Quand un ordinateur, un serveur ou un téléphone sort de votre parc, deux obligations se cumulent et il faut les traiter dans cet ordre : effacer de manière sécurisée les données qu'il contient, puis remettre l'équipement à une filière de collecte et de traitement des déchets d'équipements électriques et électroniques. Ni la benne du fond de la cour, ni le placard qui accumule les vieilles machines ne constituent une solution acceptable.
Ces deux volets relèvent de logiques différentes. Le premier engage votre responsabilité sur les données personnelles et sur vos informations confidentielles. Le second relève de la réglementation sur les déchets. Beaucoup d'entreprises traitent l'un en oubliant l'autre.
En résumé
- Sortir un matériel du parc suppose deux opérations distinctes : effacer les données, puis remettre l'équipement à une filière agréée.
- Supprimer des fichiers ou formater un disque ne détruit pas les données : il faut un effacement sécurisé ou une destruction physique.
- Les disques à mémoire flash se traitent différemment des disques mécaniques, la réécriture n'y étant pas fiable.
- Un équipement électrique et électronique professionnel ne se jette pas avec les déchets ordinaires.
- Conservez systématiquement l'attestation d'effacement et le justificatif de prise en charge par la filière.
Volet 1 : effacer les données avant que le matériel sorte
Supprimer n'est pas effacer
Mettre des fichiers à la corbeille, vider celle-ci, voire formater le disque, ne supprime pas réellement les données. Ces opérations retirent les références qui permettent au système de retrouver les fichiers, mais le contenu reste physiquement présent sur le support jusqu'à ce qu'il soit écrasé par autre chose. Des outils de récupération largement diffusés remontent ces données sans difficulté particulière.
La conséquence est concrète. Un ordinateur donné à un salarié, revendu à un particulier, confié à un prestataire ou simplement déposé en déchèterie peut emporter avec lui des fiches de paie, des contrats, des fichiers clients, des identifiants enregistrés dans le navigateur et l'historique de votre messagerie. Vous restez responsable de ces données, y compris après le départ physique de la machine, comme le rappelle la CNIL aux professionnels.
Les méthodes qui fonctionnent réellement
Trois approches donnent un résultat fiable, et elles ne s'appliquent pas aux mêmes supports.
L'effacement logiciel par réécriture consiste à écrire des données de remplacement sur toute la surface du support. Cette méthode est adaptée aux disques durs mécaniques, où l'on maîtrise ce qui est écrit et à quel endroit.
L'effacement cryptographique s'appuie sur le chiffrement intégral du support : si le disque a été chiffré dès sa mise en service, détruire la clé de déchiffrement rend l'ensemble des données illisibles, quel que soit ce qui reste physiquement inscrit. C'est la méthode de référence pour les disques à mémoire flash, dont les mécanismes internes de répartition de l'usure empêchent de garantir qu'une réécriture atteint bien toutes les cellules. Ces supports disposent également d'une commande d'effacement sécurisé intégrée, à privilégier quand elle est disponible.
La destruction physique, enfin, s'impose dans deux cas : un support défaillant que l'on ne peut plus effacer logiciellement, et les données les plus sensibles, pour lesquelles on ne veut prendre aucun risque. Elle doit être réalisée par un prestataire spécialisé qui délivre un certificat de destruction. Notez qu'elle interdit tout réemploi de l'équipement, ce qui la rend inadaptée à un matériel encore en état de servir.
Tracer l'opération
Un effacement non documenté équivaut à un effacement non réalisé le jour où l'on vous demande des comptes. Faites établir une attestation mentionnant la date, le numéro de série du support, la méthode employée et l'identité de l'intervenant. Ce document se classe avec l'inventaire, aux côtés de la facture d'achat. Cette exigence vaut aussi pour les machines louées et restituées à leur propriétaire, ainsi que pour les smartphones professionnels.
Quelle méthode pour quel support
| Type de support | Méthode adaptée | Justificatif à conserver |
|---|---|---|
| Disque dur mécanique en état de marche | Effacement logiciel par réécriture complète | Rapport d'effacement daté avec le numéro de série |
| Disque à mémoire flash ou SSD | Commande d'effacement sécurisé ou destruction de la clé de chiffrement | Rapport de l'outil utilisé et preuve du chiffrement initial |
| Support défaillant ou illisible | Destruction physique par un prestataire spécialisé | Certificat de destruction nominatif |
| Smartphone ou tablette professionnelle | Réinitialisation d'usine sur un appareil chiffré, puis vérification | Fiche de sortie signée par le responsable du parc |
| Serveur avec plusieurs disques en grappe | Traitement disque par disque après démontage de la grappe | Rapport détaillant chaque support traité |
Volet 2 : la filière DEEE des équipements professionnels
Ce que dit l'obligation
Les ordinateurs, écrans, serveurs, imprimantes, téléphones et équipements réseau sont des équipements électriques et électroniques. En fin de vie, ils deviennent des déchets d'équipements électriques et électroniques, désignés par le sigle DEEE, et relèvent d'une filière de collecte et de traitement dédiée. Ils ne peuvent donc rejoindre ni les ordures ordinaires, ni la benne de déchets banals de l'entreprise.
Cette filière repose sur le principe de responsabilité élargie du producteur : ceux qui mettent ces équipements sur le marché, fabricants, importateurs ou distributeurs, doivent organiser et financer leur collecte et leur traitement, le plus souvent par l'intermédiaire d'un éco-organisme agréé. Concrètement, l'entreprise détentrice n'a pas à supporter seule cette organisation, mais elle doit remettre ses équipements au bon circuit.
Les circuits utilisables
Plusieurs voies existent selon les cas. Le fournisseur qui vous livre un équipement neuf peut être tenu de reprendre l'ancien équipement équivalent, ce qu'il faut demander au moment de la commande et non après la livraison. Un éco-organisme agréé pour les équipements professionnels peut organiser un enlèvement sur site. Une déchèterie professionnelle ou un opérateur de gestion des déchets peut également prendre en charge les équipements, à condition d'être habilité pour cette catégorie.
Dans tous les cas, exigez un document. Selon la nature des équipements et l'opérateur, il prend la forme d'un bordereau de suivi, d'un récépissé de prise en charge ou d'une attestation de traitement. Ce justificatif prouve que vous avez respecté vos obligations et vient alimenter le registre des déchets de l'entreprise. Les informations officielles sur cette filière sont publiées sur ecologie.gouv.fr et l'ADEME documente les bonnes pratiques associées.
Le cas du don et du réemploi
Donner un ordinateur encore fonctionnel à une association, à une école ou à un salarié est une bonne idée, à une condition impérative : le traitement des données doit être fait avant, et fait correctement. Un don n'exonère de rien, et le fait que le bénéficiaire soit de bonne foi ne change pas votre responsabilité si un fichier ressort du disque.
Deux précautions accompagnent le don. Documentez la cession par un écrit indiquant l'équipement, son numéro de série, la date, le bénéficiaire et la mention de l'effacement réalisé. Et vérifiez la question des licences : un système d'exploitation ou un logiciel métier n'est pas toujours transférable avec la machine. Ce point mérite d'être clarifié avant la remise, pas après.
Écrire la procédure une fois pour toutes
Le meilleur moyen de ne pas improviser est de rédiger une fiche de sortie de parc, tenant sur une page, appliquée à chaque équipement qui quitte l'entreprise. Elle enchaîne cinq étapes : identifier l'équipement par son numéro de série et le retrouver dans l'inventaire, sauvegarder ou vérifier que les données utiles ont bien été récupérées ailleurs, effacer ou détruire les supports selon la méthode adaptée, remettre l'équipement à la filière appropriée, puis classer les justificatifs et clôturer la ligne d'inventaire.
Cette procédure suppose un préalable que beaucoup d'entreprises n'ont pas : savoir ce que l'on possède. Sans suivi du parc, il est impossible de garantir qu'aucune machine n'est sortie sans traitement. La cohérence avec votre politique de sauvegarde compte tout autant : effacer un disque avant d'avoir vérifié que son contenu utile existe ailleurs est une erreur difficile à rattraper.
Si vous ne disposez pas des compétences en interne, la plupart des intervenants référencés dans l'annuaire des prestataires informatiques proposent un service de sortie de parc complet, effacement documenté et acheminement vers la filière compris. Pour comparer les intervenants les mieux notés sur ce type de prestation, le classement national constitue un bon point de départ.
