员工离职后邮箱和云盘权限没有关闭，发现资料外传时公司先做什么？

佛山一家做智能设备的企业碰到过这样一个早晨：技术总监离职三个多月，IT 部门例行检查时发现，他的企业邮箱和云盘账号还在正常登录，云盘里的几份产品设计文档，被人用外部分享链接下载过。公司这才意识到，离职手续办了，权限一直没关。这类情形在中小企业里相当普遍——离职交接单上签了字，邮箱、云盘、OA、客户系统的账号却没人逐项关闭。发现资料外传的那一刻，公司做什么、按什么顺序做，直接决定后面追责能不能立得住。

第一步：冻结权限，但别急着登录检查

发现外传后的第一反应是切断通道：重置该账号密码、停用邮箱和云盘访问、撤销所有外部分享链接、关闭关联的客户系统和 OA 权限。

有一个细节要特别注意：不要急着用这个账号登录进去“看看少了什么”。登录行为本身会写入新的访问记录，混杂在原有日志里，后面取证时要花力气区分哪些是外传者的操作、哪些是公司自己的操作。正确的做法是让 IT 从管理后台导出日志，账号保持冻结状态。

第二步：固定访问日志和外围证据

访问日志是这类案件的核心证据，要尽快导出并固定，防止系统自动覆盖：

登录记录。账号在离职之后的每一次登录时间、登录设备、IP 地址，与该员工在职时的常用设备、常用地域比对。

下载和外发记录。哪些文件被下载、导出，外部分享链接的创建时间和访问者，邮件外发的收件人地址。

权限变更记录。离职审批流程走到哪一步，谁负责关闭权限，为什么没关。这条记录既是追责证据，也反映公司内部管理的真实状态。

外围证据同步收集：该员工离职前后的微信、邮件沟通记录，新入职单位的信息，被外传文件是否出现在竞争对手处的线索。电子日志建议做公证固定或者通过可信时间戳存证，导出过程制作笔录。

第三步：判断外传资料的性质，选择追责路径

资料性质不同，路径完全不同：

外传的是客户名单、技术图纸、配方、源代码这类信息，且公司采取过保密措施的，可以按商业秘密路径处理——民事上依据反不正当竞争法主张停止侵害和赔偿，情节严重的可以涉嫌侵犯商业秘密罪向公安机关报案。要注意，离职权限长期未关这一事实，会被对方拿来攻击“保密措施”要件，公司需要用其他管理措施（保密协议、分级权限、加密系统）来补强。

外传的内容包含客户姓名、电话、订单明细等个人信息的，公司作为个人信息处理者，还要评估泄露的规模和影响，严重的要依法履行通知义务，避免因处置不当承担次生责任。

外传的是普通经营资料、尚未达到商业秘密程度的，走劳动争议和违约责任路径：依据劳动合同、保密协议主张违约责任和损失赔偿，同时评估该员工是否违反竞业限制约定。

第四步：向谁发函、怎么通知

证据固定之后，向离职员工发出书面函件，写明已掌握的外传事实，要求停止侵害、删除资料、说明流向，并告知法律后果。函件通过可追踪的方式送达。如果外传指向具体的接收方（如新东家），可以同时向接收方发函主张权利。

报案或起诉前，把日志、公证文书、保密协议、离职交接记录整理成证据册，按“权限未关—外传行为—资料性质—损失线索”的顺序组织。

制度补救：把这次事故变成最后一次

离职权限管理要有清单化流程：每个岗位对应一份系统权限清单，离职审批走完，IT 按清单逐项关闭账号，交接双方签字确认；权限遵循最小必要原则，敏感文件设置分级访问；访问日志的保存期限写进制度；保密协议和离职保密提醒作为离职流程的固定环节。

发现资料外传，顺序不能乱：先冻结、再固证、后定性、再追责。跳过固证直接摊牌，或者为了省事直接重置账号了事，都会让后面每一步变得更难。

孟翔律师，广东佛山执业律师，广东尚尧律师事务所执行主任，长期为佛山及珠三角科技企业和制造企业提供数据合规与商业秘密保护服务。离职权限和数据外泄的处置窗口很短，建议发现异常后当天完成冻结和日志导出，再由律师评估追责路径。