Que faire du compte Microsoft 365 d'un employé qui quitte l'entreprise ?
Le bloquer le jour même du départ, pas quand quelqu'un y repense. Un compte resté ouvert donne toujours accès aux mails, aux fichiers et aux applications, et son mot de passe peut encore servir. Changez le mot de passe, fermez les sessions, bloquez la connexion, récupérez ce qui appartient à l'entreprise, laissez une réponse automatique environ un mois, puis supprimez le compte.
Pourquoi un compte oublié est un vrai risque
Quand quelqu'un quitte l'entreprise, on pense au badge, aux clés, à l'ordinateur portable. Le compte Microsoft 365, lui, reste souvent ouvert. Il n'a pourtant rien perdu : il ouvre toujours la boîte mail, les fichiers OneDrive, les équipes Teams, les dossiers partagés et parfois des applications métier reliées au même identifiant.
Microsoft le dit sans détour : dans beaucoup d'organisations, les comptes ne sont pas toujours supprimés au départ des employés, et ces comptes devenus inutiles représentent un risque de sécurité. Le danger ne vient pas forcément de l'ancien employé. Il vient surtout du fait que plus personne ne regarde ce compte : si son mot de passe a fuité ailleurs, une connexion suspecte passe inaperçue.
- La boîte mail : elle continue de recevoir les messages des clients et des fournisseurs, y compris des factures et des demandes de paiement.
- Les fichiers : le OneDrive de la personne et tout ce qu'on lui a partagé dans Teams ou SharePoint.
- Le téléphone : l'application Outlook ou Teams installée sur son smartphone reste synchronisée tant qu'on ne la coupe pas.
- Les accès ajoutés : un mot de passe d'application (un code à part, créé pour qu'un vieux logiciel de messagerie ou une imprimante se connecte sans la double authentification), un deuxième téléphone pour la double authentification, une application autorisée à lire les mails.
Quatre idées reçues
La plupart des comptes « oubliés » ne le sont pas vraiment : quelqu'un a fait un geste, mais pas le bon. Voici ce que disent les pages de Microsoft sur les gestes les plus courants.
| Ce qu'on croit | Ce qui se passe vraiment |
|---|---|
| « On a retiré la licence, le compte est fermé. » | Le compte existe toujours, avec son mot de passe. Retirer la licence et bloquer la connexion sont deux gestes différents. Sans licence, les mails, contacts et agenda sont effacés après 30 jours. |
| « On a transformé sa boîte en boîte partagée. » | Si le mot de passe n'est pas changé, l'ancien identifiant et l'ancien mot de passe continuent de fonctionner sur la boîte partagée. |
| « On a bloqué la connexion, c'est immédiat. » | Le blocage peut mettre jusqu'à 24 heures à s'appliquer. Microsoft conseille de changer d'abord le mot de passe pour couper l'accès tout de suite. |
| « On a changé le mot de passe, c'est réglé. » | Une session déjà ouverte peut rester valable jusqu'à une heure. Et les mots de passe d'application ne sont pas annulés quand on change le mot de passe. |
Exemple, inventé pour illustrer. Une commerciale quitte une PME de quinze personnes. Pour économiser une licence, on transforme sa boîte en boîte partagée que son collègue consulte pour suivre les clients. Personne ne pense au mot de passe. Des mois plus tard, ce mot de passe, réutilisé sur un site piraté, circule en ligne. Quelqu'un se connecte à la boîte partagée et envoie aux clients une « nouvelle coordonnée bancaire ». Personne ne surveillait ce compte : on le découvre quand un client appelle au sujet d'un virement.
Le jour du départ : les gestes, dans l'ordre
Ces gestes sont faits par la personne qui administre votre Microsoft 365, en interne ou chez votre prestataire. Ils suivent la procédure de Microsoft pour le départ d'un employé. Le plus simple est de les caler sur le dernier jour de travail, à l'heure du départ.
- Changer le mot de passe et fermer toutes les sessions. C'est le geste qui coupe l'accès le plus vite : la personne est déconnectée dans l'heure, dès que son accès en cours expire.
- Bloquer la connexion. Le compte ne peut plus servir, même avec le bon mot de passe.
- Couper le téléphone. Si la personne lisait ses mails professionnels sur son smartphone, l'administrateur efface à distance le compte professionnel seulement, sans toucher aux photos ni aux applications personnelles, puis bloque l'appareil.
- Retirer ce que la personne avait ajouté : ses méthodes de double authentification, ses mots de passe d'application, les applications qu'elle avait autorisées et, surtout, ses droits d'administrateur si elle en avait.
- Mettre une réponse automatique qui annonce le départ et donne une adresse de contact (voir plus bas).
- Mettre à l'abri ce qui appartient à l'entreprise : les fichiers utiles du OneDrive vers un dossier d'équipe, les mails dont un collègue a besoin pour suivre un dossier.
- Retirer la licence, puis supprimer le compte quand tout est récupéré. Après suppression, Microsoft garde le compte environ 30 jours : on peut encore le restaurer en cas d'oubli. Exception : si vous avez transformé sa boîte en boîte partagée, ne supprimez pas le compte, car la boîte partagée en dépend. Gardez-le bloqué, avec un nouveau mot de passe.
Les étapes 1 à 4 sont les plus urgentes : ce sont elles qui ferment la porte. Les étapes 5 à 7 peuvent s'étaler sur quelques semaines, à condition que le compte soit déjà bloqué.
Et la boîte mail ? Ce que dit l'Autorité de protection des données
La boîte mail d'un ancien employé contient des données personnelles : les siennes, et celles de tous ceux qui lui écrivent. Elle ne peut donc pas rester ouverte indéfiniment « au cas où ».
Dans sa décision 64/2020 du 29 septembre 2020, la Chambre contentieuse de l'Autorité de protection des données (APD) a infligé une amende de 15 000 euros à une PME qui avait laissé actives, pendant deux ans et demi à près de trois ans, les adresses e-mail d'un ancien dirigeant parti de l'entreprise. La décision reprend la recommandation suivante :
- Bloquer la messagerie de la personne qui a quitté ses fonctions dans les plus brefs délais.
- Mettre un message automatique qui prévient les correspondants que la personne a quitté ses fonctions, pendant un délai raisonnable : a priori un mois.
- Supprimer ensuite la messagerie. L'adresse au nom d'un ancien employé ne doit plus être utilisée.
Concrètement, prévenez la personne avant son départ de la date de blocage, laissez-lui l'occasion de trier ses messages privés, et écrivez la règle une fois pour toutes dans votre politique informatique. Ce n'est pas un avis juridique : pour un cas particulier, demandez conseil à votre juriste ou à votre secrétariat social.
| Option | Ce que ça fait | À surveiller |
|---|---|---|
| Réponse automatique | Prévient chaque expéditeur et donne le bon contact | La garder environ un mois, puis supprimer la boîte |
| Boîte partagée | Un collègue consulte les anciens mails pour assurer la suite | Changer le mot de passe et bloquer la connexion du compte, et ne pas supprimer le compte, la boîte en dépend |
| Transfert vers un collègue | Les nouveaux mails arrivent chez quelqu'un d'autre | Le collègue reçoit aussi des messages privés destinés à l'ancien employé |
| Suppression | Plus aucun accès, plus aucune réception | Récupérer avant ce qui appartient à l'entreprise |
Les fichiers OneDrive : un compte à rebours discret
Le OneDrive d'un ancien employé contient souvent des documents de travail que personne d'autre n'a : devis, tableaux, contrats. Ce qui leur arrive dépend du geste choisi, et les délais de Microsoft sont stricts.
- Compte supprimé : son responsable, s'il est indiqué dans la fiche de l'employé sur Microsoft 365, reçoit un accès au OneDrive pendant 30 jours par défaut pour récupérer les fichiers. Sinon, personne ne le reçoit automatiquement : demandez à l'administrateur de donner cet accès avant la suppression. Ensuite, ils partent à la corbeille, et les liens de partage envoyés aux clients ne marchent plus.
- Licence retirée sans supprimer le compte : le OneDrive passe en lecture seule au 60e jour et il est archivé au 93e jour. Pour le rouvrir, il faut remettre une licence ou payer la réactivation.
- Le bon réflexe : avant le départ, déplacer les documents utiles dans un espace d'équipe (Teams ou SharePoint), qui ne dépend d'aucune personne.
Les comptes déjà oubliés : un contrôle de quinze minutes
Si votre entreprise a connu des départs ces dernières années, il y a de bonnes chances qu'un compte traîne encore. Microsoft propose de repérer les comptes par leur date de dernière connexion et cite une fenêtre de 90 à 180 jours sans connexion comme repère raisonnable. Demandez à votre administrateur de faire ce tour :
- Comparer la liste des comptes Microsoft 365 avec la liste du personnel actuel. Chaque compte doit avoir un propriétaire présent dans l'entreprise.
- Repérer les comptes sans connexion depuis plus de 90 jours et demander pour chacun : qui en a encore besoin, et pourquoi ?
- Vérifier les boîtes partagées qui étaient autrefois des boîtes personnelles : la connexion du compte doit être bloquée.
- Relire la liste des administrateurs. Un ancien employé ou un ancien prestataire ne doit plus y figurer.
- Faire le tri dans les invités extérieurs (anciens consultants, anciens partenaires) qui ont encore accès à vos équipes Teams.
Ensuite, transformez le contrôle en habitude : une fiche de départ partagée entre la personne qui gère le personnel et celle qui gère l'informatique, avec la date et l'heure du blocage. Le compte est fermé le jour du départ, pas quand quelqu'un y repense.
Faire vérifier vos comptes Microsoft 365→
Questions fréquentes
Faut-il supprimer le compte Microsoft 365 le jour même du départ ?
Pas forcément le supprimer, mais le bloquer, oui : changer le mot de passe, fermer les sessions et bloquer la connexion le dernier jour. La suppression vient ensuite, une fois les fichiers et mails utiles récupérés. Après suppression, Microsoft permet encore de restaurer le compte pendant environ 30 jours.
Retirer la licence suffit-il à fermer le compte ?
Non. Retirer la licence libère la licence, mais vous continuez à la payer tant que vous ne réduisez pas le nombre de licences de votre abonnement. Et le compte existe toujours, avec son mot de passe : il faut aussi bloquer la connexion. Sans licence, les mails sont effacés après 30 jours et le OneDrive est archivé après 93 jours.
Peut-on garder la boîte mail d'un ancien employé pour ne rater aucun message client ?
Pas indéfiniment. L'Autorité de protection des données recommande de bloquer la messagerie au départ, de mettre un message automatique qui annonce le départ pendant un délai raisonnable, a priori un mois, puis de supprimer la boîte. Le message automatique indique aux clients à qui écrire désormais.
Une boîte partagée est-elle plus sûre qu'une boîte personnelle ?
Pas automatiquement. Quand on transforme la boîte d'un ancien employé en boîte partagée, Microsoft précise que l'ancien identifiant et l'ancien mot de passe continuent de fonctionner si on ne les change pas. Il faut donc changer le mot de passe et bloquer la connexion du compte lié.
Que deviennent les fichiers OneDrive d'un employé qui part ?
Si le compte est supprimé, son responsable, s'il est indiqué dans la fiche de l'employé sur Microsoft 365, a accès au OneDrive pendant 30 jours par défaut ; sinon, personne ne le reçoit automatiquement, et il faut demander à l'administrateur de donner cet accès avant la suppression. Ensuite, les fichiers partent à la corbeille et les liens de partage cessent de fonctionner. Le plus sûr est de déplacer les documents utiles dans un espace d'équipe avant le départ.