Une charte informatique ou charte internet est un document qui réglemente l’usage des Systèmes d’Information et en définit les conditions générales. Elle est élaborée par une organisation et mise à la disposition de ses employés.

Elle est aujourd’hui devenue un élément primordial dans la maîtrise des risques liés à l’utilisation des Systèmes d’Information (SI). Sa mise en place permet d’éviter toute forme d’abus dans l’usage des outils informatiques, de poser un cadre formel et de fournir une référence en cas de conflit.

Recommandée par la CNIL, la charte internet est également reconnue comme faisant partie du règlement intérieur en cas de litige, si celle-ci a été déployée légalement.

Pourquoi mettre en place une charte informatique ?

Plusieurs raisons expliquent la nécessité d’élaborer d’un tel document :

• Limitation des responsabilités pénales et civiles au vu de deux articles du code civil (Art 1383 et 1384) et un article du code pénal (art 121-2).
• Concept aujourd’hui admis par tous : dans la loi, dans le droit, dans la jurisprudence, dans les recommandations CNIL…
• Obligation de mettre en place une charte informatique à partir du moment où l’entité collecte des données à caractère personnel sur les salariés (logs de connexion, durée de visite de certains sites…).

Bien que la charte informatique soit un premier rempart à l’utilisation des moyens informatiques, elle reste insuffisante au regard de la loi. Il existe également une obligation de « moyen » envers l’entreprise consistant à mettre en place des outils complémentaires comme le filtrage et la conservation des logs.

Quels sont les droits et les obligations ?

La mise en place d’une charte informatique ou charte internet est obligatoire uniquement dans le cas où l’entreprise collecte des données à caractère personnel sur ses salariés (log de connexion, archivage de messagerie, surf internet, etc.)

Ainsi, la CNIL (Commission Nationale Informatique et Libertés) recommande l’adoption d’une charte internet dans l’entreprise si elle a pour objectif de « sensibiliser les salariés aux exigences de sécurité, d’appeler leur attention sur certains comportements de nature à porter atteinte à l’intérêt collectif de l’entreprise. ».

Il est important de préciser qu’une charte informatique se doit de ne pas « porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques.« .

Il est nécessaire qu’elle respecte le code du travail à travers 3 grands principes :

• Le principe de discussion collective : Le comité d’entreprise (ou comité technique dans les administrations) doit être consulté lors de l’introduction d’une charte. informatique ainsi que le comité d’hygiène et de sécurité et des conditions de travail
• Le principe de transparence : Les salariés doivent être informés collectivement et individuellement de la charte informatique.
• Le principe de proportionnalité : Les données collectées doivent être proportionnelles à un but légitime recherché.

Enfin, pour que cette charte puisse être juridiquement opposable aux salariés, il convient de suivre certaines étapes lors de son déploiement :

• Soumettre la proposition de charte à l’avis du comité d’entreprise ou, à défaut, des délégués du personnel, ainsi qu’à l’avis du comité d’hygiène, de sécurité et des conditions de travail.
• Transmettre le document à chaque salarié individuellement par une note de service, un courrier accompagnant la fiche de paie, un lien sur le site intranet de l’organisation, ou un outil de diffusion qui permet d’afficher la charte à la première connexion internet du collaborateur.
• Afficher le document à un endroit accessible à tous sur le lieu de travail.
• La déposer au greffe du conseil des prud’hommes.
• La transmettre à l’inspection du travail en 2 exemplaires.

Comment élaborer une charte internet ?

Une charte informatique est élaborée par l’entreprise ou l’organisation qui souhaite pouvoir règlementer l’usage de ses Systèmes d’Information par ses utilisateurs (employés, membres, adhérents, stagiaires, prestataires de services, etc.).

Celle-ci s’inscrit dans une démarche de sensibilisation quant aux enjeux et aux risques. Il convient avant tout de faire adhérer les utilisateurs, d’où la nécessité que le document soit clair, précis et à la portée de tous.

Pour une mise en place pertinente, il est nécessaire de maîtriser les aspects suivants :

• La connaissance des risques
• La responsabilisation des différents acteurs
• La définition des moyens techniques

Il est important de mettre en place une politique en adéquation avec les enjeux des ressources humaines et les moyens techniques disponibles, afin de contrôler l’ensemble des risques.

Quel contenu répertorier ?

La charte informatique se doit de recenser l’ensemble des règles de bon comportement à suivre pour tout utilisateur, quant à l’usage des moyens informatiques et des outils de télécommunications mis à sa disposition par l’entreprise.

Attention, la charte doit obéir au principe de proportionnalité qui s’applique en matière de restrictions aux libertés individuelles ou collectives. Il faut pouvoir mettre cela en relation avec le secteur d’activité de l’entreprise.

La Cour de Cassation a posé le principe du droit à la vie privée résiduelle qui contraint l’employeur à organiser un savant équilibre entre les libertés individuelles et le pouvoir hiérarchique et disciplinaire.

La charte doit donc pouvoir définir avec précision la frontière entre l’utilisation professionnelle et l’usage privé résiduel. Une règle interdisant totalement une utilisation privée d’un ou de la totalité de ses outils informatiques serait alors non acceptable au regard de la loi.

A l’inverse, tout ne peut pas être permis pour l’utilisateur. L’employeur est ainsi en droit de définir les règles de restrictions et d’encadrements de l’utilisation des moyens informatiques à des fins privées. L’usage personnel doit dans tous les cas être limité à des usages « socialement admis ».

A noter que le périmètre de la vie privée résiduelle se limite à quatre attributs spécifiques que sont la vie sentimentale, la santé, la vie sexuelle et la vie financière.

Dans le cadre d’une utilisation privée par l’utilisateur, les documents (fichiers, email, …) doivent pouvoir être clairement identifiés en tant que tel (mention du terme « privé »). Il convient aussi de préciser que cette zone privative ne permet pas à l’employé de tout faire.

A l’heure de l’utilisation des réseaux sociaux, il conviendra pour l’entreprise de préciser les risques en rapport à l’image qui pourrait être véhiculée, l’e-réputation, les interdictions de communication sur et au nom de l’entreprise, aussi bien dans le cadre professionnel que privé.

Un règlement qui doit être accessible à tous

La charte est un document voué à être diffusé auprès de tous les utilisateurs des outils informatiques, quels qu’ils soient. Pour être opposable aux salariés, il convient de déployer la charte comme un règlement intérieur.

Il s’agit donc de soumettre ce document aux instances représentatives du personnel, puis de le diffuser auprès des utilisateurs, individuellement (avec le bulletin de salaire, mail, …) ou collectivement (affichage visible, intranet).

Dans le cadre d’une petite structure, il peut être intéressant de l’évoquer lors d’une réunion d’entreprise pour échanger autour du sujet.

Enfin, dans le cadre des entreprises et des administrations employant des agents de droit privé dépendant du code du travail, il convient d’effectuer des démarches complémentaires prévues par les articles R1321-2 et R1321-4 du code du travail :

• Déposer la charte au Greffe du Conseil des prud’hommes,
• Transmettre la charte à l’Inspection du Travail en double exemplaire.

A chaque modification, l’ensemble de la procédure doit être appliquée.

Une charte informatique pour maîtriser les risques

La charte informatique est devenue un élément primordial dans la maîtrise des risques liés à l’utilisation des Systèmes d’Information. Afin de la mettre en place, il est préférable d’utiliser une démarche de sensibilisation des utilisateurs avant tout.

Ainsi, en définissant un cadre spécifique à l’utilisation des outils informatiques et à l’exposition sur les réseaux sociaux, cela permet de limiter les risques pour l’entreprise et de responsabiliser les utilisateurs, tout en respectant les droits de chacun.

                    
Un article d’Olivier Comba, DSI en Temps Partagé chez Référence DSI.
@O_Comba