernées.

Points à vérifier avant de diffuser le modèle

Vie privée. L’arrêt Nikon, Cass. soc., 2 octobre 2001, n° 99-42.942, protège les correspondances personnelles même si l’employeur a interdit un usage non professionnel. Il ne faut pas le résumer par l’affirmation qu’aucune restriction à l’usage privé ne serait possible. La proportionnalité s’apprécie selon le contexte.

Authentification. La recommandation CNIL n° 2022-100 envisage plusieurs configurations de mots de passe et mesures complémentaires. « Douze caractères pour tout le monde » ne suffit pas à décrire une politique. Les exigences doivent aussi tenir compte des comptes privilégiés, des accès distants et des risques. La recommandation multifacteur n° 2025-019 accompagne cette analyse ; une solution de sécurité traite elle-même des données personnelles.

Matériel personnel. La fiche CNIL sur le BYOD distingue le choix d’autoriser ces équipements et les limites des mesures de contrôle. Une autorisation d’accès professionnel n’emporte pas accès à toutes les photos, applications ou correspondances de l’utilisateur.

Incidents. L’Art. 33(1) du RGPD prévoit, pour le responsable de traitement, une notification à l’autorité dans les meilleurs délais et si possible sous 72 heures après connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Le sous-traitant avertit le responsable sans délai indu selon l’Art. 33(2). L’information des personnes répond au risque élevé et aux conditions de l’Art. 34. La charte ne doit pas annoncer que toute erreur est automatiquement notifiée par le salarié à la CNIL.

Cybersécurité sectorielle. Si l’organisation relève d’obligations particulières, intégrez ses procédures validées et les responsabilités correspondantes. Une charte générique ne démontre pas à elle seule la conformité à la directive NIS2 ni l’appartenance à son champ. Évitez de recopier des délais sectoriels sans qualifier l’organisme et l’incident.

Checklist de mise en place

• Compléter tous les champs et vérifier chaque outil cité avec l’informatique.
• Préparer les annexes : authentification, accès distants, conservation et contrôles réels.
• Vérifier le régime des clauses et les formalités sociales applicables.
• Rendre disponibles les notices RGPD et les canaux d’assistance et d’alerte.
• Conserver la version adoptée, les preuves de procédure et de remise.
• Expliquer les règles avec des exemples : lien partagé, demande MFA inattendue, IA et départ.
• Vérifier régulièrement que les réglages correspondent au document.

Questions fréquentes

Une charte informatique est-elle toujours obligatoire ?

Il n’existe pas une obligation générale d’utiliser un document portant ce nom pour toute entreprise. L’information des utilisateurs, la sécurité, la proportionnalité et les procédures applicables restent nécessaires. La charte peut les organiser sans remplacer les autres obligations.

La signature du salarié suffit-elle à rendre tous les contrôles licites ?

Non. Elle peut contribuer à prouver la remise du document. Elle ne valide pas une surveillance disproportionnée et ne remplace pas les consultations ou autres formalités requises.

Peut-on conserver la même charte avec un nouvel outil d’IA ?

Il faut vérifier si les règles et l’information couvrent réellement cet outil, ses usages et ses données. Une autorisation générale de « l’IA » ne remplace pas cette analyse. Mettez à jour les clauses et annexes concernées avant le déploiement.

La CNIL impose-t-elle une révision annuelle de toute charte ?

Il n’existe pas de fréquence générale unique fixée par le RGPD pour ce document. Prévoyez une revue périodique adaptée et une révision lors des changements significatifs ; les recommandations propres à certaines politiques doivent aussi être prises en compte.

Thiébaut Devergranne, docteur en droit de l’informatique, accompagne les professionnels sur la protection des données et la conformité numérique depuis plus de vingt ans.

Recevoir la newsletter sur le RGPD et la conformité numérique.