Charte informatique : contenu, valeur juridique et différence avec la PSSI

La charte informatique est le document qui fixe, pour les utilisateurs, les règles d'usage des outils numériques de l'organisation : ce qui est permis, ce qui est interdit, ce que l'employeur contrôle et ce qu'il advient en cas de manquement. Aucun texte ne l'impose, mais sans elle il est difficile de contrôler l'usage des outils dans les règles ou de sanctionner un abus. Pour produire ses effets, elle doit suivre la procédure du règlement intérieur. Cet article détaille son contenu, sa valeur juridique et sa place à côté de la politique de sécurité des systèmes d'information (PSSI).

On parle aussi de charte d'utilisation des moyens informatiques, de charte des systèmes d'information ou de charte utilisateur. Le principe est le même : un texte court, écrit pour des non-spécialistes, qui dit à chacun comment se servir des postes, des téléphones, de la messagerie, des applications et des données de l'organisation.

Elle remplit trois fonctions à la fois :

• Protéger le système d'information : une bonne partie des incidents commence par un geste d'utilisateur (un mot de passe réutilisé, une pièce jointe ouverte, un outil installé sans accord). La charte rend explicites les bons réflexes.
• Fixer les droits et les devoirs : usage personnel toléré ou non, logiciels autorisés, règles en mobilité, conduite à tenir au départ de l'entreprise.
• Informer sur les contrôles : le Code du travail interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été présenté au préalable (article L1222-4). La charte est l'endroit naturel pour décrire les journaux, filtres et outils de supervision en place.

L'ANSSI a publié en 2017 un guide d'élaboration de la charte en huit points clés, destiné aux PME et aux ETI. Elle y présente la charte comme une étape de base pour diffuser une culture de prévention du risque numérique, qui concerne les salariés mais aussi les partenaires et les sous-traitants qui utilisent vos outils.

Il n'existe pas de modèle officiel imposé. Une charte utile couvre en général les rubriques suivantes, à adapter à vos outils et à vos risques :

Évitez de recopier la PSSI ou les procédures d'administration : les utilisateurs n'ont pas à connaître la configuration des pare-feu. Une charte de quelques pages, illustrée d'exemples, se lit ; un document de trente pages, non.

C'est la question qui compte : une charte diffusée par courriel informe, mais elle ne permet pas, à elle seule, de sanctionner un salarié qui ne la respecte pas. Tout tient au lien avec le règlement intérieur.

Le régime du règlement intérieur

Le règlement intérieur est obligatoire dans les entreprises et établissements d'au moins cinquante salariés (article L1311-2). Il fixe notamment les règles générales et permanentes relatives à la discipline, ainsi que la nature et l'échelle des sanctions (article L1321-1). Or le Code du travail assimile à des adjonctions au règlement intérieur les notes de service et tout autre document qui posent des obligations générales et permanentes dans ces matières (article L1321-5). Une charte qui interdit, oblige et renvoie à des sanctions en fait partie : elle suit donc le même régime, et le texte précise que ces documents y restent soumis en toute hypothèse.

La procédure à suivre

Selon l'article L1321-4, dans sa version en vigueur en octobre 2026 :

1. le texte est soumis à l'avis du comité social et économique (CSE) avant d'être introduit ;
2. il est communiqué à l'inspection du travail, accompagné de cet avis, en même temps qu'il est porté à la connaissance des salariés ;
3. il indique sa date d'entrée en vigueur, qui doit suivre d'au moins un mois l'accomplissement des formalités de publicité ;
4. les mêmes règles s'appliquent à chaque modification ou retrait d'une clause.

Si la charte décrit des moyens de contrôle de l'activité des salariés, le CSE des entreprises d'au moins cinquante salariés doit aussi être informé et consulté avant leur mise en œuvre (article L2312-38). Les deux consultations peuvent être menées ensemble.

Et dans les petites structures ?

Sous le seuil de cinquante salariés, le règlement intérieur n'est pas obligatoire. La charte est alors en général remise à chaque utilisateur contre signature, ou annexée au contrat de travail. Le guide de l'ANSSI rappelle que, pour être opposable, elle doit être acceptée par les utilisateurs ou annexée au règlement intérieur, après consultation des représentants du personnel. Le montage dépend de votre situation : faites-le valider par un juriste en droit du travail, surtout si vous comptez vous appuyer sur la charte pour sanctionner.

Pour les prestataires et les intérimaires, qui ne sont pas vos salariés, la charte s'impose par le contrat : clause dans le contrat de prestation ou dans le plan d'assurance sécurité, et acceptation individuelle avant l'ouverture des accès.

La charte n'autorise pas tout. Les contrôles qu'elle annonce doivent respecter le principe posé par l'article L1121-1 : une restriction aux droits des salariés doit être justifiée par la tâche à accomplir et proportionnée au but recherché. La CNIL en tire plusieurs règles pratiques dans sa fiche sur les outils informatiques au travail :

• Un usage personnel raisonnable des outils est toléré tant qu'il ne nuit ni à la sécurité ni à la productivité. C'est à l'employeur d'en fixer les limites et de les faire connaître.
• Les messages sont présumés professionnels, mais l'employeur ne peut pas ouvrir librement ceux qu'un salarié a identifiés comme personnels (par exemple « Personnel » ou « Privé » dans l'objet ou un dossier ainsi nommé), même s'il a interdit l'usage personnel. La charte doit dire comment les identifier.
• Certains dispositifs sont excessifs : recevoir automatiquement copie de tous les messages des salariés, ou installer un enregistreur de frappe sans impératif de sécurité exceptionnel.
• L'information est préalable : les salariés doivent connaître la finalité du dispositif, sa base légale, les destinataires des données, leur durée de conservation et leurs droits. La CNIL admet que cette information passe par une charte, annexée ou non au règlement intérieur, par une note de service ou par une note individuelle.

Ces contrôles sont des traitements de données personnelles : ils figurent au registre des traitements et, selon leur ampleur, peuvent appeler une analyse d'impact relative à la protection des données (AIPD). Associez le délégué à la protection des données (DPO) dès la rédaction. La page de la CNIL sur le contrôle de l'activité des personnes employées donne d'autres exemples de pratiques admises ou non.

Les deux documents sont souvent confondus. Ils sont complémentaires : la PSSI fixe le cap pour toute l'organisation, la charte en tire les règles qui concernent chaque utilisateur.

Dans un système de management de la sécurité de l'information (SMSI) selon ISO 27001, la charte sert de preuve pour la mesure sur l'utilisation correcte des actifs, et sa diffusion participe à la sensibilisation exigée par la norme. Notre article sur la PSSI détaille le plan type et la méthode de rédaction de la politique elle-même.