Départ d'un salarié : que faire de ses données ?

Le 18 juin 2025, la chambre sociale de la Cour de cassation a rejeté le pourvoi d’un employeur qui refusait de transmettre à un ancien salarié l’intégralité des courriels émis et reçus depuis sa messagerie professionnelle (Cass. soc., 18 juin 2025, n° 23-19.022, publié). Contenu et métadonnées : des données personnelles au sens de l’Art. 4(1) du RGPD, communicables au titre du droit d’accès. Autrement dit, une boîte mail que vous croyiez « fermée » reste un traitement dont vous êtes comptable, parfois des années après le solde de tout compte.

Dans mon expérience de conseil, le départ d’un salarié est le moment de la vie RH le plus mal traité au regard du RGPD. L’arrivée est cadrée — contrat, charte, mention d’information. Le départ, lui, relève de l’improvisation : on coupe ce à quoi on pense, on garde « au cas où » ce dont on n’est pas sûr, et personne ne documente. La publication par la CNIL, le 2 avril 2026 (mise à jour le 20 mai), d’un référentiel des durées de conservation dédié à la gestion des ressources humaines supprime l’excuse de l’incertitude : les durées sont désormais listées, activité par activité, avec leur fondement juridique.

Cet article décrit ce qu’il faut faire, dans quel ordre, et ce qu’il faut surtout ne pas faire.

Un départ, ce n’est pas un traitement : c’en est une quinzaine

La première erreur est de raisonner en « suppression du dossier salarié ». Un collaborateur qui part laisse des données dans des systèmes qui n’ont ni le même responsable opérationnel, ni la même finalité, ni la même durée de conservation. Le SIRH n’est que la partie visible.

Système	Ce qui reste après le départ	Traitement concerné
SIRH / dossier professionnel	Contrat, avenants, évaluations, absences	Gestion administrative du personnel
Paie	Bulletins, éléments de cotisation, DSN	Gestion des rémunérations
Annuaire / AD / IAM	Compte, groupes, habilitations	Sécurisation des systèmes
Messagerie et espaces collaboratifs	Boîte mail, fichiers partagés, historiques de conversation	Outils de travail
Contrôle d’accès physique	Badge, journaux de passage, éventuel gabarit biométrique	Sécurisation des biens et des personnes
Flotte automobile	Historique de géolocalisation, désignations ANTAI	Gestion des véhicules professionnels
CRM, outils métiers, ticketing	Compte utilisateur, signature dans les échanges, attribution des dossiers	Traitements métiers
Site web, intranet, LinkedIn	Photo, biographie, organigramme	Communication
Sauvegardes et archives	Tout ce qui précède, en copie	Sauvegarde

Chacune de ces lignes correspond à une entrée de votre registre des activités de traitement (Art. 30) et donc à une durée de conservation propre. La conséquence pratique : il n’existe pas une date de suppression au départ d’un salarié, mais une matrice. C’est précisément ce que le tableau des durées de conservation doit formaliser en amont, pas au fil de l’eau.

Jour J : ce qui doit être coupé immédiatement

L’Art. 32(1) du RGPD impose des mesures de sécurité appropriées au risque. Un compte actif appartenant à une personne qui n’est plus dans l’organisation est un risque documenté, banal, et parfaitement évitable. C’est aussi l’un des motifs les plus fréquents de violation de données : compte dormant compromis, accès conservé par un prestataire parti, VPN oublié.

La liste minimale, à exécuter le jour de la fin effective des fonctions — pas à la date de fin de préavis théorique :

1. Désactivation du compte principal (annuaire, SSO) plutôt que suppression immédiate. La désactivation coupe l’accès sans détruire les objets liés, ce qui vous laisse le temps de traiter les données de manière raisonnée.
2. Révocation des habilitations applicatives, y compris celles accordées hors du processus central : accès administrateur ponctuels, comptes de service, partages externes, jetons d’API. Voir notre guide sur la gestion des habilitations.
3. Retrait des facteurs d’authentification : MFA, certificats, clés SSH, accès VPN.
4. Désactivation du badge. Le référentiel CNIL est explicite : les données d’identification liées au contrôle d’accès ne sont conservées que « le temps de l’habilitation de la personne concernée ». Les journaux de passage produits par le dispositif se conservent, eux, trois mois après leur enregistrement. Si le badge sert aussi de pointeuse, les données peuvent être conservées cinq ans au titre du suivi du temps de travail — mais il s’agit alors d’une finalité distincte, à documenter comme telle.
5. Suppression du gabarit biométrique, s’il en existe un. Le règlement type Biométrie l’impose « en cas de retrait des habilitations ou en cas de cessation des fonctions ». Les données d’identification associées disparaissent au plus tard six mois après.
6. Restitution et effacement du matériel. Poste, téléphone, supports amovibles. Si un dispositif BYOD était utilisé, la procédure de séparation des espaces professionnel et personnel doit avoir été prévue dans la charte : c’est trop tard pour l’écrire au moment du départ.

Un point de méthode : conservez la trace horodatée de chacune de ces opérations. En cas de contrôle CNIL, la preuve de la révocation vaut mieux que l’affirmation de la révocation. Les données de traçabilité elles-mêmes se conservent de six mois à un an à compter de la connexion, conformément à la délibération n° 2021-122 du 14 octobre 2021 (voir notre article sur la journalisation conforme).

La messagerie professionnelle : le point le plus mal traité

C’est le sujet sur lequel je vois le plus d’erreurs, et le plus de pratiques héritées d’avant 2018 qui n’ont jamais été révisées.

Ce que recommande la CNIL

La position de la CNIL tient en quatre temps :

• Prévenir le salarié de la date de fermeture de sa messagerie, afin qu’il puisse trier et transférer ses messages privés vers sa messagerie personnelle. Cette étape n’est pas cosmétique : elle purge la boîte de son contenu personnel avant que l’employeur n’en assume la garde.
• Privilégier la désactivation assortie d’un message automatique informant du départ et donnant une nouvelle adresse de contact dans l’organisation.
• Supprimer l’adresse électronique nominative une fois le salarié parti.
• Ne pas ouvrir ni copier les messages identifiés comme personnels, qui restent protégés par le secret des correspondances.

Ces modalités doivent être organisées dans la charte informatique — la CNIL invite d’ailleurs à la définir en concertation avec les représentants du personnel. Une charte qui décrit précisément le sort de la messagerie au départ règle 80 % des litiges avant qu’ils ne naissent, et elle est opposable au salarié dès lors qu’elle a été régulièrement portée à sa connaissance (voir l’affaire commentée dans non-respect de la charte et licenciement).

La redirection : la fausse bonne idée

La pratique la plus répandue consiste à rediriger la boîte du partant vers son manager ou son successeur, sans limite de durée et sans que personne n’y pense à nouveau. Elle est doublement fragile.

Sur le plan du RGPD, une redirection est un traitement : elle suppose une finalité déterminée et une durée proportionnée. La CNIL n’admet la redirection que pour une durée limitée et une finalité identifiée — assurer la continuité de la relation commerciale, typiquement. En pratique, je recommande de plafonner à un ou deux mois, de le prévoir explicitement dans la charte, et d’en informer le salarié avant son départ.

Sur le plan du secret des correspondances, la redirection expose le destinataire à recevoir des messages à caractère personnel adressés à l’ancien salarié par des tiers qui ignorent son départ. L’article L. 226-15 du code pénal réprime le fait, de mauvaise foi, de prendre connaissance de correspondances émises par voie électronique. Le message automatique de départ est nettement plus sûr : il informe l’expéditeur, redirige l’échange professionnel vers un contact identifié, et n’expose personne au contenu.

Ce que vous ne pouvez pas faire

Deux interdits, souvent ignorés.

Accéder aux messages identifiés comme « personnel ». Depuis l’arrêt Nikon (Cass. soc., 2 octobre 2001, n° 99-42.942), les messages présumés professionnels peuvent être consultés par l’employeur, mais ceux identifiés comme personnels par le salarié échappent à ce régime — y compris après le départ. La règle de contrôle de la messagerie du salarié ne s’assouplit pas parce que le contrat a pris fin.

Conserver la boîte « au cas où » sans durée ni finalité. Une boîte mail archivée indéfiniment viole l’Art. 5(1)(e) du RGPD, et devient un passif : c’est exactement le gisement que l’ancien salarié pourra vous demander de communiquer au titre de l’Art. 15. Si un contentieux est prévisible, extrayez les pièces utiles dans un dossier de preuve dédié — avec sa propre finalité et sa propre durée — et supprimez le reste. C’est la logique même de l’archivage à valeur probante.

Le dossier RH : distinguer base active et archivage intermédiaire

Le référentiel CNIL d’avril 2026 est construit autour d’une distinction qui règle la plupart des hésitations : base active (données utilisées au quotidien par les services opérationnels) et archivage intermédiaire (données qui ne servent plus la finalité initiale mais présentent un intérêt administratif ou répondent à une obligation légale).

Cette séparation n’est pas conceptuelle : elle doit être matérialisée. La CNIL admet une séparation physique (base d’archivage dédiée) ou logique (isolement par restriction des habilitations). En clair, après le départ, les données ne restent accessibles qu’à des personnes spécifiquement habilitées, sur consultation ponctuelle et motivée. Un dossier RH qui reste consultable par toute l’équipe paie cinq ans après le départ ne respecte pas l’archivage intermédiaire, quelle que soit la durée affichée dans le registre.

Les durées à retenir

Donnée	Base active	Archivage intermédiaire	Fondement
Dossier professionnel	Durée de la relation de travail	Dans la limite du délai de prescription applicable, si obligation légale ou besoin de preuve	Référentiel CNIL GRH (recommandation)
Registre unique du personnel (mentions)	Présence dans les effectifs	5 ans à compter du départ	Art. R. 1221-26 code du travail (obligation)
Bulletins de paie — éléments d’identification	Présence dans les effectifs	6 ans glissants après la DSN	Art. L. 243-16 code de la sécurité sociale (obligation)
Double des bulletins de paie	1 mois après transmission	5 ans	Art. L. 3243-4 code du travail (obligation)
Bulletins électroniques — disponibilité	—	50 ans, ou jusqu’à l’âge de la retraite du salarié majoré de 6 ans	Art. D. 3243-8 code du travail (obligation)
Suivi du temps de travail	Jusqu’à l’émission du bulletin	1 an (3 ans pour les forfaits)	Art. D. 3171-16, L. 3245-1 code du travail
Accidents du travail	Temps de la gestion	5 ans à compter de la déclaration	Art. D. 4711-3 code du travail (obligation)
Mandats des représentants du personnel	Durée du mandat + 6 mois	6 ans en cas de contentieux (prescription pénale)	Art. L. 2411-5 code du travail
Géolocalisation véhicules	2 mois	1 an	Fiche CNIL géolocalisation (recommandation)
Images de vidéosurveillance	1 mois	Durée de la procédure, si extraction motivée	Art. 5(1)(e) RGPD, art. L. 252-5 CSI
Contentieux prud’homal ou disciplinaire	Durée du litige	Jusqu’à épuisement des voies de recours	Droits de la défense (art. 6 CEDH)

Le référentiel est un instrument de droit souple : son respect n’est pas obligatoire en tant que tel. Mais les durées qu’il signale comme issues d’un texte — registre unique du personnel, bulletins de paie, accidents du travail — sont, elles, impératives. Et pour les autres, s’écarter d’une recommandation publiée suppose de pouvoir justifier pourquoi. C’est l’accountability de l’Art. 5(2).

Le raisonnement à tenir pour le dossier professionnel

La CNIL ne fixe volontairement pas de durée unique pour le dossier professionnel : elle renvoie au « délai de prescription/forclusion applicable ». Il faut donc raisonner par risque contentieux, en croisant trois délais du code du travail :

• 12 mois à compter de la notification pour une action portant sur la rupture du contrat (art. L. 1471-1) ;
• 2 ans pour une action portant sur l’exécution du contrat (art. L. 1471-1) ;
• 3 ans pour une action en paiement du salaire (art. L. 3245-1) ;
• 5 ans pour une action en réparation d’une discrimination, à compter de sa révélation (art. L. 1134-5).

En pratique, une durée d’archivage intermédiaire de cinq ans après le départ couvre l’ensemble et s’aligne sur l’obligation du registre unique du personnel — ce qui explique qu’elle soit la plus répandue. Ce n’est pas une règle, c’est un arbitrage : il doit figurer dans votre politique de conservation avec sa justification, et non être appliqué par défaut. Pour les candidats non retenus, le raisonnement est le même mais la durée diffère : cinq ans à compter du jour où le poste a été pourvu, comme le rappelle notre article sur la durée de conservation des CV.

Les traces oubliées

Ce sont elles qui font échouer les audits. Aucune n’est complexe ; toutes sont invisibles depuis le SIRH.

La photo et la biographie. Page « équipe » du site, intranet, organigramme, plaquettes commerciales, signatures de courriel. Le droit à l’image, distinct du RGPD, suppose une autorisation qui cesse avec les fonctions ; côté RGPD, la finalité disparaît au départ. Notre guide sur les photos de salariés détaille l’articulation des deux régimes. Le point aveugle habituel : les documents PDF publiés, indexés par les moteurs, qui survivent à la refonte du site.

Les espaces collaboratifs. Messagerie instantanée, wikis, drives partagés. La question à trancher n’est pas « faut-il supprimer ? » mais « qui devient responsable des fichiers créés par cette personne ? ». Transférer la propriété d’un espace à un manager sans en purger le contenu personnel revient à déplacer le problème.

Les outils métiers. CRM, ticketing, outils de facturation : le nom de l’ancien salarié reste attaché aux enregistrements qu’il a créés, souvent légitimement (traçabilité, preuve). Ce qui doit disparaître, c’est le compte utilisateur actif et les coordonnées de contact diffusées à l’extérieur.

Les données de contrôle d’activité. Enregistrements téléphoniques, journaux de navigation, données de géolocalisation ou de vidéosurveillance : elles suivent leurs propres durées, indépendantes du départ. Un enregistrement d’appel conservé six mois ne devient pas conservable cinq ans parce que le salarié est parti — voir notre article sur l’enregistrement des appels téléphoniques.

Les sauvegardes. Elles ne se purgent pas à la demande, et la CNIL l’admet : les données supprimées en base active peuvent subsister en sauvegarde jusqu’à rotation du cycle. Ce qui est attendu, c’est que la suppression soit rejouée si une restauration intervient, et que le cycle de rotation soit documenté. Pour la destruction effective des supports, voir effacement sécurisé des données.

Les signalements. Si le salarié partant a émis ou fait l’objet d’un signalement dans le dispositif d’alerte professionnelle, les données suivent le régime de la loi n° 2022-401 du 21 mars 2022 : conservation jusqu’à la décision définitive sur les suites, puis anonymisation. Le départ du salarié n’y change rien.

L’ancien salarié qui exerce ses droits

C’est le scénario qui transforme un manquement documentaire en contentieux, et il devient courant.

Le droit d’accès (Art. 15) survit au contrat. L’arrêt du 18 juin 2025 le confirme sans ambiguïté : un ancien salarié peut obtenir la copie des courriels émis et reçus depuis sa messagerie professionnelle, contenu et métadonnées compris. La limite existe — l’Art. 15(4) réserve les droits et libertés d’autrui, et le considérant 63 vise expressément le secret des affaires — mais elle suppose un examen pièce par pièce, pas un refus de principe. Un employeur qui a supprimé la boîte sans conserver de trace se retrouve à devoir expliquer une suppression qui ressemble à une soustraction de preuve. Notre article sur la réponse à une demande de droit d’accès détaille la méthode et le délai d’un mois de l’Art. 12(3).

Le droit à l’effacement (Art. 17) est très limité en RH. L’Art. 17(3)(b) écarte l’effacement lorsque le traitement est nécessaire au respect d’une obligation légale — ce qui couvre la paie, le registre unique du personnel, les déclarations sociales. L’Art. 17(3)(e) l’écarte également lorsque les données sont nécessaires à la constatation, l’exercice ou la défense de droits en justice. Un ancien salarié qui demande la suppression de tout son dossier n’y a donc généralement pas droit : la bonne réponse est une réponse motivée, article par article, pas un refus laconique. Voir Article 17 RGPD : le droit à l’effacement.

La base légale reste celle de l’Art. 88 et du droit national. Rappelons que le traitement des données RH ne repose presque jamais sur le consentement : exécution du contrat, obligation légale, intérêt légitime. Le départ ne change pas la base légale, il change la finalité — et donc la durée. Notre article sur l’article 88 du RGPD revient sur les marges nationales en matière de relations de travail.

La procédure d’offboarding : ce qu’il faut écrire

Trois documents suffisent, et ils doivent exister avant le premier départ, pas après.

1. Une checklist d’offboarding datée et signée. Elle liste les systèmes, l’action attendue (désactiver / transférer / archiver / supprimer), le responsable et la date d’exécution. C’est votre preuve d’accountability au sens de l’Art. 5(2). Elle doit être tenue par les RH et l’informatique conjointement — l’expérience montre que confiée à un seul service, elle oublie systématiquement la moitié des systèmes de l’autre.

2. Une clause dans la charte informatique. Sort de la messagerie, délai de prévenance avant fermeture, durée maximale de redirection, restitution du matériel, traitement des espaces personnels. La charte informatique est le véhicule naturel, à condition qu’elle ait été soumise au CSE et annexée au règlement intérieur pour être opposable.

3. Une mention d’information à jour. L’information des salariés (Art. 13) doit couvrir la période postérieure au départ : durées d’archivage, destinataires, droits. Notre modèle d’information des salariés et le modèle de clause RGPD pour le contrat de travail couvrent ce point.

Un mot sur l’échelle. Pour une organisation qui gère quelques départs par an, un tableur suffit. Au-delà, la tenue à jour des durées par traitement, des habilitations et des preuves d’exécution devient un travail de fond — c’est typiquement ce que les outils de pilotage de la conformité comme Legiscope automatisent, en reliant le registre, les durées et les preuves. Mais l’outil ne dispense pas de l’arbitrage juridique : c’est vous qui décidez de la durée, pas le logiciel.

Le contexte de contrôle en 2026

Deux signaux méritent d’être notés. D’une part, la CNIL a annoncé le 3 avril 2026 que le recrutement figurait parmi ses thématiques de contrôle prioritaires pour l’année — le cycle de vie des données RH est donc dans le champ. D’autre part, la Commission indiquait le 6 juillet 2026 avoir prononcé 23 nouvelles sanctions depuis janvier au titre de la seule procédure simplifiée, dont le régime permet de sanctionner rapidement des manquements simples et documentables. Un dépassement de durée de conservation ou un compte non révoqué entrent précisément dans cette catégorie. Notre suivi des sanctions CNIL 2026 recense les décisions au fil de l’eau.

Ajoutons que la CNIL a publié le 9 juillet 2026 un dossier consacré au contrôle de l’activité des personnes employées, qui confirme l’attention portée à cette matière. Pour le cadre général, voir notre guide RGPD et ressources humaines et notre synthèse sur les données personnelles en droit du travail.

Ce qu’il faut retenir

• Le départ déclenche une matrice, pas une date unique. Chaque système a sa finalité et sa durée : SIRH, paie, annuaire, badge, messagerie, flotte, outils métiers, sauvegardes. Traiter le sujet depuis le seul SIRH garantit d’oublier l’essentiel.
• Coupez les accès le jour de la fin effective des fonctions, et prouvez-le. Désactivation plutôt que suppression, révocation des habilitations et des facteurs d’authentification, badge et gabarit biométrique supprimés, matériel restitué. La trace horodatée vaut preuve au titre de l’Art. 5(2).
• La messagerie se désactive avec un message automatique ; la redirection reste l’exception. Prévenez le salarié de la date de fermeture, supprimez l’adresse nominative ensuite, n’ouvrez jamais les messages identifiés comme personnels. Une redirection sans durée ni finalité est un manquement doublé d’un risque pénal.
• Séparez base active et archivage intermédiaire, matériellement ou logiquement. Cinq ans après le départ est un arbitrage cohérent avec l’art. R. 1221-26 du code du travail et les délais de prescription — mais c’est un arbitrage à justifier, pas une règle universelle.
• Le droit d’accès survit au contrat. Depuis Cass. soc., 18 juin 2025, n° 23-19.022, un ancien salarié peut réclamer ses courriels professionnels. Anticipez : une politique de conservation écrite et appliquée est la meilleure réponse à une demande d’accès instrumentalisée dans un contentieux prud’homal.

---

Recevez nos analyses conformité chaque semaine. Décisions CNIL décryptées, échéances réglementaires, méthodes applicables : inscrivez-vous à la newsletter.

---

FAQ

Combien de temps peut-on conserver le dossier d’un salarié après son départ ?

Le référentiel CNIL du 2 avril 2026 ne fixe pas de durée unique : il renvoie au délai de prescription ou de forclusion applicable. En pratique, cinq ans après le départ couvrent la prescription de l’action en discrimination (art. L. 1134-5 du code du travail) et s’alignent sur l’obligation de conservation des mentions du registre unique du personnel (art. R. 1221-26). Certaines pièces obéissent à des durées propres et impératives — six ans pour les éléments de cotisation, cinquante ans pour la disponibilité des bulletins de paie électroniques. Il est recommandé de documenter l’arbitrage dans la politique de conservation.

Peut-on rediriger la messagerie d’un salarié qui a quitté l’entreprise ?

Oui, mais seulement pour une durée limitée et une finalité identifiée, typiquement la continuité de la relation commerciale. La CNIL recommande de privilégier la désactivation assortie d’un message automatique indiquant le départ et une nouvelle adresse de contact. Une redirection prolongée expose le destinataire à prendre connaissance de correspondances privées, ce que réprime l’article L. 226-15 du code pénal. Il est prudent de plafonner la redirection à un ou deux mois et de l’avoir prévue dans la charte informatique.

Un ancien salarié peut-il demander l’accès à ses courriels professionnels ?

Oui. Par un arrêt du 18 juin 2025 (n° 23-19.022, publié), la chambre sociale de la Cour de cassation a jugé que les courriels émis et reçus dans le cadre de l’activité professionnelle constituent des données personnelles, et qu’un ancien salarié peut en obtenir communication au titre de l’Art. 15 du RGPD, contenu et métadonnées compris. L’Art. 15(4) permet d’écarter les éléments portant atteinte aux droits et libertés d’autrui, notamment le secret des affaires, mais cela suppose un examen concret et motivé, non un refus de principe.

Doit-on supprimer toutes les données à la demande d’un ancien salarié ?

Non, dans la plupart des cas. L’Art. 17(3)(b) du RGPD écarte le droit à l’effacement lorsque la conservation répond à une obligation légale — paie, déclarations sociales, registre unique du personnel — et l’Art. 17(3)(e) lorsqu’elle est nécessaire à la défense de droits en justice. La réponse attendue est une réponse motivée, distinguant les données effaçables de celles qui ne le sont pas, dans le délai d’un mois de l’Art. 12(3).

Que faire du badge et des données biométriques au départ ?

Le badge doit être désactivé au terme de l’habilitation. Les journaux de passage produits par le dispositif se conservent trois mois après enregistrement ; si le badge sert également au suivi du temps de travail, les données peuvent être conservées cinq ans au titre de cette finalité distincte. Pour un dispositif biométrique, le règlement type impose la suppression du gabarit dès le retrait des habilitations ou la cessation des fonctions, les données d’identification associées disparaissant au plus tard six mois après.

Le référentiel CNIL sur les durées RH est-il obligatoire ?

Il relève du droit souple : son respect n’est pas obligatoire en tant que tel. En revanche, certaines durées qu’il recense sont imposées par un texte — code du travail, code de la sécurité sociale — et ne souffrent aucune dérogation. Pour les durées simplement recommandées, s’en écarter reste possible, à condition de pouvoir justifier ce choix au titre de l’accountability de l’Art. 5(2). Le référentiel ne couvre pas le dossier individuel des agents publics, régi par l’arrêté du 21 décembre 2012.

Faut-il informer le salarié de ce qu’il adviendra de ses données après son départ ?

Oui. L’obligation d’information de l’Art. 13 porte notamment sur les durées de conservation, et rien ne la limite à la période d’exécution du contrat. La mention d’information remise à l’embauche doit donc décrire le sort des données après le départ : durées d’archivage, destinataires, modalités d’exercice des droits. La CNIL recommande par ailleurs d’avertir spécifiquement le salarié de la date de fermeture de sa messagerie, afin qu’il puisse récupérer ses éléments personnels.