Charte informatique pour PME : modèle et guide de rédaction

Une charte informatique fixe les règles d’usage des outils numériques de l’entreprise : équipements, messagerie, mots de passe, appareils personnels, télétravail, surveillance et sanctions. Le modèle complet est plus bas dans la page (voir le modèle). Pour être opposable aux salariés, la charte est annexée au règlement intérieur et suit sa procédure : avis du CSE, publicité, transmission à l’inspecteur du travail et entrée en vigueur au moins un mois plus tard.

Ce guide détaille les clauses à prévoir, dont les règles pour les appareils personnels et le télétravail, le cadre juridique, la procédure à jour des changements de 2026 et le lien avec votre programme de sensibilisation.

Pourquoi votre PME a besoin d’une charte informatique

La charte protège les deux parties : l’entreprise, face aux risques liés aux usages numériques des salariés, et les salariés, qui savent ce qui est permis et ce qui est contrôlé.

La base légale

L’article L1321-5 du code du travail assimile au règlement intérieur les notes de service et documents qui fixent des obligations générales et permanentes en matière d’hygiène, de sécurité et de discipline. Une charte informatique annexée au règlement intérieur en suit donc le régime et devient opposable aux salariés.

L’article 32 du RGPD demande des mesures techniques et organisationnelles adaptées au risque. La charte en est une : elle informe le personnel de ses obligations et permet de montrer qu’il l’a été.

Pour une entreprise concernée par NIS2, dont la transposition française est en cours, la charte documente une partie des politiques de sécurité attendues et l’obligation de signaler les incidents. Elle complète la formation sans la remplacer.

Ce que l’opposabilité change

Sans charte opposable, l’employeur peut difficilement sanctionner un salarié qui :

installe un logiciel non autorisé qui introduit un logiciel malveillant ;
envoie des données clients depuis sa messagerie personnelle ;
branche un appareil non sécurisé sur le réseau de l’entreprise ;
partage ses identifiants avec un collègue.

On ne reproche pas à un salarié des règles qui ne lui ont pas été communiquées selon la procédure. Après un incident, une charte à jour et diffusée pèse aussi face aux clients, aux assureurs et aux autorités de contrôle.

Les clauses à inclure dans votre charte

Utilisation des équipements professionnels

Définissez le périmètre : postes de travail, ordinateurs portables, smartphones et tablettes professionnels, imprimantes, équipements réseau. Puis fixez les règles :

usage professionnel, avec un usage personnel raisonnable toléré que vous définissez concrètement ;
interdiction de prêter l’équipement à un tiers, famille comprise ;
interdiction de brancher des supports amovibles non autorisés (clés USB, disques externes) ;
signalement immédiat de toute perte, vol ou détérioration ;
accès possible de l’entreprise aux données professionnelles stockées sur ces équipements, dans le respect de la loi.

Messagerie professionnelle

En France, 55 % des attaques significatives passent par le phishing (baromètre CESIN 2026) : cette clause mérite d’être précise.

Interdiction de transmettre des données confidentielles ou personnelles par une messagerie personnelle ou une application de messagerie non approuvée.
Interdiction d’ouvrir les pièces jointes ou de cliquer sur les liens d’un message suspect.
Obligation de signaler tout email suspect par le canal désigné : adresse dédiée ou bouton Signaler de Microsoft 365. Cette clause donne une base formelle au signalement que vos campagnes de simulation de phishing mesurent.
Information des salariés sur les cas où l’employeur peut consulter les emails professionnels (voir le cadre juridique plus bas).

Internet, réseaux sociaux et IA générative

Usages autorisés et interdits : téléchargements, services de streaming, messageries non approuvées.
Interdiction des contenus illicites.
Réseaux sociaux : distinction entre expression personnelle et représentation de l’entreprise, interdiction de divulguer des informations confidentielles.
Outils d’IA générative : quelles données peuvent y être saisies, et lesquelles sont interdites (données clients, données personnelles, informations stratégiques, code sensible).

Mots de passe et authentification

Règles de longueur et de complexité conformes à la politique de l’entreprise et aux recommandations de la CNIL.
Interdiction de partager un mot de passe, y compris avec le service informatique, qui ne le demande jamais.
Interdiction de réutiliser un mot de passe professionnel sur des services personnels.
Authentification multifacteur obligatoire sur les comptes qui la proposent.
Signalement immédiat et changement du mot de passe en cas de doute.

Confidentialité et données sensibles

Niveaux de confidentialité des informations et règles de stockage, de partage et de transmission pour chacun.
Rappel du cadre RGPD : pas de nouveau traitement de données personnelles sans en informer le DPO ou le référent, signalement de toute violation de données.
Confidentialité maintenue après la fin du contrat, dans les limites prévues par celui-ci.

Surveillance et droits des salariés

C’est la clause la plus sensible. L’employeur peut contrôler l’usage des outils, dans des limites fixées par la CNIL et la jurisprudence :

informer les salariés des dispositifs en place (journaux d’accès, filtrage de la messagerie, gestion des terminaux) et de leur finalité ;
rester proportionné : pas de surveillance permanente et intégrale, accès aux contenus personnels strictement encadré ;
rappeler les droits d’accès, de rectification et d’opposition des salariés, et le contact pour les exercer.

Sanctions en cas de manquement

Listez les manquements et les sanctions, en cohérence avec l’échelle disciplinaire du règlement intérieur : rappel à l’ordre pour un usage personnel excessif, avertissement ou mise à pied pour l’installation d’un logiciel non autorisé, licenciement pour faute grave ou lourde pour la divulgation de données confidentielles ou l’introduction délibérée d’un logiciel malveillant. Les faits pénalement répréhensibles peuvent aussi donner lieu à des poursuites.

Appareils personnels (BYOD) : les règles à prévoir

Beaucoup de salariés consultent déjà leur messagerie professionnelle sur leur téléphone personnel. Si la charte se tait, cet usage existe sans règles. Commencez par trancher : le BYOD est-il autorisé, et pour quels usages ? Si vous l’interdisez, écrivez-le. Si vous l’autorisez, la charte (ou une politique BYOD annexée) doit couvrir cinq points.

Les usages autorisés. Messagerie et agenda seulement, ou aussi les applications métier et les fichiers partagés ? Plus le périmètre est large, plus les exigences de sécurité montent.

Les conditions minimales sur l’appareil. Système d’exploitation encore maintenu par le fabricant, correctifs installés dans un délai fixé, stockage chiffré, verrouillage automatique avec code, authentification multifacteur sur tous les comptes de l’entreprise. Un appareil qui ne remplit pas ces conditions n’accède pas aux ressources de l’entreprise.

La séparation des données. Les outils de gestion des appareils mobiles permettent d’isoler l’espace professionnel : profil de travail sur Android, applications gérées sur iOS, avec par exemple un blocage du copier-coller entre la messagerie professionnelle et les applications personnelles. L’employeur gère uniquement cet espace.

L’effacement à distance. Prévoyez l’effacement sélectif des seules données de l’entreprise, en cas de perte, de vol, de compromission ou de départ, décidé par le service informatique. Informez le salarié avant l’inscription de l’appareil de ce que l’outil peut faire. L’effacement complet d’un appareil personnel expose l’entreprise à des recours : réservez-le à des cas prévus explicitement, ou excluez-le.

La fin du contrat. Retrait du profil professionnel, révocation des accès et effacement des données de l’entreprise le jour du départ, avec une trace écrite.

La CNIL rappelle que l’employeur reste responsable de la sécurité des données de l’entreprise, y compris sur un appareil personnel, et que le contrôle doit rester proportionné. En pratique :

L’employeur peut contrôler	L’employeur ne contrôle pas
Les applications professionnelles installées	Les applications personnelles
Le chiffrement et la version du système	Les messages et photos personnels
La conformité des réglages de sécurité	L’historique de navigation personnel
L’effacement des données de l’entreprise	La géolocalisation en dehors du travail

Le téléphone est aussi une porte d’entrée pour le phishing : sur un petit écran, l’adresse réelle d’un lien se vérifie mal. Rappelez dans la charte que les règles de signalement valent aussi sur mobile.

Télétravail : les règles de sécurité à intégrer

L’article L1222-9 du code du travail permet de mettre en place le télétravail par accord collectif ou par une charte élaborée par l’employeur. La charte informatique en couvre le volet sécurité. Le télétravail change trois choses : le réseau échappe à l’entreprise, le salarié travaille seul face à ses messages, et les frontières entre usages professionnels et personnels se brouillent.

Les accès distants. L’accès aux ressources internes passe par le VPN de l’entreprise ou par un accès conditionnel qui vérifie l’identité et l’état de l’appareil. L’authentification multifacteur est obligatoire sur la messagerie et sur tous les accès distants, sans exception.

Le réseau domestique. Box mise à jour, mot de passe d’administration changé, Wi-Fi protégé par un chiffrement récent (WPA2 ou WPA3) et une clé robuste. Les équipements professionnels ne se partagent pas avec le reste du foyer.

Les réseaux publics. Gares, hôtels, cafés : pas d’accès aux ressources de l’entreprise sans VPN actif, de préférence via le partage de connexion du téléphone professionnel.

La confidentialité. Écran verrouillé en cas d’absence, écran non visible des tiers, documents imprimés rangés ou détruits, appels confidentiels passés hors de portée d’oreilles extérieures.

Le signalement à distance. Un télétravailleur n’a pas de collègue à qui demander « tu as reçu ce mail bizarre ? ». La charte lui donne un réflexe : transférer le message suspect au canal désigné, et appeler le service informatique sur un numéro connu en cas de doute. Les leurres qui visent les télétravailleurs se ressemblent : faux support informatique qui demande une prise en main à distance, faux portail VPN ou Microsoft 365, fausse notification d’un outil collaboratif. Ce sont des scénarios à inclure dans vos campagnes de simulation de phishing.

L’équipement. Matériel fourni et maintenu par l’entreprise, usage professionnel, signalement immédiat de toute perte ou de tout vol.

Le cadre juridique

Code du travail

L’article L1321-5 rattache la charte au régime du règlement intérieur, et l’article L1321-6 impose que les documents comportant des obligations pour les salariés soient rédigés en français : une charte en anglais, fréquente dans les filiales de groupes internationaux, n’est pas opposable aux salariés francophones.

L’article L1222-4 interdit de collecter une information concernant personnellement un salarié par un dispositif qui n’a pas été porté préalablement à sa connaissance. L’article L2312-38 prévoit l’information et la consultation du CSE avant la mise en œuvre de moyens ou de techniques de contrôle de l’activité des salariés.

Jurisprudence de la Cour de cassation

Arrêt Nikon (chambre sociale, 2 octobre 2001) : même sur un ordinateur professionnel, le salarié a droit au respect de sa vie privée et au secret de ses correspondances personnelles.
Chambre sociale, 17 mai 2005 : l’employeur ne peut ouvrir les fichiers identifiés comme personnels qu’en présence du salarié ou après l’avoir appelé, sauf risque ou événement particulier.
Chambre sociale, 18 octobre 2006 (n° 04-48.025) : les fichiers et dossiers créés par le salarié sur l’ordinateur fourni par l’employeur sont présumés professionnels, sauf s’il les identifie comme personnels ; l’employeur peut alors y accéder hors de sa présence.

Conséquence pour la charte : définissez l’usage personnel toléré et la façon d’identifier un contenu comme personnel (par exemple un dossier nommé « Personnel »).

RGPD et surveillance des salariés

Tout dispositif de contrôle est inscrit au registre des traitements (article 30 du RGPD) et présenté aux salariés avant sa mise en place (article 13).
La surveillance est proportionnée à sa finalité : un relevé permanent de tous les sites visités par chaque salarié ne passe pas ce test.
Les journaux sont conservés le temps nécessaire, en général entre six mois et un an selon les recommandations de la CNIL.

Comment rendre la charte opposable

Une charte bien rédigée mais adoptée sans respecter la procédure du règlement intérieur reste fragile. Depuis la loi du 26 mai 2026 de simplification de la vie économique, l’article L1321-4 du code du travail prévoit les étapes suivantes.

L’avis du CSE. La charte annexée au règlement intérieur est soumise à l’avis du comité social et économique, et le CSE est consulté sur tout dispositif de contrôle de l’activité des salariés (article L2312-38).
La publicité. La charte est portée à la connaissance des salariés et des personnes qui ont accès aux lieux de travail, par affichage ou publication sur l’intranet.
La transmission à l’inspection du travail. Elle est communiquée à l’inspecteur du travail, avec l’avis du CSE, au moment de sa publicité.
L’entrée en vigueur. La charte indique sa date d’entrée en vigueur, au moins un mois après l’accomplissement des formalités de publicité.

La loi de 2026 a retiré de l’article L1321-4 le dépôt au greffe du conseil de prud’hommes. L’article réglementaire R1321-2, qui le décrit, n’avait pas encore été aligné à la mi-octobre 2026 : vérifiez l’état des textes sur Légifrance au moment de la démarche, ou faites le dépôt par précaution.

Ajoutez une diffusion individuelle : remettez la charte à chaque salarié contre accusé de réception daté, et intégrez-la à l’accueil des nouveaux arrivants. En cas de refus de signer, consignez-le par écrit. Le règlement intérieur est obligatoire à partir de 50 salariés ; en dessous, faites valider par un juriste la façon dont la charte est adoptée et diffusée. Si la charte crée une obligation qui modifie le contrat de travail, un avenant peut être nécessaire.

La charte et votre programme de sensibilisation

La charte fixe les règles, la sensibilisation entraîne les réflexes.

La charte informe des simulations. En indiquant que l’entreprise mène des tests de sécurité, dont des simulations d’emails malveillants, la charte remplit l’obligation d’information préalable du code du travail (article L1222-4) et du RGPD (article 13). Les résultats par salarié sont des données personnelles : inscrivez le programme au registre des traitements, sans bien sûr annoncer le calendrier des campagnes.

La clause de signalement donne un indicateur. Elle demande aux salariés d’agir (transférer le message suspect) plutôt que de seulement s’abstenir. Le nombre de signalements est l’un des indicateurs de maturité les plus parlants, et vos simulations le mesurent en conditions réelles.

La charte sert de preuve. Une charte à jour, opposable et connue des salariés, qui couvre le télétravail, l’IA générative et les appareils personnels, documente vos mesures organisationnelles au titre de l’article 32 du RGPD. Avec la politique de sécurité (PSSI) et les preuves de formation, elle forme le socle documentaire de vos audits.

La participation aux formations devient une obligation. Mentionnez-la : sans cette clause, un refus répété de suivre les modules de sensibilisation se sanctionne difficilement.

Modèle de charte informatique

Ce squelette donne la structure article par article. Faites-le compléter et valider par un juriste ou votre DPO avant diffusion, puis suivez la procédure décrite plus haut.

Charte d’utilisation des systèmes d’information

[Raison sociale], version [X.Y], en vigueur le [date]

Préambule

La présente charte définit les règles d’utilisation des systèmes d’information de [Raison sociale]. Elle s’applique à l’ensemble des salariés, stagiaires, intérimaires, prestataires et à toute personne qui accède aux ressources informatiques de l’entreprise. Elle est annexée au règlement intérieur.

Article 1 : périmètre

La présente charte s’applique :

aux équipements fournis par l’entreprise (postes, ordinateurs portables, smartphones, tablettes) ;
aux équipements personnels utilisés à des fins professionnelles, dans les conditions de l’article 6 ;
aux systèmes accessibles à distance (VPN, applications en ligne) ;
à la messagerie et aux outils de communication internes ;
à l’accès à internet depuis les réseaux de l’entreprise.

[Note : ajustez la liste aux équipements et services réellement déployés.]

Article 2 : équipements et ressources numériques

2.1 Les équipements et ressources numériques sont destinés à un usage professionnel. Un usage personnel raisonnable est toléré dans les limites suivantes : [à préciser]. Les contenus personnels sont rangés dans un dossier nommé « Personnel ».

2.2 Il est interdit de prêter son équipement à un tiers, de connecter un support amovible non approuvé par le service informatique, d’installer un logiciel sans autorisation et de désactiver ou contourner les outils de sécurité.

2.3 Toute perte, tout vol ou toute détérioration est signalé au service informatique dans les [X] heures.

Article 3 : messagerie et communications électroniques

3.1 La messagerie professionnelle est réservée aux communications liées à l’activité de l’entreprise, sous réserve de l’usage personnel toléré.

3.2 Les données confidentielles ou personnelles ne sont transmises que par les canaux approuvés par le service informatique.

3.3 Tout email suspect est signalé sans délai via [adresse dédiée ou bouton Signaler], sans cliquer sur ses liens ni ouvrir ses pièces jointes.

3.4 Le collaborateur est informé que l’entreprise mène des tests de sensibilisation à la cybersécurité, dont des simulations d’emails malveillants. Les résultats servent à adapter le programme de formation.

3.5 Les emails professionnels peuvent être consultés par l’employeur dans les conditions prévues par la loi. Les messages identifiés comme personnels bénéficient du respect de la vie privée.

Article 4 : mots de passe et authentification

4.1 Chaque collaborateur est responsable de la confidentialité de ses identifiants.

4.2 Les mots de passe respectent la politique de l’entreprise : [longueur minimale, gestionnaire de mots de passe autorisé]. L’authentification multifacteur est obligatoire sur les comptes qui la proposent.

4.3 Le partage d’identifiants est interdit, y compris avec le service informatique, qui ne demande jamais de mot de passe.

4.4 Toute suspicion de compromission est signalée immédiatement pour réinitialisation.

Article 5 : télétravail et accès distants

5.1 L’accès aux ressources internes hors des locaux passe par [le VPN de l’entreprise ou l’accès conditionnel], avec authentification multifacteur.

5.2 Les réseaux Wi-Fi publics ne sont utilisés qu’avec le VPN actif.

5.3 Le réseau domestique utilisé pour le travail est protégé par un chiffrement à jour et un mot de passe robuste ; l’équipement professionnel n’est pas partagé avec les autres membres du foyer.

5.4 Le collaborateur travaille dans un environnement qui préserve la confidentialité (écran non visible des tiers, documents rangés) et signale tout incident au service informatique, y compris depuis son domicile.

Article 6 : appareils personnels (BYOD)

[Si le BYOD est autorisé :]

6.1 L’utilisation d’un appareil personnel à des fins professionnelles est autorisée pour les usages suivants : [à préciser].

6.2 L’appareil utilise un système d’exploitation maintenu par le fabricant, à jour, avec stockage chiffré et verrouillage par code. Le collaborateur installe l’outil de gestion désigné par le service informatique, qui sépare l’espace professionnel de l’espace personnel.

6.3 L’entreprise ne contrôle que l’espace professionnel. En cas de perte, de vol, de compromission ou de départ, elle peut effacer à distance les seules données de l’entreprise.

[Si le BYOD n’est pas autorisé :]

6.1 L’utilisation d’un appareil personnel pour accéder aux ressources de l’entreprise ou traiter des données professionnelles est interdite, sauf autorisation écrite du service informatique.

Article 7 : confidentialité et données personnelles

7.1 Le collaborateur respecte la classification des informations en vigueur.

7.2 Toute violation de données personnelles (accès non autorisé, divulgation accidentelle, perte) est signalée sans délai au [DPO ou référent], afin que l’entreprise respecte ses obligations de notification.

7.3 Les obligations de confidentialité s’appliquent pendant le contrat et après sa fin, dans les limites prévues par celui-ci.

Article 8 : contrôles et droits des collaborateurs

8.1 L’entreprise met en œuvre les dispositifs suivants pour la sécurité de ses systèmes d’information : [journaux d’accès, filtrage de la messagerie, gestion des terminaux]. Ils sont inscrits au registre des traitements et les journaux sont conservés [durée].

8.2 Les collaborateurs disposent de droits d’accès, de rectification et d’opposition sur les données collectées à leur sujet, qu’ils exercent auprès de [DPO ou contact désigné].

Article 9 : formation et sensibilisation

9.1 Le collaborateur participe aux formations et actions de sensibilisation à la cybersécurité organisées par l’entreprise, y compris les modules en ligne et les exercices de simulation.

9.2 Toute demande de dispense est adressée par écrit à [responsable désigné].

Article 10 : sanctions

Les manquements à la présente charte peuvent donner lieu à des sanctions disciplinaires, jusqu’au licenciement pour faute grave, selon la gravité des faits et l’échelle prévue par le règlement intérieur. Les faits pénalement répréhensibles peuvent aussi donner lieu à des poursuites.

Fait à [Ville], le [Date]. [Signature du représentant légal]. Avis du CSE rendu le [date].

Adaptez ce modèle à votre secteur, à votre taille, aux outils de contrôle réellement déployés et à votre convention collective.

Questions fréquentes

La charte informatique est-elle obligatoire pour les PME ?

Aucun texte ne l’impose en tant que telle. Sans elle, l’entreprise a du mal à sanctionner un usage dangereux, à informer valablement les salariés des contrôles et à démontrer ses mesures organisationnelles au titre de l’article 32 du RGPD. Dès 50 salariés, le règlement intérieur est obligatoire, et la charte qui lui est annexée en suit la procédure.

Quelles sanctions peut-on prévoir en cas de manquement à la charte ?

Les sanctions de l’échelle disciplinaire du règlement intérieur : avertissement, mise à pied, jusqu’au licenciement pour faute grave dans les cas les plus sérieux (divulgation de données confidentielles, fraude, introduction délibérée d’un logiciel malveillant). Elles supposent une charte opposable, portée à la connaissance du salarié avant les faits.

Comment encadrer le BYOD dans la charte ?

Dites d’abord si l’usage d’appareils personnels est autorisé. Si oui, précisez les usages permis, les conditions minimales (système maintenu par le fabricant, chiffrement, verrouillage, MFA), la séparation entre espace personnel et professionnel, et le seul effacement des données de l’entreprise en cas de perte, de vol ou de départ. L’employeur ne contrôle que l’espace professionnel.

La charte informatique s’applique-t-elle aux télétravailleurs ?

Oui, au même titre qu’aux salariés sur site. Elle doit traiter leurs situations propres : accès distant par VPN ou accès conditionnel, réseau domestique et réseaux publics, confidentialité des écrans et des documents, signalement d’un incident depuis le domicile. L’article L1222-9 du code du travail encadre le télétravail par accord collectif ou par une charte.

Un salarié peut-il refuser de signer la charte ?

Il peut refuser de signer l’accusé de réception, mais ce refus ne le libère pas de ses obligations si la charte a été annexée au règlement intérieur selon la procédure légale. Si la charte modifie un élément du contrat de travail, un avenant signé peut être nécessaire : faites relire le document par un juriste.

Faut-il encore déposer la charte au greffe du conseil de prud’hommes ?

Depuis la loi du 26 mai 2026 de simplification de la vie économique, l’article L1321-4 du code du travail ne mentionne plus ce dépôt pour le règlement intérieur et ses annexes. L’article réglementaire R1321-2 n’avait pas encore été aligné à la mi-octobre 2026 : vérifiez l’état du texte sur Légifrance au moment de votre démarche.

Faut-il mettre à jour la charte après une cyberattaque ou un changement d’outils ?

Oui. Le télétravail, les outils d’IA générative ou l’arrivée de NIS2 créent des risques que la charte doit couvrir. Prévoyez une révision annuelle et une révision exceptionnelle après tout incident significatif ou changement de périmètre.

La charte pose le cadre ; les comportements se vérifient sur le terrain. Pour mesurer les réflexes de vos équipes face à un email piégé, lancez une première campagne pendant l’essai gratuit de 14 jours : environ 15 minutes de configuration, hors liste blanche dans votre messagerie, et la première campagne part le jour même.

Sources

Code du travail, article L1321-4, version issue de la loi n° 2026-403 du 26 mai 2026, et articles L1321-5, L1321-6, L1222-4, L1222-9, L2312-38, R1321-1 à R1321-4.
Cour de cassation, chambre sociale, 18 octobre 2006, n° 04-48.025 ; chambre sociale, 2 octobre 2001 (arrêt Nikon) et 17 mai 2005.
Règlement (UE) 2016/679 (RGPD), articles 13, 30 et 32.
CNIL, recommandations sur la journalisation et sur le BYOD, cnil.fr.
Baromètre CESIN 2026.