Formater un disque ne suffit pas. Ce que le RGPD impose à une entreprise qui se sépare de ses ordinateurs, les méthodes d'effacement fiables (disques durs et SSD) et la preuve à conserver.
La première inquiétude d'une entreprise qui donne ou revend ses ordinateurs, c'est le sort de ses données. Elle est légitime : un disque mal effacé peut livrer des fichiers clients, des documents RH ou des mots de passe. Voici ce que dit la réglementation et comment s'y prendre.
Que dit le RGPD ?
Le RGPD impose à toute entreprise qui traite des données personnelles de les protéger pendant tout leur cycle de vie, y compris quand le matériel qui les contient quitte l'entreprise. Si un ordinateur donné ou revendu laisse fuiter des données, c'est l'entreprise qui en reste responsable.
La CNIL range d'ailleurs l'effacement des données de tout matériel avant sa mise au rebut ou sa cession parmi les mesures de sécurité de base, dans son guide de la sécurité des données personnelles. Elle publie aussi une fiche pratique pour effacer ses données avant de se séparer d'un appareil.
Pourquoi supprimer les fichiers ou formater ne suffit pas
Supprimer un fichier, vider la corbeille ou formater un disque ne fait qu'effacer l'index qui permet de retrouver les données. Les données elles-mêmes restent sur le disque, et des logiciels de récupération accessibles à tous peuvent les reconstituer.
Les méthodes d'effacement fiables
- Pour un disque dur classique (HDD) : un logiciel d'effacement réécrit toute la surface du disque avec des données aléatoires ou nulles, en une ou plusieurs passes. Les données d'origine deviennent alors irrécupérables.
- Pour un SSD : la réécriture classique est moins fiable, à cause de la façon dont ces disques répartissent les données. On utilise plutôt la commande d'effacement sécurisé prévue par le fabricant, ou l'effacement cryptographique si le disque était chiffré.
- La destruction physique (broyage, perçage) : c'est la solution radicale pour les supports les plus sensibles, ou ceux qui ne fonctionnent plus et ne peuvent donc pas être effacés.
N'oubliez pas les autres supports : clés USB, cartes mémoire, disques externes, mais aussi les imprimantes multifonctions et les copieurs, qui conservent souvent une copie des documents traités.
Quelle preuve conserver ?
En cas de contrôle ou d'incident, vous devez pouvoir montrer que les données ont bien été effacées. Conservez :
- l'inventaire des machines cédées, avec leurs numéros de série ;
- le certificat d'effacement ou de destruction, qui indique la méthode utilisée pour chaque support ;
- le document de remise du matériel (inventaire signé, attestation de don).
Comment Respusse traite vos supports
Chez Respusse, l'effacement des données est la première étape du parcours, avant tout reconditionnement :
- chaque équipement est testé, puis ses supports de stockage sont effacés par une procédure d'écrasement en plusieurs passes ;
- si vous le préférez, les supports sont détruits physiquement ;
- un certificat d'effacement est joint à l'inventaire du lot, signé lors de l'enlèvement.
Vous disposez ainsi d'une preuve écrite, directement exploitable dans votre démarche de conformité. Ce n'est qu'une fois cette étape franchie que le matériel poursuit son chemin vers les écoles et associations qui en ont besoin.
En résumé
- Ne cédez jamais un ordinateur après un simple formatage.
- Adaptez la méthode au type de disque : réécriture pour un HDD, effacement sécurisé constructeur pour un SSD, destruction pour les supports sensibles ou en panne.
- Exigez et conservez un certificat d'effacement.
Pour en savoir plus sur le parcours complet d'un don, consultez Comment ça marche, ou proposez-nous votre matériel.