Effacement des données et destruction des supports de données
Effacement selon NIST SP 800-88 (Rev. 2) · Destruction selon DIN 66399 / ISO/IEC 21964 · Certificat d’effacement pour chaque support · Archivage pendant 10 ans
L’effacement des données est obligatoire – la preuve détermine votre responsabilité
La protection des données ne s’arrête pas lorsqu’un appareil est mis hors service – c’est souvent là qu’elle commence véritablement. Le RGPD exige, à l’article 17, l’effacement des données à caractère personnel qui ne sont plus nécessaires et, à l’article 32, des mesures techniques et organisationnelles adaptées au niveau de protection requis. Mais c’est l’article 5, paragraphe 2, qui est déterminant : le principe de responsabilité. Ce n’est pas à l’autorité de contrôle de prouver un manquement de votre part – c’est à vous de pouvoir démontrer que l’effacement a été effectué correctement. Sans preuve d’effacement auditable, même l’effacement le plus rigoureux ne peut pas être démontré le moment venu.
Les conséquences sont bien réelles : selon l’article 83 du RGPD, les amendes peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. À cela s’ajoutent l’atteinte à la réputation et le risque de responsabilité personnelle des dirigeants. Pour les entreprises soumises à la directive NIS 2, les exigences en matière de traçabilité et de diligence dans la chaîne d’approvisionnement se sont encore renforcées. Le formatage, la suppression rapide dans le système d’exploitation ou la suppression de la table de partition ne répondent pas à ces exigences : les données peuvent souvent être récupérées à l’aide d’outils librement disponibles.
Le véritable produit n’est pas l’effacement. C’est la preuve que l’effacement a bien eu lieu. C’est pourquoi nous fournissons un certificat pour chaque support de données – et le conservons pour vous pendant dix ans.
Le processus IT-RESELL en 6 étapes
Chaque commande passe par six étapes clairement définies. Chaque étape fournit un résultat documenté à l’étape suivante – et sur votre portail client, vous suivez vous-même l’état de votre commande à tout moment.
État des lieux et devis
Vous nous envoyez une liste d’appareils ou nous effectuons un relevé sur place. Vous recevez une estimation précise par modèle, incluant une évaluation de la valeur résiduelle.
Démontage et enlèvement
Enlèvement dans toute l’UE dans des conteneurs de transport verrouillables et scellés. Transport direct, chaîne de traçabilité documentée avec numéros de scellés et procès-verbal de remise.
Effacement des données
Chaque support de données est enregistré individuellement, effacé selon NIST SP 800-88 (Rev. 2) et documenté par un certificat d’effacement. Les supports non effaçables sont orientés vers une destruction certifiée selon DIN 66399 / ISO/IEC 21964.
Contrôle et valeur résiduelle
Diagnostic technique (fonctionnement, état de la batterie, RAM, réseau), classification des produits de catégorie A à D, estimation finale de la valeur résiduelle.
Revente ou recyclage
Les appareils réutilisables sont reconditionnés et remis sur le marché ; les composants qui ne sont plus réutilisables sont orientés vers une valorisation conforme via une installation de premier traitement certifiée au titre de la loi allemande sur les équipements électriques et électroniques (ElektroG).
Paiement et documentation
Paiement de la valeur résiduelle, le cas échéant, et rapport final complet comprenant les certificats d’effacement pour chaque support de données et les attestations de destruction – archivé pendant 10 ans sur le portail.
Une commande type de taille moyenne (50 à 200 équipements) est traitée en 18 à 28 jours ouvrés – de la confirmation écrite de la commande à la remise du rapport final.
Effacement par logiciel ou destruction physique
Tous les supports de données ne nécessitent pas la même approche. Un disque en état de marche présentant une valeur résiduelle est effacé par logiciel et réutilisé ; un disque défectueux est détruit physiquement. Ces deux méthodes garantissent une illisibilité vérifiable et irréversible de vos données – mais seule la première préserve la valeur résiduelle.
Effacement sécurisé – et préservation de la valeur
Nous effaçons chaque support de données selon NIST SP 800-88 (Rev. 2) et établissons pour cela un certificat d’effacement auditable – y compris dans les environnements d’entreprise et pour les disques à chiffrement automatique.
- Clear : écrasement logique avec vérification – typique des disques durs magnétiques (HDD)
- Purge : commandes Secure Erase/Sanitize basées sur le micrologiciel et effacement cryptographique – typique des SSD/NVMe
- Vérification et analyse SMART après chaque opération d’effacement
- Le support de données est conservé en vue de sa réutilisation – tout comme sa valeur résiduelle
Destruction physique – certifiée selon DIN 66399
Si un support de données ne peut plus être effacé de manière sécurisée par logiciel – par exemple en cas de défauts matériels ou de disques inaccessibles –, il est détruit physiquement par notre partenaire, une entreprise certifiée de gestion des déchets, certifiée selon DIN 66399 / ISO/IEC 21964 – jusqu’à la classe de protection 3 sur demande.
- Disques durs (HDD) : broyage au niveau de sécurité H-4 (standard), H-5 sur demande
- SSD/supports flash : destruction selon leur propre classe de matériau E au niveau de sécurité E-3 (standard), jusqu’à E-5 sur demande
- Attestation de destruction selon DIN 66399, rattachée aux numéros de série enregistrés
- Valorisation des matériaux résiduels via une installation de premier traitement certifiée au titre de l’ElektroG
Un SSD n’est pas un disque dur (HDD) : pourquoi la méthode doit être adaptée au support
Pour les disques durs magnétiques classiques (HDD), un écrasement propre avec vérification suffit, car chaque secteur logique est physiquement adressable. Les SSD et les disques NVMe fonctionnent de manière fondamentalement différente : grâce au wear leveling et à l’over-provisioning, le contrôleur répartit les données sur des cellules de mémoire qui restent invisibles pour le système d’exploitation – un simple écrasement ne permet pas d’atteindre ces zones de réserve de manière fiable. C’est pourquoi, pour les supports à semi-conducteurs, nous misons sur des commandes Sanitize basées sur le micrologiciel et, pour les disques à chiffrement automatique, sur l’effacement cryptographique : la clé de chiffrement interne est supprimée, rendant ainsi toutes les données cryptographiquement inutilisables en une fraction de seconde. Lorsque le disque n’exécute pas correctement ces commandes, la destruction physique est la seule solution sûre. Chez nous, cette distinction fait partie intégrante de chaque commande.
Les normes en détail – NIST SP 800-88, DIN 66399, RGPD
NIST SP 800-88 Rév. 2 – les trois catégories d’assainissement
| Catégorie | Ce qui se passe | Utilisation typique |
|---|---|---|
| Clear | Écrasement logique à l’aide de commandes standard ; protège contre une restauration simple | Disques durs, supports de données réutilisables |
| Purge | Procédés basés sur le micrologiciel (Secure/Block Erase, Cryptographic Erase, démagnétisation) ; même les procédés de laboratoire échouent | SSD/NVMe, disques à chiffrement automatique |
| Destroy | Destruction physique (déchiquetage, broyage, fusion) ; support rendu inutilisable | Supports de données défectueux / non effaçables |
DIN 66399 / ISO/IEC 21964 – classes de protection, niveaux de sécurité, classes de matériaux
La DIN 66399 est la norme allemande relative à la destruction des supports de données ; son prolongement international est l’ISO/IEC 21964. Elle définit 3 classes de protection (la classe 2 couvre la plupart des données à caractère personnel relevant du RGPD ; la classe 3 couvre les catégories particulières au sens de l’article 9 du RGPD), 7 niveaux de sécurité et 6 classes de matériaux (P papier, F film, O supports optiques, T supports magnétiques, H disques durs, E supports électroniques tels que les SSD et les clés USB).
| Support de données | Classe de matériau | Standard – classe de protection 2 | Protection renforcée – classe de protection 3 |
|---|---|---|---|
| Disque dur (HDD) | H | H-4 | H-5 sur demande |
| SSD / NVMe / USB / carte mémoire | E | E-3 | E-5 sur demande |
Les SSD et les supports flash sont détruits selon leur propre classe de matériau E – et non comme des disques durs. Comme les puces mémoire stockent les données sur une surface minime, des exigences spécifiques de taille de particules s’appliquent à elles. Pour les données particulièrement sensibles, une destruction jusqu’à E-5 est possible sur demande.
RGPD – articles 17, 28, 32 et principe de responsabilité
| Article | Exigence | Comment IT-RESELL s’y conforme |
|---|---|---|
| Art. 17 | Droit à l’effacement des données à caractère personnel qui ne sont plus nécessaires | Effacement selon NIST SP 800-88 (Rév. 2) avec certificat d’effacement ou destruction certifiée selon DIN 66399 / ISO/IEC 21964 |
| Art. 28 | Contrat de sous-traitance en cas de traitement externe | Modèle de contrat de sous-traitance inclus – l’effacement, la vérification et la documentation font expressément partie du contrat |
| Art. 32 | Mesures techniques et organisationnelles appropriées | Conteneurs scellés, transport direct, contrôle d’accès et vidéosurveillance, identifiants des opérateurs, vérification par hachage |
| Art. 5.2 | Principe de responsabilité – vous devez démontrer la conformité | Certificat d’effacement auditable pour chaque support de données, archivé pendant 10 ans |
Votre preuve d’effacement – auditable, individuelle, archivée pendant 10 ans
Pour chaque support de données, nous établissons un certificat d’effacement individuel et auditable – comprenant le numéro de série de l’appareil et du support, la norme et la version du logiciel utilisées, l’identifiant de l’opérateur, l’horodatage et le résultat de la vérification. Pour les supports détruits physiquement, s’y ajoute l’attestation de destruction selon DIN 66399.
Ce qui compte, c’est la suite : chez nous, le certificat est automatiquement associé à l’actif concerné – non pas parce que quelqu’un coche une case, mais parce que c’est le processus d’effacement achevé qui déclenche la génération du certificat. Tout se trouve sur votre portail client ITAD, hébergé en Allemagne, avec une fonction de recherche jusqu’au numéro de série individuel, tous projets confondus. Et nous archivons chaque projet pendant dix ans.
Concrètement, cela signifie que si votre responsable informatique quitte l’entreprise l’année prochaine, la documentation complète reste au sein de l’entreprise. Et si un contrôle a lieu dans trois ans, personne n’aura à fouiller dans d’anciennes boîtes mail : la preuve est accessible en un clic.
Une pratique éprouvée : nous effaçons plusieurs dizaines de milliers de supports de données et de stockage chaque année – provenant de serveurs, de systèmes de stockage, d’ordinateurs portables et d’appareils mobiles. Chacun d’entre eux fait l’objet d’une preuve auditable ; les disques non effaçables font l’objet d’une destruction documentée et certifiée selon DIN 66399.
Effacement des données + rachat = valeur résiduelle plutôt que simples coûts
Avec une simple destruction, vous payez généralement par support de données – pour vous, il s’agit d’un pur poste de dépenses. Nous adoptons l’approche inverse : chaque transaction de rachat chez IT-RESELL comprend d’emblée l’effacement des données selon NIST SP 800-88 (Rév. 2), avec un certificat d’effacement pour chaque support. Au lieu de payer pour la destruction, vous recevez dans de nombreux cas un avoir correspondant à la valeur résiduelle de votre matériel.
C’est doublement avantageux : un disque ou un ordinateur portable en état de marche qui est effacé plutôt que broyé conserve sa valeur marchande. Le matériel d’entreprise de HPE, Dell, Cisco, Juniper, HPE Aruba, NetApp, Pure Storage et NVIDIA présente souvent encore une valeur résiduelle considérable, même après trois à cinq ans d’utilisation. Vous pouvez ainsi refinancer tout ou partie du coût de la mise en conformité grâce au rachat, au lieu de le comptabiliser comme une dépense.
Pourquoi l’effacement prolonge la durée d’utilisation des appareils
Un support de données détruit est un déchet électronique. Un support de données effacé est un produit qui peut continuer à être utilisé. Pour les équipements informatiques, une part importante des émissions est générée dès la fabrication, et non seulement pendant l’utilisation. Un appareil réutilisé après effacement peut remplacer un achat neuf – et prolonge ainsi la durée d’utilisation d’un matériel déjà produit.
Un exemple concret : lors du traitement de 103 ordinateurs portables Dell Latitude pour un prestataire de services informatiques, 100 supports de données ont été effacés et certifiés selon NIST SP 800-88 (Rév. 2), et trois SSD défectueux ont été détruits physiquement (DIN 66399, E-3). Résultat : un taux de réutilisation de 97,1 % – 100 appareils sur 103 ont pu être réutilisés. Pour mémoire : selon le Global E-waste Monitor 2024 des Nations Unies, 62 millions de tonnes de déchets électroniques ont été générés dans le monde en 2022 – seuls 22,3 % ont été recyclés de manière appropriée et documentée.
Des PME aux centres de données
Entreprises et PME
Renouvellements réguliers de matériel, fermetures de sites, retours de leasing : effacement documenté avec valeur résiduelle.
Centres de données et migrations vers le cloud
Mise hors service de centres de données impliquant un volume important de supports de données (serveurs, stockage, switches), chaîne de traçabilité et effacement en masse.
Intégrateurs système et prestataires informatiques
Effacement et destruction auditables, adaptables en marque blanche, comme module pour vos propres projets clients.
Administrations et organismes publics
Destruction certifiée selon DIN 66399, réalisée exclusivement en Allemagne, avec une documentation complète – pour des besoins de protection élevés, jusqu’à la classe de protection 3 (H-5 / E-5) sur demande.
Tout en un coup d’œil
La question n’est pas de savoir si vous vous débarrassez de matériel informatique, mais si vous pouvez ensuite prouver ce qu’il est advenu des données.
Nous veillons à ce que vous puissiez le faire – pendant dix ans, pour chaque support de données. Le devis et l’estimation précise de la valeur résiduelle par modèle sont gratuits et sans engagement.
Questions fréquentes sur l’effacement des données et la destruction des supports de données
Réponses sur les procédures, les normes, les coûts et les justificatifs – de la méthode d’effacement à l’archivage sur le portail client.
Lors de l’effacement des données, celles-ci sont supprimées de manière irréversible à l’aide d’un logiciel selon NIST SP 800-88 (Rév. 2) ; le support reste réutilisable. Lors de la destruction des supports de données, le support est physiquement détruit selon DIN 66399 / ISO/IEC 21964. L’effacement préserve la valeur résiduelle ; la destruction est la solution pour les supports défectueux ou impossibles à effacer.
Non. Le formatage, le vidage de la corbeille ou la suppression de la table de partition ne font que supprimer les références ; les données peuvent souvent être récupérées à l’aide d’outils librement disponibles. Le RGPD exige une procédure conforme à l’état de l’art – par exemple selon NIST SP 800-88 – avec vérification et justificatif auditable.
Pour les SSD, le simple écrasement n’est pas fiable, car le wear leveling et l’over-provisioning masquent certaines zones de mémoire. Nous utilisons des commandes Sanitize basées sur le micrologiciel et, pour les disques à chiffrement automatique, l’effacement cryptographique (NIST Purge) ; en cas de défauts, nous procédons à la destruction physique selon la classe de matériau E.
Un certificat d’effacement atteste, de manière auditable et pour chaque support de données, que l’effacement a bien eu lieu et de quelle manière. Il constitue votre justificatif auprès des autorités de protection des données et des auditeurs au titre du principe de responsabilité prévu à l’article 5.2 du RGPD.
La plupart des données à caractère personnel relèvent de la classe de protection 2 de la DIN 66399 ; les données particulièrement sensibles, de la classe de protection 3. Pour les disques durs, les niveaux H-4 à H-5 sont recommandés ; pour les SSD, E-3 à E-5. En standard, IT-RESELL détruit les disques durs au niveau H-4 et les SSD au niveau E-3 – via un partenaire certifié selon DIN 66399. Pour la classe de protection 3, une destruction jusqu’à H-5 / E-5 est possible sur demande.
Ce qui est obligatoire, c’est l’élimination sécurisée et vérifiable des données – et non nécessairement la destruction physique. Un effacement documenté selon NIST SP 800-88 répond tout autant à cette exigence et préserve la valeur de l’appareil.
Confiez les supports à un prestataire disposant d’un contrat de sous-traitance, d’un effacement ou d’une destruction conformes aux normes et d’un justificatif pour chaque support. IT-RESELL assure un enlèvement scellé dans toute l’UE, efface selon NIST SP 800-88 ou fait procéder à la destruction par un partenaire certifié selon DIN 66399 (standard H-4 / E-3, jusqu’à H-5 / E-5 sur demande) et documente l’ensemble de manière complète.
Le prix dépend de la quantité, du type de support et de la procédure. Combiné au rachat du matériel, cela n’entraîne dans de nombreux cas aucun coût pour vous, mais vous donne droit à un avoir correspondant à la valeur résiduelle.
Les deux. La DIN 66399 est la norme allemande ; l’ISO/IEC 21964 en est le prolongement international, largement identique. Nous travaillons selon ces deux normes.
Dix ans. Chaque projet, y compris tous les certificats d’effacement et de destruction, est archivé sur le portail client ITAD (hébergé en Allemagne) et peut être consulté jusqu’au numéro de série individuel.
Oui. Vous pouvez auditer notre site de reconditionnement et d’effacement à Magdebourg : contrôles d’accès, lignes d’effacement, logiciels utilisés et journalisation. Cela est particulièrement pertinent dans le cadre des exigences ISO 27001 et TISAX.
