Un départ se fête en une soirée ; il se défait compte après compte, souvent longtemps après. Voici ce que la CNIL et l’ANSSI attendent vraiment quand quelqu’un s’en va — et la première fiche d’un nouveau trousseau, pour dresser la liste des clés à rendre.
Mercredi, 9 h 30. Nathalie, à la comptabilité, ouvre le logiciel de paie pour corriger un bulletin de septembre. Le logiciel, très poli, lui demande un code de vérification. Il vient de l’envoyer, précise-t-il, au numéro qui se termine par 47. Le 47, c’est le portable de Bernard. Bernard a tenu la comptabilité pendant vingt-deux ans. Il est parti à la retraite en juin, avec un discours, un pot, et son téléphone de fonction, que la direction lui a laissé en cadeau. Personne n’a songé que le logiciel de paie, ouvert à son nom il y a des années, partait avec. Nathalie clique sur « Je n’ai plus accès à ce numéro ». Le logiciel propose d’envoyer un lien de récupération à l’adresse de Bernard. Cette adresse a été supprimée en juillet, pour faire propre. Au même moment, le dossier que Bernard avait partagé avec l’expert-comptable reste ouvert à quiconque possède le lien, et sa session tourne toujours dans l’outil de suivi commercial, sur le poste de l’accueil. Personne n’a mal fait. On a été gentil avec Bernard, et soigneux avec son adresse. Simplement pas dans le bon ordre. Mercredi dernier, nous vous demandions combien de choses, chez vous, ne fonctionnent que parce que quelqu’un s’en souvient. Chez Nathalie, ce matin, la réponse tient dans un téléphone parti à la retraite.
Ce qui se passe vraiment
Voici la réponse que Bernard aurait pu donner, s’il avait eu l’idée d’en faire la liste. Il se souvenait que le code du logiciel de paie arrivait sur son portable. Que l’abonnement au logiciel de notes de frais était payé avec sa carte, et remboursé chaque mois. Que le compte de l’entreprise sur le portail des déclarations sociales était à son nom. Que l’adresse de secours du site de la banque était la sienne. Qu’un client passait ses commandes par son propre portail, où seul Bernard avait un compte. Et que le dossier de l’expert-comptable se partageait par un lien, lequel avait circulé. Rien de tout cela n’était écrit. Tout cela fonctionnait parce que Bernard s’en souvenait. Combien de ces choses chez vous ? Personne ne le sait, et c’est précisément la réponse : on le découvre au départ de celui qui s’en souvenait, un mercredi à 9 h 30. Car un départ a deux calendriers.
- Le premier est celui des ressources humaines : la lettre, le dernier jour, le solde de tout compte, le pot. Il est écrit, daté, signé.
- Le second est celui des clés, et il n’est écrit nulle part.
Or les clés ne sont plus en métal. Ce sont une adresse, un numéro de téléphone, un code reçu par SMS, une session restée ouverte, un lien partagé. Elles ne tintent dans aucune poche. Personne ne pense à les réclamer entre deux discours. C’est ici qu’intervient la gentillesse. On ne fragilise pas une entreprise par malveillance. On laisse le téléphone, parce que c’est un beau geste. On garde l’adresse ouverte quelques semaines, pour qu’il reçoive encore les messages de ses clients — ou on la supprime d’un coup, pour faire propre, ce qui est une autre forme de soin. On laisse la session ouverte « le temps de la passation ».
Chacun de ces gestes est aimable. Ensemble, ils ferment ce qui servait encore et laissent ouvert ce qui aurait dû se fermer. Deux craintes, à ce stade, et elles sont toutes deux mal placées. La première : que supprimer l’adresse ait été la faute. Ce n’en était pas une. Fermer l’adresse d’une personne partie est ce que l’on attend de vous, nous allons le voir. La faute, s’il faut en trouver une, tient dans l’ordre : on a fermé la porte avant de décrocher ce qui y était accroché. La seconde : qu’un départ bien tenu exige un logiciel, un projet, un prestataire. Il exige une liste. Une feuille, remplie avant le pot plutôt qu’après, avec la personne qui part — tant qu’elle s’en souvient, et tant qu’elle est là pour le dire.
Ce que dit le texte
Comme promis, pas de Journal officiel cette semaine. Le sujet ne manque pas de textes pour autant : deux autorités françaises ont écrit, sans jargon, ce qu’elles attendent quand quelqu’un s’en va.
La CNIL, sur l’adresse. Dans sa page consacrée à l’accès à la messagerie d’un salarié en son absence, datée du 27 juillet 2009, la CNIL décrit le départ en trois temps [1]. Les modalités de fermeture du compte s’organisent à l’avance, dans la charte informatique. L’employeur avertit le salarié de la date de fermeture, afin qu’il puisse vider sa messagerie. Puis vient la phrase qui devrait rassurer ceux qui ont fait propre en juillet : « L’adresse électronique nominative du salarié doit ensuite être supprimée par l’employeur. » Supprimer était donc la bonne décision. Tout tient dans le mot « ensuite ».
La même page pose une limite utile à qui voudrait garder l’adresse ouverte pour la lire : les tribunaux présument professionnels les messages du poste de travail, mais l’employeur ne doit pas prendre connaissance d’un message clairement identifié comme personnel [1].
La CNIL, sur les comptes. Son guide de la sécurité des données personnelles, dont l’édition en vigueur date de mars 2024, décrit les mesures qu’elle recommande pour satisfaire à l’obligation de sécurité de l’article 32 du RGPD, applicable depuis le 25 mai 2018 [1]. Sa fiche n° 5, « Gérer les habilitations », demande de supprimer les accès d’une personne à la fin de son contrat, et de passer les habilitations en revue au moins une fois par an pour supprimer les comptes inutilisés. Parmi ce qu’il ne faut pas faire, elle cite l’oubli de supprimer les comptes des personnes parties, et les comptes partagés par plusieurs personnes sans que l’exception soit tracée, validée et revue [1]. Le logiciel de paie de Nathalie, c’est exactement cela : un compte au nom de Bernard, utilisé par une autre, que rien ne signalait.
L’ANSSI, sur la liste. Son guide « La cybersécurité pour les TPE/PME en 13 questions », rédigé avec la direction générale des Entreprises (version 2.5, novembre 2024), le dit en une phrase : quand un collaborateur quitte l’entreprise, il convient de faire l’inventaire de ses accès et de tous les révoquer, de sorte que ni lui ni un tiers ne puisse plus s’en servir [2]. Sa toute première question demande d’inventorier tous les accès, et de tenir cet inventaire à jour au moins une fois par an, précisément pour vérifier qu’aucun accès d’un ancien employé ou d’un ancien prestataire n’est resté ouvert [2]. Sa question sur la messagerie proscrit, enfin, la redirection des messages professionnels vers une messagerie personnelle [2]. C’est pourtant la plus aimable des tentations, le jour d’un départ.
Ce qui n’est pas exigé. Pour gérer un départ, aucun des deux textes ne demande d’outil, de certification ni de prestataire. La CNIL demande une règle écrite à l’avance et une revue annuelle ; l’ANSSI, un inventaire. Autrement dit, une liste, tenue à jour, et relue chaque fois que quelqu’un s’en va.
La Méthode : L’Ours, la Voiture et l’Accident
Un mot sur le nom. On dit L’Ours, la Voiture et l’Accident parce que c’est ainsi qu’on le retient ; on l’applique dans l’autre sens, parce que c’est ainsi qu’il fonctionne. La Voiture d’abord — on ne priorise pas ce que l’on ne connaît pas. L’Ours ensuite. L’Accident, lui, ne se pratique pas : il arrive.
La Voiture
Pour conduire, vous n’avez pas besoin d’être ingénieur automobile ou garagiste. Mais pour la conduire, il vous faut une formation, un permis, être en bonne santé, une voiture en bon état, et quelques informations à propos de votre destination. Cela suffit à aller de A à B sans difficulté. La Voiture embarque deux étapes :
Connaître vos dix principaux risques — pour vous, votre entreprise, votre système d’information, vos équipes et vos tiers. Ici, le premier n’est pas l’intrus : c’est la porte qui se referme sur vous. Un compte que plus personne ne sait ouvrir, c’est la disponibilité qui s’en va, la troisième des trois lettres que nous évoquions le 16 septembre. Le deuxième risque est son contraire : la porte restée ouverte derrière quelqu’un qui ne passera plus — un lien qui circule, une session sur le poste de l’accueil.
Savoir ce que vous avez. On ne protège pas ce que l’on ne connaît pas. Sur ce sujet, cela veut dire connaître, pour chaque personne, non seulement ses comptes, mais tout ce qui est attaché à son nom : l’adresse qui reçoit les liens de récupération, le numéro qui reçoit les codes, la carte qui paie l’abonnement, le portail du client qui ne connaît qu’elle. Si vous avez dressé, depuis le 16 septembre, la liste des personnes parties cette année, vous tenez déjà la première colonne. Reste à écrire, en face, ce que chacune avait en main.
L’Ours
Si un ours vous poursuit, vous n’avez pas besoin de courir vite. Vous avez besoin de ne pas être le dernier. L’Ours embarque deux étapes : Prioriser. Tout n’a pas la même importance et tout ne mérite pas la même protection. Ici, l’ordre compte davantage que la vitesse. D’abord ce qui paie et ce qui déclare : la paie, la banque, les déclarations sociales et fiscales. Ensuite ce qui parle en votre nom : l’adresse, les portails des clients, le site. Le reste peut attendre la semaine suivante. Et puisqu’il est question d’ours : personne ne vous demande un départ parfait. Il suffit de ne pas être la maison où un ancien collaborateur, ou quiconque a trouvé son lien, ouvre encore le fichier clients. Réduire. Si vous ne l’utilisez pas, ou si vous ne savez pas ce que c’est, vous n’en avez probablement pas besoin. Ici, chaque compte partagé est une clé dont personne ne se sait détenteur : un compte de paie au nom de Nathalie, et un second pour la personne qui la remplace en août, valent mieux qu’un seul au nom de Bernard. Chaque lien de partage sans date de fin est une porte entrebâillée : fermez ceux dont plus personne ne se souvient. Chaque abonnement payé par une carte personnelle est une dépendance de plus : ramenez-le sur celle de l’entreprise. Réduire, ici, c’est faire en sorte que la prochaine liste soit plus courte que celle-ci.
L’Accident
L’accident n’embarque pas d’étape. L’accident, c’est de la réaction. Pour cela, on s’y prépare avant. On s’y est préparé avant, sans le savoir, en sachant ce que l’on avait et en sachant ce qui comptait. Mercredi, 9 h 30, est l’accident. On peut appeler Bernard : il décrochera, il est charmant, et il se souviendra sans doute. Mais une entreprise qui dépend de la mémoire de ses retraités a confondu la gentillesse et l’organisation. L’autre réponse tient sur une feuille, remplie en juin, avant le pot : le logiciel de paie envoie ses codes au 47 ; le numéro passe au nom de Nathalie ; l’adresse de Bernard sera supprimée ensuite, et pas avant. C’est ce que la fiche de la semaine vous fait écrire.
L’outil de la semaine
Le Trousseau — n° 1 : les clés à rendre Octobre ouvre un nouveau rangement. Septembre vous a donné une boîte à gants ; ce mois-ci, ce sera un trousseau, parce que les quatre mercredis d’octobre posent la même question : qui détient les clés. Voici la première fiche. Elle se suffit à elle-même ; une seule cellule renvoie à septembre. Une fiche par personne qui part, une ligne par clé. Cinq colonnes. Comptez une demi-heure avec la personne qui s’en va, avant son dernier jour, et la même demi-heure avec celle qui reprend. Au-dessus du tableau, écrivez une fois : le prénom de la personne qui part, la date de son départ, et la date à laquelle vous avez rempli la fiche avec elle.
| Ce que cela ouvrait | À son nom ou partagé | Ce qui y est rattaché (adresse, téléphone, code) | Qui reprend | Fermé le |
|---|---|---|---|---|
| Logiciel de paie | Partagé — ouvert au nom de Bernard | Codes envoyés au portable de Bernard ; récupération sur son adresse | Nathalie, avec un compte à son nom | |
| Portail de commandes d’un client | À son nom | Son adresse ; acceptations faites de son compte | ADV · → Boîte à Gants n° 5 | |
| Dossier partagé avec l’expert-comptable | Partagé par lien | Lien sans date de fin | ||
| Téléphone et numéro de fonction | ||||
| Abonnements payés avec sa carte | ||||
| Banque, déclarations sociales et fiscales | ||||
| Adresse de messagerie — à fermer en dernier | ||||
Comment la remplir. Ce que cela ouvrait — un logiciel, un portail, un dossier, un appareil, un abonnement, nommés comme on les nomme dans la maison. Pas seulement les outils de l’entreprise : aussi les comptes que des clients, des fournisseurs ou des administrations lui ont ouverts. À son nom ou partagé — « partagé » est la réponse qui doit vous arrêter. Un compte utilisé par plusieurs personnes au nom d’une seule est une clé dont personne ne se sait détenteur [1].
Ce qui y est rattaché — c’est la colonne de Nathalie. L’adresse qui reçoit les liens de récupération, le numéro qui reçoit les codes, la carte qui paie. Tant qu’elle n’est pas vide, ne fermez rien.
Qui reprend — un prénom, comme toujours dans cette série. Si personne ne reprend, la clé n’a peut-être plus de porte : c’est la question de l’Ours.
Fermé le — une date, pas une coche. C’est elle qui dira, dans un an, que la clé a bien été rendue.
La règle. Remplissez la troisième et la quatrième colonne avant la cinquième, et gardez l’adresse de messagerie pour la fin. La CNIL ne dit pas autre chose : prévenir, puis fermer — « ensuite » [1]. Faites-la aussi, une fois, pour les personnes déjà parties cette année. Ce sont souvent les lignes les plus instructives : celles dont plus personne ne se souvient.
Cinq minutes, lundi matin
Trois gestes. Seul, sans budget, sans réunion.
Regardez où partent les codes de votre logiciel de paie. Dans ses paramètres de sécurité, cherchez le numéro qui reçoit les codes et l’adresse de récupération. S’ils ne sont pas ceux de la personne qui s’en sert aujourd’hui, vous tenez la première ligne de la fiche.
Demandez trois choses. À la personne qui est dans la maison depuis le plus longtemps : quelles sont les trois choses qui ne fonctionnent que parce qu’elle s’en souvient ? Notez les réponses telles qu’elles viennent.
Cherchez la phrase dans votre charte informatique. Celle qui organise la fermeture d’un compte au départ d’un salarié [1]. Si elle n’existe pas, écrivez-la en trois mots : prévenir, déplacer, fermer.
Mercredi prochain
Mercredi prochain, une autre clé : le double. Celui que l’on garde au cas où, dont tout le monde sait qu’il existe, et que personne n’a essayé depuis longtemps. Une question d’ici là : quand avez-vous, pour la dernière fois, récupéré un fichier dans votre sauvegarde — pas sauvegardé : récupéré ?
Références
- CNIL, « L’accès à la messagerie d’un salarié en son absence », 27 juillet 2009 — fermeture organisée dans la charte informatique, salarié averti de la date, suppression de l’adresse nominative, messages identifiés comme personnels. CNIL, guide de la sécurité des données personnelles, édition de mars 2024, fiche n° 5 « Gérer les habilitations », 13 mars 2024. CNIL, « Guide de la sécurité des données personnelles : suivi des modifications entre les différentes versions », 26 mars 2024 — le guide y est présenté comme la description des mesures recommandées au titre de l’article 32 du règlement (UE) 2016/679, applicable depuis le 25 mai 2018.
- ANSSI, en partenariat avec la direction générale des Entreprises, La cybersécurité pour les TPE/PME en 13 questions, version 2.5, novembre 2024, ANSSI-GP-086 — questions n° 1 (inventaire des accès), n° 7 (messagerie) et n° 8 (départ d’un collaborateur).
Situation arrêtée au 7 octobre 2026.