Certificat de destruction de données : ce que tout dirigeant de TPE-PME doit savoir

Un ordinateur réformé, un serveur remplacé, un disque dur qui rend l'âme, un contrat qui se termine avec un prestataire… Dans la vie d'une entreprise, les occasions de se séparer de matériel informatique sont fréquentes. Et à chaque fois se pose la même question, trop souvent négligée : que deviennent les données qui s'y trouvent ?

Pour un dirigeant de TPE ou de PME, cette question n'est pas anecdotique. Elle touche à la fois à la sécurité de l'entreprise, à sa réputation et à sa responsabilité légale au regard du RGPD. Voici ce qu'il faut comprendre avant de jeter, revendre ou recycler le moindre équipement.

Pourquoi la destruction de données concerne directement le dirigeant

Beaucoup pensent qu'un simple formatage suffit à effacer un disque dur. C'est faux. Un formatage classique, voire une suppression manuelle des fichiers, laisse des données parfaitement récupérables avec des outils accessibles à n'importe qui. Or ces équipements contiennent souvent :

• des données personnelles de salariés, clients ou fournisseurs (RH, paie, contrats),
• des données confidentielles de l'entreprise (comptabilité, stratégie, propriété intellectuelle),
• des identifiants et accès à des outils métiers ou bancaires.

En tant que responsable de traitement au sens du RGPD, le dirigeant reste juridiquement responsable de ces données, y compris après la mise au rebut du matériel. Un poste revendu ou jeté sans effacement sécurisé peut donc exposer l'entreprise à une fuite de données, avec des conséquences financières, juridiques et d'image potentiellement lourdes.

Ce que dit le cadre réglementaire

Le RGPD et la loi Informatique et Libertés imposent aux entreprises de mettre en œuvre des mesures techniques et organisationnelles proportionnées pour garantir la sécurité des données personnelles, de leur collecte jusqu'à leur suppression définitive. La CNIL est explicite sur ce point : la fin de vie d'un support de stockage fait partie intégrante du cycle de vie de la donnée, et doit être anticipée au même titre que sa collecte ou sa conservation.

Concrètement, cela signifie que l'entreprise doit être en mesure de prouver que les données ont bien été détruites, et pas seulement l'affirmer. C'est là qu'interviennent les documents de traçabilité.

PV, attestation, certificat : ne pas confondre ces trois documents

Ces termes reviennent souvent, mais ils ne recouvrent pas exactement la même chose :

• Le certificat de destruction est le document de référence. Il atteste, support par support (souvent via son numéro de série), que la destruction ou l'effacement a bien eu lieu, selon quelle méthode et à quelle date. C'est cette pièce qu'il faut pouvoir présenter en cas de contrôle CNIL ou d'audit.
• L'attestation de destruction est parfois utilisée comme synonyme, mais désigne aussi, selon les prestataires, un document plus global confirmant la prise en charge et le traitement du matériel.
• Le procès-verbal (PV) de destruction formalise l'opération elle-même, en particulier lorsqu'il y a destruction physique (broyage) réalisée en présence d'un témoin ou filmée : il décrit les conditions, le lieu, la date et les supports concernés.

Pour un dirigeant, l'essentiel est de retenir qu'un document oral ou une simple facture de recyclage ne suffisent pas : il faut un document nominatif, daté, traçable jusqu'au numéro de série de chaque support, et conservé dans le registre de conformité de l'entreprise.

Effacement logique ou destruction physique : quelle méthode choisir ?

Deux approches coexistent, et le choix dépend de la sensibilité des données et du devenir du matériel :

1. L'effacement sécurisé (logique) : les données sont écrasées plusieurs fois selon des standards reconnus (normes type NIST 800-88 ou DoD 5220.22-M), rendant toute récupération impossible. Cette méthode a l'avantage de permettre la revente ou le réemploi du matériel - un point non négligeable pour les entreprises soucieuses de leur impact environnemental.
2. La destruction physique : broyage ou démagnétisation du support, qui devient définitivement inexploitable. Cette solution s'impose pour les données les plus sensibles ou lorsque le support est défaillant et ne peut plus être effacé logiciellement.

Dans les deux cas, l'opération doit être réalisée par un prestataire capable de fournir la documentation associée, et non simplement "au meilleur prix" auprès d'un récupérateur non spécialisé.

Les bonnes pratiques pour une TPE-PME

Quelques réflexes permettent de sécuriser durablement cette étape de fin de vie du matériel :

• Cartographier le parc informatique : savoir précisément quels équipements existent, où ils se trouvent et quelles données ils contiennent.
• Formaliser une politique interne de mise au rebut, incluse dans la politique de sécurité des systèmes d'information.
• Choisir un prestataire de confiance, capable de délivrer un certificat de destruction détaillé et de justifier de sa méthode.
• Conserver les preuves (certificats, PV) dans le registre RGPD de l'entreprise, au même titre que les analyses d'impact ou les registres de traitement.
• Ne jamais confier des supports à un tiers non identifié, y compris pour un simple recyclage : la chaîne de traçabilité doit être ininterrompue, du décrochage du poste jusqu'à la destruction effective.
• Anticiper les moments à risque : changement de prestataire informatique, déménagement, renouvellement de parc, fin de leasing.

Une question à intégrer dans sa relation avec son prestataire informatique

La destruction de données ne devrait pas être une réflexion de dernière minute, gérée dans l'urgence lorsqu'un serveur tombe en panne ou qu'un contrat s'achève. Elle s'inscrit naturellement dans la gestion globale du parc informatique et de la sécurité des données de l'entreprise, aux côtés des sauvegardes, des mises à jour et de la gestion des accès.

C'est dans cette logique qu'EPX Informatique accompagne les entreprises et collectivités dans la prise en charge sécurisée de leur matériel informatique en fin de vie, avec effacement ou destruction sécurisée et remise d'un certificat de destruction pour chaque support traité. Une manière simple de fermer proprement un chapitre du cycle de vie de vos données, sans laisser de zone d'ombre en cas de contrôle.

Vous vous apprêtez à renouveler votre parc informatique ou à changer de prestataire ? C'est le bon moment pour faire le point sur la fin de vie de vos données. N'hésitez pas à nous contacter pour en discuter.