Charte informatique : modèle gratuit pour PME

Dans les PME que nous accompagnons, les incidents commencent rarement par une attaque sophistiquée. Le plus souvent, quelqu'un a prêté son mot de passe à un collègue, ouvert une pièce jointe un peu trop vite ou envoyé des fichiers clients sur sa messagerie personnelle pour travailler le week-end. Personne n'avait dit que c'était interdit.

C'est exactement le rôle de la charte informatique : poser par écrit les règles d'utilisation des outils de l'entreprise, pour que chacun les connaisse et que vous puissiez les faire respecter. Dans cet article, on voit ce qu'elle doit contenir, comment la rendre opposable à vos salariés, et vous trouverez un modèle Word gratuit à adapter.

À quoi sert une charte informatique ?

La charte informatique, qu'on appelle aussi charte d'utilisation du système d'information, est un document interne. Elle explique ce que les salariés peuvent faire, et ne pas faire, avec les ordinateurs, les téléphones, la messagerie, Internet et les données de l'entreprise. Elle indique aussi ce que l'employeur contrôle, et jusqu'où.

Elle a trois utilités. D'abord, elle réduit le risque, parce que des règles claires évitent beaucoup d'erreurs. Ensuite, elle vous protège en cas de litige : sans règle écrite et connue, il est très difficile de sanctionner un abus. Enfin, elle vous permet d'informer les salariés des dispositifs de contrôle, ce que la loi vous impose de toute façon.

Charte informatique et PSSI, ce n'est pas la même chose

On confond souvent les deux. La PSSI est la politique de sécurité de l'entreprise : elle s'adresse à la direction et à ceux qui gèrent l'informatique. La charte, elle, s'adresse à tout le monde et traduit cette politique en consignes concrètes.

Si vous n'avez pas encore de PSSI, ce n'est pas bloquant pour rédiger la charte, mais les deux se complètent bien. Notre guide de la PSSI et notre exemple de PSSI type peuvent vous servir de point de départ.

Ce qu'on doit trouver dans une charte

Une bonne charte est courte et colle à vos outils réels. Inutile de parler de VPN si vous n'en avez pas. Voici les sujets que nous retrouvons dans toutes les chartes qui fonctionnent, et qui sont repris dans notre modèle.

Il faut commencer par dire à qui elle s'applique : salariés, stagiaires, intérimaires, mais aussi prestataires, qui accèdent souvent à vos données sans jamais avoir rien signé. Viennent ensuite les accès : identifiants personnels qu'on ne prête pas, longueur minimale des mots de passe, authentification à deux facteurs, verrouillage du poste quand on s'absente.

La partie sur les équipements précise si un usage personnel est toléré, qui peut installer des logiciels, et ce qu'on fait en cas de perte ou de vol. La partie messagerie est la plus importante pour la sécurité : elle interdit le transfert automatique des mails vers l'extérieur, explique comment identifier un message personnel, et impose de vérifier toute demande inhabituelle par téléphone.

Pensez aussi à Internet et aux réseaux sociaux, au télétravail, à l'usage des ordinateurs personnels et, de plus en plus, aux outils d'intelligence artificielle : un salarié qui colle un contrat client dans un assistant en ligne fait sortir ces données de l'entreprise sans s'en rendre compte. La charte doit enfin dire comment signaler un incident, quels contrôles sont en place, ce qui se passe au départ d'un salarié, et quelles sanctions s'appliquent.

Rendre la charte opposable à vos salariés

Envoyer la charte par mail ne suffit pas. Pour pouvoir sanctionner un salarié qui ne la respecte pas, il faut suivre une procédure, et elle dépend de la taille de l'entreprise.

À partir de 50 salariés, le règlement intérieur est obligatoire. Une charte qui prévoit des règles de discipline et des sanctions en fait partie, et elle est donc en principe annexée au règlement intérieur. Elle suit alors la même procédure que lui. Vous consultez d'abord le CSE, puis vous transmettez la charte à l'inspection du travail avec l'avis du CSE. Vous la déposez ensuite au greffe du conseil de prud'hommes et la portez à la connaissance des salariés. Elle ne peut entrer en vigueur qu'un mois au moins après ces formalités.

En dessous de 50 salariés, il n'y a pas de règlement intérieur obligatoire. On remet alors la charte à chaque salarié contre signature, ou on l'annexe au contrat de travail. S'il existe un CSE, informez-le. Et faites-la signer à chaque nouvel arrivant dès son premier jour : c'est le moment où il est le plus attentif.

Quelle que soit la taille de l'entreprise, gardez une preuve que chaque salarié a reçu la charte. C'est à ça que sert l'accusé de réception à la fin de notre modèle.

Ce que l'employeur peut contrôler

La charte doit aussi informer les salariés des contrôles. Le Code du travail fixe deux principes. Toute restriction aux libertés des salariés doit être justifiée et proportionnée (article L.1121-1). Et un salarié doit être prévenu avant qu'un dispositif collecte des informations le concernant (article L.1222-4).

Concrètement, vous pouvez conserver les journaux de connexion, filtrer les sites web et les mails, installer un antivirus ou un EDR, ou confier la surveillance de votre système d'information à un prestataire, à condition que la charte le mentionne. Les fichiers et les mails présents sur les outils professionnels sont présumés professionnels, donc vous pouvez les consulter. Ceux que le salarié a clairement marqués comme personnels ne doivent en principe être ouverts qu'en sa présence, ou après l'avoir prévenu.

En revanche, une surveillance permanente et disproportionnée, comme l'enregistrement continu de l'écran ou un enregistreur de frappe, est interdite, tout comme un dispositif caché. À partir de 50 salariés, tout nouvel outil de contrôle de l'activité doit en plus être présenté au CSE avant sa mise en place. La CNIL publie des recommandations détaillées sur le sujet.

Les erreurs qu'on voit le plus souvent

La plus fréquente consiste à reprendre la charte de trente pages d'un grand groupe. Personne ne la lit, et la moitié des règles ne correspondent pas à vos outils. Quatre à huit pages suffisent largement.

Interdire tout usage personnel est une autre erreur classique. Ce n'est pas réaliste, et une interdiction totale est difficile à justifier. Il vaut mieux tolérer un usage raisonnable et l'encadrer.

On oublie aussi souvent les prestataires : votre infogérant, votre expert-comptable ou un intérimaire ont accès à vos données. Faites-leur signer la charte, ou intégrez-la à leur contrat.

Enfin, une charte écrite il y a cinq ans ne parle ni de télétravail ni d'intelligence artificielle. Relisez-la une fois par an. Et quand vous la diffusez, prenez une demi-heure pour l'expliquer aux équipes : une règle comprise est beaucoup mieux appliquée qu'une règle simplement envoyée par mail.

Questions fréquentes

La charte informatique est-elle obligatoire ?
Aucun texte ne l'impose en tant que telle. Mais sans elle, vous aurez du mal à sanctionner un abus et à prouver que vos salariés étaient informés des contrôles, ce que le Code du travail exige. Pour une PME, c'est un document peu coûteux qui rend beaucoup de services.

Faut-il faire signer la charte informatique aux salariés ?
Quand la charte est annexée au règlement intérieur, la signature n'est pas toujours indispensable juridiquement, mais elle prouve que le salarié l'a reçue. Dans une entreprise de moins de 50 salariés, c'est le moyen le plus simple de la rendre applicable.

Un salarié peut-il refuser de signer la charte ?
Si la charte a été intégrée au règlement intérieur en suivant la procédure, elle s'applique même sans signature. Dans ce cas, remettez-la en main propre contre décharge pour garder une trace de la date.

À quelle fréquence mettre à jour la charte informatique ?
Une fois par an, et à chaque changement important : nouvel outil, télétravail généralisé, nouveau dispositif de surveillance. Chaque nouvelle version doit être communiquée aux salariés.

Une charte fixe les règles, mais elle ne vous dit pas quand quelqu'un les enfreint ou quand un compte est piraté. Pour aller plus loin, lisez notre guide pour sécuriser Microsoft 365 en 10 réglages, et découvrez notre service MDR 24/7, qui surveille vos postes et vos comptes en continu.