Départ d’un salarié : comment ne pas perdre les données de son poste

Au départ d’un salarié, c’est souvent l’entreprise elle-même qui détruit le plus de données, par simple routine : on réinstalle le poste pour le remplaçant, on supprime le compte devenu inutile. Personne n’a décidé « on supprime ces données », et pourtant elles disparaissent, parfois définitivement.

Un départ pose en réalité deux questions en même temps : ai-je le droit d’accéder à ce que le salarié laisse, et comment ne pas le perdre avant d’avoir pu le récupérer. Cet article répond aux deux, dans l’ordre où se les pose celui qui gère le départ.

Avez-vous le droit d’accéder à ses fichiers ?

La crainte de mal faire pousse parfois à ne rien toucher, parfois à l’inverse à tout ouvrir. Le cadre est pourtant posé depuis longtemps. Les dossiers et fichiers créés par un salarié sur l’outil professionnel sont présumés professionnels, et l’employeur peut y accéder hors de sa présence (Cass. soc., 18 octobre 2006, n° 04-48025). L’exception vise les fichiers que le salarié a pris soin d’identifier comme personnels : ceux-là ne s’ouvrent qu’en sa présence, ou après l’avoir dûment appelé, sauf risque ou événement particulier (Cass. soc., 17 mai 2005, n° 03-40017). Un simple mot de passe ne suffit pas à rendre un fichier personnel, encore faut-il qu’il soit explicitement marqué comme tel.

La messagerie suit la même logique, avec une prudence supplémentaire : les messages identifiés comme personnels relèvent du secret des correspondances, que l’employeur ne lève pas de son propre chef, comme le rappelle la CNIL. Pour les situations litigieuses, un juriste reste le bon interlocuteur. L’objet de cet article commence après, du côté des données.

Où vivent réellement ses données ?

Le réflexe est de penser « son ordinateur ». La réalité est plus dispersée, et c’est cette dispersion qui fait perdre des données, parce qu’on sécurise un support en oubliant les autres.

Le disque local du poste est souvent plus rempli qu’on ne l’imagine, chargé de fichiers jamais remontés sur le serveur. À côté, le compte cloud et la messagerie concentrent une part croissante du travail, sur Microsoft 365, Google Workspace ou OneDrive, et ne vivent plus sur la machine physique. Restent les supports annexes qu’on ne pense pas à réclamer : un disque externe de sauvegarde, une clé USB oubliée dans un tiroir, parfois un espace réservé sur le NAS de service.

Préserver les données d’un salarié parti suppose d’abord de savoir où elles se trouvent, avant d’en effacer la moindre trace.

Comment les données disparaissent au moment du départ

C’est le moment critique, et le plus mal géré, parce que la perte y prend des formes qu’on ne reconnaît pas comme des suppressions.

Le poste réinstallé pour le remplaçant

La cause la plus fréquente, de loin. Le poste est rendu, on le remet à neuf pour le prochain arrivant, et tout ce qui n’avait pas été sauvegardé ailleurs part avec l’installation. Ce qui reste récupérable dépend ensuite de ce qui a déjà été réécrit par-dessus, et du type de disque. Sur un disque dur classique, les anciennes données subsistent souvent un moment. Sur un SSD, le mécanisme de TRIM purge rapidement les blocs libérés, ce qui raccourcit nettement la fenêtre, et c’est pourquoi la récupération de données sur SSD se joue dans un délai bien plus serré. Plus la réinstallation est récente, plus il reste de chances.

Le compte supprimé

Supprimer le compte d’un salarié parti ne vide pas ses données sur-le-champ, mais déclenche un compte à rebours. Chez Microsoft 365, par exemple, le compte supprimé reste récupérable 30 jours par défaut, et le OneDrive associé est conservé lui aussi pendant cette période. La fenêtre ne se ferme pas d’un coup au terme des 30 jours : le OneDrive bascule ensuite dans la corbeille de la collection de sites, où il reste 93 jours de plus, restaurable par l’administrateur via PowerShell. Au-delà, la suppression devient définitive.

Un détail change tout sur le calendrier : ce compte à rebours ne démarre qu’à la suppression du compte dans l’annuaire Entra ID. Tant que le compte n’est pas supprimé, bloquer simplement la connexion du salarié ne déclenche rien, à condition toutefois de lui laisser sa licence, car un OneDrive dont la licence a été retirée finit par être archivé automatiquement.

Le poste chiffré

Un poste chiffré par BitLocker ou FileVault, dont seul le salarié connaissait le mot de passe, peut devenir inaccessible du jour au lendemain. Tout tient à un point : la clé de récupération a-t-elle été centralisée dans l’annuaire de l’entreprise ? Si oui, l’accès se rétablit sans difficulté. Sinon, le disque reste chiffré, et aucun laboratoire ne le déchiffrera, car sans la clé il n’y a rien à faire d’un support par ailleurs en parfait état. C’est le principe même du chiffrement, que détaille notre article sur le chiffrement automatique de Windows. Le laboratoire intervient dans un autre cas de figure : quand la clé existe mais que le support, lui, est défaillant. La récupération d’un support chiffré endommagé consiste alors à rétablir un accès matériel au disque, puis à appliquer la clé sur des données redevenues lisibles.

Le salarié qui efface avant de partir

Cas plus rare, mais lourd de conséquences : le salarié qui, avant de rendre son poste, supprime ou formate volontairement ses fichiers. Sur le plan technique, la nouvelle est plutôt bonne, avec une réserve selon le disque. Une suppression ou un formatage n’effacent pas réellement les données tant que rien n’a été réécrit par-dessus. Sur un disque dur, une grande partie se récupère souvent ; sur un SSD, le TRIM évoqué plus haut referme vite la fenêtre et réduit nettement les chances. Dans les deux cas, il ne faut pas refermer cette fenêtre soi-même.

Si les données semblent déjà perdues

Quand le mal est fait, poste réinstallé ou fichiers effacés, la pire réaction est de continuer à se servir de la machine. Plus le poste tourne, plus le système écrit sur le disque, et ces écritures recouvrent peu à peu les données qu’on espérait encore récupérer.

Mettez le poste de côté, interrompez l’installation du remplaçant, et faites établir un diagnostic. Les secteurs déjà réécrits ne reviendront pas ; mais un disque réinstallé ou des fichiers effacés ne sont presque jamais aussi vides qu’ils en ont l’air, car leurs données restent inscrites tant qu’une écriture ne les a pas recouvertes.

La procédure de sortie qui évite d’en arriver là

Tout cela s’évite avec une procédure de sortie, même légère. Avant la restitution du poste, un inventaire rapide repère ce qui ne vit que sur la machine. Les fichiers utiles sont transférés vers un espace partagé, à l’abri d’une suppression de compte. Les clés de chiffrement rejoignent l’annuaire de l’entreprise plutôt que la seule mémoire du salarié. Le poste, lui, est mis de côté un temps avant d’être réinstallé, le temps d’être certain que rien ne manque. Et le compte est de préférence gelé plutôt que supprimé dans un premier temps.

L’intérêt est très concret sur Microsoft 365 : puisque le compte à rebours de rétention ne s’enclenche qu’à la suppression dans Entra ID, un compte simplement désactivé ferme la porte au salarié tout en gardant ses données accessibles le temps nécessaire. Une réserve toutefois, il faut lui conserver sa licence pendant ce délai, car retirer la licence déclenche de son côté l’archivage automatique du OneDrive.

Garder le poste quelques semaines

Une habitude résume tout le reste : conserver le poste d’un salarié parti quelques semaines avant de le réinstaller. Cela ne coûte presque rien, un tiroir et un peu de patience, et c’est souvent ce qui fait la différence entre une donnée qu’on récupère et une donnée qu’on ne revoit jamais.