Que faire du compte Microsoft 365 d'un salarié qui quitte l'entreprise ?

Pourquoi un compte oublié est un vrai risque

Quand un salarié quitte l'entreprise, on pense au badge, aux clés, à l'ordinateur portable. Le compte Microsoft 365, lui, reste souvent ouvert. Il n'a pourtant rien perdu : il ouvre toujours la boîte mail, les fichiers OneDrive, les équipes Teams, les dossiers partagés et parfois des logiciels métier reliés au même identifiant.

Microsoft le dit sans détour : dans beaucoup d'organisations, les comptes ne sont pas toujours supprimés au départ des salariés, et ces comptes devenus inutiles représentent un risque de sécurité. La CNIL range d'ailleurs parmi les erreurs à éviter le fait d'oublier de supprimer les comptes des personnes ayant quitté l'organisation. Le danger ne vient pas forcément de l'ancien salarié : il vient surtout du fait que plus personne ne regarde ce compte. Si son mot de passe a fuité ailleurs, une connexion suspecte passe inaperçue.

• La boîte mail : elle continue de recevoir les messages des clients et des fournisseurs, y compris des factures et des demandes de paiement.
• Les fichiers : le OneDrive de la personne et tout ce qu'on lui a partagé dans Teams ou SharePoint.
• Le téléphone : l'application Outlook ou Teams installée sur son smartphone reste synchronisée tant qu'on ne la coupe pas.
• Les accès ajoutés : un mot de passe d'application (un code à part, créé pour qu'un vieux logiciel de messagerie ou une imprimante se connecte sans la double authentification), un deuxième téléphone pour la double authentification, une application autorisée à lire les mails.

Quatre idées reçues

La plupart des comptes « oubliés » ne le sont pas vraiment : quelqu'un a fait un geste, mais pas le bon. Voici ce que disent les pages de Microsoft sur les gestes les plus courants.

Exemple, inventé pour illustrer. Une commerciale quitte une PME de quinze salariés. Pour économiser une licence, on transforme sa boîte en boîte partagée que son collègue consulte pour suivre les clients. Personne ne pense au mot de passe. Des mois plus tard, ce mot de passe, réutilisé sur un site piraté, circule en ligne. Quelqu'un se connecte à la boîte partagée et envoie aux clients un « nouveau RIB ». Personne ne surveillait ce compte : on le découvre quand un client appelle au sujet d'un virement.

Le jour du départ : les gestes, dans l'ordre

L'ANSSI le demande dans son guide d'hygiène informatique (mesure 6) : les procédures d'arrivée et de départ doivent être définies avec les ressources humaines et prévoir la suppression des comptes et des boîtes aux lettres. Côté Microsoft 365, les gestes suivent la procédure de Microsoft pour le départ d'un salarié. Ils sont faits par la personne qui administre votre Microsoft 365, en interne ou chez votre prestataire, idéalement le dernier jour de travail, à l'heure du départ.

1. Changer le mot de passe et fermer toutes les sessions. C'est le geste qui coupe l'accès le plus vite : la personne est déconnectée dans l'heure, dès que son accès en cours expire.
2. Bloquer la connexion. Le compte ne peut plus servir, même avec le bon mot de passe.
3. Couper le téléphone. Si la personne lisait ses mails professionnels sur son smartphone, l'administrateur efface à distance le compte professionnel seulement, sans toucher aux photos ni aux applications personnelles, puis bloque l'appareil.
4. Retirer ce que la personne avait ajouté : ses méthodes de double authentification, ses mots de passe d'application, les applications qu'elle avait autorisées et, surtout, ses droits d'administrateur si elle en avait.
5. Mettre un message d'absence automatique qui annonce le départ et donne une adresse de contact (voir plus bas).
6. Mettre à l'abri ce qui appartient à l'entreprise : les fichiers utiles du OneDrive vers un dossier d'équipe, les mails dont un collègue a besoin pour suivre un dossier.
7. Retirer la licence, puis supprimer le compte quand tout est récupéré. Après suppression, Microsoft garde le compte environ 30 jours : on peut encore le restaurer en cas d'oubli. Exception : si vous avez transformé sa boîte en boîte partagée, ne supprimez pas le compte, car la boîte partagée en dépend. Gardez-le bloqué, avec un nouveau mot de passe.

Les étapes 1 à 4 sont les plus urgentes : ce sont elles qui ferment la porte. Les étapes 5 à 7 peuvent s'étaler sur quelques semaines, à condition que le compte soit déjà bloqué.

Et la boîte mail ? Ce que dit la CNIL

La boîte mail d'un ancien salarié contient des données personnelles : les siennes, et celles de tous ceux qui lui écrivent. Elle ne peut donc pas rester ouverte indéfiniment « au cas où ». Sur la messagerie d'un salarié qui part, la CNIL pose trois règles simples :

• Écrire la règle à l'avance : les modalités de fermeture du compte doivent figurer dans la charte informatique.
• Prévenir le salarié de la date de fermeture de son compte, pour qu'il puisse vider sa messagerie de ses messages personnels.
• Supprimer ensuite l'adresse nominative. Elle ne doit pas continuer à vivre au nom d'une personne partie.

Entre le départ et la suppression, un message d'absence automatique est le moyen le plus simple de ne perdre aucun client : il annonce le départ et indique la bonne adresse. Gardez-le quelques semaines, le temps que vos contacts prennent l'habitude, puis fermez la boîte. Ce n'est pas un avis juridique : pour un cas particulier, demandez conseil à votre juriste ou à votre avocat.

Les fichiers OneDrive : un compte à rebours discret

Le OneDrive d'un ancien salarié contient souvent des documents de travail que personne d'autre n'a : devis, tableaux, contrats. Ce qui leur arrive dépend du geste choisi, et les délais de Microsoft sont stricts.

• Compte supprimé : son responsable, s'il est indiqué dans la fiche du salarié sur Microsoft 365, reçoit un accès au OneDrive pendant 30 jours par défaut pour récupérer les fichiers. Sinon, personne ne le reçoit automatiquement : demandez à l'administrateur de donner cet accès avant la suppression. Ensuite, ils partent à la corbeille, et les liens de partage envoyés aux clients ne marchent plus.
• Licence retirée sans supprimer le compte : le OneDrive passe en lecture seule au 60e jour et il est archivé au 93e jour. Pour le rouvrir, il faut remettre une licence ou payer la réactivation.
• Le bon réflexe : avant le départ, déplacer les documents utiles dans un espace d'équipe (Teams ou SharePoint), qui ne dépend d'aucune personne.

Les comptes déjà oubliés : un contrôle de quinze minutes

Si votre entreprise a connu des départs ces dernières années, il y a de bonnes chances qu'un compte traîne encore. La CNIL recommande une revue des habilitations au moins une fois par an pour repérer et supprimer les comptes inutilisés. Microsoft propose de les repérer par leur date de dernière connexion et cite une fenêtre de 90 à 180 jours sans connexion comme repère raisonnable. Demandez à votre administrateur de faire ce tour :

1. Comparer la liste des comptes Microsoft 365 avec la liste du personnel actuel. Chaque compte doit avoir un propriétaire présent dans l'entreprise.
2. Repérer les comptes sans connexion depuis plus de 90 jours et demander pour chacun : qui en a encore besoin, et pourquoi ?
3. Vérifier les boîtes partagées qui étaient autrefois des boîtes personnelles : la connexion du compte doit être bloquée.
4. Relire la liste des administrateurs. Un ancien salarié ou un ancien prestataire ne doit plus y figurer.
5. Faire le tri dans les invités extérieurs (anciens consultants, anciens partenaires) qui ont encore accès à vos équipes Teams.

Ensuite, transformez le contrôle en habitude : une fiche de départ partagée entre les RH et la personne qui gère l'informatique, avec la date et l'heure du blocage. Le compte est fermé le jour du départ, pas quand quelqu'un y repense.

Faire vérifier vos comptes Microsoft 365→