Départ d'un salarié : comment gérer sa boîte email en conformité avec le RGPD ?
- xdpo
- il y a 4 jours
- 3 min de lecture
Lorsqu'un collaborateur quitte une entreprise ou une association, la gestion de sa messagerie professionnelle devient rapidement un point de friction majeur.
Prenons un cas fréquent en PME : un responsable commercial quitte l'organisation. Pour ne manquer aucune opportunité, la direction redirige l'intégralité de sa boîte vers son successeur ou continue de consulter ses messages.
Résultat ? L'employeur accède à des correspondances privées ou à des échanges médicaux, commettant une violation directe du secret des correspondances et de la vie privée. À l'inverse, couper brutalement le compte sans transition expose la structure à des ruptures de service critiques.
Face à ces risques, une gouvernance des données efficace repose sur une approche unifiée et pragmatique, permettant d'assurer la continuité de l'activité tout en respectant le cadre légal du RGPD et les exigences de sécurité.
1. Les enjeux du départ d'un salarié : entre secret des correspondances et continuité d'activité
La boîte email professionnelle d'un collaborateur se situe à la frontière de deux impératifs juridiques et organisationnels :
La protection de la vie privée et des données personnelles : même sur un outil professionnel, les messages identifiés comme personnels ou privés relèvent de la protection de la vie privée (article 9 du Code civil) et du secret des correspondances (article L. 226-15 du Code pénal).
Le principe de limitation de la conservation : selon l'article 5.1.e du RGPD, les données à caractère personnel ne doivent pas être conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles sont traitées.
La continuité opérationnelle : l'organisation doit pouvoir récupérer les éléments strictement professionnels (contrats, devis, factures) pour maintenir ses opérations sans dépendre d'un compte fantôme.
Une mise en conformité agile consiste à formaliser un protocole clair d'offboarding, évitant à la fois les blocages métiers et les sanctions de la CNIL.
2. La messagerie électronique : le véritable « fourre-tout » des données
Dans les PME et associations, la messagerie sert souvent d'espace de stockage par défaut, accumulant sans distinction :
Des données personnelles sensibles (échanges RH, arrêts de travail, courriers syndicaux ou personnels).
Des informations confidentielles de l'entreprise (secrets d'affaires, accès aux logiciels métiers).
Des flux d'échanges avec des prestataires externes, impliquant directement la gestion des risques tiers.
Des volumes de données qui alimentent parfois des outils d'intelligence artificielle sans cadre maîtrisé (un point clé de vigilance sous le nouveau AI Act).
Conserver indéfiniment une messagerie inactive multiplie la surface d'attaque en cas de compromission et contrevient aux règles élémentaires d'un audit de sécurité ou des exigences de la Directive NIS2 en matière de contrôle des accès.
3. Les bonnes pratiques en 5 étapes
Pour conjuguer conformité numérique et efficacité opérationnelle, l'approche recommandée s'articule autour de cinq étapes clés :
1. Désactiver immédiatement les accès : dès le départ effectif du collaborateur, ses accès techniques doivent être révoqués pour limiter les risques de fuite de données ou d'intrusion.
2. Mettre en place une réponse automatique : configurer un message informant l'expéditeur du départ du collaborateur et indiquant les coordonnées de la personne ou du service à contacter pour reprendre le dossier.
3. Conserver temporairement la boîte : fixer une durée de conservation transitoire et proportionnée (généralement entre un et trois mois selon l'activité) pour intercepter les flux résiduels, sans maintenir un accès libre et continu au contenu passé.
4. Transférer les informations professionnelles utiles : organiser, idéalement avant le départ en présence du salarié, le versement des documents et emails strictement professionnels dans les dossiers partagés de l'organisation.
5. Supprimer définitivement la boîte : à l'échéance de la période définie, procéder à la suppression irréversible du compte et de son archive pour honorer le principe de limitation de conservation.
Pour aller plus loin
La gestion des départs ne doit pas être laissée à l'improvisation technique. Intégrer la gestion des messageries dans une approche par les risques protège votre organisation des litiges prud'homaux et renforce votre hygiène de cybersécurité.
Vous souhaitez sécuriser vos processus d'entrée et de sortie de collaborateurs ou structurer votre gouvernance ? Faire appel à un DPO externalisé vous permet de déployer des procédures adaptées à votre réalité opérationnelle.
