Réponse courte : le jour du départ d’un salarié, réinitialisez son mot de passe, déconnectez toutes ses sessions, bloquez sa connexion et récupérez ses appareils. Transférez ensuite ses données (boîte mail, OneDrive) à un collègue, retirez la licence et supprimez son adresse nominative. Prévenez-le à l’avance de la date de fermeture, comme le recommande la CNIL.
Sécuriser les accès informatiques lors du départ d’un salarié est l’un des angles morts les plus fréquents en PME. Le contrat s’arrête, le badge est rendu, mais le compte Microsoft 365, l’accès au logiciel de comptabilité ou le mot de passe du Wi-Fi restent actifs pendant des semaines. Un ancien collaborateur mécontent, ou un pirate qui a volé ses identifiants, dispose alors d’une porte ouverte. Voici la procédure complète, étape par étape.
Pourquoi faut-il couper les accès dès le départ d’un salarié ?
Parce qu’un compte actif sans utilisateur légitime est un compte que personne ne surveille. Personne ne remarquera une connexion suspecte ou un transfert de mails vers l’extérieur.
Les risques sont concrets :
- Fuite de données : fichiers clients, devis, tarifs ou contacts emportés vers un concurrent.
- Usurpation : un compte mail resté ouvert peut servir à envoyer de fausses factures à vos clients.
- Compte compromis invisible : si les identifiants ont fuité, l’attaquant profite d’un compte que personne ne consulte.
- Coûts inutiles : les licences continuent d’être facturées.
Le départ n’est pas toujours conflictuel. Mais la procédure doit être la même pour tout le monde : c’est ce qui la rend acceptable et efficace.
Quelles étapes suivre le jour du départ ?
Le jour J, l’objectif est simple : plus aucune connexion possible, sur aucun appareil. Voici la checklist que nous appliquons chez nos clients.
- Réinitialiser le mot de passe du compte principal (Microsoft 365 ou Google Workspace). C’est la mesure qui agit immédiatement.
- Déconnecter toutes les sessions. Dans Microsoft 365, l’option « Se déconnecter de toutes les sessions » prend effet en moins d’une heure, le temps que le jeton d’accès expire.
- Bloquer la connexion. Microsoft précise que ce blocage peut mettre jusqu’à 24 heures à s’appliquer : d’où l’intérêt de commencer par le mot de passe.
- Désactiver les accès mobiles et les protocoles mail (ActiveSync, IMAP, POP, Outlook sur le web) dans le centre d’administration Exchange.
- Récupérer le matériel : PC portable, téléphone, clés USB, badge. Effacer à distance un smartphone professionnel non rendu.
- Retirer le salarié des groupes, partages et outils tiers : logiciel métier, CRM, banque en ligne, réseaux sociaux de l’entreprise, accès VPN.
- Changer les mots de passe partagés qu’il connaissait : Wi-Fi, box, comptes fournisseurs, coffre-fort.
Un point souvent oublié : les fichiers que le salarié a synchronisés sur un ordinateur personnel restent accessibles sur cet ordinateur. Microsoft indique qu’ils ne peuvent pas être effacés à distance. La prévention passe donc par une politique claire sur l’usage des appareils personnels.
Que faire de sa boîte mail et de ses fichiers ?
Ne supprimez pas tout de suite le compte : sauvegardez et transférez d’abord ses données à un collègue ou au manager.
Avec Microsoft 365, la solution la plus courante est de convertir la boîte en boîte aux lettres partagée. Elle reste consultable par l’équipe, sans licence, jusqu’à 50 Go. Attention : il ne faut alors pas supprimer le compte d’origine, qui sert de support à cette boîte partagée. Pensez aussi à réinitialiser son mot de passe, sinon l’ancien reste valable.
| Élément | Ce qui se passe | Délai indiqué par Microsoft |
|---|---|---|
| Compte utilisateur supprimé | Restauration possible | 30 jours |
| Licence retirée | Mails, contacts, calendrier conservés puis effacés | 30 jours |
| OneDrive d’un compte supprimé | Conservé, puis placé dans la corbeille de la collection de sites | 30 jours, puis 93 jours |
| Boîte partagée sans licence | Reste accessible à l’équipe | Limite de 50 Go |
Autre piège : supprimer l’utilisateur n’arrête pas la facturation. Il faut aussi réduire le nombre de licences dans l’espace facturation. Nous gérons ces opérations au quotidien dans le cadre de notre administration Microsoft 365 et Google Workspace.
Que dit la CNIL sur la messagerie d’un salarié qui part ?
La CNIL demande de prévenir le salarié de la date de fermeture de son compte, pour qu’il puisse trier et récupérer ses messages personnels.
Ses recommandations tiennent en quatre points :
- Les modalités de fermeture du compte doivent être prévues dans la charte informatique, connue des salariés à l’avance.
- Les messages envoyés ou reçus depuis le poste de travail sont présumés professionnels.
- Un message clairement identifié comme personnel ne doit pas être lu par l’employeur, sauf décision de justice ou enquête pénale.
- Après le départ, l’employeur doit supprimer l’adresse mail nominative.
En pratique, une adresse générique (contact@, compta@) évite bien des difficultés : elle survit aux départs. Pour mettre votre charte et vos procédures en conformité, consultez notre accompagnement conformité RGPD.
Comment éviter d’oublier un accès ?
En tenant un inventaire des accès par salarié, mis à jour à chaque arrivée.
La procédure de départ commence en réalité le jour de l’arrivée. Si vous notez chaque compte créé (messagerie, logiciel métier, VPN, outils SaaS), il suffit de dérouler la liste au départ. Trois bonnes pratiques simplifient tout :
- Un compte central : connecter le plus d’applications possible au compte Microsoft 365 ou Google, pour qu’un seul blocage coupe tout.
- Un gestionnaire de mots de passe d’équipe, pour savoir quels secrets partagés changer. Voir notre guide pour choisir un gestionnaire de mots de passe.
- La double authentification partout, qui limite la valeur d’un mot de passe connu d’un ancien salarié. Lire notre article sur la double authentification Microsoft 365 en PME.
L’avis de l’expert
Dans les grands comptes, la gestion des départs est automatisée : le système RH déclenche la désactivation du compte, et les accès disparaissent sans intervention humaine. Une PME n’a pas besoin de cet outillage, mais elle peut en reprendre la logique. Ce qui compte, c’est que le départ soit un événement planifié, avec une date, un responsable et une checklist, et non un sujet traité « quand on aura le temps ». Les incidents que je rencontre viennent presque toujours de comptes oubliés : un accès fournisseur, un vieux compte FTP, un administrateur de site web. Un audit des comptes actifs une fois par trimestre suffit à les débusquer. C’est l’un des points que nous contrôlons lors d’un audit de cybersécurité PME.
Et pour les PME du 92 ?
À La Garenne-Colombes, Courbevoie, Nanterre ou Puteaux, beaucoup de petites structures n’ont pas d’informaticien en interne. Le départ d’un salarié tombe alors sur le dirigeant, qui ne sait pas toujours où cliquer. SOSPC82 peut prendre en charge la procédure complète : blocage, transfert des données, récupération et réinitialisation du poste pour le prochain arrivant. Avec notre infogérance PME (formules Essentiel à 19,99 €, Sérénité à 39,99 € et Premium à 79,99 € HT par poste et par mois), les arrivées et départs sont traités par notre support utilisateurs. Nous intervenons dans tout le département : voir nos zones d’intervention.
Questions fréquentes
Faut-il supprimer le compte Microsoft 365 d’un salarié qui part ?
Pas immédiatement. Bloquez d’abord la connexion, puis transférez ses mails et fichiers. Si vous convertissez sa boîte en boîte partagée, conservez le compte d’origine, qui en est le support.
Combien de temps peut-on restaurer un compte supprimé ?
Microsoft permet de restaurer un compte supprimé pendant 30 jours. Passé ce délai, les données de l’utilisateur sont effacées définitivement.
Peut-on lire les mails d’un ancien salarié ?
Les messages professionnels, oui, car ils sont présumés professionnels. Un message clairement marqué comme personnel ne doit pas être ouvert, sauf décision de justice. Les règles doivent figurer dans la charte informatique.
Faut-il prévenir le salarié avant de fermer sa messagerie ?
Oui. La CNIL recommande de lui indiquer la date de fermeture pour qu’il puisse récupérer ses messages personnels. Après son départ, l’adresse nominative doit être supprimée.
Que faire si le salarié ne rend pas son téléphone professionnel ?
Lancez un effacement à distance depuis votre outil de gestion des appareils et bloquez le compte associé. Changez aussi les mots de passe qui y étaient enregistrés.
En résumé
- Le jour du départ : mot de passe réinitialisé, sessions déconnectées, connexion bloquée, matériel récupéré.
- Ensuite : données transférées (boîte partagée, OneDrive), licence retirée, adresse nominative supprimée.
- En amont : charte informatique, inventaire des accès et double authentification.
Besoin d’une procédure de départ fiable, ou d’un prestataire qui s’en charge ? Découvrez notre infogérance pour PME ou appelez le 07 69 36 92 60. Devis gratuit sous 24 h.
Pensez aussi à récupérer et conserver les données du salarié qui part : c’est le rôle d’une sauvegarde informatique d’entreprise.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82
Sources :
- CNIL – L’accès à la messagerie d’un salarié en son absence
- CNIL – Messagerie professionnelle : quelles précautions avant de fermer le compte d’un salarié ?
- Microsoft Learn – Supprimer un ancien employé et sécuriser les données
- Microsoft Learn – Empêcher un ancien employé de se connecter
- Microsoft Learn – Convertir une boîte aux lettres en boîte partagée
- Microsoft Learn – Supprimer un utilisateur de votre organisation