Création d'un compte sur le SI d'entreprise sans contrat de travail : risques et obligations 🧠 Droit du numérique

La réponse courte est **oui, techniquement et juridiquement**, il est possible de créer un compte utilisateur pour une personne sans contrat de travail (prestataire externe, stagiaire, intérimaire, auditeur). Cependant, cette pratique est **hautement sensible**. Sans un cadre contractuel alternatif rigoureux, l'entreprise s'expose à des risques majeurs de requalification sociale et de failles de sécurité. Voici l'analyse stratégique des risques et les obligations à respecter. --- ### 1. Le risque majeur : La requalification en contrat de travail C'est le risque le plus lourd financièrement. Si une personne dispose d'un accès permanent au système d'information (SI), d'une adresse email interne et qu'elle reçoit des instructions précises, elle peut demander la requalification de sa relation en contrat de travail. * **Le "Coup d'après" :** En cas de fin de collaboration, l'utilisateur pourrait arguer que l'accès au SI et l'intégration aux outils de l'entreprise prouvent l'existence d'un **lien de subordination**. * **La preuve :** Le juge s'appuiera sur les logs de connexion, les échanges de mails internes et le niveau de contrôle exercé sur l'activité de l'utilisateur. * **Base légale :** [L'article L1221-1 du Code du travail](https://www.google.com/search?q=Article+L1221-1+Code+du+travail) dispose que le contrat de travail existe dès lors qu'une personne travaille sous la direction d'un employeur moyennant rémunération. ### 2. Risques de sécurité et RGPD L'ouverture d'un compte à un tiers sans contrat de travail (ou contrat de prestation) crée un vide juridique en cas de fuite de données ou de sabotage. * **Responsabilité de l'employeur :** Selon le RGPD, l'entreprise est responsable de la sécurité des données. Donner un accès sans cadre strict contrevient à l'obligation de sécurité prévue par [l'article 32 du RGPD](https://www.google.com/search?q=Article+32+RGPD+sécurité+du+traitement). * **Absence de sanction disciplinaire :** Sans contrat de travail, vous ne pouvez pas utiliser le droit disciplinaire classique. En cas de faute (ex: vol de fichiers), vous devrez agir sur le terrain de la responsabilité civile ou pénale (accès frauduleux à un système de traitement automatisé de données). ### 3. Obligations administratives et CSE Si l'introduction de nouveaux types d'accès ou de nouveaux outils de contrôle liés à ces comptes "externes" modifie les conditions de travail ou la gestion de l'entreprise, le Comité Social et Économique (CSE) doit être impliqué. * **Consultation du CSE :** Selon [l'article L2312-8 du Code du travail](https://www.google.com/search?q=Article+L2312-8+Code+du+travail), le CSE doit être consulté sur les questions intéressant l'organisation, la gestion et la marche générale de l'entreprise, notamment l'introduction de nouvelles technologies. * **Exécution de bonne foi :** Toute relation contractuelle (même de prestation) doit être exécutée de bonne foi, conformément à [l'article L1222-1 du Code du travail](https://www.google.com/search?q=Article+L1222-1+Code+du+travail). --- ### Stratégie et Plan d'Action (Le "Go/No-Go") Pour sécuriser la création de ce compte, vous devez impérativement suivre ces étapes : 1. **Justifier d'un cadre contractuel tiers :** Ne créez jamais de compte "à vide". Il doit y avoir soit une **convention de stage**, soit un **contrat de prestation de services**, soit un **contrat d'intérim**. 2. **Faire signer une Charte Informatique :** L'utilisateur doit signer un document (ou une annexe au contrat de prestation) acceptant les règles de sécurité et de confidentialité de l'entreprise. C'est votre seule protection juridique en cas de mauvais usage. 3. **Appliquer le principe du "Moindre Privilège" :** * Limitez l'accès aux seules données strictement nécessaires. * Utilisez un suffixe explicite dans l'email (ex: `jean.dupont-ext@entreprise.fr`) pour éviter toute confusion avec les salariés. * Programmez une **date d'expiration automatique** du compte alignée sur la fin de la mission. 4. **La Charge de la preuve :** En cas de contrôle ou de litige, vous devez être capable de prouver que cet utilisateur n'est pas intégré à l'équipe comme un salarié (pas d'entretien annuel, pas de lien hiérarchique direct, autonomie dans l'organisation du travail). **Mon conseil :** Si cet utilisateur est une personne physique (auto-entrepreneur) travaillant exclusivement pour vous sur vos outils, le risque de requalification est **ÉLEVÉ**. Préférez, si possible, que le prestataire utilise son propre matériel et ses propres outils de communication.