RGPD et effacement du matériel en fin de vie : vos obligationsGDPR and end-of-life hardware erasure: your obligations

La protection des données personnelles ne s'arrête pas quand un serveur quitte la baie ou qu'un portable part en reprise. Tant qu'un support contient des données personnelles, le responsable de traitement doit assurer une sécurité appropriée au risque. La fin de vie du matériel est un moment de vulnérabilité classique, souvent traité en fin de projet, avec des acteurs multiples et peu de traçabilité.Protecting personal data does not stop when a server leaves the rack or a laptop goes back to a leasing partner. As long as a device holds personal data, the controller must ensure security appropriate to the risk. Hardware end of life is a classic moment of exposure, often handled at the tail end of a project, with multiple parties involved and little traceability.

Le responsable de traitement reste responsable de sa chaîneThe controller remains accountable for its chain

Confier le matériel à un prestataire de reprise, de recyclage ou de destruction ne transfère pas la responsabilité. Le responsable de traitement doit choisir un sous-traitant présentant des garanties suffisantes, encadrer la relation par un contrat précisant les instructions, la confidentialité, la sous-traitance ultérieure et le sort des données. Il doit également être en mesure de démontrer que ces exigences ont été respectées, ce qui suppose des preuves et non de simples engagements commerciaux.Handing hardware over to a buy-back, recycling or destruction provider does not transfer accountability. The controller must select a processor offering sufficient guarantees, and frame the relationship in a contract covering instructions, confidentiality, onward subcontracting and the fate of the data. The controller must also be able to demonstrate that those requirements were met, which calls for evidence rather than commercial assurances.

Vérifier les garanties du prestataire avant l'enlèvement, pas après

Encadrer contractuellement instructions, confidentialité et sous-traitance ultérieure

Exiger une preuve exploitable, pas une attestation générique de bonne fin

Identifier le lieu où l'opération est réalisée et par qui

Check the provider's guarantees before collection, not afterwards

Contractually frame instructions, confidentiality and onward subcontracting

Require usable evidence, not a generic completion statement

Identify where the operation takes place and who performs it

Minimisation, limitation de conservation et sortie du parcMinimisation, storage limitation and fleet exit

Le principe de limitation de la conservation implique que des données dont la durée est échue ne devraient plus se trouver sur un support sortant. En pratique, les postes et serveurs en fin de vie accumulent des exports, des sauvegardes locales et des copies de travail oubliées. Une revue avant sortie, couplée à un effacement complet du support plutôt qu'à une suppression sélective de fichiers, réduit fortement le risque et simplifie la démonstration de conformité.The storage limitation principle implies that data whose retention period has expired should no longer sit on a device leaving the estate. In practice, end-of-life workstations and servers accumulate exports, local backups and forgotten working copies. A pre-exit review, combined with full device erasure rather than selective file deletion, sharply reduces risk and makes the compliance demonstration far simpler.

Traiter le support entier plutôt que des fichiers identifiés un par un

Ne pas oublier disques secondaires, cartes d'administration et mémoires embarquées

Inclure les téléphones, tablettes et supports amovibles dans le périmètre

Rattacher l'opération au registre des activités de traitement concerné

Process the whole device rather than individually identified files

Do not forget secondary drives, management cards and embedded memory

Include phones, tablets and removable media in the scope

Link the operation to the relevant record of processing activities

Documenter pour pouvoir démontrerDocument in order to demonstrate

Le RGPD n'impose pas de méthode technique : il impose des mesures appropriées et la capacité à en rendre compte. Concrètement, cela signifie une politique écrite de fin de vie, un inventaire des supports sortants, une preuve par support et une conservation de ces preuves cohérente avec vos durées documentées. L'effacement certifié de S2I Consulting fournit ce niveau de granularité, avec un certificat par support rattachable à votre inventaire. Pour l'interprétation juridique de vos obligations propres, appuyez-vous sur votre délégué à la protection des données ou sur un conseil.GDPR prescribes no technical method: it requires appropriate measures and the ability to account for them. In practice that means a written end-of-life policy, an inventory of outgoing devices, per-device evidence, and retention of that evidence consistent with your documented periods. The certified erasure service from S2I Consulting provides this level of granularity, with a per-device certificate that maps to your inventory. For the legal reading of your own obligations, rely on your data protection officer or on qualified counsel.

Politique écrite de fin de vie du matériel, validée et diffusée

Inventaire des supports sortants réconcilié avec les preuves reçues

Preuve par support, rattachable au numéro de série

Faire valider l'interprétation juridique par le DPO ou un conseil

A written hardware end-of-life policy, approved and circulated

An outgoing device inventory reconciled with the evidence received

Per-device evidence, traceable to the serial number

Have the legal interpretation validated by the DPO or counsel

Repères de configurationConfiguration guidance

Principe cléKey principleSécurité appropriée au risque

ResponsabilitéAccountabilityReste au responsable de traitement

Sous-traitantProcessorGaranties suffisantes + contrat

PérimètreScopeTout support contenant des données personnelles

Preuve attendueExpected evidencePar support, avec numéro de série

DocumentationDocumentationPolitique + inventaire + certificats

Validation juridiqueLegal validationDPO ou conseil externe

Repères indicatifs : la configuration finale est validée avec vous selon vos contraintes réelles (charge, budget, environnement).Indicative guidance: the final configuration is validated with you against your real constraints (workload, budget, environment).

Questions fréquentesFrequently asked questions

Une attestation de destruction du prestataire suffit-elle ?Is a provider destruction statement enough?

Une attestation globale sans identification des supports est difficile à réconcilier avec votre inventaire. Une preuve par support, portant le numéro de série, la méthode et le résultat, est nettement plus solide en cas de contrôle ou d'incident.A blanket statement without device identification is hard to reconcile with your inventory. Per-device evidence carrying the serial number, the method and the outcome is far more robust in the event of an audit or an incident.

Le matériel loué ou en leasing est-il concerné ?Does leased hardware fall in scope?

Oui. Le retour d'un matériel loué est une sortie de parc comme une autre. Il faut s'assurer que l'effacement est réalisé avant la restitution, ou contractuellement encadré et prouvé si le loueur s'en charge.Yes. Returning leased hardware is a fleet exit like any other. You must ensure erasure happens before return, or that it is contractually framed and evidenced if the lessor performs it.

Faut-il notifier une perte de matériel non effacé ?Must the loss of unerased hardware be notified?

La perte d'un support contenant des données personnelles constitue une violation de données à analyser selon vos procédures internes, en associant le DPO. Le chiffrement complet du support et une preuve d'effacement préalable changent radicalement l'appréciation du risque.The loss of a device holding personal data is a data breach to be assessed under your internal procedures, involving the DPO. Full device encryption and prior proof of erasure change the risk assessment considerably.

Un besoin précis à chiffrer ?A specific need to quote?

Décrivez votre contexte : nous revenons sous 24 à 72 heures avec une approche et un devis.Tell us your context: we come back within 24-72 hours with an approach and a quote.

Parler à un expertTalk to an expert Voir nos expertisesSee our expertise