Départ d’un salarié : quelles sont les obligations RGPD de l’employeur ?

Lorsqu’un collaborateur quitte une entreprise, les équipes RH et les managers pensent naturellement aux formalités administratives : restitution du matériel informatique, remise des documents de fin de contrat, désactivation des accès ou encore passation des dossiers. Pourtant, un sujet est encore trop souvent sous-estimé : la gestion des données personnelles de l’ancien salarié.

Que faire de sa messagerie professionnelle ? Faut-il supprimer immédiatement son compte ? Combien de temps conserver ses données RH ? Peut-il demander une copie de ses courriels ? Son nom doit-il disparaître du site internet de l’entreprise ?

Ces questions prennent une importance croissante avec l’évolution de la jurisprudence et rappellent qu’un départ ne met pas fin aux obligations du responsable de traitement. Au contraire, c’est souvent à ce moment que les erreurs sont les plus fréquentes.

Pourquoi le RGPD continue de s’appliquer après la fin du contrat ?

Le RGPD protège les données personnelles d’une personne, indépendamment de sa qualité de salarié ou d’ancien salarié. Autrement dit, même après la rupture du contrat de travail, l’entreprise demeure responsable des traitements concernant les informations qu’elle conserve.

Elle doit toujours être capable de répondre aux principes fondamentaux du RGPD :

• conserver uniquement les données nécessaires ;
• justifier leur durée de conservation ;
• garantir leur sécurité ;
• permettre l’exercice des droits des personnes concernées.

Le départ d’un salarié n’autorise donc ni une conservation illimitée des informations, ni une suppression systématique de l’ensemble des données. L’objectif consiste à conserver ce qui est nécessaire, pendant la durée nécessaire, puis à supprimer ou anonymiser le reste.

La messagerie professionnelle : un sujet devenu sensible

Pendant longtemps, beaucoup d’entreprises considéraient que la boîte mail professionnelle appartenait exclusivement à l’entreprise. La réalité est aujourd’hui plus nuancée.

La jurisprudence récente rappelle que les courriels professionnels peuvent contenir des données personnelles concernant le salarié et que celui-ci peut exercer son droit d’accès sur ces données, dans les limites prévues par le RGPD.

Attention cependant : cela ne signifie pas qu’un ancien collaborateur peut obtenir automatiquement une copie intégrale de toute sa messagerie.

Le droit d’accès porte sur les données personnelles qui le concernent. L’employeur doit également préserver les droits des autres salariés, des clients, des partenaires commerciaux ainsi que les informations couvertes par le secret des affaires. Chaque demande nécessite donc une analyse au cas par cas.

Que faire concrètement de la boîte mail d’un salarié sortant ?

La pire solution consiste souvent à laisser la boîte mail active pendant plusieurs mois. Cela représente un risque de sécurité évident et peut conduire à des accès non autorisés. À l’inverse, supprimer immédiatement la messagerie sans préparation peut entraîner une perte d’informations importantes pour l’entreprise.

La bonne pratique consiste généralement à :

• désactiver rapidement les identifiants du salarié,
• mettre en place un message automatique informant de son départ,
• orienter les correspondants vers un nouveau contact et prévoir,
• si nécessaire, une redirection temporaire des messages pendant une durée limitée. Cette solution est d’ailleurs recommandée par la CNIL et reprise dans les bonnes pratiques évoquées par la doctrine récente.

L’objectif est d’assurer la continuité de l’activité tout en limitant les traitements inutiles.

Les autres données à ne pas oublier

La messagerie n’est qu’une partie du problème. Les données personnelles d’un ancien salarié sont souvent présentes dans de nombreux outils :

• annuaire interne ;
• organigrammes ;
• signatures électroniques ;
• site internet ;
• profils d’équipe ;
• CRM ;
• outils collaboratifs ;
• logiciels métiers ;
• plateformes cloud ;
• listes de diffusion ;
• réseaux sociaux de l’entreprise.

Certaines informations doivent être supprimées rapidement, comme une fiche de présentation sur le site internet ou un numéro de téléphone professionnel toujours publié.

D’autres doivent être conservées car elles répondent à une obligation légale, notamment les documents liés à la gestion du personnel, à la paie ou aux obligations sociales. L’essentiel est de distinguer les données devenues inutiles de celles dont la conservation reste justifiée.

Un ancien salarié peut-il demander la suppression de toutes ses données ?

La réponse est non. Le droit à l’effacement, souvent appelé « droit à l’oubli », n’est pas absolu. Une entreprise peut parfaitement conserver certaines informations lorsqu’une obligation légale l’impose ou lorsque ces données restent nécessaires à la défense de ses droits en justice.

C’est notamment le cas de nombreux documents RH, des bulletins de salaire, des éléments nécessaires à la gestion des obligations sociales ou des pièces utiles en cas de contentieux prud’homal. En revanche, conserver des données simplement « au cas où » est contraire au principe de limitation de la conservation prévu par le RGPD.

Comment répondre à une demande d’accès ?

Lorsqu’un ancien salarié exerce ses droits, l’entreprise dispose en principe d’un délai d’un mois pour répondre.

Avant toute transmission, il convient d’identifier les données concernées, vérifier leur caractère personnel, protéger les informations relatives à des tiers, masquer les éléments confidentiels si nécessaire et transmettre une copie fidèle des seules données auxquelles la personne peut légitimement accéder.

Ce travail peut demander du temps, mais il constitue désormais une véritable obligation pour le responsable de traitement.

Anticiper plutôt que subir

Les entreprises qui rencontrent le moins de difficultés sont généralement celles qui ont défini une procédure de départ intégrant la protection des données. Cette procédure ne concerne pas uniquement les ressources humaines. Elle implique également les services informatiques, les managers et, lorsqu’il existe, le DPO.

Une check-list simple peut prévoir :

• la désactivation des comptes utilisateurs ;
• la gestion de la messagerie ;
• la récupération des équipements ;
• la mise à jour des annuaires ;
• la suppression des accès aux applications ;
• la vérification des publications sur le site internet ;
• l’application des durées de conservation prévues dans la politique interne.

Une telle organisation permet d’éviter les oublis et de démontrer la conformité de l’entreprise en cas de contrôle.

Le rôle du DPO dans cette étape

Le départ d’un salarié illustre parfaitement la mission du Délégué à la protection des données. Son rôle n’est pas seulement de vérifier la conformité juridique. Il aide également l’entreprise à mettre en place des procédures simples, opérationnelles et adaptées à son activité.

Il accompagne les équipes RH, sensibilise les managers, participe à la rédaction des politiques de conservation et intervient lorsqu’une demande d’exercice de droits présente des difficultés particulières.

Cette approche permet de sécuriser les pratiques tout en limitant les risques juridiques et organisationnels.

Conclusion

Le départ d’un collaborateur ne se résume pas à récupérer un ordinateur portable et désactiver un badge. Il marque une nouvelle étape dans le cycle de vie des données personnelles.

Messagerie professionnelle, comptes utilisateurs, site internet, annuaires, documents RH ou encore outils collaboratifs doivent être gérés selon des règles précises. L’enjeu n’est ni de tout conserver, ni de tout supprimer. Il s’agit de conserver uniquement ce qui est nécessaire, pendant la durée nécessaire, tout en permettant à l’ancien salarié d’exercer ses droits dans le respect du RGPD.

Pour les PME, mettre en place une procédure claire de gestion des départs constitue aujourd’hui l’un des moyens les plus simples de réduire les risques de non-conformité et de renforcer leur maturité en matière de protection des données.