Charte informatique TPE : modèle, clauses et déploiement

Une charte informatique utile ne se résume pas à « ne partagez pas votre mot de passe ». Elle explique quels outils peuvent être utilisés, ce qui est attendu en cas d’incident, comment l’employeur administre les systèmes et quelles limites protègent la vie privée. Ce guide fournit une trame à adapter. Il ne remplace pas l’analyse sociale ou juridique nécessaire pour rendre certaines clauses opposables.

1. Donnez à la charte un objectif concret

La charte fixe les conditions d’utilisation des moyens informatiques et numériques mis à disposition ou autorisés par l’entreprise. Elle concerne autant la sécurité que la continuité, la confidentialité, les droits des personnes et les usages personnels. Elle doit permettre à un salarié, stagiaire ou prestataire de savoir quoi faire sans deviner une règle technique.

Elle ne remplace pas les configurations de sécurité. Écrire « activez la double authentification » n’active rien ; l’entreprise doit fournir l’outil, accompagner l’inscription et traiter les appareils perdus. De même, interdire tous les partages ne suffit pas si aucun espace approuvé n’est disponible. Reliez chaque règle à un moyen praticable.

Recensez d’abord les usages : ordinateurs, téléphones, messagerie, stockage, logiciel métier, caisse, imprimante, visioconférence, accès distant, réseaux sociaux, outils d’IA et appareils personnels. L’inventaire du parc informatique révèle les systèmes ; des entretiens courts révèlent les habitudes et contournements.

Fixez quatre objectifs mesurables : réduire les comptes partagés, empêcher le stockage non autorisé, accélérer le signalement d’un incident et organiser les départs, par exemple. Une charte copiée sur une grande administration, remplie de termes inconnus dans la TPE, ne crée pas de comportement fiable.

2. Distinguez guide interne et texte opposable

Une charte informatique n’est pas une obligation générale portant ce nom pour toutes les TPE. Elle peut être un document pédagogique, une politique interne, une annexe contractuelle ou un document annexé au règlement intérieur. Son contenu et son mode d’adoption déterminent ses effets ; le titre choisi ne suffit pas.

Lorsque des dispositions générales et permanentes portent sur les matières du règlement intérieur ou prévoient des obligations dont le non-respect peut être sanctionné, elles peuvent relever du régime des adjonctions au règlement intérieur. L’article L1321-5 du Code du travail et les formalités de l’article L1321-4 sont alors à examiner : avis du CSE dans les situations applicables, transmission à l’inspection du travail, dépôt et publicité selon les règles en vigueur.

Dans une structure sans règlement intérieur obligatoire, une charte peut toujours informer et organiser les usages, mais n’inventez pas une échelle de sanctions sans vérifier le cadre social. Faites relire les clauses disciplinaires, de contrôle et de vie privée. Diffusez le document avant son application et donnez un accès durable à sa version en vigueur.

Une signature atteste surtout la remise ; elle ne rend pas licite une clause disproportionnée ni un dispositif de contrôle caché. Conservez la version, la date, la liste des destinataires et l’accusé de réception. Pour un prestataire, intégrez les règles pertinentes au contrat et limitez-les aux outils auxquels il accède.

3. Nommez les personnes, moyens et données concernés

Commencez par une page d’identification : entreprise, version, date d’effet, propriétaire, contact sécurité et contact données personnelles. Indiquez les publics concernés : salariés permanents ou temporaires, alternants, stagiaires, dirigeants et intervenants externes. Prévoyez une règle d’accueil et une règle de fin de mission.

Définissez les moyens : appareils fournis, outils cloud, comptes, réseaux, messagerie, accès à distance et éventuellement appareil personnel autorisé. La politique BYOD pour une TPE traite en détail la séparation entre données privées et professionnelles ; la charte doit seulement dire si le BYOD est interdit, toléré ou encadré et renvoyer vers cette politique.

Classez les informations avec trois ou quatre niveaux compréhensibles : public, interne, confidentiel, particulièrement sensible. Donnez des exemples propres au métier. Pour chaque niveau, indiquez où stocker, comment partager et qui peut valider un envoi externe. Ne demandez pas à chacun d’effectuer une analyse juridique à chaque pièce jointe.

Précisez les textes et documents reliés : règlement intérieur lorsqu’il existe, politique de confidentialité, procédure d’incident, télétravail, sauvegarde, conservation, IA et départ. Une table des renvois évite de transformer la charte en manuel de cent pages.

4. Adaptez un modèle de clauses à la réalité de la TPE

Le tableau suivant est une trame rédactionnelle, pas un texte prêt à signer. Remplacez les crochets par vos outils, contacts et règles. Supprimez les clauses qui ne correspondent pas à vos pratiques et faites valider le statut social du document.

Ajoutez une introduction positive : les règles protègent les clients, l’activité et les utilisateurs. Écrivez au présent, avec des verbes d’action. « L’utilisateur est tenu de veiller à la sécurité » est moins utile que « verrouillez l’écran lorsque vous quittez le poste et signalez immédiatement un appareil perdu au [contact] ».

Pour chaque interdiction, indiquez l’alternative. Si les clés USB personnelles sont interdites, fournissez un partage approuvé. Si les logiciels non validés sont interdits, donnez un formulaire et un délai de réponse. Si un usage privé raisonnable est toléré, définissez ses limites sans laisser entendre que toute activité privée sera lue.

5. Protégez les comptes, appareils et accès distants

Imposez des comptes nominatifs. Les comptes partagés empêchent d’attribuer une action et compliquent le départ d’une personne. Lorsqu’un compte générique est techniquement inévitable, documentez son propriétaire, ses utilisateurs, son secret dans un gestionnaire, sa rotation et sa suppression prévue.

Décrivez la politique de mot de passe sans exiger des changements arbitraires trop fréquents. Favorisez des secrets longs et uniques, un gestionnaire approuvé et la double authentification. La procédure de déploiement de la MFA traite les moyens de secours et la récupération de compte.

Exigez verrouillage automatique, mises à jour, chiffrement lorsque pertinent et installation depuis les sources officielles. Interdisez la désactivation des protections sans autorisation. Pour le télétravail, précisez le réseau, le transport, la confidentialité visuelle et l’usage familial de l’appareil. Un enfant qui utilise l’ordinateur professionnel peut ouvrir un fichier ou installer un programme sans intention malveillante.

Cadrez les supports amovibles, impressions et sauvegardes locales. Les données de l’entreprise ne doivent pas dépendre d’un bureau Windows ou d’une clé unique. Donnez le dossier de référence et la méthode de synchronisation. La charte explique le geste attendu ; l’administrateur vérifie ensuite que les espaces sont sauvegardés.

6. Encadrez messagerie, web, logiciels et IA sans tout interdire

Pour l’e-mail, définissez les usages professionnels, l’identification éventuelle des messages personnels, les destinataires en copie, les pièces sensibles et le transfert vers une adresse privée. Expliquez le risque d’hameçonnage et le canal de signalement. Le guide phishing en entreprise détaille les premières actions sans culpabiliser la personne qui a cliqué.

Pour Internet, dites ce qui est toléré et ce qui ne l’est pas : activités illicites, téléchargement non autorisé, contournement des protections, extensions inconnues, stockage dans un cloud personnel. Évitez une liste infinie de sites. Basez la règle sur l’impact, la sécurité, la légalité et le fonctionnement du service.

Créez une voie de validation pour les logiciels et SaaS. Demandez finalité, données, utilisateurs, coût, export, sécurité et contrat. Un salarié ne doit pas avoir à attendre un mois pour un outil simple, sinon le « shadow IT » prospère. Publiez une liste courte des solutions approuvées et de leur usage.

Pour l’IA générative, précisez les outils autorisés, les données interdites, les tâches admises et la validation humaine. La charte IA générative fournit un cadre spécialisé. Évitez de copier deux règles contradictoires : faites de la charte informatique le texte de référence et du document IA son annexe opérationnelle.

Abordez les réseaux sociaux et comptes de marque : qui publie, comment les accès sont partagés, qui valide une réponse sensible et comment le compte est récupéré. Ne laissez pas le compte principal attaché au numéro personnel d’un ancien prestataire.

7. Décrivez les contrôles de l’employeur et leurs limites

L’entreprise peut devoir administrer, sécuriser, sauvegarder et enquêter sur ses systèmes. Elle doit néanmoins respecter la vie privée et informer les personnes des traitements. Énumérez les données réellement collectées : journaux de connexion, antivirus, filtrage, volumes, sauvegardes ou historiques techniques. Ne revendiquez pas un droit de « tout consulter à tout moment ».

Pour chaque contrôle, indiquez finalité, base, destinataires, durée, accès et droits. Vérifiez la proportionnalité : un journal de sécurité n’a pas à mesurer chaque minute de productivité. Si un contrôle individuel ou un nouveau dispositif est envisagé, analysez les obligations d’information et de consultation avant son activation.

Expliquez le traitement des fichiers et messages identifiés comme personnels selon les règles applicables. Définissez la procédure en cas d’absence prolongée : délégation, message automatique, boîte fonctionnelle, accès exceptionnel justifié et traçable. Organiser la continuité à l’avance réduit les intrusions d’urgence dans une boîte nominative.

Associez la charte à une notice de protection des données des salariés lorsque nécessaire. La charte ne doit pas dissimuler des finalités dans une phrase générale. Un outil de surveillance installé sans information préalable ne devient pas loyal parce qu’il est mentionné après coup.

8. Rendez le signalement simple et préparez les départs

Écrivez une consigne qui tient en quatre étapes : déconnecter si nécessaire sans effacer les traces, appeler ou écrire au contact désigné, décrire ce qui s’est passé, rester disponible. Citez les événements : appareil perdu, pièce jointe au mauvais destinataire, mot de passe saisi sur un faux site, alerte antivirus, compte bloqué ou connexion inhabituelle.

Ne menacez pas automatiquement la personne qui signale vite. Une culture punitive retarde l’alerte. La règle disciplinaire, si elle existe et est valide, se distingue de la réponse opérationnelle. L’objectif immédiat est de limiter l’impact et de préserver les informations utiles.

Pour les arrivées, attribuez les accès par rôle, remettez la charte, activez les protections et vérifiez la compréhension. Pour les changements de poste, réévaluez les droits. Pour les départs, appliquez la checklist retirer les accès d’un salarié ou prestataire : inventaire, transfert légitime, révocation, sessions, appareils et comptes externes.

Précisez la restitution des fichiers et matériels, sans demander à la personne de copier ses données privées pour l’entreprise. Organisez les messages entrants avec une adresse fonctionnelle et un propriétaire. Ne conservez pas une boîte nominative active indéfiniment par confort.

9. Faites vivre la charte par des scénarios et des révisions

Faites relire le projet par la direction, la personne chargée de l’informatique, la protection des données et les représentants du personnel lorsque leur intervention s’applique. Testez chaque règle contre un cas réel : un devis depuis le téléphone, un fournisseur qui envoie un lien, un salarié absent, une nouvelle IA ou une alerte le samedi.

Accomplissez les formalités liées au statut choisi, puis diffusez la version datée. Présentez-la en trente minutes avec des exemples, donnez le contact et recueillez l’accusé de remise. Intégrez-la à l’onboarding du nouveau salarié et au dossier des prestataires concernés.

Vérifiez après un mois : les outils recommandés sont-ils disponibles ? Les incidents arrivent-ils au bon canal ? Les règles BYOD et IA sont-elles comprises ? Corrigez les contradictions. Une charte de sécurité est un mode opératoire vivant, pas une pièce signée puis oubliée.

Révisez au moins lors d’un nouvel outil, d’un changement réglementaire, d’un incident, d’une réorganisation ou d’une nouvelle pratique. Gardez l’historique, annoncez les changements et refaites les formalités nécessaires. Retirez les prescriptions devenues impossibles à respecter.

1. Cartographier utilisateurs, outils, données et usages réels.
2. Choisir le statut du document et faire vérifier les formalités.
3. Adapter les clauses et fournir une alternative à chaque interdiction.
4. Décrire précisément les contrôles et durées.
5. Consulter, informer, remettre et former avant l’entrée en vigueur.
6. Tester les scénarios d’incident, arrivée et départ.
7. Réviser après les premiers retours et chaque changement majeur.

Sources officielles et primaires : ANSSI et MesServicesCyber — guide d’élaboration d’une charte d’utilisation des moyens informatiques ; CNIL — définir un cadre pour les utilisateurs ; CNIL — contrôle de l’activité des personnes employées, juillet 2026 ; Code du travail — article L1321-4. Consultées le 3 août 2026. Faites vérifier le statut, les formalités et les clauses disciplinaires selon l’effectif et la situation de l’entreprise.

En résumé

La bonne charte informatique décrit des gestes possibles avec les outils réellement fournis. Elle protège comptes, appareils, données et utilisateurs, tout en rendant visibles les contrôles de l’employeur et leurs limites. Sa valeur dépend autant de son statut, de sa diffusion et de sa formation que de ses clauses. Une règle inconnue ou techniquement impossible n’est pas un contrôle de sécurité.