Un collaborateur quitte l’entreprise : que devient son accès aux données ?

Un lundi matin, un responsable commercial remet sa démission. Il rejoint un concurrent à l’issue de son préavis de trois mois. Pendant ces trois mois, il conserve l’accès au CRM, à l’historique des propositions commerciales et à la grille tarifaire. La question que se pose alors la DRH dépasse largement la gestion administrative du départ : Comment organiser la transmission de ses dossiers tout en protégeant ce qui fait la valeur de l’entreprise ?

Le départ d’un collaborateur est l’un des moments où la gestion des données devient très concrète pour les ressources humaines. Les décisions prises dans ces quelques semaines engagent la protection du patrimoine informationnel, le respect des droits du salarié et, parfois, la solidité du dossier en cas de contentieux.

Le départ commence le jour de l’annonce

Dans la plupart des organisations, la DSI apprend le départ d’un collaborateur la veille de son dernier jour, voire le lendemain. Ce décalage est la source principale des accès qui restent ouverts après un départ. L’information circule de manière informelle, au gré des échanges entre le manager et le service informatique.

La première décision qui revient aux RH est donc une décision de calendrier. Dès que la date de départ est connue, l’information transmise à la DSI permet de préparer la fermeture des accès au moment opportun. Cette coordination prend tout son sens lorsque l’employeur choisit de dispenser le salarié de son préavis : La rémunération reste due, et la fin de l’activité est immédiate. Les accès doivent alors suivre la même logique, le jour même de la remise de la dispense.

Le préavis, période où les données circulent

Revenons au responsable commercial. Pendant son préavis, il reste salarié, tenu de son obligation de loyauté, et dispose légitimement de ses outils de travail. Il arrive pourtant qu’à l’approche d’un départ vers un concurrent, des fichiers clients ou des documents commerciaux soient transférés vers une adresse de messagerie personnelle.

Le droit offre aux employeurs des leviers solides dans cette situation. La jurisprudence considère que l’envoi de documents confidentiels de l’entreprise vers une messagerie personnelle, sans lien avec l’exécution du travail, peut constituer une faute. Le secret des affaires, protégé depuis la loi du 30 juillet 2018, permet d’agir contre l’utilisation ultérieure de ces informations par le nouvel employeur. Ces leviers ont toutefois une condition d’efficacité : l’entreprise doit être en mesure de démontrer le caractère confidentiel des informations et les mesures qu’elle a prises pour les protéger.

C’est là que le travail en amont fait la différence. Une charte informatique annexée au règlement intérieur, une classification des informations sensibles et une clause de confidentialité adaptée au poste constituent le socle de cette preuve. Les dispositifs de journalisation des transferts de fichiers, lorsqu’ils existent, doivent avoir été portés à la connaissance des salariés et soumis à l’information du CSE pour être opposables.

La boîte mail d’un manager qui part

Une directrice de projet quitte l’entreprise après six ans. Sa messagerie contient l’historique des échanges avec les principaux clients, des validations de devis et des engagements pris par écrit. Son successeur a besoin de ces informations dès son arrivée.

La règle juridique est claire sur le principe : les messages envoyés et reçus depuis la messagerie professionnelle sont présumés professionnels, et l’employeur peut y accéder. Les messages identifiés comme personnels par leur objet ou leur classement relèvent en revanche du secret des correspondances. Pour concilier les deux, la CNIL recommande de laisser au collaborateur la possibilité de récupérer ses éléments personnels avant son départ, puis de désactiver la boîte à la date de sortie, avec un message automatique qui oriente les correspondants vers un nouvel interlocuteur pendant une durée raisonnable.

La meilleure pratique reste d’organiser la passation pendant le préavis, avec le collaborateur lui-même, en transférant les échanges utiles vers les espaces partagés de l’équipe. Cette méthode évite à l’employeur d’avoir à ouvrir la boîte d’un salarié parti, démarche toujours délicate.

Le remplaçant qui reprend le compte de son prédécesseur

Pour gagner du temps, certaines équipes transmettent au remplaçant les identifiants de la personne partie. La pratique paraît efficace, et elle pose une difficulté sérieuse : toutes les actions réalisées ensuite le sont sous l’identité d’un ancien salarié. En cas d’erreur, de litige avec un client ou d’incident, l’organisation perd la capacité de savoir qui a fait quoi.

La traçabilité des actions est une exigence de sécurité attendue par le RGPD, par ISO 27001 et par les cadres comme NIS2 ou DORA. La solution consiste à créer un compte nominatif pour le remplaçant et à lui donner accès aux dossiers et à l’historique nécessaires, avec l’appui de la DSI. Pour les RH, c’est un message simple à intégrer dans les consignes données aux managers au moment de chaque départ.

La demande d’accès qui accompagne le contentieux

Trois semaines après son licenciement, un ancien salarié adresse à l’entreprise une demande d’accès à ses données personnelles au titre de l’article 15 du RGPD. Il demande notamment la copie des courriels le concernant. La procédure prud’homale est engagée en parallèle.

Cette situation est devenue courante, et elle répond à des règles précises. L’employeur dispose d’un mois pour répondre, prolongeable de deux mois en cas de complexité, à condition d’en informer le demandeur. La Cour de cassation a confirmé en 2025 que les courriels émis ou reçus par un salarié dans le cadre de son activité constituent des données personnelles auxquelles il peut accéder, sous réserve des droits des tiers mentionnés dans ces échanges.

Une telle demande se traite d’autant plus sereinement que l’organisation sait où se trouvent les données du salarié : SIRH, messagerie, dossiers partagés, outils métiers, archives. Le registre des traitements et une procédure de gestion des demandes d’exercice de droits, préparés avec le DPO, transforment une demande stressante en un exercice maîtrisé.

Ce qui reste après le départ

La fin du contrat marque le début d’une autre phase pour le dossier du salarié. Les données utiles aux obligations légales et à la défense de l’entreprise en cas de litige sont conservées en archivage intermédiaire, avec un accès réservé à quelques personnes habilitées, pendant les durées prévues par le référentiel de la CNIL relatif à la gestion du personnel. Les bulletins de paie dématérialisés obéissent à une règle spécifique : ils doivent rester accessibles au salarié pendant cinquante ans ou jusqu’à ses soixante-quinze ans, conformément à l’article D. 3243-8 du Code du travail.

Un point est fréquemment oublié par les services RH et communication : la photographie du collaborateur sur le site internet, dans l’organigramme ou sur les supports commerciaux. Son utilisation reposait sur son accord dans le cadre de ses fonctions, et son départ justifie de la retirer ou de solliciter une autorisation explicite pour la conserver.

Une procédure partagée entre RH, managers et DSI

Toutes ces situations ont un point commun : elles se règlent facilement lorsque chacun connaît son rôle et le moment où il intervient. Formaliser le parcours de départ dans une procédure courte, déclenchée systématiquement par les RH, apporte cette clarté. Elle constitue aussi une preuve précieuse lors d’un audit, d’un questionnaire client ou d’un contentieux.