Charte informatique : contenu obligatoire, valeur juridique et exemple
de plan

Le 27 décembre 2023, la CNIL a infligé 32 millions d'euros d'amende à Amazon France Logistique pour la façon dont ses entrepôts mesuraient l'activité des salariés au scanner. Deux ans plus tard, le 23 décembre 2025, le Conseil d'État a ramené la sanction à 15 millions d'euros. Il a jugé que plusieurs indicateurs contestés (un signal sur les rangements espacés de moins de 1,25 seconde, un autre sur les inactivités de plus de dix minutes) ne constituaient pas une atteinte excessive. Mais il a confirmé le reste : une conservation de 31 jours jugée non minimisée, des intérimaires mal informés, une vidéosurveillance mal sécurisée. Quinze millions pour de l'information, de la conservation et de la sécurisation, alors que le principe même de la mesure a été validé.

Une charte informatique sert à ça : écrire noir sur blanc ce que l'organisation autorise, ce qu'elle surveille, dans quelle proportion, et le faire savoir avant de s'en servir. Le document est court, il ne coûte rien, et il tombe au premier contentieux quand il a été copié sur un modèle, jamais annexé au règlement intérieur, jamais relu depuis le télétravail et les assistants IA. La chambre sociale de la Cour de cassation, elle, a déjà tranché l'essentiel de ce qu'on y écrit : autant connaître ses arrêts avant de commencer la rédaction.

Ce qu'est une charte informatique, et ce qu'elle n'est pas

La charte informatique, ou charte d'utilisation des moyens informatiques, est le texte qui fixe les règles d'usage du système d'information pour ceux qui l'utilisent : salariés, intérimaires, stagiaires, prestataires disposant d'un compte. Elle parle à l'utilisateur. C'est ce qui la distingue de la PSSI, qui décrit les objectifs et l'organisation de la sécurité pour la direction et les équipes techniques. Une PSSI dit que les accès distants passent par une authentification forte. La charte dit au salarié qu'il ne prête pas son second facteur et qu'il signale la perte de son téléphone dans l'heure.

Dans une démarche de gouvernance, risques et conformité en cybersécurité, la charte occupe une place précise : c'est le seul document de sécurité qui produit des effets en droit du travail. Une politique mal appliquée coûte un constat d'audit. Une charte mal adoptée coûte un licenciement annulé aux prud'hommes, ou une preuve écartée parce que l'employeur n'avait pas le droit de la recueillir.

La valeur juridique d'une charte informatique

Aucun article de loi n'impose une charte informatique. Ce qui existe, ce sont trois obligations distinctes du code du travail, et la charte est la manière la plus simple de les satisfaire ensemble. Le règlement intérieur est obligatoire à partir de cinquante salariés (article L1311-2), et il fixe, selon l'article L1321-1, les règles générales et permanentes relatives à la discipline, dont la nature et l'échelle des sanctions. L'article L1222-4 interdit de collecter une information concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance. Et l'article L2312-38 impose que le comité social et économique soit informé et consulté avant la décision de mettre en œuvre des moyens ou techniques permettant un contrôle de l'activité des salariés.

Le point d'articulation est l'article L1321-5 : les notes de service ou tout autre document comportant des obligations générales et permanentes dans les matières du règlement intérieur sont, lorsqu'il existe un règlement intérieur, considérées comme des adjonctions à celui-ci, et soumises aux mêmes règles. Le texte ajoute une phrase qu'on oublie souvent de lire : ces documents sont, en toute hypothèse, soumis aux dispositions du titre consacré au règlement intérieur, qu'un tel règlement existe ou non. Autrement dit, une charte qui prévoit des sanctions est juridiquement un morceau de règlement intérieur, qu'on l'ait annexée ou non, et quel que soit l'effectif. Si elle n'a pas suivi la procédure du règlement intérieur, elle n'est pas opposable, et la sanction prononcée sur son fondement est fragile.

La procédure, telle qu'elle est écrite en septembre 2026

L'article L1321-4 enchaîne quatre étapes. Le règlement intérieur, donc la charte, ne peut être introduit qu'après avoir été soumis à l'avis du CSE. Il est communiqué à l'inspecteur du travail, accompagné de cet avis, en même temps qu'il fait l'objet des mesures de publicité. Il indique sa date d'entrée en vigueur, qui doit être postérieure d'un mois à l'accomplissement de ces formalités. Et les mêmes règles s'appliquent à toute modification ou retrait de clause, ce qui vaut pour l'ajout d'un paragraphe sur l'IA générative dans une charte existante. La publicité, elle, est fixée par l'article R1321-1 : le texte est porté, par tout moyen, à la connaissance des personnes ayant accès aux lieux de travail ou aux locaux où se fait l'embauche.

Un détail que la plupart des modèles en circulation ont raté : la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique a réécrit cet article. La version en vigueur depuis le 28 mai 2026 ne parle plus que de formalités de publicité, là où le texte applicable depuis 2018 visait les formalités de dépôt et de publicité. Le dépôt au greffe du conseil de prud'hommes, lui, figure encore dans la partie réglementaire (article R1321-2) à la date où j'écris. Si votre charte est en cours d'adoption, faites vérifier par votre conseil si le décret d'application a suivi, plutôt que de recopier la procédure d'un modèle daté.

La procédure ne dit rien du fond, et le fond est encadré lui aussi. L'article L1321-3 interdit au règlement intérieur, donc à la charte, les restrictions aux droits des personnes et aux libertés qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. C'est la même formule que l'article L1121-1, qui vaut pour toute décision de l'employeur. En pratique, une clause qui autorise l'employeur à lire toute correspondance, ou qui impose une webcam allumée en télétravail, ne survit pas à ce filtre, charte annexée ou pas.

Fichiers personnels et surveillance : ce que les juges ont fixé

La charte n'invente aucun droit de contrôle : elle organise celui que la loi reconnaît à l'employeur, dans les limites posées par la jurisprudence. Ces limites sont stables depuis une quinzaine d'années, et elles tiennent en une présomption et une exception. La présomption : tout ce que le salarié produit avec l'outil de l'entreprise est professionnel. L'exception : ce qu'il a explicitement marqué comme personnel relève de sa vie privée, et l'employeur n'y touche qu'en sa présence ou après l'avoir appelé.

La CNIL dit la même chose avec ses mots. Sa fiche sur les outils informatiques au travail rappelle que par défaut les courriels ont un caractère professionnel, qu'un message se protège en indiquant Personnel ou Privé dans son objet ou dans le nom du répertoire, que le classement dans Mes documents ne suffit pas, et que l'employeur accède aux éléments personnels en présence du salarié ou après l'avoir appelé, sauf risque ou événement particulier. Son guide pratique pour les employeurs d'octobre 2005, ancien mais jamais démenti sur ce point, ajoute trois positions utiles à recopier dans une charte : une interdiction générale et absolue de tout usage personnel d'internet est disproportionnée ; un contrôle a posteriori des connexions restitué de façon globale, au niveau de l'organisme ou d'un service déterminé, devrait dans la plupart des cas suffire sans contrôle individualisé ; et une conservation des relevés de l'ordre de six mois devrait suffire à dissuader l'abus. Le même guide demande que l'obligation de confidentialité des administrateurs systèmes soit rappelée dans la charte d'utilisation des outils informatiques annexée au règlement intérieur.

Le contenu d'une charte informatique, section par section

Une bonne charte tient en huit à douze pages. Au-delà, personne ne la lit, et une charte non lue est une charte contestable devant le juge, qui vérifie que le salarié a pu en prendre connaissance. Chaque section ci-dessous répond à un risque qu'on rencontre en test d'intrusion ou en revue de configuration, pas à une case de modèle.

Périmètre, comptes et usages tolérés

Qui est concerné (salariés, intérimaires, stagiaires, prestataires avec un compte), quels moyens sont couverts (postes, mobiles, messagerie, cloud, VPN, comptes SaaS ouverts au nom de l'entreprise), et ce qu'on tolère en usage personnel. La formule qui tient devant un juge est celle de la CNIL : un usage raisonnable qui n'affecte ni la sécurité ni la productivité, avec une liste d'interdits justifiés par la sécurité (installer un logiciel non validé, contourner le filtrage, brancher un support inconnu). C'est aussi ici qu'on nomme le shadow IT : ouvrir un compte SaaS avec l'adresse professionnelle sans le déclarer engage l'entreprise, et une charte qui le dit permet ensuite de retrouver les actifs exposés que personne ne gère sans passer pour un inquisiteur.

Mots de passe et authentification multifacteur

La section la plus recopiée et la plus obsolète. Une charte de 2018 impose douze caractères et un changement trimestriel ; une charte de 2026 impose un gestionnaire de mots de passe, un secret unique par service, et le second facteur sur tout ce qui est exposé sur internet. La directive NIS2 le formule à l'article 21, paragraphe 2, point j) : l'utilisation de solutions d'authentification à plusieurs facteurs ou d'authentification continue. Le texte de la charte doit aussi dire ce qu'on fait quand on reçoit une demande de validation qu'on n'a pas déclenchée, parce que c'est ainsi qu'on contourne la MFA par fatigue de notifications. Et elle doit interdire de coller un secret dans un ticket, un dépôt de code ou un canal de discussion : la fuite de secrets commence presque toujours par un collaborateur pressé, pas par un attaquant.

Équipements personnels et télétravail

Depuis l'arrêt du 12 février 2013, une clé USB personnelle branchée sur un poste professionnel est présumée professionnelle. La charte doit tirer les conséquences de cette logique pour tout le BYOD, dans les deux sens. Côté employeur, la CNIL rappelle dans sa fiche sur les bonnes pratiques du BYOD qu'il reste responsable de la sécurité des données de l'entreprise, y compris sur des terminaux dont il n'a pas la maîtrise physique, d'où le cloisonnement de la partie professionnelle, l'authentification robuste à distance et le chiffrement des flux. Côté salarié, l'employeur ne peut pas accéder aux éléments de vie privée stockés dans l'espace personnel de l'équipement, ni effacer à distance l'ensemble du terminal : seule la partie dédiée aux ressources de l'entreprise peut l'être. Le télétravail ajoute les règles de lieu (réseau domestique, écran dans un train, impression à la maison) et la limite du contrôle : pas de capture d'écran permanente, pas de webcam continue, pas d'enregistreur de frappe. Ce sont des mesures que le filtre de proportionnalité de l'article L1321-3 écarte d'office.

IA générative et shadow AI

La section qui manque à la plupart des chartes en circulation. Le risque n'est pas l'outil, c'est ce qu'on y colle : un extrait de code avec une clé d'API dedans, un contrat client pour le résumer, une base de prospects pour la nettoyer. L'ANSSI a publié le 29 avril 2024 ses recommandations de sécurité pour un système d'IA générative, centrées sur l'architecture, mais le premier étage se joue dans la charte. Elle doit nommer les outils approuvés et le compte à utiliser, lister les catégories de données interdites dans un prompt (code, secrets, données personnelles, documents sous NDA), et prévoir une procédure de demande pour un nouvel usage. Une interdiction sèche déplace simplement l'usage vers le téléphone personnel, et c'est ce que j'appelle le shadow AI, l'IA non autorisée qu'il faut d'abord inventorier avant de la réglementer.

Journalisation, contrôle et accès des administrateurs

C'est la section qui porte la valeur probatoire de la charte. Elle décrit ce qui est journalisé (connexions, accès aux applications, trafic sortant, messagerie), la finalité (sécurité, fonctionnement du réseau, preuve en cas d'incident), la durée de conservation, et les conditions d'accès individualisé. Elle dit aussi ce que les administrateurs peuvent voir dans l'exercice de leurs fonctions, et leur obligation de ne rien en divulguer ni en exploiter à d'autres fins. Un contrôle nominatif déclenché sur soupçon doit être décrit comme une exception, avec qui le décide. Si cette section ne tient pas en une page claire, le dispositif n'est pas proportionné.

Incidents et sanctions

On y écrit deux procédures, et chacune doit tenir en un paragraphe. La première dit à qui signaler un comportement anormal, un mail suspect, un support perdu, dans quel délai, et promet qu'un signalement honnête ne sera pas sanctionné : un salarié qui a cliqué et qui se tait parce qu'il a peur fait perdre les heures qui comptent. La seconde renvoie à l'échelle des sanctions du règlement intérieur, sans en inventer une nouvelle, et rappelle que l'usage abusif peut aussi engager la responsabilité pénale du salarié en dehors de l'entreprise.

Charte informatique et NIS2 : le maillon formation

La directive (UE) 2022/2555 ne prononce jamais le mot charte. Cette directive NIS2 exige pourtant, à son article 21, paragraphe 2, que les mesures de gestion des risques comprennent au moins, au point g), les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité, et au point i), la sécurité des ressources humaines et des politiques de contrôle d'accès. Son article 20, paragraphe 2, oblige les membres des organes de direction à suivre une formation et encourage les entités à en offrir régulièrement une similaire à leur personnel. Une charte à jour, adoptée en bonne forme et accompagnée d'une session de sensibilisation tracée, est la preuve documentaire la plus directe de ces deux exigences. Le reste de la directive NIS2, ses obligations et son calendrier ne se prouve pas avec du papier.

Côté français, au moment de la rédaction (septembre 2026), le portail NIS2 de l'ANSSI indique que la transposition est en cours et que l'agence a rendu publique une version de travail du Référentiel Cyber France (ReCyF), destiné à devenir le socle de la réglementation. Je ne cite donc aucun numéro d'objectif : tant que le référentiel est une version de travail, la numérotation peut bouger. Ce qui ne bougera pas, c'est l'esprit du point g) : des règles de base écrites, connues du personnel, et une formation qui laisse une trace. J'ai déroulé le référentiel dans l'article sur le ReCyF, le référentiel de l'ANSSI pour NIS2. Si vous voulez savoir si vous êtes concerné avant d'ouvrir le chantier, le diagnostic NIS2 en ligne prend dix minutes.

Exemple de plan de charte informatique

Le plan ci-dessous est celui que je recommande. Il ne remplace ni la relecture par un avocat en droit social, ni le passage devant le CSE. La colonne de droite indique le point que le juge, la CNIL ou l'auditeur regardera en premier sur chaque section.

Les chartes qui circulent, modèles de fédérations professionnelles comme textes publiés par des collectivités, se cassent presque toujours aux mêmes endroits, et ce sont les premiers à regarder avant un volet technique d'audit NIS2. La charte est signée à l'embauche mais n'a jamais été annexée au règlement intérieur, donc les sanctions qu'elle prévoit ne reposent sur rien. Elle interdit tout usage personnel, ce que la CNIL qualifie de disproportionné depuis 2005 et que l'arrêt Nikon rend inopérant pour la lecture des messages. Et elle décrit une journalisation que personne n'a vérifiée : la charte annonce six mois de conservation, le proxy garde deux ans, et le jour où l'employeur veut produire un relevé, c'est le relevé qui devient le problème. Une charte se rédige avec le RSSI, ou avec la personne qui en tient le rôle, parce que la partie technique doit décrire ce qui existe, pas ce qu'on aimerait.

À retenir

• Une charte informatique n'est obligatoire nulle part, mais elle est le moyen de satisfaire trois obligations du code du travail : information préalable (L1222-4), consultation du CSE sur les moyens de contrôle (L2312-38) et règlement intérieur à partir de cinquante salariés (L1311-2).
• Elle n'est opposable qu'annexée au règlement intérieur, avec avis du CSE, communication à l'inspecteur du travail, publicité et un mois de délai (L1321-4). La loi du 26 mai 2026 a retouché ce texte : ne recopiez pas la procédure d'un modèle ancien.
• Les fichiers et messages produits avec l'outil professionnel sont présumés professionnels (Cass. soc. 18 octobre 2006) ; ceux marqués Personnel ou Privé restent protégés par l'arrêt Nikon, même si la charte interdit tout usage personnel.
• Surveiller est admis, surveiller sans l'avoir écrit ne l'est pas : le Conseil d'État a validé les indicateurs d'Amazon et maintenu 15 millions d'euros pour l'information et la conservation.
• Les sections qui manquent le plus souvent sont la MFA, le BYOD, le télétravail et l'IA générative. Ce sont aussi celles que NIS2 vise à l'article 21, paragraphe 2, points g), i) et j).

Vous avez une charte à écrire, ou une charte de 2017 à remettre d'équerre avant un audit ? own2pwn ne rédige pas le volet droit du travail, c'est le métier de votre conseil. En revanche, la partie technique (authentification, journalisation réelle, usages IA, ce qu'un attaquant exploite dans une règle mal écrite) se relit en une demi-journée. Écrivez-moi via la page contact, ou regardez ce que couvre le volet technique d'un audit NIS2.

Questions fréquentes sur la charte informatique