Un salarié s'en va : la check-list informatique pour ne rien laisser ouvert

Démission, fin de contrat, retraite : dans une petite entreprise sans service informatique, un salarié qui s'en va laisse souvent des portes ouvertes. Sa messagerie fonctionne encore, il connaît le mot de passe du Wi-Fi et du logiciel de caisse, il reste administrateur de la page Facebook. Or l'ANSSI est claire : au départ d'un collaborateur, il faut faire l'inventaire de ses accès et tous les révoquer, pour que ni lui ni un tiers ne puisse plus s'en servir. La CNIL demande aussi de supprimer ses permissions d'accès à la fin de son contrat. Voici notre check-list, dans l'ordre.

Avant le départ : faites l'inventaire de ses accès

Quelques jours avant, listez avec lui tout ce qu'il utilise. L'ANSSI cite les comptes, les badges et les clés, les équipements mobiles, et les mots de passe ou codes à changer.

• Le matériel : ordinateur, téléphone, tablette, clés USB, disques externes, badges et clés des locaux.
• Les comptes : messagerie, Microsoft 365 ou Google Workspace, logiciels métier (caisse, facturation, comptabilité, rendez-vous), banque en ligne et cartes, comptes chez vos fournisseurs.
• Votre vitrine en ligne : page Facebook, fiche d'établissement Google, nom de domaine et hébergement du site (à quel nom sont-ils enregistrés, et qui reçoit les avis de renouvellement ?).
• Les secrets partagés : mot de passe du Wi-Fi, comptes communs, code de l'alarme.

Pour chaque compte, notez qui l'administre, sur quel téléphone arrivent les codes de double authentification, et quelle adresse ou quel numéro permet de le récupérer : si c'est son portable personnel, mettez le vôtre à la place. Deux comptes demandent de l'avance :

• La fiche Google : seul son propriétaire principal peut transférer ce rôle. Si c'est votre salarié, faites-vous ajouter comme propriétaire, puis demandez-lui ce transfert. Google impose sept jours d'attente à un nouveau propriétaire avant certaines opérations : ne vous y prenez pas la veille.
• La page Facebook : seule une personne qui en a le « contrôle total » peut retirer l'accès des autres, et elle peut retirer n'importe qui, vous compris. Vérifiez que vous l'avez ; nos conseils pour la verrouiller sont dans l'article page Facebook piratée.

Laissez-lui enfin le temps de récupérer ses fichiers personnels, et demandez-lui de ranger ceux de l'entreprise dans l'espace partagé.

Le jour J : désactivez, ne supprimez pas tout de suite

Coupez ses accès le jour J, sans supprimer ses comptes dans la foulée. Chez Google, ce qui n'a pas été transféré à un collègue (e-mails, fichiers Drive) disparaît avec le compte, et vous n'avez que 20 jours pour le restaurer ; chez Microsoft, la boîte mail et le OneDrive d'un compte supprimé ne sont conservés que 30 jours.

• Microsoft 365 : dans le Centre d'administration, Utilisateurs, puis Utilisateurs actifs, sélectionnez son nom. Faites « Réinitialiser le mot de passe », puis, dans l'onglet Compte, « Se déconnecter de toutes les sessions », et enfin « Bloquer la connexion » : ce blocage peut mettre jusqu'à 24 heures à s'appliquer, d'où le nouveau mot de passe d'abord.
• Google Workspace : dans la console d'administration, Annuaire, puis Utilisateurs, « Suspendre le compte utilisateur » : ses données sont conservées, mais il n'a plus accès à aucun service. Google conseille aussi de changer son mot de passe, de réinitialiser ses cookies de connexion et de retirer son adresse et son numéro de récupération.
• Les mots de passe et codes partagés : changez-les tous (logiciels, boutique en ligne, Wi-Fi, alarme). Pour un compte partagé, la CNIL demande de renouveler le mot de passe dès qu'une personne n'a plus besoin d'y accéder. Si le service liste les appareils connectés, déconnectez ceux qui ne sont pas à vous.
• La fiche Google : menu « Plus », « Paramètres de la fiche d'établissement », puis « Utilisateurs et accès » : sélectionnez-le, puis « Supprimer l'utilisateur ». La page Facebook : retirez son accès, en gardant au moins une personne avec le contrôle total, sinon Meta désactive la Page et programme sa suppression.
• La double authentification : activez-la partout où elle manque, comme le recommande l'ANSSI, avec votre téléphone ou une clé de sécurité, pas celui du salarié.
• La banque : demandez-lui de retirer ses accès en ligne et ses moyens de paiement.

Sa boîte mail : ce que dit la CNIL

La CNIL recommande de prévenir le salarié de la date de fermeture de sa messagerie, pour qu'il puisse trier ses messages et transférer ses messages privés vers sa messagerie personnelle. Un message clairement identifié comme personnel, par exemple par son objet, ne doit pas être lu par l'employeur. Une fois le salarié parti, son adresse nominative doit être supprimée.

Deux pièges à éviter :

• Le transfert automatique : une règle de renvoi vers son adresse personnelle continuerait de lui envoyer vos échanges. Au départ d'un employé, la CNIL conseille de désactiver la messagerie et ses règles de renvoi ; l'ANSSI proscrit toute redirection de messages professionnels vers une messagerie personnelle.
• La boîte partagée sans nouveau mot de passe : Microsoft 365 permet de convertir sa boîte en boîte aux lettres partagée pour garder ses messages, sans licence sous 50 Go. Mais si vous ne réinitialisez pas le mot de passe, son identifiant et son mot de passe continuent de fonctionner. Et ses règles de boîte de réception sont conservées : vérifiez-les.

Pour ne perdre aucune demande de client, Microsoft prévoit une réponse automatique pour ce cas (onglet Courrier de l'utilisateur, « Réponses automatiques ») : annoncez le départ et donnez la nouvelle adresse à utiliser. Chez Google, avant de supprimer le compte, migrez ses e-mails vers un autre compte ou redirigez les nouveaux messages vers une autre adresse de l'entreprise. Notre conseil : limitez cette transition au temps de prévenir clients et fournisseurs, puis supprimez l'adresse.

Le matériel : récupérer, sauvegarder, puis effacer

1. Récupérez tout ce qui figure dans votre inventaire, badges et clés compris.
2. Sauvegardez ce qui appartient à l'entreprise (devis, factures, fichier clients, photos de chantier) avant toute remise à zéro : voyez la règle du 3-2-1.
3. Levez les verrous de ses comptes personnels. Si l'ordinateur a été configuré avec son compte Microsoft, la clé de récupération BitLocker peut se trouver dans ce compte, et le support Microsoft ne peut pas fournir une clé perdue : récupérez-la avant son départ. Après une remise à zéro, un téléphone Android demande l'identifiant et le mot de passe d'un compte Google déjà utilisé sur l'appareil, et un iPhone encore associé à son compte Apple par la fonction Localiser ne peut pas être réactivé sans son mot de passe. Faites-lui retirer ses comptes, et notez les codes de déverrouillage.
4. Effacez : sous Windows 11, Paramètres, Système, Récupération, « Réinitialiser le PC », puis « Tout supprimer », avec l'option « Nettoyer les données » si l'ordinateur quitte l'entreprise. Pour les téléphones, Microsoft 365 et Google Workspace permettent d'effacer à distance les seules données de l'entreprise, ou tout l'appareil.

Un téléphone personnel utilisé pour le travail ? N'effacez que les données de l'entreprise : la CNIL déconseille d'accéder aux éléments de vie privée de l'espace personnel d'un tel appareil. L'ordinateur effacé est prêt pour la personne suivante : créez-lui son propre compte.

Les licences : à résilier ou à réattribuer

• Microsoft 365 : retirez sa licence (onglet Licences et applications) pour la donner à son remplaçant, ou réduisez leur nombre dans Facturation, Vos produits, « Supprimer les licences ». Attention : une fois la licence retirée, ses e-mails, contacts et calendrier sont conservés 30 jours, puis supprimés définitivement. Convertissez ou exportez sa boîte avant.
• Google Workspace : un compte suspendu est facturé comme un compte actif. Supprimer le compte vous permet de réattribuer sa licence (forfait annuel) ou d'arrêter de la payer (forfait modulable) ; pour garder ses données à moindre coût, Google propose une licence « Utilisateur archivé ».
• Les logiciels et abonnements facturés par utilisateur : résiliez sa place ou attribuez-la à son successeur.

Départ conflictuel : surtout, ne touchez à rien

Fichiers copiés sur une clé USB avant le départ, messages transférés, connexion après la date de fin, données effacées ? Cybermalveillance.gouv.fr rappelle qu'une intrusion peut venir de l'intérieur, par exemple d'un collaborateur mécontent. Dans ce cas, n'effacez et ne réinstallez rien :

• mettez de côté l'ordinateur et les supports concernés, sans vous en servir : chaque démarrage modifie des traces ;
• changez les mots de passe des comptes qui ont pu être touchés ;
• déposez plainte avant toute réinstallation, pour conserver les preuves techniques, comme le conseille Cybermalveillance.gouv.fr ;
• si des données personnelles de clients ou de salariés sont en cause, vous pourriez devoir notifier l'incident à la CNIL.

Notre expertise informatique analyse l'ordinateur sans le modifier et établit les faits (fichiers copiés ou supprimés, clés USB branchées, connexions) dans un rapport technique daté et signé. Pour les suites à donner, voyez votre conseil juridique.

Pour le prochain départ : un registre des accès

Le prochain départ se prépare dès l'embauche.

• Un registre des accès : un simple tableau avec chaque service, les personnes qui y ont accès, leur rôle, le téléphone qui reçoit les codes et l'adresse de récupération. Mettez-le à jour à chaque arrivée et départ, et relisez-le au moins une fois par an, comme le préconisent l'ANSSI pour l'inventaire des accès et la CNIL pour la revue des droits. Aucun mot de passe dedans : ils vont dans un gestionnaire de mots de passe, de préférence certifié par l'ANSSI.
• Des comptes nominatifs plutôt que partagés : la CNIL demande un identifiant unique par utilisateur, l'ANSSI des comptes nominatifs, et Google prévoit que chacun gère la fiche d'établissement avec son propre compte. Un compte nominatif se ferme seul ; un mot de passe partagé se change pour tous.
• Vous, toujours au sommet : gardez le rôle le plus élevé sur la fiche Google, la page Facebook, l'administration de la messagerie et le nom de domaine.
• Les fichiers de l'entreprise dans un espace commun : chez Google, les fichiers des Drive partagés appartiennent à l'organisation, pas aux utilisateurs.
• Une charte informatique, comme le recommande la CNIL, qui prévoit aussi la fermeture des comptes au départ.

On s'en occupe avec vous

Nous intervenons dans vos locaux, à Nancy et dans tout le Grand Nancy. Le jour du départ, nous fermons avec vous les comptes de la personne qui part, changeons les mots de passe partagés, sauvegardons puis effaçons son matériel, et remettons son poste en service pour la personne suivante : comptez notre forfait S, à 50 € net jusqu'à une heure, ou L, à 95 € net. Toute l'année, notre contrat de maintenance, à 40 € par mois et par poste, comprend une visite mensuelle (mises à jour, sécurité, nettoyage, contrôle des sauvegardes) et les dépannages. En cas de conflit, notre expertise établit les faits. Le diagnostic par téléphone est gratuit : appelez-nous au 06 69 61 02 73.

Sources : ANSSI, la cybersécurité pour les TPE/PME en 13 questions (version 2.5, novembre 2024) et guide d'hygiène informatique (mesures 5, 6, 8 et 11) ; CNIL, précautions avant de fermer le compte d'un employé, l'accès à la messagerie d'un salarié en son absence, les attaques sur les messageries, gérer les habilitations, authentifier les utilisateurs, définir un cadre pour les utilisateurs et sécuriser l'informatique mobile ; Cybermalveillance.gouv.fr, piratage d'un système informatique professionnel (mise à jour du 28 octobre 2026) ; Microsoft, supprimer un ancien employé (étapes 1, 2, 3, 4, 6 et 7), paramètres de la messagerie utilisateur, convertir en boîte aux lettres partagée, trouver votre clé de récupération BitLocker et réinitialiser votre PC ; Google, suspendre un compte utilisateur, supprimer un compte utilisateur, sécurité des données après le départ d'un collaborateur, archiver les comptes des anciens employés, propriétaires et administrateurs d'une fiche d'établissement, transférer la propriété principale et rétablir la configuration d'usine d'un appareil Android ; Meta, autoriser, modifier ou supprimer l'accès à une Page et l'accès Facebook à une Page ; Apple, verrouillage d'activation pour l'iPhone et l'iPad.