La charte informatique est un document interne qui formalise les règles d’utilisation des outils numériques mis à disposition par l’entreprise. Elle a plusieurs objectifs :

• Encadrer les usages professionnels et personnels du matériel et des services numériques
• Renforcer la cybersécurité
• Prévenir les comportements à risque
• Se mettre en conformité avec le droit du travail et le RGPD

Ce document doit être clair, accessible à tous, et adapté au contexte de l’entreprise. Voici les éléments qu’elle doit impérativement contenir pour être conforme et applicable.

Champ d’application de la charte

Dès l’introduction, il est important de cadrer à qui et à quoi s’applique la charte. Il est par conséquent important de définir clairement :

• Les utilisateurs concernés : salariés, alternants, intérimaires, prestataires externes, stagiaires
• Le périmètre technique : postes informatiques, téléphones, tablettes, imprimantes, logiciels, messagerie, intranet, VPN…
• Les usages visés : accès à internet, envoi d’emails, stockage de fichiers, visioconférences…

Conditions d’usage des outils numériques

Cette section détaille les règles d’utilisation des ressources informatiques, en distinguant les usages autorisés des usages interdits.

Usage professionnel

L’utilisateur doit :

• Se limiter aux tâches en lien avec son activité professionnelle
• Respecter les règles internes (procédures, confidentialité…)
• Utiliser les logiciels et services autorisés par la direction informatique

Usage personnel

Trois approches possibles :

• Interdiction totale de l’usage privée
• Tolérance d’un usage personnel « raisonnable » sans impact sur l’activité et la sécurité
• Encadrement spécifique avec des horaires, des limites ou des services autorisés

Comportements interdits

La charte doit mentionner explicitement certains interdits, par exemple :

• Installer des logiciels sans autorisation
• Télécharger du contenu illégal
• Accéder à des sites inappropriés (pornographie, jeux d’argent…)
• Utiliser les équipements de l’entreprise à des fins commerciales personnelles
• Partager ses identifiants avec un tiers

Sécurité informatique et bonnes pratiques

La protection du système d’information passe par des règles simples, que tous les utilisateurs doivent suivre.

Exemples de bonnes pratiques à formaliser :

• Choisir un mot de passe robuste et le renouveler régulièrement
• Verrouiller sa session en cas d’absence
• Ne jamais communiquer ses identifiants (ni par mail, ni par téléphone)
• Ne pas brancher de périphériques non autorisés (clé USB, disques durs externes…)
• Signaler immédiatement tout incident ou comportement suspect
• Ne pas désactiver les antivirus, firewalls ou outils de protection installés

Cette section peut également inclure des règles spécifiques au télétravail :

• Utilisation obligatoire d’un VPN
• Interdiction d’utiliser des ordinateurs personnels non sécurisés
• Respect de la confidentialité dans un environnement partagé

Protection des données personnelles

Le respect des obligations liées au RGPD doit apparaître clairement dans la charte.

A préciser :

• Les traitements de données doivent être réalisés dans le cadre strict des missions professionnelles
• L’accès aux données personnelles (clients, salariés, partenaires) doit être limité aux seules personnes habilitées
• Les salariés doivent s’abstenir de transférer des données sensibles sur des outils non sécurisés (clé USB, cloud personnel, messagerie externe)
• Toute violation de données (perte, vol, accès non autorisé) doit être signalée immédiatement au DPO ou au référent sécurité

Astuce : il peut être utile d’indiquer où trouver les mentions d’information internes ou le registre des traitements

Contrôle, traçabilité et confidentialité

L’entreprise peut surveiller l’utilisation de ses ressources numériques, mais dans un cadre strict.

La charte doit préciser :

• Les types de contrôle mis en place : journalisation (logs), filtrage d’URL, analyse des connexions, sauvegarde automatique…
• Les finalités de ces contrôles : sécurité du SI, continuité de service, détection d’abus
• Le respect de la vie privée : les messages identifiés comme « personnels » ne peuvent être lus que dans des cas exceptionnels, définis dans la jurisprudence
• La base légale des dispositifs de contrôle : intérêt légitime de l’entreprise, obligation de sécurité…
• L’information préalable des salariés (via la charte et/ou une note d’information)

Sanctions en cas de non-respect

Pour être dissuasive, la charte doit clairement indiquer les conséquences possibles en cas de manquement :

Exemples de sanctions prévues :

• Avertissement écrit
• Blâme
• Mise à pied
• Licenciement en cas de faute grave (ex : vol de données, accès illégal à des contenus, divulgation d’informations confidentielles…)
• Dépôt de plainte si des infractions pénales sont constatées

L’employeur doit cependant respecter les règles du droit disciplinaire (proportionnalité, contradictoire, délai).

Engagement et validation de la charte

La charte informatique doit formellement être portée à la connaissance de chaque utilisateur

Différents moyens possibles :

• Signature papier à l’embauche
• Intégration dans le règlement intérieur
• Remise par email ou dans un livret d’accueil
• Acceptation électronique lors de la première connexion à un service numérique
• Rappel régulier en cas de mise à jour

Il est recommandé de conserver une preuve de l’acceptation (signature ou horodatage numérique).

Mise à jour et évolution du document

La charte doit pouvoir évoluer en fonction des usages, des technologies (comme par exemple les IA) et des obligations règlementaires.

Prévoir dans la charte :

• La possibilité pour l’employeur de modifier le document
• La procédure de mise à jour (information préalable, consultation des IRP si nécessaire)
• L’obligation pour les utilisateurs de prendre connaissance des nouvelles versions

Bonnes pratiques complémentaires

• Eviter les formules vagues : privilégier des règles claires, compréhensibles et applicables
• Adapter le ton et le niveau de détail : une PME n’aura pas les mêmes besoins qu’un grand groupe
• Prévoir des annexes : glossaire, exemples de mot de passe robustes, procédure de signalement d’incident…
• Impliquer les parties prenantes : direction IT, Ressources Humaines, juridique, DPO, CSE
• Accompagner la charte d’actions de sensibilisation : formations, e-learning, fiches pratiques

En conclusion, la charte informatique est un outil clé pour prévenir les dérives, encadrer les usages et protéger le système d’information. Sa rédaction ne doit pas être purement juridique : elle doit être pensée comme un guide opérationnel pour les utilisateurs, en lien direct avec les enjeux concrets de l’entreprise.