« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance », dispose l'article L. 1222-4 du Code du travail. Selon la CNIL, cette information peut passer par une charte, annexée ou non au règlement intérieur, une note individuelle ou une note de service. La charte n'a pas à être déclarée à la CNIL.
Quand la charte doit-elle rejoindre le règlement intérieur ?
Le règlement intérieur devient obligatoire dans les entreprises ou établissements d'au moins cinquante salariés, douze mois après que ce seuil a été atteint, selon l'article L. 1311-2. En dessous, il reste possible, dans les mêmes conditions, précise la fiche de service-public.gouv.fr vérifiée le 28/05/2026. Selon la même fiche, un établissement qui atteint 50 salariés a en principe son propre règlement, mais un règlement unique d'entreprise est possible.
Fin 2024, 95 des 2 697 établissements employeurs de Pévèle Carembault comptaient 50 salariés ou plus, soit 3,5 %, d'après l'Insee. Et 71,1 % en comptaient de 1 à 9. L'Insee compte les postes présents fin décembre, pas l'effectif légal : c'est un ordre de grandeur.
Pour la charte, tout dépend de son contenu. L'article L. 1321-5 vise les notes de service et « tout autre document » qui fixent des obligations générales et permanentes en matière de santé, de sécurité ou de discipline. S'il existe un règlement intérieur, ces documents en deviennent des adjonctions. « Ils sont, en toute hypothèse, soumis aux dispositions du présent titre », ajoute le texte. Pour service-public.gouv.fr, cela vaut quel que soit l'effectif.
À mon sens, une charte qui se contente d'informer sur les contrôles n'entre pas dans ce cadre. Une charte qui impose des règles sous peine de sanction y entre. Le guide de sécurité de la CNIL, mis à jour en 2026, conseille d'ailleurs de « lui donner une force contraignante », par exemple en l'annexant au règlement intérieur.
Quelles étapes pour qu'elle s'applique aux salariés ?
Annexée au règlement intérieur ou soumise à ses règles, la charte suit sa procédure, fixée par l'article L. 1321-4.
| Étape | À faire | Texte |
|---|---|---|
| Avis du comité social et économique | Consulter le comité, s'il existe, avant la mise en place. | L. 1321-4 |
| Publicité | Faire connaître le texte par tout moyen, affichage ou intranet, aux personnes qui ont accès aux lieux de travail ou aux locaux d'embauche. | F1905 |
| Inspection du travail | Envoyer deux exemplaires à l'inspecteur, avec l'avis du comité, en même temps que la publicité. | L. 1321-4, F1905 |
| Entrée en vigueur | Fixer une date postérieure d'un mois aux formalités de publicité. | L. 1321-4 |
| Dépôt au greffe des prud'hommes | Retiré de l'article L. 1321-4 le 28/05/2026, toujours prévu à l'article R. 1321-2. | L. 1321-4, R. 1321-2 |
La loi n° 2026-403 du 26/05/2026 de simplification de la vie économique a retiré le dépôt de l'article L. 1321-4. « Désormais, cette étape a été supprimée », écrit service-public.gouv.fr dans son actualité du 27/05/2026. Au 27/09/2026, l'article R. 1321-2 et la fiche F1905 le citent pourtant encore. Faites confirmer ce point aux services cités plus bas.
Selon la même fiche, le règlement s'applique même sans l'accord du comité. Dès 50 salariés, l'article L. 2312-38 impose aussi de l'informer et de le consulter avant de décider un moyen de contrôle de l'activité. Pour la CNIL, c'est l'une des trois conditions d'un contrôle licite, avec la proportionnalité et l'information préalable.
Que doit contenir une charte informatique selon la CNIL ?
Pour chaque contrôle, le salarié doit connaître les finalités, la base légale, les destinataires et la durée de conservation. Il doit aussi connaître ses droits d'accès, de rectification et d'opposition, et la possibilité de saisir la CNIL, selon sa fiche de 2015. Sa recommandation du 13/03/2026 sur le filtrage web renvoie à l'article 13 du RGPD, « dans un langage accessible ».
Le guide de sécurité, fiche n° 2, ajoute au moins cinq éléments, que je résume.
- Les règles de protection des données et les sanctions prévues.
- Le périmètre : interventions de l'équipe informatique, authentification, mots de passe, règles de sécurité.
- L'usage de chaque outil : ordinateur, matériel nomade, stockage, réseau, appareils personnels, internet, messagerie, téléphone.
- L'administration du système, dont le filtrage et la traçabilité.
- Les responsabilités et les sanctions en cas de manquement.
Sur la durée des traces, les documents de la CNIL diffèrent. La fiche de 2015 plafonne les journaux de connexion à six mois. Son référentiel sur les ressources humaines, mis à jour le 20/05/2026, retient six mois à un an pour les traces de sécurité. Au-delà, la recommandation sur le filtrage demande une durée « justifiée et documentée ». La charte annonce la durée retenue.
La fermeture du compte d'un salarié qui part s'organise aussi dans la charte, selon une fiche de la CNIL de 2009. Il est prévenu de la date pour vider sa messagerie, puis son adresse nominative est supprimée. La charte peut aussi dire qui détient les comptes administrateurs. Dans mes missions, comptes et nom de domaine sont au nom du client dès le départ, comme le précise ma page de questions fréquentes.
Que ne peut-elle pas autoriser ?
Une charte informe, elle ne rend pas licite un contrôle excessif. D'après l'article L. 1121-1 du Code du travail, toute restriction aux droits et libertés doit être justifiée par la nature de la tâche et proportionnée au but recherché. L'article L. 1321-3 interdit ces restrictions dans le règlement intérieur, donc dans ses adjonctions. La CNIL en tire des limites claires, dans sa fiche de 2015 et sa page sur le contrôle de l'activité.
- Pas de copie automatique de tous les messages : la CNIL la juge excessive.
- Pas d'enregistreur de frappe, ou keylogger, sauf circonstance exceptionnelle liée à un fort impératif de sécurité. Pour surveiller un salarié en télétravail, il est disproportionné.
- Pas de surveillance constante, en général jugée excessive.
- Pas d'objectif caché : un outil posé pour un but n'en poursuit pas un autre en secret.
- Pas de lecture libre des messages marqués personnels, même si l'usage personnel est interdit.
- Pas d'ouverture des fichiers marqués personnels sans le salarié, présent ou appelé, sauf risque ou événement particulier.
- Pas de mot de passe exigé, sauf si un salarié absent détient des informations indispensables et que l'administrateur ne peut pas ouvrir l'accès.
En principe, l'usage personnel est toléré s'il reste raisonnable et n'affecte ni la sécurité des réseaux ni la productivité. « C'est à l'employeur de fixer les contours de cette tolérance et d'en informer ses employés », écrit la CNIL. Pour être protégé, un message personnel porte par exemple « Personnel » ou « Privé » dans son objet ou le nom de son dossier.
L'inspecteur du travail peut aussi exiger à tout moment le retrait des clauses qu'il juge contraires au Code du travail, rappelle service-public.gouv.fr. Ne collecter que le nécessaire reste le plus sûr : c'est l'un des engagements de ma méthode de travail.
Quelle trame pour une entreprise de moins de 50 salariés ?
Voici ma trame, tirée de ces textes.
- L'objet, les personnes et les outils concernés.
- Les usages permis, dont l'usage personnel toléré et son marquage « Personnel ».
- La sécurité : mots de passe, verrouillage, logiciels, clés USB, signalement d'un incident.
- Chaque contrôle et son but : filtrage, journaux, interventions de l'administrateur.
- La durée de conservation de chaque trace.
- Qui accède aux données, les droits des salariés, la réclamation auprès de la CNIL.
- L'absence et le départ : messagerie, fermeture du compte.
- Les sanctions, s'il y en a : la charte suit alors la procédure du règlement intérieur.
- Ses dates d'entrée en vigueur et de mise à jour.
Remettez la charte à chaque salarié avant la mise en service des contrôles, puis à chaque arrivée. La CNIL cite l'envoi par messagerie professionnelle, qui facilite la preuve, ou sa signature. Inscrivez les dispositifs de contrôle au registre des traitements, comme le demande sa fiche de 2015. Pour le filtrage web, elle conseille d'associer le comité social et économique, même sans obligation.
Pour rédiger, l'ANSSI publie un guide en huit points clés, présenté par France Num. Il date de juin 2017 et parle encore de déclarations à la CNIL. La CNIL ne commente pas une charte entière, seulement des points précis, et répond gratuitement par téléphone, formulaire ou courrier. Pour le droit du travail, la DREETS Hauts-de-France renseigne les employeurs au 0806 000 126, au prix d'un appel local. La DDETS du Nord reçoit sur rendez-vous, notamment à Lille et à Douai.
Ce qui précède est une information générale, à jour au 27/09/2026, qui ne remplace pas l'avis de l'organisme compétent.