Certificat d'effacement de données : comment le lire et le vérifier
Le certificat d'effacement est la pièce qui prouve, face au RGPD, que les données d'un poste recyclé ont disparu. Encore faut-il qu'il dise ce qu'il doit dire. Voici les mentions à contrôler, les pièges fréquents et le rapprochement avec votre inventaire.
Ce qu'est un certificat d'effacement, et ce qu'il n'est pas
Un certificat d'effacement de données est le document par lequel l'organisme qui a réalisé l'effacement atteste, support par support, que les données ont été rendues irrécupérables selon une méthode identifiée. Il engage son émetteur. Pour l'entreprise, c'est la preuve attendue par le RGPD, qui impose de pouvoir démontrer que les données personnelles ont été détruites lorsqu'un équipement quitte son contrôle. Sans lui, l'effacement a peut-être eu lieu, mais rien ne permet de l'établir face au DPO, à un client ou à l'autorité de contrôle.
Il ne faut pas le confondre avec trois autres pièces. Le certificat de destruction atteste la destruction physique d'un support, qui n'a alors pas été effacé mais broyé ou démagnétisé. Le certificat de traitement atteste que le lot de matériel a été pris en charge par une filière DEEE agréée : il parle de déchets, pas de données. L'attestation globale, enfin, qui déclare en une phrase que « les données ont été effacées » sans liste de supports, n'a pas la valeur probante d'un certificat nominatif.
La norme NIST 800-88 en trois niveaux
La référence internationale en matière d'effacement est la publication NIST 800-88, qui définit trois niveaux d'assainissement des supports. Clear : réécriture logique des données par des méthodes standard, qui protège contre une récupération par des outils courants. Purge : techniques plus poussées (réécriture vérifiée, commandes internes du support, effacement cryptographique), qui protègent contre une récupération en laboratoire. Destroy : destruction physique rendant le support inutilisable. Chaque niveau correspond à un niveau de sensibilité des données et à une destination du support.
La norme insiste sur deux points que le certificat doit refléter. D'abord, la méthode dépend du type de support : un disque magnétique se réécrit, un SSD demande des commandes spécifiques ou un effacement cryptographique, car la réécriture classique n'atteint pas toutes ses cellules. Ensuite, l'effacement doit être vérifié : une méthode appliquée sans contrôle du résultat n'est pas un assainissement au sens de la norme. Un certificat qui cite NIST 800-88 sans indiquer le niveau ni la vérification cite la norme sans l'appliquer.
- Clear : réécriture logique, supports destinés au réemploi interne ou peu sensibles
- Purge : effacement vérifié ou cryptographique, supports réemployés hors de l'entreprise
- Destroy : destruction physique, supports défaillants ou données critiques
Les mentions attendues sur le certificat
Un certificat exploitable comporte une partie d'identification et une partie technique. L'identification : le nom et les coordonnées de l'organisme émetteur, le nom du client, la référence de l'opération ou du lot, la date de réalisation, l'identité ou le matricule de l'opérateur, et une signature ou un identifiant de validation. La partie technique, elle, se présente sous forme de tableau, une ligne par support : type de support, marque et modèle, numéro de série, capacité, méthode appliquée, niveau NIST, outil et version, résultat.
Le résultat est la colonne la plus importante et la plus souvent survolée. Il doit être individuel : réussi, échec, ou non applicable avec une explication (support absent, illisible, non pris en charge). Certains certificats ajoutent la durée de l'opération, le nombre de passes, le pourcentage vérifié et l'identifiant du poste de traitement, ce qui renforce la traçabilité. Un certificat qui donne un résultat global pour tout le lot, sans détail par ligne, ne permet pas de savoir quel disque a réellement été traité.
- Émetteur, client, référence de lot, date, opérateur, signature
- Une ligne par support : type, modèle, numéro de série, capacité
- Méthode et niveau NIST 800-88, outil et version
- Résultat individuel : réussi, échec ou non applicable
Le numéro de série : la clé du rapprochement
Tout le contrôle repose sur le numéro de série. Attention à une subtilité : l'effacement porte sur le support de stockage, pas sur la machine. Un certificat sérieux indique le numéro de série du disque ou du SSD, et idéalement celui de l'équipement qui le contenait. Or votre inventaire, lui, liste le plus souvent les machines. Le rapprochement se fait donc à deux niveaux : la machine de l'inventaire correspond à la machine du bon de prise en charge, et ses supports apparaissent, un par un, dans le certificat.
Cette double lecture fait apparaître les cas particuliers. Un serveur avec huit disques doit générer huit lignes. Un portable dont le disque a été retiré avant la collecte n'apparaîtra pas, et il faut le savoir. Un poste contenant deux supports (un SSD système et un disque de données) doit en montrer deux. Prenez votre fichier d'inventaire, ajoutez une colonne « certificat » et reportez, pour chaque équipement, la ou les lignes qui le couvrent. Ce qui reste vide doit être expliqué.
Lire la méthode et le résultat : les pièges fréquents
Certaines formulations doivent alerter. « Formatage » ou « formatage bas niveau » : un formatage ne supprime pas les données, il réinitialise la table d'allocation. « Effacement rapide » sans précision de méthode. « Suppression des fichiers ». Une méthode de réécriture classique appliquée à un SSD, alors que la norme prévoit pour ces supports des commandes dédiées ou un effacement cryptographique. Une absence de vérification. Un nombre de passes présenté comme gage de sécurité sans autre précision, alors que la norme privilégie la méthode adaptée au support et la vérification.
Le second piège est la ligne en échec passée inaperçue. Un disque défaillant, avec des secteurs inaccessibles, ne peut pas être effacé complètement : le résultat doit indiquer un échec, et le support doit alors partir en destruction physique, avec un certificat de destruction distinct. Vérifiez que chaque échec a sa contrepartie. Un certificat où tous les supports sont « réussis » sur un lot ancien mérite une question : les disques hors d'usage ont-ils été traités ailleurs, et où est la preuve ?
Traçabilité : relier le certificat au reste du dossier
Un certificat isolé prouve un effacement ; un certificat relié prouve une chaîne. Il doit se rattacher au bon de prise en charge signé le jour de la collecte de matériel informatique, qui liste les équipements confiés, et au bordereau de suivi des déchets émis sur Trackdéchets pour la part dangereuse du lot. Pour les supports en échec, le certificat de destruction de disque dur prend le relais. Pour l'ensemble, le certificat de traitement atteste que le matériel a rejoint une filière agréée, et le bilan RSE en chiffre le résultat. Ces quatre pièces racontent le parcours complet, de votre local jusqu'au traitement final.
Sur le plan contractuel, l'organisme qui efface agit comme sous-traitant au sens du RGPD : un contrat précise ses obligations de sécurité, de confidentialité et de restitution des preuves. Le certificat est l'exécution de ce contrat. Conservez-le aussi longtemps que les données concernées pourraient faire l'objet d'une réclamation, et au minimum le temps pendant lequel vous devez pouvoir démontrer la conformité de vos traitements. Un classement par opération, avec l'inventaire bouclé, est le format le plus simple à retrouver.
Check-list de vérification avant classement
Avant de ranger le certificat, parcourez cette liste. L'émetteur est-il identifié et le document signé ou validé ? La référence de lot correspond-elle à votre opération ? Chaque support de votre inventaire apparaît-il, par numéro de série, avec un résultat individuel ? Les échecs ont-ils un certificat de destruction correspondant ? La méthode cite-t-elle un niveau NIST 800-88 adapté au type de support, avec vérification ? Les SSD sont-ils traités par une méthode qui leur convient ? Les supports non couverts sont-ils expliqués ?
Ce contrôle prend une demi-heure sur un lot de quelques dizaines de machines et évite de découvrir, lors d'un audit ou d'un incident, qu'un disque n'a jamais été traité. Il est plus simple encore lorsque l'inventaire de départ a été fait avec soin, numéro de série par numéro de série. Un certificat d'effacement bien lu transforme une formalité en preuve solide, celle qui permet de répondre sans hésiter à la question : « Que sont devenues les données de ce poste ? »
- Émetteur, signature, référence de lot
- Tous les numéros de série de l'inventaire présents
- Résultat individuel par support, échecs traités en destruction
- Niveau NIST 800-88 et vérification indiqués, méthode adaptée aux SSD
- Certificat relié au bon de prise en charge, au BSD et au certificat de traitement
Un certificat d'effacement se lit comme un tableau : une ligne par support, un numéro de série, une méthode conforme à la norme NIST 800-88, un résultat individuel, et un lien avec le reste du dossier. Vérifié contre l'inventaire, il devient la preuve RGPD que rien d'autre ne remplace. Vous préparez un recyclage informatique avec effacement certifié ? Faites une demande de recyclage : réponse sous 24 h.
Questions fréquentes
Un certificat d'effacement de données est-il obligatoire ?
Aucun texte n'impose ce document sous ce nom, mais le RGPD oblige l'entreprise à pouvoir démontrer que les données personnelles ont été effacées ou détruites lorsqu'un support quitte son contrôle. Le certificat d'effacement nominatif par numéro de série est le moyen reconnu d'apporter cette preuve. Sans lui, l'entreprise ne peut ni répondre au DPO ni justifier sa conformité en cas de contrôle ou d'incident.
Que faire si un disque apparaît en échec sur le certificat d'effacement ?
Un échec signifie que le support n'a pas pu être entièrement réécrit ou vérifié, le plus souvent parce qu'il est défaillant. Il ne doit alors ni être réemployé ni être recyclé tel quel : il part en destruction physique (broyage, déchiquetage ou démagnétisation) et reçoit un certificat de destruction à son numéro de série. Vérifiez que chaque ligne en échec a bien cette contrepartie dans votre dossier.
Combien de temps conserver un certificat d'effacement de données ?
Aussi longtemps que vous devez pouvoir démontrer la conformité de vos traitements et que les données concernées pourraient faire l'objet d'une réclamation, ce qui dépasse souvent la durée de conservation du registre des déchets. En pratique, classez le certificat avec l'inventaire de l'opération, le bon de prise en charge, le BSD et le certificat de traitement, dans un dossier unique conservé plusieurs années.
Du matériel informatique à recycler ?
Deux questions, une proposition sous 24 h, collecte partout en France.
