CybRenewQue faire de son ancien matériel informatique professionnel ?
Vos obligations RGPD avant de vous séparer d'ordinateurs, serveurs ou disques durs.
Renouveler son parc informatique fait partie de la vie normale d'une entreprise. Mais chaque ordinateur, serveur ou disque dur retiré du service a très probablement hébergé des données à caractère personnel : celles de vos clients, de vos salariés, de vos partenaires. Le RGPD impose des obligations précises à ce sujet, et les manquements exposent à un risque réel.
Ce que dit le RGPD (articles 5 et 32)
L'article 5 du RGPD impose une limitation de la conservation des données : elles ne doivent pas être conservées au-delà de ce qui est nécessaire. L'article 32 impose la mise en œuvre de mesures techniques garantissant la sécurité des données, y compris lors de leur suppression. En clair : la responsabilité du responsable de traitement (l'entreprise) ne s'arrête pas quand un ordinateur est débranché du réseau. Elle continue tant que les données qu'il contient n'ont pas été effacées de manière irréversible.
Les erreurs les plus fréquentes
- Confier le matériel à un revendeur ou à une déchèterie sans effacement préalable
- Se contenter d'un formatage standard, qui ne supprime pas réellement les données (voir notre article dédié)
- Stocker indéfiniment le matériel "au cas ou", ce qui prolonge inutilement le risque de fuite
- Ne conserver aucune preuve de l'effacement effectué
Ce qu'il faut faire
Un effacement sécurisé conforme, réalisé par un tiers de confiance, avec délivrance d'une attestation nominative mentionnant la date, le type de support et la méthode utilisée. Ce document constitue votre preuve de diligence en cas de contrôle de la CNIL ou d'audit client, et vous permet de démontrer que la mise au rebut du matériel n'a exposé aucune donnée.
Le cas particulier des professions à secret professionnel
Avocats, notaires, experts-comptables, professionnels de santé : au-delà du RGPD, le secret professionnel impose une vigilance renforcée. Dans ces cas, un effacement ou une destruction documentés par un interlocuteur unique, avec attestation, est la solution la plus sûre.