Couper les accès d’un employé congédié sans lui couper l’accès à ses propres dossiers

Chaque employeur canadien possède une liste de vérification de fin d’emploi où figure une ligne du genre « révoquer les accès aux systèmes ». Presque personne n’a écrit la seconde moitié de cette phrase. Une personne qui a quitté votre entreprise en avril aura besoin d’un document de votre part en février, parce que c’est à ce moment que son T4 pour l’année travaillée doit lui parvenir. Si votre seul réflexe de fin d’emploi est de tout fermer à 17 h le dernier jour, vous n’avez pas terminé le travail : vous l’avez déplacé dans la boîte de réception de quelqu’un pour les dix mois suivants.

Voici un guide concret des deux moitiés : ce qui doit réellement être coupé au moment où l’emploi prend fin, et ce qu’un ancien employé a légitimement encore besoin de consulter par la suite. Il s’adresse aux petites et moyennes entreprises canadiennes qui n’ont pas d’équipe de sécurité informatique pour concevoir cela à leur place.

Deux horloges qui tournent en sens inverse

L’horloge de la sécurité tombe à zéro. Dès la fin de l’emploi, un ancien employé n’a plus rien à faire avec les clés des données des autres : la rémunération de ses collègues, les numéros d’assurance sociale, les coordonnées bancaires du dépôt direct, les notes de rendement, l’exportation complète des employés. Chaque heure où l’accès demeure actif est une heure d’exposition impossible à justifier, et le risque est le plus élevé précisément dans les départs les moins cordiaux.

L’horloge des dossiers, elle, court pendant des mois. Une personne qui part a un besoin continu et parfaitement raisonnable d’accéder à son propre dossier : le relevé de ce qui lui a été versé, l’indemnité de vacances payée, sa dernière journée travaillée, les documents qu’elle a signés, et le feuillet fiscal qui n’existe même pas encore le jour de son départ. Lui refuser tout cela à 00 h 01 le lendemain de la fin d’emploi n’est pas de la sécurité, c’est retenir en otage les dossiers d’une personne, et cela vous crée du travail plutôt que de la protection.

Une politique de fin d’emploi défendable traite ces deux éléments comme deux décisions distinctes suivant deux échéanciers distincts, plutôt que comme un seul interrupteur. La plupart des outils vous donnent l’interrupteur et vous laissent découvrir les conséquences par vous-même.

Ce qui doit être coupé le dernier jour

Voici les portes qui devraient se fermer à l’horodatage de la fin d’emploi, et non « dans les prochains jours, quand l’informatique traitera le billet » :

• Toute vue administrative sur les autres employés : la liste du personnel, la rémunération, les numéros d’assurance sociale, les coordonnées bancaires, les notes RH et toute exportation massive de l’effectif.
• Les sessions actives, pas seulement les mots de passe. Changer ou désactiver un mot de passe ne fait rien contre un navigateur déjà connecté, et beaucoup de systèmes gardent une session valide des jours ou des semaines après la disparition du mot de passe.
• La réinitialisation de mot de passe et la récupération de compte. Un lien de réinitialisation est une clé de remplacement pleinement fonctionnelle, et un système qui révoque la connexion mais envoie encore un lien de réinitialisation n’a rien révoqué du tout.
• Les identifiants machine détenus par la personne : clés d’API, jetons d’intégration, comptes de service et tâches planifiées exécutées en son nom. Ils survivent à l’accès humain dans presque toutes les histoires de brèche qui valent la peine d’être lues.
• Les systèmes externes que votre plateforme RH ne contrôle pas : courriel et agenda, authentification unique, Slack ou Teams, RPV, la carte d’accès de l’immeuble, les lecteurs partagés, le gestionnaire de mots de passe et tout portail fournisseur où la personne était l’administratrice désignée.
• Le pouvoir d’approbation. Si la personne était gestionnaire, ses approbations en attente doivent être réattribuées, sinon des demandes dorment dans une file que plus personne ne surveille.

Un avertissement sur les listes de vérification, parce que c’est le mode de défaillance que nous voyons le plus souvent : une case cochée n’est pas une révocation. Si votre liste dit « révoquer les accès aux systèmes » et que le système en question ignore que la personne a été congédiée, la case devient verte et la connexion fonctionne toujours. Faites en sorte que chaque élément nomme le système précis qu’un humain doit réellement toucher, et assurez-vous que ce que vous avez automatisé l’est vraiment plutôt que simplement affirmé.

Ce dont un ancien employé a encore besoin après le dernier jour

Le relevé d’emploi, en quelques jours

Le relevé d’emploi est une obligation fédérale envers Service Canada, et le délai est court. Par voie électronique, vous avez cinq jours civils après la fin de la période de paie au cours de laquelle est survenu l’arrêt de rémunération. Sur papier, c’est cinq jours civils à compter de l’arrêt de rémunération ou du jour où vous en prenez connaissance. Le relevé d’emploi est le document derrière la demande d’assurance-emploi de la personne, donc un relevé en retard retarde l’argent qui doit parvenir à quelqu’un qui vient de perdre son revenu.

La paie finale et l’indemnité de vacances

L’indemnité de vacances accumulée doit être versée, le préavis légal ou l’indemnité qui en tient lieu doit être exact, et la personne voudra vérifier vos calculs. Attendez-vous à des questions des semaines plus tard, et attendez-vous à ce qu’elles soient légitimes. L’historique des soldes de congés et la date de fin d’emploi sont ce qui tranche le débat : la valeur de ces dossiers ne s’arrête pas avec l’emploi.

Le T4, qui peut arriver quatorze mois plus tard

Voici l’échéance qui fait échouer une fin d’emploi naïve. Un T4 couvre une année civile, et la déclaration de renseignements doit être transmise à l’Agence du revenu du Canada, et les feuillets remis à l’employé, au plus tard le dernier jour de février de l’année suivante (le jour ouvrable suivant si cette date tombe une fin de semaine). Une personne qui part en janvier de l’année Y a toujours droit à un T4 pour l’année Y, remis à la fin de février de l’année Y plus un. Cela représente jusqu’à quatorze mois après sa dernière journée, et ce n’est pas facultatif.

Il y a un second piège à l’intérieur du premier, et il attrape les employeurs qui croient qu’un portail libre-service règle la question. L’Agence du revenu du Canada permet de distribuer les feuillets T4 par un portail électronique sécurisé sans obtenir de consentement au préalable, mais il existe des exceptions explicites : lorsque le destinataire a demandé une copie papier, lorsqu’on ne peut raisonnablement s’attendre à ce qu’il ait un accès électronique au moment de l’émission des feuillets, et lorsque le destinataire est un ancien employé, ou un employé en congé prolongé, au moment de l’émission. L’ancien employé est nommément visé par la règle. Vous ne pouvez donc pas simplement déposer le feuillet dans un portail qu’il n’utilise plus et considérer qu’il a été remis : il faut son consentement à le recevoir par voie électronique, sinon vous le postez. L’envoi de feuillets par courriel est un cas distinct et exige toujours un consentement préalable.

La preuve d’emploi

Propriétaires, prêteurs, demandes d’immigration et prochain employeur réclament tous une confirmation des dates et du titre, parfois des années plus tard. C’est une petite demande qui devient lente et manuelle une fois que la personne et son dossier ont tous deux quitté les lieux.

Le problème d’adresse que personne ne prévoit

Presque tous les échecs de remise d’un T4 remontent à la même cause : le dernier jour, les seules coordonnées que vous détenez sont celles que vous vous apprêtez à désactiver. Le courriel professionnel meurt avec le compte, et l’adresse postale est celle saisie à l’embauche, parfois deux déménagements plus tôt. Réglez cela pendant que vous avez encore l’attention de la personne, le dernier jour ou avant :

• Recueillez une adresse courriel personnelle et confirmez l’adresse postale actuelle par écrit, en notant la date de la confirmation.
• Demandez explicitement et par écrit si la personne consent à recevoir son T4 par voie électronique, et consignez la réponse. C’est cette seule question qui rend la remise par portail valide pour un ancien employé.
• Dites-lui, en langage clair, pendant combien de temps elle pourra consulter ses propres dossiers et par quel moyen, en donnant la date plutôt qu’un vague « encore un certain temps ».
• Encouragez-la à télécharger les documents qui lui importent avant son départ, et rendez cela possible au même endroit plutôt que sur demande.
• Indiquez qui contacter une fois l’accès terminé, car c’est le moment où un ancien employé cesse d’être un utilisateur autonome pour devenir une demande de soutien.

Ce que vous devez conserver, et pendant combien de temps

Couper les accès n’est pas la même chose que supprimer des données, et les deux sont souvent confondus dans la même conversation. Vos obligations de conservation survivent à la relation d’emploi, et plusieurs horloges sont déclenchées par la date de fin d’emploi plutôt que par la création du dossier. En bref : l’Agence du revenu du Canada s’attend à ce que les registres de paie et fiscaux soient conservés six ans après la fin de la dernière année d’imposition à laquelle ils se rapportent, tandis que les normes du travail fixent leurs propres délais, plus courts et propres à chaque province.

Le contrepoids, et la partie à laquelle la plupart des employeurs canadiens ne se sont pas encore adaptés, est que tout garder pour toujours constitue en soi un risque. La loi québécoise sur la protection des renseignements personnels dans le secteur privé exige que, lorsque les fins pour lesquelles un renseignement personnel a été recueilli ou utilisé sont accomplies, il soit détruit ou anonymisé, sous réserve d’un délai de conservation prévu par une loi. « On garde tout, au cas où » n’est plus une position sûre, et le dossier d’un employé congédié est exactement le type de dossier que cette règle vise.

Une politique d’accès de fin d’emploi défendable

Si vous ne consignez rien d’autre, consignez ces sept lignes et appliquez-les de la même façon chaque fois :

1. Coupez toute vue administrative sur les données des autres à l’horodatage de la fin d’emploi, automatiquement et non par billet.
2. Détruisez les sessions actives et la récupération de compte au même instant, pas seulement le mot de passe.
3. Suspendez tous les identifiants machine détenus par la personne et réattribuez ses approbations en attente.
4. Laissez la personne consulter SES PROPRES dossiers pendant une fenêtre définie qui couvre au minimum la saison des T4 du février suivant.
5. Communiquez-lui la date de fin de cette fenêtre, dans le produit et par écrit, avant qu’elle en ait besoin.
6. Recueillez un courriel personnel, une adresse postale confirmée et une réponse explicite sur le consentement au T4 électronique avant le dernier jour.
7. Consignez le tout : qui a été révoqué, quand, par quel mécanisme, et quand la fenêtre se ferme. Une fin d’emploi que vous ne pouvez pas prouver est une fin d’emploi que vous ne pouvez pas défendre.

Où Workleaf s’insère (et où non)

Workleaf applique désormais les deux moitiés à la fin d’emploi plutôt que de s’en remettre à une liste de vérification. Dès qu’un employé est marqué comme congédié, la surface administrative se ferme : sa connexion n’ouvre plus l’application d’administration, un témoin de session existant est détruit dès sa requête suivante au lieu de survivre jusqu’à son expiration, aucun lien de réinitialisation de mot de passe ne lui sera émis, et les actions sensibles derrière cette surface (dévoiler un numéro d’assurance sociale, dévoiler des coordonnées bancaires, lire les notes RH, exporter la liste des employés) disparaissent. Toutes les clés d’API détenues par cette personne sont suspendues dans la même transaction. La révocation est inscrite au journal d’audit de l’organisation, ce qui vous permet de démontrer quand elle a eu lieu au lieu de l’affirmer.

L’autre moitié, c’est la fenêtre de consultation des dossiers. Une personne congédiée conserve un accès en lecture seule à ses propres dossiers, et uniquement aux siens, jusqu’à la plus tardive des deux dates suivantes : quatre-vingt-dix jours après sa date de fin d’emploi, ou le dernier jour de février de l’année suivante. La lecture seule est littérale et non une figure de style : la personne peut ouvrir et télécharger son propre dossier, et toutes les portes d’écriture de cette surface refusent, y compris déposer une demande de congé, demander une preuve d’emploi, accuser réception d’un document et demander une modification de son profil. L’ancrage de février existe pour la raison exposée plus haut : le T4 de l’année travaillée n’est émis qu’à ce moment, donc toute personne congédiée au cours d’une année doit encore pouvoir atteindre ses documents pendant la saison des T4 qui suit. Le plancher de quatre-vingt-dix jours est celui qui s’applique pour un départ de fin décembre, où février seul serait la plus courte des deux échéances. Pendant que la fenêtre est ouverte, le produit affiche à la personne une bannière lui indiquant que son accès est limité dans le temps et à quelle date il prend fin. Passé cette date, le compte est fermé, et quiconque saisit un mot de passe valide obtient un honnête « ce compte est fermé » plutôt qu’un mensonge sur des identifiants invalides.

Pour être précis sur la ligne, y compris là où elle ne nous avantage pas : Workleaf ne gère pas votre courriel, votre authentification unique, Slack, le RPV ni les cartes d’accès, donc la moitié externe de la liste de révocation demeure un travail humain, et la liste de fin d’emploi par défaut le dit clairement. Workleaf ne traite pas la paie, n’émet ni ne transmet de feuillets T4, et ne produit ni ne transmet le relevé d’emploi à Service Canada. Workleaf n’automatise pas la conservation : il n’exécute aucun calendrier de conservation et ne purgera ni n’anonymisera un dossier à l’expiration de son délai, de sorte que décider quoi détruire et quand demeure votre jugement. La fenêtre de consultation est aujourd’hui un plancher fixe, pas encore un réglage d’organisation, et lorsqu’elle deviendra configurable elle ne pourra qu’être prolongée. La paie native et un système de suivi des candidatures (ATS) sont à la feuille de route, pas dans le produit aujourd’hui.

Rien de ce qui précède ne constitue un avis juridique, et ces délais changent. Confirmez les exigences en vigueur auprès de l’Agence du revenu du Canada et de Service Canada, confirmez votre délai de conservation auprès des normes du travail de votre province, et obtenez un avis professionnel avant d’établir une politique.

Sources

• Échéance et remise des T4 : Agence du revenu du Canada, renseignements sur le T4 pour les employeurs (transmettre la déclaration et remettre les feuillets aux employés au plus tard le dernier jour de février suivant l’année civile, ou le jour ouvrable suivant).
• Distribution électronique des feuillets et ses exceptions : directives de l’Agence du revenu du Canada sur la distribution des feuillets T4, T4A et T5, qui exceptent le destinataire ayant demandé du papier, celui dont on ne peut raisonnablement attendre un accès électronique, et celui qui est un ancien employé ou en congé prolongé au moment de l’émission; l’envoi par courriel exige un consentement préalable.
• Délais du relevé d’emploi : Emploi et Développement social Canada / Service Canada, guide sur la façon de remplir le relevé d’emploi (cinq jours civils après la fin de la période de paie pour un relevé électronique; cinq jours civils à compter de l’arrêt de rémunération, ou de sa connaissance, sur papier).
• Conservation de six ans : Agence du revenu du Canada, Tenue de registres (RC188), six ans après la fin de la dernière année d’imposition à laquelle les registres se rapportent.
• Destruction ou anonymisation : Loi sur la protection des renseignements personnels dans le secteur privé (Québec), article 23.

Les prix sont simples et publics. Basic est à 15 $ CA par mois pour un maximum de 10 employés, puis 1,50 $ CA par employé supplémentaire. Advanced est à 30 $ CA par mois pour un maximum de 10 employés, puis 3 $ CA par employé supplémentaire, et ajoute la suite talents complète (évaluations, rencontres individuelles, sondages et analyses). Sans devis, sans surprise.