Que puis-je faire, ou ne pas faire, avec la boîte mail de mes (ex-)employés?

Cet article de blog est disponible en français, néerlandais et anglais. 

Une boîte mail professionnelle contient beaucoup d’informations utiles, mais aussi sensibles, telles que des dossiers en cours, des données à caractère personnel et des secrets d’affaires. La difficulté tient au fait que la gestion des boîtes mail comporte un volet important lié à la protection des données (licéité, limitation de la finalité, minimisation des données et limitation de la conservation), ainsi qu’une dimension opérationnelle, ce qui revient donc à une balance entre assurer la continuité des activités et ne pas restreindre de manière excessive la vie privée de l’employé. 

Une politique réfléchie fixant des règles relatives à l’utilisation et au contrôle de la boîte mail de vos employés, ainsi qu’une politique informatique plus large, n’est donc pas seulement une question d’hygiène informatique, mais aussi de licéité et de proportionnalité au regard du Règlement Général sur la Protection des Données (RGPD). Ces dernières années, l’Autorité belge de protection des données (APD) a tracé des lignes directrices claires et a renforcé son cadre dans une décision récente du 21 août 2025 (décision 134/2025). La décision 134/2025 confirme qu’une boîte mail personnalisée ne peut rester active qu’une période de temps limitée après la fin de la relation de travail et uniquement afin de permettre le fonctionnement d’un message automatique orientant les contacts vers le nouveau canal de communication. Un usage plus long ou plus large violerait le principe de finalité et de minimisation des données. 

Nous clarifions ces lignes directrices ci-dessous et attirons l’attention sur des choses à faire et ne pas faire pour une gestion pragmatique des boîtes mail au sein de votre entreprise. 

Gestion de départs (« offboarding ») 

Une gestion de départs conforme commence le dernier jour de travail de l’employé. Il est conseillé au collaborateur de nettoyer sa boîte mail avant son départ afin qu’aucun message privé ne subsiste, de préférence en présence d’une personne de confiance de l’entreprise. Nous recommandons également de faire signer à l’employé une déclaration confirmant qu’il a supprimé les messages privés de sa boîte mail. Le service IT doit ensuite bloquer immédiatement l’accès à sa boîte mail après son départ. Il n’est plus permis ensuite de continuer à répondre à partir de la boîte mail de l’ex-employé, car cela indique un usage continu de cette boîte mail. Dans sa décision 133/2021, l’APD a qualifié d’illicite la poursuite de l’utilisation d’une adresse e-mail personnalisée après la fin de la relation de travail, sans base appropriée et sans transparence à l’égard de l’ex-employé, en se fondant sur les principes de limitation des finalités et de minimisation des données. Il convient de souligner que ni l’utilisation active de l’adresse e-mail après le départ de l’intéressé, ni la lecture des messages, ni le fait de transférer ou de répondre à des courriels à partir de cette ex-boîte mail ne peuvent être considérés comme licites. Il est préférable que ce soit le supérieur hiérarchique ou l’adresse générique de l’équipe qui réponde, par exemple departement@entreprise.be, et non la boîte personnelle de l’ex-employé.

 En parallèle, il convient de configurer un message automatique indiquant que l’intéressé n’occupe plus la fonction et précisant la personne de contact désormais compétente. L’APD précise que ce message doit être actif au plus tard le jour du départ effectif et doit rester visible pendant une période raisonnable et limitée. Vous pouvez soit demander à l’employé de configurer lui-même ce message, sur la base des instructions de la politique IT, soit demander au département IT de le configurer au moment du blocage de l’accès à la boîte mail. L’APD confirme qu’un mois constitue le point de départ, selon le contexte (APD décision 133/2021, décision 97/2024 et décision 134/2025). Ce n’est que pour des fonctions clés ou en solo (p.ex. un membre de la direction ou une fonction de management) qu’une période plus longue peut être acceptée, idéalement pas plus de trois mois, en informant préalablement la personne concernée ou même en recueillant son consentement. 

Le fondement juridique de cette courte période de transition est généralement l’intérêt légitime de l’entreprise (article 6, paragraphe 1, point f, du RGPD), limité toutefois à permettre l’envoi du message automatique afin d’assurer la continuité de l’activité. Il importe de souligner que ni l’utilisation active de l’adresse après le départ, ni la lecture des messages, ni le transfert ou la réponse aux e-mails de cette ex-boîte ne relève de cette finalité. Dans la décision 133/2021 de l’APD, la poursuite de l’utilisation d’une adresse personnalisée après la fin de la relation a été expressément jugée illicite au regard des principes de la limitation des finalités et de la minimisation des données. 

La période raisonnable mentionnée pour le message automatique est délimitée de manière concrète dans la décision 97/2024 de l’APD. Une prolongation à cinq mois a été jugée excessive, même dans des circonstances exceptionnelles. Dès lors, le point de départ reste un mois, avec une prolongation limitée à trois mois en total compte tenu d’une fonction plus élevée dans l’organisation, comme confirmé dans la décision 134/2025 récente de l’APD. Maintenir la boîte active au-delà de la période raisonnable, même avec un message automatique actif, demeure une violation de la limitation de finalité et de la minimisation des données.

Une gestion interne de départs claire évite les frictions et les plaintes. Réduisez la présence de messages privés avant le départ en permettant à l’employé de nettoyer sa boîte mail, et assurez-vous qu’un message d’absence automatique soit configuré au plus tard le dernier jour ouvrable. La boîte mail reste ensuite active uniquement avec un message automatique pendant la période limitée et raisonnable d’un mois ou, le cas échéant, trois mois. Ensuite, la boîte mail et l’adresse e-mail sont supprimées de manière définitive. Nous recommandons de conserver une copie des e-mails professionnels, pour des raisons de continuité ou de preuve, conformément à la politique de conservation appliquée au sein de l’entreprise. 

S’agissant des demandes d’accès par l’ex-employé, il est important de clarifier un point. Le droit d’accès porte uniquement sur des données à caractère personnel et ne s’étend pas automatiquement aux e-mails complets ou à des boîtes mail entières (APD, décision 134/2025, point 58). Une telle demande peut être chronophage et coûteuse, mais cela ne peut pas être invoqué pour la qualifier de manifestement infondée ou excessive (APD, décision 134/2025, points 76 et suivants). Un refus simple et général tiendra rarement et constituera une atteinte au droit d’accès tel que protégé par le RGPD. La sélection, l’anonymisation des données à caractère personnel de tiers qui peuvent être mentionnées dans les e-mails, et une réponse motivée dans les délais légaux demeurent donc essentielles. 

Absence de longue durée 

En cas de maladie, de congé parental ou de toute autre absence de longue durée, la relation de travail se poursuit, même si l'employé est absent pendant une période prolongée. L’objectif consiste alors à canaliser les communications sans accès inutile au contenu. Là aussi, un message automatique fournissant un contact alternatif fonctionnel permet d’atteindre le bon équilibre entre continuité de l’activité et principe de minimisation des données. L’ouverture ou le suivi systématique de la boîte mail ne sont pas conciliables avec les attentes raisonnables de l’employé et, si cela s’avère nécessaire, exigent une base juridique et une procédure claire, et doivent rester limités à une période raisonnable. Cette ligne a été soulignée dans la décision 133/2021 de l’APD. 

En pratique, en cas d’absence imprévue et à la demande ou avec l’accord du supérieur hiérarchique, le département informatique peut configurer le message d’absence au nom de l’employé absent, pour autant que l’intéressé soit informé dès que possible. Cela garantit la continuité sans un accès structurel au contenu et préserve la limitation des finalités et la minimisation des données. 

Contrôle de l’utilisation d’internet et des e-mails 

Il convient de distinguer les contrôles techniques généraux (disponibilité, sécurité, filtrage) et les contrôles individuels du contenu de l’utilisation d’internet ou des e-mails. La pratique décisionnelle de l’APD et la CCT n° 81 laissent une marge pour des contrôles occasionnels et globaux afin de garantir la disponibilité et la sécurité. Ces contrôles doivent néanmoins respecter les principes du RGPD, en particulier le principe de limitation des finalités, la proportionnalité et la transparence. Conformément au principe de la limitation des finalités, de tels contrôles ne peuvent avoir lieu que pour un objectif légitime – par exemple prévenir la fraude, protéger les intérêts commerciaux ou assurer la sécurité. Le respect de la proportionnalité signifie concrètement que le contrôle doit être proportionné à l’intérêt que l’employeur entend protéger – par exemple, une surveillance continue de la productivité des employés violerait le principe de proportionnalité. Enfin, la transparence à l’égard des employés est essentielle – ils doivent être informés du fait que des contrôles sont effectués, des raisons et des types de contrôle susceptibles d’être mis en œuvre. L’APD considère que le règlement de travail constitue la source d’information la plus appropriée, car il résulte d’une concertation sociale et est contraignant. D’expérience, toutefois, nous constatons que modifier le règlement de travail n’est pas toujours évident dans certaines organisations. Dans ce cas, l’information peut aussi être intégrée dans une politique informatique ou au moyen d’une clause dans le contrat de travail. 

Des contrôles individuels sont possibles, mais uniquement lorsqu’une anomalie imputable à l’employé est constatée dans trois catégories de finalité. Premièrement, la prévention d’actes illégaux ou diffamatoires ou d’atteintes à la dignité. Deuxièmement, la protection d’intérêts économiques, commerciaux ou financiers de l’entreprise comportant un aspect de confidentialité. Troisièmement, la sécurité ou le bon fonctionnement technique des systèmes de réseau et la sécurité physique. S’il s’agit uniquement du respect de règles d’utilisation internes, seule une individualisation indirecte est permise après une phase d’information préalable. Dans tous les cas, le principe de limitation des finalités, la proportionnalité et la transparence demeurent la pierre de touche. Lorsqu’il existe un besoin concret d’accéder à la boîte mail d’un employé, par exemple en cas de présomption de fraude, il convient de respecter une politique interne documentée. Idéalement, cela se fait en soumettant une demande d'accès motivée au service informatique dans un cadre strictement défini, pour une période limitée et en toute transparence dans la mesure du possible. Cela correspond à la jurisprudence qui juge incompatible l’usage systématique ou illimité des boîtes mail avec les principes de base du RGPD, notamment la transparence, la proportionnalité, la licéité, les attentes raisonnables de la personne concernée, ainsi que la protection des droits de tiers et des secrets d’affaires. 

Gouvernance et politique en pratique, documentées, transparentes et proportionnées 

En résumé, choisissez toujours la mesure la moins intrusive, documentez la base juridique et respectez les droits des tiers. Veillez à établir un équilibre claire entre la protection des données et les attentes raisonnables du, ou de l’ex, employé d’une part, et l’assurance de la continuité des activités d’autre part, en vous appuyant sur cet article de blog et sur les décisions de l’APD. Quiconque applique de manière cohérente les « do’s and don’ts » ci-dessus concilie conformité au RGPD et continuité opérationnelle. La politique de départ demeure ainsi gérable, prévisible et défendable. 

La transparence à l’égard des employés reste la pierre de touche. Il convient donc de porter la politique appliquée à la connaissance des employés, de préférence par le règlement de travail ou une politique informatique. 

Si vous souhaitez de l’aide juridique pour élaborer ou mettre à jour votre politique dans le règlement de travail ou dans votre politique informatique, y compris votre politique relative aux boîtes mail, n’hésitez pas à nous contacter.