Une charte RGPD interne fixe les règles que vos salariés et collaborateurs doivent suivre quand ils manipulent des données personnelles et utilisent les outils de l'entreprise. Elle ne s'adresse ni aux clients ni aux visiteurs de votre site : ce public relève de la politique de confidentialité, traitée dans notre guide Charte de confidentialité RGPD : la rédiger pas à pas.
Ce guide suit l'ordre de travail : délimiter l'objet de la charte, choisir sa valeur juridique, écrire chaque chapitre, y intégrer les recommandations de la CNIL, la faire adopter puis la tenir à jour. Il s'appuie sur le Code du travail, le RGPD et les publications de la CNIL.
Chapitre 01 — Définition
À quoi sert une charte interne de protection des données ?
La charte interne traduit les obligations du RGPD en consignes concrètes pour les personnes qui travaillent dans l'organisation. Elle complète la politique de confidentialité, qui informe le public, et le registre des traitements, qui documente l'activité. En pratique, elle est souvent fondue dans la charte informatique ou annexée au règlement intérieur.
Le RGPD n'impose pas ce document par son nom. Il impose au responsable de traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées et d'être en mesure de le démontrer (articles 5 et 32 du RGPD). La CNIL recommande, dans son guide de la sécurité des données personnelles, de définir un cadre pour les utilisateurs et de le rendre contraignant en le rattachant au règlement intérieur.
| Document | Destinataires | Objet |
|---|---|---|
| Politique de confidentialité | Clients, prospects, visiteurs du site | Informer sur les traitements (articles 13 et 14 du RGPD) |
| Mentions d'information RH | Salariés et candidats | Informer sur les traitements RH dont ils font l'objet |
| Charte interne | Salariés, intérimaires, stagiaires, prestataires | Fixer les règles d'usage des données et des outils, et les sanctions |
Chapitre 02 — Valeur juridique
Quelle valeur juridique donner à la charte ?
Pour être opposable aux salariés et fonder une sanction disciplinaire, la charte doit suivre le régime du règlement intérieur. Un document qui contient des obligations générales et permanentes en matière de discipline est traité comme une adjonction au règlement intérieur, quel que soit son intitulé (article L1321-5 du Code du travail). Une note de service diffusée sans ces formalités n'a qu'une portée informative.
Le règlement intérieur est obligatoire à partir de cinquante salariés, au terme d'un délai de douze mois après le franchissement du seuil (article L1311-2). En dessous, il reste facultatif, mais nécessaire pour rendre une charte contraignante. Son contenu est limité aux matières de l'article L1321-1 : santé, sécurité et discipline. Il ne peut apporter aux libertés des restrictions qui ne seraient pas justifiées par la nature de la tâche ni proportionnées au but recherché (article L1321-3).
La procédure est fixée par l'article L1321-4 : avis du comité social et économique, publicité auprès du personnel, communication à l'inspection du travail accompagnée de l'avis du CSE, et date d'entrée en vigueur postérieure d'un mois aux formalités de publicité. Le dépôt au greffe du conseil de prud'hommes a été supprimé par l'article 5 de la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique. Les mêmes règles s'appliquent à chaque modification de la charte.
- 1Rédiger — Préparez le projet avec le délégué à la protection des données, le responsable informatique et les ressources humaines, en partant des outils réellement utilisés.
- 2Consulter — Soumettez le projet à l'avis du CSE, qui est aussi informé et consulté avant tout dispositif de contrôle de l'activité des salariés (article L2312-38).
- 3Publier — Portez la charte à la connaissance du personnel par tout moyen : affichage, intranet, remise individuelle contre accusé de réception.
- 4Transmettre — Communiquez la charte et l'avis du CSE à l'inspection du travail.
- 5Appliquer — Inscrivez dans le texte une date d'entrée en vigueur postérieure d'un mois aux formalités de publicité.
Chapitre 03 — Contenu
Que doit contenir la charte, chapitre par chapitre ?
La charte couvre, dans l'ordre, les principes de protection des données, les rôles, les outils autorisés, les accès, le travail à distance, la messagerie, le signalement des violations de données, les droits des salariés et les sanctions. La fiche de la CNIL Définir un cadre pour les utilisateurs en donne le socle : rappel des règles et des sanctions, champ d'application, modalités d'utilisation des moyens informatiques, conditions d'administration du système et responsabilités.
Chaque charte RGPD doit décrire les outils réellement déployés. Un texte générique recopié d'un modèle n'est pas opposable sur les points qu'il ne traite pas. Les accès suivent le principe de l'habilitation au juste besoin : chacun n'accède qu'aux données nécessaires à sa fonction.
Principes et rôles
Outils autorisés
Mots de passe et accès
Télétravail et équipements personnels
Messagerie et usage personnel
Incidents et violations
Droits des salariés et contrôles
Sanctions
Chapitre 04 — Recommandations CNIL
Quelles recommandations de la CNIL reprendre ?
Quatre publications de la CNIL couvrent l'essentiel : le guide de la sécurité des données personnelles, la recommandation sur les mots de passe, les conseils pour le télétravail et les bonnes pratiques pour les équipements personnels. Chacune se traduit en une ou deux clauses de la charte.
| Publication de la CNIL | Ce qu'elle dit | Clause correspondante |
|---|---|---|
| Guide de la sécurité des données personnelles (édition 2024, 25 fiches) | Définir un cadre pour les utilisateurs et le rendre contraignant par le règlement intérieur | Rappel des règles, champ d'application, administration du système, sanctions |
| Recommandation sur les mots de passe (délibération n° 2022-100 du 21 juillet 2022) | Niveau minimal de 80 bits d'entropie, par exemple 12 caractères de quatre types ; fin du renouvellement périodique pour les comptes classiques, maintenu pour les comptes à privilèges | Règles de composition, gestionnaire de mots de passe, renouvellement limité aux comptes à privilèges |
| Conseils pour mettre en place du télétravail | Éditer une charte de sécurité, VPN, double authentification, outils maîtrisés par l'entreprise | Chapitre télétravail et liste des outils autorisés |
| BYOD : quelles sont les bonnes pratiques ? | Usage des appareils personnels soumis à validation, cloisonnement, effacement à distance limité aux données professionnelles | Chapitre équipements personnels |
Les textes : guide de la sécurité, recommandation sur les mots de passe, conseils pour le télétravail et bonnes pratiques BYOD. Sur l'usage personnel des outils, la page Les outils informatiques au travail précise que les courriels sont présumés professionnels, qu'un message doit être identifié comme personnel pour être protégé, que les journaux de connexion ne se conservent pas plus de six mois et que la copie automatique de tous les messages est excessive.
Reprendre ces positions dans votre charte RGPD évite des clauses que la CNIL juge disproportionnées et donne au document une base citable en cas de contestation.
Chapitre 05 — Adoption et suivi
Comment la faire adopter et la faire vivre ?
Une charte est adoptée quand elle a suivi la procédure du chapitre 2 et qu'elle a été expliquée aux personnes concernées. Elle vit quand elle est relue à chaque changement d'outil ou d'organisation, et quand ses consignes sont rappelées régulièrement.
- Remise à l'embauche contre accusé de réception, et mention dans le livret d'accueil.
- Session de sensibilisation à l'arrivée puis rappels périodiques, comme le recommande la fiche Sensibiliser les utilisateurs du guide de la CNIL, avec un contenu adapté aux fonctions (ressources humaines, commerciaux, personnel en déplacement).
- Revue annuelle par le DPO et le responsable informatique, et révision à chaque nouvel outil, en suivant à nouveau la procédure du règlement intérieur.
- Procédure de départ : restitution des équipements et des données, suppression des accès le jour du départ.
La charte RGPD ne remplace ni la formation ni les mesures techniques : elle fixe ce qui est attendu de chacun et permet de le démontrer. Voyez aussi nos guides RGPD et ressources humaines et Violation de données : réagir en 72 heures.
Chapitre 06 — Modèle de plan
Liste de contrôle et modèle de plan
Le plan ci-dessous reprend les chapitres dans l'ordre où un lecteur les attend. Adaptez les intitulés, mais conservez les sections sur les incidents et les sanctions : elles conditionnent l'efficacité du document.
- Objet, champ d'application et définitions
- Principes de protection des données et rôles
- Outils, logiciels et services autorisés
- Authentification, mots de passe et habilitations
- Télétravail, mobilité et équipements personnels
- Messagerie, internet et usage personnel
- Signalement des incidents et violations de données
- Information des salariés, contrôles et droits
- Manquements et sanctions
- Entrée en vigueur, révision et signature
Avant publication
Une charte RGPD interne tient en quelques pages. Sa valeur tient à son adéquation aux outils en place, à la procédure suivie pour l'adopter et aux rappels qui la font vivre.
À retenir
- La charte interne s'adresse aux salariés et collaborateurs ; la politique de confidentialité s'adresse au public.
- Annexée au règlement intérieur, elle devient opposable : avis du CSE, publicité, communication à l'inspection du travail, entrée en vigueur un mois après.
- Le dépôt au greffe du conseil de prud'hommes n'est plus exigé depuis la loi n° 2026-403 du 26 mai 2026.
- Son contenu suit la fiche CNIL « Définir un cadre pour les utilisateurs » : règles, outils, accès, incidents, sanctions.
- Un dispositif de contrôle est déclaré aux salariés et au CSE avant sa mise en place, charte ou non.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Sanction RGPDUne sanction RGPD est une mesure prononcée par une autorité de contrôle, en France la formation restreinte de la CNIL, contre un organisme qui ne respecte pas le règlement. Elle peut aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
- Sécurité des donnéesLa sécurité des données désigne l'ensemble des mesures techniques et organisationnelles qui protègent les données personnelles contre la perte, la destruction, l'altération, la divulgation et l'accès non autorisé. C'est une obligation du RGPD.
- DPOLe DPO, ou délégué à la protection des données, est la personne désignée par un organisme pour l'informer, le conseiller et contrôler qu'il respecte le RGPD. Il est aussi l'interlocuteur de la CNIL et des personnes concernées.
- Politique de confidentialitéLa politique de confidentialité est le document, généralement publié sur un site internet, qui explique de manière complète comment un organisme collecte, utilise, partage et protège les données personnelles, et comment exercer ses droits.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
