Je pense que tu devrais par écrit :
 
1. l'indiquer à ta direction et leur faire valoir que leur méthode actuelle pourrait être très mal perçue lors d'un contentieux aux Prud'hommes.
2. obliger les users à changer leurs MDP et leur indiquer de ne pas le divulguer à quiconque; que ce n'est pas utile techniquement même en cas d'absence ou d'impératif quelconque.
3. Se rapprocher d'un juriste pour créer une Charte Informatique.