La charte informatique dit à chacun ce qu'il peut faire, ne pas faire, et ce que l'entreprise contrôle. Elle n'a de valeur que si elle est adoptée dans les formes et loyale : annexée au règlement intérieur après avis du CSE, portée à la connaissance des salariés, cohérente avec le RGPD. Cette page rassemble ce que disent les textes officiels, et décrit l'atelier en libre-service qui vous en produira une base de travail à votre nom.
Un document court en apparence, qui porte en réalité quatre fonctions distinctes. Les confondre est la première cause de chartes inutiles.
La charte dit comment utiliser le poste de travail, les équipements nomades, la messagerie, l'accès à Internet, le stockage, la téléphonie et, le cas échéant, les appareils personnels. C'est la liste des usages permis, tolérés et interdits. La CNIL recommande expressément de « rédiger une charte informatique et lui donner une force contraignante ».
Le Code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance. La charte est l'un des moyens, cités par la CNIL, d'informer les salariés des dispositifs de contrôle : filtrage, traçabilité, journalisation, gestion à distance des postes.
Une règle qui n'a pas été adoptée dans les formes risque de ne pas pouvoir fonder une sanction. La CNIL range parmi les erreurs à éviter le fait de « ne pas donner de force contraignante à la charte ou ne pas l'appliquer ». L'annexion au règlement intérieur, dont l'introduction suppose l'avis préalable du comité social et économique, est la voie que la CNIL cite en exemple.
La politique de sécurité (PSSI) s'adresse aux responsables ; la charte s'adresse à chaque utilisateur. Signaler un incident, ne jamais communiquer son mot de passe, verrouiller son poste en quittant son bureau, ne pas installer de logiciel sans autorisation : ce sont les règles de sécurité que la CNIL recommande d'y faire figurer.
Les défauts ci-dessous ne sont pas des statistiques : ce sont les écueils que les textes officiels eux-mêmes désignent, et que l'atelier est conçu pour éviter.
Un modèle copié d'Internet et envoyé par courriel n'a pas suivi la procédure du règlement intérieur : pas d'avis du CSE, pas de communication à l'inspection du travail, pas de formalités de publicité. Si l'entreprise entend s'en prévaloir comme d'un règlement intérieur, ces étapes ne sont pas facultatives.
Le Code du travail pose que nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Le règlement intérieur ne peut pas davantage contenir de telles restrictions. Une interdiction absolue de tout usage personnel, par exemple, se heurte à cette exigence de proportionnalité.
Filtrage web, journaux de connexion, outils de gestion de flotte : si la charte ne les décrit pas et si le salarié n'en a pas été informé, l'usage de ces informations à son encontre peut être contesté. La CNIL rappelle aussi que chaque salarié doit connaître les finalités, la base légale, les destinataires et la durée de conservation de ces traitements.
Télétravail, équipements personnels, outils d'IA générative accessibles depuis un navigateur : une charte rédigée avant ces usages ne les couvre pas. Or la modification d'une clause du règlement intérieur suit la même procédure que son introduction. Prévoir ces sujets dès la rédaction évite des révisions successives.
La charte promet des règles que personne n'applique, ou ignore des mesures pourtant en place. La CNIL invite à tenir compte des pratiques réelles des utilisateurs et à les accompagner. La charte doit refléter la PSSI et l'inventaire des outils effectivement déployés.
Les administrateurs disposent de droits étendus et voient des données que les autres utilisateurs ne voient pas. La CNIL recommande une charte spécifique pour les administrateurs, avec des engagements de confidentialité adaptés à ces privilèges.
La CNIL propose un contenu minimal en cinq volets. Nous les reprenons tels quels, puis nous y ajoutons les sujets que les usages actuels rendent incontournables, chacun rattaché à sa source.
Rappel des règles de protection des données et des sanctions encourues en cas de non-respect.
Qui est concerné, comment interviennent les équipes informatiques, quelles règles de sécurité s'imposent.
Ce qui est permis, toléré ou interdit pour chaque moyen mis à disposition.
Ce que l'entreprise surveille, comment et pourquoi : le volet qui conditionne la loyauté des contrôles.
Ce qui arrive en cas de non-respect de la charte, en cohérence avec le règlement intérieur.
Ajouts proposés par l'atelier, chacun sourcé dans les sections suivantes.
Source des cinq volets : CNIL, Sécurité : définir un cadre pour les utilisateurs (guide de la sécurité des données personnelles). La CNIL recommande en outre une charte spécifique pour les administrateurs et un engagement de confidentialité pour les personnes qui manipulent des données personnelles.
Lorsque la charte est annexée au règlement intérieur, elle en suit le régime. Voici les étapes posées par le Code du travail. Les références renvoient aux articles sur Légifrance, à relire dans leur version en vigueur au jour de votre adoption.
Le règlement intérieur est obligatoire dans les entreprises ou établissements d'au moins cinquante salariés, l'obligation s'appliquant au terme d'un délai de douze mois à compter de la date à laquelle le seuil a été atteint. Son contenu est encadré : mesures d'application de la réglementation en santé et sécurité, règles générales et permanentes relatives à la discipline, nature et échelle des sanctions, droits de la défense des salariés.
Le règlement intérieur, et donc la charte qui lui est annexée, ne peut contenir de dispositions apportant aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. Chaque interdiction doit donc pouvoir être motivée.
Le règlement intérieur ne peut être introduit qu'après avoir été soumis à l'avis du CSE. Lorsque la charte décrit des moyens ou techniques permettant un contrôle de l'activité des salariés, le Code du travail prévoit en outre, dans les entreprises d'au moins cinquante salariés, que le CSE est informé et consulté préalablement à la décision de les mettre en œuvre.
En même temps qu'il fait l'objet des mesures de publicité, le règlement intérieur, accompagné de l'avis du CSE, est communiqué à l'inspecteur du travail. Les modalités de publicité et de dépôt sont précisées par la partie réglementaire du code.
Le règlement intérieur indique sa date d'entrée en vigueur, qui doit être postérieure d'un mois à l'accomplissement des formalités de publicité. Les mêmes règles s'appliquent à toute modification ou retrait de clauses : une mise à jour de la charte annexée suit la même procédure.
Pour les traitements de contrôle, la CNIL indique que chaque employé doit être informé notamment des finalités, de la base légale, des destinataires, de la durée de conservation et de ses droits, dont celui de saisir la CNIL. Cette information peut passer par une charte annexée ou non au règlement intérieur, une note individuelle ou une note de service. Remettre la charte contre émargement à l'embauche et à chaque révision permet de prouver cette information.
CNIL, contrôle de l'utilisation d'Internet et de la messagerie · RGPD, art. 13
Le règlement intérieur n'y est pas obligatoire au titre de l'article L1311-2. L'obligation d'information préalable des salariés sur les dispositifs de contrôle (article L1222-4) et les règles du RGPD s'appliquent en revanche quelle que soit la taille. Le Code du travail prévoit par ailleurs que les notes de service portant prescriptions générales et permanentes dans les matières du règlement intérieur sont considérées comme des adjonctions à celui-ci et suivent la même procédure (article L1321-5).
La manière de donner une force contraignante à la charte dans une petite structure (règlement intérieur volontaire, note de service, signature individuelle, clause du contrat de travail) dépend de votre situation : c'est précisément le point à faire trancher par votre conseil.
Les dispositifs que décrit le volet « administration du système » de la charte sont des traitements de données personnelles. La charte ne les rend pas licites à elle seule : elle est l'un des maillons de leur conformité.
Filtrage, journaux de connexion, outils de gestion des postes doivent reposer sur une finalité déterminée et une base légale (articles 5 et 6 du RGPD) et être inscrits au registre des activités de traitement (article 30). La CNIL précise que les systèmes de contrôle des outils informatiques « doivent être inscrits au registre des activités de traitement » et que le délégué à la protection des données, s'il est désigné, doit être associé à leur mise en œuvre.
Dans sa recommandation relative aux mesures de journalisation (délibération n° 2021-122 du 14 octobre 2021), la CNIL préconise une conservation comprise entre six mois et un an dans la plupart des cas, une durée plus longue devant être justifiée et documentée. Sa fiche plus ancienne sur le contrôle d'Internet et de la messagerie évoquait six mois pour les journaux de connexion : l'atelier vous fait choisir et motiver la durée.
Proportionnalité des restrictions (L1121-1), information préalable du salarié sur tout dispositif collectant des informations le concernant (L1222-4), information et consultation préalable du CSE sur les moyens de contrôle de l'activité dans les entreprises d'au moins cinquante salariés (L2312-38). Un contrôle qui manque l'un de ces trois appuis est fragile.
Selon la CNIL, l'enregistrement des frappes au clavier (keylogger) est illicite, sauf circonstance exceptionnelle liée à un fort impératif de sécurité. Elle rappelle aussi que l'employeur ne peut pas lire librement les messages identifiés comme personnels, par exemple par la mention « Personnel » ou « Privé » dans l'objet ou leur rangement dans un répertoire ainsi nommé.
CNIL, contrôle de l'utilisation d'Internet et de la messagerie
Le RGPD permet aux États membres de prévoir des règles plus spécifiques pour le traitement des données des salariés dans le cadre des relations de travail (article 88). En France, ce sont notamment les articles du Code du travail cités ci-dessus qui s'y ajoutent.
La PSSI fixe les objectifs et les mesures de sécurité de l'organisation. La charte en extrait ce qui engage chaque utilisateur, dans un langage qu'il peut appliquer sans être informaticien.
Pour les entités essentielles et importantes, la directive NIS2 range parmi les mesures de gestion des risques les « pratiques de base en matière de cyberhygiène et la formation à la cybersécurité ». La charte, accompagnée d'une sensibilisation, en est la traduction côté utilisateurs. NIS2 ne prescrit pas pour autant un modèle de charte.
L'annexe A de la norme ISO/IEC 27001:2022 comprend une mesure relative à l'utilisation correcte des informations et autres actifs associés, dont les règles doivent être identifiées, documentées et mises en œuvre. Une charte informatique est la forme la plus courante de ce document.
L'article 32 du RGPD impose des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque. Les règles d'usage imposées aux personnes qui accèdent aux données en font partie, et la CNIL range la charte dans les mesures de son guide de sécurité.
La charte peut précéder la PSSI : elle formalise déjà les règles essentielles. L'atelier signale alors les points où une décision de sécurité reste à prendre (sauvegardes, gestion des accès, réponse aux incidents) au lieu de les inventer. Pour la PSSI elle-même, voir notre porte dédiée PSSI Express.
Les trois sujets que les chartes anciennes ignorent, et sur lesquels les autorités ont publié des recommandations précises.
Le télétravail est mis en place dans le cadre d'un accord collectif ou, à défaut, d'une charte élaborée par l'employeur après avis du CSE, s'il existe. Cette charte de télétravail doit notamment préciser les conditions de passage en télétravail et de retour, les modalités de contrôle du temps de travail ou de régulation de la charge, et les plages horaires durant lesquelles l'employeur peut habituellement contacter le salarié.
Côté sécurité, la CNIL recommande une charte de sécurité dans le cadre du télétravail ou, à défaut, un socle de règles minimales, communiqué aux salariés conformément au règlement intérieur, et des postes équipés au minimum d'un pare-feu, d'un antivirus et d'un outil de blocage de l'accès aux sites malveillants.
Pour la CNIL, autoriser ou non l'usage d'outils personnels relève d'abord d'un choix de l'employeur. S'il l'autorise, il doit assurer une séparation entre activités professionnelles et privées : cloisonnement de l'appareil, authentification forte et chiffrement des flux pour l'accès distant, procédure en cas de panne ou de perte. L'effacement à distance ne peut viser que la partie professionnelle, et l'employeur ne peut ni consulter les éléments privés ni entraver l'usage privé de l'appareil.
Cybermalveillance.gouv.fr publie une fiche de bonnes pratiques pour séparer les usages professionnels et personnels, réutilisable pour la sensibilisation.
Dans son guide « Recommandations de sécurité pour un système d'IA générative » (ANSSI-PA-102, 29 avril 2024), l'ANSSI indique que l'envoi de données sensibles à des outils grand public sur Internet est à proscrire, et que le risque de fuite de données doit être pris en compte quel que soit le cas d'usage. La charte est le bon endroit pour dire quels outils sont autorisés, avec quelles données, et qui valide un usage nouveau.
Le règlement européen sur l'IA demande par ailleurs aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour assurer un niveau suffisant de maîtrise de l'IA chez leur personnel (article 4). Et toute donnée personnelle saisie dans un outil d'IA reste soumise au RGPD.
La CNIL indique que les identifiants et mots de passe sont confidentiels, mais que si un salarié absent détient sur son poste des informations indispensables à la poursuite de l'activité, l'employeur peut exiger la communication de ses codes lorsque l'administrateur n'est pas en mesure de fournir l'accès. Prévoir ce cas dans la charte, ainsi que la restitution du matériel et le sort des données au départ, évite l'improvisation.
Des documents directement utilisables pour la phase de validation et d'adoption, et non un modèle générique à compléter.
Le document principal, à votre nom, structuré selon les cinq volets de la CNIL.
Annexe pour les personnes disposant de droits étendus, comme le recommande la CNIL.
Générées seulement si le test indique qu'elles vous concernent.
Les étapes du Code du travail appliquées à votre cas.
Pour chaque dispositif décrit dans la charte, les éléments utiles à votre registre.
Ce que l'atelier n'a pas pu trancher, dit clairement.
Trois niveaux, selon que vous souhaitez avancer seul ou être accompagné. Les conditions seront publiées à l'ouverture du service.
Savoir de quoi vous avez besoin
Produire votre charte en libre-service
Avec un consultant partenaire
Quelle que soit la formule, le document reste une base de travail et ne constitue pas un avis juridique.
Toutes les affirmations de cette page renvoient à l'une de ces sources. Relisez-les dans leur version en vigueur au moment où vous adoptez votre charte.
L1311-2 règlement intérieur obligatoire · L1321-1 contenu · L1321-1 à L1321-6 conditions de validité · L1321-4 avis du CSE, inspection, entrée en vigueur · L1321-5 notes de service · L1222-4 information préalable · L1222-9 télétravail · L2312-38 consultation du CSE sur les moyens de contrôle · L1121-1 proportionnalité
RGPD, règlement (UE) 2016/679 (art. 5, 6, 13, 30, 32, 88) · NIS2, directive (UE) 2022/2555 (art. 21) · Règlement IA, (UE) 2024/1689 (art. 4)
ANSSI, recommandations de sécurité pour un système d'IA générative · Cybermalveillance.gouv.fr, séparer ses usages pro-perso · Kit de sensibilisation · ISO/IEC 27001:2022
Sources consultées le 13 octobre 2026.
Les réponses renvoient aux sources officielles. Elles informent, elles ne remplacent pas l'avis de votre conseil.
Le test et l'atelier en ligne ouvriront prochainement. En attendant, toutes les sources de cette page sont libres d'accès.
Une question ? contact@syaga.eu
Comment ça marche
Un parcours en libre-service, en quatre étapes. Vous avancez à votre rythme ; l'accompagnement humain n'intervient que si vous le souhaitez.
Suis-je concerné, de quoi ai-je besoin ?
Quelques questions sur votre structure : effectif et règlement intérieur existant, présence d'un CSE, télétravail, équipements personnels, outils d'IA en usage, dispositifs de contrôle en place. Le test vous dit quelles parties de la charte vous concernent et quelle procédure d'adoption s'applique à votre cas.
Vous répondez librement à des questions guidées
Pour chaque volet, l'atelier vous pose les questions qu'une charte doit trancher : usage personnel toléré ou non, outils autorisés, durée de conservation des journaux, règles d'accès distant, outils d'IA permis et données interdites. Chaque question est accompagnée de la source officielle qui la justifie. Vous répondez avec vos mots ; rien n'est décidé à votre place.
Une charte générée automatiquement à votre nom
Le document est produit à partir de vos réponses, au nom de votre entreprise, avec la liste des sources citées et la liste des points laissés ouverts. C'est une base de travail à faire valider par votre conseil (avocat en droit social, juriste, expert-comptable selon le cas) avant son adoption.
Un accompagnement humain par un consultant partenaire
Si vous préférez être accompagné pour la relecture, la présentation au CSE ou la sensibilisation des équipes, un consultant partenaire peut prendre le relais. Cette étape est facultative.