Charte personnel informatique

[judzk]

Hello, je suis membre d'un service informatique, et donc j'interviens en tant qu'administrateur sur les serveurs ou les postes des personnels. Notre nouveau DSI veut nous faire signer une charte administrateur, jusque là j'y vois pas de soucis. Mais par contre certains termes de cette charte nous laisse perplexe ?
Est il possible de l'analyser et d'avoir un retour?
Par exemple le dernier paragraphes :

8. Responsabilités de l'Administrateur
Les moyens mis à la disposition de l'Administrateur le sont à des fins exclusivement
professionnelles.
L'Administrateur engage sa responsabilité et peut répondre, pénalement et administrativement,
de tout acte de malveillance ou de négligence ayant pour résultat qu'une information ou un
support dont il est le dépositaire ait été détruit(e), détourné(e), soustrait(e), ou reproduit(e).
En cas de violation ou de non-respect des obligations lui incombant dans le cadre de sa mission
ou des dispositions de la présente charte, en particulier dans le cas de dépassement non justifié
de ses prérogatives, l'Administrateur sera tenu responsable de ses actes et pourra encourir des
sanctions disciplinaires ou administratives adaptées à la gravité des agissements constatés, sans
préjudice d'éventuelles sanctions pénales ou civiles à son encontre.
L'Administrateur s'engage à respecter les process de fonctionnement en vigueur au sein de la
Direction des Systèmes d'Information et du Numérique, en partie le process Change
Management qui doit permettre d'éviter tout risque d'imprudence ou d'inattention lors de
l'exécution des tâches.
Pour l'un ou l'autre de ces cas et selon leur gravité et leur fréquence, tout ou partie de ses droits
d'accès et privilèges sur les services numériques pourront être suspendus voire supprimés.

La partie soulignée a fait réagir beaucoup de monde à la lecture du document

Julien

[TomTom]

Bonjour,

Mon avis personnel, sans être juriste, jamais je ne signerais un texte pareil sans l'avoir fait analyser par un juriste, au moindre problème ce texte pourrait avoir de graves conséquences sans pouvoir vous défendre correctement puisque même en cas de faute d'autrui le texte sous entend que vous êtes responsable.

Cordialement

[olivier44]

Bonjour,

Pour ma part je ne signerai pas un document de ce genre; car on ne sait jamais ce qu'il y a derrière. Néanmoins ce genre de document n'a pas de portée juridique contrairement à un règlement intérieur et sur le fond, sur la partie signalée (soulignée) je ne vois pas ce qui pose soucis car c'est déjà le cas.... tout agent public engage sa responsabilité et peut répondre, pénalement et administrativement, de tout acte de malveillance ou de négligence (la négligence étant définie à mon sens par le fait que vous auriez du faire quelque chose que vous savez et vous ne l'avez pas fait).

Prenons un autre exemple, un médecin d'un CHU (agent public) il peut être négligeant par exemple car il n'a pas fait le protocole adapté de stérilisation des mains (je dis n'importe quoi) s'il est chirurgien et ca a eu des conséquences... heureusement que sa responsabilité peut être recherchée ...

cordialement,

O

[TomTom]

J'ai fait analyser le texte par ChatGPT, ça vaut ce que ça vaut, ça ne remplace pas un vrai juriste, ça n'a aucune valeur légale, mais ça donne des pistes de mise en garde ...

Je cite ChatGPT :

Ce texte présente plusieurs aspects juridiques qui méritent attention. Voici une analyse des éventuels problèmes ou imprécisions juridiques :

1. Responsabilité disproportionnée de l'administrateur
Le texte stipule que l'administrateur "engage sa responsabilité et peut répondre pénalement et administrativement" en cas de malveillance ou de négligence.
➡ Problème :
Un administrateur ne peut être tenu responsable de manière absolue pour toute destruction, détournement ou reproduction d'une information, surtout si cela résulte d'une faille de sécurité indépendante de sa volonté.
En droit pénal, la responsabilité individuelle suppose un fait personnellement commis avec intention (dol) ou faute caractérisée.
Le texte semble trop large et pourrait être interprété comme une présomption de faute systématique.
✅ Solution :
Préciser que l'administrateur ne peut être tenu responsable que dans la limite de ses missions et en cas de faute avérée (négligence grave, faute intentionnelle).

2. Absence de gradation des sanctions
Le texte mentionne que l'administrateur "pourra encourir des sanctions disciplinaires ou administratives adaptées à la gravité des agissements constatés", mais sans préciser les critères d'évaluation ni les procédures de défense.
➡ Problème :
Une sanction disciplinaire dans la fonction publique suit une procédure stricte (droit à la défense, saisine de la CAP, proportionnalité des sanctions).
Il faudrait mentionner le cadre légal applicable, par exemple le statut général de la fonction publique ou les textes internes réglementant les sanctions.
✅ Solution :
Ajouter que les sanctions seront prononcées conformément aux dispositions légales et réglementaires applicables à l'agent public concerné.

3. Suspension des droits d'accès sans garanties procédurales
Le texte indique que les droits d'accès de l'administrateur pourront être suspendus ou supprimés en fonction de la gravité et de la fréquence des fautes.
➡ Problème :
Aucune mention d'un droit de recours ou d'une procédure contradictoire.
Le retrait des accès peut impacter l'exercice des fonctions de l'agent et pourrait être assimilé à une sanction déguisée.
Dans la fonction publique, une sanction disciplinaire ne peut être appliquée sans respect des procédures réglementaires.
✅ Solution :
Ajouter une mention indiquant que toute suspension ou suppression d'accès devra être précédée d'une notification formelle et respecter les procédures disciplinaires et de recours prévues par le statut de la fonction publique.

4. Obligation de respecter le "process Change Management"
Le texte impose à l'administrateur de respecter les process internes, notamment le Change Management.
➡ Problème :
Ce process n'est pas défini juridiquement.
Si ce process évolue, l'administrateur pourrait être sanctionné pour ne pas l'avoir suivi, alors qu'il n'a pas été officiellement notifié des changements.
✅ Solution :
Préciser que les process applicables doivent être communiqués officiellement et mis à jour avec notification aux agents concernés.

Conclusion
Le texte est juridiquement engageant pour l'administrateur mais présente des risques :
Une responsabilité excessive et non limitée aux fautes avérées.
Un manque de garanties procédurales sur les sanctions et le retrait des accès.
Une obligation de respecter des process internes sans cadre clair.

🔹 Recommandation : Modifier le texte pour garantir un cadre légal respectant les droits des agents.
Si ce document a été signé tel quel, un recours pourrait être envisagé en cas de sanction abusive.

[judzk]

Hello, mon chef relance le service pour la signature du document, d'autres avis?
Julien

[f.forestier]

Hello

tu signes rien du tout, ton DU débarque tout droit de Jurrasic Park

1 on ne signes plus de charte depuis l'an 2000, elles sont annexé au RI de l'Unité ou des établissements tutelles et s'applique de plein droit
2 un fonctionnaire quelque soit sa fiche de poste a déjà tout un empilement de regele a respecter il n'est pas nécessaire voir illégale de créer du droit supplémentaire sur le sujet
3 s'il y a un vrai pb, le juge appellera tout le monde sur le banc des mis en examen et chacun repartira avec sa vraie part de responsabilité celle du DU comprise et tu ne seras inquiété que si faut il y a !
Je suis vraiment surpris de ce genre de comportement d'autant que les DU subissent des formations de DU et dispose d'une aide des services juridique des établissements ...
4 tu peux demander a etre réquisitionné sur les sujets abordés (s'ils sont hors normes pour ton poste) et de fait la responsabilité remonte tout entière au donneur d'ordre bref on est bien loin d'une ambiance paisible qui doit prédominer dans une équipe de recherche
Courage et tiens bon jusqu'au NOEMI !

[boisrobe]

Sur le fond je trouve que la charte va trop dans les détails et fait donc peur.
Ce type de charte est faite pour rappeler l'importance des postes d'administrateur et sensibiliser sur le fait que nous manipulons des données larges et avons accès à des informations devant rester secrètes.

Telle que cette charte est écrite j'aurais peur d'un effet pervers des collègues : je ne fais pas car je ne veux pas être responsable.
Une charte administrateur est demandée dans toute bonne pssi et conforme au standard iso 27001.
Elle se veut normalement assez générique.

Elle doit rappeler nos droits et devoirs et pas rentrer dans le détail de l'organisation de la dsi.

De toute façon nous sommes déjà responsables de nos actes comme les médecins comme ce qui a été dit plus haut.

Sur le point annexé au règlement intérieur c'est un abus administratif pour éviter d'avoir à faire signer et gérer les retours de chartes.
Une charte se devrait d'être signée justement pour être opposable.
En tout cas dans le privée.
Le contexte public ayant déjà son cadre bien défini : du moins pour les fonctionnaires ;-) et c'est peut être face à ce changement que je ne maîtrise pas (cdd, cdi) que les pratiques changent.

Je rejoins le fait qu'une analyse juridique serait intéressante.

[judzk]

Pour le suivi, on était censé rendre les signatures pour le 17 mars. Il a tellement vu les râleurs du service, dire " non, moi je signe pas ça" qu'il a s du abandonner car il n'a plus jamais relancé le sujet ( malgré la lecture des 5 pages pendant 45mn en réunion.... )