La charte informatique est le document par lequel une organisation encadre l’usage des moyens numériques qu’elle met à la disposition de ses collaborateurs : postes de travail, messagerie, accès à internet, équipements mobiles, applications métier. Rédigée pour être comprise de tous, elle décrit les usages admis et les manquements susceptibles d’être sanctionnés. Lorsqu’elle est annexée au règlement intérieur, elle devient opposable aux salariés, ce qui la distingue d’un document purement indicatif.
Ce que contient une charte
Son champ d’application figure en tête du texte : personnels concernés — salariés, intérimaires, stagiaires, prestataires présents sur site —, équipements et services couverts, y compris les terminaux personnels lorsque l’organisation en tolère l’usage professionnel.
Viennent ensuite les règles d’usage proprement dites. La plupart admettent une utilisation personnelle résiduelle des outils, à condition qu’elle reste raisonnable et ne perturbe pas l’activité. La messagerie fait l’objet de dispositions particulières : vigilance face aux pièces jointes et aux liens, interdiction de transférer des documents internes vers des messageries personnelles — un comportement que les dispositifs de prévention des pertes de données cherchent à repérer. Le chapitre consacré aux comptes rappelle que les identifiants sont individuels, que les droits attribués correspondent aux besoins du poste — leur revue relevant de la gestion des habilitations — et que les exigences d’authentification définies par la filière gestion des identités et des accès s’imposent à chacun.
Le travail hors des locaux occupe une place croissante ; la charte y consacre des consignes spécifiques, du verrouillage du poste à la prudence sur les réseaux ouverts au public. Deux volets conditionnent enfin l’utilité du document : la marche à suivre pour signaler un incident ou un message suspect — sans crainte d’être blâmé pour l’avoir ouvert — et les sanctions disciplinaires encourues en cas de manquement.
Une valeur juridique liée à son mode d’adoption
Un texte interne n’engage les salariés que s’il leur est rendu applicable dans les formes. La voie la plus courante consiste à annexer la charte au règlement intérieur en suivant la procédure prévue pour celui-ci ; son non-respect peut alors fonder une sanction disciplinaire.
L’encadrement des usages croise le droit des données personnelles. La CNIL publie des repères sur le contrôle de l’utilisation d’internet et de la messagerie en entreprise : information préalable des salariés sur les dispositifs mis en place et proportionnalité des contrôles, le secret des correspondances identifiées comme personnelles demeurant protégé. La charte constitue justement l’un des supports de cette information, aux côtés des mentions prévues par la réglementation sur la protection des données personnelles.
La déclinaison lisible de la PSSI
Dans la pyramide documentaire de la sécurité, la charte occupe l’étage le plus proche des utilisateurs. Elle transpose en consignes concrètes les règles que la politique de sécurité des systèmes d’information formule à l’échelle de l’organisation : les principes de contrôle d’accès y deviennent des règles sur les mots de passe et le prêt de badge. Le RSSI en pilote généralement la rédaction, en associant les ressources humaines et la fonction juridique, qui sécurisent la procédure d’adoption et l’articulation avec le droit du travail. L’ANSSI propose un guide d’élaboration de charte d’utilisation des moyens informatiques et des outils numériques qui structure la démarche.
Une signature recueillie à l’embauche ne garantit pas que le texte a été lu. L’efficacité des actions de sensibilisation se joue dans la durée, par des rappels réguliers et des retours sur incidents. La formation en cybersécurité des équipes donne à la charte un contexte qui la rend intelligible ; les fiches de bonnes pratiques publiées par Cybermalveillance.gouv.fr offrent un support complémentaire accessible à tous les publics.
Un texte à réviser au rythme des usages
Une charte rédigée il y a quelques années décrit souvent un environnement de travail antérieur à la généralisation du télétravail. Le nomadisme, l’usage d’équipements personnels et l’accès permanent aux applications depuis l’extérieur ont déplacé les risques à couvrir ; un texte muet sur ces situations perd une partie de sa portée.
L’intelligence artificielle générative pose la question la plus récente. Soumettre un document confidentiel à un service d’IA grand public revient à le communiquer à un tiers ; les organisations qui déploient des assistants IA internes précisent dans leur charte quels outils sont approuvés et quelles données peuvent leur être confiées. Le cadre européen ajoute ses propres exigences, dont l’articulation entre RGPD et règlement sur l’IA dessine les contours. Une revue périodique du document, complétée par des révisions déclenchées par les incidents ou les réorganisations, évite un décalage durable entre le texte et les pratiques réelles.
Questions fréquentes sur la charte informatique
Une charte informatique est-elle obligatoire ?
Aucun texte d’application générale n’impose aux entreprises privées de s’en doter. Elle devient en revanche difficile à éviter dès qu’une organisation veut sanctionner un usage fautif de ses outils — sans document opposable, la mesure disciplinaire repose sur un terrain fragile — ou démontrer à un auditeur que les règles d’usage sont formalisées et portées à la connaissance des utilisateurs.
Faut-il la faire signer individuellement ?
Ce n’est pas une obligation : intégrée au règlement intérieur selon la procédure prévue, la charte s’impose à l’ensemble du personnel sans formalité supplémentaire. Beaucoup d’organisations recueillent néanmoins une signature, à l’embauche ou lors des mises à jour : elle matérialise la prise de connaissance et facilite la preuve en cas de contentieux.
S’applique-t-elle aux prestataires et aux intérimaires ?
Le règlement intérieur ne lie que les salariés de l’entreprise. Pour les intervenants extérieurs, la charte est rendue applicable par le contrat de prestation ou par un engagement individuel signé avant l’ouverture des accès — une précaution d’autant plus utile que ces intervenants disposent parfois de droits étendus.
La charte autorise-t-elle l’employeur à surveiller ses salariés ?
Non : elle ne constitue pas en soi une base légale de contrôle. Filtrage des sites consultés, journalisation des connexions ou analyse des flux relèvent du droit des données personnelles, qui impose d’en avertir les personnes concernées et d’en limiter la portée au nécessaire — un cadre que la CNIL détaille dans ses publications. Le rôle de la charte est ici la transparence : décrire les dispositifs existants, sans étendre les prérogatives de l’employeur au-delà de ce que le droit autorise.
