Art. 5 DSGVO

L’art. 5 du RGPD est le fondement du droit européen de la protection des données. Les principes qu’il contient s’appliquent à tout traitement de données à caractère personnel – y compris aux données qui subsistent sur des ordinateurs portables, serveurs et smartphones mis au rebut. Vous lirez ici quels principes existent et ce qu’ils signifient pour la mise au rebut du matériel informatique.

Que dit l’art. 5 du RGPD ?

L’art. 5, par. 1 du RGPD énonce six principes ; le paragraphe 2 y ajoute la responsabilité. Les principes ne sont pas une ligne directrice sans valeur contraignante. Leur violation peut être sanctionnée, selon l’art. 83, par. 5 du RGPD, par les amendes les plus élevées du règlement.

Principe	En bref	Lien avec la mise au rebut du matériel informatique
a) Licéité, loyauté, transparence	Traitement uniquement sur une base juridique et de manière traçable	L’effacement par des prestataires est lui aussi un traitement
b) Limitation des finalités	N’utiliser les données que pour des finalités déterminées	Les anciennes données présentes sur les appareils ne doivent pas être réutilisées « en passant »
c) Minimisation des données	Aussi peu de données que nécessaire	Pas de copies d’anciens disques durs « par sécurité » sans finalité
d) Exactitude	Données exactes et à jour	Peu de lien direct
e) Limitation de la conservation	Ne pas conserver plus longtemps que nécessaire	Ne pas entreposer des anciens appareils contenant des données à la cave pendant des années
f) Intégrité et confidentialité	Protection contre l’accès non autorisé, la perte et la destruction	Stockage, transport et effacement sécurisés
Par. 2 – Responsabilité	Pouvoir démontrer le respect des principes	Certificats d’effacement et de destruction par numéro de série

Que signifie l’art. 5 du RGPD pour le matériel informatique mis au rebut ?

Trois principes sont au premier plan lors de la mise au rebut. La Limitation de la conservation exige que les données soient effacées dès qu’elles ne sont plus nécessaires et qu’aucun délai de conservation ne s’y oppose. Un appareil mis au rebut contenant des données clients, entreposé dans un local, enfreint rapidement ce principe.

L’intégrité et la confidentialité exigent une protection par des mesures techniques et organisationnelles appropriées. Elle est concrétisée à l’ Art. 32 du RGPD: conteneurs de collecte verrouillables, transport contrôlé, méthodes d’effacement fiables.

la Obligation de rendre compte inverse enfin la charge de la preuve. Ce n’est pas l’autorité qui doit prouver une violation, c’est vous qui devez démontrer que vous respectez les principes. Pour les anciens appareils, cela signifie : des procès-verbaux et des certificats attribuables à chaque appareil. Les informations que doit contenir un tel justificatif sont décrites dans notre guide Certificat de destruction et rapport d'effacement.

Erreurs typiques lors de la mise au rebut

• Des anciens appareils sont collectés sans concept d’effacement et restent entreposés pendant des mois.
• Un « formatage » est assimilé à un effacement, alors que les données restent récupérables.
• Les justificatifs n’existent que sous forme de bon collectif avec le poids, et non par appareil.
• Personne n’est responsable de la mise au rebut, de sorte que les lacunes passent inaperçues.

La manière de céder des supports de données de façon globalement conforme au droit est présentée dans le guide Éliminer les supports de données en conformité avec le RGPD. Cette entrée ne remplace pas un conseil juridique.

L’art. 5 du RGPD en pratique chez Second IT

Second IT soutient les principes par des processus documentés : enlèvement avec sa propre logistique sécurisée sans stockage intermédiaire, contrôle de tous les appareils quant à la présence de supports de stockage à la réception des marchandises, contrôle d’accès et vidéosurveillance dans les zones de traitement. L’effacement est réalisé avec Blancco, avec un certificat d’effacement signé numériquement pour chaque appareil. Plus d’informations sur Sécurité des données chez Second IT.

Questions fréquentes sur l’art. 5 du RGPD

Quels principes l’art. 5 du RGPD énonce-t-il ?

Licéité, loyauté, transparence, limitation des finalités, minimisation des données, exactitude, limitation de la conservation ainsi qu’intégrité et confidentialité. S’y ajoute, au paragraphe 2, la responsabilité du responsable du traitement.

À combien peut s’élever une amende en cas de violation de l’art. 5 du RGPD ?

Les violations des principes relèvent de l’art. 83, par. 5 du RGPD. Des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial de l’exercice précédent sont possibles, le montant le plus élevé étant retenu. L’autorité tient compte des circonstances du cas d’espèce.

L’art. 5 du RGPD s’applique-t-il aussi aux appareils défectueux ?

Oui. Des données peuvent aussi être lisibles sur des disques durs ou smartphones défectueux. Tant que des données à caractère personnel s’y trouvent, les principes s’appliquent. Les supports de données défectueux qui ne peuvent pas être effacés sont donc détruits physiquement.

Que signifie la responsabilité au titre de l’art. 5 du RGPD ?

Vous devez pouvoir démontrer à tout moment que vous respectez les principes. La charge de la preuve vous incombe, et non à l’autorité. Pour les anciens appareils, cela signifie : des certificats d’effacement et de destruction attribuables à chaque appareil via le numéro de série.

Quelle est la différence entre l’art. 5 et l’art. 32 du RGPD ?

L’art. 5 énonce les principes du traitement, par exemple l’intégrité et la confidentialité. L’art. 32 en fait des mesures de sécurité concrètes. Lors de la mise au rebut, il s’agit par exemple de conteneurs de collecte verrouillables, d’un transport contrôlé et de méthodes d’effacement fiables.