Charte informatique : contenu, valeur juridique et responsabilités

La charte informatique est le document qui fixe les règles d'utilisation des outils numériques d'une organisation par ses salariés et ses autres utilisateurs : comptes et mots de passe, messagerie, Internet, équipements, données, contrôles mis en place. Pour qu'elle soit opposable aux salariés et permette de sanctionner leurs manquements, elle doit être annexée au règlement intérieur et suivre sa procédure. Ce chapitre détaille son contenu, sa valeur juridique, les limites de la surveillance qu'elle annonce et les responsabilités du salarié qui ne la respecte pas.

À quoi sert une charte

La charte a trois fonctions :

1. Informer les utilisateurs des règles et des risques : ce qu'on peut faire, ce qui est interdit, pourquoi.
2. Annoncer les contrôles : journalisation, filtrage, analyse antivirale, éventuelle inspection du trafic chiffré. Le Code du travail interdit de collecter une information sur un salarié par un dispositif qui ne lui a pas été préalablement porté à connaissance (article L1222-4) : la charte est un des moyens de cette information.
3. Fonder des sanctions : si elle a la valeur d'une adjonction au règlement intérieur, son non-respect est une faute disciplinaire.

Elle s'adresse aux salariés, mais aussi aux stagiaires, intérimaires, alternants et prestataires qui utilisent le système d'information : pour eux, on la fait signer ou on l'annexe à leur convention ou à leur contrat.

Ce qu'elle contient

Une charte administrateur complète souvent la charte générale : elle fixe les devoirs des personnes qui ont des droits élevés (techniciens, administrateurs, prestataires d'infogérance), en particulier leur obligation de confidentialité.

Sa valeur juridique : quand est-elle opposable ?

Tout dépend de la manière dont elle a été adoptée.

Le règlement intérieur est obligatoire dans les entreprises d'au moins 50 salariés, une fois ce seuil atteint pendant douze mois consécutifs (article L1311-2 du Code du travail). Il fixe les règles d'hygiène et de sécurité et les règles relatives à la discipline, dont la nature et l'échelle des sanctions. Les notes de service et documents qui portent des prescriptions générales et permanentes dans ces matières, comme une charte informatique, sont considérés comme des adjonctions au règlement intérieur et suivent la même procédure (article L1321-5) :

1. avis du comité social et économique (CSE) ;
2. communication à l'inspection du travail, avec l'avis du CSE ;
3. dépôt au greffe du conseil de prud'hommes ;
4. publicité auprès des salariés (affichage, intranet) ;
5. entrée en vigueur à la date qu'il fixe, au moins un mois après l'accomplissement des formalités de dépôt et de publicité.

L'inspecteur du travail peut exiger le retrait de clauses contraires à la loi. Une charte ne peut pas apporter aux droits des personnes et aux libertés individuelles et collectives des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché (article L1121-1) : interdire tout usage personnel de la messagerie, ou prévoir la lecture systématique des courriels, ne serait pas admis.

Ce que la charte peut annoncer : les limites du contrôle

L'employeur peut contrôler l'usage des outils qu'il fournit, mais dans le respect de quatre règles : proportionnalité, information préalable, consultation du CSE dans les entreprises d'au moins 50 salariés, conformité au RGPD. Le cours CEJM : droit les présente avec la jurisprudence ; retiens les applications techniques :

Deux règles de jurisprudence reviennent constamment :

• les courriels et fichiers créés avec l'outil professionnel sont présumés professionnels : l'employeur peut les consulter, même hors de la présence du salarié, sauf s'ils sont identifiés comme personnels (Cour de cassation, chambre sociale, 18 octobre 2006) ;
• le salarié a droit, même au travail, au respect de sa vie privée et du secret de ses correspondances : l'employeur ne peut pas prendre connaissance des messages personnels émis ou reçus par le salarié avec l'outil professionnel, même s'il en a interdit l'usage personnel (Cour de cassation, chambre sociale, 2 octobre 2001, arrêt Nikon).

Les administrateurs : des droits techniques, des devoirs juridiques

Un administrateur peut techniquement tout lire : les boîtes aux lettres, les partages, les bases de données. Juridiquement, il ne le peut pas.

• Il est tenu à la confidentialité sur les informations qu'il découvre dans l'exercice de ses fonctions, en particulier les éléments relevant de la vie privée des utilisateurs, sauf si une disposition légale l'oblige à les communiquer (une réquisition judiciaire) ou s'ils mettent en cause le bon fonctionnement ou la sécurité du système.
• Il n'accède au contenu des données que si c'est nécessaire à sa mission (diagnostic, restauration, enquête de sécurité), et il en garde la trace.
• Il ne peut pas être obligé par sa hiérarchie à lire des correspondances privées : le secret des correspondances (article 226-15 du Code pénal) s'impose aussi à lui.
• Ses propres actions doivent être journalisées et contrôlables, idéalement par une autre personne : des comptes à privilèges nominatifs, jamais partagés, et un bastion d'administration qui trace les sessions.

Les responsabilités du salarié utilisateur

Un salarié qui ne respecte pas la charte s'expose à trois types de conséquences :

• Disciplinaire : avertissement, mise à pied, licenciement, selon la gravité, le préjudice et les antécédents. La sanction doit être proportionnée et suivre la procédure disciplinaire (CEJM : pouvoir de l'employeur). Communiquer son mot de passe, désactiver l'antivirus ou copier une base clients sur une clé personnelle peuvent justifier une sanction ; une consultation ponctuelle d'un site d'actualités, non.
• Civile : envers les tiers, c'est l'employeur qui répond des dommages causés par son salarié dans ses fonctions (article 1242, alinéa 5, du Code civil) ; le salarié qui reste dans les limites de sa mission n'est pas personnellement poursuivi. Envers son employeur, le salarié ne répond pécuniairement que de sa faute lourde, commise avec l'intention de nuire.
• Pénale : personnelle, elle s'ajoute aux deux autres. Utiliser le compte d'un collègue, consulter des données hors de ses habilitations, lire la correspondance d'autrui, copier des données pour un concurrent sont des infractions (chapitre 8).

La confidentialité. Au-delà de la charte, le contrat de travail ou un accord de confidentialité (NDA, non-disclosure agreement) peut imposer de ne pas divulguer les informations de l'organisation, pendant et après le contrat. Les informations qui ont une valeur commerciale du fait de leur caractère secret et font l'objet de mesures de protection raisonnables sont en outre protégées par le secret des affaires (Code de commerce, articles L151-1 et suivants) : code source non publié, fichier clients, tarifs, procédés. Un salarié ou un prestataire qui les divulgue engage sa responsabilité.

Pour aller plus loin. La charte découle de la politique de sécurité : leur articulation est expliquée dans le chapitre PSSI et charte informatique du cours Analyse de risques.

Exercices

Exercice 1 sur 4 La charte est-elle opposable ? Réussi À revoir

Cèdre Habitat (180 salariés) a rédigé une charte informatique, l'a mise sur l'intranet et a demandé aux salariés de cocher « J'ai lu la charte ». Un salarié a transmis son mot de passe à un collègue, ce que la charte interdit ; le collègue a supprimé par erreur des dossiers. Cèdre Habitat veut sanctionner le premier salarié sur le fondement de la charte. Est-ce possible ?

Voir la réponseMasquer la réponse de l'exercice 1

Règle. Une charte informatique qui contient des prescriptions générales et permanentes en matière de discipline est une adjonction au règlement intérieur (article L1321-5 du Code du travail). Elle n'est opposable aux salariés, et ne peut fonder une sanction, que si elle a suivi la procédure du règlement intérieur : avis du CSE, communication à l'inspection du travail, dépôt au greffe du conseil de prud'hommes, publicité, entrée en vigueur au moins un mois après.

Application. Cèdre Habitat compte 180 salariés : le règlement intérieur est obligatoire. La charte a seulement été publiée sur l'intranet avec une case « J'ai lu » : la procédure n'a pas été suivie. Elle a une valeur d'information, pas de règle disciplinaire opposable.

Conclusion. Sanctionner sur le fondement de la charte est risqué : la sanction pourrait être annulée par le conseil de prud'hommes. Cèdre Habitat peut toutefois invoquer le manquement du salarié à son obligation générale de sécurité et de loyauté s'il a été clairement informé. Pour l'avenir : annexer la charte au règlement intérieur en suivant la procédure.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 4 Rédiger un article de charte Réussi À revoir

Rédige l'article de la charte de Cèdre Habitat consacré à la journalisation, de façon conforme à l'information préalable des salariés et au RGPD.

Voir la réponseMasquer la réponse de l'exercice 2

« Article 8 — Journalisation. Pour assurer la sécurité du système d'information et détecter les usages anormaux, Cèdre Habitat enregistre les connexions aux postes, aux serveurs et aux applications métiers (identifiant, date et heure, poste ou adresse utilisée, actions d'administration), ainsi que les accès à Internet (date, heure, adresse du site, volume, sans le contenu des échanges). Ces journaux sont conservés un an, puis supprimés. Ils sont accessibles aux seuls administrateurs habilités de la DSI, dont les propres accès sont tracés. Ils ne servent pas à mesurer l'activité individuelle des salariés. En cas d'incident de sécurité ou d'usage manifestement contraire à la présente charte, ils peuvent être analysés, l'utilisateur concerné en étant informé. Chaque utilisateur peut exercer son droit d'accès auprès de la déléguée à la protection des données. »

Éléments attendus : finalité, données collectées, durée, destinataires, limites d'usage, droits.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 4 L'administrateur Réussi À revoir

Pour chaque demande adressée à Thomas Royer, administrateur, dis s'il peut y donner suite et à quelles conditions.

1. La directrice d'agence est en arrêt maladie ; son adjoint a besoin d'un devis envoyé par un fournisseur la semaine dernière.
2. Le directeur des ressources humaines lui demande la liste des sites visités par un salarié qu'il soupçonne de passer ses journées sur Internet.
3. Le directeur financier lui demande de lire le dossier « Perso » d'une comptable pour vérifier qu'elle n'y stocke pas de fichiers de l'entreprise.

Voir la réponseMasquer la réponse de l'exercice 3

1. Oui : les courriels professionnels de la directrice sont présumés professionnels, et la continuité du service justifie d'y rechercher le devis. Thomas limite la recherche au message utile, ne consulte pas les messages identifiés comme personnels, trace son intervention, et la directrice en est informée.
2. Possible, sous conditions : la charte annonce la journalisation de la navigation, et l'analyse est ciblée sur un soupçon précis de manquement. Thomas transmet les éléments demandés par la voie prévue (pas d'initiative personnelle), sans aller au-delà (pas de contenu des pages). Si la charte n'annonçait pas cette journalisation, la preuve obtenue serait contestable.
3. Non, pas hors de sa présence : le dossier est identifié comme personnel. L'employeur peut l'ouvrir en présence de la salariée ou après l'avoir dûment appelée, ou en cas de risque ou d'événement particulier. Thomas refuse la demande telle qu'elle est formulée et propose la procédure adaptée.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 4 sur 4 Quelles responsabilités ? Réussi À revoir

Un développeur de Cèdre Habitat colle dans un outil d'intelligence artificielle public, non validé par la DSI, un extrait de la base des locataires (noms, adresses, montants d'impayés) pour l'aider à écrire une requête SQL. La charte, annexée au règlement intérieur, l'interdit. Analyse les conséquences.

Voir la réponseMasquer la réponse de l'exercice 4

• RGPD : c'est une communication de données personnelles à un tiers non autorisé, potentiellement hors de l'Union, donc une violation de données (confidentialité). Cèdre Habitat la documente, évalue le risque (données financières de locataires) et la notifie à la CNIL dans les 72 heures s'il existe un risque ; elle demande la suppression des données au fournisseur si c'est possible.
• Disciplinaire : la charte est opposable ; le développeur a enfreint une interdiction claire. Une sanction proportionnée est possible (avertissement ou mise à pied selon le volume et l'intention).
• Civile : envers les locataires, c'est Cèdre Habitat qui répond. Le développeur n'est pas pécuniairement responsable envers son employeur, faute d'intention de nuire.
• Prévention : proposer un outil validé, avec un contrat qui exclut la réutilisation des données, et des données de test fictives pour ce type de besoin.

Tu avais trouvé ?

Oui, j'avais bonPas encore