Recyclage informatique et RGPD : les obligations avant de céder un poste

Pourquoi le RGPD s'applique au recyclage d'un poste informatique

Le RGPD s'applique dès qu'un support contient des données personnelles, et un poste de travail en contient toujours : fichiers clients, messagerie, contrats, fiches de paie, mots de passe enregistrés, historiques de navigation. Le règlement impose au responsable de traitement de garantir l'intégrité et la confidentialité de ces données (article 5) et de prendre des mesures de sécurité adaptées au risque (article 32). Cette obligation ne s'arrête pas quand le poste sort du parc. Elle court jusqu'à l'effacement effectif des données ou la destruction du support. Se séparer d'un ordinateur sans traiter ses données est donc un manquement, même si le matériel part ensuite vers une filière agréée.

Le risque n'est pas théorique. Un disque revendu ou jeté avec des données lisibles constitue une violation de données au sens du RGPD : une perte de confidentialité non autorisée. Elle doit être documentée dans le registre des violations et, si elle présente un risque pour les personnes, notifiée à la CNIL dans les 72 heures. Le recyclage informatique doit donc être traité comme une opération de sécurité à part entière, avec un processus écrit, des preuves et des responsabilités claires, et non comme une simple sortie de stock confiée au premier transporteur venu.

Quels équipements contiennent des données personnelles à traiter ?

L'attention se concentre sur les ordinateurs, mais les données personnelles se logent dans bien plus de supports. Avant toute collecte de matériel informatique, listez tout ce qui embarque une mémoire de stockage. Le cas le plus souvent oublié est le copieur multifonction : son disque interne conserve des images des documents numérisés, imprimés ou télécopiés. Les téléphones fixes IP gardent des journaux d'appels, les écrans interactifs de salle de réunion stockent des fichiers, et les disques d'un vieux serveur ou d'un NAS contiennent souvent des sauvegardes complètes de la messagerie de toute l'entreprise.

• Postes fixes et portables : disques durs, SSD, cartes mémoire internes
• Smartphones et tablettes professionnels : mémoire interne et carte SD
• Serveurs, NAS, baies de stockage : tous les disques, y compris les disques de rechange
• Copieurs et imprimantes multifonctions : disque ou mémoire interne
• Supports amovibles : clés USB, disques externes, cartouches de sauvegarde

Les obligations concrètes avant de sortir un poste du parc

La première obligation est de savoir ce que vous détenez. Chaque équipement doit être identifié par son numéro de série et rattaché à un inventaire, faute de quoi aucune preuve d'effacement ne pourra lui être associée. La deuxième est de définir, dans une procédure écrite, le traitement appliqué à chaque catégorie de support selon la sensibilité des données : effacement logiciel conforme à la norme NIST 800-88 pour les supports destinés au réemploi, destruction physique pour les supports défaillants ou les données les plus sensibles. Cette procédure alimente votre documentation de conformité, au titre du principe de responsabilité.

La troisième obligation concerne le prestataire. Dès lors qu'un tiers manipule des supports contenant des données personnelles, il agit pour votre compte : la relation doit être encadrée par un contrat écrit qui fixe l'objet, la durée, les instructions, l'obligation de confidentialité et les conditions de sous-traitance ultérieure, comme le prévoit l'article 28 du RGPD. Enfin, chaque opération doit laisser une trace : certificat d'effacement ou certificat de destruction par numéro de série, date, méthode employée. Ces documents sont vos preuves en cas de contrôle de la CNIL ou de litige.

Effacement de données ou destruction : ce qu'exige la conformité

Le RGPD n'impose pas une méthode précise. Il exige un niveau de sécurité adapté au risque, ce qui renvoie en pratique à l'état de l'art, dont la norme NIST 800-88 est la référence la plus utilisée. Elle distingue trois niveaux : l'effacement simple (clear), qui réécrit les données et protège contre une récupération par logiciel ; la purge (purge), qui rend les données irrécupérables même en laboratoire, par commandes de sanitisation ou effacement cryptographique ; et la destruction (destroy), par broyage, déchiquetage ou désintégration du support.

Un simple formatage ou une suppression de fichiers ne répond à aucun de ces niveaux : les données restent récupérables avec des outils courants. Le choix dépend de la sensibilité des données et du devenir du support. Pour un poste destiné au réemploi, un effacement de données certifié, vérifié par relecture, est la solution cohérente avec la loi AGEC, qui privilégie la réutilisation. Pour un disque défaillant, qu'aucun logiciel ne peut traiter, la destruction de disque dur est la seule option. Sur un SSD, la démagnétisation est inefficace : seules la purge par commande interne ou la destruction physique sont valables.

Le rôle du prestataire et la chaîne de traçabilité à exiger

Entre le bureau et le centre de traitement, les supports passent par plusieurs mains. C'est sur ce trajet que se produisent la plupart des incidents : un carton oublié sur un quai, un lot mal identifié, un disque qui manque à l'arrivée. Une prestation conforme repose sur une chaîne de traçabilité continue : inventaire contradictoire au moment de la collecte, conditionnement fermé ou scellé pour les supports sensibles, transport direct sans rupture de charge, puis rapprochement des numéros de série à la réception. Chaque écart doit être signalé et expliqué par écrit.

Les livrables attendus en fin d'opération sont précis. Pour les données : un certificat d'effacement ou de destruction nominatif, par numéro de série, avec la méthode et la date. Pour les déchets : un bordereau de suivi des déchets (BSD) émis et suivi via Trackdéchets à chaque enlèvement, puis un certificat de traitement confirmant que le lot a été pris en charge dans une filière DEEE agréée. Un bilan RSE chiffré complète le dossier. Nous organisons cette traçabilité de bout en bout et remettons l'ensemble des justificatifs, pour que votre dossier de conformité soit complet.

Que faire en cas de doute ou d'incident sur un support ?

Un ordinateur portable disparu avant collecte, un disque dur retrouvé non effacé, un lot parti sans inventaire : ces situations doivent être qualifiées rapidement. Si le support contenait des données personnelles et qu'il n'était pas chiffré, il s'agit d'une violation de données. Elle est consignée dans le registre interne des violations. Si un risque pour les personnes existe, la CNIL est notifiée sous 72 heures ; si le risque est élevé, les personnes concernées sont informées. Un support chiffré de bout en bout, dont la clé n'a pas été compromise, réduit fortement ce risque.

La meilleure prévention reste en amont. Activez le chiffrement intégral du disque sur tous les postes dès leur mise en service : en fin de vie, un effacement cryptographique devient possible et un support égaré ne livre rien de lisible. Centralisez les demandes de sortie de parc pour éviter les initiatives isolées, comme le don d'un vieux poste à un salarié sans effacement. Enfin, formez les services généraux et le support informatique : ce sont eux qui manipulent les machines au quotidien, et c'est à ce niveau que la conformité se joue réellement.

Liste de vérification RGPD avant toute demande de recyclage

Cette liste résume les points à valider avant de lancer une demande de recyclage de matériel informatique. Elle s'applique à un poste isolé comme à un lot de plusieurs centaines de machines, et vaut pour tous les supports recensés plus haut, copieurs et smartphones compris. Chaque point coché doit pouvoir être justifié par un document daté et archivé : c'est le principe même de responsabilité posé par le RGPD, qui impose non seulement d'être conforme, mais de pouvoir le démontrer à tout moment.

• Inventaire à jour : numéro de série, type de support, affectation, niveau de sensibilité
• Procédure écrite d'effacement ou de destruction selon la catégorie de données
• Contrat avec le prestataire incluant confidentialité, instructions et sous-traitance
• Certificats d'effacement ou de destruction reçus et rapprochés de l'inventaire
• BSD Trackdéchets et certificat de traitement archivés avec le registre des déchets