Guides · Entreprise · Droit du travail
Charte informatique en entreprise : comment la rendre opposable aux salariés ?
Rédiger des règles de sécurité ne suffit pas à les rendre opposables. La consultation du CSE, la diffusion du document, sa date d’entrée en vigueur et sa transmission à l’inspection du travail déterminent la portée de la charte.
La réponse en bref
Une charte informatique n’est pas obligatoire dans toutes les entreprises. En revanche, un document qui impose des règles générales et permanentes aux salariés entre dans le champ du règlement intérieur. Pour pouvoir s’y référer en cas de manquement, l’employeur doit pouvoir prouver que les règles étaient licites, proportionnées, connues des salariés et introduites selon la procédure applicable.
Cette procédure comprend notamment l’avis préalable du CSE lorsqu’il existe, la communication du document à l’inspection du travail, sa diffusion auprès des personnes concernées et une date d’entrée en vigueur postérieure d’au moins un mois aux formalités de publicité. La situation du dépôt au greffe doit être traitée avec prudence depuis la modification légale du 28 mai 2026.
La charte ne peut jamais autoriser une retenue sur salaire ou une pénalité financière. Elle ne permet pas non plus de rendre un salarié civilement responsable d’une simple erreur. Elle sert à fixer des règles connues — par exemple signaler un incident, protéger ses accès ou vérifier une demande de virement — et à distinguer l’erreur involontaire du comportement délibéré.
Le règlement intérieur devient obligatoire à 50 salariés
Le règlement intérieur devient obligatoire lorsque l’effectif de 50 salariés est atteint pendant 12 mois consécutifs. L’employeur dispose ensuite de 12 mois pour l’établir. L’ancien seuil de 20 salariés, encore présent dans de nombreux articles et décisions anciennes, ne s’applique plus.
À partir de 11 salariés atteints pendant 12 mois consécutifs, un CSE doit en principe être mis en place. Son existence compte pour la procédure : lorsqu’un CSE existe, son avis doit être recueilli avant l’introduction de la charte.
En dessous de 50 salariés, le règlement intérieur n’est pas obligatoire. L’employeur doit néanmoins informer les salariés avant tout dispositif qui collecte des informations les concernant. Une charte peut servir à cette information, sans être le seul moyen possible.
| Seuil | Ce qu’il déclenche | Fondement |
|---|---|---|
| 11 salariés | Le CSE devient obligatoire | Art. L2311-2 |
| 50 salariés | Le règlement intérieur devient obligatoire, après 12 mois au seuil, avec 12 mois supplémentaires pour l’établir | Art. L1311-2 |
Suivez et conservez chaque formalité
Lorsqu’une charte fixe des obligations générales et permanentes en matière de discipline, l’article L1321-5 la soumet aux règles du titre consacré au règlement intérieur. Chaque formalité doit être accomplie dans le bon ordre et conservée sous une forme datée.
| Étape | Obligatoire ? | Fondement |
|---|---|---|
| Avis préalable du CSE, lorsqu’il existe | Oui, si un CSE existe | Art. L1321-4 |
| Date d’entrée en vigueur au moins un mois après les formalités de publicité | Oui | Art. L1321-4 |
| Diffusion par tout moyen auprès des personnes ayant accès aux lieux de travail ou d’embauche | Oui | Art. R1321-1 |
| Communication à l’inspection du travail, avec l’avis du CSE | Oui | Art. L1321-4 |
| Dépôt au greffe du conseil de prud’hommes | Point transitoire à sécuriser | L1321-4 modifié ; R1321-2 encore en vigueur |
Depuis le 28 mai 2026, l’article L1321-4 ne cite plus le dépôt au greffe du conseil de prud’hommes, tandis que l’article R1321-2 le prévoit encore. Dans l’attente d’un alignement des textes ou d’une position juridique confirmée, continuer ce dépôt reste l’option prudente. Le supprimer de la procédure sur la seule base de la modification législative serait prématuré.
Voir le détail juridique : constituer la preuve de l’opposabilité
Constituer un dossier daté
Créez un dossier unique contenant la version de la charte et les pièces qui prouvent chaque étape. La date d’entrée en vigueur doit pouvoir être recalculée à partir de ces documents.
- Version proposée au CSE. Conservez le document transmis, la date d’envoi, l’ordre du jour, l’avis rendu et le procès-verbal. Si l’entreprise n’a pas de CSE, documentez la raison au regard de son effectif et de sa situation.
- Transmission à l’inspection du travail. Conservez le document, l’avis du CSE joint, la date d’envoi, le destinataire et l’accusé de réception.
- Diffusion. Notez le moyen choisi — affichage, intranet, remise ou outil RH —, la date de mise à disposition, le public concerné et la preuve que le document est resté accessible.
- Entrée en vigueur. Inscrivez une date postérieure d’au moins un mois aux formalités de publicité. Ne remplacez pas cette date par la seule date de signature du document.
- Dépôt au greffe. Tant que l’article R1321-2 le mentionne encore, conservez la preuve du dépôt ou l’avis écrit du conseil qui a recommandé de ne pas le réaliser.
- Mises à jour. Numérotez chaque version. Une modification ou un retrait de clause doit suivre la procédure applicable ; n’écrasez pas la version qui était en vigueur au moment des faits.
Vérifier chaque règle avant diffusion
Pour chaque obligation imposée au salarié, consignez : son objectif, le risque traité, les personnes concernées, le moyen concret de la respecter, les données éventuellement collectées et la conséquence prévue en cas de manquement. Une règle impossible à appliquer ou disproportionnée ne devient pas valable parce qu’elle figure dans une charte signée.
L’employeur doit prouver que la règle était opposable
Lorsqu’une sanction repose sur une règle de la charte, l’employeur doit produire les preuves de la procédure applicable et de la diffusion du document. Dans l’arrêt du 9 octobre 2024, une mutation disciplinaire a été annulée parce que l’employeur ne justifiait pas les formalités de publicité de son règlement intérieur.
Conservez donc l’avis du CSE, la preuve de transmission à l’inspection du travail, la version datée du document, sa date d’entrée en vigueur et les éléments qui prouvent sa diffusion. Une charte stockée sur un serveur sans preuve que les salariés en ont eu connaissance constitue une base fragile pour sanctionner.
Appliquez aussi les règles de façon cohérente. Une pratique longtemps tolérée puis sanctionnée sans avertissement ni mise à jour de la charte fragilise la décision et son caractère proportionné.
Distinguez l’erreur involontaire du comportement délibéré
Une charte ne permet jamais d’infliger une amende, une retenue sur salaire ou une participation financière au coût de l’incident. L’article L1331-2 du code du travail interdit les sanctions pécuniaires et rend toute clause contraire inapplicable, même si le salarié l’a signée.
Demander au salarié de réparer civilement le préjudice suppose une faute lourde, c’est-à-dire une intention de nuire à l’employeur. Un clic accidentel, même suivi d’un préjudice important, ne suffit pas à établir cette intention.
L’employeur peut en revanche examiner une sanction disciplinaire lorsqu’un salarié enfreint délibérément une règle de sécurité licite, proportionnée, opposable et connue : transmettre ses identifiants, désactiver une protection ou dissimuler un incident, par exemple. La nature de la sanction dépend alors des faits, du contexte et de l’échelle prévue par les règles applicables.
À ne pas faire
- Prévoir une pénalité financière ou une retenue sur salaire
- Présenter une erreur involontaire comme une intention de nuire
- Sanctionner sur le fondement d’une règle que l’entreprise ne peut pas prouver avoir diffusée
- Employer un exemple jurisprudentiel dont la décision publiée ne confirme pas les faits avancés
Informez les salariés et limitez la surveillance
Un dispositif de contrôle doit poursuivre un objectif précis, être nécessaire et rester proportionné. Les salariés et leurs représentants doivent être informés avant sa mise en œuvre. La charte peut porter cette information, mais elle ne rend pas licite un dispositif excessif.
- Les courriels professionnels sont présumés professionnels, sauf ceux que le salarié identifie comme « Personnel » ou « Privé »
- La copie automatique de tous les messages reçus ou envoyés est excessive
- Un enregistreur de frappes constitue une surveillance disproportionnée, sauf situation de sécurité exceptionnelle précisément justifiée
- Les journaux doivent avoir une finalité définie, un accès limité et une durée de conservation justifiée ; cette durée dépend de leur nature, évitez d’inscrire un plafond unique dans la charte sans analyse préalable
Une charte informatique n’a pas à être déclarée à la CNIL. Si des appareils personnels sont utilisés pour travailler, décrivez clairement les responsabilités de l’entreprise et du salarié, les données auxquelles l’entreprise peut accéder et la procédure appliquée au départ du salarié.
Écrivez huit blocs que chacun peut appliquer
| Bloc | Ce qu’il doit dire concrètement |
|---|---|
| Objectif | Pourquoi la charte existe et quels risques elle cherche à réduire |
| Périmètre | Personnes, appareils, comptes, réseaux et services concernés |
| Termes employés | Définitions courtes des mots nécessaires, sans glossaire technique inutile |
| Usages autorisés | Ce qui est permis sur les outils professionnels et avec les appareils personnels |
| Règles de sécurité | Accès, mots de passe, authentification à deux facteurs, mises à jour, stockage et signalement d’un incident |
| Décisions sensibles | Vérification obligatoire avant un virement, un changement de coordonnées bancaires ou l’envoi de données sensibles |
| Contrôles | Données collectées, finalité, personnes autorisées à les consulter et durée de conservation |
| Manquements et entrée en vigueur | Échelle de sanctions proportionnée, procédure de diffusion, date d’application et preuves conservées |
Une règle doit décrire un comportement observable. « Protéger les données de l’entreprise » est une intention ; « signaler immédiatement la perte d’un appareil au responsable désigné » est une consigne applicable. Relisez chaque ligne avec cette distinction.
Faites vivre les règles dans le travail quotidien
Présentez la charte aux nouveaux salariés, rappelez les règles lors d’un changement d’outil et conservez la trace de ces actions. Vérifiez aussi que les mesures demandées sont réellement disponibles : un salarié ne peut pas activer une authentification à deux facteurs que l’entreprise n’a pas mise en place, ni suivre une procédure de signalement sans interlocuteur désigné.
Après un clic suspect ou une possible fuite de données, passez de la règle à la gestion de l’incident : conservez les preuves, limitez l’accès et vérifiez les délais applicables à la plainte, à la CNIL et à l’assureur.
Ce qu’il faut demander au conseil et au prestataire informatique
Quelles clauses de notre charte créent des obligations disciplinaires pour les salariés ?
Une liste précise des clauses concernées et leur fondement, pas la réponse générale « toute la charte ».
Pouvez-vous produire l’avis du CSE, la preuve de transmission à l’inspection du travail, la preuve de diffusion et la version datée entrée en vigueur ?
Quatre preuves datées et cohérentes avec la date d’entrée en vigueur.
Chaque dispositif de contrôle mentionné a-t-il une finalité, une durée de conservation et des personnes autorisées clairement définies ?
Un tableau dispositif par dispositif, avec la justification de chaque durée.
La charte distingue-t-elle une erreur involontaire, un manquement répété et un acte délibéré dans son échelle de sanctions ?
Des catégories distinctes et des réponses proportionnées, sans pénalité financière.
Quelle procédure suivons-nous lorsqu’un salarié signale un clic suspect, la perte d’un appareil ou une demande de virement inhabituelle ?
Un interlocuteur, un canal, les premières actions et une procédure accessible sans dépendre d’une seule personne.
Les sources
- Légifrance — Article L1311-2 du code du travail
Le seuil de 50 salariés déclenchant l’obligation de règlement intérieur.
- Légifrance — Article L1321-4 du code du travail
La procédure d’opposabilité, dans sa version en vigueur depuis le 28 mai 2026.
- Légifrance — Article L1321-5 du code du travail
Le mécanisme qui absorbe toute charte dans le régime du règlement intérieur.
- Légifrance — Article L1331-2 du code du travail
L’interdiction des sanctions pécuniaires, d’ordre public.
- Cass. soc., 9 octobre 2024, n° 22-20.054
Une sanction annulée faute de formalités de publicité du règlement intérieur.
- Cass. soc., 22 octobre 2015, n° 14-11.801
La faute lourde suppose l’intention de nuire, pas la seule commission d’un acte préjudiciable.
- ANSSI — Guide d’élaboration d’une charte d’utilisation des moyens informatiques
Les huit points clés que doit contenir une charte utile.
- CNIL — Le contrôle de l’utilisation d’internet et de la messagerie électronique
Les limites posées au contrôle des salariés : mails personnels, keyloggers, durée des journaux.