Départ d'un salarié : reprendre ses accès informatiques

Le départ d’un salarié se prépare comme une bascule technique : couper les accès, récupérer le matériel, conserver ce que la loi impose de garder. Trois opérations distinctes, souvent confondues. La règle qui les relie tient en une phrase : rien ne se supprime avant que la liste de ce qui doit être conservé soit arrêtée.

L’enjeu n’a rien de théorique pour une petite structure. Le Panorama de la cybermenace 2025 de l’ANSSI recense 1 366 incidents confirmés sur l’année et 128 compromissions par rançongiciel signalées, dont 48 % touchant des petites structures, TPE, PME et ETI confondues. Ces organisations gèrent leurs annuaires d’accès à la main, entre deux dossiers, et traitent les départs de la même façon.

Le calendrier commence à l’annonce, pas au dernier jour

Une sortie se joue sur quatre moments, chacun avec sa logique propre. Confondre la notification et le départ effectif produit deux erreurs symétriques : couper trop tôt, ce qui bloque une personne encore en poste et encore payée pour travailler ; couper trop tard, ce qui laisse des accès actifs des semaines après la remise du certificat de travail.

L’ANSSI place le sujet en mesure 6 de son guide d’hygiène informatique, qui en compte 42 : organiser les procédures d’arrivée, de départ et de changement de fonction des utilisateurs. Le texte demande que la procédure soit définie avec la fonction ressources humaines et couvre la création comme la suppression des comptes et des boîtes aux lettres, les droits à retirer, les accès physiques aux locaux avec restitution des badges et des clés, l’attribution des équipements mobiles et le sort des mots de passe partagés.

Le gel des droits d’administration dès l’annonce mérite un mot. Aucune suspicion là-dedans : un compte à privilèges reste le point le plus sensible du système, et une personne qui part n’a plus de raison d’en porter la charge pendant son préavis. La séparation entre compte de travail quotidien et compte d’administration prend ici toute sa valeur, puisqu’elle rend ce gel indolore.

Quatre familles d’accès, quatre traitements différents

Une liste de comptes ne constitue pas une cartographie. Quatre familles cohabitent dans une PME, et seule la première se ferme d’un clic.

• L’identité principale : compte de l’annuaire, session Windows ou macOS, messagerie, authentification unique vers les applications raccordées
• Les comptes ouverts en direct par le salarié sur des services en ligne, avec son adresse professionnelle, hors de toute déclaration
• Les accès dont il était titulaire nominatif pour le compte de l’entreprise : registrar du nom de domaine, hébergeur, banque, espaces clients, comptes publicitaires
• Les comptes de service, partagés ou techniques, dont le mot de passe circule par messagerie depuis des années

La deuxième famille renvoie directement au shadow IT : couper l’authentification unique ne ferme pas un compte créé en dehors d’elle, avec un mot de passe propre. Ces services continuent de fonctionner après le départ, parfois avec des fichiers clients à l’intérieur. Le rapport SMB Cyber Resilience Report 2022 de Kaspersky relevait déjà que près de la moitié des PME interrogées n’avaient pas la certitude que leurs anciens salariés avaient perdu tout accès aux données de l’entreprise via les services en nuage ou les comptes professionnels.

La troisième famille est la moins anticipée et la plus coûteuse. Un nom de domaine enregistré au nom personnel d’un collaborateur, un compte publicitaire dont il reste l’unique administrateur, un accès bancaire dont il détient le second facteur : le départ ne casse rien le jour même, puis le renouvellement suivant tombe dans le vide. Vérifiez les titulaires pendant le préavis, jamais après.

La boîte aux lettres, le piège le plus fréquent

Supprimer la messagerie le dernier jour paraît propre. La décision est mauvaise sur deux plans.

Sur le plan juridique d’abord. Dans son arrêt du 18 juin 2025, pourvoi n° 23-19.022, la chambre sociale de la Cour de cassation a jugé que les courriels émis ou reçus par un salarié au moyen de sa messagerie professionnelle constituent des données à caractère personnel au sens de l’article 4 du RGPD. L’intéressé peut donc en réclamer la communication au titre du droit d’accès de l’article 15, métadonnées et contenu compris, cette communication pouvant être limitée lorsqu’elle porte atteinte aux droits et libertés des tiers. Une boîte détruite le jour du départ vous laisse sans réponse si la demande arrive trois mois plus tard, contentieux prud’homal à l’appui.

Sur le plan opérationnel ensuite. Les commandes en cours, les fils de discussion avec les clients et les pièces jointes que personne n’a archivées vivent dans cette boîte. La séquence qui tient : couper l’accès du partant, conserver le contenu, mettre en place une redirection ou une délégation vers un successeur identifié, prévenir les correspondants, puis fixer par écrit la date de suppression.

Deux points de vigilance. La redirection s’annonce, au salarié comme aux tiers qui écrivent : l’article L1222-4 du Code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui ne lui a pas été porté préalablement à sa connaissance. Et sa durée reste courte, quelques mois, le temps que les interlocuteurs basculent sur la nouvelle adresse. Une redirection laissée en place deux ans finit par acheminer du courrier personnel vers un successeur qui n’a rien demandé.

Ce que la loi vous oblige à garder

La suppression réflexe se heurte à un principe simple : certaines pièces doivent survivre au départ. La CNIL a publié le 2 avril 2026 un référentiel de durées de conservation consacré à la gestion des ressources humaines, qui distingue la base active de l’archivage intermédiaire. Les données de gestion du personnel se conservent en base active pendant toute la relation de travail, puis basculent en archivage intermédiaire lorsque l’employeur y est tenu ou souhaite se ménager une preuve en cas de contentieux, dans la limite du délai de prescription applicable. Le registre du personnel suit la même mécanique : durée de présence en base active, puis cinq ans à compter du départ en archivage intermédiaire.

Ce référentiel n’a pas de portée contraignante par lui-même, sous réserve des durées fixées par un texte, mais il donne la grille de lecture que la CNIL applique. Retenez surtout la distinction : un archivage intermédiaire n’est pas un dossier laissé en l’état sur le serveur partagé. Il suppose un accès restreint aux seules personnes qui en ont besoin, une séparation d’avec les données courantes et une date de purge inscrite quelque part.

Le compte lui-même reste le point sensible. Réattribuer une session existante à un nouvel arrivant fait gagner une heure et détruit toute traçabilité : les actions du prédécesseur et celles du successeur se mélangent dans les mêmes journaux, et plus personne ne sait qui a supprimé quoi. Créez un compte neuf, transférez les fichiers, désactivez l’ancien.

Le matériel revient, les données restent

La restitution obéit au droit du travail, pas à l’intuition. Aucune retenue sur salaire ne sanctionne un ordinateur non rendu : l’article L1332-1 du Code du travail prohibe les sanctions pécuniaires. L’article L3251-2 ouvre bien une compensation limitée aux outils et instruments de travail, à condition qu’un accord écrit du salarié, une clause du contrat ou une disposition du règlement intérieur la prévoie. Hors de ce cadre, la voie reste la mise en demeure, puis l’action en réparation du préjudice subi.

Une remise se documente. Un bon de restitution daté, listant chaque équipement avec son numéro de série et son état apparent, signé des deux côtés, règle la quasi-totalité des litiges avant leur naissance. Le même document sert à l’arrivée du suivant, ce qui referme la boucle sans travail supplémentaire.

Le matériel récupéré ne repart pas tel quel vers un autre poste. Un portable rendu contient des sessions ouvertes, des mots de passe enregistrés dans le navigateur, des fichiers locaux jamais synchronisés vers l’espace partagé. Trois gestes suffisent : sauvegarder ce qui n’existe nulle part ailleurs, déconnecter les comptes du système d’exploitation, remettre à zéro. Si l’appareil quitte définitivement l’entreprise, la suppression des données avant revente répond à des exigences plus strictes qu’un simple formatage.

Les téléphones méritent un traitement à part. Un appareil professionnel rendu avec un compte personnel encore actif dessus bloque parfois toute réinitialisation, et le déblocage suppose la coopération de quelqu’un qui a déjà quitté les lieux. Le sujet se règle avant le dernier jour, au moment où le salarié transfère ses données vers son propre appareil.

Les secrets que le départ rend caducs

Chaque personne qui part emporte la connaissance de ce qu’elle a vu. Les secrets partagés qu’elle a manipulés cessent d’être des secrets le jour de sa sortie, quelle que soit la qualité de la séparation. La mesure 6 du guide d’hygiène de l’ANSSI le formule sans détour en rangeant dans la procédure de départ la gestion des informations sensibles : transfert des mots de passe, changement des mots de passe ou des codes sur les systèmes existants.

Cinq éléments se renouvellent systématiquement :

• Les mots de passe des comptes partagés et techniques auxquels la personne accédait
• Les clés d’interface de programmation et les jetons d’intégration qu’elle a créés
• Le mot de passe du réseau sans fil, quand il reste unique pour toute l’entreprise
• Les codes d’alarme, de coffre et de digicode
• Les comptes dont le second facteur était rattaché à son numéro de téléphone personnel

Le dernier point bloque plus d’une entreprise. Un espace bancaire ou un compte fournisseur protégé par un code envoyé sur un mobile qui a quitté la société devient inaccessible dès la première déconnexion, et la procédure de récupération prend des jours. Le rattachement des seconds facteurs à des supports maîtrisés par l’entreprise se traite en amont, dans le cadre de votre politique de mots de passe, pas dans l’urgence d’un vendredi soir.

Trente jours plus tard : la revue qui ferme le dossier

La coupure du dernier jour rate toujours quelque chose. Une revue à trente jours rattrape l’essentiel, à condition d’être posée dans l’agenda le jour même du départ.

La CNIL recommande, dans sa fiche consacrée à la gestion des habilitations, une revue régulière des droits d’accès, au minimum annuelle, pour repérer et supprimer les comptes inutilisés puis réaligner les droits sur les fonctions réelles. Elle pointe deux oublis récurrents : les comptes des personnes parties ou ayant changé de poste, et les autorisations temporaires accordées pour un remplacement, jamais retirées ensuite.

Ces comptes survivants portent un nom : les comptes orphelins. Ils cumulent trois propriétés qui en font une cible de choix. Des droits parfaitement légitimes, donc invisibles pour un contrôle automatique. Aucune surveillance, puisque personne ne les utilise au quotidien. Aucun propriétaire pour signaler une connexion anormale un dimanche à trois heures du matin.

Un ancien salarié qui se reconnecte s’expose au demeurant à des poursuites. L’article 323-1 du Code pénal punit de deux ans d’emprisonnement et de 30 000 euros d’amende le fait d’accéder ou de se maintenir frauduleusement dans un système de traitement automatisé de données, peine portée à trois ans et 45 000 euros lorsque l’intrusion entraîne la suppression ou la modification de données. Cette protection ne joue vraiment que si vous savez dater la révocation et produire des journaux de connexion cohérents.

Cinq erreurs qui reviennent d’un dossier à l’autre

• Traiter le départ le dernier jour seulement, sans rien geler à l’annonce ni rien contrôler ensuite
• Réattribuer le compte du partant au nouvel arrivant pour gagner une heure de configuration
• Supprimer la boîte aux lettres avant d’avoir arrêté par écrit ce qui se conserve, où et combien de temps
• Oublier prestataires, stagiaires et alternants, dont les accès échappent souvent à toute procédure
• Ne renouveler aucun secret partagé, au motif que la séparation s’est bien passée

Un sixième piège guette les structures qui externalisent leur informatique : croire que le prestataire ferme les comptes de sa propre initiative. Il ferme ce dont il détient la main et ce que vous lui signalez. Les services souscrits en direct par les équipes lui échappent entièrement, comme toute la couche applicative ouverte sans lui. Une PME qui a rassemblé ses outils collaboratifs autour d’une base commune réduit mécaniquement ce périmètre aveugle.

Prochaine étape : ouvrez votre annuaire, sortez la liste des comptes actifs, confrontez-la au registre du personnel. Chaque ligne sans salarié en face devient votre première tâche de la semaine.