La boîte mail de celui qui est parti : le traitement que personne ne documente

Il vaut la peine de résister à la tentation de classer l'affaire comme belge. De tous les traitements qu'une organisation met en œuvre, la boîte mail de celui qui est parti est probablement le plus universel et presque toujours celui qui manque au registre. Personne ne le décide : il arrive. Le jour du départ, le compte reste ouvert parce que « quelque chose d'important pourrait arriver » ; un mois plus tard, plus personne ne pense à le fermer ; un an après, il existe un conteneur de correspondance appartenant à une personne qui n'est plus là, lu par des collègues qu'elle n'a jamais autorisés.

L'argument invoqué pour défendre la pratique est toujours le même : l'intérêt légitime à la continuité de l'activité. L'argument n'est pas ridicule, il est simplement beaucoup plus court que l'usage qu'on en fait. Dans les jours qui suivent immédiatement le départ, il existe réellement un intérêt à ne pas perdre une commande ou une échéance. Cet intérêt s'épuise dès que les correspondants ont eu le temps de changer d'adresse, et ce temps se mesure en semaines. Au-delà, ce qui reste n'est plus la continuité : c'est le confort de n'avoir rien réorganisé, et le confort n'est pas une base juridique.

• La boîte doit être désactivée au plus tard le jour où la relation prend fin. Pas « dès que possible » : ce jour-là.
• À sa place, un message automatique indiquant une adresse alternative, sans expliquer où la personne est allée et sans communiquer ses coordonnées privées.
• Après un délai raisonnable — en principe un mois, prolongeable à trois au maximum avec des motifs documentés — la boîte et le message automatique sont tous deux supprimés.
• Le contenu ne se lit pas. Si un document est réellement nécessaire, il doit être localisé par une recherche ciblée et documentée, la personne concernée étant informée au préalable.
• La personne doit savoir tout cela avant de partir, et non le découvrir après : c'est l'obligation d'information, pas une politesse.

Pour le DPO, les choses à mettre par écrit sont au nombre de quatre, et aucune ne demande un projet : la ligne du registre des traitements, avec finalité, base et délais distincts pour la désactivation et pour l'effacement ; le paragraphe de l'information au personnel qui décrit ce qu'il advient de la boîte après le départ ; la procédure de sortie qui confie à une personne nommée la tâche de fermer, avec une date ; et le procès-verbal de tout accès au contenu, s'il y en a eu. Sans le quatrième point, l'organisation n'est pas en mesure de démontrer que personne n'a rien lu, et la charge de la preuve lui appartient.

Un détail sur le message automatique, car c'est la partie la plus souvent mal écrite. « Notre collègue ne travaille plus chez nous, vous pouvez le joindre à cette nouvelle adresse » communique à quiconque écrit une information sur le parcours professionnel d'une personne qui n'a pas demandé à la divulguer. Le texte correct dit deux choses et s'arrête : que cette adresse n'est plus utilisée, et à quelle adresse écrire. Ni le motif, ni la destination, ni les bons vœux.

Que faire aujourd'hui, concrètement. Celui qui gère la conformité d'une organisation peut vérifier en une demi-heure combien de boîtes de personnes parties sont encore actives, depuis quand, et si l'une d'elles est redirigée vers un collègue. Si le nombre n'est pas zéro, aucune analyse d'impact n'est requise : il faut une liste avec une date en regard de chaque ligne. La décision belge n'a pas posé un principe nouveau — la ligne de l'autorité est la même au moins depuis 2020, lorsqu'une société a été sanctionnée de 15 000 euros pour des adresses non fermées au départ de collaborateurs. Ce qui a changé, c'est le prix.