Effacement certifié des données et destruction des supports de données – Conforme au RGPD, traçable, économique
Effacement selon la norme NIST SP 800-88 · Destruction selon les normes DIN 66399 / ISO CEI 21964 · Certificat d'effacement pour chaque support de données · Archivage pendant 10 ans
L'effacement des données est obligatoire – la preuve est déterminante pour votre responsabilité
La protection des données ne s’arrête pas lorsqu’un appareil est mis hors service – c’est souvent là qu’elle commence véritablement. Le RGPD exige, à l’article 17 , l’effacement des données à caractère personnel qui ne sont plus nécessaires et, à l’article 32 , des mesures techniques et organisationnelles adaptées au niveau de protection requis. Mais l’article 5 , paragraphe 2 , est déterminant : il s’agit de l’ obligation de rendre compte. Ce n’est pas à l’autorité de vous prouver une négligence – c’est à vous de pouvoir prouver que l’effacement a été effectué en bonne et due forme. Sans preuve d’effacement conforme aux exigences d’audit, même le meilleur effacement n’existe tout simplement pas sur le plan juridique.
Les conséquences sont bien réelles : selon l’article 83 du RGPD, le montant des amendes peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial . À cela s’ajoutent l’atteinte à la réputation et le risque de responsabilité personnelle des dirigeants. Avec la directive NIS 2, les exigences en matière de traçabilité et de diligence dans la chaîne d’approvisionnement se sont encore renforcées. Le formatage, la suppression rapide dans le système d’exploitation ou la suppression de la table de partition ne répondent pas à ces exigences : les données restent récupérables à l’aide d’outils librement disponibles.
Le véritable produit n’est pas la suppression. C’est la preuve que la suppression a bien eu lieu. C’est pourquoi nous fournissons un certificat pour chaque support de données – et le conservons pour vous pendant dix ans.
Le processus IT-RESELL en 6 étapes
Chaque commande passe par six étapes clairement définies. Chaque étape fournit un résultat documenté à l'étape suivante – et dès le premier jour, vous voyez sur votre portail client exactement ce que nous voyons nous-mêmes.
État des lieux et devis
Vous nous envoyez une liste d'appareils ou nous effectuons un relevé sur place. Vous recevez une estimation précise par modèle, incluant la valeur résiduelle.
Démontage et enlèvement
Enlèvement dans toute l'Allemagne dans des conteneurs de transport verrouillables et scellés. Transport direct, chaîne de contrôle documentée avec numéros de scellés et procès-verbal de remise.
Effacement certifié des données
Chaque support de données est enregistré individuellement et effacé conformément à la norme NIST 800-88 à l'aide d'un logiciel d'effacement certifié. Les supports non effaçables sont détruits conformément à la norme DIN 66399.
Contrôle et estimation de la valeur résiduelle
Diagnostic technique (fonctionnement, état de la batterie, RAM, réseau), classification des produits de catégorie A à D, estimation finale de la valeur résiduelle.
Revente ou recyclage
Les appareils réutilisables sont reconditionnés et remis sur le marché ; les composants qui ne sont plus réutilisables sont acheminés vers un centre de recyclage certifié conformément à la loi allemande sur les équipements électriques et électroniques (ElektroG).
Paiement et documentation
Paiement de la valeur résiduelle et rapport final complet comprenant les certificats d’effacement pour chaque support de données, les attestations de destruction et le bilan carbone – disponible pendant 10 ans sur le portail.
Une commande type de taille moyenne (50 à 200 équipements) est traitée en 18 à 28 jours ouvrés – de la confirmation écrite de la commande à la remise du rapport final.
Effacement par logiciel ou destruction physique
Tous les supports de données ne nécessitent pas la même approche. Un disque dur en état de marche présentant une valeur résiduelle est effacé par logiciel et réutilisé ; un disque dur défectueux est détruit physiquement. Ces deux méthodes garantissent une illisibilité vérifiable et irréversible de vos données – mais seule la première permet de préserver la valeur résiduelle.
Effacement certifié – et préservation de la valeur
Nous utilisons des logiciels d’effacement certifiés et conformes aux normes, qui génèrent pour chaque support de données un protocole signé numériquement et à l’épreuve des audits – y compris pour les scénarios d’entreprise et les disques à chiffrement automatique.
- Clear : écrasement logique avec vérification – typique des disques durs magnétiques (HDD)
- Purge : commandes Secure Erase/Sanitize basées sur le micrologiciel et effacement cryptographique – typique des SSD/NVMe
- Vérification et analyse SMART après chaque opération d’effacement
- Le support de données est conservé en vue de sa réutilisation – tout comme sa valeur résiduelle
Destruction physique – certifiée et documentée
Si un support de données ne peut plus être effacé de manière sécurisée par logiciel – par exemple en cas de défauts matériels ou de disques durs inaccessibles –, il est détruit physiquement : par notre entreprise spécialisée dans l'élimination des déchets, certifiée selon la norme DIN 66399.
- Disques durs (HDD) : broyage au niveau de sécurité H-5 (standard)
- SSD/supports flash : destruction selon les normes E-3 / H-5
- Attestation de destruction distincte conforme à la norme DIN 66399 pour chaque support de données
- Recyclage des résidus conformément à la loi allemande sur les équipements électriques (ElektroG)
Un SSD n’est pas un disque dur (HDD) : pourquoi la méthode doit être adaptée au support
Pour les disques durs magnétiques classiques (HDD), un simple écrasement avec vérification suffit, car chaque secteur logique est physiquement adressable. Les SSD et les disques NVMe fonctionnent de manière fondamentalement différente : grâce au « wear leveling » et à l’« over-provisioning », le contrôleur répartit les données sur des cellules de mémoire qui restent invisibles pour le système d’exploitation – un simple écrasement ne permet pas d’atteindre ces zones de réserve de manière fiable. C’est pourquoi, pour les supports SSD, nous misons sur des commandes de nettoyage basées sur le micrologiciel et sur l’effacement cryptographique : la clé de chiffrement interne est supprimée, rendant ainsi toutes les données inutilisables d’un point de vue cryptographique en quelques fractions de seconde . Lorsque le disque n’exécute pas correctement ces commandes, la destruction physique est la seule solution sûre. C’est précisément cette distinction que de nombreux prestataires négligent – nous en tenons compte par défaut.
Les normes en détail – NIST 800-88, DIN 66399, BSI, RGPD
NIST SP 800-88 Rév. 1 – les trois catégories de nettoyage
| Catégorie | Ce qui se passe | Utilisation typique |
|---|---|---|
| Effacement | Écrasement logique à l’aide de commandes standard ; protège contre une restauration simple | Disques durs, supports de données réutilisables |
| Purge | Procédés basés sur le micrologiciel (effacement sécurisé/par blocs, effacement cryptographique, démagnétisation) ; même les procédés de laboratoire échouent | SSD/NVMe, disques à chiffrement automatique |
| Destroy | Destruction physique (déchiquetage, broyage, fusion) ; support rendu inutilisable | Supports de données défectueux / non effaçables |
DIN 66399 / ISO CEI 21964 – Classes de protection, niveaux de sécurité, classes de matériaux
La norme DIN 66399 est la norme allemande relative à la destruction des supports de données ; son équivalent international est la norme ISO/IEC 21964. Elle définit 3 classes de protection (la classe 2 couvre la plupart des données à caractère personnel relevant du RGPD ; la classe 3 couvre les catégories particulières au sens de l’article 9 du RGPD), 7 niveaux de sécurité et 6 classes de matériaux (P : papier, F : film, O : supports optiques, T : supports magnétiques, H : disques durs, E : supports électroniques tels que les SSD et les clés USB).
| Supports de données | Classe de matériau | Niveau recommandé (classes de protection 2–3) | Norme IT-RESELL |
|---|---|---|---|
| Disque dur (HDD) | H | H-4 (minimum) à H-5 | H-5 |
| SSD / NVMe / USB / carte mémoire | E | E-3 (minimum) à E-4/E-5 | E-3 / H-5 |
En raison de leur forte densité de stockage, les SSD/mémoires flash nécessitent des particules de taille plus fine que les disques durs (HDD). Ceux qui traitent les supports à semi-conducteurs comme de simples disques magnétiques sous-estiment le risque résiduel.
Protection de base informatique du BSI – Module CON.6
Le compendium « IT-Grundschutz » du BSI aborde ce sujet dans le module CON.6 « Effacement et destruction » : une procédure réglementée et documentée pour l’ effacement et la destruction des informations et des supports de données – exactement ce que reflète notre processus en six étapes , avec chaîne de traçabilité et certificats.
RGPD – Articles 17, 28, 32 et l’obligation de rendre compte
| Articles | Exigence | Comment IT-RESELL s’y conforme |
|---|---|---|
| Art. 17 | Droit à l'effacement des données à caractère personnel qui ne sont plus nécessaires | Effacement certifié selon la norme NIST 800-88 ou destruction selon la norme DIN 66399 |
| Art. 28 | Contrat de sous-traitance (AVV) en cas de traitement externe | Modèle de contrat de sous-traitance inclus – l'effacement, la vérification et la documentation font expressément partie intégrante du contrat |
| Art. 32 | Mesures techniques et organisationnelles appropriées (TOM) | Conteneurs scellés, transport direct, contrôle d'accès et vidéosurveillance, identifiants des opérateurs, vérification par hachage |
| Art. 5, al. 2 | Obligation de rendre compte – Vous devez prouver la conformité | Certificat de suppression à l’épreuve des audits pour chaque support de données, archivé pendant 10 ans |
Votre preuve de suppression – à l'épreuve des audits, individuelle, archivée pendant 10 ans
Pour chaque support de données, nous établissons un certificat de suppression individuel et conforme aux exigences d’audit – comprenant le numéro de série de l’appareil et du support de données, la norme appliquée et la version du logiciel, l’identifiant de l’opérateur, l’horodatage et le résultat de la vérification. Pour les supports de données détruits physiquement, s’ajoute le certificat de destruction conforme à la norme DIN 66399.
La différence par rapport à la plupart des prestataires réside dans le fait que, chez nous, le certificat est automatiquement associé à l’actif concerné – non pas parce que quelqu’un coche une case, mais parce que c’est le processus de suppression achevé qui déclenche la génération du certificat. Tout se trouve sur votre portail client ITAD , hébergé en Allemagne, avec une fonction de recherche pouvant aller jusqu’au numéro de série individuel, tous projets confondus. Et nous archivons chaque projet pendant dix ans .
Concrètement, cela signifie que si votre responsable informatique quitte l’entreprise l’année prochaine, la documentation complète restera au sein de l’entreprise. Et si un contrôle a lieu dans trois ans, personne n’aura à fouiller dans d’anciennes boîtes mail : la preuve est accessible en un clic.
Une expérience concrète qui en témoigne : nous effaçons plusieurs dizaines de milliers de supports de données et de stockage chaque année – provenant de serveurs, de systèmes de stockage, d’ordinateurs portables et d’appareils mobiles. Chacun d’entre eux fait l’objet d’une preuve conforme aux exigences d’audit ; les disques durs non effaçables font l’objet d’une destruction physique documentée conformément à la norme DIN 66399.
Effacement des données + rachat = des recettes au lieu de coûts
Les destructeurs de documents et les entreprises de collecte classiques facturent à l’unité chaque support de données broyé – pour vous, il s’agit là d’un pur poste de dépenses. Nous adoptons une approche inverse : chaque transaction de rachat chez IT-RESELL comprend d’emblée l’effacement certifié des données selon la norme NIST 800-88, avec délivrance d’un certificat d’effacement. Au lieu de payer pour la destruction, vous recevez dans la plupart des cas un avoir correspondant à la valeur résiduelle de votre matériel.
C’est doublement avantageux : un disque dur ou un ordinateur portable en état de marche qui est effacé plutôt que déchiqueté conserve sa valeur marchande. Le matériel d’entreprise de HPE, Dell, Cisco, Juniper, HPE Aruba, NetApp, Pure Storage et NVIDIA présente souvent encore une valeur résiduelle considérable, même après trois à cinq ans d’utilisation. Vous refinancez ainsi la mise en conformité grâce à le rachat, au lieu de la comptabiliser comme une dépense.
Pourquoi l’effacement est plus écologique que la destruction
Un support de données détruit est un déchet électronique. Un support de données effacé est un produit qui continue d’exister. La différence est mesurable : la majeure partie des émissions de CO₂ d’un équipement informatique provient de sa fabrication, et non de son utilisation. Réutiliser un appareil après un effacement certifié permet d’éviter les émissions liées à la fabrication d’un nouvel appareil.
Un exemple concret : lors du traitement de 103 ordinateurs portables Dell Latitude pour un prestataire de services informatiques, 100 supports de données ont été effacés de manière certifiée selon la norme NIST 800-88, et trois SSD défectueux ont été détruits physiquement (DIN 66399, H-5). Résultat : un taux de réutilisation de 97,1 % et environ 31 tonnes de CO₂e d’émissions de fabrication évitées par rapport à une nouvelle production. Le contexte rend cette démarche urgente : selon le Global E-waste Monitor 2024 des Nations Unies, 62 millions de tonnes de déchets électroniques ont été générés dans le monde en 2022 – seules 22,3 % d’entre elles ont été recyclées de manière appropriée et documentée. Chaque appareil réutilisé allège ce bilan et votre reporting ESG/Scope 3.
Des PME aux centres de données
Entreprises et PME
Renouvellements réguliers de matériel, fermetures de sites, retours de leasing : effacement certifié avec valeur résiduelle.
Centres de données et migrations vers le cloud
Mise hors service de centres de données impliquant un volume important de supports de données (serveurs, systèmes de stockage, commutateurs), chaîne de traçabilité et effacement massif.
Intégrateurs système et prestataires informatiques
Effacement et destruction conformes aux exigences d’audit, adaptables en marque blanche, comme module pour vos propres projets clients.
Administrations et organismes publics
Besoins de protection maximaux, classe de protection DIN 66399 2–3, traçabilité sans faille, traitement des données dans le cadre de l'UE.
Tout en un coup d'œil
La question n’est pas de savoir si vous vous débarrassez de matériel informatique, mais si vous pouvez ensuite prouver ce qu’il est advenu des données.
Nous veillons à ce que vous puissiez le faire – à tout moment, pour chaque support de données. Gratuitement, sans engagement, avec une estimation précise de la valeur résiduelle.
.png?ts=1773652689)
Questions fréquentes sur l'effacement des données et la destruction des supports de données
Réponses sur les procédures, les normes, les coûts et les justificatifs – de la méthode d'effacement à l'archivage sur le portail client.
Lors de l'effacement des données, celles-ci sont supprimées de manière irréversible à l'aide d'un logiciel, conformément à la norme NIST 800-88 ; le support de données reste réutilisable. Lors de la destruction des supports de données, le support est physiquement détruit conformément à la norme DIN 66399. L'effacement préserve la valeur résiduelle ; la destruction est la solution pour les supports de données défectueux ou impossibles à effacer.
Non. Le formatage, le vidage de la corbeille ou la suppression de la table de partition ne font que supprimer les références ; les données restent récupérables à l’aide d’outils librement disponibles. Seule une procédure certifiée, assortie d’une vérification et d’une preuve à l’épreuve des audits, est conforme au RGPD.
Pour les SSD, le simple écrasement n’est pas une méthode fiable, car le « wear leveling » et le « over-provisioning » masquent certaines zones de mémoire. Nous utilisons des commandes de nettoyage basées sur le micrologiciel et l’effacement cryptographique (NIST Purge) ; en cas de défauts, nous procédons à la destruction physique.
Un certificat d’effacement atteste, pour chaque support de données et de manière conforme aux exigences d’audit, que l’effacement a bien eu lieu et de quelle manière. Il constitue votre justificatif auprès des autorités chargées de la protection des données et des auditeurs dans le cadre de l’obligation de rendre compte prévue à l’article 5, paragraphe 2, du RGPD.
Pour la plupart des données à caractère personnel, la classe de protection DIN 66399 2 s’applique ; pour les données particulièrement sensibles, c’est la classe de protection 3. Pour les disques durs, les niveaux H-4 à H-5 sont recommandés ; pour les SSD, les niveaux E-3 à E-5. IT-RESELL procède systématiquement à la destruction au niveau H-5.
Ce qui est obligatoire, c’est l’élimination sécurisée et vérifiable des données – et non nécessairement leur destruction physique. Une effacement certifié est également conforme au RGPD et préserve la valeur de l’équipement.
Confiez les supports de données à un prestataire disposant d’un contrat de traitement des données (AVV), proposant un effacement/une destruction certifiés et fournissant une attestation. IT-RESELL assure un enlèvement scellé dans toute l’Allemagne, procède à un effacement ou à une destruction certifiés et documente l’ensemble du processus de manière exhaustive.
Le prix dépend de la quantité, du type de support de données et du procédé utilisé. En cas de rachat du matériel, cela n’entraîne dans la plupart des cas aucun coût pour vous, mais vous donne droit à un avoir correspondant à la valeur résiduelle.
Les deux. La norme DIN 66399 est la norme allemande, tandis que la norme ISO/IEC 21964 en est la version internationale, dont le contenu est identique. Nous travaillons selon ces deux normes.
Dix ans. Chaque projet, y compris tous les certificats d’effacement et de destruction, est archivé sur le portail client ITAD (hébergé en Allemagne) et peut faire l’objet d’une recherche jusqu’au niveau du numéro de série individuel.
Oui. Vous pouvez auditer notre site de reconditionnement et d’effacement à Magdebourg : contrôles d’accès, chaînes d’effacement, logiciels utilisés et journalisation. Cela est particulièrement pertinent dans le cadre des exigences ISO 27001 et TISAX.
