Arrivée ou départ d'un salarié : la checklist informatique en 17 points

Un nouveau salarié qui attend ses accès, un ancien qui peut encore ouvrir le logiciel de comptabilité des mois après son départ : ces deux situations ont souvent la même cause, l'absence de procédure. Voici deux checklists, pour l'arrivée et pour le départ, fondées sur les recommandations de la CNIL et de l'ANSSI, avec les règles à suivre pour la messagerie d'un salarié parti.

01Pourquoi écrire la procédure

Le guide d'hygiène informatique de l'ANSSI (version 2.0, septembre 2017) en fait sa mesure 6 : les droits d'une personne doivent être « révoqués lors de son départ ou en cas de changement de fonction », selon des procédures définies avec les ressources humaines. Elles couvrent au minimum les comptes et boîtes aux lettres, les droits, les badges et les clés, le matériel mobile, et le changement des mots de passe et des codes. Le guide de Cybermalveillance.gouv.fr et Bpifrance pour les dirigeants (2021) l'étend aux accès physiques, « en particulier pour les entrées et sorties du personnel ».

Dans une TPE, la procédure tient sur une page : les deux listes ci-dessous, avec un nom en face de chaque ligne.

02À l'arrivée : 7 points à préparer

1. Un compte nominatif, jamais de compte partagé. L'ANSSI demande des comptes « nominatifs », pour savoir qui a fait quoi en cas d'incident (mesure 8). Au départ, vous fermerez un compte au lieu de changer un mot de passe connu de tous.
2. Des droits limités au nécessaire. La CNIL recommande de « limiter l'accès des utilisateurs aux seules données strictement nécessaires à l'accomplissement de leurs missions », sans droits d'administrateur (installer des logiciels, modifier les réglages) pour qui n'en a pas besoin, et de revoir ces droits au moins une fois par an (fiche « Gérer les habilitations », mars 2024).
3. La double authentification dès la création du compte, plus simple à activer le premier jour qu'après coup (voir notre article sur la double authentification).
4. Un poste et des logiciels prêts : ordinateur à jour, logiciels métier installés, licences attribuées. L'ANSSI conseille de n'autoriser sur le réseau que les équipements maîtrisés par l'entreprise, avec un Wi-Fi séparé pour les appareils personnels (mesure 7).
5. La charte informatique remise. Elle fixe les règles d'usage des outils, les contrôles possibles et les sanctions. La CNIL conseille de lui donner une force contraignante, par exemple en l'annexant au règlement intérieur (fiche « Définir un cadre pour les utilisateurs », mars 2024). Le guide pour les dirigeants propose de la faire signer « lors de la remise de son matériel ».
6. Le matériel noté dans l'inventaire : qui a reçu quel ordinateur, téléphone, disque ou badge, avec son numéro de série (voir l'inventaire du parc informatique).
7. Quelques règles expliquées le premier jour. Pour l'ANSSI, chaque utilisateur doit être informé « dès son arrivée » (mesure 2) : verrouiller sa session, ne jamais communiquer son mot de passe, ne pas brancher d'appareil personnel, signaler tout événement suspect. La suite se fait au fil de l'année (sensibiliser ses salariés).

03Au départ : 10 points à cocher

1. Comptes désactivés le jour du départ. La CNIL demande de retirer leurs accès aux utilisateurs « dès qu'ils ne sont plus habilités », et à la fin de leur contrat. Si la personne était administratrice, vérifiez d'abord qu'un autre compte administrateur appartient à l'entreprise.
2. Accès à distance coupés : VPN (connexion sécurisée au réseau depuis l'extérieur), bureau à distance, logiciel de prise en main, messagerie synchronisée sur un téléphone. Microsoft 365 permet d'effacer les données de l'entreprise du téléphone ou de la tablette d'un ancien employé (Microsoft Learn, consulté le 30 octobre 2026).
3. Applications en ligne fermées : banque, comptabilité, caisse, réseaux sociaux, application des caméras. Tout ce qui ne dépend pas du compte principal se ferme un par un.
4. Badges, clés et codes d'alarme révoqués. L'ANSSI prévoit la « restitution des badges et des clés » (mesure 6) et, au départ d'un collaborateur, le « changement des codes d'accès » des locaux techniques (mesure 26). Désactivez le badge, supprimez le code personnel d'alarme, changez tout code commun. La CNIL recommande de ne garder les données d'identification d'un badge que « le temps de l'habilitation » (référentiel RH, mis à jour le 20 mai 2026).
5. Mots de passe partagés changés (Wi-Fi, comptes communs, codes du standard), comme le prévoit la mesure 6 de l'ANSSI. Un gestionnaire de mots de passe d'équipe aide à retrouver ceux que la personne connaissait.
6. Matériel récupéré, en reprenant la ligne de l'inventaire.
7. Ligne téléphonique et renvois : numéro direct réattribué ou renvoyé vers un collègue, poste retiré des groupes d'appel, annonce de messagerie vocale changée, application de téléphonie du mobile désactivée.
8. Messagerie fermée selon les règles de la CNIL (voir ci-dessous).
9. Fichiers professionnels récupérés (disque, OneDrive ou Google Drive, messages utiles) avant toute suppression : chez Microsoft, la messagerie et le OneDrive d'un compte supprimé ne sont conservés que 30 jours (Microsoft Learn).
10. Comptes supprimés selon les durées prévues. La CNIL compte parmi les erreurs à éviter d'« oublier de supprimer les comptes utilisateurs des personnes ayant quitté l'organisation » (fiche « Gérer les habilitations »), et demande de fixer des durées de conservation des courriels (fiche sur le droit d'accès des salariés, mise à jour le 31 janvier 2025). Inscrivez-les dans la charte.

Attention

Dans Microsoft 365, le blocage d'un compte peut mettre jusqu'à 24 heures à s'appliquer. Pour couper l'accès tout de suite, Microsoft conseille de réinitialiser le mot de passe, puis de choisir « Se déconnecter de toutes les sessions » (Microsoft Learn, consulté le 30 octobre 2026).

La messagerie d'un salarié parti

La CNIL pose trois règles (fiche sur la messagerie d'un salarié absent, réponse CNIL Direct) :

1. Organiser la fermeture du compte dans la charte informatique.
2. Prévenir le salarié de la date de fermeture, pour qu'il trie et transfère ses messages privés vers sa messagerie personnelle.
3. Supprimer son adresse nominative une fois qu'il est parti.

Les messages envoyés ou reçus depuis le poste de travail sont présumés professionnels : l'employeur peut les consulter. La CNIL recommande aussi de désactiver les « règles de renvoi des courriels associées » (fiche d'août 2021) : aucun transfert automatique ne doit continuer vers une adresse extérieure. Ces fiches ne fixent pas de durée pour un message d'absence automatique : si vous en prévoyez un, inscrivez sa durée dans la charte et gardez-la courte.

Bon à savoir

Un message clairement identifié comme personnel (« Privé » ou « Personnel » dans l'objet) ne doit pas être ouvert par l'employeur, sauf dans le cadre d'une instruction pénale ou sur décision de justice.

04Qui fait quoi, et quand

En résumé

• À l'arrivée : un compte nominatif, les seuls droits nécessaires et la double authentification.
• Charte remise, matériel inscrit à l'inventaire et règles expliquées dès le premier jour.
• Au départ : comptes, accès à distance, badges, codes et mots de passe partagés coupés le jour même.
• Messagerie : prévenir le salarié, respecter ses messages personnels, puis supprimer l'adresse.
• Une revue des droits au moins une fois par an rattrape les oublis.

Pour préparer les postes de vos nouveaux arrivants ou fermer proprement les accès d'un salarié qui part, découvrez notre support informatique. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.