La plupart des entreprises ont fait leurs devoirs RGPD pour les systèmes en service : contrôle d'accès, durées de conservation, contrats de sous-traitance. Mais le RGPD ne s'arrête pas quand un appareil est déclassé. Dès qu'un ordinateur, un serveur ou un téléphone quitte votre organisation avec des données lisibles, vous avez une violation de données qui attend d'être découverte. Voici ce qu'exige réellement une mise au rebut conforme, et les documents qui le prouvent.
Le RGPD ne s'arrête pas à la porte du local de stockage
Deux principes du RGPD suivent votre matériel jusqu'au bout. La limitation de la conservation (art. 5.1.e) : les données personnelles ne peuvent être gardées plus longtemps que nécessaire, y compris sur des disques déclassés dans une cave. L'intégrité et la confidentialité (art. 5.1.f) : une protection contre tout accès non autorisé, y compris l'accès à un appareil jeté ou revendu.
Ajoutez la responsabilité (art. 5.2) : vous devez pouvoir démontrer votre conformité. Il ne suffit pas que les données aient été détruites, vous devez pouvoir prouver qu'elles l'ont été. C'est pourquoi la documentation compte autant que la destruction elle-même.
Effacement ou destruction physique, qu'exige le RGPD ?
Le RGPD est technologiquement neutre : il exige des mesures appropriées, pas une méthode précise. En pratique, deux approches font le poids. L'effacement logiciel certifié réécrit l'intégralité du support et vérifie le résultat, l'appareil reste utilisable, ce qui permet réemploi et revente. La destruction physique broie ou détruit le support lui-même, le bon choix pour les disques défectueux et les données les plus sensibles.
Un partenaire professionnel utilise les deux : effacement vérifié quand le réemploi est possible, destruction physique quand il ne l'est pas ou quand le profil de risque l'exige. Ce qui compte pour la conformité : la méthode est documentée par support, et l'effacement est vérifié, pas supposé.
Les trois documents que votre auditeur veut voir
Un : une liste de réception enregistrée, chaque appareil et chaque support consignés par numéro de série à la remise, pour qu'il n'y ait aucun écart entre ce qui a quitté votre bâtiment et ce qui a été traité.
Deux : un certificat de destruction, précisant par support la méthode appliquée (effacement vérifié ou destruction physique), quand, et avec quel résultat.
Trois : un rapport final des actifs, la destination finale de chaque appareil enregistré : reconditionné et revendu, donné, ou recyclé. Ensemble, ces trois documents forment une chaîne de traçabilité fermée, de votre bureau au rapport final. Classez-les dans votre dossier RGPD (registre des traitements, art. 30).
Les cinq erreurs de mise au rebut les plus fréquentes
Un : se fier aux réinitialisations d'usine ou au formatage, récupérables avec des outils gratuits. Deux : stocker les vieux appareils « en attendant » dans un local non sécurisé, les données restent votre responsabilité tout ce temps. Trois : donner des appareils aux employés ou aux déménageurs sans effacement documenté. Quatre : vendre à un revendeur qui ne fournit pas de certificats par appareil. Cinq : tout détruire aveuglément, vous brûlez une valeur résiduelle qui aurait pu compenser le coût, sans gagner en conformité.
Ce que coûte réellement la non-conformité
Les amendes RGPD peuvent atteindre 4 % du chiffre d'affaires annuel mondial ou 20 millions d'euros, et la mise au rebut des supports de données est un thème documenté de contrôle dans l'UE. Mais le coût réaliste arrive généralement plus tôt : un disque perdu ou revendu avec des données clients est une violation de données à notifier, avec l'expertise forensique, les notifications et l'atteinte à la réputation qui suivent. En comparaison, une destruction professionnelle entièrement documentée est l'une des assurances les moins chères de l'informatique.
Questions fréquentes
BitLocker ou le chiffrement du disque suffit-il pour une mise au rebut conforme au RGPD ?
Le chiffrement est une protection solide pendant la vie d'un appareil, mais à la mise au rebut, il ne remplace pas une destruction documentée : des clés peuvent fuiter, les implémentations vieillissent, et « le disque était probablement chiffré » ne démontre aucune conformité. L'effacement vérifié ou la destruction physique, documentés par support, est la voie défendable.
Si nous externalisons la mise au rebut, qui est responsable au regard du RGPD ?
Vous restez le responsable du traitement. Externaliser déplace le travail, pas la responsabilité, c'est exactement pourquoi il faut choisir un partenaire qui enregistre chaque numéro de série et vous remet certificats et rapport final à présenter à votre auditeur.
Faut-il un certificat pour chaque disque ?
La bonne pratique est une preuve de destruction par support de données, liée à son numéro de série. Une seule déclaration « tout a été effacé » pour un lot entier laisse des trous qu'un auditeur, ou un tribunal, remarquera.
Sous quel délai les appareils peuvent-ils être collectés en Belgique ?
GreenByte collecte sur site dans toute la Belgique et la France, du lundi au samedi de 07h00 à 20h00, d'une seule palette au débarras complet de bureaux. Demandez un devis gratuit : réponse sous un jour ouvrable.
Vous préférez en parler de vive voix ?