Départ d’un salarié ou prestataire : retirer tous les accès sans bloquer l’activité

Un départ ne se résume pas à récupérer un ordinateur et fermer une adresse e-mail. Une personne peut encore posséder une session ouverte, un rôle administrateur, une clé du local, un accès au domaine internet, un jeton d’intégration ou des documents stockés dans un espace personnel. À l’inverse, couper tous les comptes sans préparation peut rendre un planning, une boîte client ou une facture inaccessible. L’objectif d’un offboarding informatique est double : supprimer les droits devenus inutiles et transmettre proprement ce dont l’entreprise a besoin pour continuer.

1. Fixez qui décide, quoi retirer et à quel moment

La date administrative du départ ne suffit pas. Déterminez l’instant à partir duquel la personne ne doit plus accéder aux locaux, outils et informations : fin de journée, fin de mission, restitution anticipée ou changement immédiat de rôle. Faites valider ce moment par la personne responsable du contrat de travail ou de la prestation. L’article ne remplace pas les règles RH, disciplinaires ou contractuelles applicables ; il organise leur traduction opérationnelle dans les systèmes.

Créez une fiche de sortie avec quatre responsables : celui qui confirme la date, celui qui transfère les dossiers, celui qui administre les accès et celui qui récupère le matériel. Dans une très petite équipe, une même personne peut tenir plusieurs rôles, mais chaque action doit avoir un nom et une échéance. Prévenez uniquement les personnes qui ont besoin de préparer la continuité. Une suppression trop tôt peut empêcher la remise des dossiers ; une révocation trop tardive maintient un accès sans justification.

La checklist doit couvrir salariés, apprentis, stagiaires, intérimaires, freelances, cabinets et anciens associés. Un prestataire dispose parfois de droits plus puissants qu’un salarié : administration du site, DNS, sauvegardes, facturation ou paiement. Le guide salarié ou freelance rappelle l’importance d’une réversibilité prévue au contrat ; la sortie vérifie qu’elle devient réelle.

2. Inventoriez les accès à partir des usages, pas de la mémoire

Partez du poste et des processus accomplis pendant les trente derniers jours. Listez la messagerie, l’agenda, le stockage, le CRM, la facturation, la banque, les paiements, la caisse, les réseaux sociaux, le site, le nom de domaine, l’hébergement, les outils métier, la téléphonie, les sauvegardes et les applications mobiles. Ajoutez les accès physiques : clés, badge, alarme, véhicule, casier, documents papier et supports amovibles.

Pour chaque ressource, notez le propriétaire du compte, le rôle attribué, la méthode d’authentification, l’appareil connecté et le futur responsable. Ne demandez jamais à la personne de révéler un mot de passe personnel. Un compte professionnel doit pouvoir être administré par l’entreprise sans connaître son secret. Si un mot de passe a été partagé, considérez qu’il doit être remplacé pour tous, puis migrez vers des comptes nominatifs et un gestionnaire de mots de passe.

Recherchez aussi les accès indirects : connexion « Continuer avec Google », transfert automatique d’e-mails, règles de boîte, partage public, calendrier publié, clé API, code de récupération MFA, téléphone utilisé comme second facteur ou application autorisée. Une liste de licences ne révèle pas toujours ces chemins. Les journaux d’administration et les coffres partagés peuvent aider à les retrouver sans surveiller excessivement l’activité de la personne.

3. Transférez les responsabilités avant de fermer les comptes

Un compte ne doit pas être conservé uniquement parce qu’il contient une connaissance mal rangée. Avant la coupure, réattribuez les dossiers clients, tâches, devis, rendez-vous et échéances à un responsable actif. Transférez la propriété des documents et tableaux importants vers un espace d’entreprise. Vérifiez que les fichiers s’ouvrent, que les pièces jointes sont présentes et que les droits du remplaçant permettent réellement d’agir.

Demandez une passation centrée sur les prochaines actions : client à rappeler, paiement attendu, dossier bloqué, accès dépendant d’un téléphone, automatisation à surveiller. Une documentation concise complète le mode opératoire de la TPE. Elle ne doit pas devenir une collecte de notes privées ou d’informations sans rapport avec l’activité. Le responsable de chaque processus confirme ce qui a été repris.

Testez les ressources critiques avec le compte du successeur avant de retirer l’ancien. Le nouveau responsable peut-il publier sur la fiche sociale, récupérer une facture, modifier le site ou contacter le fournisseur ? Prévoyez un compte d’administration de secours protégé, plutôt que de laisser l’ancien compte « au cas où ». La continuité vient de la transmission et de la récupération maîtrisée, pas du maintien d’une identité qui n’a plus de rôle.

4. Révoquez plus que le mot de passe

À l’heure convenue, suspendez ou supprimez le compte selon les possibilités et la politique de conservation. Retirez les groupes, délégations, rôles administrateur et droits temporaires. Révoquez toutes les sessions actives, appareils approuvés, mots de passe d’application, jetons OAuth, clés API et codes de récupération qui étaient propres à la personne. Changer uniquement le mot de passe ne ferme pas toujours une session déjà authentifiée.

Pour les secrets communs — Wi-Fi interne, alarme, compte réellement partagé, code de boîte à clés — changez la valeur et transmettez-la par un canal approprié aux seules personnes autorisées. Ne renouvelez pas tous les secrets sans priorité : commencez par les ressources sensibles et celles dont l’ancien utilisateur connaissait la valeur. Documentez les exceptions avec une date de résolution.

La CNIL recommande de supprimer les permissions dès qu’une personne n’est plus habilitée et de revoir régulièrement les droits. Cette revue peut être légère dans une TPE : liste des utilisateurs actifs, rôles administrateur, comptes sans connexion récente et accès des prestataires. L’onboarding d’un salarié et l’offboarding doivent utiliser le même registre afin que chaque droit accordé possède aussi une procédure de retrait.

5. Récupérez, sécurisez et réattribuez le matériel

Faites signer une liste factuelle : ordinateur, téléphone, chargeur, carte SIM, clé de sécurité, badge, clé, support de stockage et document confié. Notez l’état et le numéro d’inventaire, sans transformer la réception en expertise improvisée. Si le retour se fait à distance, fournissez des instructions d’emballage, un suivi et une date ; évitez qu’un appareil contenant des données professionnelles reste plusieurs semaines sans contrôle.

Après réception, isolez l’appareil du nouvel utilisateur jusqu’à la sauvegarde des éléments professionnels autorisés, la révocation des accès et la réinitialisation conforme à votre procédure. Ne parcourez pas indistinctement les fichiers ou messages. La récupération doit être limitée à ce qui appartient à l’activité et justifié par la continuité, le contrat ou une obligation. Chiffrement, verrouillage et gestion à distance devraient être préparés dès l’attribution du matériel, pas découverts le jour du départ.

6. Ne transformez pas l’ancienne messagerie en boîte permanente

Avant la fermeture, avertissez le salarié de la date prévue afin qu’il puisse trier sa boîte et transférer ses messages privés vers sa messagerie personnelle. Les modalités doivent être connues à l’avance, idéalement dans la charte informatique. Un message ou un dossier clairement marqué « Personnel » ou « Privé » reste une correspondance privée : l’employeur ne doit pas l’ouvrir, y compris après le départ, sauf cadre judiciaire particulier.

Pour assurer la continuité, limitez l’accès aux seuls messages présumés professionnels qui sont réellement nécessaires, pendant une durée courte, par des personnes autorisées et selon une procédure tracée. Informez les correspondants et orientez-les vers une adresse fonctionnelle. Après le départ, supprimez l’adresse nominative : ne la transformez ni en boîte d’équipe permanente ni en archive générale.

Supprimez les transferts personnels et vérifiez les règles cachées. Déplacez les échanges professionnels utiles vers les dossiers clients concernés avant la suppression. Le guide pour gérer une boîte mail professionnelle aide à créer des adresses de fonction et des délégations nominatives qui simplifient les prochains départs.

7. En cas de départ non préparé, protégez d’abord les actifs critiques

Si la sortie est immédiate, ne cherchez pas une passation parfaite. Confirmez l’autorité qui demande la coupure, horodatez-la et commencez par l’identité centrale, la messagerie, les comptes administrateur, les paiements, le domaine, le stockage client et l’accès physique. Révoquez les sessions, récupérez les appareils disponibles et préservez les journaux. Ensuite seulement, reconstituez les dossiers et outils secondaires.

Évitez les actions irréversibles sous pression : effacer un compte qui détient encore des ressources, réinitialiser un appareil avant d’avoir sécurisé les données professionnelles ou accuser une personne sans faits. Si un accès abusif ou une fuite est suspecté, appliquez la procédure d’incident du guide cyberattaque en TPE et demandez l’appui compétent. Un départ conflictuel n’autorise pas à négliger les droits de la personne ni la conservation des preuves.

8. Contrôlez le lendemain, puis à trente jours

Le lendemain, vérifiez la connexion bloquée, les sessions révoquées, le transfert des dossiers prioritaires, la réception du matériel et le fonctionnement du remplaçant. Recherchez les automatisations en échec, factures envoyées à l’ancienne adresse, rendez-vous sans propriétaire et alertes MFA. À trente jours, supprimez les redirections devenues inutiles, récupérez les licences, fermez les exceptions et mettez à jour l’inventaire.

Conservez une preuve proportionnée : date, ressource, action, responsable et résultat. N’inscrivez ni mot de passe ni commentaire subjectif. Après chaque sortie, ajoutez les accès oubliés au registre de référence. Une checklist qui s’améliore évite que la sécurité repose sur la mémoire d’une seule personne.

La révocation numérique ne remplace pas les obligations sociales. Pour un salarié, préparez en parallèle les documents de fin de contrat à rendre disponibles à la bonne date.

Sources officielles et primaires : CNIL — gérer les habilitations et supprimer les permissions devenues inutiles ; CNIL — documenter les mouvements et éviter les comptes partagés ; CNIL — précautions avant de fermer la messagerie d’un salarié ; CNIL — accès à la messagerie d’un salarié absent ; ANSSI — guide de cybersécurité pour les TPE et PME. Consultées le 3 août 2026. Les modalités RH, contractuelles et de conservation doivent être adaptées à la situation avec les conseils compétents.

En résumé

Une sortie propre commence avant la désactivation : inventaire, transfert des responsabilités, test du remplaçant et restitution du matériel. À l’heure prévue, l’entreprise retire comptes, sessions, rôles et secrets partagés. Elle limite ensuite la conservation des données, contrôle les oublis et transforme chaque écart en amélioration de sa checklist.