La suspension du contrat de travail change-t-elle réellement les droits d’accès ?
L’arrêt maladie suspend le contrat de travail. Pendant cette période, le salarié est dispensé d’activité. Mais qu’en est-il de ses accès informatiques ? Beaucoup de dirigeants hésitent à toucher aux comptes, aux badges et aux outils cloud. Ils craignent un conflit ou une accusation de sanction déguisée. Pourtant, ne rien faire est souvent plus risqué que d’agir.
Le cadre légal : le salarié en arrêt ne doit pas travailler
Le principe est simple : un salarié en arrêt maladie n’a pas le droit de travailler pour son employeur. S’il le fait, il commet une faute. Mais si l’employeur laisse les accès actifs, il l’expose et s’expose lui-même. Les outils informatiques sont des outils professionnels. Les laisser disponibles, c’est inviter le salarié à les utiliser. C’est aussi le laisser joignable par ses collègues, ses clients, ses fournisseurs. L’entreprise a une obligation de sécurité et de protection de ses données. Laisser un compte actif pendant un arrêt, c’est tout simplement contraire à l’esprit du droit du travail.
L’angle mort : laisser la session active, c’est valider un travail illégal
Imaginons un commercial en arrêt qui continue de consulter le CRM. Il répond aux clients, envoie des devis, met à jour son pipeline. Personne ne l’en empêche. Cette activité peut être requalifiée en travail dissimulé par les prud’hommes. L’entreprise risque alors une amende et des cotisations sociales. Pire : si le salarié commet une faute pendant cette période, la responsabilité de l’employeur peut être engagée. Ne pas couper les accès pendant un arrêt maladie est donc un risque majeur, pas une faveur. C’est ce que je mets systématiquement en avant dans mes accompagnements.
Le protocole de coupure que j’applique en première heure
Quand je reçois un avis d’arrêt, je ne perds pas de temps. La première heure est décisive. Voici la chronologie exacte que je fais appliquer à mes clients.
Étape 1 : Désactiver le badge et l’accès réseau physique
Première action : couper le badge d’accès aux locaux. Ensuite, désactiver le compte Active Directory ou le SSO. Cela bloque la connexion au réseau, au VPN et aux postes fixes. L’objectif est d’empêcher toute nouvelle session. Les sessions déjà ouvertes doivent être fermées à distance. Sur Windows, on peut utiliser une commande PowerShell de déconnexion. Sur Google Workspace, on révoque les jetons. Tout cela se fait en quelques minutes.
Étape 2 : Provisionner une extinction automatique des SaaS
Le réseau physique ne suffit pas. La plupart des outils sont dans le cloud : CRM, ERP, logiciel RH, compte bancaire professionnel. Il faut désactiver les comptes de l’utilisateur dans chaque application. Si l’entreprise utilise un annuaire centralisé, la désactivation du compte Active Directory se propage parfois automatiquement. Sinon, il faut le faire manuellement. De plus en plus de logiciels RH permettent de déclencher une alerte dès la réception de l’arrêt. On peut ensuite automatiser la suspension via une API. C’est un gain de temps considérable.
Étape 3 : Envoyer la notification formelle au salarié
Le salarié doit être informé. Il ne faut pas qu’il découvre la coupure par hasard. On lui envoie un email ou un courrier avec un message neutre : « En raison de votre arrêt de travail, vos accès informatiques sont suspendus jusqu’à votre reprise. » Pas de mention de faute, pas de reproche. C’est une mesure de sécurité, rien de plus. Ne jamais présenter cette coupure comme une sanction. Cela évite toute accusation de rétorsion ou de discrimination.
Les accès que je ne coupe jamais brutalement, et pourquoi
Tout couper d’un coup peut créer des problèmes opérationnels. Certains accès demandent une gestion plus fine. Voici les zones de vigilance.
La messagerie professionnelle : passage en lecture seule + transfert auto vers le manager
Couper la messagerie d’un bloc peut faire perdre des messages importants. Le salarié en arrêt ne doit pas répondre, mais des clients peuvent écrire. Je recommande de passer la boîte en lecture seule, puis de configurer un transfert automatique vers le manager ou un collègue. Le salarié garde la possibilité de lire ses anciens messages, mais il ne peut plus en envoyer. Cela protège l’entreprise tout en préservant l’historique. Un bon compromis.
Le serveur de fichiers : garder la main sur les exports suspects
Sur les serveurs de fichiers, je ne bloque pas l’accès total. Je laisse la consultation possible, mais je journalise les connexions. Je bloque surtout les exports massifs. Si le salarié tente de copier des dossiers sensibles, l’alerte se déclenche. On peut aussi restreindre l’accès aux seuls dossiers nécessaires pour une éventuelle passation. L’important est de garder une trace. La traçabilité est votre meilleure alliée en cas de litige.
| Type d’accès | Action recommandée | Motif |
|---|---|---|
| Badge physique | Désactivation immédiate | Sécurité des locaux |
| Active Directory / SSO | Désactivation immédiate | Bloquer le réseau |
| Messagerie professionnelle | Lecture seule + transfert | Continuité de l’activité |
| Serveur de fichiers | Accès partiel + journalisation | Surveillance des exports |
| SaaS (CRM, ERP, etc.) | Désactivation via API | Prévenir la fraude |
Le piège fatal : la coupure perçue comme une sanction déguisée
Le risque juridique principal n’est pas la coupure elle-même. C’est la perception qu’elle constitue une punition. Le salarié pourrait attraquer pour entrave au travail ou pour violation de la vie privée. Pour éviter cela, il faut des preuves solides.
Prouver la non-rétorsion par la traçabilité technique
La meilleure défense, c’est la chronologie. On conserve l’horodatage de la réception de l’avis d’arrêt. On garde aussi la date et l’heure de la désactivation des comptes. Si le salarié prétend que la coupure est intervenue après un conflit, on montre que la désactivation a été quasi immédiate. Il faut aussi documenter le protocole interne. Une note de service peut préciser que tout arrêt maladie déclenche automatiquement la suspension des accès. La décision devient alors générale, pas individuelle.
Le cas du salarié qui travaille pendant son arrêt : comment bloquer sans l’accuser
Que faire si le salarié continue de se connecter malgré son arrêt ? D’abord, ne pas l’accuser. On bloque immédiatement l’accès. Ensuite, on constate les faits via les logs. On peut envoyer un avertissement pour travail dissimulé, mais uniquement sur la base de preuves techniques. Le manager ne doit pas espionner le contenu des messages. Il se contente des traces de connexion et des actions réalisées. L’objectif est de faire cesser l’activité, pas de punir. Souvent, le salarié ne se rend pas compte que ses connexions sont tracées. Il suffit de lui rappeler les règles.
La checklist manuelle pour les TPE sans RSSI
Toutes les entreprises n’ont pas un service informatique. Dans une TPE, le dirigeant est souvent seul aux commandes. Voici une méthode simple à exécuter en dix minutes.
Les 10 minutes sur la console O365 / Google Workspace
Pour Microsoft 365 : ouvrir le centre d’administration, section « Utilisateurs actifs », sélectionner le salarié, puis bloquer la connexion. Révoquer les sessions en cours via PowerShell. Pour Google Workspace : désactiver le compte, réinitialiser le mot de passe, révoquer les jetons dans l’onglet Sécurité. Vérifier aussi les appareils connectés et les déconnecter à distance. C’est rapide et efficace.
Automatiser le déclencheur dès la réception de l’avis d’arrêt
L’idéal reste d’automatiser. Beaucoup de logiciels RH permettent d’envoyer une notification automatique à l’arrivée d’un arrêt. On peut alors brancher une automatisation, par exemple avec Zapier ou Make, pour désactiver les comptes dans les principaux outils. Dans Notion ou Airtable, on peut créer une base qui centralise les arrêts et les actions à mener. Cela réduit les erreurs et les oublis. Automatisez la suspension des accès dès la réception de l’avis d’arrêt. C’est le conseil le plus important que je puisse donner à un dirigeant.
