Cybersécurité et mobilité des salariés : neutraliser les risques en cas de départ ou d'arrivée

Résumé : Chaquedépart ou arrivée de salarié expose l'entreprise à un risque de fuite oud'appropriation fautive de données confidentielles. Un arrêt de la Cour decassation du 2 septembre 2026 rappelle que la bonne foi du nouvel employeur estindifférente. Charte SI, procédures RH et contrôle conforme au RGPD permettentde neutraliser ce risque.

I. La mobilité professionnelle, nouveau vecteur de risque cyber

Pour une direction juridique,une DSI ou un RSSI, la cybersécurité se pense encore trop souvent comme uneréponse aux menaces externes : intrusion, rançongiciel, hameçonnage. Lamobilité des collaborateurs constitue pourtant l'un des vecteurs de fuite ou decontamination de données les plus fréquents. Il est pourtant rarement anticipé.La raison de ce manque d’anticipation tient au contexte : il ne résulte pasd'une attaque, mais d'un mouvement de personnel ordinaire.

A. Un risque à double sens : départ et arrivée de collaborateurs

•     Au départ : risque de fuite des actifsinformationnels propres à l'entreprise (bases clients, grilles tarifaires,méthodes commerciales, données techniques).

•     À l'arrivée : risque symétrique d'héberger, surses propres systèmes, des données confidentielles appartenant à un concurrent ;et d'en répondre.

Traiter la mobilitéprofessionnelle comme un sujet de cybersécurité, et non comme une simpleformalité contractuelle, suppose de construire une réponse pour chacun de cesdeux moments.

B. Pourquoi la donnée doit être traitée comme un actif à gouvernancejuridique propre

Une entreprise protègespontanément sa marque, dépose ses brevets, verrouille ses contrats de licence.Elle est en revanche souvent moins vigilante sur un actif tout aussistratégique : son patrimoine informationnel. Cet actif présente uneparticularité qui le rend plus difficile à protéger que les autres actifsimmatériels (marques, bases de données, secrets d'affaires), il circule avecles personnes, au gré des recrutements et des départs.

‍

II. Neutraliser le risque au départ d'un salarié : sécuriser la sortie desdonnées

A. Que doit prévoir une procédure d'offboarding robuste ?

Une procédure d'offboardingpilotée conjointement par les RH, la DSI et la direction juridique pourranotamment couvrir :

•     La désactivation effective des accès (messagerie, CRM,partages réseau, VPN, applications métier) en cohérence avec les dispositionsdu règlement intérieur et de la politique de sécurité des systèmesd’information.

•     La conservation des journaux de connexion dans lerespect des règles de proportionnalité, de loyauté et de transparence, afin depréserver la preuve d'un éventuel transfert massif de données.

•     La restitution contrôlée des supports (ordinateur,téléphone, clés USB, disques externes) et la vérification de l'absence desynchronisation vers des services personnels.

•     Un rappel formel des obligations de confidentialitépost-contractuelles, y compris en l'absence de clause de non-concurrence.

B. Quel rôle joue le DPO dans la sécurisation du départ d'un collaborateur?

Le délégué à la protection desdonnées (DPO), désigné en application des articles 37 à 39 du RGPD, a vocationà être associé à la procédure d'offboarding : il s'assure que la collecte desjournaux de connexion et l'éventuelle exploitation des logs, à des finsprobatoires, respectent les principes de licéité, de minimisation et definalité du RGPD.

Son intervention en amont dansla définition des procédures et la formalisation des informations à destinationdes salariés (Notamment au sein de la Charte Utilisateurs des SI et de laCharte des données RH) sécurise juridiquement une preuve qui, recueillie dansdes conditions non conformes, pourrait être écartée des débats.

‍

III. Neutraliser le risque à l'arrivée d'un salarié : l'éclairage de lajurisprudence récente

A. Que juge la Cour de cassation dans son arrêt du 2 septembre 2026 ?

Par un arrêt du 2 septembre 2026(pourvoi n° 25-12.718, publié au Bulletin), la chambre commerciale de la Courde cassation juge que la seule présence, sur l'ordinateur professionnel d'unsalarié, de documents confidentiels appartenant à son ancien employeur suffit àcaractériser leur appropriation par le nouvel employeur, au sens de l'article1240 du Code civil. Ni la connaissance du fait, ni son exploitationcommerciale, ni une instruction de la direction ne sont exigées : la bonnefoi invoquée par l'entreprise d'accueil est indifférente.

Cette solution prolonge uneligne déjà amorcée par la chambre commerciale (Com., 7 décembre 2022, n°21-19.860 ; Com., 17 mai 2023, n° 22-16.031) et illustre une réalitéopérationnelle simple : l'entreprise d'accueil porte le risque dès que ladonnée d'un tiers se trouve sur son propre système d'information, quelle quesoit son intention. Consulterla décision sur Courdecassation.fr.

B. Eléments de sécurisation de l'onboarding d'un profil issu d'unconcurrent ?

Face au risque d’engagement deresponsabilité, le nouvel employeur pourra utilement envisager plusieursactions protectrices et notamment :

•     Intégrer une clause de non-apport de données dans lapromesse d'embauche, rappelant l'interdiction d'importer tout document oufichier appartenant à un tiers.

•     Contrôler techniquement les supports et transferts lorsde la prise de poste (interdiction de connexion de supports amoviblespersonnels, vérification des transferts vers les outils professionnels).

•     Former les équipes RH et informatiques à identifier lessituations à risque (volume de données importées, formats atypiques,provenance).

‍

IV. La Charte « Utilisateurs des Systèmes d'Information » : le soclejuridique commun

A. La Charte SI doit être revue à la lumière de ce risque

Si nombre d’organisationsaujourd’hui s’attache à mettre à jour leur Charte SI pour encadrerl’introduction de systèmes d’IA et lutter contre le shadow IA (voir notrearticle sur le sujet), nul doute qu’il serait également opportun des’intéresser à des dispositions protectrices telles que :

•     Interdire explicitement l'importation, sur les outilsprofessionnels, de tout document, base de données ou fichier appartenant à untiers, y compris un ancien employeur.

•     Encadrer symétriquement la sortie de données : usagedes supports amovibles, synchronisation vers des services cloud personnels,transferts vers une messagerie privée.

•     Définir la notion d'information confidentielle propre àl'entreprise, condition indispensable pour invoquer utilement le régime dusecret des affaires (article L. 151-1 du Code de commerce, qui exige des «mesures de protection raisonnables »).

•     Prévoir les modalités de contrôle susceptibles d'êtremises en œuvre (audit des postes, détection d'exportations atypiques, contrôledes supports amovibles) et leurs conditions de déclenchement.

B. Pourquoi associer le DPO et le RSSI à la rédaction de la Charte SI ?

La Charte SI se situe aucroisement du droit du travail, du RGPD et de la cybersécurité opérationnelle.Une rédaction purement juridique, sans validation du RSSI sur la faisabilitétechnique des contrôles annoncés, ou sans revue du DPO sur la conformité destraitements de données personnelles qu'elle autorise, expose l'entreprise à undocument inopposable ou inapplicable. L'association des trois fonctions (juridique,DPO, RSSI) est la condition d'une charte opérationnelle.

‍

V. Contrôler sans déloyauté : le cadre RGPD et droit du travail applicableau contrôle cyber

A. Licéité des dispositifs de contrôle informatique des salariés :des conditions multiples

•     Article L. 1222-4 du Code du travail : « Aucuneinformation concernant personnellement un salarié ne peut être collectée par undispositif qui n'a pas été porté préalablement à sa connaissance. »

•     Article L. 1121-1 du Code du travail : touterestriction aux droits et libertés des salariés doit être justifiée par lanature de la tâche à accomplir et proportionnée au but recherché.

•     Principes RGPD de licéité, loyauté et transparence :les personnes concernées doivent être informées des finalités, de la basejuridique et des modalités des traitements de données mis en œuvre à des finsde contrôle.

La jurisprudence sociale ajouteune exigence de loyauté probatoire constante depuis le début des années 1990 :les procédés de surveillance clandestins demeurent, en principe, écartés desdébats même si des jurisprudences récentes tendent, dans certaines conditions,à accepter certaines preuves collectées illégalement après conciliation del’intérêt légitime de l’employeur et de la protection de la vie privée dusalarié. (Cass. plen. 22 déc 2023, n°20-20.648)

B. Quel est le rôle du CSE dans la mise en place d'un contrôleinformatique ?

En application des articles L.2312-37 et L. 2312-38 du Code du travail, les moyens ou techniques de contrôlede l'activité des salariés doivent faire l'objet d'une information-consultationdu Comité social et économique, préalable à leur mise en œuvre.

Cette étape conditionnel'opposabilité du dispositif et, par voie de conséquence, la recevabilité despreuves qui pourraient en être tirées.

Comme évoqué plus hautl'articulation entre droit de contrôle et droits du salarié connaît desévolutions jurisprudentielles récentes et sensibles, notamment sur larecevabilité de preuves recueillies par des dispositifs non déclarés au regarddu droit à la preuve. Une revue de conformité spécifique, en amont de toutdispositif de contrôle renforcé, sera ainsi recommandée.

‍

VI. Grille de synthèse : cartographier le risque à chaque étape duparcours collaborateur

Cette grille de lecture LegalDesign permet aux équipes RH, juridiques et IT de partager une cartographiecommune du risque.

VII. Conclusion et recommandations

La mobilité des collaborateursn'est pas seulement un sujet RH : c'est un événement de cybersécurité et degouvernance juridique à part entière, qui se joue autant dans les logs et leshabilitations que dans le contrat de travail. L'arrêt du 2 septembre 2026rappelle que l'absence d'organisation en amont ne protège plus l'entreprised'accueil, même en cas de bonne foi.

Quatre chantiers se dessinentainsi pour les directions juridiques, RH et DSI :

1.   Traiter chaque arrivée et chaque départ comme unévénement à cartographier conjointement par la DSI, les RH et la directionjuridique.

2.   Auditer la Charte SI existante pour vérifier qu'ellecouvre explicitement l'hypothèse de l'apport de données par un nouveaucollaborateur.

3.   Sécuriser la procédure d'information-consultation duCSE préalable à tout dispositif de contrôle ou d'audit des postes de travail.

4.   Documenter en continu le caractère confidentiel desactifs informationnels de l'entreprise, en amont de tout contentieux.

Nodal Avocats accompagne lesdirections juridiques, RH et DSI dans l'élaboration de leur CharteUtilisateurs des SI et la structuration de leur gouvernance cyber-juridique,ainsi que dans la mise en conformité RGPD de leurs dispositifs de contrôle vianotre offre Donnéeset conformité.

Pour approfondir le cadrejuridique applicable, consultez notre Base légale IT/IP,qui recense les textes et jurisprudences impactant la protection des données etla cybersécurité.

Vous préparez un recrutementsensible, un départ à risque, ou souhaitez auditer votre Charte SI ? Contactez Nodal Avocats poursécuriser juridiquement vos procédures d'onboarding et d'offboarding.

Textes visés

Article 1240 du Code civil ·Article L. 151-1 du Code de commerce · Articles L. 1222-1 et L. 1222-4 du Codedu travail · Article L. 1121-1 du Code du travail · Articles L. 2312-37 et L.2312-38 du Code du travail · Article 145 du Code de procédure civile · Articles37 à 39 du RGPD (désignation et missions du DPO) · Article 5, § 1, a) du RGPD(licéité, loyauté, transparence).

Décision citée en illustration

Cass. com., 2 septembre 2026, n°25-12.718, F-B — texteintégral

Rapprochements de jurisprudence

Cass. com., 17 mai 2023, n°22-16.031 · Cass. com., 7 décembre 2022, n° 21-19.860

‍