RGPD et fin de vie du matériel informatique : ce que vous devez prouver

Le RGPD oblige toute organisation à protéger les données personnelles jusqu’au bout, y compris sur les ordinateurs, disques, smartphones et copieurs dont elle se sépare : les données doivent être effacées de façon sécurisée ou les supports détruits avant toute cession, et l’organisation doit pouvoir le prouver. Si un prestataire s’en charge, il doit être encadré par un contrat de sous-traitance conforme à l’article 28.

Mis à jour : octobre 2026 · Ce guide présente les principes ; il ne remplace pas l’avis de votre délégué à la protection des données ou d’un juriste.

Quelles obligations du RGPD s’appliquent à la fin de vie du matériel ?

L’obligation de sécurité (articles 5 et 32)

L’article 5 du RGPD pose le principe d’intégrité et de confidentialité : les données doivent être traitées de façon à garantir une sécurité appropriée, à l’aide de mesures techniques ou organisationnelles appropriées. L’article 32 précise que le responsable du traitement et le sous-traitant mettent en œuvre des mesures garantissant un niveau de sécurité adapté au risque. Pour évaluer ce niveau, il faut tenir compte en particulier des risques de divulgation non autorisée et d’accès non autorisé aux données.

Un ordinateur qui quitte l’entreprise avec un disque non effacé expose exactement à ce risque. La fin de vie du matériel fait donc partie des traitements à sécuriser, au même titre que l’usage quotidien.

La responsabilité et la preuve (article 5, paragraphe 2)

Le responsable du traitement doit respecter ces principes et être en mesure de démontrer qu’ils sont respectés. Dire « les disques ont été effacés » ne suffit pas : il faut des documents qui le prouvent, support par support.

Le recours à un sous-traitant (article 28)

Le prestataire qui reprend vos équipements et efface les supports traite, pendant cette opération, des données pour votre compte. L’article 28 impose de ne faire appel qu’à des sous-traitants présentant des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées. Le traitement doit être régi par un contrat ou un autre acte juridique qui précise notamment l’objet, la durée, la nature et la finalité du traitement, et le sort des données : selon le choix du responsable du traitement, le sous-traitant supprime toutes les données ou les renvoie au terme de la prestation, et détruit les copies existantes.

La violation de données (article 33)

Si un support est cédé avec des données lisibles, il peut s’agir d’une violation de données. Lorsqu’elle présente un risque pour les personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance.

Les sanctions (article 83)

Les manquements aux obligations des articles 25 à 39, dont la sécurité et la sous-traitance, peuvent être sanctionnés par une amende administrative allant jusqu’à 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.

Que recommande la CNIL ?

Dans sa fiche « Encadrer la maintenance et la fin de vie des matériels et logiciels », la CNIL recommande notamment :

de supprimer de façon sécurisée les données des matériels avant leur mise au rebut ou leur envoi en réparation chez un tiers ;
de rédiger et mettre en œuvre une procédure de suppression sécurisée des données ;
d’utiliser des logiciels de suppression audités ou certifiés, en citant les certifications de sécurité de premier niveau (CSPN) de l’ANSSI ;
d’insérer une clause de sécurité dans les contrats passés avec les prestataires et de tracer leurs interventions.

Parmi ce qu’il ne faut pas faire, la CNIL cite explicitement : réutiliser, revendre ou jeter des supports ayant contenu des données personnelles sans suppression sécurisée préalable.

Pour le choix entre effacement logiciel et destruction physique, et pour les spécificités des SSD, consultez notre guide effacement certifié ou destruction des disques.

Quels équipements contiennent des données ?

Le réflexe porte sur les ordinateurs, mais le périmètre est plus large :

Ordinateurs portables et fixes : disques durs et SSD, parfois plusieurs par machine.
Serveurs, baies de stockage, NAS : souvent les données les plus sensibles, et des disques nombreux à tracer un par un.
Smartphones et tablettes : messagerie, contacts, photos, accès aux applications de l’entreprise. Les procédures des fabricants passent par la déconnexion des comptes (compte Apple, compte Google) puis l’effacement complet ; la CNIL rappelle que sur Android, un compte Google resté associé empêche le nouvel utilisateur d’utiliser l’appareil.
Imprimantes et copieurs multifonctions : ils peuvent intégrer un disque ou une mémoire susceptible de conserver des documents numérisés ou imprimés, des carnets d’adresses et des journaux. Le NIST note que certains équipements de bureau ne proposent qu’une remise à l’état d’usine, sans possibilité de réécrire directement leur mémoire : il faut alors se renseigner auprès du fabricant ou du loueur sur la méthode d’effacement disponible, et la faire appliquer avant la restitution ou la reprise.
Équipements réseau (pare-feu, routeurs, bornes) : configurations, identifiants, certificats.
Supports amovibles : clés USB, disques externes, cartes mémoire.

Comment constituer la preuve ?

Un dossier de fin de vie défendable contient :

Une procédure écrite : qui décide de la sortie d’un équipement, quels supports sont effacés, lesquels sont détruits, qui vérifie.
L’inventaire des équipements cédés, avec les numéros de série des appareils et, si possible, des supports.
Le contrat avec le prestataire, conforme à l’article 28, avec une clause de sécurité.
Un certificat par support : numéro de série, méthode d’effacement ou de destruction, outil utilisé, vérification, date.
Le rapprochement entre l’inventaire et les certificats : chaque numéro de série doit avoir son rapport, et les écarts doivent être expliqués.

Si votre inventaire n’est pas à jour, un audit de parc permet de le reconstituer avant la reprise.

Tableau récapitulatif

Texte	Ce qu’il impose	Traduction pratique
RGPD art. 5.1.f	Sécurité appropriée des données	Aucun support ne sort sans effacement ou destruction
RGPD art. 5.2	Pouvoir démontrer sa conformité	Certificats par numéro de série, inventaire rapproché
RGPD art. 28	Sous-traitant présentant des garanties suffisantes, contrat	Contrat avec le repreneur, sort des données prévu
RGPD art. 32	Mesures adaptées au risque	Méthode adaptée au support (HDD, SSD, mobile, copieur)
RGPD art. 33	Notification des violations	Procédure en cas de support perdu ou cédé non effacé
Fiche CNIL fin de vie	Procédure, logiciels audités ou certifiés	Procédure écrite, logiciel évalué

Comment METM Recycling s’inscrit dans cette démarche

METM Recycling reprend le matériel informatique des entreprises, administrations et établissements. Les données sont effacées avec le logiciel Blancco, avec un rapport par numéro de série, et les supports sont détruits physiquement si nécessaire. METM Recycling est certifiée ISO 27001. En Île-de-France, la collecte est faite par nos propres équipes ; ailleurs en France, nous organisons l’enlèvement par transporteur. Le matériel réutilisable est reconditionné et revendu, le reste est recyclé dans la filière adaptée.

Pour en savoir plus : effacement sécurisé des données, reprise de matériel informatique, réemploi, valorisation et recyclage. Pour préparer l’opération, suivez notre checklist de renouvellement de parc ; pour connaître la valeur de votre matériel, le barème de rachat.

Questions fréquentes

Le RGPD impose-t-il d’effacer les ordinateurs avant de s’en séparer ?

Le RGPD impose au responsable du traitement de garantir une sécurité adaptée au risque, notamment contre la divulgation non autorisée des données (articles 5 et 32). La CNIL en tire une recommandation directe : supprimer de façon sécurisée les données des matériels avant leur mise au rebut ou leur envoi en réparation, et ne pas réutiliser, revendre ou jeter des supports ayant contenu des données personnelles sans cela.

Le repreneur de mon matériel est-il un sous-traitant au sens du RGPD ?

Lorsqu’il efface des supports qui contiennent encore vos données, il traite ces données pour votre compte : il doit être encadré comme un sous-traitant. L’article 28 impose alors de choisir un prestataire présentant des garanties suffisantes et de signer un contrat qui précise notamment le sort des données au terme de la prestation.

Quelle preuve garder en cas de contrôle ?

Le RGPD demande au responsable du traitement d’être en mesure de démontrer sa conformité (article 5, paragraphe 2). Pour la fin de vie du matériel, cela passe par une procédure écrite, l’inventaire des équipements cédés, le contrat avec le prestataire et un certificat d’effacement ou de destruction par numéro de série.

Que risque une entreprise qui revend des disques non effacés ?

Un disque revendu avec des données personnelles peut constituer une violation de données, à notifier à la CNIL dans les meilleurs délais et si possible dans les 72 heures lorsqu’elle présente un risque. Les manquements aux obligations de sécurité et de sous-traitance peuvent être sanctionnés par une amende allant jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu.

Les imprimantes et copieurs sont-ils concernés ?

Oui, dès qu’ils intègrent un support de stockage. Un copieur multifonction peut intégrer un disque ou une mémoire susceptible de conserver des documents numérisés ou imprimés, des carnets d’adresses ou des journaux. Il faut vérifier auprès du fabricant ou du loueur où ces données sont stockées et comment elles sont effacées avant la restitution ou la reprise.

Sources

CNIL – RGPD, chapitre II (article 5)
CNIL – RGPD, chapitre IV (articles 28, 32 et 33)
CNIL – RGPD, chapitre VIII (article 83)
CNIL – Encadrer la maintenance et la fin de vie des matériels et logiciels
CNIL – Effacer ses données d’un ordinateur, d’un téléphone ou d’une tablette avant de s’en séparer
NIST – SP 800-88 Rev. 2, Guidelines for Media Sanitization

Autres guides : tous les guides · obligations DEEE des professionnels · combien vaut votre parc informatique