Cours – Charte informatique : valeur juridique, contenu, contrôle et vie privée
BTS SIO SISR 1re année – CEJM et CEJMA – S11 – à lire avant l'étude de cas
Ce que tu dois savoir déjà
- Prérequis : S04 (contrat), S07 (responsabilités)
À la fin de ce cours tu sauras
- Dire quand une charte est opposable
- Appliquer proportionnalité, information préalable, secret des correspondances
- Distinguer messages et fichiers pros / personnels
- Rédiger une mini-charte claire et la justifier
- Citer les devoirs des administrateurs
I. À quoi sert une charte informatique ?
Une charte informatique (ou charte d'utilisation du système d'information) est un document qui fixe les règles d'usage des outils numériques de l'organisation : ordinateurs, messagerie, Internet, réseaux, téléphones, accès à distance.
Elle a trois buts :
- Protéger le système d'information (sécurité) ;
- Informer les utilisateurs de leurs droits et de leurs devoirs ;
- Prouver que l'employeur a organisé la prévention : en cas d'incident, la charte montre quelles règles étaient connues.
Note
La charte s'adresse à tous les utilisateurs : salariés, stagiaires, alternants, prestataires, administrateurs.
II. Quelle valeur juridique ?
Une charte n'a pas de valeur par elle-même : tout dépend de la manière dont elle est mise en place.
| Mode de mise en place | Valeur | Conditions |
|---|---|---|
| Annexée au règlement intérieur | Opposable aux salariés : sa violation peut être sanctionnée | Le règlement intérieur est obligatoire dans les entreprises d'au moins 50 salariés ; il doit être soumis au comité social et économique (CSE), communiqué à l'inspection du travail, déposé au greffe du conseil de prud'hommes et porté à la connaissance du personnel (Code du travail, articles L1311-2 et L1321-4) |
| Note de service | Valeur d'instruction de l'employeur | Elle doit être communiquée aux salariés ; elle ne peut pas ajouter de sanctions que le règlement intérieur ne prévoit pas |
| Clause du contrat de travail | Contractuelle | Accord du salarié ; modification du contrat nécessitant son accord |
| Simple document diffusé | Faible | Peu utile pour sanctionner |
Deux principes encadrent le contenu :
- Proportionnalité : nul ne peut apporter aux droits des personnes et aux libertés des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché (Code du travail, article L1121-1) ;
- Information préalable : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif non porté préalablement à sa connaissance (article L1222-4).
III. Le contenu d'une bonne charte
| Rubrique | Exemples de règles |
|---|---|
| Champ d'application | Qui, quels outils, quels lieux (télétravail compris) |
| Accès | Identifiant personnel, mot de passe fort et secret, verrouillage du poste, pas de partage de compte |
| Messagerie et Internet | Usage professionnel d'abord ; usage personnel raisonnable toléré ; sites interdits ; pièces jointes suspectes à signaler |
| Données et confidentialité | Ne pas copier de données sur un support personnel ; chiffrer les supports ; secret professionnel |
| Matériel et logiciels | Pas d'installation sans accord ; pas de matériel personnel non validé |
| Sécurité | Signaler toute anomalie ; mises à jour ; antivirus non désactivable |
| Contrôle et traçabilité | Ce qui est journalisé, par qui c'est consulté, combien de temps les journaux sont conservés |
| Administrateurs | Accès limité à leur mission, confidentialité renforcée, procédure en cas d'accès à des données privées |
| Télétravail, appareils personnels (BYOD) | Règles de sécurité, séparation pro/perso |
| Départ | Restitution du matériel, désactivation des comptes |
| Sanctions | Rappel de la responsabilité disciplinaire, civile et pénale (séance 7) |
Warning
Une règle trop large ou trop floue (« tout usage personnel est interdit », « l'employeur lit tout ») est fragile : elle ne respecte pas la proportionnalité et peut être écartée par un juge.
IV. Contrôle de l'employeur et vie privée du salarié
Les principes
Le salarié a droit au respect de sa vie privée, même au temps et au lieu de travail, ce qui inclut le secret de ses correspondances (arrêt de la Cour de cassation, chambre sociale, du 2 octobre 2001, dit « Nikon »). L'employeur ne peut donc pas lire librement les messages privés d'un salarié. En revanche, il peut contrôler l'activité professionnelle avec des moyens loyaux, proportionnés et déclarés aux salariés.
Ce que l'employeur peut ou ne peut pas faire
| Situation | Règle générale |
|---|---|
| Messages et fichiers professionnels | Présumés professionnels : l'employeur peut y accéder |
| Fichiers ou dossiers identifiés comme « personnels » | Il ne peut les ouvrir qu'en présence du salarié (ou celui-ci dûment appelé), sauf risque ou événement particulier |
| Messagerie personnelle du salarié (webmail privé) | Secret des correspondances : en principe inaccessible |
| Journaux de connexion (sites visités, durée) | Possible si déclarés (charte, information du CSE) et proportionnés |
| Vidéosurveillance, géolocalisation | Information préalable, finalité légitime, pas de surveillance permanente injustifiée |
Cette distinction « pro / personnel » repose sur l'identification par le salarié : il est conseillé de créer un dossier nommé « PERSONNEL » ou « PRIVÉ » (arrêt de la chambre sociale du 17 mai 2005).
Le rôle de la CNIL et du RGPD
Les dispositifs de contrôle traitent des données personnelles : la finalité, la proportionnalité, l'information des personnes et la durée de conservation des journaux sont vérifiées par la CNIL et relèvent du RGPD (séances 13 à 15).
V. Droits et devoirs
| L'employeur | Le salarié | |
|---|---|---|
| Droits | Fixer les règles, contrôler l'usage loyalement | Vie privée, usage personnel raisonnable, information préalable |
| Devoirs | Informer, consulter le CSE, respecter la proportionnalité, protéger les données | Loyauté, respect de la charte, confidentialité, signalement des incidents |
| Sanctions | Responsabilité civile, pénale, risque d'invalidation d'un contrôle illicite | Responsabilité disciplinaire, civile et pénale |
Comprendre pas à pas
Qualifier un fichier ou un message : trois situations
| Situation | Qualification | Ce que peut faire l'employeur |
|---|---|---|
| Courriel dans la boîte professionnelle, objet « Devis client Dupont » | Présumé professionnel | Il peut y accéder |
| Dossier « PRIVÉ » sur le poste de travail | Identifié comme personnel | Il l'ouvre en présence du salarié (ou après l'avoir appelé), sauf risque ou événement particulier |
| Webmail privé consulté depuis le poste | Correspondance privée | Secret des correspondances : en principe inaccessible |
Tip
Le critère est l'identification. Ce n'est pas l'outil (l'ordinateur appartient à l'entreprise dans les trois cas) qui décide, mais ce que le salarié a clairement marqué comme privé.
Avant de contrôler : quatre questions
- Pourquoi ? Une finalité légitime : sécurité, bon fonctionnement, preuve d'une faute.
- Est-ce proportionné ? Contrôler les journaux de connexion est moins intrusif que lire des messages.
- Les salariés sont-ils informés ? La charte et l'information du CSE doivent précéder le contrôle.
- Que fait-on des données ? Durée de conservation, accès limité (RGPD, séances 13 à 15).
Exemple guidé : une charte qui ne protège personne
Une charte dit : « La direction peut lire toute la messagerie à tout moment. » Trois problèmes : elle ignore le secret des correspondances (arrêt Nikon), elle n'est pas proportionnée, et si elle n'est pas annexée au règlement intérieur, elle n'est pas opposable aux salariés. Une charte utile est précise, lisible et conforme, pas simplement sévère.
Pour un cas réel documenté, voir l'arrêt Nikon.
À retenir
- La charte protège le système, informe les utilisateurs, prouve la prévention.
- Elle est opposable si elle est annexée au règlement intérieur (obligatoire dès 50 salariés, avec consultation du CSE).
- Principes : proportionnalité (L1121-1) et information préalable (L1222-4).
- Secret des correspondances même au travail ; fichiers « personnels » : en présence du salarié ; fichiers pros : accessibles.
- Les administrateurs ont des règles de confidentialité renforcées.